Решение № 13413 от 29.12.2025 г. на ВАС по адм. д. № 7256/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на Кредисимо ЕАД срещу решение 8992 от 14.03.2025 г. по адм. дело 10801/2024 г. на Административен съд София-град. Касационният жалбоподател поддържа, че обжалваното решение е неправилно поради постановяването му при неправилно приложение на материалния закон касационно основание за отмяна по чл. 209, т. 3 АПК. Излага доводи, че съдът неправилно е приел, че за дружеството е налице задължение да предостави на ответника по касация копие на носителите на лични данни. Счита, че в качеството си на администратор на лични данни е изпълнил коректно задълженията си, произтичащи от член 15 от Регламент (ЕС) 2016/679 и е предоставил информация за личните данни на заявителя, които обработва във връзка с облигационните отношения между страните. По тези, подробно развити в касационната жалба съображения, иска да се отмени обжалваното решение и се реши спорът по същество като се отхвърли първоначалната жалба на Р. И. С.. Кредисимо ЕАД е подало и частна жалба срещу определение 15728 от 09.05.2025 г. по адм. дело 10801/2024 г. на АССГ, с което съдът е отхвърлил искането на дружеството за изменение на решение 8992 от 14.03.2025 г. по делото в частта за разноските. Поддържа, че определението е неправилно и иска да се отмени като се уважи направеното възражение за прекомерност и се намали размерът на присъденото адвокатско възнаграждение от 1000лв. на 300лв. Ответникът в касационното производство Р. И. С., чрез пълномощника си, представя писмени отговори по касационната и по частната жалба. Поддържа, че обжалваното решение е правилно и не е налице соченото касационно основание за отмяна, както и че правилно първоинстанционният съд е отказал да измени решението си в частта за разноските, поради което счита, че следва да оставят в сила обжалваните съдебни актове. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната и на частната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната и частната жалба са процесуално допустими като подадени в законния срок и от надлежна страна. За да се произнесе по съществото им, приема следното: По касационната жалба на Кредисимо ЕАД: С обжалваното решение АССГ е отменил писмо на Кредисимо ЕАД от 17.10.2024 г. по заявление на Р. С. от 22.09.2024 г. в частта, с която е отказано предоставянето на копия на носителите, на които се съхраняват обработваните лични данни на С. от администратора на лични данни. Съдът е установил от фактическа страна, че Р. С. е подал искане по електронен път до Кредисимо ЕАД, с което е поискал в качеството си на субект на лични данни, обработвани от дружеството, да му бъде предоставена информация относно обработваните от администратора данни и носителите на тези лични данни за периода 22.09.2019 г. до 22.09.2024 г., с цел да се извърши проверка относно основанията, поради които се обработват. На 17.10.2024 г. е получен отговор от администратора на лични данни Кредисимо ЕАД , с който се потвърждава обработването на личните данни на субекта и е разяснено на кои точно посочени лица могат да бъдат предоставени и в кои случаи. В акта е дадена компилация на всички лични данни на заявителя, които се обработват от дружеството, като позицията на администратора на лични данни е, че съгласно член 15 от Регламент (ЕС) 2016/679 и решенията на СЕС не е задължен да предоставя копия на документите, които съдържат лични данни на субекта на данни. Съдът, при решаване на спора относно правата на субекта на данни, произтичащи от член 15 от Регламент (ЕС) 2016/679 и съответстващите им задължения на администратора на лични, е обсъдил приложимата нормативна уредба. Правилно е приел, че отправената писмена молба от Р. С. има характер на заявление по чл. 37б, ал. 1 ЗЗЛД и съдържа реквизитите по чл. 37в ЗЗЛД. Предвид разпоредбите на член 12 и член 15, параграф 3 от ОРЗД, съдът е достигнал до извод, че администраторът на лични данни е длъжен да предостави копие от личните данни на субекта, за да може последният да упражни ефективно правото си на защита на личните данни. Така мотивиран е постановил обжалвания резултат. Решението е неправилно поради постановяването му в нарушение на материалния закон. Съдът неправилно е приел, че отказът, обективиран в писмо от 17.01.2024 г. е издаден от компетентен орган. Видно от акта е, че същият е издаден от името на Кредисимо ЕАД, но е подписан от длъжностното лице по защита на данните към дружеството. Длъжностното лице по защита на данните не разполага със законови правомощия да издава актове от името на администратора на лични данни. Съгласно член 37, параграф 1, 5 и 6 от Регламент (ЕС) 2016/679 администраторът на лични данни определя длъжностното лице по защита на данните въз основа на неговите професионални качества, и по-специално въз основа на експертните му познания в областта на законодателството и практиките в областта на защитата на данните и способността му да изпълнява задачите, посочени в член 39. Длъжностното лице по защита на данните може да бъде член на персонала на администратора или на обработващия лични данни или да изпълнява задачите въз основа на договор за услуги. Администраторът и обработващият лични данни правят необходимото длъжностното лице по защита на данните да не получава никакви указания във връзка с изпълнението на тези задачи. В член 38 от Регламента е предвидено, че длъжностното лице по защита на данните не може да бъде освобождавано от длъжност, нито санкционирано от администратора или обработващия лични данни за изпълнението на своите задачи, с което се гарантира неговата