Решение № 855 от 16.6.2026 г. на Административен съд - Видин по дело № 207/2026 г.

Производството е по реда на чл.149,ал.2 от АПК вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/. Делото е образувано по жалба на И. Л. В. от [населено място] против отказ на „Кеш Пойнт България“ООД, гр.София, представлявано от Н. П. П. за представяне на копия от договори за кредит, сключени между нея и дружеството, направено на основание чл.15, §.3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните). Иска се да бъде постановено решение, с което да се отмени обжалваният отказ. Посочва се, че молбата до „Кеш Пойнт България“ООД, гр.София представлява заявление по смисъла на чл.37в и сл. от ЗЗЛД и дружеството, като администратор на лични данни е следвало да й предостави исканата информация. В жалбата се навеждат доводи за това, че отказът е незаконосъобразен и противоречи на чл.12, 15-22 от Регламент /ЕС/ 2016/679. Претендират се направените по делото разноски. Ответниците по жалбата – „Кеш Пойнт България“ООД, гр.София, чрез процесуалния си представител, оспорват жалбата. Посочва се, че жалбата е недопустима и искат делото да се прекрати. Въз основа на събраните по делото доказателства съдът намира за установено следното от фактическа страна: Видно от доказателствата е, че на 05.04.2026г. И. В. от [населено място], чрез пълномощника си адв. Л. Г. от САК, е подала по електронен път молба до „Кеш Пойнт България“ООД, гр.София, с която е поискала от дружеството да й предостави копия от всички договори за кредит, по които е страна В., както и справки за извършените плащания по всеки от договорите. В молбата е посочено, че искането се прави с оглед Регламент 2016/679 на ЕС. В нея е заявен електронен адрес за изпращането на документите и към нея е приложено пълномощно за адв. Л. Г.. Писмото е подписано с електронен подпис от адв. Г.. Молбата е изпратена на „Кеш Пойнт България“ООД, гр.София на ел. адрес на дружеството. От приложената преписка се установява, че с писмо от 04.05.2026г. от юрк.Б., упълномощена от управителя на дружеството, не се оспорва, че жалбоподателят е бил клиент на дружеството. Посочено е обаче, че искането на В. не е валидно упражнено право по чл.15 от Регламента. Посочено е, че се обработват трите имена, ЕГН, номер на документа за самоличност, информация за контакт с лицето проверка за кредитна задлъжнялост ЦКР, осигурителни доходи. Сочи се че е представена извадка от договор за потребителски кредит, съдържащ лични данни, но такава извадка по делото не е представена. Отговорът е изпратен на ел. адрес на адв. Г.. Видно от Писмо изх. № ППН-01-1665-1-26/11.06.2026 г. от Председателя на Комисията за защита на личните данни (КЗЛД) във връзка със служебно изисканата информация на основание чл. 39, ал. 4 ЗЗЛД, след направена справка на 10.06.2026г. не е установено наличието на висящо или приключило производство пред КЗЛД, инициирано от И. Л. В. срещу „Кеш Пойнт България“ООД, гр.София. Горната фактическа обстановка се доказва от събраните писмени доказателства, между които няма противоречие и си кореспондират. При така установената фактическа обстановка Административен съд Видин, намира жалбата за основателна. Жалбата е допустима, като подадена в срок и от легитимирана страна, засегната от правния ефект на оспорения изричен отказ. Съдът приема от правна страна следното: Видно от разпоредбата на чл.39,ал.1 от ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. Между страните по делото няма спор, а и от доказателствата по делото се установява, че между „Кеш Пойнт България“ООД, гр.София и И. В. е налице облигационно правоотношение по силата на сключен/и договори за потребителски кредити, като не е ясно те колко са и погасени ли са или не, доказателства по делото не са ангажирани. Не се спори че жалбоподателката е субект, чийто лични данни са обработвани от дружеството-ответник, и съответно има право на достъп до обработваните от администратора лични данни съгласно член 15 от Регламент / ЕС/ 2016/679. Безспорно е установено и обстоятелството, че „Кеш Пойнт България“ООД, гр.София е „администратор“ на лични данни, съдържащи се в сключените между страните договори. „Кеш Пойнт България“ООД, гр.