Решение № 6557 от 15.7.2025 г. на Административен съд - Хасково по дело № 502/2025 г.

Производството е по реда на чл.145 и сл. от АПК във вр. с чл.39, ал.1 от ЗЗЛД и е образувано по жалба от С. А. А. от [населено място] - чрез пълномощник, против Мълчалив отказ, формиран от длъжностно лице по защита на личните данни на АД София Комерс Кредит Груп – София, по изпратено искане на електронен адрес на дружеството на 01.02.2025г., да предостави на оспорващата в качеството му на администратор на лични данни поисканите от нея копия на сключен договор за кредит, ведно с всички съпътстващи договора документи. Твърди се, че целта на отправеното по електронен път искане била да разбере дали личните ѝ данни се обработвали законосъобразно. В случая Сл.А. не разполагала с друг механизъм за проверка на размера на задължението и кои точно данни била разрешила да бъдат обработвани от администратора. Счита, че оспореният мълчалив отказ на администратора на лични данни е неправилен и в противоречие с материалноправните разпоредби на чл.37б, ал.1 от ЗЗЛД и член 15 от Регламент (ЕС) 2016/679, като се позовава на части от Решение на Съда на ЕС от 04.05.2023г. по дело С-487/21, Решение на Съда на ЕС от 22.06.2023г. по дело С-579/21, Решение на Съда на ЕС от 26.10.2023г. по дело С-307/22. Иска от съда да отмени оспорения отказ, като бъдат заплатени направените по делото разноски. Ответната страна счита жалбата за недопустима и неоснователна. Липсвал формиран мълчалив отказ, който може да бъде предмет на съдебен контрол, тъй като жалбата била подадена преди да е изтекъл законоустановения срок за произнасяне от страна на администратора на лични данни съгласно чл.53, ал.3 от ЗЗЛД, а искането било изпратено на електронен адрес, който бил различен от нарочно предвидения за кореспонденция с длъжностно лице относно обработването на лични данни на потребителите. Не се било породило задължение за администратора на данни да се произнесе по искането съгласно чл.37б от ЗЗЛД. Към момента между дружеството и жалбоподателя нямало действащи договорни правоотношения и не се обработвали лични данни, а и поисканите копия от съпътстващи документи не съдържали каквито и да е лични данни, съответно жалбоподателят не можел да ги претендира по този ред. Дори допустима, жалбата била неоснователна, тъй като не било налице задължение за предоставяне на самия договор за кредит, нито на приложенията към него. Така производството по делото следвало да бъде прекратено или жалбата да бъде отхвърлена, като се претендират направените по делото разноски и се възразява относно съществуването на предпоставките за предоставяне на безплатна адвокатска помощ по чл.38 от ЗА, както и по размера на възнаграждението като прекомерен. Съдът, като прецени доказателствата по делото, доводите и възраженията на страните, приема за установено от фактическа страна следното: На 01.02.2025г. жалбоподателката С. А. А., чрез пълномощник, подала по електронен път молба до АД София Комерс Кредит Груп – София, с която поискала да ѝ бъде предоставено копие от сключен между нея и дружеството договор за кредит, по силата на който последното е предоставило заем на лицето, ведно с всички съпътстващи договора документи - погасителен план и всички приложения към договора. В молбата се посочва, че искането се прави с оглед проверка на законността на обработването на лични данни. За изпращането на исканите документи А. е посочила електронен адрес. Не се спори по делото, че до момента на подаване на жалбата - 05.03.2025г., на заявителя фактически не е връчен никакъв акт по искането за достъп до лични данни. При така установеното от фактическа страна, се налагат следните правни изводи: Съгласно чл.39, ал.1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. Съдът приема за безспорен факта, че между жалбоподателката Сл.А. и АД София Комерс Кредит Груп – София, са има създадени облигационни отношения, предвид сключен договор за кредит, наличието на който е безспорно, като оспорващата е субект, чийто лични данни са обработвани от дружеството-ответник, и съответно има право, като субект на това обработване, на достъп до обработваните от администратора лични данни, съгласно член 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679). Съответно ответникът АД София Комерс Кредит Груп – София, попада в хипотезата на определението по член 4, параграф 7 от Регламент 2016/679, съгласно която „администратор“ е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. С оглед процесуалното поведение и на двете страни, съдът приема, че между тях не е налице висящо производство по този спор пред КЗЛД и няма наличие на пречка по смисъла на чл.39, ал.4 от ЗЗЛД жалбата да бъде разгледана от съда. В този смисъл оспорването, като направено от легитимирано лице с правен интерес, и против действие, подлежащо на съдебно обжалване и контрол за законосъобразност, е процесуално допустимо. Разгледано по същество, оспорването е основателно. Съгласно член 4, параграф 1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“, а съгласно параграф 2 - „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“. Според член 15, параграф 1 от Регламент 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация. Последната е конкретно посочена в нормата. Текстът по член 15, параграф 3 от Регламент 2016/679 предвижда администраторът да предоставя копие от личните данни, които са в процес на обработване. В член 5, параграф 1 от Регламент 2016/679 са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват от администраторите и обработващите, като в буква „а“ са предвидени принципите законосъобразност, добросъвестност и прозрачност. Съгласно чл.37б, ал.1 от ЗЗЛД, субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Нормата на чл.37в, ал.1 от ЗЗЛД предвижда, че заявлението по чл.37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл.15 – 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция. С разпоредбата на чл.37в, ал.2 от ЗЗЛД е въведено