Решение № 8290 от 30.7.2025 г. на ВАС по адм. д. № 4865/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс.

Образувано е по касационна жалба на ЕОС Матрикс ЕООД срещу решение 10515 от 26.03.2025 г. по адм. дело 1065/2025 г. на Административен съд София-град.

С обжалваното решение АС София-град е отменил отказа на ЕОС Матрикс ЕООД да изтрие личните данни на С. Н. И., както и да подаде информация в Централния кредитен регистър за липсата на задължения, обективиран в писмо от 02.01.2025 г. и върнал преписката на администратора на лични данни за заличаване на личните данни на жалбоподателя. С решението съдът е осъдил, на основание чл. 256, ал. 2 АПК, ЕОС Матрикс ЕООД в 14-дневен срок от получаване на съобщението да подаде информация в Централния кредитен регистър, че С. Н. И. не е техен длъжник, както и да заплати направените разноски по делото.

Касационният жалбоподател, чрез процесуалния си представител, поддържа, че обжалваното решение е неправилно поради постановяването му в противоречие с процесуалните и материално правни разпоредби. Поддържа, че искането на жалбоподателя, с което е сезирано дружеството, представлява искане по член 17 от Общия Регламент за защита на данните, съединено с възражение срещу обработването на личните данни по смисъла на член 21 ОРЗД. На искането има изготвен изричен отговор от 31.12.2024 г., от оправомощеното длъжностно лице на ЕОС Матрикс ЕООД, съгласно изискванията на ОРЗД. Отговорът е изпратен от ЕОС Матрикс ЕООД, чрез представителя му, като приложение към отговор изх. 00009/02.01.2025 г. до жалбоподателя С. И.. Излага доводи, че съдът неправилно е тълкувал и приложил член 17 от Регламент (ЕС) 2016/679, като приел, че вземането, във връзка с което се обработват личните данни на оспорващия, е погасено по давност и за дружеството не е налице правно основание да продължи да обработва личните данни на лицето и съответно е длъжно да подаде информация към Централния кредитен регистър за заличаването му като длъжник в същия. При тези съображения, развити подробно в касационната жалба иска да се отмени обжалваното решение. Претендира присъждане на разноски по делото.

Ответникът по касационната жалба С. Н. И., чрез пълномощника си, представя писмен отговор, в който поддържа, че обжалваното решение е правилно и иска да се остави в сила. Претендира разноски за касационната инстанция.

Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за основателност на касационната жалба.

Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна.

Разгледана по същество е основателна, при следните съображения:

Съгласно чл. 218, ал. 2 АПК касационният съд следи служебно за валидността, допустимостта и съответствието на решението с материалния закон.

Обжалваното решение е недопустимо.

Първоинстанционното производство е образувано по жалба на С. Н. И. срещу изричен отказ на администратора и обработващия лични данни ЕОС Матрикс ЕООД, обективиран в писмо изх. 00009/02.01.2025 г. на длъжностно лице по защита на личните данни да изтрие на основание член 17, параграф 1, буква а от Регламент (ЕС) 2016/679 личните му данни и да подаде информация за изменение на кредита в Централния кредитен регистър, след което да спре да подава информация в същия.

По делото е установено, че с молба - заявление от 10.12.2024 г. С. И. е сезирал ЕОС Матрикс ЕООД с искане да изтрие на основание член 17, параграф 1, буква а от Регламент (ЕС) 2016/679 личните му данни и да подаде информация за изменение на кредита в Централния кредитен регистър, след което да спре да подава информация в същия. В заявлението е направил изрично възражение за изтекла погасителна давност относно вземането към него и изявление, че същото няма да бъде погасено доброволно.

