Решение № 4417 от 22.04.2026 г. на ВАС по адм. д. № 11907/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК) във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД). Образувано е по касационна жалба на „Вива Кредит“ АД, чрез адв. А. Николовска, срещу решение № 1140 от 05.11.2025 г. по адм. дело № 303/2025 г. по описа на Административен съд – Видин, с което е отменен изричен отказ на „Вива Кредит“ АД, представляван от изпълнителния директор К. К., обективиран в писмо от 12.08.2025 г. по искането на Ю. С. Б. от гр. Видин, чрез адвокат Георгиев от 11.08.2025 г., за предоставяне на копия от всички договори за кредит между страните, включително общи условия, анекси, допълнителни споразумения и погасителни планове към тях, както и справки за извършените плащания по всеки от договорите и преписката е изпратена на „Вива Кредит“ АД за ново произнасяне по искането. Оспорва се решението на основания по чл. 209, т. 2 и т. 3 от АПК, като недопустимо и неправилно, поради нарушение на материалния закон, съществени нарушения на съдопроизводствените правила, необоснованост и несъответствие с целта на закона. Неправилно е приел съдът, че администраторът е бил длъжен да представи не само копия от личните данни, но и документите, които обективират самите данни, тъй като в решение на Съда на Европейския съюз (СЕС) № С-487/21, това се допуска само ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни дадените му с Регламента права. Излагат се доводи, че администраторът на лични данни е установил срок за съхраняването на данни, а не на носителите на личните данни, като решението не е съобразено с различните дати на прекратяването на договорите, поради което няма преценка относно различните срокове за съхраняване на личните данни по тях. Твърди се, че съдът е достигнал до неправилни правни изводи, че личните данни, всичките им носители като договори, погасителни планове, приложения, както и общи условия, стандартни европейски формуляри и други документи, включително такива, които не съдържат лични данни, са в периода на съхранение по аргумент от разпоредбите на приложимия Закон за мерките срещу изпирането на пари (ЗМИП), който определя задължение за съхранение на документите, които доказват изпълнение на този закон за периода от 5 години, считано от прекратяване на договора за заем. В искането не е посочен срок и то е неопределено и неконкретизирано, което затруднява и администратора с оглед броя и обема на правоотношенията, които реализира годишно и съответно съхранява с оглед законовите изисквания. Поддържа, че „Вива Кредит“ АД е предоставило информация на жалбоподателя, че има копия, а оригинали са му предоставени при встъпване в заемните правоотношения, а с грижа на добър стопанин всеки отговаря за съхранението на предоставената информация на хартиен или друг траен носител. Счита, че искането за копия на договори и то за период, в който данните само се архивират и не се обработват с цел активно заемно правоотношение, не подлежат на предоставяне по реда на чл. 15 от Общия регламент за защита на данните ЕС/2016/679 (ОРЗД). Макар завоалирани като искания по ЗЗЛД, в случая това са искания по ЗПК (Закон за потребителските кредити) и други относими нормативни актове и искането за предоставяне може да бъде характеризирано като прекомерно по смисъла на чл. 12, §5 от Общия регламент за защита на данните (ОРЗД, Регламента). В този смисъл в искането на Б. не е поискан достъп до лични данни по смисъла на чл. 15 от Регламента, нито е заявено предоставянето на данни в структуриран, широко използван и машинно четим формат по чл. 20 от същия Регламент. Искането е за предоставяне на копия от договори, които по своя характер представляват гражданскоправни и договорни отношения между страните и чието предоставяне е уредено в Закона за потребителския кредит (ЗПК). Искането не е с цел упражняване на права по Глава III-та от ОРЗД, а получаване на информация по ЗПК, т.