Решение № 9076 от 23.10.2025, Административен съд - Бургас

РЕШЕНИЕ

№ 9076

Бургас, 23.10.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Бургас - XX-ти състав, в съдебно заседание на шестнадесети октомври две хиляди двадесет и пета година в състав:

Съдия:

ВАЛЕРИ СЪБЕВ

При секретар ЙОВКА БАНКОВА като разгледа докладваното от съдия ВАЛЕРИ СЪБЕВ административно дело № 20257040701371 / 2025 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 145 и сл. АПК вр. чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по подадена жалба от А. – Б. С. С. срещу отказ, постановен от „Стик – Кредит“ АД, за предоставяне на копие от договор за потребителски кредит и съпътстващи договора документи, съдържащи лични данни. Излагат се съображения, че отказът е незаконосъобразен, тъй като ответникът е следвало да предостави копие от исканите документи. Развиват се съображения във връзка с приложението на ЗЗП, ЗЗЛД и Регламент (ЕС) 2016/679. От съда се иска да отмени оспорения отказ. Претендира се присъждане на адвокатско възнаграждение по чл. 38, ал. 2 от Закона за адвокатурата.

Ответникът - „Стик – Кредит“ АД, в депозиран по делото писмен отговор и чрез процесуалния си представител, моли жалбата да бъде оставена без уважение. Излага се, че дружеството е изпратило отговор на искането на жалбоподателя, с което е изпълнило задълженията си като администратор на лични данни. Обръща се внимание, че документите са били предоставени при сключването на договора за кредит. Развиват се съображения в насока, че исканията на субекта са явно неоснователни или прекомерни по смисъла на чл. 12, пар. 5 „б“ от Регламент 2016/679. Сочи се, че дружеството е имало задължение да предостави копие на личните данни, а не копие на документи. С тези доводи от съда се иска да отхвърли жалбата. Претендират се разноски. Оспорва се претенцията по чл. 38, ал. 1, т. 2 от ЗАдв. – заявена от жалбоподателя, вкл. като прекомерна.

Съдът, като прецени събраните по делото доказателства, както и доводите и възраженията на страните, на основание чл. 172а, ал. 2, чл. 168, ал. 1 и чл. 7, ал. 2 от АПК намира, че се установява следното от фактическа страна:

Между страните не е спорно, а и от представените по делото извадки от кореспонденция по електронен адрес (на л. 34 от делото) се установява, че А. – Б. С. С. е отправил до „Стик – Кредит“ АД – по електронен път, искане за кредит за сума от 2000 лв. и срок от 12 месеца. На 19.08.2024г., в 10:47:36 часа, на жалбоподателя е изпратен имейл, че кредитът му е одобрен, като е наличен договор № 1144645, с дължима вноска от 266,09 лв. и дата на първата вноска – 19.09.2024г. Впоследствие от „Стик – Кредит“ АД е изпращана информация на телефонен номер на жалбоподателя, чрез SMS-съобщения във връзка с дължимите вноски по кредита и допуснатите от него просрочия (извадка на л. 32 – л. 33 от делото). От „лог файл“, съдържащ история по кредита (на л. 31 от делото) се установява, че кредитът бил одобрен за сумата от 1200 лв., със срок: 12 месеца, неустойка: 519,98 лв., общо сума за връщане – 3193,08 лв., ГПР: 42,58 %, като договорът е потвърден по електронен път от клиента – на 19.08.2024г. в 10:47:34 часа.