ЕОС Матрикс ЕООД, представлявано от управителя си, чрез пълномощника си главен юрисконсулт М. Милушева, е отговорил на заявления с вх. ВЖ-00695/10.12.2024 г. и вх. 00722/30.12.2024 г. с оспорения писмен отговор изх. 00009/02.01.2025 година. В отговора е посочено, че С. И. има изискуемо и неизплатено задължение към ЕОС Матрикс ЕООД, произтичащо от качеството му на поръчител по договор за потребителски кредит от 28.06.2006 г. и договор за цесия, с който вземането е цедирано на дружеството, поради което намира за неоснователно възражението за погасяване на вземането по давност. Относно искането да бъде заличена подадената от дружеството информация към ЦКР, е отговорено, че с оглед сключения договор за цесия, на основание чл. 3 от Закона за кредитните институции и чл. 10 от Наредба 22 от 16.07.2009 г. на БНБ за Централния кредитен регистър, дружеството е длъжно да подава ежемесечно информация за кредитите на своите клиенти. По отношение на искането за упражняване на права по смисъла на Регламент (ЕС) 2016/679 е приложено становище от длъжностното лице по защита на данните.

В становище относно искане за упражняване на права по член 17 от Регламент (ЕС) 2016/679, подписано от Д. Б., длъжностно лице по защита на личните данни, определено от ЕОС Матрикс ЕООД, е заявено, че искането за упражняване на право на изтриване по отношение на задължението, което е прието за активно, не може да бъде уважено поради липса на предпоставките, предвидени в член 17, параграф 1 ОРЗД, и обработването на личните данни продължава да е необходимо за целите, за които са били събрани от администратора на лични данни.

От изложеното е видно, че по искане вх. ВЖ-00695/10.12.2024 г. по описа на "ЕОС Матрикс" ЕООД, са издадени два акта - отговор изх. 00009/02.01.2025 г. на "ЕОС Матрикс" ЕООД, подписан от юрисконсулт на ЕОС Матрикс" ЕООД и становище от длъжностно лице по защита на личните данни, определено от администратора на лични данни "ЕОС Матрикс" ЕООД, приложено към отговор изх. 00009/02.01.2025 г. Тази позиция е застъпена и от касационния жалбоподател, който сочи в касационната жалба, че ЕОС Матрикс ЕООД има две различни законови задължения едното в качеството на администратор на лични данни, произтичащо от Регламент (ЕС) 2016/679 и второто в качеството му на финансова институция, регистрирана по чл. 3а от Закона за кредитните институции, по силата на Наредба 22 от 16.07.2009 г. за ЦКР.

Отговор изх. 00009/02.01.2025 г. на ЕОС Матрикс ЕООД, подписан от юрисконсулт на дружеството и становище от длъжностно лице по защита на личните данни са постановени по различни искания на жалбоподателя, направени в искане с вх. ВЖ-00695/10.12.2024 г. по описа на "ЕОС Матрикс" ЕООД, които са подчинени на различен правен режим и това са:

1. Искане, адресирано до ЕОС Матрикс ЕООД, в качеството му на администратор на лични данни, за заличаване и изтриване на основание член 17, параграф 1, буква а от Регламент (ЕС) 2016/679 на личните му данни, което подлежи на разглеждане по реда и на основанията, предвидени в Регламент (ЕС) 2016/679 и Закона за защита на личните данни.

1. Искане, на основание чл. 24, ал. 1 от Наредба 22 от 16.07.2009 г. за ЦКР, дружеството, в качеството на финансова институция по чл. 4, ал. 1 да подаде информация за изменение на кредита в Централния кредитен регистър, след което да спре да подава информация в същия.