София попада в хипотезата на определението по чл. 4, т. 7 от Регламент /ЕС/ 2016/679 Общ регламент за защита на личните данни /ОРД3/, предвиждащ, че „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Не се установява наличие на отрицателната предпоставка за съдебно оспорване на акт от вида на процесния, заложена в нормата на чл.39,ал.4 от ЗЗЛД. Видно от Писмо изх. № ППН-01-1665-1-26/11.06.2026 г. от Председателя на КЗЛД, към тази дата не е налице висящо производство пред комисията със същия спор между страните или нейно решение относно същото нарушение да е обжалвано и няма влязло в сила решение на съда По съществото на спора следва да се има предвид следното: По делото няма спор, а и при извършената служебна проверка се установява, че обжалваният акт е издаден от компетентен орган и е обективиран в законоустановената писмена форма. Независимо от последното така постановения изричен отказ е в противоречие с материалния закон и правото на Европейския съюз. ЗЗЛД урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент(ЕС) 2016/679 и по ЗЗЛД, а именно : сезиране на надзорен орган – Комисията за защита на личните данни - чл.38,ал.1 от ЗЗЛД и сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК - чл.39,ал.1 от ЗЗЛД. Видно от съдържанието на релевантните правни норми в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съда. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал.4 на чл.39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. Както бе посочено и по – горе не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор. Съобразно чл.4,§1 от Регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“. Съгласно чл.4, § 2 от същия Регламент „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване. В чл. 15, § 1 от Регламента е предвидено, че субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информация, а в § 3 от същия регламент е посочено и че администраторът предоставя копие от личните данни, които са в процес на обработване. В чл. 5, §1 от Регламента са изброени принципите, свързани с обработването на лични данни, които трябва да се спазват администраторите и обработващите, като в буква „а“ са уредени принципите на законосъобразност, добросъвестност и прозрачност. Съгласно чл.37б,ал.1 от ЗЗЛД, субектът на данни упражнява правата по чл.15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин, като в чл.37в, ал. 1 и ал. 2 от с. з са регламентирани неговите съдържание и приложения. В настоящия случай безспорно се установява, че жалбоподателката е депозирала по електронен път писмено заявление по чл.37б от ЗЗЛД до администратора на лични данни „Кеш Пойнт България“ООД, гр.София при спазване на посочения в нормата ред, което заявление отговаря на изискванията на чл.37в от ЗЗЛД. Макар и да не са изрично цитирани нормите на чл.37б и чл.37в от ЗЗЛД, то отправената молба има изискуемото съдържание на такова заявление. Съгласно чл.37в,ал.1 от ЗЗЛД, заявлението по чл.37б съдържа: 1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност; 2. описание на искането; 3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679; 4. подпис, дата на подаване на заявлението и адрес за кореспонденция, като при подаването на заявление от упълномощено лице към заявлението се прилага и пълномощното (чл. 37в ал. 2 от ЗЗЛД), като в настоящия случай оспорващия е изпълнил това законово изискване и е подал надлежна молба до ответника на 05.04.2026г., като тя несъмнено има характер на заявление по смисъла на чл.37б, ал.1 от ЗЗЛД и съдържа реквизитите по чл. 37в ал. 1 от ЗЗЛД, както и към същата е приложено пълномощно съобразно разпоредбата на чл.37в, ал. 2 от ЗЗЛД, респективно тя представлява надлежно основание за предоставяне на исканите лични данни. При това положение и с оглед цитираните по-горе разпоредби, администраторът е бил длъжен да предостави копие от личните данни на субекта, но от съдържанието на процесния акт е видно, че изисканата информация не е била получена. Предвид така изложеното, съдът намира отказа на ответника да удовлетвори искането за постановен в нарушение на основните принципи за обработка на личните данни, предвидени в член 5, § 1, б. „а“ от Регламента. Съгласно правилото на чл. 15 § 1 от Регламента, субектът на