Акт № 4925 от 02.11.2026, Административен съд - Пазарджик

РЕШЕНИЕ

№ 4925

Пазарджик, 02.11.2026 г.

В ИМЕТО НА НАРОДА

Административният съд - Пазарджик - VII състав, в съдебно заседание на девети октомври две хиляди двадесет и шеста година в състав:

СЪДИЯ:

МАРИЯ ХУБЧЕВА

При секретар ТОДОРКА СТОЙНОВА като разгледа докладваното от съдия МАРИЯ ХУБЧЕВА административно дело № 20267150700676 / 2026 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс (АПК), във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Общ регламент относно защитата на данните, ОРЗД).

Образувано е след постановяване на окончателно Решение № 6102 от 04.06.2026 год., по адм. дело № 1629 от 2026 год. по описа на Върховния административен съд, Пето отделение, с което е отменено Решение № 5488 от 28.11.2025 год., постановено по адм. дело № 1158 от 2025 год. по описа на Административен съд - Пазарджик и делото е върнато на първоинстанционния съд за ново разглеждане от друг състав на съда. Касационната инстанция е указала на първоинстанционния съд, на осн. чл. 226, ал. 3 от АПК, да се произнесе и за разноските пред касационната инстанция.

Първоначално производството по делото е образувано по жалба на А. Н. И., [ЕГН], с адрес: гр. Пазарджик, [улица], ет. 1, ап. 3, чрез адв. Т. Ц., със съдебен адрес: гр. София, [жк], [улица], ет. 1, ап. 3, срещу отказ на „Кредирект“ ЕООД, ЕИК *********, в качеството му на администратор на лични данни, да предостави в пълен обем поискания със заявление от 15.08.2025 год. достъп до обработваните лични данни и копия от документите, в които се съдържат нейни лични данни, като отказът е обективиран в отговор от 12.09.2025 год., изпратен по електронен път на 13.09.2025 год.

Жалбоподателката излага доводи за нищожност на оспорения отказ, тъй като е издаден и подписан от П. С. Л., в качеството й на длъжностно лице по защита на данните, без същата да има компетентност да формира и изразява воля от името на администратора на лични данни по заявления за упражняване на права по чл. 15 - чл. 22 от ОРЗД. Оспорва представения от ответника граждански договор от 20.12.2024 год., като сочи, че същият няма достоверна дата, по него не са извършвани плащания и е представен за целите на съдебното производство. Навежда и доводи за несъвместимост на функциите на П. Л. с други изпълнявани от нея длъжности. Претендират се разноски.

Ответникът - „Кредирект“ ЕООД, чрез процесуалния си представител, оспорва жалбата. Поддържа, че П. С. Л. е била определена за длъжностно лице по защита на данните и е разполагала с правомощие да разглежда заявления на субекти на данни и да изготвя отговори от името на администратора. В тази връзка сочи, че е налице граждански договор от 20.12.2024 год. Изрично заявява, че не са издавани отделна заповед, вътрешен акт, пълномощно или друг документ за овластяването на П. Л., тъй като според него представеният договор урежда изцяло възлагането на съответните функции. Прави възражение за процесуална недопустимост на съдебното оспорване, тъй като действителната цел на заявлението не е упражняване на право на достъп до лични данни, а получаване на договорна документация с оглед гражданскоправен спор между страните.

Административен съд - Пазарджик, седми състав, след като обсъди доводите на страните и събраните по делото доказателства, поотделно и в тяхната съвкупност, приема за установено следното:

На 15.08.2025 год. А. Н. И., чрез адв. Т. Ц., е сезирала „Кредирект“ ЕООД, в качеството му на администратор на лични данни, със заявление, в което чрез позоваване на правото на достъп по чл. 15 от Регламент (ЕС) 2016/679, е поискала достъп до обработваните от дружеството личните й данни, както и предоставяне на копия от документите, в които тези данни се съдържат, включително относимите към кредитното правоотношение между страните документи.

