Решение № 736 от 2.5.2025 г. на Административен съд - Ловеч по дело № 242/2024 г.

Производство по реда на чл.145 и сл. от АПК, във връзка с чл.39, ал.1 от Закона за защита на личните данни /ЗЗЛД/. Производството е образувано по жалба на Л. П. М., [ЕГН], с постоянен адрес: [населено място], област Ловеч, [улица] настоящ адрес в [населено място], [улица], ет.4, ап.10, чрез пълномощника му адвокат Р. Г. от АК Пловдив, против мълчалив отказ на „Стик – Кредит“ АД, ЕИК 202557159, със седалище и адрес на управление в [населено място], пл.„Оборище“ № 13Б, да предостави информация относно обработваните от дружеството негови лични данни и носителите на тези лични данни, формиран по искане. С жалбата е наведено искане да бъде обявен мълчаливия отказ на „Стик – Кредит“ АД за незаконосъобразен и да се задължи дружеството да предостави на Л. П. М. информация относно обработените от дружеството негови лични данни, целите за тяхното обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, да бъдат предоставени копия на обработваните лични данни, включително носителите на тези данни, като договори за заем, искания за кредит и други, както и да се задължи дружеството да предостави информация за извършените плащания по така сключените между страните договори. В жалбата се твърди, че на 05.04.2024 г. от името на Л. П. М., в качеството му на субект, на когото биват обработвани лични данни, е изпратено по електронен път искане към „Стик - Кредит“ АД, по реда на чл. 15 и чл. 20 от Регламент (ЕС) 679 от 2016 г. на Е. П. и на Съвета. Излага се, че в законовия едномесечен срок от направеното искане, съгласно нормата на чл. 12, § 3, изр. 1 от Регламента /извън автоматичния системен отговор, с който е съобщено, че е получено запитването/, от страна на дружеството не е изпратен и отговор, съгласно който дружеството съобщава, че ще има нужда от по-дълъг срок за обработване на искането, каквото право гарантира изр. 2 на горепосочената разпоредба. При тези обстоятелства счита, че е формиран мълчалив отказ на „Стик - Кредит“ АД да предостави изисканата информация и данни. Жалбоподателят твърди, че са нарушени правата му, установени с разпоредбите на чл.15 и чл.20 от Регламента, както и правото на информация за потребителя, установено с Директива 2008/48 на Европейския парламент и Съвета и чл.11, ал. 1, т.12 от приетия при транспониране на Директивата ЗПК. Излага, че с непредоставянето на изисканите носители на лични данни, въз основа на които дружеството обработва личните данни на М., се нарушават заложените в Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета принципи на прозрачност и отчетност при обработката на лични данни, пряко относими към правото за предоставяне на всякаква информация от страна на администратора на личните данни, която от своя страна да послужи за извършването на ефективна проверка от страна на субекта за наличието на легитимно обработване на личните му данни. Сочи, че в ситуации идентични с процесната е формирана трайна и актуална практика на ВАС и административните съдилища, като сочи такава в жалбата. Претендира присъждането на сторените съдебно-деловодни разноски. Не е постъпил отговор на жалбата от ответната страна. В съдебно заседание оспорващият Л. М., редовно призован, не се явява. Представлява се от упълномощения адвокат Р. Г., който поддържа жалбата по изложените в нея аргументи и пледира за отмяна на оспорения мълчалив отказ. Претендира разноски. Ответникът – „Стик – Кредит“ АД – [населено място], редовно призовани, не изпращат представител и не заявяват становище по жалбата. Съдът, като обсъди събраните по делото доказателства, намира за установено от фактическа страна следното: Предмет на съдебен контрол в настоящото производство е мълчалив отказ на „Стик - Кредит“ АД по подадено от Л. П. М. на 05.04.2024 г. чрез електронна поща искане /л.7-9/, на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на съвета, чрез адв. Р. Г., дружеството в качеството му на администратор на лични данни, да му предостави информация относно това дали личните данни на неговият доверител са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са обработвани, включително носителите на тези лични данни /договори за заем, искания за кредит и други/. В искането е посочено също, че М. моли на основание чл. 11, ал. 1, т. 12 от Закона за потребителския кредит /ЗПК/ дружеството да му предостави информация за всички извършени плащания по сключените между дружеството и М. договори за потребителски кредит, като подрбоно са описани номерата на 13 договора. Поискано е въпросните документи да бъдат предоставени на М., за да бъде извършена проверка на обработваните лични данни, като бъдат изпратени на имейл: [електронна поща] в срок не по-късно от 12.04.2024 година. Към искането е приложено