Решение № 7101 от 28.6.2023 г. на ВАС, V о.

Производството е по реда на чл. 208 и следващите от Административнопроцесуалния кодекс (АПК) във връзка с чл. 39 от Закона за защита на личните данни /ЗЗЛД/ Образувано е по касационни жалба на Микро Кредит АД със седалище и адрес на управление гр. София, чрез адв. Г. Митев, срещу решение 487 от 08.12.2022 г., постановено по адм. д. 460/2022 г. по описа на Административен съд - Стара Загора. С оспорения съдебен акт по жалбата на П. Петков, с постоянен адрес гр. Стара Загора, [улица], е отменен мълчалив отказ на Микро Кредит АД в качеството му на администратор на лични данни, да предостави на жалбоподателя информация относно обработвани лични данни и копия на всички сключени между П. Петков и Микро Кредит АД договори за кредит в периода от 27.05.2017 г. 27.05.2022 г. В касационната жалба са наведени доводи за неправилност на решението, поради необоснованост и неправилно прилагане на материалния закон. Първоинстанционният съд не е разгледал и не се е произнесъл по всички оплаквания на жалбоподателя и изложените в тяхна подкрепа съображения и доказателства. В хода на устните състезания дружеството ясно е посочило, че исканите документи и съдържанието им представляват търговска тайна по смисъла на § 1, т. 9 от Закона за защита на конкуренцията /ЗЗК/, а именно представляват факти и данни, свързани със стопанската дейност на дружеството, чието запазване в тайна е в негов интерес. Съдът не е направил дължимата проверка и не е изложил мотиви защо не възприема релевираните оплаквания. Обжалваното решение не отговаря на изискването за посочване на фактическите и правни изводи, не са обсъдени изложените от страните доводи и възражения и всички събрани по делото доказателства. Това опорочава съдебното решение и води до неговата неправилност. Съдът неправилно е приел, че процесното заявление за предоставяне на лични данни е подадено от лице, притежаващо представителна власт, тъй като пълномощното, с което Петков е упълномощил адв. Мавров да го представлява пред Микро Кредит АД, не включва получаването на лични данни. Първоинстанционният съд неправилно е указал на Микро Кредит АД в качеството му на администратор на лични данни, да изпълни задължението си по чл. 15 § 3 ОРЗД като предостави на субекта П. Петков поисканите лични данни, съдържащи се в съставените договори за кредит през периода 27.05.2017 г. 27.05.2022 г., в заявената форма за получаване на информацията по електронен път на посочен имейл адрес. Съгласно чл. 55, ал. 2, т. 3 от ЗЗЛД, субектът има право да получи личните данни, които са в процес на обработване и всякаква информация относно техния произход, но не и копия от сключените във връзка с обработката на тези данни облигационни договори, които представляват търговска тайна, тъй като съдът не разполага с правомощието да задължи търговското дружество да представи копия от търговски сделки. Моли да се отмени решението и вместо него да се отхвърли жалбата срещу мълчаливия отказ. Претендира разноски за две инстанции, съгласно списък по чл. 80 от ГПК. В съдебно заседание не се представлява, представя писмено становище. Ответникът по касация П. Петков, редовно уведомен, не се явява и не се представлява. В писмен отговор чрез адв. Мавров изразява доводи за неоснователност на касационната жалба. Счита, че оспорваният съдебен акт е правилен, постановен в съответствие с материалния и процесуалния закон и моли да се остави без уважение касационната жалба. Излага съображения, че мотивите на първоинстанционния съд са ясни и формирани в резултат на собствената му дейност по оценка и анализ на събраните по делото доказателства и обсъждане на доводите и възраженията на страните. Касаторът не е съгласен с крайния резултат на съдебната проверка, но това не означава, че съдебният състав не е обсъдил всички възражения, включително и твърдяното от него, че личните данни и носителите на лични данни представляват търговска тайна. Досежно възраженията на Микро Кредит АД относно пълномощното на процесуалния представител на жалбоподателя, не се споделя тезата на дружеството за недопустимост на заявлението, поради подаването му от лице без надлежна представителна власт. Видно от представените по делото доказателства, към подаденото по електронен път искане, подписано от адвокат М. Мавров, с валиден електронен подпис е било приложено пълномощно от 31.03.2022 г. /в съответствие с изискването по чл. 37в, ал. 2 от ЗЗЛД/, в което П. Петков изрично го упълномощава да го представлява пред Микро Кредит АД, като упражнява всички негови законоустановени и договорно установени права и в тази връзка депозира молби заявления и искания. Намира приложение