Решение № 13344 от 22.12.2025 г. на ВАС по адм. д. № 7792/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на "Кредирект" ЕООД, чрез процесуалния си представител, срещу решение 5052 от 04.06.2025 г. по адм. дело 490/2025 г. на Административен съд - Пловдив. Касационният жалбоподател поддържа, че обжалваното решение е неправилно поради постановяването му в противоречие с материалния закон, в нарушение на съдопроизводствените правила и е необосновано - касационни основания за отмяна по чл. 209, т. 3 АПК. Иска да се отмени и се отхвърли първоначалната жалба на М. В. Г. срещу обжалвания отказ. Претендира присъждане на направените разноски по делото. Ответникът по касационната жалба - М. В. Г., чрез пълномощника си, представя писмен отговор, в който изразява становище, че обжалваното решение е правилно, не са налице сочените касационни основания за отмяната му и следва да се остави в сила. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намери, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното: С обжалваното решение АС - Пловдив е отменил отказа на "Кредирект" ЕООД, обективиран в съобщение от 10.03.2025 г., изпратено по електронната поща, да предостави информация за обработваните лични данни на М. В. Г., ведно с копие на носителите на тези лични данни договори за потребителски кредит, сключен между М. Г. и "Кредирект" ЕООД, за периода от 22.01.2022 г. до 22.01.2025 г. в заявената форма за получаване и на посочения от лицето адрес. Съдът е установил от фактическа страна, че на 10.02.2025 г. М. Г. е подала молба с вх. 2615 до "Кредирект" ЕООД, на основание член 15 и член 20 от Регламент (ЕС) 2016/679, в качеството й на субект, на когото се обработват лични данни, да й бъдат предоставени копия от всички договори за потребителски кредит, сключени между нея и "Кредирект" ЕООД в периода 22.01.2022 г. до 22.01.2025 г. Изрично в искането било посочено и желанието да й бъдат предоставени и копия от тези договори, а алтернативно, на основание член 20 от Регламент (ЕС) 2016/679, в случай че не може да се предостави тази информация, то това да бъде сторено на основание чл. 11, ал. 1, т. 12 от Закона за потребителския кредит. Посочен е адрес, на който да бъдат предоставени договорите. На 10.03.2025 г. до жалбоподателката (сега касационен ответник) е изпратен по електронната поща отговор от "Кредирект" ЕООД, с който е уведомена за категорията на обработваните лични данни, целта на обработване, категориите получатели на личните данни и условията за разкриване на личните данни, както и срока за съхранение на личните данни. Към отговора е представено и Приложение 1, в което са посочени личните й данни, които са предмет на обработване във връзка с кредитните взаимоотношения с доставчика на финансови услуги. Относно искането за предоставяне на копия от сключените договори, в отговора от 10.03.2025 г. администраторът на лични данни е заявил следното: " Вие имате право да получите от нас само данните, които сте ни предоставили и ние обработваме по автоматичен начин, като изрично посочите новия Администратор, на който същите заявявате да бъдат предадени. С оглед на изричното искане за получаване на материалния субстрат на документите, Ви информираме, че предмет на право на достъп са само данни, които се обработват по автоматичен начин и се прехвърлят по същия начин на новия Администратор. По искането на основание на чл. 11, ал. 1, т. 12 ЗПК е отговорено, че същото е извън обхвата на заявено право на достъп. Посочено е, че Общите условия по договорите за кредит не съдържат лични данни и в тази връзка не са в обхвата на заявеното от субекта на данни право. В писмения отговор е отразено, че е от длъжностното лице по защита на данните П. Л.. Съдът е обсъдил подробно приложимите разпоредби от Регламент (ЕС) 2016/679 и въз основа на направения анализ е приел от правна страна, че за "Кредирект" ЕООД, в качеството му на администратор на лични данни, е налице задължението по член 15, параграф 3 от Регламент (ЕС) 2016/679 да предостави на субекта на данните копие от поисканите лични данни, съдържащи се в съставените договори за кредит, сключени в периода 22.01.2022 г. до 22.01.2025 г., в заявената форма за получаване и на посочения от лицето адрес за кореспонденция. Поради това е отменил обжалвания акт и изпратил преписката на административния орган за ново разглеждане. Решението е неправилно поради постановяването му в нарушение на съдопроизводствените правила и неправилно