изискването при подаването на заявление от упълномощено лице, към заявлението да се прилага и пълномощното. В случая жалбоподателката е депозирала по електронен път именно писмено заявление по чл.37б от ЗЗЛД до администратора на лични данни АД София Комерс Кредит Груп – София, при спазване на посочения в нормата административен ред. Подаденото заявление е в нормативно изискуемата форма откъм реквизити и съдържание, и е съобразено с изискванията на чл.37в от ЗЗЛД, съответно в него е направено описание на искането и то е конкретно, ясно и несъмнено дава пълна представа на адресата каква информация лицето желае да получи, като същото е подадено във връзка с упражняване на правата по член 15 от Регламент (ЕС) 2016/679 и предвид цитираните разпоредби, администраторът е длъжен да предостави копие от личните данни на субекта, така, както предвижда член 15, параграф 3 от Регламент (ЕС) 2016/679. Искането е подадено на ел.адрес, които е посочен от самия ответник, както и не е спорно, че е било получено от ответната страна. От данните по делото става ясно, че така изисканата информация не е била получена от оспорващата. Страните не твърдят, че има удължаване на срока за отговор по искането, нито се излагат други конкретни съображения в тази насока като брой искания по ЗЗЛД или друга сложност, обосноваваща удължаване. На заявителя фактически не е връчен никакъв акт по искането за достъп до лични данни, като без значение е причината за това. При липсата на спор относно съществуване на сключен между страните договор и липса на конкретни твърдения за изпълнение или прекратяване на договорните отношения на друго основание не може да бъде споделено твърдението на ответната страна, че между страните няма „действащи“ договорни отношения и не се обработват личните данни на жалбоподателката. Още повече, че няма и данни жалбоподателката да е уведомена, че не се обработват лични данни, нито че документите не съдържат лични данни. Съдът намира, че отказът на ответника да удовлетвори искането на заявителката е в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, параграф 1, б. „а“ от Регламент (ЕС) 2016/679. Следва да се отчете, че разпоредбите на Регламент (ЕС) 2016/679 предоставят права на субекта на данни, които последният може да упражни, като тези права произлизат от фундаменталното право на достъп до информация за личните данни, които съответният администратор обработва за конкретен субект, като в случая обработването първоначално е започнало по повод възникнало правоотношение между администратора и субекта на данни – сключен договор за кредит, което обстоятелство не е спорно по делото и именно този договор се явява носител на информация за обработваните лични данни по смисъла на член 15 параграф 1 Регламент (ЕС) 2016/679. Ето защо настоящата инстанция приема, че субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали личните му данни се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламент (ЕС) 2016/679. В подкрепа на горното са разпоредбите на член 12 от Регламент (ЕС) 2016/679. Според параграф 1 на член 12 от Регламент (ЕС) 2016/679, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства“, а с член 12, параграф 2 от Регламент (ЕС) 2016/679 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“. Съгласно приетото в практиката на СЕС правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС от 04.05.2023г., постановено по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни. С оглед възникналите между оспорващата и ответника взаимоотношения, с отказа на администратора на лични данни да ѝ предостави копие от сключения между нея и дружеството ответник договор за кредит, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя и член 14 от Регламент (ЕС) 2016/679 в пълната и желана от субекта на данни степен. Така лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. От друга страна, дори копие от въпросния договор за кредит да е на разположение на оспорващата, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламент (ЕС) 2016/679 във връзка със съществуващите между него и администратора на лични данни взаимоотношения. Така съдът приема, че ответникът е лишил жалбоподателката и от „правото на защита на личните данни“, което ѝ се предоставя с чл.8, параграф 1 от Хартата на основните права на Европейския съюз, като съответно е била поставена и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така, че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламент (ЕС) 2016/679. Оспореният отказ възпрепятства жалбоподателката да се възползва и от правото ѝ по член 8, параграф 2 от Хартата на основните права на Европейския съюз да получи ясна представа за това дали данните ѝ са обработвани добросъвестно, за точно определени цели и въз основа на съгласието ѝ или по силата на друго предвидено от закона легитимно основание. В този смисъл жалбата се явява основателна, а оспореният отказ е незаконосъобразен и следва да бъде отменен, като преписката се върне на администратора на лични данни за произнасяне по заявлението в цялост, при съобразяване с дадените указания по тълкуването и прилагането на закона. При извода за основателност на жалбата ответната страна следва да заплати направените по делото разноски - 10, 00 лева за държавна такса, както и минимално предвиденото за възнаграждение по Наредба №1 от 09.07.2004г. за възнаграждения за адвокатска работа, доколкото представителството в настоящото производство се осъществява на основание чл.38, ал.1, т.2 от ЗАдв и е представен по делото Договор за правна защита и съдействие от 01.02.2025г. Обстоятелството, че възложителят е материално затруднено лице, не се нуждае от доказване, а основанието е изрично посочено в договора, поради което от ответника следва да се заплати адвокатското възнаграждение в размер на 900, 00 лева съобразно разпоредбата на чл.8, ал.2, т.10 от Наредба №1 от 09.07.2004г. за възнаграждения за адвокатска работа. Мотивиран така и на основание чл.172, ал.2 от АПК, съдът