данни има право на достъп, в това число и право да получи копия от документи, в които се съдържат личните му данни, ако това е необходимо за извършването на проверка дали те се обработват законосъобразно, за да може да упражни ефективно правата, предоставени му в Регламента. В подкрепа на този извод са и разпоредбите на член 12 от Регламента, като според § 1 на същия, „администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15-22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение, че идентичността на субекта на данните е доказана с други средства“, а в § 2 е вменено задължение на администратора на лични данни да „съдейства за упражняването на правата на субекта на данните по членове 15 – 22.“ От друга страна, съгласно практиката на СЕС (Решение по дело C-369/23) правото да се получи от администратора копие от лични данни включва и правото да се получат копия от извлечения на документи и дори от цели документи или от извлечения на бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с Регламента права. В Решение на СЕС по дело С-487/21 изрично е прието, че правото да се получи копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни и това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, или от извлечения от бази данни, които в частност съдържат посочените данни. С оглед на горното, с отказа на администратора на лични данни да предостави на оспорващия копие от сключените между тях договори за кредит и съпътстващите ги документи, на практика той е бил възпрепятстван да упражни правата, които му предоставя и Регламента в пълната и желана от него степен. Така, лицето е поставено в невъзможност да разбере дали личните му данни се обработват законосъобразно, по смисъла на ЗЗЛД и Регламента. Както се посочи по-горе, непредоставянето на копие от договора за кредит, чието сключване е основание за обработване на личните данни на субекта, е нарушение и на принципа за прозрачност в дейността на администратора на лични данни, която осигурява и гарантира спазването на принципите на законосъобразност, добросъвестност, точност, цялостност и поверителност. Дори и копие от договора за кредит да е на разположение на жалбоподателя, субектът на данните не може да бъде лишен от възможността да упражни правата си по ЗЗЛД и Регламента във връзка с явно съществуващите между него и администратора на лични данни взаимоотношения. В този смисъл ответникът го е лишил и от „правото на защита на личните данни“, което му се предоставя и с чл.8, §1 от Хартата на основните права на Европейския съюз, като съответно е бил поставен и в невъзможност да придобие непосредствени впечатления за спазване на задължението на администратора за осигуряване защитата на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в член 5 от Регламента. Оспореният отказ възпрепятства жалбоподателя да се възползва и от правото му по чл. 8,§ 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание. В тази насока е и константната практика на касационната инстанция по идентични казуси – Решение № 4856 от 12.05.2025 г. по адм. д. № 1911/2025 г., Решение № 1159 от 11.02.2025 г. по адм. д. № 9474/2024 г., Решение № 7101 от 28.06.2023 г. по адм. д. № 1825/2023 г., Решение № 2763 от 18.03.2025 г. по адм. д № 11251/2024 г., всички по описа на ВАС. В чл.6,§1,б.“б“ от Регламент 2016/679 е регламентирано, че обработването на данните е законосъобразно, ако е необходимо за изпълнението на договор, по който субектът на данните е страна, какъвто е разглежданият случай /обработването на лични данни на жалбоподателя е във връзка със сключени договори/. Жалбоподателят изрично е поискал да му бъдат предоставени копия от договори - носители на личните му данни. В случая съдът приема, че предоставянето на същите е било задължително, за да може жалбоподателя ефективно да упражни предоставеното му с Регламента право. Без значение е целта на това искане и дали жалбоподателя е поискал това лично или чрез упълномощен адвокат, както и дали вече е получил екземпляр от договора, дали го съхранява или не. Това са обстоятелства неотносими към задължението на администратора на личните данни съгласно Регламент 2016/679 и ЗЗЛД да ги предостави, когато са надлежно поискани по реда