Решение № 2275 от 04.06.2025, Административен съд - Стара Загора

РЕШЕНИЕ

№ 2275

Стара Загора, 04.06.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Стара Загора - II състав, в съдебно заседание на седми май две хиляди двадесет и пета година в състав:

Съдия:

ГАЛИНА ДИНКОВА

При секретар ИВА АТАНАСОВА като разгледа докладваното от съдия ГАЛИНА ДИНКОВА административно дело № 20257240700184 / 2025 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК) във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по жалба на С. К. С. с постоянен адрес: с.Калитиново, общ.Стара Загора, подадена чрез пълномощника му адв. М. М., срещу отказ на „КРЕДИ ЙЕС“ ООД, в качеството му на администратор на лични данни, обективиран в писмо изх.№ 597 от 07.02.2025г. на длъжностното лице по защита на данните в „КРЕДИ ЙЕС“ ООД, да предостави на С. С. въз основа на искане, подадено по ел. път на 10.01.2025г. чрез пълномощника му адв. М. М., всички носители на лични данни (договори, стандартни европейски формуляри и др.), въз основа на които „КРЕДИ ЙЕС“ ООД обработва личните данни на С. К. С. за периода от 01.12.2019г. до 10.01.2025г.

В жалбата са изложени доводи за незаконосъобразност на оспорения отказ, по съображения за постановяването му в нарушение и при неправилно приложение на материалния закон. Жалбоподателят твърди, че с непредоставянето на изисканите носители на лични данни, въз основа на които „КРЕДИ ЙЕС“ ООД обработва личните данни на С. С., се нарушават заложените в Регламент (ЕС) 2016/ 679 на Европейския парламент и на Съвета принципи на прозрачност и отчетност при обработката на лични данни, пряко относими към правото за предоставяне на всякаква информация от страна на администратора на личните данни, която от своя страна да послужи за извършването на ефективна проверка от страна на субекта за наличието на легитимно обработване на личните му данни. По съображения, основани на съдебната практика, вкл. и на СЕС, се обосновава, че предвиденото в чл. 15, §3 от Регламент (ЕС) 2016/ 679 на Европейския парламент и на Съвета задължение на администратора на лични данни, се свежда не само до предоставянето на копие на личните данни, но включва и задължението за предоставянето на конкретните документи, представляващи фактическото основание, на което личните данни се обработват и обуславящо целите на обработването. С подробно изложени доводи за незаконосъобразността на оспорения отказ за предоставяне на носителите на лични данни, въз основа на които се обработват личните данни на С. С., вкл. за несъответствието на отказа с целта на закона и с прокламираните принципи в Регламент (ЕС) 2016/ 679, е направено искане за неговата отмяна, като бъде задължен администраторът на лични данни - „КРЕДИ ЙЕС“ ООД, в седемдневен срок от влизане в сила на съденото решение, да предостави исканите носители на лични данни.

Ответникът по жалбата - „КРЕДИ ЙЕС“ ООД, чрез процесуалния си представител – юриск.К., в представено писмено становище, оспорва жалбата като неоснователна. Поддържа, че с изпратения отговор и приложената към него писмена справка, съдържаща обема на обработваните лични данни на С. С., дружеството, в качеството си на администратор на лични данни, е изпълнило задълженията си по чл.12, §1, 2 и 3 във вр. с чл.15 и чл.20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година. Счита, че копие на личните данни не е тъждествено с копие на документ и искането за представяне на документите, съдържащи личните данни, е различно от искането за достъп до лични данни. В тази връзка ответникът се позовава на съдебна практика на СЕС - Решение по дело С-487/ 2021г. Твърди, че в случая субектът на данните е получил документите по кредитното досие при подписване на договора за заем, поради което е разполагал с тези данни и е могъл ефективно да упражни предоставените му с Регламента права. По изложените съображения е направено искане жалбата да бъде отхвърлена, като неоснователна.

