Решение № 6477 от 16.6.2025 г. на ВАС по адм. д. № 1699/2025 г.

Производдството е по чл. 208 и сл. от АПК. Образувано е касационната жалба на "Сити Кеш" ООД против решение 3908/10.12.2024 г. по адм.д. 768/2024 г. по описа на Административен съд -Стара Загора. Навежда доводи за неправилност на решението поради съществено нарушение на съдопроизводствените правила и материална незаконосъобразност. Твърди, че искането е прекомерно, поради неправилно позоваване на чл.15 от Регламент 2016/679, а това води до липсва на право на достъп до лични данни. Не е допуснато нарушение на принципа на прозрачност. Не са лични данни размера на кредита, срока за погасяване, лихвения процент, ГПР и всичко посочено в чл.11 от ЗПК, както и клаузите свързани с параметрите на кредита. Твърди, че не дължи предоставяне на договор, защото при сключването такъв е даден на длъжника. Няма равенство между задълженията по чл.12 и чл.15 от Регламент 2016/679. Копие от обработваните данни са предоставени в табличен формат. Иска отмяна и отхвърляне на жалбата. Ответната страна оспорва касационната жалба. Твърди, че искането не е прекомерно, има право да получи носителите на личните й данни, информация за целите на обработването, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити личните даннни. В този смисъл решение на СЕС по С-487/21 . Иска оставяне на решението в сила. Представителят на Върховната касационна прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена от страна, за която решението е неблагоприятно, в срока по чл.211 от АПК, намира същата за допустима. Разгледана по същество е неоснователна по следните съображения: С решение 3908/ 10.12.2024 г. по адм.д. 768/ 2024 г. по описа на Административен съд Стара Загора е отменен изричен отказ на "Сити Кеш" ООД да предостави на М. Х. К. носителите на лични данни, въз основа на които обработва личните й данни и информация за основанията, на които дружеството обработва личните й данни. За да постанови този резултат съдът приема, че отказът е незаконосъобразен, защото по силата на чл.15 от Регламент 2016/679 /ОРЗД/ субектът на лични данни има право да получи от администратора потвърждение дали обработва личните му данни, да получи достъп до данните и до поисканата информация, целите на обработването, категориите лични данни, получателите, пред които те ще бъдат разкрити, като администраторът е длъжен да предостави копие на личните данни, които са в процес на обработване, което задължение кореспондира с принципа за прозрачност по чл. 5, пар.1, б. "б" от ОРЗД. Решението е правилно и следва да се остави в сила. Неоснователно е оплакването за материална незаконосъобразност на съдебния акт. Пред администратора на лични данни е упражнено право по чл. 15 от ОРЗД за достъп на субекта на данните до данните, които администраторът обработва, както и до информация за целите на обработването, съответните категории лични данни, получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни и др. изрично посочени в регламента. В случая отказът е оформен в писмо, към което има приложение и в него са посочени обработваните от "Сити Кеш" три имена, ЕГН, постоянен и настоящ адрес на субекта на данни, електронна поща, работодател и заемана длъжност. М. Х. К. е останала недоволна от отказа да й бъде предоставена информация за основанията, на които се обработват личните й данни, както и от отказа да й бъдат предоставени носителите на лични данни, които примерно е конкретизирала в жалбата си, но уточнили като документи, подписани от нея във връзка с отпускането на заеми. Съгласно чл.15, пар.3 от ОРЗД администраторът предоставя копие от личните данни, които са в процес на обработване. Следователно искането за получаване на информация за основанията, на които се обработват личните данни и предоставене на копие като точна реплика на личните му данни трябва да се разбира в широк смисъл. Проблемът е във формата, под която адмистраторът трябва да предостави личните данни, което представлява копие на документи. Правото по чл.15 от ОРЗД предполага правото на получаване на копие от извлечения от документи и от цели документи или извлечения от база данни, които съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с регламента права, като се подчертава, че в това отношение трябва да се вземат и правата на и свободите на други лица - в този смисъл решение по дело С-487/21. Разпоредбата на чл.15, пар.3, трето изречение от Регламент 2016/679 трябва да се тълкува в смисъл, че съдържащото се в него "информация" се отнася изключително до личните данни, копие от които администраторът трябва да предостави, съгласно първото изречение на пар.1. Следователно отказът за предоставяне на информация за основанията, на които се обработват личните данни и за предоставяне на копия от документи с личните данни на субекта на данни, правилно е определен като материално незаконосъобразен, отменен е от съда с оспореното решение, като "Сити Кеш" ООД е задължено в срок от един месец от влизане на решението в сила да предостави на М. Х. К. носителите и информация за основанията на лични данни, въз основа на които обработва личните данни на субекта на лични данни. Следва да се има предвид, че длъжностното лице за защита на данните, което администраторът на лични данни определя по чл. 37 от ОРЗД участва по подходящ начин във всички въпроси, свързани със защитата на личните данни като информира, съветва администратора и субектите на лични данни, посредничи, наблюдава, предоставя съвети и си сътрудничи с надзорния орган по смисъла на чл. 39 от ОРЗД, но не разполага с правомощия за вземане на решения извън задачите по чл. 39 от Регламента. Съгласно т.1 от Насоки за длъжностните лица по защита на данните /последно преразгледани и приети на 5 април 2017 / от Работна група по чл. 29 от Директива 95/46/ЕО/ като независим европейски консултативен орган за защита на личните данни и неприкосновеността на личния живот, администраторът или обработващият лични данни е този, който е длъжен да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с предвидените в него разпоредби (чл. 24, пар. 1). Спазването на разпоредбите за защита на данните е отговорност на администратора на данни или на обработващия лични данни. Поради това в т.3.3 от Насоките е посочено, че ДЛЗД не разполагат с правомощия за вземане на решения извън задачите им по чл. 39 от Регламента. Следователно администраторът, а не длъжностното лице по защита на данните, е този, който е компетентен да се произнесе по исканията за спазване на правата на субекта на лични данни, като не може да делегира задължението си за произнасяне по исканията, с които е сезиран, включително с искане по чл.17 от ОРЗД за изтриване на лични данни. Решението на съда е постановено съобразно доказаните по делото обстоятелства и следователно е обосновано. Не се установяват твърдените в касационната жалба касационни основания за отмяна и решението следва да се остави в сила. Процесуалният представител на ответната страна иска присъждане на адвокатско възнаграждение, но е представено само пълномощно, няма договор за безплатна правна помощ, поради което искането е неоснователно. На основание чл. 221, ал. 2 от АПК, Върховният администлративен съд, състав на пето отделение