Решение № 1646 от 13.02.2026 г. на ВАС по адм. д. № 5212/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на "Профи Кредит България“ ЕООД, чрез процесуален представител срещу решение № 160 от 04.02.2025 г., постановено по адм. дело №504/2024 г. по описа на Административен съд (АС) - Шумен. С обжалваното решение АС-Шумен е отменил отказ за предоставяне на копие от договор за потребителски кредит и съпътстващите го документи, инкорпориран в писмо от 12.12.2024 г. и потвърден в последващо писмо от 19.12.2024 г., на „Профи Кредит България“ ЕООД, в качеството му на администратор на лични данни, да предостави на Р. А. Й. въз основа на искане, подадено по електронен път на 09.12.2024 г. чрез пълномощника й, копия на всички носители на личните й данни – договори, стандартни европейски формуляри, погасителни планове и др., като незаконосъобразен и е върнал преписката на дружеството за ново произнасяне по искането, като е определил 7-дневен срок за произнасяне, считано от влизане в сила на съдебното решение. В касационната жалба се навеждат доводи за неправилност на съдебното решение, поради нарушения на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - касационни основания за отмяна по смисъла на чл. 209, т. 3 АПК. Счита, че съдът не е изискал от органа цялата преписка по издаването на акта, което е довело до неправилно установяване на фактическата обстановка по случая и е възпрепятствало съда да формира извод относно правнорелевантните факти по делото. Твърди, че съдът неправилно е приел, че е налице отказ, тъй като с обжалвания акт е предоставено на Й. копие на всички нейни лични данни, обработвани от дружеството, т.е. исканата информация е предоставена в пълен обем и администраторът на лични данни не е дал повод за образуване на делото. Позовава се на практиката на Съда на Европейския съюз по дело № С-487/21, в което е посочено, че терминът „копие“ се отнася не до документа като такъв, а до личните данни, които той съдържа и които трябва да са пълни. Счита, че ОРЗД не вменява на администраторите задължение за предоставяне на копие от документите, в които се съдържат данните, а задължение за предоставяне на копие от обработваните лични данни на субекта във формат, който предоставя информацията по достъпен и разбираем начин. Излага доводи, че съдът е изложил противоречиви мотиви.. При тези съображения, развити в жалбата иска да се отмени обжалваното решение и да се реши спорът по същество като се отхвърли първоначалната жалба. Претендира присъждане на разноски по делото, както и прави възражение за прекомерност на адвокатското възнаграждение на пълномощника на ответната страна. Ответната страна – Р. А. Й., чрез процесуален представител, в представен писмен отговор и в писмено становище оспорва касационната жалба. Счита, че обжалваното решение е правилно и не са налице сочените касационни основания за отмяна, поради което иска да се остави в сила. Претендира разноски. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е основателна по следните съображения: Производството пред АС-Шумен е образувано по жалба на Р. А. Й. срещу отказ за предоставяне на копие от договор за потребителски кредит, съдържащ нейни лични данни, на „Профи кредит България“ ЕООД, в качеството му на администратор на лични данни. С определение № 19 от 06.01.2025 г. съдът е конституирал като жалбоподател Р. А. Й. и ответник - „Профи Кредит България“ ЕООД. Съдът е приел от фактическа страна, че Р. Й., чрез пълномощник, е отправила на 09.12.2024 г., чрез електронна поща, надлежно искане по чл. 37б от Закона за защита на личните данни (ЗЗЛД) до „Профи Кредит България“ ЕООД в качеството му на администратор на лични данни, за предоставяне на копие от сключен между страните договор за кредит № 40025146766, по силата на които дружеството й е предоставило заем, ведно с всички съпътстващи договора документи. Приел е, че в отговор от 12.12.2024 г., изпратен до посочената от жалбоподателката електронна поща е постъпила информация относно това кои точно лични данни се обработват, но без към тях да са приложени поисканите копия от сключеният между страните договор, ведно със съпътстващите документи. Посочил е, че с допълнителна молба от 13.12.2024 г. до „Профи Кредит България“ ЕООД, било изпратено повторно искане, с което отново е поискана идентична