приложение на материалния закон. Съдът правилно е приел, че "Кредирект" ЕООД е администратор на лични данни по смисъла на член 4, параграф 7 от Регламент (ЕС) 2016/679, до който е адресирано искането на субекта на данни, при упражняване на правата му по член 15 ОРЗД и в този контекст правилно е идентифицирал същия като надлежна ответна страна в процеса. Издаденият от името на "Кредирект" ЕООД акт в отговор на заявлението на субекта на данни индивидуализират титуляря, но не и автора на акта, което не позволяват да се прецени притежаваната от него представителност да издаде същия. Оспореният акт е изпратен по електронен път. Съгласно чл. 4 от Закона за електронния документ и електронните удостоверителни услуги, автор на електронното изявление е физическото лице, което в изявлението се сочи като негов извършител. Титуляр на електронното изявление е лицето, от името на което е извършено електронното изявление. За валидността и правнообвързващото действие на изявлението от името на администратора на лични данни е необходимо същото да бъде подписано с електронен подпис. Този извод следва от правилото по чл. 59, ал. 2, т. 8 АПК, което намира приложение във връзка с преценката за законосъобразност на акта на основанията по чл. 146, т. 1- 5 АПК. В чл. 59, ал. 2, т. 8 АПК е предвидено, че актът следва да съдържа подпис на лицето, издало акта с означаване на длъжността му. Подписването на акта удостоверява завършеност на волеизявлението на неговия автор и на самия акт. В случая в изпратения отговор е посочен като автор длъжностното лице по защита на данните, без да се съдържа подпис. Липсата на този съществен реквизит води до невъзможност за установяване, че актът е издаден от компетентния орган, респ. от лице, което разполага с необходимата представителна власт, а липсата на материална и/или персонална компетентност на издателя обуславя нищожност на издадения акт, която подлежи на обявяване от съда. Член 12, параграф 1 ОРЗД сочи, че администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. От разпоредбата е видно, че информацията следва да се предостави от администратора на данни по достъпен начин, който не е подчинен на конкретни изисквания за форма. Това обстоятелство обаче не означава, че актът не следва да отговаря на общите изисквания за авторство и съдържание, с оглед установяване материалноправното съдържание на волеизявлението на администратора на лични данни, в т. ч. и неговата автентичност. На следващо място, дори ако се приеме, че отговорът е изготвен от длъжностното лице по защита на данните и изпратен от името на администратора на данни, съдът не е обсъдил статуса на длъжностното лице и неговите правомощия. В тази връзка съдът не е анализирал възможността длъжностното лице по защита на данните да действа от името на администратора на лични данни, с оглед функциите и задачите на същото, регламентирани в член 37 - 39 от Регламент (ЕС) 2016/679 и условието да не се допуска конфликт на интереси с евентуални други задачи и задължения, възлагани от администратора на лични данни. Съгласно член 37, параграф 1, 5 и 6 от Регламент (ЕС) 2016/679 администраторът на лични данни определя длъжностното лице по защита на данните въз основа на неговите професионални качества, и по-специално въз основа на експертните му познания в областта на законодателството и практиките в областта на защитата на данните и способността му да изпълнява задачите, посочени в член 39. Длъжностното лице по защита на данните може да бъде член на персонала на администратора или на обработващия лични данни или да изпълнява задачите въз основа на договор за услуги. Администраторът и обработващият лични данни правят необходимото длъжностното лице по защита на данните да не получава никакви указания във връзка с изпълнението на тези задачи. В член 38 от Регламента е предвидено, че длъжностното лице по защита на данните не може да бъде освобождавано от длъжност, нито санкционирано от администратора или обработващия лични данни за изпълнението на своите задачи, с което се гарантира неговата автономност спрямо администратора на лични в тази сфера на дейността му. Субектите на данни могат да се обръщат към длъжностното лице по защита на данните по всички въпроси, свързани с обработването на техните лични данни и с упражняването на техните права съгласно настоящия регламент. В тези случаи длъжностните лица по защита на данните комуникират пряко със субектите на данни, действайки от свое име по