РЕШЕНИЕ

№ 2854

Велико Търново, 05.09.2025 г.

В ИМЕТО НА НАРОДА

Административния съд Велико Търново - III състав, в съдебно заседание на двадесет и седми май две хиляди двадесет и пета година в състав:

Съдия: ЕВТИМ БАНЕВ При секретар М.Н. като разгледа докладваното от съдия ЕВТИМ БАНЕВ административно дело № 20257060700269 / 2025 г., за да се произнесе взе предвид следното:

Образувано е по жалба, подадена от адв. Н. Р. от АК – Бургас, като пълномощник на Г. Л. К., [ЕГН], адрес [населено място], [улица], вх. В, ет. 6, срещу мълчалив отказ на „Агенция за събиране на вземания“ ЕАД, [ЕИК], в качеството на администратор на лични данни, по молба от 19.02.2025 г., подадена от жалбоподателя, чрез пълномощник, за предоставяне на документи, посочени в молбата – Договор за кредит № 2268838 на Г. К. с „Кредисимо“ ЕАД, Договор за поръчителство с „Ай Тръст“ ЕООД, ведно със съпътстващите документи /погасителен план и приложения към договора/.

Оспорващото лице счита, че по негово искане от 19.02.2025 г. за представяне на изброените по-горе документи е формиран мълчалив отказ от администратора на лични данни, след като неправомерно е изискан оригинал или нотариално заверен препис от пълномощното на адв. Р. и в законоустановения срок не са предоставени нито исканите документи, нито е постановен изричен отказ за предоставянето им. Развива подробни доводи за редовност на отправеното искане, съответно за незаконосъобразност на мълчаливия отказ. Иска този отказ да бъде отменен и претендира за присъждане на направените разноски съобразно списък по чл. 80 от ГПК. Повече съображения в този смисъл представя в писмени становища, депозирани по делото, като подчертава, че поставянето на допълнителни условия към отправено заявление за достъп до лични данни, които несъответстват на нормативната уредба, е в пряко противоречие с целите на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива /Регламента/.

Ответникът – „Агенция за събиране на вземания“ ЕАД, чрез пълномощника си адв. Р. Й. от АК – София, в представен писмен отговор и в допълнение към него, заявява, че оспорва жалбата като недопустима, евентуално – неоснователна. Моли за оставянето й без разглеждане като предсрочно подадена срещу акт, който няма характер на индивидуален административен акт, подлежащ на оспорване. Алтернативно иска отхвърляне на жалбата по същество, тъй като не се касае за отказ, а за указване на процедурни действия.

Във връзка с проверката на допустимостта и основателността на жалбата и въз основа на събраните по делото доказателства, съдът прие за установено от фактическа страна следното:

С Уведомително писмо изх. №УПЦ-П-КРС-АТ/ 2268838 на „Агенция за събиране на вземания“ ЕАД Г. К. е информиран, че е извършено прехвърляне на вземанията от 01.02.2022 г. между цедентите „Ай тръст“ ЕООД и „Кредисимо“ ЕАД и цесионера „Агенция за събиране на вземания“ ЕАД. Вземането произтича от Договор № 2268838 за паричен заем в размер на 4 000, 00 лв., сключен между К. и „Кредисимо“ ЕАД. На К. е изпратено и Уведомление от 11.02.2025 г. по чл. 14 от Регламент (ЕС) 2016/679 от 27 април 2016 година. На 19.02.2025 г. по електронната поща на „Агенция за събиране на вземания“ ЕАД е постъпила молба от потребител с електронен адрес [електронна поща]. В титулната част на молбата е посочено, че нейн подател е Г. Л. К. от [населено място], чрез адв. Н. Р.. На основание чл. 37б от ЗЗЛД от администратора на лични данни е поискано предоставяне по електронна поща на копие от Договор за кредит № 2268838 между Г. К. и „Кредисимо“ ЕАД, ведно с Договор за поръчителство с „Ай Тръст“ ЕООД, ведно със съпътстващите документи /погасителен план и приложения към договора/. Посочено е, че с искането се цели проверка на законността на обработката на лични данни. В молбата е посочено, че се прилага пълномощно. От разпечатката на електронното писмо е видно, че към него са прикачени два pdf файла, единият именуван „Молба – ЛД“, другият – „Пълномощно“. Според наличното в преписката пълномощно, във вид на препис, заверен с електронен подпис, Г. К. упълномощава адв. Р. от АК – Бургас с изрични права да го представлява и подписва пред „Агенция за събиране на вземания“ ЕАД, като заяви и получи изброените документи. Пълномощното електронно подписано за вярност с оригинала от адвоката на 19.02.2025 година. Развила се е електронна кореспонденция, като в писмо от 25.02.2025 г., изпратено от ответното дружество до пълномощника, е изискано представяне на оригинала на пълномощното лично от адв. Р. в офиса на „Агенция за събиране на вземания“ ЕАД в [населено място] с удостоверяване на самоличността и качеството на адвокат, или при изпращане по имейл или чрез куриер – нотариално заверено пълномощно. В писмо от 28.02.2025 г. адв. Р. се е позовал на чл. 25, ал. 1 от Закона за адвокатурата, че е достатъчно писмено пълномощно, че отправеното искане е съобразено с Регламента и в частност с чл. 15, т. 3 от него, както и че посочените от „Агенция за събиране на вземания“ ЕАД изисквания противоречат на закона. Отделно от това е посочил, че той се намира в [населено място] и е невъзможно да пътува до [населено място], за да се легитимира. Администраторът на лични данни е указал повторно в писмо от 17.03.2025 г., че изискванията са продиктувани от съображения за превенция от злоупотреба с лични данни, че са предоставени две алтернативи за верифициране на самоличността на пълномощника, както и че това цели удостоверяване на представителната власт, а не представлява отказ за упражняване на правата на субекта. Последвала е жалба от Г. К. срещу мълчалив отказ за представяне на копие от договор, съдържащ лични данни от „Агенция за събиране на вземания“ ЕАД, подадена директно в Административен съд – Велико Търново на 26.03.2025 г., което се установява от пощенското клеймо на плика, в който подадена пратката. В съдебната фаза на производството като доказателства са приети изброените по-горе документи, съдържащи се в административната преписка. От Комисията за защита на личните данни, [населено място] /КЗЛД/ е изискано и представено Удостоверение вх. №1884/ 28.04.2025 г. по чл. 39, ал. 4 от ЗЗЛД, според което към 24.04.2025 г. не е налично висящо или приключило производство пред КЗЛД, инициирано от Г. К. срещу „Агенция за събиране на вземания“ ЕАД.

При така установеното от фактическа страна, съдът като взе предвид становищата на страните и представените по делото доказателства, прави следните изводи:

Жалбата, е подадена от лице с надлежна процесуална легитимация, като подател на заявление за предоставяне на копие на лични данни, във връзка с сключени договори, вземанията по които са прехвърлени към „Агенция за събиране на вземания“ ЕАД, при което дружеството е придобило качеството на администратор на тези лични данни. Съобразно датата на молбата и тази на подаване на жалбата, оспорването е извършено в срока по чл. 149, ал. 2 от АПК в приложимата редакция, вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/ и чл. 12, т. 3 от Регламента. Извън това съдът намира, че в случая е налице изричен отказ от страна на администратора, съображения за което ще бъдат изложени по-долу, при обжалването на който отказ е спазен срокът по чл. 149, ал. 1 от АПК. Оспорването е адресирано до компетентния съд и от външна страна жалбата отговаря на изискванията на чл. 150 и чл. 151 от АПК.

ЗЗЛД урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламента и по ЗЗЛД: сезиране на надзорен орган – КЗЛД /чл. 38, ал. 1 от ЗЗЛД/ или сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК /чл. 39, ал. 1 от ЗЗЛД/. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в чл. 39, ал. 4 от ЗЗЛД – да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. В настоящия случай е установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично с това съдебно производство. Не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

Неоснователно в отговора на ответника се поддържа възражение, че жалбата е недопустима, тъй като се явява предсрочно подадена. В тази връзка се прави позоваване на чл. 12, т. 3 от Регламента, според който администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 – 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Няма данни в развилото се производство администраторът да се е възползвал от възможността за удължаване на срока за произнасяне, като не се намират нито предпоставките за такава необходимост – сложност и множество искания, нито задължителното информиране на субекта в срок за причините и продължителността на удължаването. Тоест не е налице хипотезата на удължаване и срокът за произнасяне се свежда до общото правило – без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. По тези съображения съдът не споделя доводите, че към момента на подаване на жалбата не е бил изтекъл крайният тримесечен срок за произнасяне на администратора.