информация, ведно с всички приложени към договора документи. На 19.12.2024 г. на посочената електронна поща, е получено уведомление, по смисъла на което, според ответното дружество, поисканата информация е предоставена пълно, точно и коректно. Посочил е, че към отговор на „Профи Кредит България“ ЕООД от 12.12.2024 г., не са приложени копия на носителите на обработваните лични данни на Й. - в случая договори за потребителски кредит, нито в него се съдържа изрично формулиран отказ за предоставянето им. Приложен е договор за потребителски кредит със заличени данни и искане за отпускане на потребителски кредит. За да постанови обжалваното решение, съдът е приел, че подаденото от Р. Й. искане от 09.12.2024 г. е във връзка с упражняване на правата й по чл. 15 от ОРЗД, а съгласно § 3 на цитираната разпоредба администраторът е длъжен да предостави копие от личните данни на субекта. С непредоставянето им по направеното искане, в тази част е формиран незаконосъобразен отказ, който съдът е отменил. Решението е неправилно. АС-Шумен е бил сезиран с жалба от Р. Й. срещу отказ на „Профи кредит България“ ЕООД, в качеството му на администратор на лични данни, да предостави копие от договор за потребителски кредит и съпътстващите го документи, съдържащ нейни лични данни. В жалбата е посочено, че отказът е формиран като писмо в електронно съобщение, изпратено до електронната поща на процесуалния представител адв. Русинов. Видно от доказателствата по делото оспореният отказ представлява писмо, в което е посочено, че е от „Профи кредит България“ ЕООД, но е издадено от М. Р. Д., старши одитор и длъжностно лице по защита на личните данни при „Профи кредит България“ ЕООД. По делото не е спорно, че „Профи Кредит България“ ЕООД е администратор на лични данни по см. на чл. 4 т. 7 ОРЗД, но оспореното писмо не е подписано от представляващия това юридическо лице, нито от друго лице в хипотеза на изрично прехвърляне на компетентност от администратора на лични данни по см. на ОРЗД. Съдът неправилно е приел, че отказът, обективиран в писмо от 12.12.2024 г. и потвърден в последващо писмо от 19.12.2024 г., е издаден от компетентен орган. Видно от акта е, че същият е издаден от името на „Профи Кредит България“ ЕООД, но е подписан от длъжностното лице по защита на данните към дружеството. Длъжностното лице по защита на данните не разполага със законови правомощия да издава актове от името на администратора на лични данни. Съгласно член 37, параграф 1, 5 и 6 от Регламент (ЕС) 2016/679 администраторът на лични данни определя длъжностното лице по защита на данните въз основа на неговите професионални качества, и по-специално въз основа на експертните му познания в областта на законодателството и практиките в областта на защитата на данните и способността му да изпълнява задачите, посочени в член 39. Длъжностното лице по защита на данните може да бъде член на персонала на администратора или на обработващия лични данни или да изпълнява задачите въз основа на договор за услуги. Администраторът и обработващият лични данни правят необходимото длъжностното лице по защита на данните да не получава никакви указания във връзка с изпълнението на тези задачи. В член 38 от Регламента е предвидено, че длъжностното лице по защита на данните не може да бъде освобождавано от длъжност, нито санкционирано от администратора или обработващия лични данни за изпълнението на своите задачи, с което се гарантира неговата автономност спрямо администратора на лични в тази сфера на дейността му. Субектите на данни могат да се обръщат към длъжностното лице по защита на данните по всички въпроси, свързани с обработването на техните лични данни и с упражняването на техните права съгласно настоящия регламент. В тези случаи длъжностните лица по защита на данните комуникират пряко със субектите на данни, действайки от свое име по силата на длъжността, която изпълняват. Функциите и задачите на длъжностното лице са очертани в параграф 39 ОРЗД и те са: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. В член 38, параграф 6 ОРЗД е предвидено, че длъжностното лице по защита на данните може да изпълнява и други задачи и задължения. Администраторът или обработващият лични данни прави необходимото тези задачи и задължения да не водят до конфликт на интереси. В Насоки за