принципът, че който има право да извърши по-голямото, може да извърши и по-малкото, като процесното пълномощно следва да се тълкува разширително в полза на пълномощника. Администраторът е следвало на основание чл. 12, § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива и за отмяна на Директива 95/46/EО (наричан също Общ регламент за защита на данните "ОРЗД"), да съдейства за упражняването на правата на субекта на данните по чл. 15-22, дори и заявлението да не отговаря изцяло на изискванията на чл. 37в, ал. 1, т. 3 от ЗЗЛД. Администраторът е следвало на основание чл. 12, § 4 от Регламент 2016/679 да уведоми субекта на данни най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Оспорва доводите на касатора, че исканите данни представляват търговска тайна. Дружеството има предмет на дейност сключване на договори за заем, като ответникът е страна по такъв договор с него и е имал достъп до данните. Цитира съдебна практика, според която за да е осъществен съставът на чл. 37 от Закона за защита на конкуренцията /ЗЗК/, се изисква узнаването, използването или разгласяването на производствена или търговска тайна да е осъществено от конкурентното предприятие по начин, който противоречи на добросъвестната търговска практика и който създава възможност или реално уврежда интересите на правоимащия конкурент. При липсата на конкурентни отношения е невъзможно да бъдат извършени действия на нелоялна конкуренция. В случая става въпрос за лице, което е страна по договорите за заем и желае да получи информация за личните данни, които са обработвани от администратора на личните данни, както и да съпостави отговора на последния с носителите на лични данни, за да се увери в твърдяното от него. Микро Кредит АД е администратор на лични данни и е задължен по смисъла на чл. 12 от Регламента да предприема необходимите мерки за предоставяне на всякаква информация, която се отнася до обработването на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Информацията трябва да се предоставя писмено или по друг начин, включително, когато е целесъобразно с електронни средства, както и е длъжен да съдейства за упражняване на правата на субекта на данните по чл. 15-22 от Регламента. Такава информация представлява не само информация за данните, които се обработват, но и за носителя на личните данни. Това е основанието за събирането им по смисъла на чл. 6, б. б от Регламента, защото копие от договора се желае от страна по него, т. е. в него няма нищо конфиденциално, на основание чл. 15 и чл. 20 от Регламента, съгласно който субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат. Претендира разноски за адвокатско възнаграждение в размера на законовия минимум по смисъла на Наредба 1 от 09.07.2004 г. за минималния размер на адвокатските възнаграждения и на основание чл. 38, ал. 1 от Закона за адвокатурата. В съдебно заседание не се явява и не се представлява, представя писмено становище. Представителят на Върховната административна прокуратура изразява мотивирано становище за допустимост и неоснователност на касационната жалба. Обосновано е прието от съда, че е формиран мълчалив отказ по смисъла на чл. 58, ал. 1 от АПК, след като дружеството като администратор на лични данни по § 1, т. 2 от ДР на ЗЗЛД, във връзка с чл. 4, т. 7 от Регламент (ЕС) 2016/679 не се е произнесъл по подаденото искане от П. Петков в срока по чл. 12, § 3 и § 4 от Регламент (ЕС) 2016/679. При осъществения контрол за законосъобразност, правилно е установено от съда, че в нарушение на чл. 15, § 3 от Регламент (ЕС) 2016/679 администраторът на лични данни Микро Кредит АД не е предоставил по искането от 27.05.2022 г. на П. Петков достъп до заявените лични данни, след като няма спор по делото, че същите се обработват от дружеството (кредитодател) във връзка със сключени договори за кредити между тях в периода 27.05.2017 г. 27.05.2022 г. Правилен е и изводът, че се касае за договорни отношения, по които Петков е страна и същите не представляват търговска тайна по смисъла на § 1, т. 9 от ЗЗЛД, както и че е налице валидно упълномощаване за получаване на исканите документи, касаещи договорите за кредит, сключени между дружеството и физическото лице. Решението е съобразено с материалния закон и правото на общността и практиката на Европейския съюз. Касационната жалба е подадена в срок и е процесуално допустима. Разгледана по същество е неоснователна. Предмет на съдебен контрол в производството пред Административен съд Стара Загора е мълчалив отказ на Микро Креди АД по подадено от П. Петков на 27.05.2022 г. чрез електронна поща искане, на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на съвета, чрез адв. М. Мавров, дружеството