Решение № 8034 от 2.7.2026 г. на Административен съд - Пловдив по дело № 1233/2026 г.

І. Производството и исканията на страните:

1. Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

2. Образувано е по жалба на П. И. И., [ЕГН], адрес: [населено място], [улица], срещу изричен отказ от 14.04.2026 г. на „Сити Кеш“ ООД, [ЕИК], с адрес: [населено място], р-н Младост, [улица], ет. 5, за предоставяне на копия от всички договори, приложения и анекси, в които се обработват лични данни по упражнено право по чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета със заявление от 15.03.2026 г.

В жалбата са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна. Поддържа се, че с отказа се възпрепятства правото на оспорващия да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. Иска се присъждане на сторените в съдебното производство разноски и адвокатско възнаграждение по реда на чл. 38, ал. 2 от Закона за адвокатурата.

3. Ответникът – „Сити Кеш“ ООД, [ЕИК], с адрес: [населено място], р-н Младост, [улица], ет. 5, процесуалния представител – юрисконсулт Ц. Б., поддържа становище за недопустимост на жалбата, а по същество за нейната неоснователност. Твърди, че е удовлетворена изцяло молбата на жалбоподателя. В този смисъл се поддържа, че липсват годен за оспорване административен акт и правен интерес за съдебна защита. По същество се поддържа, че „Сити Кеш“ ООД е изпълнило изцяло законовите изисквания и е изпратило на жалбоподателя информацията, попадаща в обхвата на Регламента, свързана с обработването на личните му данни. Относно искането за предоставяне на копия от документите, съдържащи личните данни, се твърди, че същите не следва да бъдат предоставяни, тъй като: искането е извън предметния обхват на чл. 15 от Регламент (ЕС) 2016/679; лицето вече разполага с копия от тези документи; законодателят не е предвидил право на достъп до материалния субстрат на документите, съдържащи лични данни; правото на информация по Регламент (ЕС) 2016/679 не е способ за събиране на доказателства и претенциите на жалбоподателя следва да се реализират по реда на чл. 193 и сл. от Гражданския процесуален кодекс. Позовава се на практика на СЕС, отразена в Решение C-526 от 19 март 2026г., според която искане за достъп до лични данни (дори когато се прави за първи път) може да бъде квалифицирано като злоупотреба с право и съответно отказано, ако се докаже, че единствената му цел е умишлено изкуствено създаване на предпоставки за последващо искане на финансово обезщетение. Претендира се присъждане на съдебни разноски.

ІІ. По допустимостта:

4. Не се формира спор по обстоятелството, че ответникът в производството е дружеството - финансова институция, вписана в регистъра на БНБ за финансовите институции по чл.3, ал.1 от Закона за кредитните институции, извършваща дейност на територията на Република България, насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД. Дружеството е страна по материалноправното правоотношение в качеството му на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и предмет на оспорване е именно изричен отказ на администратора на лични данни, поради което същият се явява и надлежен ответник в процеса (в този смисъл Решение № 13411 от 29.12.2025 г. на ВАС по адм. д. № 3777/2025 г., V о.; Решение № 1383 от 9.02.2026 г. на ВАС по адм. д. № 8627/2025 г., V о.).

Договорът за кредит, касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (вж. Определение № 2713 от 15.03.2023 г. на Върховен административен съд по адм. д. № 1745/2023 г.)

Съобразно установената съдебна практика (Решение № 7101 от 28.06.2023 г. на ВАС по адм. д. № 1825/2023 г., V о.), нормата на чл. 39 от ЗЗЛД не въвежда като условие за допустимост на съдебния контрол задължителното провеждане на производство по административен контрол върху действия и актове на администратора и на обработващия лични данни. Със Закона за защита на личните данни е предоставена възможност на субекта на лични данни да прецени по кой ред ще защитава нарушените си права по Регламент (ЕС) 2016/679 и по този закон. Забрана за сезиране на съда е поставена, само когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. В случая такива данни не са налице.

