Решение № 5395 от 19.05.2026 г. на ВАС по адм. д. № 990/2026 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на "Сити Кеш" ООД, чрез процесуалния си представител, срещу решение № 8363 от 01.12.2025 г. по адм. дело № 1237/2025 г. на Административен съд - Хасково. В касационната жалба са изложени доводи за постановяване на решенито при допуснати съществени нарушения на процесуалните правила, в противоречие с материалния закон и необоснованост - касационни основания по чл. 209, т. 3 АПК за отмяната му. Поддържа се, че съдът е изградил фактическите си изводи върху хипотези, които не се основават на събраните доказателства по делото, не е направил разграничение между носители на документи (договор за кредит) и съхранение на лични данни и е достигнал до неправилен извод, че администраторът на лични данни е длъжен да предостави на жалбоподателя (касационен ответник) всички документи, които съдържат негови лични данни. Релевират се възражения, че част от документите не се съхраняват, като същевременно не са индивидуализирани от субекта на данни. Сочи се, че съдът е пропуснал да прецени дали субектът на данни е доказал необходимост от предоставяне на докумените и кои точно, както и не се е съобразил с практиката на ВАС и СЕС. При тези съображения, развити подробно в касационната жалба, иска да се отмени обжалваното решение и се реши спорът по същество като се отхвърли първоначалната жалба. Претендира се присъждане на разноски за двете инстанции. Ответникът по касационната жалба - С. М. М., чрез пълномощника си, представя писмен отговоро, в който изразява становище, че обжалваното решение е правилно, не са налице сочените касационни основания за отмяната му, поради което иска да се остави в сила. Претендира присъждане на разноски за касационното производство. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подаден в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното: С обжалваното решение АС - Хасково е отменил обективирания в писмо от 22.05.2025 г. отказ на "Сити Кеш" ООД, в качеството му на администратор на лични данни, да предостави копия от документите, в които се съдържат лични данни, по депозирано на 22.04.2025 г. заявление от С. М. във връзка с упражнено право на достъп по член 15 от Регламент (ЕС) 2016/679 и е върнал преписката на "Сити Кеш" ООД за ново произнасяне, с предоставянето на поисканите копия от документи, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение, в 14-дневен срок от получаване на преписката. За да постанови обжалвания резултат съдът е приел от фактическа и правна страна следното: На 22.04.2025 г. С. М., чрез упълномощения от него адвокат, е изпратил заявление по електронен път до "Сити Кеш" ООД, с което е заявил, че упражнява правата си по член 15 от Регламент (ЕС) 2016/6798 с искане да му бъде предоставен достъп всички лични данни, обработвани от дружеството в качеството на администратор на лични данни, като му се предоставят копия от всички документи, в които се съдържат негови лични данни, включително, но не само договор за цесия, договор за кредит и други. На 22.05.2025 г. до С. М., чрез пълномощника му, е изпратено електронно съобщение с отговор на подаденото от него заявление. В този отговор е посочено, че дружеството имало сключени 2 договора за паричен заем с жалбоподателя, които са цедирани на "Агенция за събиране на вземания" ЕАД и "АПС Бета България" ЕООД. Двата договора не се съхраняват от администратора, но е представен отрязък от двете първи страници от същите. С отговора се отказва да се представи копие от договора за цесия по съображения, че съдържа поверителна информация и данни за други субекти. Предоставя се и обща информация за обработването на лични данни и правата на субекта на данни. Отговорът е изпратен от „Сити Кеш“ ООД и е подписан с електронен подпис от длъжностното лице по защита на данните. При тези фактически обстоятелства, съдът е обсъдил подробно приложимите разпоредби от Регламент (ЕС) 2016/679 и въз основа на направения анализ е приел от правна страна, че за "Сити Кеш“ ООД, в качеството му на администратор на лични данни, е налице задължението по член 15, параграф 3 от Регламент (ЕС) 2016/679 да предостави на субекта на данните копие от поисканите лични данни, съдържащи се в съставените договори за кредит, в заявената форма за получаване и на посочения от лицето адрес за кореспонденция. Поради това е отменил обжалвания акт и изпратил преписката на административния орган за ново разглеждане. Решението е неправилно поради постановяването му в нарушение на съдопроизводствените правила и неправилно приложение на материалния закон. Съдът правилно е приел, че "Сити Кеш" ООД е администратор на лични данни по смисъла на член 4, параграф 7 от Регламент (ЕС) 2016/679, до който е адресирано искането на субекта на данни, при упражняване на правата му по член 15 и сл. ОРЗД и в този контекст правилно е идентифицирал същия като надлежна ответна страна в процеса. Издаденият от името на "Сити Кеш“ ООД акт в отговор на заявлението на субекта на данни е подписан от длъжностното лице по защита на данните. В тази връзка съдът изобщо не се е занимал с въпроса за компетентността на длъжностното лице по защита на данните да представлява и действа от името на администратора на лични данни, с оглед функциите и задачите на същото. Функциите и задачите на длъжностното лице по защита на данните са регламентирани в член 37 - 39 от Регламент (ЕС) 2016/679. Съгласно член 39 ОРЗД длъжностното лице по защита на данните изпълнява най-малко следните задачи: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. От визираните разпоредби е видно, че от самото качество на длъжностното лице по защита на данните не следва, че притежава правомощия за издаване на актове от името на администратора на лични данни по заявления на субектите на данни при упражняване на правата им по член 15 – 22 ОРЗД. В нарушение на правилото по чл. 168, ал. 1 АПК съдът не е проверил законосъобразността на оспорения административен акт на всички основания по чл. 146, т. 1 - 5 АПК и не е обсъдил компетентността на издателя на акта. Решението е постановено в нарушение на съдопроизводствените правила, поради което следва да се отмени и делото се върне за ново разглеждане от друг състав на същия съд, който следва да изясни въпросите, свързани с валидността на волеизявлението на длъжностното лице за защита на данните от името на администратора на лични данни. С оглед изхода на спора и на основание чл. 226, ал. 3 АПК, първоинстанционният съд следва да се произнесе и по разноските, направени пред касационната инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,