в качеството му на администратор на лични данни, да му предостави копие от всички договори за кредит, които са сключвани между П. Петков в качеството му на кредитополучател и Микро Кредит АД в качеството му на кредитодател в периода 27.05.2017 г. 27.05.2022 г. В искането е посочено, че въпросните документи са носители на личните данни на Петков и съответно тези данни се обработват на основание сключените облигационни правоотношения между страните, като именно поради това Петков моли да бъдат предоставени на имейл адрес : kantora@mavrov.bg. В искането е посочено също, че в случай, че дружеството прецени, че на основание чл. 20 от Регламента не може да предостави тази информация, то Петков моли на основание чл. 11, ал. 1, т. 12 от Закона за потребителския кредит /ЗПК/ да му се предоставят всички договори за потребителски кредит, както и разбивка на заплатеното от него по тях. Към искането е приложено пълномощно, с което П. Петков упълномощава адвокат М. Мавров да го представлява пред Микро Кредит АД. В законоустановения срок не е предприето от дружеството исканото предоставяне на копия от документи, поради което П. Петков е оспорил формирания според него мълчалив отказ от предоставяне на исканите данни пред Административен съд - Стара Загора. Ответникът по касация е възразил срещу оспорването като недопустимо по аргумент от чл. 38, ал. 1 във връзка с ал. 3 от ЗЗЛД. На основание чл. 38, ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни има право да сезира Комисията за защита на личните данни /КЗЛД/ в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му. Съгласно чл. 38, ал. 3 от ЗЗЛД, КЗЛД се произнася с решение, като може да приложи мерките по чл. 58, параграф 2, букви "а" - "з" и "й" от Регламент (ЕС) 2016/679 или по чл. 80, ал. 1, т. 3, 4 и 5 и в допълнение към тези мерки или вместо тях да наложи административно наказание в съответствие с чл. 83 от Регламент (ЕС) 2016/679, както и по глава девета. Съгласно чл. 38, ал. 4 от ЗЗЛД, когато жалбата е очевидно неоснователна или прекомерна, с решение на комисията жалбата може да се остави без разглеждане. Съгласно чл. 38, ал. 8 от ЗЗЛД в относимата редакция, (изм. - ДВ, бр. 17 от 2019 г.), решението на комисията по ал. 3 и 4 подлежи на обжалване по реда на АПК в 14-дневен срок от получаването му. Съдът правилно е приел жалбата на П. Петков срещу мълчалив отказ от предоставяне на данни от Микро Кредит АД за допустима. Съобразно установената съдебна практика на ВАС, /например определение 15364 от 10.12.2020 г. по адм. д. 11137/2020 г., пето отделение на ВАС/, е неправилен изводът, че когато са нарушени правата на субекта на данни по Регламент (ЕС) 2016/679 и по този закон, той следва задължително да оспори по административен ред действията, бездействията или актовете на администратора на лични данни, като сезира Комисията за защита на личните данни и едва след приключване на административното производство разполага с възможност да оспори решението на надзорния орган пред съда. В чл. 38, ал. 1 от ЗЗЛД е предвидено, че при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон, субектът на данни има право да сезира комисията в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му. Съгласно чл. 39, ал. 1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс, като в ал. 4 на чл. 39 от ЗЗЛД е въведено ограничително условие, според което субектът на данни не може да сезира съда, когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. По искане на субекта на данни или на съда, комисията удостоверява липсата на висящо производство пред нея по същия спор. В случая служебно е удостоверено от КЗЛД, че пред нея няма висящо производство по същия спор. Съобразно становището в практиката на ВАС, видно от съдържанието на релевантните правни норми, в закона не е предвидено императивно изискване субектът на данни да се обърне към Комисията за защита на личните данни и едва след като изчерпи възможността да защити правата си по административен ред, да сезира съда. Със Закона за защита на личните данни е предоставена възможност на субекта на лични данни да прецени по кой ред ще защитава нарушените си права по Регламент (ЕС) 2016/679 и по този закон. От разпоредбата на чл. 39, ал. 4 от ЗЗЛД следва, че процесуална пречка за сезиране на съда е висящо производство пред комисията, образувано по жалба на същия засегнат субект, при идентичност на предмета на нарушението и нарушителя, съответно когато страните са отнесли към съда спора за законосъобразност на решението на надзорния орган. Целта на разпоредбата е да не допуска идентични спорове да се развиват паралелно пред надзорния орган и пред съда. Текстът на чл. 39, ал. 4 от ЗЗЛД следва