В отговор на заявлението „Кредирект“ ЕООД е изготвил писмо, в което сочи, че като администратор на личните данни, отговорът се предоставя във връзка с упражнено право на достъп по чл. 15 от Регламент (ЕС) 2016/679. Посочени са категории обработвани лични данни, цели на обработването, правни основания, категории получатели и срокове за съхранение. По отношение на искането за предоставяне на копия от документи е прието, че чл. 15, пар. 3 от ОРЗД задължава администратора да предостави копие от обработваните лични данни, но не и непременно пълни копия на документите, в които се съдържат. Предоставена е извадка от договор, а в останалата част искането не е удовлетворено. Отговорът е подписан с квалифициран електронен подпис (КЕП) от П. С. Л., посочена като длъжностно лице по защита на данните.

С Решение № 5488 от 28.11.2025 год., постановено по адм. дело № 1158 от 2025 год., по описа на Административен съд - Пазарджик е отменен отказа на „Кредирект“ ЕООД и е върнал преписката на администратора за ново произнасяне.

С Решение № 6102 от 04.06.2026 год., постановено по адм. дело № 1629 от 2026 год. по описа на Върховният административен съд, Пето отделение, е отменено първоинстанционното решение и делото е върнато за ново разглеждане от друг съдебен състав. В окончателния съдебен акт е прието, че „Кредирект“ ЕООД правилно е идентифицирано като администратор на лични данни по смисъла на чл. 4, пар. 7 от Регламент (ЕС) 2016/679 и като надлежна ответна страна, но първоинстанционният съд не е изяснил въпроса за компетентността на длъжностното лице по защита на данните да представлява и да действа от името на администратора. Посочено е, че от самото качество на длъжностно лице по защита на данните не следва наличие на правомощия за издаване на актове от името на администратора по заявления на субекти на данни при упражняване на правата им по чл. 15 - чл. 22 от ОРЗД. Дадени са указания при новото разглеждане да се изяснят въпросите, свързани с валидността на волеизявлението на длъжностното лице по защита на данните от името на администратора.

При новото разглеждане на делото настоящият съдебен състав е разпределил доказателствената тежест на страните, като с оглед разпоредбата на чл. 170, ал. 1 от АПК е указал на ответника да докаже наличието на компетентност и надлежно овластяване на лицето, подписало процесния отговор. Ответната страна е трябвало да представи всички документи относно определянето на П. С. Л. като длъжностно лице по защита на данните, включително договор, вътрешен акт, заповед, пълномощно или друг документ, въз основа на който тя е изпълнявала функциите си, както и доказателства дали е била изрично овластена да разглежда заявления на субекти на данни и да издава или изпраща отговори от името на „Кредирект“ ЕООД по искания по чл. 15 - чл. 22 от Регламент (ЕС) 2016/679.

По делото е представен граждански договор от 20.12.2024 год., сключен между „Кредирект“ ЕООД и П. С. Л., отнасящ се до изпълнението на функции на длъжностно лице по защита на данните.

С последващо изрично становище ответникът е заявил, че освен този граждански договор не съществуват други документи, с които да са възложени съответните правомощия на длъжностното лице по защита на личните данни. Също така е потвърдил, че не са издавани отделна заповед, вътрешен акт, пълномощно или друг акт за представителна власт, като сочи, че гражданският договор включва разглеждането на заявления на субекти на данни и изготвянето на отговори от името на администратора.

От информацията, предоставена по делото от Комисията за защита на личните данни се установява, че „Кредирект“ ЕООД е депозирало уведомление за определяне на П. С. Л. като длъжностно лице по защита на данните от 20.03.2025 год., като регистрацията е извършена на 24.03.2025 год. Към релевантния момент не е подавано уведомление за промяна на тези данни.

