Решение № 13227 от 18.12.2025 г. на ВАС по адм. д. № 8628/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс/АПК/. Образувано е по касационна жалба на Сити Кеш ООД, чрез юрк. Ц. Бочева, срещу решение 6564 от 16.07.2025 г. по адм. дело 804/2025 г. на Административен съд Хасково (АС Хасково). С обжалваното решение АС Хасково е отменил отказ на Сити Кеш ООД, обективиран в писмо от 19.03.2025 г., да предостави на В. И. Т. договор за потребителски кредит 821346, ведно със съпътстващите го документи и е изпратил преписката на административния орган за ново произнасяне по искането на В. И. Т., при спазване на указанията на съда по тълкуване и прилагане на закона. Касационният жалбоподател поддържа, че решението е неправилно, поради постановяването му при допуснати съществени нарушения на съдопроизводствените правила и неправилно приложение на материалния закон касационни основания за отмяната по чл. 209 т. 3 АПК. Намира, че съдът неправилно е тълкувал и приложил член 15 параграф 3 от Регламент (ЕС) 2016/679, която разпоредба, според него не предвижда изрично задължение за администратора на лични данни да предостави копие от носителите на лични данни на субекта на данни. Иска отмяна на решението на първоинстанционния съд и отхвърляне на жалбата. Претендира присъждане на разноски . Ответникът по касационната жалба В. И. Т., оспорва касационната жалба като неоснователна. Счита, че обжалваното решение е правилно и не са налице сочените касационни основания за отмяната му. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е частично основателна. За да постанови обжалваното решение, съдът е приел от фактическа страна следното: С молба от 19.02.2025 г. В. И. Т. е поискала, на основание член 15 и 20 от Регламент (ЕС) 2016/679, в качеството й на субект на данни, да й бъде предоставено копие от договор за паричен заем 821346, сключен между нея и Сити Кеш ООД, ведно с всички съпътстващи договора документи. Посочено е в молбата, че искането е направено с оглед проверка законността на обработката на личните й данни. С писмо от 19.03.2025 г., изпратено по електронна поща от името на П. Луканова длъжностно лице по защита на данните в Сити Кеш ООД, заявителката е уведомена, че Сити Кеш ООД обработва нейни лични данни като страна по кредит. В писмото са описани категориите лични данни, целите на обработката на личните данни, категориите получатели на лични данни и третите лица, на които те се предоставят, сроковете за съхранение и правата на субекта. По искането на В. И. Т. за предоставяне на копие от сключения Договор за кредит 821346, ведно със съпътстващите договора документи, е посочено, че еднообразен екземпляр от горепосочения договор за кредит ѝ е предоставен надлежно от кредитора при сключване на същия, а в частта относно всички съпътстващи договора документи е счетено, че същото е неясно, поради липса на конкретика, поради което искането е намерено за неоснователно. При така установеното от фактическа страна съдът е приел от правна страна, че обжалваният акт е издаден от компетентен орган, в предвидената от закона форма, не са допуснати съществени нарушения на административнопроизводствените правила, но същия е в несъответствие с материалния закон. Посочил е, че по делото няма спор, че между страните е налице облигационно правоотношение, възникнало по силата на сключен договор за потребителски кредит, като жалбоподателката е субект, чийто лични данни са обработвани от дружеството и съответно има право на достъп до обработваните от администратора лични данни съгласно чл.15 от Регламент (ЕС) 2016/679. След обстоен анализ на относимите материалноправни норми, съдът е направил извод, че исканата информация не е била получена в пълен обем от оспорващата. Поради това решаващият съд е приел, че отказа да се удовлетвори напълно искането на В. И. Т. е в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. а от Регламент (ЕС) 2016/679. Приел е, че субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали те се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679. Така постановеното съдебно решение е неправилно, в частта в която е отменен изричния отказ на "Сити кеш" ООД за предоставяне на копие от сключения между страните договор за кредит и съпътстващите договора документи. Съдът неправилно е приел, че обжалвания акт е постановен от компетентен орган. Съгласно чл. 39 ал. 1 от Закона за защита на личните данни (ЗЗЛД), при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. На обжалване подлежат актове, действия или бездействия на администратора и на обработващия лични данни. Съгласно чл. 37б ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 - 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Съгласно чл. 37б ал. 2 ЗЗЛД, заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. Член 15, § 1 от Регламент (ЕС) 2016/679 предвижда, че субектът на данни има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните. В чл. 15, § 3 от същия регламент е предвидено, че администраторът предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго. Обжалваният пред АС Хасково отказ на Сити кеш ООД е обективиран в писмо, с посочен в него автор П. Луканова - длъжностно лице по защита на данните в Сити кеш ООД, изпратено от електронен адрес до В. И. Т. . По делото не са представени доказателства, установяващи, че длъжностното лице по защита на личните данни при "Сити кеш" ООД разполага с компетентност за издаване на актове от името на администратора на лични данни. По подадени заявления до администратора на лични данни, с които се упражнява право по чл. 15-22 от Регламента, задължен да се произнесе по същите е администраторът на лични данни. С оглед изложеното първоинстанционният съд неправилно е приел, че писмото от 19.03.2025 г., издадено от длъжностното лице по защита на данните в Сити кеш ООД, е издадено от компетентен орган. Решението на първоинстанционния съд, в частта, в която е отменен изричен отказ, обективиран в писмо от 19.03.2025 г. на длъжностното лице по защита на личните данни при "Сити кеш" ООД като неправилно следва да се отмени и вместо него се постанови ново, с което изричният отказ се обяви за нищожен. В останалата част решението на АС Хасково следва да бъде оставено в сила - в частта, в която съдът е постановил делото като преписката да се изпрати на администратора на лични данни компетентния орган да се произнесе по подаденото заявление. С оглед изхода на спора разноски не следва да бъдат присъждани. Воден от горното и на основание чл. 221 ал. 2 от АПК, Върховният административен съд, пето отделение