Решение № 330 от 29.1.2025 г. на Административен съд - Стара Загора по дело № 805/2024 г.

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/ във връзка с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/. Образувано е по жалба от Е. Г. Г. с постоянен адрес [населено място], подадена чрез пълномощника й адв. М. М. от Адвокатска колегия – Стара Загора, против изричен отказ, обективиран в писмо с изх. №12136 от 13.09.2024 год. на длъжностното лице по защита на личните данни при „Микро кредит“АД, с който на жалбоподателката, по повод отправено от нейна страна писмено заявление за достъп до личните й данни, се отказва предоставянето на носителите на тези данни – договорите за отпуснати кредити, въз основа на които се обработват личните й данни за периода от 30.08.2019 год. до 30.08.2024 год. В жалбата и в представено по делото писмено становище се излагат подробни съображения по повод незаконосъобразността на постановения отказ. Твърди се, че от представеното от ответника резюме на данни, в допълнение към писмо изх. №12136 от 13.09.2024 год., представляващо по същността си компилация на обработваните лични данни на жалбоподателката не ставало ясно въз основа на какви конкретни основания се обработват данните й, предвид посочените от администратора в отговора му цели на обработването. Така и с оглед непредставянето на изисканите договор за заеми се нарушавали заложените в Регламент (ЕС) 2016/ 679 на Европейския парламент и на Съвета принципи на прозрачност и отчетност при обработката на лични данни, пряко относими към правото за предоставянето на всякаква информация от страна на администратора на личните данни, която информация от своя страна да послужи за извършването на ефективна проверка от страна на субекта за наличието на законосъобразно обработване на личните му данни от администратора. В тази връзка се отрича, че закрепеното в чл. 15, §3 от Регламент (ЕС) 2016/ 679 на Европейския парламент и на Съвета задължение на администратора на лични данни се свежда единствено до предоставянето на копие на личните данни, но не и на конкретните документи, представляващи фактическото основание на което те се обработват и обуславящо целите на обработването. В подкрепа на изложените доводи се сочи съдебна практика в т. ч. и такава на СЕС. От съда се иска отмяна на постановения изричен отказ за предоставяне на носителите на лични данни-договори за заеми за периода от 30.08.2019 год. до 30.08.2024 год., въз основана които се обработват личните данни на жалбоподателката, както и да бъде задължен ответника в седемдневен срок от влизане в сила на съденото решение да представи исканите документи. Претендират се сторените по делото разноски. Ответникът по жалбата – „Микро Кредит“ АД, чрез пълномощника си по делото – адв. М., оспорва жалбата като неоснователна. Твърди се, че искането за предоставяне на лични данни е подадено от пълномощник, който обаче не бил изрично упълномощен от заявителя Г. да получава нейни лични данни, както и не било спазено и изискуемото съгласно чл.37в от ЗЗЛД съдържание на заявлението, тъй като липсвало отразяване на какъв носител да бъдат предоставени данните. Поддържа, че законосъобразно е било отказано предоставяне на исканите копия на договори за кредит, тъй като съдържащата се в тях информация представлявала търговска тайна и съгласно чл.55, ал.2, т.3 от ЗЗЛД не се следвал достъп. По тези съображения се иска жалбата да бъде оставена без уважение. Въз основа на събраните по делото доказателства съдът намира за установено следното от фактическа страна: На 30.08.2024 год., жалбоподателката Е. Г. Г., чрез адвокат М. М., е подала по електронен път до „Микро кредит“ АД искане, подписано с електронен подпис, с което на основание чл.15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Регламент 2016/679/, е поискала от дружеството, в качеството му на администратор на лични данни да й предостави информация, относно това дали личните й данни са обработвани от „Микро кредит“АД, както и целите на обработването, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване за периода от 30.08.2019 год. до 30.08.2024 год. В допълнение е отправено искане всички носители на въпросните данни /договори, стандартни европейски формуляри и др./ да й бъдат предоставени за да се извърши проверка на обработването. Предоставен е електронен адрес, на който да се изпрати отговорът и документите. По делото не се спори, а и се потвърждава от представените доказателства, че искането е достигнало до адресата си - „Микро кредит“ АД на 30.08.2024 год. и заведено с вх.