Решение № 424 от 15.01.2026 г. на ВАС по адм. д. № 9382/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на „ЕОС Матрикс" ЕООД, ЕИК 131001375 (сега „ЕОС МАТРИКС“ ЕАД, 208597211), представлявано от Т. В., в качеството му на управител (сега в качеството му на Изпълнителен директор), чрез юрисконсулт М. Михайлова, срещу Решение № 1379/ 11.07.2025 г. на Административен съд – Сливен (АдмС – Сливен), постановено по адм. д. № 233/ 2025 г. Касаторът счита обжалваното решение за неправилно и противоречащо на материалноправните и процесуалните разпоредби. Излага подробни съображения за нарушение на материалния закон. Моли обжалваното решение да се отмени. В съдебно заседание касаторът, редовно призован, се представлява от юрисконсулт Михайлова, която поддържа касационната жалба. Няма искания по доказателствата. Ответникът по касация, Г. И. Г., чрез адв. К. Кръстев, АК – Сливен, в Отговор по касационната жалба оспорва същата. Моли обжалваното решение да се остави в сила. Претендира разноски. В съдебно заседание ответникът по касация не се явява, не се представлява. В Становище с вх. № 26281/ 10.12.2025 г. поддържа отговора по всички заявени в него основания. Прилага договор за правна защита и съдействие към Становището с отразено в него на договорено и заплатено в брой адвокатско възнаграждение за представителство пред ВАС. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима, като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е основателна, но не по изложените в нея доводи. За да постанови обжалваното решение, съдът е приел от фактическа страна следното: На 27.02.2025 г. в деловодството на „ЕОС Матрикс“ ЕООД (сега „ЕОС Матрикс“ ЕАД) е получена молба от жалбоподателя Г. И. Г., чрез адв. Кръстев, регистрирана с вх. № СТМТ/2025/02/00184, съдържаща искания за предоставяне на информация за какви цели се обработват личните данни на заявителя, какви категории негови лични данни се обработват, какви са получателите/категориите получатели, на които са разкрити или ще бъдат разкрити личните му данни, както и искане за предоставяне на копие от договори, уведомления, заявления и всички други документи и/или носители, съдържащи лични данни на лицето, които се обработват от дружеството в качеството на администратор на лични данни. В молбата е посочен предпочитаният начин за получаване на изисканата информация и преписи от документи – електронен адрес на молителя. Към молбата е приложено пълномощно от молителя, издадено в полза на адв. Кръстев. Съдът е приел за безспорно, че между Г. Г. и дружеството са налице правоотношения, възникнали по силата на прехвърляне на вземания по сключени договори за кредит, като заявителят е субект, чиито лични данни са обработвани от дружеството, което е счел за ответник по жалбата. Съдът е посочил, че по молба с вх. № СТМТ/2025/02/00184 е изготвен отговор от 26.03.2025 г. от „ЕОС Матрикс“ ЕООД, в който е изложено, че: искането, регистрирано с вх. № СТМТ/2025/02/00184, е идентично по съдържание с предходно искане по чл. 15 от ОРЗД, подадено от същото лице и регистрирано в деловодството на „ЕОС Матрикс“ ЕООД с вх. № СТМТ/2025/01/00080; предходното искане вече е разгледано и удовлетворено, като на него е предоставен отговор с изх. № СТМТ/2025/01/00080-out, в който са включени: копие от личните данни на Г. Г., които се обработват от „ЕОС Матрикс“ ЕООД към момента на искането, както и цялата изискуема информация, съгласно чл. 13 и чл. 14 от ОРЗД; настоящото искане представлява второ по ред с един и същ предмет; съгласно чл. 12, § 5 от ОРЗД, когато искането е явно неоснователно или прекомерно, включително поради повторяемост, администраторът има право да откаже да предприеме действия по искането или да наложи разумна такса, отчитаща административните разходи, свързани с повторното предоставяне на информация; поради това, за „ЕОС Матрикс“ ЕООД, в качеството му на администратор, няма основание да предприеме действия по искането. Съдът е отбелязал, че по делото е представен отговор от 11.01.2025 г. от „ЕОС Матрикс“ ЕООД, за датата на който отговор, в съдебно заседание на 19.06.2025 г. било заявено от пълномощника на дружеството, че е допусната техническа грешка и същата следва да се чете – 11.02.2025 г., като в този отговор били посочени целите, за които се обработват личните данни на лицето, както и категориите получатели на лични данни, съответно, че последните били подробно описани в Приложение 1-4 включително, но към отговора липсвали такива приложения, липсвали данни отговорът да е съобщен на заявителя, липсвало по делото и искането с вх. № СТМТ/2025/01/00080. Първоинстанционният съд е установил, че липсва висящо или приключило производство пред КЗЛД, което да е инициирано от жалбоподателя Г. срещу „ЕОС Матрикс“ ЕООД. При така установеното от фактическа страна, съдът е приел от правна страна, че е сезиран с редовна и допустима жалба - подадена в срок, от надлежна страна и при наличие на правен интерес, тъй като с оспорения отказ на жалбоподателя не е предоставена исканата информация и копия от документи, съдържащи лични данни. След уточнение на жалбоподателя е приел, че се обжалва отговор от 26.03.2025 г. по искане с вх. № СТМТ/2025/02/00084. Приел