Решение № 8591 от 11.08.2026 г. на ВАС по адм. д. № 12485/2025 г.

Производството е по чл. 208 и следв. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на „ЕОС Матрикс“ ЕАД, чрез процесуален представител, юрк. М. Михайлова, срещу решение № 38550/20.11.2025 г., постановено по адм. дело № 8320/2025 г. по описа на Административен съд – София град (АССГ). С обжалваното решение съдът е отменил отказ на „ЕОС Матрикс“ ЕАД, обективиран в писмо изх. №00009/02.01.2025 г. да заличи личните данни на С. Н. И., да подаде информация към Централния кредитен регистър (ЦКР) за изменение на обстоятелствата, както и да спре да подава негови лични данни в ЦКР; преписката е изпратена на „ЕОС Матрикс“ ЕАД за ново произнасяне по тълкуване и прилагане на закона. Присъдени са разноски в тежест на „ЕОС Матрикс“ ЕАД. С настоящата касационна жалба „ЕОС Матрикс“ ЕАД атакува решението на АССГ в неговата цялост. Навежда доводи за неправилност на решението поради нарушение на материалния закон и съществено нарушение на съдопроизводствените правила – касационно основание по чл. 209, т. 3 от АПК. Конкретни съображения за незаконосъобразност на изводите на съда са изложени в касационната жалба. Иска се отмяна на обжалваното решение и присъждане на разноски за две съдебни инстанции. В открито съдебно заседание касаторът се представлява от юрк. Колипатков. Ответникът – С. Н. И., чрез пълномощник адв. Алексов, в депозиран отговор на касационната жалба оспорва същата като неоснователна и моли съда да потвърди решението на първоинстанционния съд като правилно. Претендира разноски за касационната инстанция. В открито съдебно заседание ответникът се представлява от адв. Алексов. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в законоустановения срок и срещу подлежащ на оспорване съдебен акт, поради което е процесуално допустима. Разгледана по същество, касационната жалба е основателна по следните съображения: Производството пред АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след обезсилване на решение № 10515 от 26.03.2025 г. по адм. дело № 1065/2025 г. на АССГ и прекратяване на производството по делото в частта, с която съдът е осъдил, на основание чл. 256, ал. 2 АПК „ЕОС Матрикс“ ЕООД в 14-дневен срок от получаване на съобщението да подаде информация в ЦКР, че С. Н. И. не е техен длъжник, с решение № 8290/30.07.2025 г. по адм. дело № 4865/2025 г. на Върховния административен съд. Касационната инстанция е върнала делото за ново разглеждане от друг състав на АССГ. В решението ВАС е приел, че при новото разглеждане на делото първоинстанционният съд следва да изясни предмета на спора, да разпредели доказателствената тежест между страните, като уточни обстоятелствата, свързани с авторството на актовете и материалната компетентност, материалноправния и процесуален режим, на който са подчинени. При новото разглеждане на делото съдът е приел, че е сезиран с жалба срещу изричен отказ на „ЕОС Матрикс“ ЕООД, в качеството му на администратор на лични данни да заличи личните данни на С. Н. И., да подаде информация към ЦКР за изменението на обстоятелствата, както и да спре да подава негови лични данни в ЦКР, обективиран в писмо изх. № 00009/ 02. 01. 2025 г., издадено от главния юрисконсулт на дружеството и е отменил същото като незаконосъобразно. Посочил е, че приложеното към оспореното писмо становище, макар и подписано от друго лице – длъжностно лице по защита на данните, по своята същност е част от оспорения акт и изложените в него аргументи съставляват мотиви на акта. От правна страна е приел, че отказът е издаден в предвидената от закона писмена форма, от компетентен орган; без допуснати съществени нарушения на административнопроизводствените правила, но същият не е в съответствие с материалноправните разпоредби и целта на закона. След анализ на относимите материалноправни норми АССГ е приел, че личните данни на жалбоподателя са били законосъобразно обработвани от администратора "ЕОС Матрикс" ЕООД, чрез предаването им към посочения регистър, поради наличие на две от основанията, предвидени в чл. 6 от ОРЗД: обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора и обработването е необходимо за целите на легитимните интереси на администратора. С подаденото на 10.12.2024 г. заявление С. И. на основание член 17, параграф 1, буква „а“ от Регламент (ЕС) 2016/679 е поискал да бъдат изтрити личните му данни от информационните системи на ЕОС Матрикс" ЕООД, както и администратора да подаде информация за изменение на кредита в ЦКР, след което да спре да подава информация в същия. В молбата И. изрично се е позовал на изтекла обща погасителна давност и е заявил, че няма да заплати доброволно задълженията. Съгласно чл. 17, § 1, буква „а“ от Регламент (ЕС) 2016/679 субектът на данни има право да поиска от администратора без ненужно забавяне изтриване на свързаните с него лични данни, когато същите вече не са необходими за целите, за които са били събрани или обработвани. При наличие на предвидените в разпоредбата предпоставки за администратора възниква задължение да извърши исканото изтриване без неоправдано забавяне. Наред с това, чл. 18 от Регламент (ЕС) 2016/679 урежда правото на субекта на данни да поиска ограничаване на обработването на личните му данни, а чл. 21 регламентира правото му да възрази