№00590. На 14.09.2024 год., е получено писмо – отговор с изх. №12136 от 13.09.2024 год. на управителя на „Микро кредит“АД. С писмото се потвърждава, че дружеството обработва личните данни на жалбоподателката, като е събрало, обработва и съхранява тези данни, предоставени от лицето за създаването на договорното отношение по между съответното лице /одобрено да сключи заем/ от една страна и „Микро кредит“АД от друга страна. Детайлно и подробно са описани целите на обработката на личните данни, категориите лични данни на субекта /в т.ч. имена, ЕГН, адреси, телефонни номера и адреса на кандидатствалото за отпускане на заем лице/. На база на събраните данни се извършвала идентификация на лицето, желаещо да навлезе в договорни правоотношения с „Микро кредит“АД, проверка на идентификацията на същото лице, изготвяне на независима оценка на кредитоспособността му, необходима за независима преценка дали съответното кандидатстващо лице би могло да посрещне задълженията си на заемополучател по един евентуален договор за заем. Предвид това се събирали данни отнасящи се до имена, адрес, месторабота, възнаграждение, семейно положение, тел. номер и пр. – информация необходима единствено и само за целите на сключване на договора и съответно поддържане на делови взаимоотношения в хода на действието на договора със съответното лице. Така изброените лични данни са предоставени на цесионера „Агенция за събиране на вземания“АД, във връзка със сключения цесионен договор за прехвърляне на вземането от 21.05.2024 год. Относно искането за предоставяне на договора за заем, то заемополучателката разполагала с тези документи и доколкото същите са били търговска тайна, отказват предоставянето на такива. Горната фактическа обстановка се установява от представената по делото административна преписка, образувана по повод искането за достъп до лични данни. Във връзка със служебно изискана от съда информация, по делото е постъпило писмо с изх. №ППН-01-1337#1 от 16.12.2024 год. на Председателя на КЗЛД, в което е удостоверено, че към 13.12.2024 год. пред Комисията за защита на личните данни не е налице висящо или приключило административно производство, инициирано от Е. Г. Г. срещу „Микро кредит“ АД. При така установените по делото факти съдът направи следните правни изводи: Приложимата към процесния казус нормативна уредба се съдържа в Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните/, както и в Закона за защита на личните данни. Съгласно легалното определение на §1, т.1 и т.4 от ДР на ЗЗЛД, по смисъла на този закон „лични данни“ e понятието по чл.4, т.1 от Регламент /ЕС/ 2016/679, а „обработване“ е понятието по чл.4, т.2 от Регламент /ЕС/ 2016/679. Според чл.4, §1 от регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /“субект на данни“/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. §2 на чл.4 от регламента гласи, че „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В §1, т.2 от ДР на ЗЗЛД е предвидено, че по смисъла на този закон „администратор“, с изключение на администратора по глава осма, е понятието по чл.4, т.7 от Регламент /ЕС/ 2016/679, а съгласно т.3 от §1 на ДР на ЗЗЛД „обработващ лични данни“ е понятието по чл.4, т.8 от регламента. Съответно според чл.4, §7 и §8 от Регламент /ЕС/ 2016/679 „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. „Обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора. В чл.15 от Регламент /ЕС/ 2016/679, е предвидено „право на достъп на субекта на данните“, като в §1 е прието, че „субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните...“. Според чл.15, §3 от Регламент /ЕС/ 2016/679, „администраторът предоставя копие от личните данни, които са в процес на обработване.“ Според чл.12, §3 от Регламент /ЕС/ 2016/679, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15-22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. По допустимостта на жалбата: Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган – Комисията за защита на личните данни /чл.38, ал. 1 от ЗЗЛД/ и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК /чл. 39, ал. 1 от ЗЗЛД/. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. По делото е установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично, от гл. т. на предмет и страни, с настоящото съдебно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор. В случая подаденото от жалбоподателката искане от 30.08.2024 год. представлява заявление по смисъла на чл.37б, ал.1 от ЗЗЛД, съдържащо реквизитите по чл.37в от ЗЗЛД във връзка с упражняване на правата й по смисъла на чл.15 от Регламент /ЕС/ 2016/679, като по същото искане администраторът на лични данни, какъвто безспорно се явява „Микро кредит“ АД, дължи произнесе в срока визиран в специалната разпоредбата на чл.12, §3 от Регламент /ЕС/ 2016/679. Отказът на ответника да предостави на Е. Г. достъп до конкретните носители на лични данни, т.е. документите, чрез които тези данни се обработват /договори и др. документи/, обективиран в писмо с изх. №12136 от 13.09.2024 год., обуславя наличието на пряк, личен и непосредствен интерес за жалбоподателката. Следователно оспорването, като направено от легитимирано лице с правен интерес и против акт, подлежащ на съдебно обжалване и контрол за законосъобразност съгласно изричната разпоредба на чл. 39, ал. 1 ЗЗЛД, е процесуално допустимо. Разгледана по същество, жалбата е основателна. С оглед съвкупната преценка на материалите по делото в т. ч. и направените от страните изявления се установява, че спор по фактите не съществува. Не се отрича нито отправеното от Г. и получено от администратора на лични данни искане за достъп в т. ч. и нарочно искане за предоставяне на документи, съдържащи обработваните лични данни, нито полученият отговор, съдържащ процесния изричен отказ, както и компилацията от лични данни. Спорният въпрос по делото е правен и се свежда до това следва ли в хипотезата на чл.15§3 от Регламент /ЕС/ 2016/679/, администраторът на лични данни „Микро кредит“АД да предостави на жалбоподателката поисканите от нея носители на лични данни /договори, европейски формуляри и др./, въз основа на които тези данни се обработват. На първо място следва да се посочи, че видно от съдържанието както на отговора от 13.09.2024 год., така и изготвената справка-компилация, на жалбоподателката е била представена обширна информация за категорията и вида лични данни, които се обработват от администратора. Информацията за целите, за които се обработват личните данни, макар и съдържателно, е представена по-скоро общо, като самите цели съответстват на специфичната стопанска дейност, която извършва ответника – отпускане на кредити, каквито в случая вероятно са налични за Г. или най-малкото са налице възникнали преддоговорни отношения по повод отпускането на такива, т.е. между „Микро кредит“ АД и жалбоподателката са съществували облигационни отношения, предполагащи, а и изискващи обработката на определена категория лични данни, която обработка в случая не се отрича. Едни от основните принципи въведени от Регламент /ЕС/ 2016/679/ по повод обработването на лични данни са и тези, съдържащи се в чл.5§1, б.„а“ и „б“ съгласно които личните данни следва да са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните /„законосъобразност, добросъвестност и прозрачност“/, както и да са събирани за конкретни, изрично указани и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тези цели, като отговорността за това, респективно и задължението да докаже изпълнението на тези принципи лежи изцяло върху администратора на личните данни, който всъщност е субектът, определящ предварително категорията лични данни, които ще обработва и целите на обработката. Принципите на отчетност и прозрачност са призовани в защита на правата и интересите на субектите на лични данни, доколкото те следва да могат по всяко време и на правно основание да изискат от администратора доказателства, че обработката на данните е законосъобразна по смисъла на чл.6 от регламента. От своя страна чл.6, §1 от Регламент /ЕС/ 2016/679 гласи, че обработването е законосъобразно, само ако и доколкото е приложимо поне едно от изброените в разпоредбата условия, измежду които съгласно б.„а“ субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели, а съгласно б.„б“ обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор. Т.