Решение № 629 от 16.04.2026, Административен съд - Враца

РЕШЕНИЕ

№ 629

Враца, 16.04.2026 г.

В ИМЕТО НА НАРОДА

Административният съд - Враца - IV състав, в съдебно заседание на шести април две хиляди двадесет и шеста година в състав:

Съдия:

ИВА БОРИСОВА

При секретар МАРГАРИТКА АЛИПИЕВА като разгледа докладваното от съдия ИВА БОРИСОВА административно дело № 20257080700577 / 2025 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/, във вр. с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба на Г.К.И. *** чрез * Л. Г., срещу мълчалив отказ на „С. К.“ ООД, ЕИК **, със седалище и адрес на управление ***, да се произнесе по заявление, подадено през месец декември 2025 г. (посочено в жалбата като от 11.12.2025 г.), по което в срока по чл. 12, § 3 от Регламент (ЕС) 2016/679 не е налице изрично произнасяне от администратора.

В жалбата се твърди, че жалбоподателката чрез пълномощника си е поискала от ответното дружество: копия от всички договори за кредит, по които е страна, включително общи условия, анекси, допълнителни споразумения и погасителни планове, както и справки за извършените плащания, като искането изрично е основано и на чл. 15, § 3 от Регламент (ЕС) 2016/679. Поддържа се, че в срока по чл. 12, § 3 от Регламента не е бил предоставен отговор, поради което е налице мълчалив отказ, нарушаващ правото на достъп.

Ответникът - Администратор на лични данни "С. к." ООД оспорва жалбата. Поддържа, че липсва акт, подлежащ на съдебен контрол по АПК; че отправеното искане не е надлежно упражняване на право по чл. 15 GDPR, а искане за документи по договорни отношения; че не е налице правен интерес; че впоследствие е изпратен изричен отговор и предметът на спора е отпаднал; както и че пълномощното не съдържа изрично овластяване за упражняване на права по GDPR.

Съдът, след като обсъди доводите на страните и събраните по делото доказателства, приема за установено следното:

От приложената молба до „С. К.“ ООД се установява, че на 11.12.2025 г. от името на жалбоподателката чрез * Г. е поискано изпращане по електронен път на копия от всички договори за кредит, по които тя е страна, заедно със съпътстващите ги документи, както и справки за извършените плащания. В молбата изрично е посочено, че основание за искането е и чл. 15, § 3 от Регламент (ЕС) 2016/679.

От приложеното пълномощно се установява, че жалбоподателката е упълномощила адвоката да я представлява и защитава по дела срещу „С. К.“ ООД, да извършва всички съдопроизводствени действия, както и да получава документи. Съдът приема, че това пълномощно е достатъчно за подаване на искането и за водене на настоящото производство.

Безспорно е по делото, че в едномесечния срок по чл. 12, § 3 от Регламент (ЕС) 2016/679 ответникът не е изпратил изричен отговор по подаденото заявление, нито е уведомил заявителя, че срокът се удължава с още два месеца поради сложност или брой искания.

След образуване на делото ответникът е депозирал становище и приложено писмо до жалбоподателката, в което приема, че искането не представлява надлежно упражняване на право на достъп по чл. 15 GDPR, тъй като се отнася до конкретни договори и съпътстващи документи, а не до информация за обработването на лични данни.

От удостоверението на Комисията за защита на личните данни се установява, че към 05.03.2026 г. не е налице висящо или приключило производство пред КЗЛД, инициирано от Г.К.И. срещу „С. К.“ ООД по същия спор. Това отстранява отрицателната процесуална предпоставка по чл. 39, ал. 4 ЗЗЛД.

При така установеното от фактическа страна съдът намира следното от правна страна:

Жалбата е допустима, като депозирана в срока и съгл. изискванията на АПК, от лице с активна проц. легитимация/заявител в адм. производство/, пред надлежния съд, поради което следва да се разгледа по същество.