длъжностните лица по защита на данните, приети на 13 декември 2016 г., последно преразгледани и приети на 5 април 2017 г. от Работната група, създадена в съответствие с член 29 от Директива 95/46/ЕО, по отношение изпълнението на задачите от длъжностното лице по защита на данните е посочено, че същото следва да действа независимо, за което са предвидени няколко гаранции в член 39 от Регламент (ЕС) 2016/679: -не се дават указания от страна на администраторите или обработващите лични данни по отношение на изпълнението на задачите на ДЛЗД; -не се допуска освобождаване от длъжност от страна на администратора във връзка с изпълнението на задачите на ДЛЗД; -не се допуска конфликт на интереси с евентуални други задачи и задължения. Изискването другите задачи и задължения на ДЛЗД да не водят до конфликт на интереси означава, че ДЛЗД не може да заема длъжност в рамките на организацията, която ще го задължава да определя целите и средствата за обработването на лични данни. Като такива длъжности се приемат висшите ръководни длъжности, които имат отношение към управление и представителство, включително процесуално представителство. Също така ДЛЗД не носят лична отговорност в случай на неспазване на изискванията за защита на данните. Функциите на ДЛЗД в обобщение се заключават в експертно подпомагане на администратора на лични данни. Администраторът или обработващият лични данни е този, който е длъжен да гарантира и да бъде в състояние да докаже, че обработването се извършва в съответствие с този регламент. Спазването на разпоредбите за защита на данните е отговорност на администратора или обработващия лични данни, същият е страна в правоотношенията със субектите на данни и съответно носи отговорност при нарушения на правилата за законосъобразно обработване на личните данни. Изложеното сочи, че длъжностното лице по защита на данните при изпълнение на задачите си е независимо от администратора на лични данни и не представлява последния. Нормативният регламент на задачите и функциите на ДЛЗД изключва възможността администраторът на лични данни да оправомощи ДЛЗД да издава актове от негово име, включително по заявления на субектите на данни при упражняване на правата им по член 15 от Регламента. Вписването на длъжностното лице по защита на личните данни в публичния регистър по ЗЗЛД към КЗЛД не представлява акт по прехвърляне на компетентност и не създава такава по смисъла на ОРЗД. Задължено лице да отговори по заявлението на субекта на данни по член 15 от Регламента е администраторът на лични данни и същият, при спазване на изискванията за представителство - по силата на закона или волята на представлявания, да се произнесе с изискуемия акт по заявления/искания от субекта на данни за упражняване на права по посочения текст от ОРЗД. Предвид изложеното, съдът неправилно е приел, че оспореният акт, подписан от длъжностното лице по защита на данните от името на „Профи Кредит България“ ЕООД, е издаден от компетентен орган. По силата на цитираната нормативна уредба отказът е издаден от лице, което не разполага с компетентност да представлява и действа от името на администратора на лични данни, поради което е налице основанието по чл. 146, т. 1 АПК за неговата отмяна. Поради това решението следва да се отмени и вместо него се постанови друго, с което да се обяви неговата нищожност. Съгласно чл. 173, ал. 2 АПК административната преписка следва да се изпрати на компетентния орган за произнасяне по заявлението на Р. Й. за упражняване на правата му по член 15 от Регламент (ЕС) 2016/679 в 14-дневен срок от получаване на административната преписка. С оглед изхода на спора и направеното своевременно искане за присъждане на разноски от процесуалния представител на касационния ответник, касационният жалбоподател „Профи Кредит България“ ЕООД следва да заплати на адвокат Н. Русинов адвокатско възнаграждение пред двете инстанции по договор за правна защита и съдействие с адв. Русинов по чл. 38, ал. 1, т. 2 от Закона за адвокатурата от 13.12.2024 г. и от 03.04.2025 г., общо в размер на 971, 45 евро – 511,29 евро разноски пред административния съд и 460,16 евро – за касационната инстанция. Воден от горното и на основание чл. 221, ал. 2, предложение последно вр. чл. 222, ал. 2, т. 1 АПК, Върховният административен съд, състав на пето отделение