Решение № 8377 от 28.07.2026 г. на ВАС по адм. д. № 2171/2026 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на „Изи Асет Мениджмънт“ АД, ЕИК 131576434, със седалище гр. София, чрез процесуален представител адв. А. Николовска, срещу решение № 290/09.01.2026 г., постановено по адм. дело № 2323/2025 г. по описа на Административен съд – Пловдив (АС – Пловдив), с което по жалба на М. Б. Б. е отменен частичен отказ на „Изи Асет Мениджмънт“ АД, в качеството му на администратор и обработващ лични данни, обективиран в Уведомление относно упражнено право на достъп до лични данни по чл. 15 от Регламент (ЕС) 2016/679 (GDPR) от 13.10.2025 г., да предостави на М. Б. Б. копие на всички носители на лични данни (договори, всички приложения и анекси към тях, стандартни европейски формуляри и др.), които са обработени в периода 12.08.2020 г. – 12.08.2025 г., както и да предостави информация за всички плащания, направени по тези договори, от която да е видно суми в какъв размер и на кои дати са постъпили, към кои договори са относими, както и за погасяване на кои компоненти от съответния договор кредиторът е използвал заплатените суми (в това число главници, лихви, такси, неустойки и др.) под формата на „цели“ документи или извлечения от бази данни, които в частност съдържат посочените данни; преписката е изпратена на „Изи Асет Мениджмънт“ АД за ново произнасяне при спазване на задължителните указания на съда, като е определен 30-дневен срок за това, считано от влизане в сила на решението, и са присъдени разноски в полза на жалбоподателката и нейния процесуален представител. В касационната жалба са наведени доводи за недопустимост и неправилност на решението поради нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост – касационни основания по чл. 209, т. 2 и т. 3 от АПК. Иска се неговата отмяна и връщане на делото на първата инстанция за ново разглеждане от друг съдебен състав при съобразяване с доказателствата по делото и фактите по случая, установени обективно и ценени в съответствие с духа, целите и принципите на Регламента за защита на личните данни. При условията на евентуалност, касаторът иска изменение на обжалваното решение в частта му, с която е възприето, че администраторът е безусловно задължен да предостави всички носители на лични данни (документи и приложения), като се ограничи задължението само до онези части от документите, които съдържат лични данни, отнасящи се единствено до жалбоподателката и се даде указание на първоинстанционния съд да конкретизира съответните части от документите, както и възможността достъпът до лични данни да се осъществи чрез предоставянето на извадки или реплики от тези документи, съгласно цитираната от касатора практика на Съда на Европейския съюз (СЕС). Претендира присъждане на сторените съдебно-деловодни разноски пред двете инстанции. При условията на евентуалност прави възражение за прекомерност на адвокатското възнаграждение на насрещната страна, като моли то да бъде намалено съобразно практиката на СЕС, а именно – под определения минимум по Наредба № 1 от 9 юли 2004 г. за възнаграждения за адвокатска работа (Наредба № 1/2004 г.). В съдебно заседание касационният жалбоподател не изпраща представител. С касационната жалба е направено особено искане за спиране на съдебното производство поради образувано пред СЕС дело С-676/25 по преюдициално запитване, отправено от АС – Варна. Касаторът счита, че по същество отправените преюдициални въпроси засягат и настоящия случай, поради което спирането на производството ще позволи на съда да се произнесе по делото с яснота и съобразно тълкуването на СЕС, като същевременно ще предотврати евентуални противоречия в практиката и ще осигури ефективно съдопроизводство. Ответникът – М. Б. Б., чрез процесуален представител адв. Г. Мерджанов, в писмена молба-отговор излага съображения за неоснователност на касационната жалба, моли за оставянето й без уважение и потвърждаване на обжалваното съдебно решение. Претендира сторените съдебно-деловодни разноски пред касационната инстанция. В съдебно заседание ответникът не се явява и не се представлява. Върховният административен съд (ВАС), състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е основателна. Първоинстанционният съд е приел за установено от фактическа страна следното: На 12.08.2025 г. жалбоподателката М. Б. Б., чрез пълномощника си адв. Мерджанов, отправя до ответника „Изи Асет Мениджмънт“ АД, по електронен път заявление (лист 13, 37, 53), в което е формулирана молба за предоставяне на информация дали се обработват нейни лични данни, с каква цел, какви категории са тези данни и кои са получателите или категориите получатели, на които те се разкриват, както и да ѝ се предоставят копия на всички носители на личните ѝ данни (договори, всички приложения и анекси към тях, погасителни планове, стандартни европейски формуляри, декларации и др.), информация за извършените плащания, (момент на извършване, размер на сумата, както и кой елемент от задължението погасява), които са обработени в периода от 12.08.2020 г. – 