Решение № 5211 от 12.6.2026 г. на Административен съд - Бургас по дело № 257/2026 г.

Производството е по реда на чл.145 и сл. от АПК, във вр. с чл.38, ал.8 от ЗЗЛД.

Образувано е по жалба на Община Бургас против Решение № ППН-01-619/2024г. от 19.01.2026г. на Комисията за защита на личните данни, с което жалба с peг. № ППН-01-619/27.06.2024г. и жалба с рег. № ППН-01- 620/27.06.2024г., подадени от А. М. А., са обявени за основателни, прието е наличие на нарушение на чл.12, §1 от ОРЗД, поради което и на основание чл.58, §2, б.“г“ от ОРЗД е издадено разпореждане до администратора Община Бургас да изготви отговор, съобразен с искането на лицето.

Жалбоподателят Община Бургас оспорва решението като незаконосъобразно, постановено при неправилно приложение на материалния закон и в несъответствие с целта на закона. Възразява срещу изводите на административния орган за нарушения на чл.12, § 1 от ОРЗД, във вр. с чл.13 – чл.22 от ОЗРД, които намира за недоказани. Посочва, че обработването на личните данни на А. А. е извършено при спазване на чл.6, §1, б.„в" от ОРЗД, а предоставената му информация е ясна и разбираема и е в съответствие с чл.12, § 2 от ОРЗД. Позовава се на приложението на нормативната уредба, съдържаща се в чл.30, ал.1 и чл.38, ал. 1 от Закона за електронното управление, чл.3 от Закона за електронния документ и електронните удостоверителни услуги, чл.4, ал.4 от Наредбата за обмена на документи в администрацията. Иска се отмяна на решението и присъждане на разноските по делото.

Ответникът Комисията за защита на личните данни не изпраща представител. Чрез представляващия го юрисконсулт е депозирал писмено становище, поддържащо мотивите на административния орган, с искане жалбата да се отхвърли като неоснователна. Също претендира разноски за юрисконсултско възнаграждение.

Заинтересованата страна А. М. А. не се явява и не се представлява. Също извънсъдебно е изпратил становище, с което се иска отхвърляне на жалбата.

Жалбата е процесуално допустима за разглеждане като подадена от надлежна страна, засегната от действието на издадения административен акт и депозирана в законовия срок.

Разгледана по същество съдът счете за частично основателна.

Заинтересованата страна А. А. е подал по електронен път до Община Бургас заявление с вх.№ ЕД-2556/12.06.2024г., с което, на основание чл.15-чл.22 от ОРЗД (Общ регламент за защита на данните, Регламент (ЕС) 2016/679, Регламента), е поискал обяснения и информация по множество въпроси, като е обосновал съмнение, че личните му данни са били обработвани без основание. Поискал е следната информация, касаеща личните му данни:

1.Обяснения относно изнесени данни по ДП № 75/2021г. на Районна прокуратура Бургас, касаещи период преди повече от десет години, при наличието на представен от общинската администрация протокол от 2017г. за това, че през 2010-2011г. данни от входяща и изходяща кореспонденция са били унищожени. По-конкретно е поискал обяснения - 1.1. Антидатиран ли е протоколът от 2017 г.; 1.2. Кой е злоупотребил с личните му данни при наличие на протокол за унищожаване; 1.3. Наложена ли е глоба или поощрение за злоупотребата; 1.4. За какви цели са пазени тези данни, след като нищо не е било свършено по подадените от него сигнали през 2011г.; 1.5. Какви законови цели са били преследвали със съхраняването и обработването на тази информация; 1.6. Какъв е бил законовият срок на обработването на личните му данни за всеки конкретен случай от изнесеното по ДП 75/2021г.; 1.7. В какъв период от време са били съхранявани и още се съхраняват личните му данни по тази кореспонденция с общината по ДП 75/2021г., отпреди влизане в сила на регламента и след това; 1.8. С каква цел са били пазени данни в периода отпреди влизането в сила на регламента; 1.9. Кой е давал съгласие да се обработват данни отпреди влизане в сила на регламента; 1.10. Как се прилага принципите на регламента по обработка на личните му данни след влизането му в сила.