Между страните не се формира спор, че ответникът е бил сезиран с молба, в която изрично е посочено основание по чл. 15 от ОРЗД, по която жалбоподателят не е получил желаните копия от документи. Въпросът дали с уведомлението от 14.04.2026г. ответникът е предоставил заявената от жалбоподателя информация, респ. дали е удовлетворил в цялост неговото искане, третира съществото на спора. Тоест в случая е налице изричен отказ, който е оспорен в предвидения по чл. 149, ал. 1 АПК срок за обжалване, поради което жалбата като подадена от лице с правен интерес, срещу административен акт, подлежащ на съдебен контрол, се явява процесуално допустима.

ІІІ. Фактите по делото:

5. На 15.03.2026 г. П. И. И. подала по електронна поща, чрез пълномощника – адв. С. С., молба, подписана с електронен подпис, до „Сити Кеш“ ООД на основание чл. 15 от Регламент (ЕС) 2016/679 да бъде предоставен достъп до всички лични данни на И. в качеството й на субект, на когото се обработват лични данни от „Сити Кеш“ ООД, включително чрез представяне на всички копия от документи, в които се съдържат тези лични данни.

6. До заявителя било изпратено уведомление от „Сити Кеш“ ООД по електронна поща на 16.04.2026 г., с което били представени: информация за обработваните лични данни на И. (ЕГН; място на раждане; тел. номер; ел. поща; номер на банкова сметка; данни за валидност на документ за самоличност; постоянен и настоящ адрес; предоставени съгласия за приемане на маркетингови съобщения, обработка на лични данни, предоставяне на достъп до личните данни на трети лица и др.); в заключение е посочено, че: не е налице валидно упражнено право по чл. 15 от Регламент (ЕС) 2016/679; правата по Регламент (ЕС) 2016/679 не могат да бъдат използвани като паралелен доказателствен материал; искането не поражда задължение за предоставяне на информация и документи; облигационните правоотношения следва да се реализират в рамките на гражданското съдебно производство и не се формира административно производство по смисъла на чл. 30 от ЗЗЛД. Уведомлението изхожда от името на „Сити Кеш“ ООД и е подписано електронно от М. И. С. в качеството на юрисконсулт.

7. Според представено по делото пълномощно, с нотариална заверка на подписите от дата 26.03.2026г., управителят на „Сити Кеш“ ООД – Н. П. П., е упълномощил М. И. С. - юрисконсулт, да изготвя, подписва и изпраща отговори по заявени права на субекти на данни по смисъла на Регламент (ЕС) 2016/679.

IV. От правна страна:

8. Между страните не се формира спор по обстоятелството, че жалбоподателят е отправил искане до „Сити Кеш“ ООД, с предмет право на достъп до обработваните лични данни във връзка със сключени между тези страни договори за кредит. Не се спори и по факта, че освен информацията за обработваните лични данни в искането е било заявено и изрично желание на лицето за получаване на копия от документите, съдържащи личните данни на жалбоподателя. Безспорно е също, че с оглед дейността на „Сити Кеш“ ООД дружеството попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Между жалбоподателя и „Сити Кеш“ ООД съществуват облигационни отношения, произтичащи от сключен между страните договор за кредит, във връзка с които жалбоподателят се явява субект, чийто лични данни са обработвани от дружеството-ответник и респ. има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679.

Според чл. 4, § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, § 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в параграф 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните“.

Достъпът до обработваните лични данни, съгласно чл. 15, параграф 3 от Регламент 2016/679, се предоставя от администраторът чрез копие от личните данни, които са в процес на обработване.

В случая отправеното от жалбоподателя искане до „Сити Кеш“ ООД има характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД, чието съдържание отговаря на поставените от закона изисквания в т. 1 – т. 4 от същата правна норма, в частност като предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 е заявено предоставянето на копия от документите, съдържащи обработваните лични данни.

От съдържанието на уведомлението от 14.04.2026 г. е видно, че за администратора на лични данни не е имало пречка да идентифицира подателя на заявлението, предмета на искането и заявената форма за достъп до обработваните лични данни.