силата на длъжността, която изпълняват. Функциите и задачите на длъжностното лице са очертани в параграф 39 ОРЗД и те са: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. В член 38, параграф 6 ОРЗД е предвидено, че длъжностното лице по защита на данните може да изпълнява и други задачи и задължения. Администраторът или обработващият лични данни прави необходимото тези задачи и задължения да не водят до конфликт на интереси. В Насоки за длъжностните лица по защита на данните, приети на 13 декември 2016 г., последно преразгледани и приети на 5 април 2017 г. от Работната група, създадена в съответствие с член 29 от Директива 95/46/ЕО, по отношение изпълнението на задачите от длъжностното лице по защита на данните е посочено, че същото следва да действа независимо, за което са предвидени няколко гаранции в член 39 от Регламент (ЕС) 2016/679: -не се дават указания от страна на администраторите или обработващите лични данни по отношение на изпълнението на задачите на ДЛЗД; -не се допуска освобождаване от длъжност от страна на администратора във връзка с изпълнението на задачите на ДЛЗД; -не се допуска конфликт на интереси с евентуални други задачи и задължения. Изискването другите задачи и задължения на ДЛЗД да не водят до конфликт на интереси означава, че ДЛЗД не може да заема длъжност в рамките на организацията, която ще го задължава да определя целите и средствата за обработването на лични данни. Като такива длъжности се приемат висшите ръководни длъжности, които имат отношение към управление и представителство, включително процесуално представителство. Също така ДЛЗД не носят лична отговорност в случай на неспазване на изискванията за защита на данните. Функциите на ДЛЗД в обобщение се заключават в експертно подпомагане на администратора на лични данни. Администраторът или обработващият лични данни е този, който е длъжен да гарантира и да бъде в състояние да докаже, че обработването се извършва в съответствие с този регламент. Спазването на разпоредбите за защита на данните е отговорност на администратора или обработващия лични данни, същият е страна в правоотношенията със субекта на данни и съответно носи отговорност при нарушения на правилата за законосъобразно обработване на личните данни. Изложеното сочи, че длъжностното лице по защита на данните при изпълнение на задачите си е независимо от администратора на лични данни и не представлява последния. Нормативният регламент на задачите и функциите на ДЛЗД изключва възможността администраторът на лични данни да оправомощи ДЛЗД да издава актове от негово име, включително по заявления на субектите на данни при упражняване на правата им по член 15 от Регламента. Вписването на длъжностното лице по защита на личните данни в публичния регистър по ЗЗЛД към КЗЛД не представлява акт по прехвърляне на компетентност и не създава такава по смисъла на ОРЗД. Задължено лице да отговори по заявлението на субекта на данни по член 15 от Регламента е администраторът на лични данни, съответно той е компетентният орган да се произнесе с изискуемия акт по заявления/искания от субект на данни за упражняване на права по посочения текст от ОРЗД. Предвид изложеното, съдът неправилно е приел, че оспореният акт от 10.03.2025 г., изпратен от длъжностното лице по защита на данните от името на Кредирект ЕООД, е издаден от компетентен орган. По силата на цитираната нормативна уредба отказът е изготвен от лице, което не разполага с компетентност да представлява и действа от името на администратора на лични данни, и не е удостоверен с подпис на издателя, поради което е налице основанието по чл. 146, т. 1 АПК за неговата отмяна. Поради това решението следва да се отмени и вместо него се постанови друго, с което да се обяви неговата нищожност. Съгласно чл. 173, ал. 2 АПК административната преписка следва да се изпрати на компетентния орган за произнасяне по заявлението на М. В. Г. за упражняване на правата й по член 15 от Регламент (ЕС) 2016/679 в 14-дневен срок от получаване на административната преписка. С оглед изхода на спора Кредирект следва да заплати на М. В. Г. направените разноски по делото в размер на 80лв. за държавна такса 10 лв. пред първата инстанция и 70лв. за касационната инстанция. На основание чл. 38, ал. 2 от Закона за адвокатурата Кредирект ЕООД следва да заплати на адвокат С. Паров сумата 2000лв. за адвокатско възнаграждение за двете инстанции по 1000лв. за всяка инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,