е. налага се изводът, че обработката на лични данни не може да е за цели, различни от тези, за които субектът е дал съгласие в т. ч. и за договори, по които той не е страна, може да не е страна или не е уведомен, че е страна. Както вече бе посочено съгласно чл.15, §1 от Регламент /ЕС/ 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните, в т. ч. и информация, относно целите на обработването. Ирелевантно относно упражняването на това право на субекта и съответно изпълнението на насрещното задължение на администратора е дали субектът разполага вече с информация за наличието на обработка, за вида и обема на обработваните данни и за целите и основанията въз основа на които се осъществява обработката. Спазвайки принципите на прозрачност и отчетност администраторът дължи поведение, чрез което да предостави на субекта всякаква информация по отношение обработването /чл.12, §1 от регламента/ в кратка, прозрачна, разбираема и лесно достъпна форма, чрез която субектът да може да провери налице ли е законосъобразно обработване на личните му данни, в т. ч. кои са целите на това обработване, които всъщност са обусловени изцяло от конкретното фактическо основание, предпоставило пряката нужда от обработка – в случая наличието на сключени договори за парични заеми и/или съществуването на преддоговорни отношения. Само по този начин субектът на данните би могъл да провери дали свързаните с него данни са точни, дали се обработват законосъобразно, както и евентуално да упражни правото си на коригиране, изтриване /право „да бъдеш забравен“/ и на ограничаване на обработването, които са му признати съответно в членове 16, 17 и 18 от Регламента. Без съмнение правото да се предостави копие на лични данни, по смисъла на чл.15, §3 от Регламент /ЕС/ 2016/679, не се отъждествява с правото да се предостави копие на документите, чрез които се обработват тези данни. Правото да се получи от администратора копие от личните данни, които са в процес на обработване изисква да бъде предоставена на субекта на данните точна и разбираема реплика на всички тези данни, в т.ч. и под формата на компилация от данни. Съгласно обаче приетото в Решение на СЕС от 4 май 2023 година по дело C-487/21, това право предполага и правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително за да може субектът на данните ефективно да упражни предоставените му с този регламент права, в т. ч. и да извърши проверка за спазване на принципа за законосъобразна обработка на данните. Предвид горното съдът приема, че в случая и в изпълнение на принципите на прозрачност и отчетност, администраторът е бил длъжен, при наличие на отправеното изрично искане, да предостави на субекта и изисканите от него копия на документи, чрез които се обработват личните му данни, доколкото при неизпълнение на това задължение се ограничава възможността Г. да узнае конкретните фактически и правни основания, обуславящи целите на обработка на личните й данни и по този начин да извърши проверка дали същите се обработват законосъобразно по смисъла на чл. 6 от Регламент /ЕС/ 2016/679. Противното разбиране води до ситуация като в процесния случай, в която субектът на данните получава единствено обща информация за вида и категорията на обработваните лични данни, но не може да получи конкретни сведения за целите на обработката, т. е. какво е точното фактическо основанието за нейното извършване. Това води до пряко неизпълнение от страна на администратора на лични данни на задължението за отчетност, което препятства и възможността субекта на данните да осъществи ефективна проверка относно тяхното законосъобразното, добросъвестно и прозрачно обработване, каквото съмнение очевидно се е породило у жалбоподателката. По изложените съображения оспореният отказ да бъдат предоставени на Е. Г. Г. копия на носителите на лични данни – договори и др. документи, въз основа на които се обработват личните й данни, обективиран в писмо с изх. №12136 от 13.09.2024 год. на длъжностното лице по защита на личните данни при „Микро кредит“АД, се явява незаконосъобразен и се следва неговата отмяна. Делото като преписка следва да се върне на „Микро кредит“АД за ново произнасяне по искането на жалбоподателката за предоставяне на носителите на лични данни - договорите за заеми и др. документи, въз основа на които се обработват данните й, при спазване на задължителните указания по тълкуването и прилагането на закона, дадени с настоящото решение. Предвид изхода на делото искането на жалбоподателката за присъждане на направените разноски следва да бъде уважено, като на основание чл. 143, ал. 1 от АПК, в тежест на „Микро кредит“АД следва да бъде възложено заплащането на разноски за внесена държавна такса в размер на 10.00 лева. Водим от гореизложеното и на основание чл.172 ал. 2, във връзка с чл.173 ал. 2 и чл.174 от АПК, съдът