Съгласно чл. 12, § 1 от Регламента, администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15 - 22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства. § 2 от Регламента предвижда, че администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15 - 22, освен ако докаже, че не е в състояние да идентифицира субекта на данните. § 3 от чл. 12 регламентира, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. Според чл. 20, ал. 1 от Регламент 2016/687, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато: обработването е основано на съгласие в съответствие с член 6, параграф 1, буква а) или член 9, параграф 2, буква а) или на договорно задължение съгласно член 6, параграф 1, буква б); и обработването се извършва по автоматизиран начин.

Подаденото от жалбоподателя искане е във връзка с упражняване на правата по чл. 15 от Регламент 2016/679 и както вече се посочи, съгласно § 3 на чл. 15 Регламент 2016/679, администраторът е длъжен да предостави копие от личните данни на субекта.

Според Решение C-526 от 19 март 2026г. на СЕС, искане за достъп до лични данни (дори когато се прави за първи път) може да бъде квалифицирано като злоупотреба с право и съответно отказано, ако се докаже, че единствената му цел е умишлено изкуствено създаване на предпоставки за последващо искане на финансово обезщетение. Тежестта за доказване на злоупотребата пада изцяло върху администратора на данни, който трябва да докаже злоумишленото намерение на лицето. Подобни доказателства могат да бъдат: история на поведението на заявителя по данни от публично достъпна информация, съдебни регистри, медийни публикации или блогове, показващи, че лицето систематично прилага същия модел (напр. абонира се за бюлетин, веднага изпраща искане за достъп и след това съди компанията за обезщетение); доказателства, че субектът няма действителна връзка с дейността на администратора и е предоставил данните си единствено, за да провокира казуса; изключително кратки срокове между предоставянето на данните и предявяването на искането за достъп (дни или часове), последвани от незабавни агресивни искания за парични компенсации.

В случая заключителната част на уведомлението съдържа изричен отказ за предоставяне на копия от документи, съдържащи личните данни на заявителя; искането е квалифицирано като невалидно и непораждащо задължение за администратора на личните данни; отречено е и формирането въобще на административно производство по чл. 30 от ЗЗЛД. За да се повозва на подобни изключения в тежест на администратора на лични данни е да мотивира защо упражняването на правото по чл. 15 от Регламент 2016/679 в конкретния случай не е валидно, респ. защо не е годно да възбуди административно производство, респ. защо намира искането за злоупотреба с право. Такива мотиви в оспорения административен акт не се съдържат. Липсата на мотиви е съществен порок във формата на административния акт, който в случая дава самостоятелно основание за неговата отмяна.

Отделно, в случая отказът изхожда от лице, което не представлява по закон администраторът на личните данни. С представеното пълномощно се цели да се докаже делегиране на правомощия, респ. упълномощаване по ЗЗЛД и Регламент 2016/679. Тук следва да се отбележи, че единствената хипотеза, при която в Регламент 2016/679 е предвидено администраторът на лични данни да действа чрез представител е в случаите, когато той не е установен в Съюза, но обработва лични данни на субекти на данни, които се намират в Съюза, и дейностите му по обработването са свързани с предлагането на стоки или услуги, независимо дали от субекта на данни се изисква плащане (чл. 27). В тези случи, представителят следва да бъде посочен изрично от администратора или от обработващия лични данни с писмен мандат да действа от негово име във връзка с неговите задължения съгласно Регламента. Без съмнение нормата предвижда писмена форма. Този мандат в случая по своя характер не следва да се приема като упълномощаване по смисъла на гражданското право, а като делегиране на правомощия за издаване на административни актове, които по аргумент от чл. 15 от Регламент 2016/679 и чл. 21 от АПК обективират волеизявление на лице, осъществяващо публични функции в сферата на защитата на личните данни. В този аспект предоставянето на тези правомощия с мандат следва да почива на общите правила за делегиране на правомощия с нарочен акт, при спазване на набор от реквизити: издател, дата, подпис и волеизявление въз основа на конкретно правно основание.

Извън хипотезата на чл. 27 от Регламент 2016/679, но нито в ЗЗЛ, нито в Регламента е предвидена изрична възможност администраторът на лични данни – „физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка“, по друг ред да делегира правомощията си по изпълнение на правомощията и задълженията по чл. 15 от Регламент 2016/679.