На 19.11.2024г., от електронния адрес на пълномощника на А. – Б. С. С., до електронния адрес на „Стик – Кредит“ АД, е изпратена молба с правно основание чл. 37б от ЗЗЛД, с която е поискано от ответника, в качеството му на администратор на лични данни, да му предостави копие от договор за кредит № 1144645, сключен със С., ведно с всички съпътстващи договора документи – с цел проверка законността на обработка на личните данни. Посочен е електронен адрес, на който да се изпратят документите. Във връзка с това искане първоначално не е било налице произнасяне от страна на ответника, поради което е постановено влязлото в сила Решение № 2007 от 04.03.2025г. по адм.дело № 2354/2024г. (на л. 3 – л. 6 от делото), с което е отменен мълчалив отказ на „Стик – Кредит“ АД, да предостави достъп до личните данни по подадената молба от 19.11.2024г. от А. – Б. С. С.. Преписката е върната на „Стик – Кредит“ АД с указания, че следва да бъде извършено произнасяне по посочената молба при спазване на задължителните указания по тълкуването и прилагането на закона, дадени със съдебното решение.

След постановяване на посоченото решение, от „Стик – Кредит“ АД е изготвено електронно писмо до пълномощника на С., на посочения от него с молбата от 19.11.2024г. електронен адрес (на л. 29 от делото), към което (в прикачен файл) е приложена информация. В отговора (на гърба на л. 29 и на л. 30 от делото) е посочено, че администраторът на лични данни има задължение да предостави копие от обработваните лични данни, а не да възпроизвежда копие от документи, от които са част обработваните лични данни. Към писмото е приложен формуляр № 1 (на гърба на л. 30 – л. 31 от делото), в който е посочено, че във връзка с кредит № 1144645 от 19.08.2024г. дружеството обработва лични данни на А. – Б. С. С., а именно: имена, ЕГН, адрес по лична карта, номер на лична карта, телефонен номер и имейл адрес. Данните са посочени, като са отразени „цел“ на обработваните данни, срок на обработка, лог файл, съдържащ история по кредита и информация за клиента. Съобщението е изпратено на 07.07.2025г. в 16:02 часа, като в предвидения срок е обжалвано пред настоящия съдебен състав в частите, в които е отказано да бъдат предоставени копия от исканите документи.

При така установеното фактическа обстановка, съдът достигна до следните правни изводи по смисъла на чл. 172а, ал. 2 от АПК:

Съдът, при извършена проверка, вкл. и служебна такава по смисъла на чл. 168, ал. 1 и ал. 2 от АПК, достигна до извод, че ответникът „Стик – Кредит“ АД е администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД вр. чл. 4, т. 7 от Регламент (ЕС) 2016/679. По силата на последната разпоредба „администратор“ означава юридическо лице, което само или съвместно с други определя целите и средствата за обработването на лични данни. От своя страна по смисъла на чл. 4, т. 1 от Регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. В тази връзка безспорно юридическо лице, което предоставя по занятие кредити (каквото качество има „Стик – Кредит“ АД) обработва личните данни на кредитополучателите по сключените договори, като определя целите и средствата за обработването на данните. Ето защо изготвеното писмо до пълномощника на С., на посочения от него с молбата от 19.11.2024г. електронен адрес, представлява акт на администратора на лични данни – в отговор на надлежно подадено заявление по реда на чл. 37б, ал. 2 от ЗЗЛД, с което са упражнени права на субекта на лични данни по смисъла на чл. 15 от Регламент (ЕС) 2016/679 – на достъп до данните. Като такъв акт (в случая частичен отказ по отношение на искането за предоставяне на копия от договора и съпътстващите го документи) същият подлежи на обжалване по реда на чл. 39, ал. 1 от ЗЗЛД. Следователно е налице постановен акт, издаден от компетентен орган – администратор на лични данни, в съответната форма (чрез формулиран отговор на посочения от молителя електронен адрес, което е допустим начин по смисъла на чл. 12, пар. 1 вр. чл. 15, пар. 3 от Регламент (ЕС) 2016/679). В случая е подадено искане, което е получил отговор, поради което формално са спазени изискванията на процедурата по чл. 37б от ЗЗЛД и целта на този текст.