12.08.2025 г., за да може да придобие представа за целите на обработката на набора от лични данни, които се администрират в едномесечен срок от получаване на заявлението, съгласно чл. 12, т. 3 от Регламент (ЕС) 2016/679. Респективно, заявено е право на достъп до данни, съгласно чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, в качеството ѝ на субект, чиито лични данни се обработват. Заявлението е получено от ответника на 12.09.2025 г., в отговор на което на 13.10.2025 г. по електронен път (лист 38-40) е изпратено процесното уведомление, в което е обективиран оспореният по делото отказ. Според посоченото в мотивната част на уведомлението, договорите за кредит и съпътстващата ги документация са предоставени в оригинал на субекта на данни преди и при сключването им, като той носи отговорност за тяхното съхранение. На следващо място е посочено, че част от поисканите от Б. документи (стандартен европейски формуляр, общи условия и др.) не съдържат лични данни и не попадат в приложното поле на Регламент (ЕС) 2016/679. Искането на информация относно извършените плащания, погасителни планове, дати и размери на вноските не представлява искане по смисъла на чл. 15 от Регламент (ЕС) 2016/679, тъй като тези данни отразяват изпълнение на договорни и счетоводни задължения и не представляват лични данни по смисъла на регламента. На Б. се указва, че информация за плащанията може да бъде получена по реда на вътрешните правила за обслужване на клиенти на „Изи Асет Мениджмънт“ АД чрез мобилното приложение или уеб профила на клиента; в офис на дружеството; по електронен път или по телефона. Справките за извършените плащания се изготвят по счетоводни данни на дружеството и се предоставят на клиента в писмен или електронен вид, съобразно избрания от него начин. Уведомлението е обжалвано от М. Б. Б. в частта му, в която е обективиран изричен частичен отказ на „Изи Асет Мениджмънт“ АД да изпълни в цялост отправеното от нея на 12.08.2025 г. искане. Счита, че в предоставения от дружеството отговор липсват копия от редица документи, носители на личните й данни, които са били предмет на искането й за достъп до лични данни. Наред с това твърди, че не е предоставена и част от търсената информация по реда на чл. 15 от Регламент (ЕС) 2016/679, а именно относно броя договори, сключени между нея и „Изи Асет Мениджмънт“ АД, и извършените от нея погасителни плащания по тези договори. Поради това счита, че по отношение на непредоставената й информация и части от носителите на лични данни е налице неизпълнение на задължението на администратора по чл. 15, § 3 от Регламент (ЕС) 2016/679, като моли постановеният в тази връзка частичен отказ да бъде отменен и дружеството – администратор да бъде задължено да й предостави, в електронна форма на електронната поща на пълномощника адв. Мерджанов, копие на всички носители на личните й данни (договори, всички приложения и анекси към тях, стандартни европейски формуляри и др.), които са обработени в периода 12.08.2020 г. – 12.08.2025 г., както и да й предостави информация за всички плащания, направени по тези договори, от която да е видно суми в какъв размер и на кои дати са постъпили, към кои договори са относими, както и за погасяване на кои компоненти от съответния договор кредиторът е използвал заплатените суми (в това число главници, лихви, такси, неустойки и др.) под формата на „цели“ документи или извлечения от бази данни, които в частност съдържат посочените данни. При проверката за законосъобразност на така оспорения изричен частичен отказ първоинстанционният съд е приел, че отправеното от М. Б. Б. искане е с предмет право на достъп до обработваните ѝ лични данни, включително във връзка със сключени между нея и сезираното дружество договори за потребителски кредит (за паричен заем) и погасителни планове към договорите, както и извършени плащания на вноски по кредитите (заемите). Посочил е като безспорно обстоятелството, че ответното дружество притежава качеството „администратор“ на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679, както и че между страните по делото съществуват облигационни отношения, произтичащи от сключени между тях договори за потребителски кредит (паричен заем), копия от които са представени по делото, но не са представени погасителните планове към тях и информация за заплатените вноски по кредитите (заемите). Изяснено е, че освен информацията за обработваните лични данни, в искането на Б. е заявено и изрично желание за получаване както на копия на документи, които съдържат нейни лични данни – договори за потребителски кредит (паричен заем), така и на информация за извършените плащания по тях. Преценявайки установените по делото правнорелевантни факти спрямо приложимите материалноправни норми, съдът е обосновал извода, че с искането си от 12.08.2025 г. жалбоподателката Б., в качеството си на субект на данни, е упражнила правата по чл. 15 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни „Изи Асет Мениджмънт“ АД. В тази връзка като неоснователно е отхвърлено възражението на ответника, че