е. от решаващо значение е целта на заявителя – която в случая е упражняване на гражданскоправни отношения. Специалният закон има предимство пред общия регламент. Цитира в този смисъл определение № 2838 от 19.03.2025 г. на ВАС, в което се приема, че липсата на годен за оспорване административен акт води до недопустимост на подадената жалба пред първоинстанционния съд. Направено е особено искане за спиране на производството по делото поради наличие на преюдициално запитване до Съда на ЕС. По тези и други съображения, подробно изложени в касационната жалба, моли да се обезсили, евентуално да се отмени съдебното решение и вместо него да се отхвърли жалбата срещу отказа от предоставяне на лични данни. Претендира разноски. Ответникът - Ю. С. Б. от гр. Видин, чрез адвокат Георгиев, в писмен отговор изразява становище за неоснователност на касационната жалба. Претендира разноски. Представителят на Върховна касационна прокуратура изразява мотивирано становище за неоснователност на касационната жалба. При постановяване на решението е извършена правилна преценка на доказателствата и относимите правни норми, което е довело и до правилен и обоснован правен извод за отмяна на отказа. Отправеното по електронен път от Ю. Б. искане за предоставяне от „Вива Кредит“ АД на лични данни има характер на заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в от ЗЗЛД, респективно по смисъла на чл. 15 от Регламент 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. Касаторът като администратор по чл. 4, т. 7 от Регламента е длъжен съгласно чл. 12 и чл. 15 от същия да предприема необходимите мерки за предоставяне на субекта на данните на всякаква информация, която се отнася до обработването на същите в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Както е приел Административен съд - Видин по реда на чл. 12, § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (ОРЗД), във връзка с чл. 30 от АПК е могло да бъдат отстранени неяснотите и нередовностите в искането. Не са били налице и предпоставките за отказ от предоставяне на данните по чл. 37а, ал. 1 от ЗЗЛД, съгласно който администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 - 22 от Регламента и да не изпълни задължението си по чл. 34 от същия, когато упражняването на правата или изпълнението на задължението би създало риск за националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания и др. предпоставки, които в случая не са налице. Касационната жалба е допустима, като подадена от надлежна страна, при спазване на срока по чл. 211, ал. 1 от АПК и срещу подлежащ на оспорване съдебен акт. Разгледана по същество е основателна. Първоинстанционното решение е недопустимо – касационно основание по чл. 209, т. 2 от АПК, постановено по жалба срещу акт, който не подлежи на оспорване, при липса на годен за оспорване административен акт – по чл. 159, т. 1 от АПК. Визираният в жалбата до Административен съд - Видин и в съдебното решение отказ (приет от съда като изричен, обективиран с писмо от „Вива Кредит“ АД) не представлява административен акт – властническо волеизявление по смисъла на чл. 21, ал. 1 - 4 от АПК, не е годен да породи правни последици, не засяга законни права и интереси на адресата му, поради което подадената срещу него жалба е недопустима. Правилно възразява касаторът, че чл. 15 от ОРЗД (Общ регламент относно защитата на данните - Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО ) защитава правото на физическото лице да получи достъп до личните данни, които се обработват за него и до сведения относно обработката им. Когато обаче молбата е насочена конкретно към получаване на договорни текстове, предметът не е упражняване на общото право на достъп, което защитава ОРЗД, а искане за договорна документация и информация, уредено по друг специален гражданскоправен ред. Дружеството – касатор „Вива Кредит“ АД действително има качеството на администратор на лични данни, ангажиран с обработката и съхранението на личните данни на лицата, с които сключва договори за заем (в случая с ответника Б.), но едновременно с това дружеството като страна по гражданското правоотношение е обвързано с права и задължения произтичащи от гражданскоправните разпоредби, уреждащи сключването на договор за заем, също така от явяващия се в случая специален закон – Закон за потребителския кредит (ЗПК) и други нормативни актове. Необходимо е ясно дефиниране и разграничение на нормативните изисквания, уреждащи тези правоотношения, както и отграничаването им от изискванията на ЗЗЛД и Регламент 2016/679 – ОРЗД, които касаят и уреждат стриктно изискванията по отношение на защитата на личните данни, свързани с и произтичащи от упражняването на дейността на дружеството-касатор. С обжалваното решение Административен