Решение № 1425 от 5.5.2025 г. на Административен съд - Велико Търново по дело № 96/2025 г.

Производство по реда на чл.145 от АПК, във вр. с чл.39 от Закона за защита на личните данни/ЗЗЛД/. Образувано е по жалба вх. № 517/05.02.2025г. в АСВТ, подадена от името на С. Г. И. от [населено място], действаща чрез упълномощения адвокат. В жалбата се оспорва мълчалив отказ на дружеството „СТИК КРЕДИТ“АД, в качеството му на администратор на лични данни да й предостави копие на сключен между тях договор за паричен заем, който съдържа нейни лични данни. След представяне на административната преписка съдът прие наличието на мълчалив отказ, но установи, че същият е последван от изричен отказ, обективиран в техен изх.№085/20.03.2025г. В тази хипотеза подадената против мълчаливия отказ жалба, следва да се приеме като такава против последвалия изричен такъв, съгласно т. 8 от ППВС № 4/1976 г. и по аргумент от разпоредбата на чл. 58, ал. 3 АПК и чл.172, ал.3 от АПК. С Молба с вх. № 1508/03.04.2025г. жалбоподателката заяви изрично, че поддържа жалбата и срещу последвалия изричен отказ. Предвид изложеното АСВТ се счита сезиран с жалба срещу изричния отказ на дружеството администратор на лични данни да предостави копие на сключен договор за паричен заем, съдържащ лични данни на жалбоподателката. Оспорващата твърди, че дружеството, в качеството му на администратор на лични данни, отказало да й предостави копие на сключен между тях договор за паричен заем, който съдържа нейни лични данни. Счита отказа на дружеството да й предостави копие на договора за заем за незаконосъобразен. Позовава с на правото си на достъп по чл.15, §3 от Общия регламент относно защита на данните/ОРЗД/. Моли съда да бъде отменен отказът и да бъде задължено дружеството да й предостави копие на Договора за паричен заем. В съдебно заседание оспорваща не се явява и не се представлява. От упълномощения адвокат е постъпило писмено становище, че поддържа жалбата по изложените в същата съображения. Претендира разноски. Ответникът по жалбата – дружеството „СТИК КРЕДИТ“АД [населено място], в качеството на администратор на лични данни, не се явява, не се представлява и не ангажира становище по жалбата. В представения с преписката отговор поддържа тезата, че е изпълнил задължението си по чл.15 от Регламент 2016/679, като е предоставил бъзвъзмездно копие на обработваните лични данни в нарочен формуляр. Смята, че последното не включва предоставянето на копия от документи, носители на лични данни. При преценка допустимостта на производството съдът намери, че жалбата е подадена от лице, чиято правна сфера е засегната неблагоприятно от постановения отказ. Депозирана е в срок. Не се твърди, нито се представят доказателства за наличие на пречки по чл.39, ал.4 от ЗЗЛД. Оспореният отказ е годен предмет на съдебен контрол по смисъла на чл.39, ал.1 от ЗЗЛД. Съставът прие, че Жалбата е процесуално допустима. Разгледана по същество жалбата е ОСНОВАТЕЛНА. Съдът указа доказателствената тежест върху жалбоподателя, т.к. при отказ, съгласно чл.170, ал.2 от АПК, оспорващият трябва да установи, че са били налице условията за издаването на акт с позитивно съдържание. Релевантните за спора факти се установяват само по писмени доказателствени средства, които не са оспорени. От представените по делото доказателства се установява, че на 09.01.2025г. в дружеството „СТИК КРЕДИТ“АД [населено място] е постъпила Молба от Ст. И., която има за предмет искане да и бъде предоставено копие от сключения между тях договор за паричен заем. Позовава се на правата си по чл.15 от Регламент/ЕС/2016/679 като субект на данните. Дружеството не отрича качеството си на администратор на данните и представя доказателства, че с изх. № 085/20.03.2025г. е отговорил на Ст. И. като е предоставил/безвъзмездно/ попълнен Формуляр за предоставяне на данни по чл.15 от Общия регламент относно защита на данните/ОРЗД/ и отказва да й предостави копие от договора за кредит, без да оспорва, че такъв е сключен с жалбоподателката. Въз основа на тези данни съдът прие от правна страна следното: Подадената от Ст. И. М. има реквизитите на Заявление по чл.37б от ЗЗЛД, вр. с чл.15 от ОРЗД. Съгласно чл.2, §3 от Регламента, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Съдът намира, че е възникнало задължението за администратора на лични данни да отговори. Същият не отрича факта, че не е предоставил исканата информация в срока. Поради това АСВТ приема наличието на мълчалив отказ на