срещу тяхното обработване. Съгласно чл. 37б, ал. 1 от Закона за защита на личните данни тези права се упражняват чрез писмено заявление до администратора на лични данни или по друг определен от него ред. При упражняване на правата по чл. 12–17 от Регламент (ЕС) 2016/679 компетентен да се произнесе е администратора на лични данни, чрез неговите представляващи по закон, когато той е юридическо лице. Регламентът не предвижда възможност това правомощие да бъде делегирано или упражнявано въз основа на упълномощаване. Когато искането е отправено до администратор – физическо лице, произнасянето следва да бъде извършено лично от него, а когато администратора е юридическо лице – чрез лицата, които по закон го представляват. Дори да се приеме, че е допустимо произнасяне чрез пълномощник, това следва да бъде удостоверено с изрично делегиране за упражняване именно на тези правомощия. В случая безспорно установено е, че „ЕОС Матрикс“ ЕООД е „администратор“ по смисъла на чл. 4, т.7 от Регламент /ЕС/ 2016/679 и е обработвало личните данни на С. Н. И., като е подавало информация към ЦКР относно вземанията му към кредитни институции. И. е бил поръчител по договор за потребителски кредит, сключен на 28.06.2006 г. между Х. П. С. и Банка „ДСК“ ЕАД, вземанията по който впоследствие са били прехвърлени на „ЕОС Матрикс“ ЕООД въз основа на договор за цесия от 28.09.2018 г. В случая субектът на данни е отправил искането си към администратора на лични данни, но е получил отговор от юрисконсулт в дружеството. С оглед изложеното оспореният акт е издаден от лице, което няма материална компетентност да се произнася от името на администратора на лични данни по подадени заявления по чл. 17, §1 от Регламент /ЕС/ 2016/679, поради което същият е нищожен. От представеното по делото пълномощно, приложено на л. 32–34 от първоинстанционното дело, се установява, че с т. 12 и т. 13 главен юрисконсулт М. Милушева е упълномощена да представлява дружеството при изготвяне и подаване на отговори по постъпили жалби, молби и писма от длъжници, както и да извършва всички необходими правни и фактически действия във връзка с това. Съдържанието на пълномощното обаче не включва овластяване за произнасяне по заявления за упражняване на права по Закона за защита на личните данни и Регламент (ЕС) 2016/679. Независимо от обема на предоставената представителна власт, следва да се отчете, че законодателят изрично е възложил компетентността за произнасяне по исканията на субектите на данни на администратора на лични данни, респективно на неговия законен представител, без да е предвидена възможност това правомощие да бъде упражнявано от юрисконсулт на дружеството. Следователно, с подписването на оспореното писмо главният юрисконсулт е действал извън пределите на предоставената му материална компетентност, поради което следва да се приеме, че оспореното писмо е нищожен акт, като следва да бъде обявена неговата нищожност. При тези данни изводът на първоинстанционния съд, че обжалваният отказ е издаден от компетентен орган е в противоречие с доказателствата по делото и приложимите разпоредби на Регламент (ЕС) 2016/679. Наред с изложеното следва да се отбележи, че по заявленията, с които субектите на данни упражняват правата си по чл. 12–17 от Регламента, независимо дали администраторът е публичноправен или частноправен субект, не може да се произнася и длъжностното лице по защита на данните. Правомощията на длъжностните лица по защита на личните данни са определени в чл. 38 от Регламент (ЕС) 2016/679. Същото подпомага, консултира, дава становища на администратора на лични данни. Правомощие да се произнася по подадени заявление по чл. 17, § 1 от Регламент (ЕС) 2016/679 от името на администратора не е предвидено. Такива правомощия няма предвидени и в ЗЗЛД. Компетентността да уважи заявление за изтриване, коригиране или ограничаване на обработването на лични данни, както и да постанови мотивиран отказ, принадлежи единствено на администратора на лични данни. Ако администраторът отговаря чрез упълномощено лице, следва да са налице доказателства за упълномощаването на същото, респективно за делегиране на правомощия, каквито в случая не са налице. Налице е основание за нищожност на оспорения акт, която трябва да се обяви - чл. 172, ал. 2, предл. първо, вр. чл.146, т.1 от АПК. Поради констатираната нищожност на акта всички възражения в касационната жалба относно неправилността на изводите на съда по отношение прилагането на материалния закон не следва да се обсъждат. Решението на първоинстанционния съд, в частта, в която е отменен изричен отказ, обективиран в писмо изх. №00009/02.01.2025 г. на юрисконсулт на „ЕОС Матрикс“ ЕООД, като неправилно следва да се отмени и вместо него се постанови ново, с което изричният отказ се обяви за нищожен. В останалата част решение № 38550/20.11.2025 г. на АССГ следва да бъде оставено в сила предвид, че делото като преписката е изпратена на администратора на лични данни – компетентния орган да се произнесе по подаденото заявление. С оглед изхода на спора разноски на страните за настоящата инстанция не следва да се присъждат и те следва да останат така както са направени от всяка от страните. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ АПК, Върховният административен съд, Пето отделение