Съгласно чл. 37б, ал. 1 ЗЗЛД субектът на данни упражнява правата по чл. 15–22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Съгласно чл. 39, ал. 1 ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В практиката по тази разпоредба се приема, че за допустимостта на жалбата е без значение правният характер на конкретното действие, бездействие или акт на администратора, стига да се твърди нарушение на право по Регламента.

Неоснователно е възражението на ответника, че липсва акт, подлежащ на съдебен контрол, тъй като „С. К.“ ООД не е административен орган и не издава ИАА. Настоящото производство не е обусловено от наличие на индивидуален административен акт по чл. 21 АПК. Специалната норма на чл. 39, ал. 1 ЗЗЛД, съответстваща на правото на ефективна съдебна защита по чл. 79 GDPR, допуска съдебен контрол срещу действия, откази и бездействия на администратор на лични данни, включително когато администраторът е частноправен субект. Такъв извод е възприет и в практиката по чл. 39 ЗЗЛД, вкл. по дела срещу частни дружества, обработващи данни във връзка с кредитни правоотношения.

Неоснователно е и възражението за липса на правен интерес. Жалбоподателката е субект на данни по смисъла на чл. 4, т. 1 GDPR, а „С.К.“ ООД е администратор по чл. 4, т. 7 GDPR, доколкото определя целите и средствата за обработване на личните данни, съдържащи се в договорите за кредит и в информацията за плащанията по тях. Правният интерес произтича от твърдяно нарушение на правото на достъп до лични данни, а не от самото договорно правоотношение. В практиката по сходни дела е прието, че кредиторът/цесионерът, който обработва данните на длъжника във връзка с кредитно задължение, е администратор на лични данни и негов отказ да предостави документите, съдържащи тези данни, подлежи на съдебен контрол по чл. 39 ЗЗЛД.

Съгласно чл. 15, § 1 GDPR субектът на данни има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така — достъп до тези данни и до информацията, посочена в разпоредбата. Съгласно чл. 15, § 3, изр. първо GDPR администраторът предоставя копие от личните данни, които са в процес на обработване. Чл. 12, § 3 GDPR задължава администратора да предостави информация за предприетите действия по искането без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането; срокът може да бъде удължен с още два месеца, но само ако субектът бъде уведомен в рамките на първия месец.

По делото не се спори, че ответникът не е предоставил отговор в едномесечния срок и не е уведомил за удължаване на срока. Следователно към изтичането на този срок е налице мълчалив отказ за удовлетворяване на искането, а законосъобразността на този отказ следва да се преценява към този момент. Последвалото след образуване на делото писмо на ответника не заличава вече настъпилото нарушение. И в съдебната практика по сходни дела срещу частни кредитни дружества е прието, че последващ частичен или закъснял отговор не прави жалбата недопустима, когато не удовлетворява изцяло първоначалното искане и не санира първоначалния отказ.

Спорен е въпросът дали поисканите договори за кредит, анекси, общи условия, погасителни планове и справки за плащания попадат в предметния обхват на чл. 15 GDPR. На този въпрос следва да се отговори положително.

Съдът на Европейския съюз(СЕС) в решение от 04.05.2023 г. по дело C-487/21, Österreichische Datenschutzbehörde и CRIF приема, че правото да се получи „копие“ по чл. 15, § 3 GDPR означава на субекта да се предостави точна и разбираема реплика на всички лични данни, които са в процес на обработване. СЕС изрично постановява, че това право може да включва извлечения от документи, дори цели документи или извлечения от бази данни, съдържащи тези данни, когато предоставянето им е съществено, за да може субектът ефективно да упражни правата си по GDPR. Съдът подчертава и че право на достъп е необходимо, за да могат да бъдат упражнени правата на коригиране, изтриване, ограничаване, възражение и съдебна защита.

СЕС доразвива същото разбиране и в дело C-307/22 (FT), като приема, че причината, поради която субектът иска достъп, не ограничава обхвата на правото по чл. 15 GDPR, а при данни в медицинско досие пълно копие на документите трябва да се предостави, когато това е необходимо, за да бъдат данните точни, изчерпателни и разбираеми. Макар делото да е в медицински контекст, изводът е общ: при преценката дали трябва да се предостави цял документ, решаваща е необходимостта документът да бъде видян като носител на личните данни, а не формалното му наименование.