съд - Видин е отменил изричен отказ на „Вива Кредит“ АД, обективиран в писмо от 12.08.2025 г. по искането на Ю. Б. от 11.08.2025 г., за предоставяне на копия от всички договори за кредит, между страните, включително общи условия, анекси, допълнителни споразумения и погасителни планове към тях, както и справки за извършените плащания по всеки от договорите. За да постанови този резултат съдът е приел, че „Вива Кредит“ АД - администратор на лични данни, е бил сезиран от жалбоподателя Б. с писмено заявление по чл. 37б от ЗЗЛД, подадено по електронен път, което заявление е в нормативно изискуемата форма, реквизити и съдържание, и е съобразено с изискванията на чл. 37в от ЗЗЛД. Съгласно относимата към процесния случай разпоредба на чл. 37б, ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 - 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Съгласно чл. 37б, ал. 2 от ЗЗЛД, заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. Според чл. 37б, ал. 3 от ЗЗЛД, заявление може да се подаде и чрез действия в потребителския интерфейс на информационната система, която обработва данните, след като лицето е идентифицирано със съответните за информационната система средства за идентификация. Съгласно чл. 37в, ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция. При подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното. Според изключението предвидено в чл.37а, ал.1 от ЗЗЛД, администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 - 22 от Регламент (ЕС) 2016/679, както и да не изпълни задължението си по чл. 34 от Регламент (ЕС) 2016/679, когато упражняването на правата или изпълнението на задължението би създало риск за: 1. националната сигурност; 2. отбраната; 3. обществения ред и сигурност; 4. предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; 5. други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; 6. защитата на независимостта на съдебната власт и съдебните производства; 7. предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; 8. защитата на субекта на данните или на правата и свободите на други лица; 9. изпълнението по гражданскоправни искове. Съгласно чл. 37а, ал. 2 от ЗЗЛД, условията и редът за прилагане на ал.1 се определят със закон и в съответствие с чл. 23, параграф 2 от Регламент (ЕС) 2016/679. Производството пред Административен съд - Видин е образувано по жалба на Ю. С. Б. против изричен отказ, обективиран в писмо от 12.08.2025 г., за предоставяне на копие от договори за паричен заем, ведно със съпътстващи документи и справка за изплатени суми, съдържащи лични данни по молба до "Вива кредит" АД, от 11.08.2025 г. Както е установил първоинстанционният съд от доказателствата, на 11.08.2025 г. Ю. Б., чрез пълномощника си, е подал по електронен път молба до "Вива Кредит" АД, с която е поискал от дружеството да му предостави копия от всички договори за кредит, по които е страна Б., включително общи условия, анекси, допълнителни споразумения и погасителни планове към тях, както и справки за извършените плащания по всеки от договорите. В молбата е посочено, че искането се прави с оглед Закона за потребителския кредит и във връзка със специалната закрила по Закона за защита на потребителите. В нея е заявен електронен адрес за изпращането на документите и към нея е приложено пълномощно за адвокат. Писмото е подписано с електронен подпис от адвоката. Молбата е изпратена на "Вива Кредит" АД на електронния адрес на дружеството. С писмо от 12.08.2025 г. на изпълнителния директор на дружеството, не се оспорва, че жалбоподателят е бил клиент на дружеството. Посочено е обаче, че искането на Б. за предоставяне на копие от сключените договори за паричен заем не може да му бъде предоставено, поради това, че като страна по всяко договорно правоотношение е получил екземпляр / копие от същия и няма законово основание за дружество "Вива Кредит" АД за повторно предоставяне на копие. В частта относно предоставянето на погасителни планове, справки за извършените плащания и други документи е счетено, че такива също няма как да му бъдат предоставени, тъй като към момента на искането той няма действащ договор, по който те да са длъжни да му предоставят извлечение. Посочва се също, че на основание чл. 11, ал. 1 и чл. 12 във връзка с ал. 3 от ЗПК, клиент има право във всеки един момент на договора да изисква да му бъде предоставено безвъзмездно извлечение по сметка под формата на погасителен план за извършените и предстоящите плащания, но тъй като такъв в момента няма действащ и информация не се дължи. Отговорът е изпратен на електронния адрес на адвокат Георгиев. Видно от Писмо изх.