Решение № 5364 от 19.05.2026 г. на ВАС по адм. д. № 1487/2026 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на "Кредирект" ЕООД, чрез процесуалния си представител, срещу решение № 5299 от 28.11.2025 г. по адм. дело № 1159/2025 г. на Административен съд - Благоевград. В касационната жалба са изложени доводи за постановяване на решенито при допуснати съществени нарушения на процесуалните правила, в противоречие с материалния закон и необоснованост - касационни основания по чл. 209, т. 3 АПК за отмяната му. Поддържа се, че съдът е не е отчел, че искането в жалбата не съотвества на първоначалното заявление на субекта на данни и е постановил решението си по незаявено искане пред администратора, в нарушение на процесуалните правила. Счита се, че съдът не е обсъдил доводите и възраженията на администратора на лични данни и не е дал правна оценка дали обжалваният отговор е законосъобразен или не.При липса на индивидуализация на исканите документи от субекта на данни, съдът е достигнал до неправилен извод, че администраторът на лични данни е длъжен да предостави на жалбоподателя (касационен ответник) всички документи, които съдържат негови лични данни. Релевират се възражения, че съдът не е установил наличие на легитимен интерес за субектана данни от предоставяне на докумените, както и не се е съобразил с практиката на СЕС. При тези съображения, развити подробно в касационната жалба, иска да се отмени обжалваното решение и се реши спорът по същество като се отхвърли първоначалната жалба. Претендира се присъждане на разноски за двете инстанции. Ответникът по касационната жалба - Д. С. К., чрез пълномощника си, представя писмен отговоро, в който изразява становище, че обжалваното решение е правилно, не са налице сочените касационни основания за отмяната му, поради което иска да се остави в сила. Претендира присъждане на разноски за касационното производство. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подаден в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното: С обжалваното решение АС - Благоевград е отменил отказ на "Кредирект" ЕООД да предостави на Д. С. К. копия от всички документи, съдържащи личните й данни, обработвани от „Кредирект“ ЕООД, като администратор на личнни данни, по повод сключени с Д. С. К. договори за потребителски кредит и договор за обезпечение и е изпратил преписката на администратора на лични данни за ново произнасяне, в едномесечен срок от получаване на съобщение за влизане в сила на настоящото решение, по заявлението за упражняване право на достъп до информация от 23.05.2025 г., подадено от Д. С. К., съобразно задължителните указания по тълкуване и прилагане на закона в мотивите в решението. За да постанови обжалвания резултат съдът е приел от фактическа и правна страна следното: На 23.05.2025 год. Д. С. К., чрез адвокат Цонев, е подала по електронен път до „Кредирект“ ЕООД искане, подписано с електронен подпис, с което на основание чл.15 от Регламент (ЕС) 2016/679 е поискала от дружеството, в качеството му на администратор на лични данни да й предостави копия от всички документи, в които се съдържат лични данни на Д. С. К.. Предоставен е електронен адрес, на който да се изпрати отговорът и документите. На 23.06.2025 год., е получено писмо по електронен път – отговор на длъжностно лице по защита на данните в „Кредирект“ ЕООД. С писмото се потвърждава, че дружеството обработва личните данни на Д. К., като е посочено, че личните й данни са събрани, обработват се и се съхраняват във връзка с договорното отношение между нея и „Кредирект“ ЕООД. В отговора са описани целите на обработката на личните данни, посочено е общо категориите получатели на лични данни на субекта. Посочено е също, че личните данни ще се съхраняват за период от 5 години от началото на календарната година, следваща годината на прекратяване на отношенията между страните. Заявителят имал право да получи само данните, които той сам е предоставил и които се обработват по автоматичен начин. Екземпляр от исканите документи лицето е получило при сключването на договора, като в общите условия не се съдържат лични данни и не попадат в обхвата на заявеното от негова страна право, както и параметрите на договора за кредит. Отговорът е подписан с електронен подпис от длъжностното лице по защита на данните. В хода на първоинстанционното производство е изяснено, че Д. К. е страна по сключен на 12.06.2023 г. договор за потребителски кредит; договор за потребителски кредит сключен на 10.06.2024 г. и договор за обезпечен потребителски кредит, сключен на 22.01.2025 г. с „Кредирект“ ЕООД. При тези фактически обстоятелства, съдът е обсъдил подробно приложимите разпоредби от Регламент (ЕС) 2016/679 и въз основа на направения анализ е приел от правна страна, че за "Кредирект“ ЕООД, в качеството му на администратор на лични данни, е налице задължението по член 15, параграф 3 от Регламент (ЕС) 2016/679 да предостави на субекта на данните копие от поисканите лични данни, съдържащи се в договора за кредит, в заявената форма за получаване и на посочения от лицето адрес за кореспонденция. Поради това е отменил обжалвания акт и изпратил преписката на административния орган за ново разглеждане. Решението е неправилно поради постановяването му в нарушение на съдопроизводствените правила и неправилно приложение на материалния закон. Съдът правилно е приел, че "Кредирект" ООД е администратор на лични данни по смисъла на член 4, параграф 7 от Регламент (ЕС) 2016/679, до който е адресирано искането на субекта на данни, при упражняване на правата му по член 15 ОРЗД и в този контекст правилно е идентифицирал същия като надлежна ответна страна в процеса. Издаденият от името на "Кредирект“ ООД акт в отговор на заявлението на субекта на данни е подписан от длъжностното лице по защита на данните. В тази връзка съдът изобщо не се е занимал с въпроса за компетентността на длъжностното лице по защита на данните да представлява и действа от името на администратора на лични данни, с оглед функциите и задачите на същото. Функциите и задачите на длъжностното лице по защита на данните са регламентирани в член 37 - 39 от Регламент (ЕС) 2016/679. Съгласно член 39 ОРЗД длъжностното лице по защита на данните изпълнява най-малко следните задачи: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. От визираните разпоредби е видно, че от самото качество на длъжностното лице по защита на данните не следва, че притежава правомощия за издаване на актове от името на администратора на лични данни по заявления на субектите на данни при упражняване на правата им по член 15 – 22 ОРЗД. В нарушение на правилото по чл. 168, ал. 1 АПК съдът не е проверил законосъобразността на оспорения административен акт на всички основания по чл. 146, т. 1 - 5 АПК и не е обсъдил компетентността на издателя на акта. Решението е постановено в нарушение на съдопроизводствените правила, поради което следва да се отмени и делото се върне за ново разглеждане от друг състав на същия съд, който следва да изясни въпросите, свързани с валидността на волеизявлението на длъжностното лице за защита на данните от името на администратора на лични данни. С оглед изхода на спора и на основание чл. 226, ал. 3 АПК, първоинстанционният съд следва да се произнесе и по разноските, направени пред касационната инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,