пълномощно /л.8/, с което Л. П. М. упълномощава адвокат Р. Г. да го представлява пред „Стик-Кредит“ ЕООД. По искането ответното дружество не е отговорило по никакъв начин, още по-малко пък по същество на заявеното. Въпреки дадената му възможност и указанията в тази връзка с определението за конституиране на страните по делото (редовно връчено на упълномощен представител на дружеството – л.33 и 34 от делото) ответната страна не е ангажирала доказателства, нито пък твърдения в обратния смисъл. Така, в законоустановения срок не е предприето от дружеството исканото предоставяне на копия от документи, поради което М. е оспорил формирания според него мълчалив отказ от предоставяне на исканите данни. Жалбата срещу мълчаливия отказ е подадена на 20.05.2024 г., чрез фирма за куриерски услуги, видно от приложената по делото товарителница, на лист 15 от делото. От страна на жалбоподателя са приложени доказателства - 18 броя платежни нареждания (вкл. 2 плащания чрез мобилно банкиране), установяващи, че между страните по делото съществува облигационно отношение. Видно е от същите, че на различни дати и по различни договори през 2022, 2023 и 2024 година, жалбоподателят е внасял суми за погасяване на кредити, сключени с ответното дружество. Във връзка със служебно изискана от съда информация, по делото е постъпило писмо изх.№ ППН-01-593#1/25.06.2024 г. на П. на КЗЛД, в което е удостоверено, че към 25.06.2024 г. пред Комисията за защита на личните данни не е налице висящо или приключило административно производство, инициирано от Л. П. М. срещу „Стик-Кредит“ АД. Въз основа на така събраните и анализирани доказателства и приетото от фактическа страна, съдът достигна до следните правни изводи: Жалбата е подписана и подадена от лице с активна процесуална легитимация и с пряк и непосредствен интерес – инициатор на искането до ответника и адресат на оспорения мълчалив отказ. Жалбата е редовна по отношение на форма и съдържание, подадена е и в законоустановения месечен срок по чл.149, ал.2 от АПК. Видно от материалите по делото, искането за предоставяне на данните е подписано с електронен подпис и е било изпратено на дружеството администратор на лични данни по електронен път (e-mail) на 5 април 2024 г., по което, съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. администраторът на лични данни е следвало в месечен срок да се произнесе. Този срок е изтекъл на 07.05.2024 г., тъй като 06.05.2024 г. е бил почивен, неработен ден. От този момент е започнал да тече едномесечния срок по чл.149, ал.2 от АПК за обжалване на мълчалив отказ, като жалбата е подадена и заведена в деловодството на АдмС Ловеч на 21.05.2024 г., видно от входящия номер върху нея. По отношение допустимостта на оспорването съдът съобрази, че Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган – Комисията за защита на личните данни /чл.38, ал.1 от ЗЗЛД/ и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК /чл.39, ал.1 от ЗЗЛД/. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е ясна, а именно: да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. По делото е установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично по предмет и страни, с настоящото съдебно административно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор. Жалбоподателят е упражнил правата си по чл.15-22 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Регламент (ЕС) 2016/679) чрез писмено заявление (молба), подадено по електронната поща на 05.04.2024 година до "Стик – Кредит" АД – администратор на лични данни, съгласно дадената в чл.4, т.7 от Регламент (ЕС) 2016/679 легална дефиниция, според която „администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. От доказателствата по делото се установи, че между Л. П. М. и "Стик – Кредит" АД са налице облигационни отношения – сключени договори за потребителски кредит, поради което съдът приема за установено, че оспорващият е субект, чийто лични данни са обработвани от дружеството-ответник и респективно има право, като субект на това обработване, на достъп до обработваните му от администратора лични данни, съгласно разпоредбата на чл.15 от Регламент (ЕС) 2016/679. Съгласно нормата на чл.12, т.3 от Регламента, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15 - 22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. С оглед на така разписаните задължения, за "Стик – Кредит" АД, като администратор на лични данни, е съществувало нормативно установеното задължение да се произнесе по подаденото от М. искане без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. По делото няма данни за изрично произнасяне по постъпилото от М. искане, като въпреки дадената му възможност ответникът не е ангажирал доказателства в този смисъл. Няма и данни срокът за произнасяне да е бил удължен на