№ ППН-01-1668#1/03.10.2025 г. от председателя на Комисията за защита на личните данни (КЗЛД) във връзка със служебно изисканата информация на основание чл. 39, ал. 4 от ЗЗЛД, след направена справка на 02.10.2025 г. не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от Ю. С. Б. срещу "Вива Кредит" АД. Представено от страна на "Вива Кредит" АД, чрез процесуалния им представител е заверено копие от Политика за личните данни на "Вива Кредит" АД, което е прието като доказателство по делото. В представената по делото Политика за личните данни има изричен ред за предоставянето на такива, като има и различен електронен адрес, на който те могат да бъдат поискани. Според „Вива Кредит“ АД подаденото искане за предоставяне на копия от документи не е подадено като такова по смисъла Регламент /ЕС/2016/679, тъй като съобразно посочената политика тези искания се подават на друг електронен адрес. А поради това, че между страните няма действащ договор, то и отказът да му бъдат предоставени допълнителни документи е съобразен с разпоредбите на закона. Съдът приел, че така описаната фактическа обстановка се доказва от събраните писмени доказателства, между които няма противоречие и си кореспондират. При така установената фактическа обстановка Административен съд - Видин, намира жалбата за допустима и основателна. Жалбата е приета за допустима, на основание чл. 39, ал. 1 от ЗЗЛД, който предвижда, че при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. Съдът е приел за безспорно и установено от доказателствата по делото, че между "Вива Кредит" АД и Ю. Б. е било налице облигационно правоотношение по силата на сключени договори за потребителски кредити, като задълженията по тях са погасени. Не е спорно също така и че към момента на подаване на молбата за предоставяне на копия от договорите и справки от страна адв. Георгиев, като пълномощник на Б., между страните няма действащ такъв договор. Съдът приел за безспорно също, че жалбоподателят е субект, чийто лични данни са обработвани от „Вива Кредит“ АД, и съответно има право на достъп до обработваните от администратора лични данни съгласно член 15 от Регламент /ЕС/ 2016/679. Безспорно е установено и обстоятелството, че "Вива Кредит" АД е "администратор" на лични данни, съдържащи се в сключените между страните договори. "Вива Кредит" АД попада в хипотезата на определението по чл. 4, т. 7 от Регламент /ЕС/ 2016/679 Общ регламент за защита на личните данни /ОР3Д/, предвиждащ, че "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Според Административен съд - Видин, не се установява наличие на отрицателната предпоставка за съдебно оспорване на акт от вида на процесния, по чл. 39, ал. 4 от ЗЗЛД, тъй като съгласно писмо изх. №ППН-01-1668#1/03.10.2025 г. от председателя на КЗЛД, към тази дата не е налице висящо производство пред комисията със същия спор между страните или нейно решение относно същото нарушение да е обжалвано и няма влязло в сила решение на съда. В настоящия случай безспорно се установява от първоинстанционния съд, че Ю. С. Б., чрез адв. Л. Георгиев, е депозирал по електронен път писмено заявление по чл. 37б от ЗЗЛД до администратора на лични данни "Вива Кредит" АД при спазване на посочения в нормата ред, което заявление според съда отговаря на изискванията на чл. 37в от ЗЗЛД. Административният съд приел, че макар и да не са изрично цитирани нормите на чл. 37б и чл. 37в от ЗЗЛД, то отправената молба има изискуемото съдържание на такова заявление. Съгласно чл. 37в, ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, като при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното (чл. 37в, ал. 2 от ЗЗЛД). Съдът приел, че в настоящия случай оспорващият е изпълнил това законово изискване и е подал надлежна молба до ответника на 11.08.2025 г., която има характер на заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в ал. 1 от ЗЗЛД, както и към същата е приложено пълномощно съобразно разпоредбата на чл. 37в, ал. 2 от ЗЗЛД. Тоест молбата представлява надлежно основание за предоставяне на исканите лични данни. При това