Приложеното към Отговор изх. 00009/02.01.2025 г. на ЕОС Матрикс ЕООД становище на длъжностното лице по защита на личните данни, определено от администратора на лични данни "ЕОС Матрикс" ЕООД, е издадено във връзка с искането на С. И. за заличаване и изтриване на основание член 17, параграф 1, буква а от Регламент (ЕС) 2016/679 на личните му данни, обработвани от дружеството. По делото няма данни, че Д. Б. е определена за длъжностно лице по защита на личните данни на "ЕОС Матрикс" ЕООД. Няма данни и че същата е упълномощена да се произнася от името на администратора на лични данни по подадени заявления по член 17, параграф 1 от Регламент (ЕС) 2016/679. Не може също от данните по делото да се изведе с категоричност извод, че становището е припознато и изпратено от името на администратора на лични данни до заявителя. Съдът не е обсъждал тези обстоятелства и не е изложил каквито и да е съображения относно характера на становището, постановено по искането по член 17, параграф 1 от Регламент (ЕС) 2016/679, включително дали е издадено от името, респ. прието като негово от администратора на лични данни. Правомощията на длъжностното лице по защита на личните данни са определени в член 38 от Регламент (ЕС) 2016/679. Същото подпомага, консултира, дава становища на администратора на лични данни. Правомощие да се произнася по подадени заявление по член 17, параграф 1 от Регламент (ЕС) 2016/679 от името на администратора не е предвидено. Такива правомощия не са предвидени и в Закона за защита на личните данни. По аргумент от член 17 и 19 от Регламент (ЕС) по подадените заявления следва да се произнася администраторът на лични данни. Доколкото обаче становището на длъжностното лице по защита на данните е приложено към писмения отговор, изготвен от представител на администратора на лични данни, съдът е следвало да констатира тези обстоятелства и уточни авторството, качеството и правомощията на лицето, подписало акта, с който е отговорено на субекта на данни и как се отнася към същото администраторът на лични данни. Изясняването на тези обстоятелства ще позволи да се определи правната характеристика на акта, наименован становище и произтичащите последици във връзка с релевантната нормативна уредба относно редовността, допустимостта и основателността на оспорването му пред съда.

Производството по искането дружеството да подаде информация за изменение на кредита в Централния кредитен регистър, след което да спре да подава информация в същия, е уредено в чл. 24 от Наредба 22 от 16.07.2009 г. за Централния кредитен регистър.

Съгласно чл. 10, ал. 1 от Наредба 22 от 16.07.2009 г. за Централния кредитен регистър институциите по чл. 4, ал. 1 са длъжни да събират и подават към Централния кредитен регистър информация в електронен вид за всички кредити на техните клиенти и за настъпилите изменения по тези кредити до окончателното им погасяване. В ал. 3 на същата разпоредба е предвидено, че институциите по чл. 4, ал. 1 подават към Централния кредитен регистър ежемесечно до 15-о число на месеца, следващ отчетния, информация за състоянието по всички активни кредити на техни клиенти към последната дата на отчетния месец. Те подават в същия срок и информация за извършените корекции по кредити на техни клиенти за предходни отчетни периоди.

Съгласно чл. 24, ал. 1 3 от Наредбата, когато лице установи, че съдържащата се за него информация в Централния кредитен регистър е неточна, то има право да подаде писмено заявление до институцията по чл. 4, ал. 1, която я е подала към регистъра, за коригиране на установена от него неточност. В срок до 7 работни дни от получаване на заявлението институцията по чл. 4, ал. 1 е длъжна да го разгледа и да даде писмен отговор до заявителя. Ако искането е основателно, институцията по чл. 4, ал. 1 извършва корекцията и подава коригираните данни към информационната система на Централния кредитен регистър в срока и по реда на чл. 10, ал. 3.

Отговор изх. 00009/02.01.2025 г., подписан от юрисконсулт на "ЕОС Матрикс" ЕООД, има белезите на акт по чл. 24, ал. 2 от цитираната наредба, който по същество съдържа отказ на финансовата институция да подаде коригирани данни към ЦКР. С жалбата е оспорен изричен отказ, обективиран в отговора на юрисконсулта на "ЕОС Матрикс" ЕООД. По делото обаче няма данни, че юрисконсултът е упълномощен да се произнася по исканията за коригиране на подаваната към ЦКР информация. Съдът е следвало да констатира това обстоятелство и след като дефинира качеството, в което действа ЕОС Матрикс ЕООД във връзка с искането по чл. 24, ал. 1 от Наредба 22 от 16.07.2009 г. за ЦКР, да уточни представителната власт и правомощията, предоставени от финансовата институция на юрисконсулт М. Милушева, съответно се произнесе по редовността, допустимостта и основателността на оспорването, с което е сезиран.