два месеца, каквато възможност е допустима съгласно т.3 на чл.12 от Регламент (ЕС) 2016/679, но при въведено задължение да бъде информиран субектът на данните за удължаването на срока. С оглед така разписаните за администратора задължения по Регламента, съдът намира, че към датата на подаване на жалбата е формиран мълчалив отказ, тъй като срокът за произнасяне е изтекъл. Според нормата на чл.25, ал.1 от АПК датата на започване на производството е датата на постъпване на искането в компетентния административен орган, в който то е подадено, в случая – 05.04.2024 година (доколкото от ответника не са ангажирани доказателства за датата на постъпване на молбата, то съдът приема, че датата на изпращане е и датата на постъпване), при което срокът за произнасяне според Регламента, е бил до 07.05.2024 г., тъй като 5 и 6 май са били неработни, почивни дни. Жалбата до съда е подадена на 20.05.2024 г., видно от товарителницата на курирера по коята е изпратена /л.15/, поради което е спазен установения в чл.149, ал.2 от АПК едномесечен срок за съдебно оспорване. Следователно оспорването, като направено от легитимирано лице с правен интерес и против акт, подлежащ на съдебно обжалване и контрол за законосъобразност, е процесуално допустимо. Разгледана по същество, жалбата е основателна. Съгласно дефиницията дадена в нормата на чл. 4, § 1 от Регламент 2016/679, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“. Съобразно чл. 4, § 2 от Регламент 2016/679, за „обработване“ се приема всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В нормата на чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл.15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Съгласно чл. 37б, ал. 2 от ЗЗЛД, заявление може да се подаде и по електронен път при условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация. В чл. 37б, ал. 3 от ЗЗЛД е предвидено, че заявление може да се подаде и чрез действия в потребителския интерфейс на информационната система, която обработва данните, след като лицето е идентифицирано със съответните за информационната система средства за идентификация. Съобразно чл. 37в, ал. 1 от ЗЗЛД, заявлението по чл. 37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция. Съгласно чл.37в, ал.2 от ЗЗЛД, при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното. В чл. 15 от Регламент 2016/679, е предвидено „право на достъп на субекта на данните“, като в параграф 1 е прието, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните. Съгласно чл.15, параграф 3 от Регламент 2016/679, администраторът предоставя копие от личните данни, които са в процес на обработване. В конкретния случай отправеното от жалбоподателя М., чрез адвокат Р. Г. искане от 05.04.2024 г. до администратора на лични данни „Стик - Кредит“ АД, несъмнено има характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД и съдържат реквизитите по чл. 37в, ал.1 от ЗЗЛД. Същото е подадено от представител на жалбоподателя, който е лице с надлежно предоставена представителна власт. Видно от представените по делото доказателства, към подаденото по електронен път искане, подписано от адвокат Р. Г. с валиден електронен подпис, е било приложено пълномощно от 27.03.2024 г. /в съответствие с изискването по чл.37в, ал.2 от ЗЗЛД/, с което Л. П. М. изрично го е упълномощил да го представлява пред „Стик - Кредит“ АД, като упражнява всички негови законоустановени права и в тази връзка да извършва всякакви волеизявления, изисква и получава документи. Тези констатации водят до извода, че пълномощното съответства на изискванията на чл.37в от ЗЗЛД и представлява надлежно основание за предоставяне на исканите лични данни. Съгласно чл.12, § 4 от Регламент 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, го уведомява без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Следователно, в едномесечен срок от заявлението администраторът на лични данни е длъжен да се произнесе по заявлението изрично /дори когато не предприема действия по него/, което в случая не е сторено от дружеството – ответник. Относно наличието на материалноправно основание за отказ на ответника да предостави на жалбоподателя достъп до заявените лични данни, съдът съобрази следното: В настоящият случай отправеното от жалбоподателя, чрез адвокат Р. Г. искане от 05.04.2024 година до администратора на лични данни – "Стик – Кредит" АД, несъмнено има характер на заявление по смисъла на чл.37б, ал. 1 от ЗЗЛД и съдържа реквизитите по чл. 37в, ал. 1 от ЗЗЛД, както и към същото е приложено пълномощно съобразно разпоредбата на чл. 37в, ал. 2 от ЗЗЛД, т. е. същата представлява надлежно основание за предоставяне на исканите лични данни. Както се посочи по-горе в изложението, съгласно нормата на чл. 12, т. 4 от Регламент (ЕС) 2016/679, ако администраторът не предприеме