Настоящият съдебен състав констатира, че оспореният акт по смисъла на чл. 39, ал. 1 от ЗЗЛД е издаден в противоречие с материалните разпоредби по смисъла на чл. 146, т. 4 от АПК, като съображенията за този извод са следните:

На изричното искане на жалбоподателя да му бъде предоставено копие от договор за кредит № 1144645, ведно с всички съпътстващи документи, е постановен отговор, че следва да се предоставят единствено личните данни на субекта (имена, ЕГН, адрес, номер на лична карта, телефонен номер, имейл адрес), като изрично е посочено, че администраторът на лични данни няма задължение да възпроизвежда копие от документи, от които са част обработваните лични данни. Следователно е налице отказ да бъдат предоставени исканите копия – от договор за кредит № 1144645, ведно с всички съпътстващи документи.

По арг. от чл. 15, пар. 1 от Регламент (ЕС) 2016/679 субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните. Настоящият съдебен състав (в унисон и с постановената трайна съдебна практика на Съда на Европейския съюз и на Върховния административен съд) счита, че правото по чл. 15, пар. 1 от Регламента включва и право на достъп до копията от документите, съдържащи личните данни на съответния субект. По арг. от чл. 15, пар. 3 от Регламента администраторът предоставя копие от личните данни, които са в процес на обработване. Настоящият съдебен състав не споделя направеното от ответника тълкуване, че „предоставяне на копие“ от личните данни означава единствено цитирането им в писмен вид пред съответното лице. В обхвата на това понятие попадат копия от всички документи, съдържащи лични данни на лицето и това е изяснено трайно в съдебната практика. В Решение на Съда не Европейския съюз (първи състав) от 04.05.2023г. по дело С-487/21, ECLI:EU:C:2023:369, е прието, че това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица. Както е прието в решението (т. 34) правото на достъп, предвидено в член 15 от ОРЗД, трябва да позволи на субекта на данните да провери дали свързаните с него данни са точни и дали се обработват законосъобразно (в същия смисъл са и т. 37 от Решение на Съда на Европейския съюз (първи състав) от 12.01.2023г. по дело С-154/21, ECLI:EU:C:2023:3 и цитираните там: решения от 17 юли 2014 г., YS и др., C141/12 и C372/12, EU:C:2014:2081, т. 44, и от 20 декември 2017 г., Nowak, C434/16, EU:C:2017:994, т. 57, решение от 7 май 2009 г., Rijkeboer, С553/07, EU:C:2009:293, т. 49). Това право на достъп е необходимо, за да може субектът на данните евентуално да упражни правото си на коригиране, правото си на изтриване (право „да бъдеш забравен“) и правото си на ограничаване на обработването, които са му признати съответно в членове 16, 17 и 18 от ОРЗД, правото си на възражение срещу обработване на неговите лични данни, предвидено в член 21 от ОРЗД, и правото си на иск в случай на претърпени вреди, предвидено в членове 79 и 82 от ОРЗД (т. 35 от Решение на Съда не Европейския съюз (първи състав) от 04.05.2023г. по дело С-487/21, ECLI:EU:C:2023:369). За да се гарантира, че така предоставената информация е лесна за разбиране, както изисква член 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост (т. 41 от същото решение). По-специално, когато лични данни са генерирани от други данни или когато такива данни са следствие от празни полета, т.е. няма насоки, които да разкриват информация за субекта на данните, контекстът, в който се обработват тези данни, е задължителен елемент, който позволява на субекта на данните да разполага с прозрачен достъп и разбираемо представяне на тези данни (т. 42 от Решението). Предоставянето на копие от документите, за да може субектът на данните да провери точността и пълнотата им, както и за да се гарантира разбираемостта им, е възприето и в Решение на Съда на Европейския съюз от 26.10.2023г. по дело С-307/22, ECLI:EU:C:2023:811.

Разпечатката съдържа 20 от 32 абзаца. Пълният текст: https://pravoto.app/praktika/48e58e34-807c-4abd-94b1-649d29a9cf90