2. Поискал е да бъде информиран: 2.1. В какъв период от време се съхраняват личните му данни в Община Бургас; 2.2 Кои лични данни се съхраняват; 2.3 За какви цели се ползват тези данни; 2.4 Кой има достъп до тези данни и за какво ги е обработвал през годините.

3. Поискал е обяснения: 3.1. Как без да е посочил настоящ адрес в заявлението изпратено по електронен път на 20.08.2021г., е получил отговор на настоящ адрес по пощата с обратна разписка; 3.2. Как е бил индивидуализиран; 3.3. От какви масиви на информация и съхранение са били достъпени данните, за да бъде индивидуализиран; 3.4. Каква е била пречката да му се отговори по същество на заявлението от 20.08.2021г. след като администрацията разполага с данни, от които е имало възможност да бъде индивидуализиран.

4. Поискал е да се обясни: 4.1. Приложението на чл.5 от регламента; 4.2. Мотивиране по повод на изнесената пред прокуратурата информация, в частност 4.2.1. за какви цели е продължило обработването на личните му данни; 4.2.2. на какво основание; 4.2.3. до кога ще се съхраняват; 4.2.4. кой от общината е имал достъп до тях.

5. Обяснения относно: 5.1. Приложението на чл.7 от регламента; 5.2. В кой момент е било улеснено оттеглянето на съгласието му да се обработват повече личните му данни, след като е правено всичко възможно, с помощта на комисията, да се измислят неизправности на заявената му воля.

6. Позоваване на чл.12, чл.13, и чл.14 от ОРЗД: 6.1.Кога е било отговорено на поставяните от него въпроси в заявленията; 6.2. Защо е отказвано да се предприемат действия досега – дали поради невъзможност за неговото индивидуализиране, неразбиране на исканията му или друга причина.

7. Обяснение: 7.1. В кои платформи, масиви, папки, чекмеджета, шкафове, уеб приложения, сървъри, компютри, архиви, досиета и други източници на данни, които ползва Община Бургас, има: 7.1.1. неговото име; 7.1.2. ЕГН; 7.1.3. електронна поща; 7.1.4. IP/МАС или друг адрес; 7.1.5. телефонен номер; 7.1.6. други лични данни, които са събирани по повод на кореспонденция с общината.

В отговор на заявлението до жалбоподателя е изпратено писмо с рег. № 2556/1/21.06.2024г., подписано от секретаря на Община Бургас, видно от което, посочено е, че Община Бургас, в качеството си на администратор на лични данни по смисъла на чл.4, §7 от ОРЗД, обработва данните на основание чл.6, §1, б.“д“ от ОРЗД при упражняване на официалните си правомощия или при изпълнение на задачи от обществен интерес. В писмото е посочено още, че събирането и обработването на личните данни е законосъобразно, добросъвестно и прозрачно, а съхраняването им е според вида на документите и законните цели, за които се използват. Отбелязано е, че определени лични данни не могат да бъдат заличени, доколкото са необходими за регистрите по ЗГР и касаят Национална база „Население“, декларациите по ЗМДТ и др., като в тази връзка е извършено позоваване на чл.22, ал.2, във вр. с чл.3, ал.2, т.1, на чл.25, както и на чл.109 от ЗГР. Отбелязан е и чл.9 от Наредбата за организирането, обработването, експертизата, съхраняването и използването на документите в учрежденските архиви, като в тази връзка е посочено взаимодействието с Държавен архив – Бургас по предаването на документи в архив, както и изготвяне на актове за унищожаване на документи с изтекъл срок на съхранение. Посочено е още, че за целите на чл.17, §3, б.„б“, във вр. с чл.6, §1, б.“д“ от ОРЗД, администраторът може да продължи да съхранява данни, свързани с целите на установяването, като оттеглянето на съгласие е формална пречка за продължаване на обработването им при наличие на необходимост за спазване на законово задължение и легитимен интерес на администратора. В писмото е посочено също така, че входящата и изходяща кореспонденция със заявителя за периода 2010г. - 2011г. e унищожена, което е отразено в издаден Акт за унищожаване на неценни документи с изтекъл срок на съхранение от 14.08.2017г. Отбелязано е също, че Община Бургас получава данни за заявителя чрез изпращаните от него писма и заявления, в които лицето посочва трите си имена, ЕГН, адрес, имейл адрес за кореспонденция, като по този начин го индивидуализират, като обработва и съхранява данните за него, както и е възможно чрез формите за електронни услуги да се събира лична информация, като с ползването на тези услуги потребителят се съгласява Община Бургас да ползва тази информация. В писмото се посочва, че Община Бургас събира лични данни единствено за постигане на конкретна цел или предоставяне на електронни услуги, като информацията не се използва повторно за цели, несъвместими с първоначалните, както и събирането, обработката и съхранението на лични данни се извършва само от лица от общинската администрация, на които това е изрично указано и чиито служебни задължения налагат това.