искането не попада в обхвата на Регламент (ЕС) 2016/679 и приложимия национален материален закон – Закон за защита на личните данни (ЗЗЛД). Съдът е посочил, че искането има характер на заявление по чл. 37б, ал. 1 от ЗЗЛД, което съдържа предвидените от закона реквизити по чл. 37в, ал. 1 от ЗЗЛД, от което следва несъмнен извод, че администраторът на лични данни е надлежно сезиран със заявление по чл. 37б, ал. 2, във връзка с ал. 1 от ЗЗЛД. Съобразявайки приложимите разпоредби на Регламент (ЕС) 2016/679 и относимата по случая съдебна практика на СЕС, първоинстанционният състав е преценил, че в случая администраторът е бил длъжен да предостави на жалбоподателката копие от поисканите документи – прекратени договори за кредит, съдържащи личните ѝ данни, както и информация за извършените плащания по непрекратените договори за кредит. Макар изрично да припомня, че правото да се предостави копие на лични данни по смисъла на чл. 15, § 3 от Регламент (ЕС) 2016/679 не е тъждествено на правото да се предостави копие на документите, носители на тези данни, съдът подчертава, че правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да бъде предоставена точна и разбираема реплика на всички тези данни. Този извод е подкрепен с позоваване на приетото в Решение на СЕС от 4.05.2023 г. по дело C-487/21, съгласно което правото на копие от личните данни предполага и правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, в т.ч. и да извърши проверка за спазване на принципа за законосъобразна обработка на данните. Въз основа на обстоятелствата по настоящия случай съдът е достигнал до извода, че предоставянето на исканите от жалбоподателката копия на носители на лични данни (сключените между страните договори за кредит (заем) и свързаните с тях погасителни планове и вноски) е задължително, за да може субектът на данни ефективно да упражни правата си по Регламент (ЕС) 2016/679, т.е. администраторът при поискване дължи предоставяне на визираните копия на документи. В допълнение съдът е посочил, че непредоставянето на копие от договора за кредит (заем), чието сключване е основание за обработване на личните данни на субекта, е нарушение на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на основните принципи, закрепени в чл. 5 от Регламент (ЕС) 2016/679 (законосъобразност, добросъвестност и прозрачност). С непредставянето на копия от посочените документи Б. е поставена в невъзможност да разбере дали личните ѝ данни се обработват законосъобразно по смисъла на ЗЗЛД и Регламент (ЕС) 2016/679. Това е довело до лишаването й от „правото на защита на личните данни“, което се предоставя и с чл. 8, § 1 от Хартата на основните права на ЕС (ХОПЕС), като Б. е поставена и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, както и до възпрепятстване да се възползва от правото по чл. 8, § 2 от ХОПЕС да получи ясна представа за това дали данните ѝ са обработвани добросъвестно, за точно определени цели и въз основа на съгласието ѝ или по силата на друго предвидено от закона легитимно основание. По изложените съображения АС – Пловдив е приел, че оспореният отказ е издаден в противоречие с относимите материалноправни разпоредби на ЗЗЛД и Регламент (ЕС) 2016/679, както и в противоречие с целта на закона, поради което го е отменил като незаконосъобразен и на основание чл. 173, ал. 2 от АПК е изпратил преписката на администратора на лични данни „Изи Асет Мениджмънт” АД за ново произнасяне, съобразено с дадените задължителни указания по тълкуването и прилагането на закона. При извършената проверка по реда на чл. 218 от АПК настоящият касационен състав на ВАС намира, че обжалваното съдебно решение е валидно и допустимо, но постановено при допуснато съществено нарушение на съдопроизводствените правила, довело до неправилно приложение на материалния закон. Съгласно чл. 218, ал. 2 АПК касационната инстанция следи служебно за съответствието с материалния закон, а компетентността на издателя на акт е част от преценката за правилното приложение на материалния закон. В конкретния казус съдът е бил сезиран от М. Б. Б. с жалба срещу изричен частичен отказ на „Изи Асет Мениджмънт” АД в качеството на администратор на лични данни да предостави в цялост търсената от нея информация за обработваните й лични данни, ведно с копие на всички поискани носители на лични данни (договори, приложения и анекси към тях, погасителни планове, стандартни европейски формуляри, декларации и др). Изричният частичен отказ е обективиран в издадения по заявлението на Б. отговор на „Изи Асет Мениджмънт” АД, наименован „Уведомление относно упражнено право на достъп до лични данни по чл. 15 от Регламент (ЕС) 2016/679 (GDPR) от 13.10.2025 г.