на чл. 37б, във вр. с чл. 37в от ЗЗЛД. В случая ответникът не предоставя необходимата информация за проверка на законосъобразното обработване на лични данни. Следва да бъде посочено и това, че не са налице законовите предпоставки за отказ от предоставянето на лични данни. Същите са конкретно изброени в чл.37а,ал.1 от ЗЗЛД, съгласно която разпоредба администраторът или обработващият лични данни може да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 – 22 от Регламент 2016/679, както и да не изпълни задължението си по чл. 34 от регламента, когато упражняването на правата или изпълнението на задължението би създало риск за: националната сигурност; отбраната; обществения ред и сигурност; предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществения ред и сигурност; други важни цели от широк обществен интерес и по-специално важен икономически или финансов интерес, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност; защитата на независимостта на съдебната власт и съдебните производства; предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии; защитата на субекта на данните или на правата и свободите на други лица; изпълнението по гражданскоправни искове. За съхраняването на информацията за движението по кредита в информационните регистри на кредитната институция, е налице законово задължение за последната, като администратор на лични данни, което произтича от чл. 67, ал. 1 и ал. 2 от Закона за мерките срещу изпирането на пари, и това е друго правно основание по смисъла на чл. 17 § 1 "б", "в", което изключва заличаването им, независимо, че вече не са необходими за целите на кредита, за които са били събирани и обработвани със съгласие на лицето и въпреки оттегляне на съгласието му и възражението му. От ответника не са представени доказателства за конкретното облигационно отношение между него и жалбоподателя, нито за срока му, въпреки че това е твърдението му в отговора. От друга страна ответното дружество не оспорва, че жалбоподателя е субект, чиито лични данни са обработвани от дружеството-ответник, поради което и съдът приема, че като субект на това обработване жалбоподателя има право на достъп до обработваните му от администратора лични данни, които се предоставят по реда и съгласно чл. 15 от Регламент /ЕС/ 2016/679. Ответникът е отказал предоставянето на договори, съдържащи лични данни, ведно с всички съпътстващи договора документи / общи условия, анекси, допълнителни споразумения, погасителни планове и др./, така както е поискано от адв. Г., като представител на жалбоподателя и в срока по чл.12,§.3 от Регламент /ЕС/ 2016/679. Нормата предвижда, че администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15—22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго. По изложените съображения съдът счита, че жалбата е основателна, а оспореният с нея отказ е незаконосъобразен, поради което същият следва да бъде отменен. Доколкото естеството на акта не позволява решаването на въпроса по същество, преписката следва да бъде изпратена на ответника за ново произнасяне по искането на жалбоподателя, при съобразяване с дадените по-горе указания по тълкуването и прилагането на закона. Произнасянето следва да бъде сторено в 14-дневен срок от влизане в сила на настоящото решение. При този изход на спора основателно се явява искането на жалбоподателя за присъждане на сторените разноски, за което е приложен и списък. На основание чл.143, ал.1 от АПК следва да бъде осъден ответника да заплати в полза на жалбоподателя разноски в размер на 5.11 евро/10.00 лева, за заплатена Д.Т. за производството пред настоящия съд. От представения по делото Договор за правна защита и съдействие е видно, че на жалбоподателя е оказана безплатна адвокатска помощ и искането на неговия процесуален представител по чл.38,ал.2 от ЗАдв. се явява основателно. С оглед разпоредбата на чл.36,ал.2, изр.2 от ЗАдв. и чл.8,ал.2,т.10 от Наредба 1/2004г. за възнаграждения за адвокатска работа, съдът счита, че в полза на адв. Г. от САК следва да се присъди адвокатско възнаграждение в размер на 459.46 евро/900.00 лева. Водим от гореизложеното и на основание чл. 172, ал. 2, във връзка с чл. 173, ал. 2 и чл. 174 от АПК, Административният съд