Решение № 39618 от 27.11.2025 г. на Административен съд - София-град по дело № 8536/2025 г.

Производството е по реда на чл.149, ал.2 от АПК вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/ Делото е образувано по жалба на М. Б. Р. от [населено място], чрез адв. Н. Р. от Бургаска адвокатска колегия(БАК), против изричен отказ, обективиран в електронно писмо от 23.07.2025 г., за предоставяне на копие от договор за паричен заем, ведно със съпътстващи документи(погасителен план и всички приложения към договора, включително и договорите за поръчителство), съдържащи лични данни по молба до „Стик-кредит“ АД, [населено място] от 29.06.2025 г. Иска се да бъде постановено решение, с което да се отмени обжалваният отказ. Посочва се, че молбата до „Стик-кредит“ АД представлява заявление по смисъла на чл.37б и сл. от ЗЗЛД и дружеството, като администратор на лични данни е следвало да предостави на жалбоподателката исканата от нея информация. В жалбата се навеждат доводи за това, че отказът е незаконосъобразен и противоречи на чл.12, 15-22 от Регламент /ЕС/ 2016/679. Претендират се направените по делото разноски. Ответниците по жалбата – „Стик-кредит“ АД, [населено място], чрез процесуалния си представител юрк. Р. П., оспорват жалбата. Посочва се, че дружеството е предоставило точна и разбираема реплика на обработваните от него лични данни на Р., от една страна, а от друга отказът да се предоставят повторно изисканите документи- носители на лични данни бил напълно съобразен с действащата нормативна уредба. Цитират приложима според тях съдебна практика на национални съдилища и на СЕС. Твърдят, че жалбата е недопустима и неоснователна, поради което следва да бъде отхвърлена. Претендират разноски. Въз основа на събраните по делото доказателства съдът намира за установено следното от фактическа страна: Видно от доказателствата е, че на 29.06.2025 г. М. Р., чрез пълномощника си адв. Н. Р., е подала по електронен път молба до „Стик-кредит“ АД, с която е поискала от дружеството да ѝ предостави копия от сключения между Р. и „Стик-кредит“ АД договор за кредит № 647420, по силата на който дружеството му ѝ е предоставило заем, ведно с всички съпътстващи договора документи (погасителен план и всички приложения към договора, в това число и договорите за поръчителство). В молбата е посочено, че искането се прави с оглед проверка на законността на обработката на личните данни и в съответствие с Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета. В нея е заявен електронен адрес за изпращането на документите и към нея е приложено пълномощно за адв. Н. Р.. Писмото е подписано с електронен подпис от адв. Р.. Молбата е изпратена на „Стик-кредит“ АД на ел. адрес на дружеството. От приложената преписка се установява, че с писмо от 23.07.2025 г.. на изпълнителния директор на дружеството, не се оспорва, че жалбоподателката е била клиент на дружеството. Посочено е обаче, че искането на Р. за предоставяне на копие от сключения договор за паричен заем ведно с всички съпътстващи договора документи (погасителен план и всички приложения към договора, в това число и договорите за поръчителство) не могат да ѝ бъдат предоставени, поради това, че съгласно изискванията на чл. 15 т. 3 от Регламент 2016/679, администраторът на лични данни има задължение да предостави копие от обработваните лични данни, а не да възпроизвежда копие от документи. от които са част обработваните лични данни и няма законово основание за дружество „Стик- Кредит“ АД за повторно предоставяне на копие. Отговорът е изпратен на ел. адрес на адв. Р.. Горната фактическа обстановка се доказва от събраните писмени доказателства, между които няма противоречие и си кореспондират. При така установеното от фактическа страна съдът достигна до следните правни изводи: Жалбата е допустима, като подадена в срок и от легитимирана страна, засегната от правния ефект на оспорения изричен отказ. Разгледана по същество е основателна. Видно от разпоредбата на чл.39, ал.1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. Между страните по делото няма спор, а и от доказателствата по делото се установява, че между “Стик-Кредит“ АД и М. Р. е сключен договор за потребителски кредит, като не се изяснява дали задълженията по тях са погасени. Не става ясно, но не е и спорно, дали към момента на подаване на молбата за предоставяне на копия от договорите и справки между страните има действащ такъв договор. Не се спори също и че жалбоподателят е субект, чийто лични данни са обработвани от дружеството-ответник, и съответно има право на достъп до обработваните от администратора лични данни съгласно член 15 от Регламент (ЕС) 2016/679. Безспорно е установено и обстоятелството, че „Стик-Кредит“ АД е „администратор“ на лични данни, съдържащи се в сключените между страните договори. „Стик-Кредит“ АД