администратора на данните. Впоследствие на 20.03.2025г. ответникът е изпратил отговор до лицето по електронен път/изх. № 085 – вж. л.25 от делото/. В приложен формуляр са посочени обработваните от ТД лични данни – име, ЕГН, адрес по ЛК, номер на ЛК, тел. номер, емейл адрес и IP адрес на заявката. Видно от съдържанието на отговора, дружеството смята, че с това е изпълнило задължението си по чл.15 от Регламента, като е предоставило информация за личните данни на заявителя, които се обработват от ТД. При това дружеството заявява изрично, че счита искането за предоставяне на копие от договора за кредит за неоснователно и отказва да издаде копия на тези документи. При съвкупната преценка на представените доказателства, съдът прие, че твърденията в жалбата са доказани. При това установи, че страните не спорят по фактите, а по тяхната правна интерпретация. Ключов за спора е въпросът дали администраторът на лични данни дължи предоставянето на копия от документите, носители на лични данни, които се обработват от администратора. В случая копие на договора за паричен заем. Установените факти съдът отнесе към приложимите правни норми. Като взе предвид направените в жалбата оплаквания и доводите на страните, съдът прие от правна страна следното: Според чл.16, §1 от Договора за функционирането на Европейския съюз (ДФЕС), всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право, съгласно чл.8, параграф 1 от Хартата на основните права на Европейския съюз. С цел защита на това право ЕС провежда законодателна политика, за да се гарантира последователно и високо ниво на защита на физическите лица, за да се премахнат препятствията пред движението на лични данни в Съюза, за да бъде равностойно във всички държави членки нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни. За реализиране на тази цел е приет Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните). Същият ОРЗД, съгласно чл.99 е задължителен в своята цялост и се прилага пряко във всички държави членки, считано от 25.05.2018г. Тоест, посочените привръзки обуславят приложението на правото на ЕС. О. Р., приложим материален закон към казуса се явява и Закон за защита на личните данни/обн. ДВ бр.1 от 2002г./, доколкото тези обществени отношения не са уредени от самия Регламент/вж. чл.1 от Закона/. Правото на ЕС не съдържа нарочни процесуални правила. За този вид защита е приложимо националното процесуално право. В случая съгласно чл.39, ал.1 от ЗЗЛД, приложим процесуален закон се явява АПК. ЗЗЛД предвижда на национално ниво защита на субекта на данни при нарушаване на правата му по ОРЗД и по ЗЗЛД чрез сезиране на КЗЛД (чл. 38, ал. 1 от ЗЗЛД) или сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която се разглежда по реда на АПК ( чл. 39, ал. 1 от ЗЗЛД). Няма изискване субектът на данни след като изчерпи възможността да защити правата си по административен ред да сезира съда. В ал. 4 на чл. 39 от ЗЗЛД е посочено само да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. В случая по делото не се твърди и не се представят доказателства за това, поради което не е налице визираната от закона процесуална пречка за сезиране на съда. Безспорно е, че личните данни на жалбоподателката са обработвани от ответника, поради което същата като субект на ЛД има право на достъп до обработваните от него лични данни, съгласно чл. 15 от ОРЗД. Това си право тя е реализирала чрез отправено на 07.01.2025 г. по пощата заявление с необходимите реквизити по чл. 37б от ЗЗЛД до ответника. Същият има качеството на администратор на личните й данни, съгласно определението по чл. 4, т. 7 от ОРЗД. Жалбоподателката е поискала да й бъде предоставена както информация за обработваните й лични данни по повод сключен договор за паричен заем, така и самият носител на тези лични данни – копие на договора за заем, за да извърши проверка на обработваните данни. Съответно за ответника – администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от жалбоподателя заявление, като съгласно разпоредбата на чл. 12, § 3 от ОРЗД това е следвало да стане без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането, т.