Решение № 9739 от 07.10.2026 г. на ВАС по адм. д. № 2703/2026 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на „Сити кеш“ООД, чрез процесуален представител, срещу решение №1943/15.12.2025г. постановено по адм. дело №320/2024г. на Административен съд-Ловеч /АС-Ловеч/. Касаторът навежда доводи за недопустимост, евентуално неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост – отменителни основания съгласно чл.209, т.2 и т.3 от АПК. Съображения излага в касационната жалба. Моли решението да обезсилено, евентуално отменено. Претендира разноски. Ответникът – Л. П. М., не изразява становище по касационната жалба. Не претендира разноски. Касационната жалба е процесуално допустима като подадена от надлежна страна и в срока по чл.211, ал.1 от АПК. Разгледана по същество е основателна. С обжалваното решение АС-Ловеч е отменен мълчалив отказ и последващ изричен отказ на „Сити кеш“ООД,, формиран по искане от 15.05.2024г., подадено от Л. П. М., и искането е върнато на „Сити кеш“ООД за произнасяне при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с решението, като на осн. чл.174 АПК е определен 14-дневен срок от влизане в сила на съдебното решение. За да постанови този резултат съдът е приел, че предмет на съдебен контрол е обжалваният мълчалив отказ и постановения след изтичането на месечния срок съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (ОРЗД, Регламента) изричен отказ на администратора на лични данни, за предоставяне на информация на Л. М. относно това дали неговите лични данни са обработвани от дружеството, както и целите на обработването, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са обработвани, включително носителите на тези лични данни /договор за заем, искания за кредит и други/. Съдът е счел, от съдържанието на отговора на заявеното право следва, че се отказва предоставяне на поисканата информация от М., а съдебното производство съобразно разпоредбите на чл.58, ал. и чл.172, ал.3 АПК продължава по оспорването на изричен отказ. По същество АС-Ловеч е приел, че подаденото от М. искане от 15.05.2024г. е във вр. с упражняване правата по ОРЗД, като в случая обработването на лични данни е станало по повод възникнало правоотношение между администратора и субекта на данни- сключени договори за кредит, и именно тези договори се явяват носители на информация за обработваните лични данни по см. на чл.15, §1 ОРЗД. Според съда отказът на заявителя М. да получи достъп до данни по реда на чл.15, §1 ОРЗД е нарушение на основните принципи за обработка на личните данни, предвидени в чл.5, §1, б.“а“ ОРЗД, като приложение намира и чл.5 ОРЗД, а както мълчаливият, така и изричният отказ е нарушение на принципа за прозрачност в дейността на администратора на лични данни. Съдът е достигнал до извод, че с отказа /мълчалив и последващ изричен отказ/ на администратора на лични данни, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя чл.14 §1, б.“в“ от Регламента, и в тази смисъл ответника е лишил жалбоподателя и от „правото на защита на личните данни“, което му се предоставя с чл.8, §1 от ХОПЕС, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване задължението на администратора за осигуряване защита на тези данни, така че да се гарантира тяхното законосъобразно обработване в съответствие с принципите, определени в чл.5 от Регламента., и възпрепятства правото му по чл.8, §2 от ХОПЕС. При извършената проверка по реда на чл.218 АПК настоящият съдебен състав намира, че обжалваното съдебно решение е валидно и допустимо, но постановено при допуснато съществено нарушение на съдопроизводствените правила. В конкретния казус съдът е бил сезиран от М. с жалба срещу мълчалив отказ на „Сити кеш“ООД, по негово искане от 15.05.2024г., отправено чрез пълномощник адв. Р. Георгиев, дружеството в качеството на администратор на лични данни да предостави информация относно това дали личните данни на М. са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, включително носителите на тези лични данни /договори за заем, искания за кредит и др./. Поискано е договорите да бъдат предоставени за извършване проверка на обработваните лични данни, както и да бъдат изпратени на електронна поща. На 26.09.2025г. - след изтичане на едномесечния срок по чл.12, §3 ОРЗД, до субекта на данни е изпратено писмо на посочената електронна поща на неговия пълномощник адв. Р. Георгиев, което писмо е подписано с електронен подпис от П. Л. - длъжностно лице по защита на личните данни при „Сити кеш“ООД С определение №1406 от 28.08.2025г. съдът е конституирал като жалбоподател Л. П. М. и ответник в съдебното производство – „Сити кеш“ООД. Производството по делото е приключило след едно проведено на 17.11.2025г. ОСЗ при така конституираните страни. При неизяснен издател на оспорения акт, предвид изложеното от оспорващия в жалбата, че предмет на оспорване е мълчалив отказ, а след изразеното в становище от 24.10.2025г.- и частичен изричен отказ на „Сити кеш“ООД, обективиран в посоченото по-горе писмо, с искане за неговата отмяна, без да изпълни задълженията си по чл.158 АПК, съдът е приключил съдебното дирене и постановил решение без да установи издателя на оспорения акт и съответно да конституира надлежна страна в процеса във вр. със заявения от М. предмет на оспорване. По делото не е спорно, че „Сити кеш“ООД е администратор на лични данни по см. на чл.4 т.7 ОРЗД, но процесното писмо не е подписано от представляващия това юридическо лице, нито от друго лице в хипотеза на изрично прехвърляне на компетентност от администратора на лични данни по см. на ОРЗД. Не се установява от доказателствата по делото длъжностното лице по защита на личните данни по см. на Раздел 4, чл.37-чл.39 ОРЗД да разполага с компетентност да издава актове от името на администратора на лични данни по реда на Регламента, а това означава, че съдът е конституирал „Сити кеш“ООД като страна в съдебното производство, без това юридическо лице в качеството му на администратор на лични данни да е издател на оспорения пред първоинстанционния съд акт, който издател притежава процесуалната легитимация на страна в процеса. Предвид изложеното обжалваното решение на АС-Ловеч трябва да бъде отменено, а делото върнато за ново разглеждане от друг състав на същия съд, който след като изпълни задълженията си по чл.158 АПК вр. чл.154 АПК установи кой е оспорения от Л. П. М. акт, кой е издателя на оспорения акт, редовна и допустима ли е жалбата, като евентуално конституира надлежните страни в процеса и разгледа акта, предмет на оспорване в настоящия казус (съобразявайки разпоредбата на чл.172, ал.3 АПК), за законосъобразност по реда на чл.168, ал.1 АПК на всички основания по чл.146 АПК. При този изход на спора не се възлагат разноски за производството пред настоящата инстанция. Възлагането им следва да бъде осъществено съгласно чл.226, ал.3 АПК при новото разглеждане на делото. По изложените съображения и на основание чл.221, ал.2, предложение последно вр. чл.222, ал.2, т.1 АПК, Върховният административен съд, състав на пето отделение