попада в хипотезата на определението по чл. 4, т. 7 от Регламент (ЕС) 2016/679 Общ регламент за защита на личните данни (ОРД3), предвиждащ, че „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. По делото няма спор, а и при извършената служебна проверка се установява, че обжалваният акт е издаден от компетентен орган и е обективиран в законоустановената писмена форма. Независимо от последното така постановения изричен отказ е в противоречие с материалния закон и правото на Европейския съюз. ЗЗЛД урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент(ЕС) 2016/679 и по ЗЗЛД, а именно: сезиране на надзорен орган – Комисията за защита на личните данни - чл.38, ал.1 от ЗЗЛД и сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК - чл.39, ал.1 от ЗЗЛД. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. Тъй като в процесния случай няма данни да има висящо производство по казуса в КЗЛД, то не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор. Съобразно чл.4, §1 от Регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“. Съгласно чл.4, § 2 от същия Регламент „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В чл. 15, § 1 от Регламента е предвидено, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация, а в § 3 от същия регламент е посочено и че администраторът предоставя копие от личните данни, които са в процес на обработване. В чл. 5, §1 от Регламента са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват администраторите и обработващите, като в буква „а“ са уредени принципите на законосъобразност, добросъвестност и прозрачност. Съгласно чл.37б, ал.1 от ЗЗЛД, субектът на данни упражнява правата по чл.15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, като в чл.37в, ал. 1 и ал. 2 от с. з са регламентирани неговите съдържание и приложения. В настоящия случай безспорно се установява, че жалбоподателката е депозирала по електронен път писмено заявление по чл.37б от ЗЗЛД до администратора на лични данни „Стик- Кредит“ АД при спазване на посочения в нормата ред, което заявление отговаря на изискванията на чл.37в от ЗЗЛД. Макар и да не са изрично цитирани нормите на чл.37б и чл.37в от ЗЗЛД, то отправената молба има изискуемото съдържание на такова заявление. Съгласно чл.37в, ал.1 от ЗЗЛД, заявлението по чл.37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, като при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното (чл. 37в ал. 2 от ЗЗЛД), като в настоящия случай жалбоподателката е изпълнила това законово изискване и е подала надлежна молба до ответника на 29.06.2025 г., като тя несъмнено има характер на заявление по смисъла на чл.37б, ал.1 от ЗЗЛД и съдържа реквизитите по чл. 37в ал. 1 от ЗЗЛД, както и към същата е приложено пълномощно съобразно разпоредбата на чл.37в, ал. 2 от ЗЗЛД, респективно тя представлява надлежно основание за предоставяне на исканите лични данни. При това положение и с оглед цитираните по-горе разпоредби, администраторът е бил длъжен да предостави сключения между тях договор за кредит и съпътстващите го документи, но от съдържанието на процесния акт е видно, че това не е било сторено. Предвид така изложеното, съдът намира отказа на ответника да удовлетвори искането за постановен в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, § 1, б. „а“ от Регламента. Съгласно правилото на чл. 15 § 1 от Регламента, субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали те се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламента. В подкрепа на този извод са и разпоредбите на член 12 от Регламента, като според § 1 на същия, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение, че идентичността на субекта на данните е доказана с други средства“, а в § 2 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“ От друга страна, съгласно практиката на СЕС (Решение по дело C-369/23) правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни. С оглед на горното, с отказа на администратора на лични данни да предостави на жалбоподателката копие от сключения между тях договор за кредит и съпътстващите го документи, на практика тя е била възпрепятствана да упражни правата, които ѝ предоставя и Регламента в пълната и желана от нея степен. Така, лицето е поставено в невъзможност да разбере дали личните ѝ данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламента. Както се посочи по-горе, непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение и на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. Дори и копие от договора за кредит да е на разположение на жалбоподателката, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламента във връзка с явно съществуващите между нея и администратора на лични данни взаимоотношения. В този смисъл ответникът го е лишил и от „правото на защита на личните данни“, което му се предоставя и с чл.8, §1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламента. Оспореният отказ възпрепятства жалбоподателката да се възползва и от правото си по чл. 8, § 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните ѝ са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. В тази насока е и константната практика на касационната инстанция по идентични казуси – Решение № 4856 от 12.05.2025 г. по адм. д. № 1911/2025 г., Решение № 1159 от 11.02.2025 г. по адм. д. № 9474/2024 г., Решение № 7101 от 28.06.2023 г. по адм. д. № 1825/2023 г., Решение № 2763 от 18.03.2025 г. по адм. д № 11251/2024 г., всички по описа на ВАС. В чл.6, §1, б.