Отговорът на Община Бургас, обективиран в посоченото писмо с рег.№ 2556/1/21.06.2024г., е обжалван от заинтересованата страна А. А. пред Комисията за защита на личните данни (Комисията) с жалба с peг. № ППН-01-619/27.06.2024г. и жалба с рег. № ППН-01-620/27.06.2024г., видно от които страната е възразила, че отговорът на администратора не кореспондира с поисканата информация, като отговори по отделните точки в заявлението или липсват или са уклончиви.

С писмо изх. № ППН-01-619/2024/2/16.10.2024г. Комисията е уведомила заявителя, че поставените пред администратора въпроси под формата на искания и обяснения не попадат в обхвата на правото на достъп, защитено от Регламента, като е коментирала отделните точки в заявлението.

Със становище от 17.10.2024г. заинтересованата страна А. уведомил Комисията, че изцяло поддържа жалбата, като изложил доводи относно причините, провокирали задаването на въпросите по отделните точки.

С писмо изх.№ ППН-01-619/2024/6/09.06.2025г. на КЗЛД А. А. е уведомен, че жалбите са приети за допустими и ще бъдат разгледани в едно общо производство под № ППН-01-619/2024г. На проведеното първо заседание на Комисията е обосновала необходимост от събиране на допълнителни доказателства, за да бъде установена интензивността, с която лицето е упражнявало правата си по чл.15 – чл.22 от Регламент (ЕC) 2616/679, по повод на което до Община Бургас е изпратено писмо рег.№ ППН-01-619#11/16.09.2025г.

От администратора на лични данни е постъпил отговор, че за периода от 2021г. до 2025г., освен това по настоящата жалба, от А. А. са постъпили още 2 заявления - на 08.07.2021г. и на 12.12.2022г.

С допълнително писмо от Община Бургас е изискано да предостави информация за подадени заявления преди 2021г., както и такава във връзка с изпратено от администратора писмо до ОД на МВР Бургас относно проверка по ДП № 75/2021г. на Районна прокуратура Бургас. Представен е отговор за липса на постъпили заявления от лицето преди 2021г. и копие от отговора до ОД на МВР Бургас.

Постановено е процесното Решение № ППН-01-619/2024г. от 19.01.2026г. на Комисията за защита на личните данни, видно от мотивите на което, счетено е, че обжалваният отговор не съдържа информация, която да е ясна, разбираема, предоставена на ясен и прост език, поради което той не отговаря на информацията по смисъла на ОРЗД, която следва да се предостави от администратора и не постига целта на правото на достъп на субекта на данни до прозрачна информация, така че той да се запознае и да провери законосъобразността на обработването и точността на обработваните данни. Дадената информация е оценена като обща и недостатъчна за реализиране на законовата цел, като Комисията е посочила компонентите на правото на достъп – потвърждение дали се обработват лични данни, достъп до данните, информация за обработването, като са дадени указания как администраторът следва да процедира по подаденото заявление съобразно направленията на дейността му. Обсъдено и правото на субекта на лични данни да поиска изтриване по чл.17 от Регламента – правото „да бъде забравен“ и свързаното с това право на администратора за възможен отказ при доказване наличието на законовите хипотези. Комисията е посочила също, че поставените в заявлението въпроси по т.1, т.3, т.4 и т.5 не попадат в обхвата на ОРЗД, както и е преценила, че издадено прокурорско постановление по ДП № 75/2021г. не е свързано с предмета на настоящата преписка.