Съдът не установи други основания за недопустимост на оспорването. Сезираният с искането орган е компетентен да се произнесе по него – администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента. Не се спори съществуването на облигационно отношение по силата на сключен договор за паричен заем между Г. К. и „Кредисимо“ ЕАД, в чиито права е встъпило „Ай тръст“ ЕООД и впоследствие прехвърлено на „Агенция за събиране на вземания“ ЕАД, при което съдът приема, че жалбоподателят е субект, чиито лични данни са обработвани от ответника и респективно има право на достъп до обработваните от администратора лични данни съгласно чл. 15 от Регламента. Отправеното от жалбоподателя искане от 19.02.2025 г. до администратора на лични данни „Агенция за събиране на вземания“ ЕАД несъмнено има характер на заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в от ЗЗЛД. Следователно за „Агенция за събиране на вземания“ ЕАД е съществувало нормативно установено задължение да се произнесе по подаденото от Г. К. заявление. Не може да се приеме, че искането е недопустимо съобразно чл. 27, ал. 2 от АПК или нередовно съгласно чл. 30 от АПК. Същото датира от 19.02.2025 година. В електронното съобщение от 25.02.2025 г. на „Агенция за събиране на вземания“ ЕАД се оповестява, че дружеството е финансова институция, която съобразява законодателството и прилага високи стандарти в областта на защитата на личните данни и мерките срещу изпирането на пари, поради което има допълнителни изисквания към искането и реално не предоставя търсените сведения на субекта на лични данни. Според чл. 30, ал. 2 от АПК ако искането не удовлетворява останалите изисквания на закона, заявителят се уведомява да отстрани недостатъците в тридневен срок от съобщението за това с указание, че неотстраняването им ще предизвика прекратяване на производството. Предвид чл. 30, ал. 3 от АПК срокът за произнасяне започва да тече от датата на отстраняване на нередовностите. В случая от администратора не е изрично посочено правното основание за изявлението му, кои изисквания на закона не са удовлетворени с подаденото заявление, не е посочен и срок за представяне на исканите документи. Безспорно въпросното писмо не съдържа пълното изискуемо по чл. 30, ал. 2 от АПК съдържание, вкл. посочване на срок за отстраняване на недостатъци в заявлението и предупреждение за последиците от неизпълнението, но по характера си то е именно изявление за обездвижване на искането, поради претендирана от администратора нередовност на същото. Същевременно от словесното съдържание на изявлението от 25.02.2025 г. явства, че администраторът е имал опасения във връзка със самоличността /и представителната власт/ на физическото лице, което фактически подава искането за достъп до лични данни и се е възползвал от възможността по чл. 12, т. 6 от Регламента, да поиска предоставянето на допълнителна информация, необходима за потвърждаване на тази самоличност. Въпреки това няма данни производството да е прекратено, а е последвала нова размяна на волеизявления, като в крайна сметка искането от 19.02.2025 г. не е било удовлетворено, именно с мотивировка, че не е отстранена указаната нередовност. Тоест, въпреки изявленията, че не се касае за отказ, реално с писмото от 17.03.2025 г. по същество е отказано удовлетворяване на искането от 19.02.2025 г. и противно на твърденията на ответника този отказ съставлява индивидуален административен акт, издаден в срока по чл. 12, т. 3, изр. първо от Регламента. Същият е подлежащ на оспорване и в случая такова е извършено в срока по чл. 149, ал. 1 от АПК.

Разгледана по същество жалбата е неоснователна.

Съдът не установява липса на компетентност по смисъла на чл. 146, т. 1 от АПК, доколкото по аргумент от чл. 15, т. 3 от Регламента администраторът на лични данни, каквото се явява „Агенция за събиране на вземания“ ЕАД, е обвързан от закона да издаде индивидуален административен акт. Съдът приема като предмет на оспорване – отказът на дружеството, обективиран в писмото от 17.03.2025 г., което е съставено в писмена форма и изпратено с електронни средства по смисъла на чл. 12, т. 3, изр. последно от Регламента. Същото е мотивирано с обстоятелството, че противно на приложимото право не е удостоверена представителната власт на пълномощника, който е изпратил искането по електронна поща до администратора. Изложеното е достатъчно, за да се приеме отказът за мотивиран, но законосъобразността на това съображение е въпрос по съществото на спора. Въпреки известната липса на прецизност и детайлно съблюдаване на процедурата по упражняване на правата на субекта на лични данни, съдът не констатира съществени процесуални нарушения, които сами по себе си да обосноват незаконосъобразност на акта и съответно – неговата отмяна.

Не е налице противоречие на обжалвания отказ с материалноправни разпоредби, както и с целта на закона.

Спорът по делото е правен и касае наличието на материалноправните предпоставки за постановяване на процесния отказ.