“б“ от Регламент 2016/679 е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай. Жалбоподателката изрично е поискала да ѝ бъдат предоставени копия от договора и съпътстващите го документи - носители на личните ѝ данни. В случая съдът приема, че предоставянето на същите е било задължително, за да може жалбоподателката ефективно да упражни предоставеното ѝ с Регламента право. Без значение е целта на това искане и дали жалбоподателката е поискала това лично или чрез упълномощен адвокат, както и дали вече е получила екземпляр от договора, дали го съхранява или не. Това са обстоятелства, неотносими към задължението на администратора на личните данни съгласно Регламент 2016/679 и ЗЗЛД да ги предостави, когато са надлежно поискани по реда на чл. 37б, във вр. с чл. 37в от ЗЗЛД. В случая, ответникът не предоставя необходимата информация за проверка на законосъобразното обработване на лични данни. Следва да бъде посочено и това, че не са налице законовите предпоставки за отказ от предоставянето на лични данни. Същите са конкретно изброени в чл.37а, ал.1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от Регламент 2016/679, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове. По отношение на така подадената молба, отправеното до дружеството искане документите, съдържащи личните данни да бъдат изпратени на изрично посочен имейл адрес, следва да се има предвид следното: Разпоредбата на чл. 37в, ал. 2 ЗЗЛД, предвижда, че при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното. Заявлението е подадено по електронен път, съобразно чл.37б, ал.2 от ЗЗЛД, подписано е от адвокат Р. с валиден електронен подпис и към него е било приложено пълномощно от М. Р. за адв. Р.. От ответника не са представени доказателства за конкретното облигационно отношение между него и жалбоподателката, въпреки че това е било съдържанието на искането. От друга страна, ответното дружество не оспорва, че жалбоподателката е субект, чиито лични данни са обработвани от дружеството -ответник, поради което и съдът приема, че като субект на това обработване жалбоподателката има право на достъп до обработваните от администратора лични данни, които се предоставят по реда и съгласно чл. 15 от Регламент /ЕС/ 2016/679. Ответникът е отказал предоставянето на договори, съдържащи лични данни, ведно с всички съпътстващи договора документи (погасителен план и всички приложения към договора, в това число и договорите за поръчителство), така както е поискано от адв. Р., като представител на жалбоподателката и в срока по чл.12, §.3 от Регламент /ЕС/ 2016/679. Нормата предвижда, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15—22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. По изложените съображения съдът счита, че жалбата е основателна, а оспореният с нея отказ е незаконосъобразен, поради което същият следва да бъде отменен. Доколкото естеството на акта не позволява решаването на въпроса по същество, преписката следва да бъде изпратена на ответника за ново произнасяне по искането на жалбоподателя, при съобразяване с дадените по-горе указания по тълкуването и прилагането на закона. Произнасянето следва да бъде сторено в 14-дневен срок от влизане в сила на настоящото решение. При този изход на спора основателно се явява искането на жалбоподателя за присъждане на сторените разноски, за което е приложен и списък. На основание чл.143, ал.1 от АПК следва да бъде осъден ответника да заплати в полза на жалбоподателя разноски в размер на 10 лева, за заплатена държавна такса за производството пред настоящия съд. От представения по делото Договор за правна защита и съдействие е видно, че на жалбоподателя е оказана безплатна адвокатска помощ и искането на неговия процесуален представител по чл.38, ал.2 от ЗАдв. се явява основателно. С оглед разпоредбата на чл.36, ал.2, изр.2 от ЗАдв и чл.8, ал.2, т.10 от Наредба 1/2004г. за възнаграждения за адвокатска работа, съдът счита, че в полза на адв. Р. от БАК следва да се присъди адвокатско възнаграждение в размер на 900 лева. Водим от гореизложеното и на основание чл. 172, ал. 2, във връзка с чл. 173, ал. 2 и чл. 174 от АПК, Административен съд – София град, второ отделение, 76-ти състав,