е, че „ЕОС Матрикс“ ЕООД попада в хипотезата на определението по чл. 4, т. 7 от Регламент (ЕС) 2016/679, съгласно която „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Направил е извод, че оспореният отказ не е в съответствие с материалния закон. Счел е, че отговорът на администратора е в нарушение на чл. 15 от Регламент (ЕС) 2016/679, предвиждащ правото на достъп на субекта на лични данни. Относно поисканите от жалбоподателя копия от договори е отчел, че разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва на конкретен субект, а посочените договори са носители на информация за обработваните лични данни по смисъла на чл. 15, § 1 от Регламент (ЕС) 2016/679, като е продължил, че дори копие от посочените договори да е на разположение на жалбоподателя, същият, в качеството си на субект на данните, не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения. При тези съображения е отменил, както е посочил в диспозитива на решението си, Отказ на „ЕОС Матрикс“ ЕООД с ЕИК 131001375, обективиран в Отговор от 26.03.2025 г. на „ЕОС Матрикс“ ЕООД с ЕИК 131001375, по молба от Г. И. Г. с вх. № СТМТ/2025/02/00184 и е изпратил преписката на „ЕОС Матрикс“ ЕООД за произнасяне по подадената от Г. И. Г. молба с вх. № СТМТ/2025/02/00184, при спазване на указанията, дадени в решението. Решението е неправилно. Съдът е установил правилно относимите към спора факти, но е достигнал до незаконосъобразни и необосновани правни изводи. Съгласно чл. 37б, ал. 1 ЗЗЛД субектът на данни упражнява правата по чл. 15 - 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Член 15, § 1 от Регламент (ЕС) 2016/679 предвижда, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните. В чл. 15, § 3 от същия Регламент е предвидено, че администраторът предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго. Безспорно по делото е установено, че на 27.02.2025 г. Г. И. Г. е подал молба до дружеството, с която е поискал от същото, в качеството му на администратор на лични данни, да му бъде предоставена информация за какви цели се обработват личните му данни, какви категории негови лични данни се обработват, какви са получателите/ категориите получатели, на които са разкрити или ще бъдат разкрити личните му данни, съответно и за предоставяне на копие от договори, уведомления, заявления и всички други документи и/или носители, съдържащи негови лични данни, които се обработват от „ЕОС Матрикс“ ЕООД в качеството на администратор на лични данни. Искането е отправено до администратора на лични данни – „ЕОС Матрикс" ЕООД към момента на подаване. В съответствие с чл. 12, § 1 и 3 от Регламент (ЕС) 2016/679 администраторът следва да предприеме необходимите действия, за да предостави на субекта на данни информация относно действията предприети във връзка с искането му по чл. 15 без ненужно забавяне и във всички случай в срок от един месец от получаване на искането, освен ако не са налице основания за удължаване на този срок. Изрично в чл. 12, § 4 е посочено, че ако администраторът не предприеме действия по искането на субекта на данни, администраторът уведомява субекта на данни без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. В случая по молбата на Г. И. е постановен отговор от 26.03.2025 г. от длъжностно лице по защита на данните в дружеството, подписан от същото. Съгласно чл. 69, ал. 1 ЗЗЛД администраторът на лични данни определя длъжностно лице по защита на данните въз основа на неговите професионални качества и по-специално въз основа на експертните му познания по законодателството и практиките в областта на защитата на личните данни и способността му да изпълнява задачите по чл. 70. С текста на чл. 70, ал. 1 ЗЗЛД е разписано, че администраторът на лични данни гарантира, че длъжностното лице по защита на данните участва по подходящ начин и своевременно при разглеждането на всички въпроси, свързани със защитата на личните данни, а в разпоредбата на чл. 70, ал. 2 ЗЗЛД е предвиден минимум от задачи, които администраторът на лични данни може да възлага на длъжностното лице по защита на данните, сред които обаче не фигурира то да представлява администратора на лични данни и да отговаря от негово име по искания на субекти на данни, с които те упражняват правата си по Регламент (ЕС) 2016/679, вкл. това по чл. 15, § 3. Регламент (ЕС) 2016/679, Глава ІV, Раздел четири е озаглавен „Длъжностното лице по защита на данните". Съгласно чл. 38, § 4 Регламент (ЕС) 2016/679 субектите на данни могат да се обръщат към длъжностното лице по защита на данните по всички въпроси, свързани с обработването на техните лични данни и с упражняването на техните права съгласно настоящия регламент. Това означава, че субект на данни, който желае да упражни свое право като субект на данни или когато има общи въпроси във връзка с защита на данните, може да се обърне освен към администратора на лични данни, така и към длъжностното лице по защита на данните, определено от администратора, но Регламентът не задължава субекта на данни да се обърне към длъжностното лице по защита на данните. Субектите на данни могат да се обърнат и към самия администратор, защото разпоредбите на чл. 12, чл. 15-12 от Регламент (ЕС) 2016/679 предвиждат задължение на администратора на лични данни да предостави при поискване информация във връзка с личните данни, които обработва. С оглед горното, субект на данните има право да се обърне освен към администратора (чл. 12 Регламент (ЕС) 2016/679), така и към длъжностното лице по защита на данните (чл. 38, § 4 Регламент (ЕС) 2016/679). Функциите обаче на длъжностното лице по защита на личните данни са консултативни и се свеждат до експертно подпомагане на администратора на лични данни по прилагането на защитата на личните данни. Тези функции на длъжностното лице по защита на личните данни не отнемат решенията, които администраторът на лични данни взема, както и неговата отговорност за съобразяване с изискванията на Регламент (ЕС) 2016/679. Длъжностното лице не разполага с правомощия за вземане на решения извън задачите му по чл. 39 от Регламент (ЕС) 2016/679. Когато субектът на данни е отправил искането си към администратор на лични данни, администраторът е този, който следва да отговори на искането. Ако е физическо лице, следва да отговори лично, а ако е юридическо лице, чрез лицата, които имат право да го представляват. Ако администраторът отговаря чрез упълномощено лице, следва да са налице доказателства за упълномощаването на същото, респективно за делегиране на правомощия. В случая субектът на данни е отправил искането си към администратора на лични данни, но е получил отговор от длъжностното лице по защита на данните в дружеството. Към длъжностното лице по защита на данните няма отправено искане от субекта на данни. Съдът неправилно е приел „отговора“ от 26.03.2025 г. за отказ на администратора, като се е произнесъл по него и го е отменил. Съдът въобще не е обсъдил основно изискване към административния акт – издаден ли е той от компетентен орган и ако да, защо. Като се има предвид, че писмото от 26.03.2025 г. е издадено от длъжностното лице по защита на личните данни в дружеството, то съдът въобще не е изложил мотиви защо приема изготвеното и подписано от това лице писмо за отказ на администратора на лични данни, който е всъщност дружеството. Както беше посочено по-горе, субектът на данни може да поиска от администратора информация за личните му данни, които се обработват и може да поиска от длъжностното лице отговор на въпроси, свързани с обработването на лични данни и с упражняването на права по Регламента. Касае се за различни искания, които могат да се отправят към различни субекти със задължения по Регламента - администратор на лични данни и длъжностно лице по защита на данните, които имат различни правомощия по отправени искания за упражняване на права от субекта на данни. Съгласно чл. 39, ал. 1 ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. На обжалване подлежат актове, действия или бездействия на администратора и на обработващия лични данни. По делото не са събирани доказателства, че длъжностното лице по защита на данните има правото да се произнася по заявления по чл. 37б ЗЗЛД и чл. 15 от Регламент (ЕС) 2016/679 от името на администратора на лични данни. От съда не са и давани указания за представянето на такива доказателства. При наличието на такива доказателства, за представянето на които следва да се дадат изрични указания на ответника по жалбата, съдът следва да извърши преценка дали и защо по отправено искане по чл. 15 от Регламент (ЕС) 2016/679 до администратор на лични данни може да се произнесе длъжностното лице по защита на личните данни на този администратор. Горното навежда на извода, че съдът се е произнесъл при съществени процесуални нарушения, без да прецени, съобразно посочения в уточнителната молба от 16.05.2025 г. като обжалван отказ в писмо от 26.03.2025 г., кои са страните по делото и съответно компетентност на издателя на акта. Съдът е следвало в изпълнение на задължението си по чл. 158, ал. 1 от АПК при извършената проверка за редовност на жалбата да остави без движение производството по нея, като даде указания на жалбоподателя да изправи нередовностите в 7 – дневен срок и да посочи срещу кой акт, вкл. издаден от кой орган, е насочена тя, след което на основание чл. 154, ал. 1 от АПК да конституира надлежните страни по делото. Вярно е, че делото е оставяно два пъти без движение – в единия случай да бъде посочен валиден ЕИК на дружеството, във втория – да се посочи обжалваният акт, като в становище жалбоподателят е посочил, че оспорва отговора на ответника, но отговорът в случая е от длъжностното лице по защита на данните. Последното е налагало производството отново да бъде оставено без движение. Като не е сторил това, а се е произнесъл по същество на спора, съдът е постановил незаконосъобразен акт при съществени процесуални нарушения, който следва да бъде отменен, а делото да се върне за ново разглеждане от друг състав на същия съд, съобразно дадените в мотивите на настоящото решение указания. С оглед изхода на спора по претенциите за разноски за настоящата инстанция ще следва да се произнесе първоинстанционният съд при новото разглеждане съобразно разпоредбата на чл. 226, ал. 2 АПК. Воден от горното, на основание чл. 222, ал. 2, т. 1 АПК, Върховният административен съд, Пето отделение