“. Към отговора е приложено Удостоверение от същата дата, с което дружеството – администратор удостоверява извършената от него услуга във връзка с упражненото право на достъп до лични данни по чл. 15 от Регламент (ЕС) 2016/679 (GDPR) с описание на конкретната информация и вида документи, копие от които се предоставят на заявителката. Уведомлението е изпратено на пълномощника на Б. адв. Мерджанов по електронен път на 13.10.2025 г., като същото е подписано с квалифициран електронен подпис от П. П., посочена като пълномощник на „Изи Асет Мениджмънт” АД. С Определение № 8982/21.10.2025 г. АС – Пловдив е конституирал страните по делото, като е задължил ответника „Изи Асет Мениджмънт” АД да представи заверено четливо копие на цялата преписка по заявлението на М. Б. Б., включително доказателства за компетентността на П. П., посочена като пълномощник на дружеството. Указанието на съда е изпълнено в частта относно административната преписка, но доказателства за упълномощаването на П. П. от страна „Изи Асет Мениджмънт” АД не са представени в хода на първоинстанционното производство. По делото не е спорно, че „Изи Асет Мениджмънт” АД е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 и в това си качество той дължи произнасяне по исканията, отправени до него от субекти на данни с оглед упражняване на правата по чл. 12 – 22 от Регламент (ЕС) 2016/679. Не се споделя възражението на касатора, че в случая искането не е за достъп до лични данни по смисъла на чл. 15 от Регламент (ЕС) 2016/679, а с него се целяло получаването на информация и документи във връзка с гражданскоправни и договорни отношения, което изключвало приложното поле на Регламент (ЕС) 2016/679. Първоинстанционният съд правилно е определил предмета на делото - касае се за изричен частичен отказ на администратор на лични данни по подадено заявление от субект на данни, в което е обективирано искане за предоставяне на точно определена информация за обработваните лични данни и копия от документите, сочени като носители на тези данни. Какви данни, в какъв обем и в каква форма следва да бъдат предоставени и налице ли са законово установени пречки за това е въпрос по съществото на искането, който е изцяло от компетентността на администратора и който не влияе на предварителната преценка за допустимостта на искането, респ. допустимостта на съдебното производство, образувано по оспорване на дадения от администратора отговор. В допълнение следва изрично да се посочи, че видно от материалите по административната преписка, заявлението на М. Б. Б. е било разгледано и ценено от дружеството – администратор именно като упражнено право на достъп до лични данни по чл. 15 от Регламент (ЕС) 2016/679 и на него е отговорено с доводи и съображения, отнасящи се до приложението на цитирания Регламент. Поради това несъстоятелни са изложените в касационната жалба възражения за недопустимост на съдебното производство и обжалвания съдебен акт поради липсата на годен предмет за обжалване и правен интерес от оспорването. Независимо от горното, при постановяване на обжалваното решение, АС – Пловдив е допуснал съществено процесуално нарушение, тъй като не е извършил цялостна проверка за законосъобразност на процесния административен акт на всички основания по чл. 146, т. 1 – 5 от АПК. Изобщо не е изследван въпросът за компетентността на издателя на акта – оспореното Уведомление е подписано от лице, за чиято представителна власт по отношение на администратора на лични данни не са представени доказателства, въпреки дадените в тази насока указания от съда. Ответното дружество не е представило доказателства за упълномощаването на П. П. да го представлява по искания по реда на чл. 15 и от Регламент (ЕС) 2016/679. При тези обстоятелства оспореният акт (частичен изричен отказ) се явява подписан от лице, за което не е доказано, че притежава компетентността да извършва действия от името на „Изи Асет Мениджмънт” АД в качеството му на администратор на лични данни. Като страна в процеса е конституирано „Изи Асет Мениджмънт” АД, но по делото не се установява, че това юридическо лице, в качеството му на администратор на лични данни, е действителният издател на процесния частичен отказ, в който случай единствено то би имало процесуалната легитимация на страна в процеса. Предвид изложеното решението на АС – Пловдив следва да бъде отменено, а делото върнато за ново разглеждане от друг състав на същия съд, който след като изпълни задълженията си по чл. 154 от АПК да установи кой е издателят на оспорения акт и компетентността му, както и налице ли е изрично прехвърляне на компетентност/упълномощаване от администратора на лични данни, след което да извърши цялостна проверка за законосъобразност на обжалвания акт по реда на чл. 168, ал. 1 от АПК, на всички основания по чл. 146 от АПК. По искането за спиране на производството до произнасяне на СЕС по дело С-676/25: Тъй като по настоящото дело се решава процесуален въпрос, а не се разрешава спорът по същество, искането за спиране на настоящото касационно производство се явява неоснователно. При този изход на спора не се възлагат разноски за производството пред настоящата инстанция. По искането за разноски следва да се произнесе първоинстанционният съд съгласно чл. 226, ал. 3 от АПК при новото разглеждане на делото. Водим от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ, във вр. с чл. 222, ал. 2, т. 1 от АПК, Върховният административен съд, състав на пето отделение