Въз основа на събраните по делото доказателства, съдът приема за установено следното от фактическа страна:

На 10.01.2025г. жалбоподателят С. К. С., чрез пълномощника си адв. М. М., е подал по електронен път искане до „КРЕДИ ЙЕС“ ООД, с което на основание чл.15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО - Общ регламент относно защитата на данните (ОРЗД), е направено искане да му бъде предоставена информация относно това дали личните му данни са обработвани от дружеството, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване, за периода от 01.12.2019г. до 10.01.2025г., при предоставяне на всички носители на лични данни за посочения период (договори, стандартни европейски формуляри и др.), с цел извършване на проверка на обработваните данни. Посочен е електронен адрес, на който да се изпратят отговорът и документите.

На 10.02.2025г. от пълномощника на С. С. – адв. М. М., е получено писмо – отговор изх.№ 597 от 07.02.2025г. на длъжностното лице по защита на данните в „КРЕДИ ЙЕС“ ООД (л.7-9 по делото). С писмото и приложената към него писмена справка в табличен вид се потвърждава, че „КРЕДИ ЙЕС“ ООД, в качеството си на администратор на лични данни, обработва личните данни на С. С., отнасящи се до имената, постоянен и настоящ адрес, ЕГН, номер на лична карта, образование, семейно положение, телефонен номер, недвижими имоти, месечни приходи, месечни разходи и финансова задлъжнялост. Сочи се, че между дружеството и С. С. има сключени два договора за паричен заем през посочения в искането период, като в тази връзка и на основание чл.6, ал.1, б.“б“ от Регламент (ЕС) 2016/679 се обработват и съхраняват от дружеството личните данни на С.. Освен категориите лични данни на субекта, които се обработват, подробно са описани и целите на обработката на личните данни, получателите и категориите получатели на лични данни и третите лица на които те се предоставят, сроковете за съхранение, правата на субекта на лични данни, източниците на лични данни, възможността за вземане на автоматизирани решения и т.н. По искането на С. С. за осигуряване на достъп до носителите на лични данни (предоставяне на договори, стандартни европейски формуляри и др./, ответникът, чрез длъжностното лице по защита на данните в „КРЕДИ ЙЕС“ ООД, е посочил, че с оглед съдържанието на нормата на чл.15, пар.3 от Регламент (ЕС) 2016/679, която говори за копие от данните, но не и за копие от носителите на информация, в които тя се съдържа и може да се направи извод, че администраторът предоставя копие от личните данни, но няма задължение при упражняване правото на субекта на данни да предоставя документи или други носители на информация. С това изявление по същество е формиран и обективиран отказ за предоставянето на заявените от С. С. за получаване носители на лични данни (договори, стандартни европейски формуляри и др.).

Във връзка със служебно изискана от съда информация, по делото е постъпило писмо с изх. №ППН-01-357#1 от 28.03.2025г. на Председателя на КЗЛД, в което е удостоверено, че към 28.03.2025 г. пред Комисията за защита на личните данни не е налице висящо или приключило административно производство, инициирано от С. К. С. срещу „КРЕДИ ЙЕС“ ООД.

Съдът, като взе предвид направените в жалбата оплаквания, доводите и становищата на страните и въз основа на приложимата нормативна регламентация, направи следните правни изводи:

По допустимостта на жалбата:

Законът за защита на личните данни урежда на национално ниво два алтернативни начина за защита на субекта на данни при нарушаване на правата му по Регламент (ЕС) 2016/679 и по ЗЗЛД: 1. Сезиране на надзорен орган – Комисията за защита на личните данни (чл.38, ал. 1 от ЗЗЛД) и 2. Сезиране на съд с жалба срещу действия или актове на администратора на лични данни, която жалба се разглежда по реда на АПК (чл. 39, ал. 1 от ЗЗЛД). Видно от съдържанието на релевантните правни норми, в закона не е предвидено императивно изискване субектът на данни да се обърне към КЗЛД и едва след като изчерпи възможността да защити правата си по административен ред, да се сезира съдът. Единственото ограничително условие за съдебна защита, което законодателят поставя, е регламентирано в ал. 4 на чл. 39 от ЗЗЛД, а именно: да няма висящо производство пред КЗЛД, образувано по жалба на същия засегнат субект, при идентичност на нарушението и нарушителя, съответно да не е налице решение на КЗЛД за същото нарушение, което да е обжалвано пред съд. Целта на разпоредбата е да не се допуска идентични спорове да се разглеждат паралелно пред надзорния орган и пред съда. В случая по делото е установено, че пред КЗЛД няма висящо или приключило административно производство, което да е идентично, от гл. т. на предмет и страни, с настоящото съдебно производство, поради което не е налице визираната от закона процесуална пречка за сезиране на съда с процесния спор.