е. считано от 09.01.2025г. Ответникът не отрича, че не се е произнесъл в срока, а едва на 20.03.2025г. е изпратил по електронен път отговор (имейл), с който е предоставил на жалбоподателката в структуриран вид копие на обработваните лични данни с информация за основанията и целите на обработката им и за срока на съхранението им, но не и копие на носителя на личните му данни – в случая договор за потребителски кредит. При това в отговора е формулиран изричен отказ за предоставянето на копието на договора. Изложени са съображения, че такова задължение не съществува за администратора на ЛД. Не са налице доказателства и не се твърди копие на ДПК да е предоставен на жалбоподателката впоследствие. Поради това съдът приема, че като не е предоставил копие от ДПК и е заявил изрично, че няма задължение за това, ответникът е направил изявление за отказ по искането на жалбоподателката по чл. 37б от ЗЗЛД, в тази му част. А именно в частта да й бъдат предоставени копия от носителите на личните й данни, обработвани от дружеството. Това обуславя правния интерес на жалбоподателката от оспорването на този изричен отказ. Подадената от Ст. И. М. от 07.01.2025 г. несъмнено е във връзка с упражняване на правата й по чл. 15 от ОРЗД, а съгласно § 3 на цитираната разпоредба администраторът е длъжен да предостави копие от личните данни на субекта, като спорът се свежда до това попада ли в обхвата на споменатото задължение на администратора на данни предоставянето на субекта на данни на копия от носителите на личните му данни – в случая договори за кредит, в каквато насока от жалбоподателката е било отправено изрично искане, по което е налице изричен отказ, предмет на настоящото оспорване. Съдът на Европейския съюз (СЕС) е имал повод да тълкува чл. 15, § 3, първо изречение от ОРЗД, който гласи, че администраторът предоставя копие от личните данни, които са в процес на обработване. Изхождайки от принципа на прозрачност, предвиден в чл. 12, § 1 от Регламент 2016/679 СЕС приема в Решението си от 04.05.2023 г. по дело С-487/21, че правото да се получи от администратора копие на лични данни, които са в процес на обработване, изисква на субекта да се предостави точна и разбираема реплика на всички тези данни. Съдът посочва, че това право предполага правото на получаване на копие от извлечения от документи и дори цели документи или извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права. СЕС подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица. В чл.6, § 1, б. "б" от ОРЗД е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай (обработването на лични данни на жалбоподателката е във връзка със сключен договор за кредит). Жалбоподателката изрично е поискала да й бъде предоставено копие от ДПК - носител на личните й данни, за да извърши проверка на обработваните данни. В случая съдът приема, че предоставянето на същите е било задължително, за да може жалбоподателката ефективно да упражни предоставеното й с Регламента право. Без значение е целта на това искане и дали жалбоподателката съхранява или не своя екземпляр от договора. Това са обстоятелства неотносими към задължението на администратора на личните данни съгласно ОРЗД и ЗЗЛД да ги предостави, когато са надлежно поискани по реда на чл. 37б, във вр. с чл. 37в от ЗЗЛД. В случая ответникът не е предоставил необходимата информация за проверка на законосъобразното обработване на ЛД. В отговора му конкретният договор, посочен като основание за обработката на данни, не е индивидуализиран. Само е посочено, че обработва ЛД във вр. с договор за кредит отпуснат от разстояние. Следва да бъде посочено и това, че не са налице законовите предпоставки за отказ от предоставянето на ЛД. Същите са конкретно изброени в чл. 37а, ал. 1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от ОРЗД, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове. Поради тези съображения жалбата се явява основателна. Оспореният частичен отказ следва да бъде отменен, като незаконосъобразен. Преписката следва да бъде върната на ответника, като администратор на лични данни, за произнасяне по заявлението на жалбоподателката в 7-дневен срок от влизане в сила на настоящото решение, при съобразяване с дадените указания по тълкуването и прилагането на закона в същото. При този изход на спора ответникът следва да бъде осъден да заплати на пълномощника на жалбоподателя – 1000 лв. адвокатско възнаграждение, определено му на основание чл. 38, ал. 2 във връзка с ал. 1, т. 2 от ЗА. Приложен е Договор за правна защита и съдействие, в който е посочено, че се предоставя безплатна правна помощ. На жалбоподателя се дължи възстановяване на сумата от 10, 00лв. – заплатена ДТ. Воден от горните мотиви, на основание чл.172, ал.2 от АПК, във вр. с чл.173, ал.2 от АПК и чл.174 от с.к., VII-ми административен състав на АСВТ