Видно от представените по делото доказателства, към подаденото по електронен път искане, подписано от адвокат Р. с електронен подпис, в съответствие с изискването на чл. 37в, ал. 2 от ЗЗЛД е приложено пълномощно, заверено за вярно с оригинала с електронен подпис от адвоката на 19.02.2025 година. Горното не е убедило органа в представителната власт и самоличността на пълномощника. Съдът не споделя изложените от него в хода на административното производство съображения относно приложението на чл. 25, ал. 1 от Закона за адвокатурата. Въведеното правило в цитирана норма дава право на адвокат или адвокат от Европейския съюз да представлява своя клиент въз основа на писмено пълномощно. Това правило е общо и касае необходимостта от надлежно упълномощаване, но то не дерогира ограниченията по чл. 23, т. 1, б. и от Регламента, намерили отражение в чл. 37а, ал. 1, т. 8 от ЗЗЛД. Според приоритетно приложимото общностно право в правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира защитата на субекта на данните или на правата и свободите на други лица. Съгласно националното право администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от Регламент (ЕС) 2016/679, както и да не изпълни задължението си по чл. 34 от Регламент (ЕС) 2016/679, когато упражняването на правата или изпълнението на задължението би създало риск за защитата на субекта на данните или на правата и свободите на други лица. Конкретните обстоятелства по делото идентифицират именно риск за защитата на субекта на данни и основателно съмнение в идентифицирането на самоличността на фактическия подател на искането – електронно подадено заявление от потребител с електронен адрес [електронна поща], който е различен от субекта, и чиято самоличност и представителна власт не са безспорно и еднозначно потвърдени пред администратора. Гарантирането на редовно упражнената възможност на едно лице да бъде представлявано от друго, да извършва или приема действия от негово име и за негова сметка, игнорира допускането на злоупотреба с данни и права на субекта на данни. Целта е да бъдат защитени личните данни на гражданите, доколкото предоставянето на такива, съдържащи се в договори с финансови институции и дружества за събиране на вземания, на друг правен субект, различен от субекта на данните, представлява „обработване“ по смисъла на § 1, т. 4 от ДР на ЗЗЛД, подчиняващо се на специални правила, имащи за цел предотвратяване на нарушения на сигурността на личните данни и постигане на целта на ЗЗЛД по чл. 1, ал. 3 от същия, която е да осигури защита на физическите лица във връзка с обработването на лични данни в съответствие с Регламента, както и във връзка с обработването на лични данни от компетентните органи за целите по ал. 2. Изискването за представяне на нотариално заверено пълномощно или удостоверяване на самоличността на пълномощника може да се тълкува разширително дори в светлината на Закона за адвокатурата, уреждащ отношенията клиент – адвокат с оглед начина на упражняване на адвокатската професия. Горното не може да се счита за изпълнено чрез представяне по електронен път на писмено пълномощно в полза на избрания адвокат, без то да е нотариално заверено, какъвто е конкретният случай. По тези съображения, нормата, на която се позовава адв. Р., не съставлява правно основание, въз основа на което да бъде удовлетворен заявеният достъп до лични данни.

В случая, с отказа на администратора на лични данни, е гарантирано изпълнението на целта на закона в допълнителна степен и е обезпечено правото на защита на личните данни, което се предоставя с чл. 8, § 2 от Хартата на основните права на Европейския съюз, според който личните данни трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание. Всеки има право на достъп до събраните данни, отнасящи се до него, както и правото да изиска поправянето им. Поради това в конкретния случай допълнителните изисквания на администратора не следва да се разглеждат като утежнена форма за упълномощаване при упражняване на адвокатската професия, а като защита именно на правото на физическите лица на достъп до събраните данни, отнасящи се конкретно до тях. Без да е безспорно удостоверена самоличността и представителната власт на пълномощника, горното няма как да бъде осъществено и да се гарантира законосъобразното обработване на лични данни. Освен това, както общностното, така и националното право поставят високи нормативни изисквания за обработка на личните данни, чието спазване е гаранция за зачитане на основните права и свободи и по-конкретно правото на личен живот на гражданите.

Съобразно горното съдът намира, че постановеният от ответника отказ на жалбоподателя да бъдат предоставени лични данни по заявление от 19.02.2025 г., е законосъобразен и оспорването срещу него следва да бъде отхвърлено.

При този изход на делото, на жалбоподателя не се следва присъждане на претендираните от него разноски, а ответникът не е претендирал такива.

Водим от горното, и на основание чл. 172, ал. 2 от АПК, съдът