Безспорно е, че жалбоподателят С. С. е субект, чиито лични данни са обработвани (по см. § 2 на чл. 4 от Регламент (ЕС) 2016/679), от дружеството-ответник (което обстоятелство изрично се потвърждава в отговора на длъжностното лице по защита на данните в „КРЕДИ ЙЕС“ ООД), и респ. като субект на това обработване има право на достъп до обработваните й от администратора лични данни, съгласно чл.15 Регламент (ЕС) 2016/679. Това право С. С. е реализирал чрез отправено чрез пълномощника й на 10.01.2025г. искане, представляващо заявление по смисъла на чл. 37б, ал. 1 от ЗЗЛД, съдържащо реквизитите по чл. 37в от ЗЗЛД, като по същото искане администраторът на лични данни, какъвто безспорно се явява „“КРЕДИ ЙЕС“ ООД по см. на чл.4, т.7 от Регламент (ЕС) 2016/679 във вр. с § 1, т. 2 от ДР на ЗЗЛД, дължи произнасяне в срока по чл. 12, §3 от Регламент (ЕС) 2016/679. Формулираното от С. искане по чл.37б от ЗЗЛД, до ответника – администратор на лични данни, е било за предоставяне на информация относно обработваните от дружеството негови лични данни, целите за обработване, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване, за периода от 01.12.2019г. до 10.01.2025г., при предоставяне на всички носители на лични данни за посочения период. В срока по чл. 12, § 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година, ответникът, чрез длъжностното лице по защита на данните в „КРЕДИ ЙЕС“ ООД, е предоставил на жалбоподателя информация за обработваните му лични данни, за основанието и целите на обработка на личните данни, категориите получатели на лични данни и третите лица, на които те се предоставят, сроковете за съхранение, правата на субекта на лични данни и т.н, без предоставяне на документите – носители на лични данни. Формираният в писмо изх.№ 597 от 07.02.2025г. на длъжностното лице по защита на данните в „КРЕДИ ЙЕС“ ООД отказ за предоставяне на заявените за получаване от С. С. носители на лични данни - документите, чрез които тези данни се обработват (договори, стандартни европейски формуляри и др.), обуславя наличието на пряк, личен и непосредствен интерес за жалбоподателя от оспорване на този отказ, отричащ правото му на достъп до обработваните от администратора негови лични данни в заявения обем.

Следователно оспорването, като направено от легитимирано лице с правен интерес, в законово установения срок по чл.149, ал.1 от АПК и против акт, подлежащ на съдебно обжалване и контрол за законосъобразност съгласно чл. 39, ал. 1 от ЗЗЛД, е процесуално допустимо.

Разгледана по същество жалбата е основателна.

В чл. 37б, ал. 1 от ЗЗЛД е регламентирано, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. В чл. 15 от Регламент (ЕС) 2016/679 е предвидено „право на достъп на субекта на данните", като в §1 е прието, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните... ". Според чл. 15, §3 от Регламента „администраторът предоставя копие от личните данни, които са в процес на обработване", а съгласно чл. 12, §3 от Регламент (ЕС) 2016/679, администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15-22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането.

Разпечатката съдържа 23 от 40 абзаца. Пълният текст: https://pravoto.app/praktika/8425c980-d6e5-49bd-99c7-5dd23cbb497b