Решение № 6102 от 04.06.2026 г. на ВАС по адм. д. № 1629/2026 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на "Кредирект" ЕООД, чрез процесуален представител, срещу решение № 5488 от 28.11.2025 г., постановено по адм. д. № 1158/2025 г. по описа на Административен съд (АС) – Пазарджик. С обжалваното решение е отменен отказ на „Кредирект“ ЕООД, в качеството на администратор на лични данни да предостави исканата от А. Н. И. информация със заявление от 15.08.2025 г. и е преписката е върната на административния орган за ново произнасяне. Касационният жалбоподател излага доводи за постановяване на решението при допуснати съществени нарушения на процесуалните правила, в противоречие с материалния закон и необоснованост - касационни основания по чл. 209, т. 3 АПК. Поддържа се, че съдът не е отчел, че искането в жалбата не съответства на първоначалното заявление на субекта на данни и е постановил решението си по незаявено искане пред администратора, в нарушение на процесуалните правила. Счита, че съдът не е обсъдил доводите и възраженията на администратора на лични данни и не е дал правна оценка дали обжалваният отговор е законосъобразен или не. При липса на индивидуализация на исканите документи от субекта на данни, съдът е достигнал до неправилен извод, че администраторът на лични данни е длъжен да предостави на жалбоподателя (касационен ответник) всички документи, които съдържат негови лични данни. Излагат се възражения, че съдът не е установил наличие на легитимен интерес за субекта на данни от предоставяне на документите, както и не се е съобразил с практиката на СЕС. Иска обжалваното решение да се отмени и да се реши спорът по същество, като се отхвърли първоначалната жалба. Претендира присъждане на разноски за двете инстанции. Ответникът – А. Н. И., чрез процесуален представител, представя писмен отговор, в който изразява становище, че обжалваното решение е правилно, не са налице сочените касационни основания за отмяната му, поради което иска да се остави в сила. Претендира разноски. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подаден в законния срок и от надлежна страна. За да се произнесе по съществото й, съдът приема следното: Първоинстанционният съд е установил от фактическа страна, че със заявление от 15.08.2025 г. за упражняване на право на достъп до информация, А. Н. И. е поискала от „Кредирект“ ЕООД, да бъде предоставен достъп до всички лични данни, които дружеството обработва, в качеството му на администратор на лични данни, като ѝ предостави всички копия от документи, в които се съдържат лични й данни. С писмо от 12.09.2025 г. е изпратен отговор до електронния адрес на пълномощника на заявителката. С писмото се потвърждава, че дружеството обработва личните данни на А. Н. И., като е посочено, че личните й данни са събрани, обработват се и се съхраняват във връзка с договорното отношение между нея и „Кредирект“ ЕООД. В отговора са описани целите на обработката на личните данни, посочено е общо категориите получатели на лични данни на субекта. Посочено е също, че личните данни ще се съхраняват за период от 5 години от началото на календарната година, следваща годината на прекратяване на отношенията между страните. Заявителят имал право да получи само данните, които той сам е предоставил и които се обработват по автоматичен начин. Екземпляр от исканите документи лицето е получило при сключването на договора, като в общите условия не се съдържат лични данни и не попадат в обхвата на заявеното от негова страна право, както и параметрите на договора за кредит. Отговорът е подписан с електронен подпис от длъжностното лице по защита на данните - П. С. Л.. При тези фактически обстоятелства, съдът е обсъдил подробно приложимите разпоредби от Регламент (ЕС) 2016/679 и въз основа на направения анализ е приел от правна страна, че за "Кредирект“ ЕООД, в качеството му на администратор на лични данни, е налице задължението по член 15, параграф 3 от Регламент (ЕС) 2016/679 да предостави на субекта на данните копие от поисканите лични данни, в заявената форма за получаване и на посочения от лицето адрес за кореспонденция. Поради това е отменил обжалвания акт и е изпратил преписката на административния орган за ново разглеждане. Решението е неправилно поради постановяването му в нарушение на съдопроизводствените правила и неправилно приложение на материалния закон. Съдът правилно е приел, че "Кредирект" ООД е администратор на лични данни по смисъла на член 4, параграф 7 от Регламент (ЕС) 2016/679, до който е адресирано искането на субекта на данни, при упражняване на правата му по член 15 ОРЗД и в този контекст правилно е идентифицирал същия като надлежна ответна страна в процеса. Издаденият от името на "Кредирект“ ООД акт в отговор на заявлението на субекта на данни е подписан от длъжностното лице по защита на данните. В тази връзка съдът е посочил, че в писмено становище Кредирект“ ООД изрично потвърждава, че лицето П. Л. изпълнява функциите на длъжностно лице по защита на данните и разполага с необходимата легитимация да отговаря на искания на субекти на данни по Регламент (ЕС) 2016/679, по които администратор е дружеството, като в подкрепа на тези твърдения е заявено и представянето на договор между страните. Такъв договор обаче не е описан сред приложенията към писменото становище, нито е приложен по делото. Независимо от това съдът изобщо не е обсъдил въпроса за компетентността на длъжностното лице по защита на данните да представлява и действа от името на администратора на лични данни, с оглед функциите и задачите на същото. Функциите и задачите на длъжностното лице по защита на данните са регламентирани в член 37 - 39 от Регламент (ЕС) 2016/679. Съгласно член 39 ОРЗД длъжностното лице по защита на данните изпълнява най-малко следните задачи: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. В тази връзка съдът е посочил, че в писмено становище дружеството изрично потвърждава, че лицето П. Л. е длъжностно лице по защита на данните и разполага с необходимата легитимация да отговаря на искания по Регламент (ЕС) 2016/679 на субекти, чиито администратор е дружество и прилага договор между страните, в удостоверение на тези обстоятелства, но такъв договор нито е отбелязан в описа на приложенията към писменото становище, нито пък е представен по делото. От посочените разпоредби е видно, че от самото качество на длъжностното лице по защита на данните не следва, че притежава правомощия за издаване на актове от името на администратора на лични данни по заявления на субектите на данни при упражняване на правата им по член 15 – 22 ОРЗД. В нарушение на правилото по чл. 168, ал. 1 АПК съдът не е проверил законосъобразността на оспорения административен акт на всички основания по чл. 146, т. 1 - 5 АПК и не е обсъдил компетентността на издателя на акта. Решението е постановено в нарушение на съдопроизводствените правила, поради което следва да се отмени и делото се върне за ново разглеждане от друг състав на същия съд, който следва да изясни въпросите, свързани с валидността на волеизявлението на длъжностното лице за защита на данните от името на администратора на лични данни. С оглед изхода на спора и на основание чл. 226, ал. 3 АПК, първоинстанционният съд следва да се произнесе и по разноските, направени пред касационната инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,