Основополагащ правен принцип в националното ни законодателство е, че делегирането на предвидени в закона правомощия е допустимо, само ако е изрично разрешено със закон.

Според чл. 4, т. 7 от Регламент 2016/679, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. В случая такива правила не са предвидени в националната ни правна уредба.

За да е валидно предоставянето на мандат от администратора на лични данни както в случаите по чл. 27 Регламент 2016/679, така и извън тях, актът, с който се извършва това действие следва да съдържа конкретно и недвусмислено посочване на правомощия, които се предоставят на представителя. В случая ангажираното пълномощно съдържа общо упълномощаване за изготвяне, подписване и изпращане на отговори по заявени права на субекти на данни по смисъла на Регламент (ЕС) 2016/679. В случая освен отговор по подаденото заявление, в уведомлението се съдържат и волеизявления за отказ да бъдат предоставени исканите документи; квалифициране на искането като недопустимо и отказ за образуване на административно производство. Посочените в процесното пълномощно права по никакъв начин не обосноват изрично делегиране на правомощия за упълномощеното лице да прекратява, респ. да отказва образуването на производства по чл. 15 Регламент (ЕС) 2016/679 или да издава откази по подадени заявления на субекти на лични данни. Когато субектът на данни е отправил искането си към администратор на лични данни, последният следва да отговори на искането. Ако е физическо лице следва да отговори лично, а ако е юридическо лице - чрез лица, които имат право да го представляват като при последната хипотеза следва да са налице доказателства за упълномощаването на същото, респективно за делегиране на правомощия (в този смисъл Решение № 12885 от 12.12.2025 г. на ВАС по адм. д. № 8622/2025 г., V о., Решение № 10495 от 28.10.2025 г. на ВАС по адм. д. № 6719/2025 г., V о.).

При обсъдената фактическа и правна обстановка по делото се установява, че лицето издало посочения отказ не е притежавало правомощието по мандат на администратора на лични данни да издава актове от категорията на обжалвания.

В случая данните от Търговски регистър към Агенция по вписванията сочат, че към момента на произнасяне на оспорения в настоящото производство отказ представляващи дружеството „Сити Кеш“ ООД е управителят - Н. П. П.. Предвид това, настоящият състав на съда намира, че оспореният акт, подписан от М. И. С. – посочена като пълномощник на „Сити Кеш“ ООД, е издаден от лице без материална компетентност, поради което е налице основанието по чл. 146, т. 1 АПК за неговата отмяна.

По правилото на чл. 173, ал. 2 АПК, тъй като въпросът не позволява разрешаването му по същество, съдът следва да изпрати преписката на ответника за предприемане на законосъобразни действия, съобразно задължителни указания по тълкуването и прилагането на закона.

V. По съдебните разноски:

9. Предвид изхода на делото претенцията на жалбоподателя за присъждане на съдебни разноски се явява основателна. Същите се доказват в размер на 5,11 евро, заплатени за държавна такса по производството.

Претенцията на процесуалния представител на жалбоподателя за присъждане на възнаграждение за адвокатска защита също се явява основателна. В случая на основание чл. 38, ал. 2 от Закона за адвокатурата е заявено възнаграждение в размер на 460,16 евро.

Според чл. 38, ал. 2 от ЗАдв, в случаите на предоставена безплатна адвокатска помощ, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати.

Съгласно чл.8, ал.3 от Наредба №1 от 9.07.2004 г. /ДВ, бр. 10 от 05.02.2016 г./ за процесуално представителство, защита и съдействие по административни дела без определен материален интерес минималното възнаграждение е в размер на 511,29 евро. Претенцията на процесуалния представител на жалбоподателя е за присъждане на разноски за адвокатска защита в размер на 460,16 евро, поради което няма пречка да бъде уважена.

На основание чл. 143, ал. 1 във вр. § 1, т. 6 от ПЗР на АПК разноските следва да бъдат поставени в тежест на юридическото лице, в структурата на което е ответният административен орган.

Ето защо, Съдът