По допустимостта на оспорването съдът намира следното:

Жалбата е подадена от лице, адресат на процесния отказ и субект на личните данни, чието право по чл. 15 от ОРЗД се твърди, че е нарушено, срещу подлежащ на съдебен контрол изричен отказ и в законоустановения срок, поради което е процесуално допустима. Неоснователно е възражението на ответника, че по заявление от 15.08.2025 год. не е възникнало производство по упражняване на правото на достъп по чл. 15 от ОРЗД. Съдържанието на заявлението не се изчерпва с искане за предоставяне на гражданскоправни документи. Изрично е поискан достъп до всички обработвани от „Кредирект“ ЕООД лични данни на жалбоподателката, а копията от документите са поискани като носители на тези данни. Наред с това ответникът е квалифицирал заявлението като упражняване на „Право на достъп съгласно чл. 15 от Регламент (ЕС) 2016/679“, разгледал го е по този ред и е предоставил информация за категориите данни, целите, основанията и сроковете за обработване. Следователно е налице произнасяне на администратора по упражнено право по чл. 15 от ОРЗД, като непредоставянето на част от поискания достъп представлява изричен отказ, подлежащ на съдебен контрол. Оплакванията на дружеството, изложени в обратна насока са неоснователни, както и цитираната съдебна практика, която касае различна фактическа обстановка. Следва да се посочи, че практиката на Върховния административен съд приема, че съгласно правото по чл. 15, пар. 3 от ОРЗД при определени условия може да включва предоставянето на извлечения от документи, а когато това е необходимо за ефективното упражняване на правата на субекта, както и на цели документи, съдържащи личните данни. В тази насока са: Решение № 1826 от 17.02.2026 год. по адм. дело № 10114 от 2025 год., по описа на Върховния административен съд, Пето отделение и Решение № 4969 от 08.05.2026 год. по адм. дело № 669 от 2026 год. на Върховния административен съд, Пето отделение при съобразяване с Решение на Съда на Европейския съюз от 04.05.2023 год. по дело C-487/21.

Възражението за наличието на висящ или приключил гражданскоправен спор между страните, както и възможността определени документи да са представени в гражданско производство, не е основателно, защото не се заличава самостоятелния характер на правото на достъп по чл. 15 от ОРЗД и не обуславя недопустимост на настоящото производство.

Разгледана по същество, жалбата е основателна. Съображенията за това са следните:

Съгласно чл. 4, пар. 7 от Регламент (ЕС) 2016/679 „администратор“ е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни.

По делото не се спори, а и с Решение № 6102 от 04.06.2026 год. постановено по адм. дело № 1629 от 2026 год. по описа на Върховния административен съд, Пето отделение е прието, че именно „Кредирект“ ЕООД е администраторът на личните данни на жалбоподателката.

Съгласно чл. 37б, ал. 1 от ЗЗЛД субектът на данни упражнява правата си по чл. 15 - чл. 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Задължението за произнасяне по заявлението следователно принадлежи на администратора. Функциите и задачите на длъжностното лице по защита на данните са определени в чл. 37 - чл. 39 от ОРЗД. Те включват информиране и консултиране на администратора, наблюдение за спазването на Регламента, предоставяне на съвети, сътрудничество с надзорния орган и изпълнение на функцията на точка за контакт. От нормативно определеното качество на длъжностното лице по защита на данните не следва автоматично представителна власт за формиране на окончателната воля на администратора и за постановяване на откази по заявленията на субектите на данни. Този извод е изведен и в отменителното решение на Върховния административен съд, Пето отделение, както и в Решение № 5364 от 19.05.2026 год. по адм. дело № 1487 от 2026 год., Решение № 8505 от 03.08.2026 год. по адм. дело № 8671 от 2025 год., Решение № 8830 от 08.09.2026 год. по адм. дело № 2439 от 2026 год. и Решение № 8952 от 18.09.2026 год. по адм. дело № 2125 от 2026 год., всички по описа на Върховния административен съд, Пето отделение. В цитираната съдебна практика е прието, че администраторът би могъл да действа чрез надлежно упълномощено лице, но при всички случаи наличието на такова овластяване следва да бъде установено с надлежни доказателства. При това по делото доказателствената тежест за установяване на представителната власт е изрично и повторно възложена на ответника, но не е изпълнена.