положение и с оглед цитираните по-горе разпоредби, според Административен съд - Видин, администраторът е бил длъжен да предостави копие от личните данни на субекта, но от съдържанието на процесния акт е видно, че изисканата информация не е била получена. Предвид така изложеното, съдът намерил отказа на ответника да удовлетвори искането за постановен в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, §1, б. "а" от Регламента - принципите на законосъобразност, добросъвестност и прозрачност. Съдът е счел, че доколкото Б. се явява субект на данни, който извод се извлича от съществувалите между него и ответното дружество облигационни правоотношения, обективирани в сключени договори за паричен заем, то при наличието на надлежно сезиране от легитимирано лице, за „Вива Кредит“ АД като администратор на лични данни би следвало да възникне нормативно установено задължение да се произнесе в срока по чл. 12, §3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (ОРЗД, Регламента). Не са налице данни за удължаване на срока по чл. 12, §3 от Регламента. В случая такова надлежно сезиране обаче не е налице, по което да бъде формирано съответното произнасяне от „Вива Кредит“ АД, в качеството му на администратор на лични данни. Не се установява условието по чл. 6, §1, б. "б" от Регламент 2016/679, в който е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, тъй като към момента на подаване на заявлението, Б. вече не е бил страна по договор действащ и подлежащ на изпълнение. Искани са копия от минали договори, чието изпълнение е приключило. Съдът е приел за безспорно установено, че ответното дружество е администратор на лични данни и като такъв обработва лични данни, и след като не се е произнесъл по същество по заявлението на Б., съдържащо конкретно формулирани искания, то „Вива Кредит“ АД не е спазил разпоредбите на чл. 12, параграфи 1, 2, 3, и 4, във връзка с чл. 15 и чл. 12 от Регламента. Административен съд - Видин е достигнал до извод, че в процесния случай не са налице предпоставките за отказ от предоставяне, конкретно посочени в чл. 37а, ал. 1 ЗЗЛД. Според съда в случая дружеството касатор като администратор на лични данни е било сезирано с конкретни искания, по които дължи произнасяне, а отказът обективиран с писмо до заявителя да получи достъп до данни по реда на чл. 15 и чл. 20 ОРЗД е нарушение на основните принципи за обработка на личните данни, предвидени в чл. 5, §1, б.“а“ от ОРЗД. Съгласно член 5 от Регламент ЕС/2016/679 (ОРЗД), „Принципи, свързани с обработването на лични данни“, 1. Личните данни са: a) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“); б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“); в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“); г) точни и при необходимост да бъдат поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват („точност“); д) съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в настоящия регламент с цел да бъдат гарантирани правата и свободите на субекта на данните („ограничение на съхранението“); е) обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“); 2. Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“). Съгласно член 6 от Регламент ЕС/2016/679 (ОРЗД), „Законосъобразност на обработването“: 1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия: a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели; б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор; в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора; г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи. 2. Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX. 3. Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от: a) правото на Съюза или б) правото на държавата членка, което се прилага спрямо администратора. Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент, общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел. 4. Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, като се взема под внимание: a) всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване; б) контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора; в) естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10; г) възможните последствия от предвиденото по-нататъшно обработване за субектите на данните; д) наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация. При извършената служебна проверка по реда на чл. 218, ал. 2 от АПК настоящият съдебен състав намира, че обжалваното съдебно решение е недопустимо. В случая съдът е бил сезиран с жалба срещу изричен отказ на „Вива Кредит“ АД да предостави исканите лични данни по заявление. Видно от жалбата до съда и доказателствата по делото, изпратеното до „Вива Кредит“ АД заявление е такова по чл. 15 от Регламент (ЕС) 2016/679 и чл. 37б, ал. 1 от ЗЗЛД. Съгласно Раздел 2, Член 15 от Регламент ЕС/2016/679 (ОРЗД) – „Право на достъп на субекта на данните“: 1. Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните. 2. Когато личните данни се предават на трета държава или на международна организация, субектът на данните има право да бъде информиран относно подходящите гаранции по член 46 във връзка с предаването. 3. Администраторът предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго. 4. Правото на получаване на копие, посочено в параграф 3, не влияе неблагоприятно върху правата и свободите на други лица. Предвидена е и възможността по Раздел 3, член 20 от Регламент ЕС/2016/679 (ОРЗД) – „Право на преносимост на данните“ - 1. Субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: a) обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и б) обработването се извършва по автоматизиран начин. 2. Когато упражнява правото си на преносимост на данните по параграф 1, субектът на данните има право да получи пряко прехвърляне на личните данни от един администратор към друг, когато това е технически осъществимо. 3. Упражняването на правото, посочено в параграф 1 от настоящия член не засяга член 17. Посоченото право не се отнася до обработването, необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. 4. Правото, посочено в параграф 1, не влияе неблагоприятно върху правата и свободите на други лица. Искането е за предоставяне на копия от всички договори за кредит, между страните, включително общи условия, анекси, допълнителни споразумения и погасителни планове към тях, както и справки за извършените плащания по всеки от договорите. Според чл. 37б, ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 - 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. В заявлението на Ю. Б. липсва съдържание, съответно на правото на субект на данни по смисъла на ОРЗД. В този смисъл заявлението не съдържа волеизявление на физическо лице, което в качеството му на субект на данни търси защита на свое право, регламентирано в ОРЗД, а представлява изявление на страна по договори за заем, т.е. на страна по облигационно правоотношение, което касае отношения между частно-правни субекти (длъжник-кредитор), и е извън сферата на административните правоотношения. В този смисъл се налага извод, че „Вива Кредит“ АД не е сезирано от жалбоподателя Б. с писмено заявление по чл. 37б от ЗЗЛД, т.е. не е налице надлежно сезиране на администратор на лични данни от легитимирано лице, по реда и при условията на ЗЗЛД и ОРЗД. Следва да се отбележи, че в случая не се касае за упражняване право на субект на данни по смисъла на чл. 15, §3 изречение първо ОРЗД, с цел, различна от тази, посочена в съображение 63 от Регламента. Както се посочи по-горе в случая липсва каквото и да е искане, свързано с лични данни, а искането за предоставяне на копие от всички договори за паричен заем сключени с Ю. Б., каквото фигурира в процесното заявление, не представлява искане за предоставяне на копие от лични данни, съдържими в определени документи, в каквато хипотеза субекта на данни може да упражни правата си по чл. 15 - чл. 17 ОРЗД. Съгласно съображение 63 от Регламент ЕС/2016/679 (ОРЗД), всяко физическо лице следва да има право на достъп до събраните лични данни, които го засягат, и да упражнява това право лесно и на разумни интервали, за да бъде осведомено за обработването и да провери законосъобразността му. Това включва правото на субектите на данни на достъп до данните за здравословното им състояние, например данните в медицинските им досиета, които съдържат информация като диагнози, резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции. Поради това всеки субект на данни следва да има правото да е запознат и да получава информация, по-специално относно целите, за които се обработват личните данни, когато е възможно — срока, за който се обработват личните данни, получателите на личните данни, логиката на автоматизираното обработване