действия по искането на субекта на данни, го уведомява без забавяне и най-късно в срок от един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган и търсене на защита по съдебен ред. Следователно, в едномесечен срок от заявлението администраторът на лични данни е длъжен да се произнесе по заявлението изрично (дори когато не предприема действия по него), което в случая не е сторено от дружеството - ответник. Доколкото е безспорно установено, че ответното дружество е администратор на лични данни, като такъв обработва лични данни и не се е произнесло по искането от 05.04.2024 година, съдържащо конкретно формулирани искания, то от „Стик – Кредит" АД са нарушили разпоредбите на чл. 12, параграфи 1, 2, 3 и 4, във връзка с чл. 15 и чл. 20 от Регламента. Съгласно чл. 15, т. 1 от Регламент (ЕС) 2016/679, всеки субект има право да поиска достъп до данните и информацията, отнасящи се до него. Според нормата на чл.20, т.1 от Регламента, субектът на данните има право да получи личните данни, които го засягат и които той е предоставил на администратор в структуриран, широко използван и пригоден за машинно четене формат и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени. С отказа (в случая мълчалив) на администратора на лични данни, на практика физическото лице е било възпрепятствано да упражни правата, които му предоставя чл. 14 от Регламент (ЕС) 2016/679, и по-конкретно това по т. 1, буква "в" - правото да се получи информация за целите на обработването, за което личните данни са предназначени, както и правното основание за обработването. Така, субектът е поставен в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламента. В този смисъл ответникът е лишил жалбоподателя и от „правото на защита на личните данни", което му се предоставя с чл. 8, т. 1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от Регламент (ЕС) 2016/679. Жалбоподателят е възпрепятстван да се възползва и от правото му по чл. 8, т. 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. По изложените съображения жалбата се явява основателна, мълчаливият отказ на „Стик – Кредит" АД, в качеството му на администратор на лични данни, да предостави достъп до лични данни по подаденото от Л. П. М. искане от 05.04.2024 г., следва да бъде отменен като незаконосъобразен. Предвид факта, че естеството на въпроса не позволява решаването му от съда, преписката следва да се върне на администратора на лични данни за произнасяне по заявлението, при съобразяване с дадените указания по тълкуването и прилагането на закона, като на основание чл.174 от АПК следва да се определи четиринадесет дневен срок за издаване на административния акт. Предвид изхода на спора и на основание чл. 143, ал. 1 от АПК основателно се явява и искането на адвокат Р.Г. за присъждане на адвокатско възнаграждение. Същото се претендира в хипотезата на чл. 38, ал. 1, т. 3 от Закона за адвокатурата (ЗА), при оказване на безплатна адвокатска помощ и съдействие на материално затруднено лице. Ето защо и на основание чл. 38, ал. 2, във връзка с ал.1, т.2 от ЗА, във връзка с чл. 8, ал. 2, т. 10 от Наредба № 1/09.07.2004 година за възнаграждения за адвокатска работа, в полза на адвокат Р. Г. следва да се присъди адвокатско възнаграждение в размер на 900 лева, за осъщественото процесуално представителство пред настоящата съдебна инстанция. В самия приложен на л.53 от делото договор за правни услуги е посочено, че е предоставена безплатна правна помощ, предвид обстоятелството, че клиентът е роднина, близък или на друг юрист. Правото на адвоката да окаже безплатна адвокатска помощ на лице по чл. 38, ал.1, т.3 от Закона за адвокатурата /ЗА/, е установено със закон. Когато в съдебното производство насрещната страна дължи разноски, съгласно чл.38, ал.2 от ЗА адвокатът, оказал на страната безплатна правна помощ, има право на адвокатско възнаграждение, в размер, определен от съда, което възнаграждение се присъжда на адвоката. За да упражни последният това свое право, е достатъчно да представи сключен със страната договор за правна защита и съдействие, в който да посочи, че договореното възнаграждение е безплатно на основание чл. 38, ал.1, т.3 от ЗА, като не се нуждае от доказване обстоятелството, че клиентът е в значително материално затруднение. Посочените предпоставки в случая са налице, поради което следва да бъде заплатено от ответника адвокатското възнаграждение в размер на 900 лева, определено по реда на чл. 8, ал. 2. т.10 от Наредба № 1/09.07.2014 година. В полза на жалбоподателя следва да бъдат присъдени разноски в размер на 10 лева, представляващи внесена държавна такса за образуване на делото. Водим от горното и на основание чл.172, ал.1 и ал.2, предложение второ от АПК, във връзка с чл.173, ал.2 и чл.174 АПК, Ловешки административен съд, втори състав,