При тези фактически данни е обоснован извод, че администраторът на лични данни Община Бургас е нарушила чл.12, §1, във вр. с чл.13 - чл.22 от ОРЗД, като в рамките на оперативната си самостоятелност Комисията е избрала корективното правомощие по чл.58, §2, б.“г“ от Регламента, поради което и на основание чл.38, ал.3 от ЗЗЛД, във вр. с чл.57, §1, б.„е“ от ОРЗД, жалба с peг. № ППН-01-619/27.06.2024г. и жалба с рег. № ППН-01- 620/27.06.2024г., подадени от А. А. срещу Община Бургас, са обявени за основателни, като за констатираното нарушение на чл.12, §1 от ОРЗД, във вр. с чл.13 - чл.22 от ОРЗД и на основание чл.58, § 2, б.„г“ от ОРЗД е разпоредено на администратора на лични данни Община Бургас да изготви отговор до жалбоподателя, съобразен с искането му и с изложените в решението мотиви.

Решението е частично незаконосъобразно.

Съгласно разпоредбата на чл.15, §1 от ОРЗД субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация, с предмет и обхват, очертан в буквите на параграфа.

Кореспондиращо на това право е задължението на администратора по чл.12, §1 от Регламента, съгласно който администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език.

В случая, Комисията е решила, че отговорът на администратора е лишен от изискуемата конкретика, прозрачност, разбираемост и яснота, поради което го е задължила да изготви отговор, отговарящ на тези критерии, съобразен с искането на заявителя.

За да бъде задължен администраторът да процедира, отправеното до него искане следва да касае информацията по букви „а“ – „з“ на §1 на чл.15 от Регламента, а именно - a) целите на обработването; б) съответните категории лични данни; в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; е) правото на жалба до надзорен орган; ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

Всяка друга поискана информация, различна от така регламентираната и цитирана по-горе, не попада в обхвата на правото на достъп до данни и информация по смисъла на чл.15, §1 от Регламент (ЕC) 2616/679. Отнесено към настоящия случай, видно от поставените пред администратора въпроси, по които заинтересованата страна е търсила информация на основание Общия регламент за защита на данните, в преобладаващата си част те остават извън хипотезите на посочената правна норма. В частност – въпросът по т.1 и подвъпросите към него касаят случай на предоставена от Община Бургас през 2021г. информация на Районна прокуратура Бургас по ДП № 75/2021г. относно сигнали към Община Бургас, подадени от заинтересованата страна А. в периода от 2011г. до 2020г., за което предоставяне заявителят узнал през 2021г. Видно е, че поставените въпроси не попадат в цитирания обхват на чл.15, §1 от ОРЗД, а ако с предоставянето на тази информация през 2021г. е било извършено нарушение на правата по Регламента, имало е възможност в сроковете по чл.38, ал.1 от ЗЗЛД да се сезира Комисията. Исканите обяснения по т.3 касаят предходно проведено производство през 2021-2022г. по упражнено от А. А. право на изтриване по чл.17 от Регламента, приключило с решение на Комисията, като е видно, че поставените въпроси, по които се иска обяснение, също са извън приложното поле на чл.15, §1. В т.4 са поискани обяснения по приложението на чл.5 от Регламента отново в контекста на предоставената през 2021г. на прокуратурата информация. Исканото обяснение по т.5 касае приложението на чл.7 от Регламента относно правото на оттегляне на съгласие, като поставеният въпрос е в кой момент администраторът е улеснил оттеглянето на съгласието на страната да се обработват личните му данни, който въпрос също не е измежду възможната за търсене информация по чл.15, §1 на Регламента. В т.6 се търсят отговори кога администраторът е отговорил на поставяните в заявленията въпроси и защо е отказал да предприеме действия досега – също остават извън възможните хипотези на правото на информация по смисъла на ОРЗД. В т.7 се иска обяснение в кои дигитални и физически места се съхраняват личните данни на субекта – чл.15, §1 от Регламента не предвижда подобна категория информация. Единствено поставените в т.2.1. – в какъв период от време се съхраняват личните данни на заявителя в общината, т.2.2. – кои лични данни се съхраняват и т.2.3. – за какви цели се ползват тези данни, въпроси съответстват на правото на достъп до данните и получаване на информация, като попадащи в хипотезите на б.“г“, б.“б“ и б.“а“ на § 1, на чл.15 от Регламент (ЕC) 2616/679 и само в тази част би възникнало задължение за администратора на лични данни да даде информация. Въпросът по т.2.4. – „за какво ги е обработвал“ - в тази част се припокрива с т.2.3. – „за какви цели“, а в частта „кой има достъп до данните“ - Регламентът не предвижда персонално назоваване, ако това се има предвид.