да бъде тълкуван и прилаган в контекста на общите правила за подведомственост на споровете, които не допускат да бъде конкурирана компетентността на съда, който е приел оспорването/иска за разглеждане, респ. да се развият паралелно съдебни производства по различен процесуален ред, но с идентични страни и предмет. В случая по делото няма данни за висящо административно производство пред КЗЛД по жалба на ответника по касация, само при наличието на която би било налице основание за прекратяване на съдебното производство и изпращане на делото като административна преписка по подведомственост на надзорния орган. Жалбоподателят е упражнил правото си да сезира съда с жалба по реда и на основание чл. 39, ал. 1 от ЗЗЛД, поради което съдът е бил длъжен да разгледа и се произнесе по нейната допустимост и основателност. Изложеното налага извод за валидност и допустимост на решението на Административен съд - Стара Загора. Разгледано по същество, същото е правилно, постановено в съответствие с материалния закон, процесуалните правила и с целта на закона. Административен съд - Стара Загора правилно е отменил мълчаливия отказ като незаконосъобразен. Търговското дружество е било сезирано със заявление по чл. 37б от ЗЗЛД, отправено му в качеството на администратор на лични данни от субект на данни, а именно П. Петков чрез адв. Мавров, като изискванията за такива заявления са посочени в чл. 37в от ЗЗЛД. Съгласно чл. 37б, ал. 1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 - 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Съгласно чл. 37б, ал. 2 от ЗЗЛД, заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. В чл. 37б, ал. 3 от ЗЗЛД е предвидено, че заявление може да се подаде и чрез действия в потребителския интерфейс на информационната система, която обработва данните, след като лицето е идентифицирано със съответните за информационната система средства за идентификация. Съгласно чл. 37в, ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция. Съгласно чл. 37в, ал. 2 от ЗЗЛД, при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното. Ако администраторът е приел, че съществува неяснота относно подаденото искане от заявителя, неговата самоличност или обхвата на упълномощаването на адв. Мавров, е следвало да процедира по реда на чл. 12, § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО, респективно чл. 35-36 от АПК и да предприеме действия по изясняване на фактите и обстоятелствата във връзка с подаденото искане. Следвало е да уведоми заявителя за причините да не разглежда заявлението му, в изпълнение чл. 12, § 4 от Регламента, а не до запази мълчание по искането, без да го уведоми с изричен акт, че заявлението му по чл. 37б от ЗЗЛД не отговаря на изискванията и/или не следва да бъде удовлетворено, като посочи мотивите за това. След като съдът е установил категорично, че дружеството е администратор на лични данни и съхранява, обработва и предоставя на трети лица лични данни на заявителя П. Петков, и като не се е произнесъл по същество по неговото заявление от 27.05.2022 г., което съдържа конкретно формулирани искания, той е нарушил чл. 12, § 1, § 2, § 3 и § 4, във връзка с чл. 15 и чл. 20 от Регламента. Съгласно чл. 12, § 1 от Регламента администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. § 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. § 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Съгласно § 4 от същата норма на Регламента, ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Според релевантната в случая разпоредба на чл. 15, § 1 от Регламент 2016/687, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: целите на обработването; съответните категории лични данни; получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; правото на жалба до надзорен орган; когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните. Според чл. 20, ал. 1 от Регламент 2016/687, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и обработването се извършва по автоматизиран начин. Настоящият съдебен състав намира, че обжалваното решение е правилно, като споделя изложените от административния съд мотиви в изпълнение на чл. 221, ал. 2, изр. второ от АПК относно незаконосъобразността на мълчаливия отказ на търговското дружество, администратор на лични данни. По делото е безспорно, че "Микро Кредит" АД е било сезирано с искане по реда и условията на Глава III от Регламента, като последното не е отговорило при спазване изискванията на чл. 37в, ал. 1 от ЗЗЛД относно съдържанието на такова запитване. Целта на уведомяването на субекта на данни е да узнае причините, поради които администраторът няма да му предостави исканата информация, за да може да