на личните данни и последствията от такова обработване, най-малкото когато се извършва на основата на профилиране. Когато е възможно, администраторът следва да може да предоставя достъп от разстояние до сигурна система, която да предоставя на субекта на данните пряк достъп до неговите лични данни. Това право не следва да влияе неблагоприятно върху правата или свободите на други лица, включително върху търговската тайна или интелектуалната собственост, и по-специално върху авторското право за защита на софтуера. Тези съображения обаче не следва да представляват отказ за предоставяне на цялата информация на съответния субект на данни. Когато администраторът обработва голямо количество информация относно субекта на данни, администраторът следва да може да поиска от субекта на данните, преди да бъде предадена информацията, да посочи точно информацията или дейностите по обработването, за които се отнася искането. В случая основателно е възражението на касатора, че направеното искане е твърде общо, обхваща голям и не точно определен брой документи, без конкретизация и без да се вземе предвид, че някои от тях не съдържат лични данни, и/или представляват относими към гражданскоправните (облигационни) отношения между касатора и ответника по сключените от тях и приключени договори за заем. При липса на заявление по смисъла на чл. 37б от ЗЗЛД, за упражняване право по чл.15 - 22 от Регламента, не може да се формира отказ на администратор на лична данни (изричен или мълчалив), който да подлежи на оспорване по реда на АПК. Жалба против липса на волеизявление на страна по облигационно правоотношение, по отправено искане от другата страна по правоотношението е недопустима поради липса на годен за оспорване административен акт по смисъла на чл. 159, т. 1 от АПК. Предвид изложеното, настоящият съдебен състав на Върховния административен съд намира, че съдебното решение, трябва да бъде обезсилено, като недопустимо, а образуваното съдебно производство да се прекрати. В аналогичен смисъл е решение № 2521/09.03.2026 г. по адм. дело № 9536/2025 г. на ВАС, Пето отделение. Касационният състав намира, че предвид мотивите и произнасянето в касационното решение, следва да се остави без уважение искането за спиране на настоящото съдебно производство. С оглед на така установеното, че производството по първоинстанционното дело и пред касационната инстанция, се е развило по жалба срещу акт, който не подлежи на оспорване по реда на АПК, и като такова е недопустимо и следва да бъде прекратено, настоящият състав намира, че в случая не са налице предпоставките по чл. 229, ал. 1, т. 4 от ГПК във връзка с чл. 144 от АПК за спиране на производството по настоящето дело. Образуваното пред Съда на Европейския съюз дело № С-676/2025 г. няма да има значение за правилното решаване на спора по настоящото производство, тъй като то не касае действия, извършени от „Вива Кредит“ АД в качеството му на администратор във връзка с обработване на лични данни на жалбодателя Б.. В случая е оспорен отказ по искане във връзка с приключени договори за заем между касатора и ответника, формулирано като такова по ЗПК, във връзка с минали гражданскоправни облигационни правоотношения между страните. Следователно, в производството по настоящето дело се оспорва акт, който не представлява отказ от предоставяне на лични данни подлежащ на оспорване по реда на чл. 39, ал. 1 от ЗЗЛД, при което не е налице отношение на преюдициалност към настоящия момент на изхода от образуваното пред СЕС дело и резултатът по настоящото производство. Ето защо искането за спиране на производството по делото следва да бъде оставено без уважение, като неоснователно. На касационния жалбоподател следва да се присъдят разноски: за първоинстанционно производство – претендираното юрисконсултско възнаграждение в размер на 76,69 евро (150 лева); за касационната инстанция – за държавна такса от 189,18 евро (370 лева) и държавна такса за възпроизвеждане на заверени преписи на основание чл.360 з, ал. 8 от ЗСВ във връзка с т.19, б.“г“ и „д от Тарифа №1 към Закона за държавните такси, за таксите събирани от съдилищата, прокуратурата, следствените служби и Министерство на правосъдието, в размер от 6,53 евро (12.77 лева), общо разноски в размер на 272, 40 евро. Така мотивиран, Върховният административен съд, състав на пето отделение