В настоящия случай исканите документи не са външни за режима на личните данни. Напротив, договорът за кредит, общите условия, анексите, допълнителните споразумения, погасителният план и справките за извършени плащания съдържат данни, отнасящи се именно до жалбоподателката — нейната идентичност, параметрите на задължението, погасителното изпълнение, сроковете и историята на обслужване на кредита. Тези данни не могат да бъдат възпроизведени адекватно чрез абстрактно резюме без риск да се изгубят контекстът, точността и пълнотата на информацията. Тъкмо затова в практиката по сходни спорове е прието, че отказът да се предоставят договор за кредит и справка за плащания при искане по чл. 15 GDPR е незаконосъобразен.

Неоснователен е доводът на ответника, че заявлението всъщност е искане за документи по Закона за потребителския кредит, а не искане за достъп до лични данни. Макар в молбата да са посочени и норми от специалното потребителско законодателство, в нея изрично е посочено и основание чл. 15, § 3 GDPR, а предмет на искането са документи, които съдържат именно личните данни на заявителя. В този смисъл съдът приема, че заявлението по съдържание представлява упражняване на право на достъп по чл. 15 GDPR.

Неоснователно е и възражението за липса на изрична представителна власт за упражняване на права по GDPR. Чл. 37б, ал. 1 ЗЗЛД предвижда упражняване на правата чрез писмено заявление, а по делото е налице пълномощно за представителство срещу „С.К.“ ООД и за получаване на документи. Нито GDPR, нито ЗЗЛД изискват специална формула в пълномощното с дословно позоваване на Регламента, за да бъде валидно упражнено правото на достъп, стига волята за представителство да е достатъчно ясна.

Неоснователен е и доводът, че жалбоподателката няма нужда от достъп, защото потвърждава наличието на договорни отношения. Чл. 15 GDPR не поставя упражняването на правото на достъп в зависимост от доказване на специален интерес или от оспорване на самото правоотношение. По дело C-307/22 СЕС изрично приема, че субектът не е длъжен да излага причини за искането на първо копие от данните си.

В тежест на ответника беше да установи фактическите основания на отказа и спазването на законовите изисквания. Това следва от общото правило на чл. 170, ал. 1 АПК. В случая такова доказване не е проведено: не е установено нито своевременно произнасяне в срока по чл. 12, § 3 GDPR, нито наличие на пречка по чл. 15, § 4 GDPR, която да оправдае отказ от предоставяне на копие, нито предложена по-лека мярка като частично заличаване на данни на трети лица.

По тези съображения съдът приема, че оспореният мълчалив отказ е издаден в противоречие с материалния закон — чл. 12, § 3 и чл. 15, § 1 и § 3 GDPR, при неправилно тълкуване на предметния обхват на правото на достъп, и следва да бъде отменен. На основание чл. 172, ал. 2 АПК преписката следва да бъде върната на администратора за ново произнасяне при задължителни указания по тълкуването и прилагането на закона, а именно: да предостави на жалбоподателката копия от документите, съдържащи нейните лични данни, доколкото това е необходимо за ефективно упражняване на правото ѝ по чл. 15 GDPR, при съобразяване на правата и свободите на други лица чрез евентуално заличаване на чужди лични данни или защитена търговска информация. Чл. 172, ал. 2 АПК допуска именно отмяна и връщане на преписката при незаконосъобразност на отказа.

При този изход на делото жалбоподателката има право на разноски на основание чл. 143, ал. 1 АПК. Доколкото процесуалното представителство е осъществено безплатно по реда на чл.38, ал.1 т.2 от ЗА, разноските следва да се присъдят в полза на адвоката, съобразно минималния размер по Наредба № 1 за минималните размери на адвокатските възнаграждения - сумата от 153,39 (сто петдесет и три евро и тридесет и девет евроцента).