отстрани пречките, поради които по искането не се предприемат действия или той да сезира надзорния орган. Лицето не е било уведомено за причините, поради които то не е предприело действия по искането, не е отстранило евентуални недостатъци в същото, което е препятствало получаване на исканата информация относно данните, които са обработвани по повод сключени договори за заем с дружеството /един от които е представен по делото/, респ. и относно категориите получатели, на които са разкрити тези данни, които се обработват от него въз основа на договорите за заем. Не може да бъде споделена тезата на касационния жалбоподател, че не следва да предоставя тази информация, тъй като същата представлява търговска тайна, поради това, че заявителят е страна по сключените договори за заем. Фактът дали съхранява или не своите копия от договорите за заем не е относим към задължението на администратора на личните данни съгласно Регламента и ЗЗЛД, да ги предостави, когато са надлежно поискани по реда на чл. 37б и чл. 37в от ЗЗЛД. Не са налице и предпоставките за отказ от предоставяне, а именно конкретно изброените хипотези в чл. 37а, ал. 1 от ЗЗЛД. Съгласно тази разпоредба, администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 - 22 от Регламент (ЕС) 2016/679, както и да не изпълни задължението си по чл. 34 от Регламент (ЕС) 2016/679, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове. В случая дружеството е било сезирано с конкретни искания, по които дължи произнасяне със съдържание - указване на причините, поради които не се предприемат действия по искането или произнасяне по него с посочване какви лични данни и пред кои трети лица те са разкрити чрез предоставянето им, да отговори на какво основание следва данните да бъдат изтрити или да откаже изтриването на същите и посочи основание за това. По делото липсват доказателства за изпращан друг отговор или информация на заявителя в срока по чл. 12, § 3 от Регламента, който е едномесечен. След като подаденото заявление за достъп до лични данни по чл. 15 от ЗЗЛД, отговаря на изискванията на чл. 37б и чл. 37в от ЗЗЛД - а именно писмено заявление, адресирано е до задължено лице - администратор на лични данни, то получаването на заявлението поражда задължение за администратора на данни, до когото е отправено по чл. 12, ал. 3 от Регламента да предостави на субекта на данните информация относно действията, предприети във връзка с искане по чл. 15 -22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Безспорно е в случая, че не са налице данни за изпълнение на горното изискване, както и на изискването по чл. 12, § 1 от Регламента, според който администраторът предприема необходимите мерки за предоставяне на всякаква информация по чл. 13 и 14 и на всякаква комуникация по чл. 15 -22 и чл. 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Информацията се предоставя писмено или по друг начин, включително когато е целесъобразно, с електронни средства. Възраженията в касационната жалба не обосновават извод за неизпълнение на задължението по чл. 12, § 4 от Регламента, тъй като субекта на данните не е уведомен за причините, поради които администраторът на данните не предприема исканите действия в законовият срок, както и за мотивите за оставяне на заявлението без уважение. Съгласно чл. 15, § 1 от ОРЗД всеки субект има право да поиска достъп до данните и информацията, отнасящи се до него. Субектът на данни има право да поиска от администратора на лични данни потвърждение дали администратора обработва негови лични данни и ако това е така, достъп до данни и информация в обема, посочен в цитираната разпоредба. Отказът на заявителя Петков да получи достъп до данни по реда на чл. 15, § 1 от ОРЗД е нарушение на основните принципи за обработка на личните данни, предвидени в чл. 5, § 1, б. "а" от ОРЗД (Регламент (ЕС) 2016/687). С чл. 12, § 1 от ОРЗД администраторите на лични данни са задължени да осигурят достъп до данни на субекта на данни във форма, която да позволява на лицето да се запознае с данните и да провери дали те са точни и се обработват в съответствие с ОРЗД, което гарантира възможността му да упражни впоследствие и други права, защитени от ОРЗД. В аналогичен смисъл е решение 14729 от 27.11.2020 г. по адм. д. 9910/2020 г., пето отделение на ВАС. Предвид изложеното, обжалваното решение е правилно и следва да се остави в сила. При този изход от спора, на ответната страна следва да се присъдят съдебни разноски, представляващи адвокатско възнаграждение в размер на 1000,00 лв., на основание чл. 38, ал. 1 от Закона за адвокатурата. Съобразно изложеното и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, състав на пето отделение