Комисията също е констатирала, че посочените въпроси не кореспондират с правата на заинтересованата страна като субект на данни по смисъла на Регламента, както и с информацията, която следва да се предостави от администратора, но независимо от това в постановеното решение няма разграничение между допустимите и недопустимите части на заявлението до администратора. Също така, неправилно Комисията е разширила предметния обхват на разглежданата жалба, като е посочила, че от заявлението може да се извлече, че исканията на субекта на данни са за упражняване на достъп и изтриване, като е обсъден чл.17 от Регламента и в мотивите на акта е посочено, че Община Бургас следва да изготви отговор до заявителя съобразен с искането му, както и да изтрие данните, подлежащи на заличаване. Преди всичко следва да се отбележи, че волята на субекта относно правото на изтриване по чл.17 не може да се извлича, да се предполага, да се интерпретира въз основа на други данни не само поради опасност от неправилно тълкуване, но и защото това е самостоятелно право, различно от сега упражняваното право на достъп до данни и информация, то следва да е изрично заявено, да отговаря на определени реквизити като съдържание и по него администраторът дължи самостоятелна проверка и произнасяне. Обстоятелството, че подаденото заявление в т.3 съдържа въпроси, касаещи предходно проведено производство по чл.17 от Регламента, не може да се квалифицира като искане за изтриване.

С оглед изложеното съдът счете, че само в частта по т.2.1., т.2.2. и т.2.3. от заявлението на заинтересованата страна, за администратора на лични данни би възникнало задължение да даде информация в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, който подход на изложение Регламентът насърчава, както поради предотвратяване на формалната, но нефункционална информираност, така и за да се елиминира ефекта на информационно претоварване, който злепоставя прозрачността.

Като е обявил жалбата на заинтересованата страна А. А. за основателна и е разпоредил на администратора на лични данни Община Бургас да изготви отговор, съобразен с искането на заявителя и изложените в решението мотиви, без административният орган да съобрази/разграничи, че освен въпросите по т.2.1. т.2.2. и т.2.3., всички останали въпроси за достъп и търсена информация не попадат в хипотезите на чл.15, §1 от Регламент (ЕC) 2616/679, Комисията е постановила частично незаконосъобразен административен акт.

Независимо че диспозитивът на административния акт е един общ за цялото заявление/жалба, за да съответства на резултата от правния спор решението следва да бъде отменено частично. Следва да се присъдят разноски, които съдът определя в размер до 1/2 за всяка страна, като за жалбоподателя те са в размер на 63,91евро (д.т. в размер на 25,56евро + възнаграждение за юрисконсулт на основание чл.78, ал.8 от ГПК, във вр. с чл.37 от ЗПП, във вр. с чл.24, изр.първо от НЗПП, в минимален размер от 102,26евро (равностойност на 200лв.), а за ответната страна са в размер на 51,13евро – възнаграждение за юрисконсулт на същото правно основание.

Така мотивиран и на основание чл.172, ал.2 от АПК, Бургаският административен съд, IХ състав,