Съдът неправилно е приел, че отказът на дружеството да предостави коригирана информация следва да се разгледа в производство по чл. 256, ал. 2 АПК.

Съгласно чл. 256, ал. 2 АПК неизвършването на фактически действия, които административният орган е длъжен да извърши по силата на закона, подлежи на оспорване в 14-дневен срок от подаването на искане до органа за извършването му. В случая финансовата институция по чл. 4, ал. 1 от Наредба 22 от 16.07.2009 г. не дължи извършването на фактически действия по смисъла на чл. 256, ал. 2 АПК. Подаването на информация към ЦКР е нормативно уредено задължение на институциите, съгласно чл. 10, ал. 1 от Наредба 22 от 16.07.2009 г. на ЦКР, цитиран по-горе, като в чл. 17, ал. 2 е предвидено, че носят отговорност за верността, пълнотата и своевременното подаване на информацията по тази наредба, а неизпълнението на това задължение е скрепено със санкциите по чл. 26, ал. 1 от Наредбата. Като е подменил предмета на спора и е приел, че възражението за давност на заявителя е релевантно в административния процес, съдът в решението при произнасяне по искането за заличаване на личните данни на субекта на данни и искането за подаване на коригираща информация към ЦКР изобщо не е обсъдил дали и как упражняването на правото по чл. 24, ал. 1 от Наредба 22 от 16.07.2009 г. е свързано с правото по член 17, параграф 1 от Регламент (ЕС) 2016/679. Не е отговорил на възраженията на дружеството във връзка с допустимостта и правното значение на изявлението на оспорващия за погасяване на вземането по давност и отказ да плати доброволно в административния процес и в този контекст представлява ли основание да се преустанови обработването на личните данни и се подаде информация за това към ЦКР. Не е обсъдено искането за коригиране на информацията в ЦКР и упражняване на правото по член 17, параграф 1 от Регламент (ЕС) 2016/679 относно данните за непогасени кредити и такива погасени по давност, които се съхраняват и обработват от администратор на лични данни, който се явява кредитор (първоначален или придобил вземането чрез цесия) по такива вземания в светлината на задълженията по други закони, свързани с финансовата отчетност и предвидените срокове за съхранение и подаване на информация. Във връзка с тези обстоятелства в жалбата срещу отказа на ЕОС Матрикс ЕООД да предостави коригираща информация се иска отмяна на отказа на дружеството по чл. 24, ал. 1 от Наредба 22 от 16.07.2009 г., мотивирано с възражението за изтекла погасителна давност и правото по член 17, параграф 1 ОРЗД, но не се съдържа петитум по чл. 256, ал. 2 АПК, поради което съдът се е произнесъл с осъдителен диспозитив по недопустимо искане и в тази част решението подлежи на обезсилване и прекратяване на производството.

Предвид изложеното, АССГ правилно е конституирал като страна администратора на лични данни "ЕОС Матрикс" ЕООД, но в решението в частта, с която е отменил отказа на дружеството да изтрие личните данни на основание член 17, параграф 1 ОРЗД, производството пред първата инстанция е проведено без да е изяснен предмета на спора, не е разпределена доказателствената тежест между страните, не са уточнени обстоятелствата, свързани с авторството на актовете и материалната компетентност, материалноправния и процесуален режим, на който са подчинени, както и останалите въпроси, свързани с редовността и допустимостта на обжалването, предопределящи съответно произнасянето по основателността на жалбата. Поради това решението в тази част е недопустимо и следва да се обезсили като се върне на съда за ново разглеждане от друг състав, при съобразяване с указанията, дадени в мотивите на настоящото решение.

На основание чл. 226, ал. 3 АПК разноските за касационната инстанция следва да се присъдят от първоинстанционния съд, съгласно изхода на спора.

Водим от горното, Върховният административен съд, състав на пето отделение,