автономност спрямо администратора на лични в тази сфера на дейността му. Субектите на данни могат да се обръщат към длъжностното лице по защита на данните по всички въпроси, свързани с обработването на техните лични данни и с упражняването на техните права съгласно настоящия регламент. В тези случаи длъжностните лица по защита на данните комуникират пряко със субектите на данни, действайки от свое име по силата на длъжността, която изпълняват. Функциите и задачите на длъжностното лице са очертани в параграф 39 ОРЗД и те са: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. В член 38, параграф 6 ОРЗД е предвидено, че длъжностното лице по защита на данните може да изпълнява и други задачи и задължения. Администраторът или обработващият лични данни прави необходимото тези задачи и задължения да не водят до конфликт на интереси. В Насоки за длъжностните лица по защита на данните, приети на 13 декември 2016 г., последно преразгледани и приети на 5 април 2017 г. от Работната група, създадена в съответствие с член 29 от Директива 95/46/ЕО, по отношение изпълнението на задачите от длъжностното лице по защита на данните е посочено, че същото следва да действа независимо, за което са предвидени няколко гаранции в член 39 от Регламент (ЕС) 2016/679: -не се дават указания от страна на администраторите или обработващите лични данни по отношение на изпълнението на задачите на ДЛЗД; -не се допуска освобождаване от длъжност от страна на администратора във връзка с изпълнението на задачите на ДЛЗД; -не се допуска конфликт на интереси с евентуални други задачи и задължения. Изискването другите задачи и задължения на ДЛЗД да не водят до конфликт на интереси означава, че ДЛЗД не може да заема длъжност в рамките на организацията, която ще го задължава да определя целите и средствата за обработването на лични данни. Като такива длъжности се приемат висшите ръководни длъжности, които имат отношение към управление и представителство, включително процесуално представителство. Също така ДЛЗД не носят лична отговорност в случай на неспазване на изискванията за защита на данните. Функциите на ДЛЗД в обобщение се заключават в експертно подпомагане на администратора на лични данни. Администраторът или обработващият лични данни е този, който е длъжен да гарантира и да бъде в състояние да докаже, че обработването се извършва в съответствие с този регламент. Спазването на разпоредбите за защита на данните е отговорност на администратора или обработващия лични данни, същият е страна в правоотношенията със субектите на данни и съответно носи отговорност при нарушения на правилата за законосъобразно обработване на личните данни. Изложеното сочи, че длъжностното лице по защита на данните при изпълнение на задачите си е независимо от администратора на лични данни и не представлява последния. Нормативният регламент на задачите и функциите на ДЛЗД изключва възможността администраторът на лични данни да оправомощи ДЛЗД да издава актове от негово име, включително по заявления на субектите на данни при упражняване на правата им по член 15 от Регламента. Вписването на длъжностното лице по защита на личните данни в публичния регистър по ЗЗЛД към КЗЛД не представлява акт по прехвърляне на компетентност и не създава такава по смисъла на ОРЗД. Задължено лице да отговори по заявлението на субекта на данни по член 15 от Регламента е администраторът на лични данни и същият, при спазване на изискванията за представителство - по силата на закона или волята на представлявания, да се произнесе с изискуемия акт по заявления/искания от субекта на данни за упражняване на права по посочения текст от ОРЗД. Предвид изложеното, съдът неправилно е приел, че оспореният акт от 17.10.2024 г., подписан от длъжностното лице по защита на данните от името на Кредисимо ЕАД, е издаден от компетентен орган. По силата на цитираната нормативна уредба отказът е издаден от лице, което не разполага с компетентност да представлява и действа от името на администратора на лични данни, поради което е налице основанието по чл. 146, т. 1 АПК за неговата отмяна. Поради това решението следва да се отмени и вместо него се постанови друго, с което да се обяви неговата нищожност. Съгласно чл. 173, ал. 2 АПК административната преписка следва да се изпрати на компетентния орган за произнасяне по заявлението на Р. С. за упражняване на правата му по член 15 от Регламент (ЕС) 2016/679 в 14-дневен срок от получаване на административната преписка. По частната жалба на Кредисимо ЕАД: Съдът с обжалваното определение е отказал да измени решение си в частта за разноските. Посочил е, че с оглед изхода на спора дружеството е осъдено да заплати на жалбоподателя 1000лв. разноски за адвокатско възнаграждение и 10лв. за внесена държавна такса, съгласно приложените доказателства. Адвокатското възнаграждение е в минимален размер и не са налице основания за редуцирането му. С отмяната на решението на първоинстанционния съд и предвид обстоятелството, че определението по чл. 248, ал. 1 ГПК вр. чл. 144 АПК има акцесорен характер, същото се явява без предмет и следва да се отмени. С оглед изхода на спора и направеното своевременно искане за присъждане на разноски от касационния ответник, касационният жалбоподател Кредисимо ЕАД следва да заплати на Р. И. С. направените разноски пред двете инстанции общо в размер на 2090лв. 1010 лв. разноски пред административния съд и 1080лв. за касационната инстанция, съгласно представените договори за правна защита и съдействие и документ за внесена държавна такса. Водим от горното, Върховният административен съд, състав на пето отделение,