Решение № 2917 от 30.10.2025, Административен съд - Русе

РЕШЕНИЕ

№ 2917

Русе, 30.10.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Русе - VIII състав, в съдебно заседание на двадесет и първи октомври две хиляди двадесет и пета година в състав:

Съдия:

РОСИЦА БАСАРБОЛИЕВА

При секретар НАТАЛИЯ ГЕОРГИЕВА като разгледа докладваното от съдия РОСИЦА БАСАРБОЛИЕВА административно дело № 20257200700496 / 2025 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 145 и следващите от Административнопроцесуалния кодекс (АПК), във връзка с чл. 39, ал. 1 от Закона за защита на личните данни (ЗЗЛД).

Образувано е по постъпила жалба от В. И. Я. от гр. Бяла, обл. Русе, чрез процесуалния ѝ представител, против изричния отказ от 14.07.2025 г. на администратора „Изи Асет Мениджмът“ АД, със седалище в гр. София, да ѝ бъде предоставено по нейно искане, изпратено чрез електронна поща на 14.06.2025 г. на основание чл.15 от Регламент (ЕС) 2016/679, копие от всички носители на нейни лични данни (договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и др.), за периода от 14.06.2020 г. до 12.06.2025 г. като отговорът и документите бъдат изпратени на електронен адрес [електронна поща]. В жалбата се твърди, че поисканите по този ред копия от документи са ѝ необходими, за да извърши проверка дали личните ѝ данни се обработват законосъобразно в хипотезата на чл.6, § 1, б.“б“ от Регламент (ЕС) 2016/679, ако такъв документ /договор за кредит/ не е подписван и получаван физически от нея. Счита, че отказът да ѝ бъдат предоставени копия от документи нарушава нейните права по чл.15, § 1 и § 3 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) като субект на данните. Моли съда да постанови решение, с което да отмени този отказ като изпрати преписката по депозираното от нея искане на администратора със задължителни указания по тълкуването и прилагането на закона бъде определен 7 – дневен срок за предоставяне на копията от документи. В молба вх. №4448/20.10.2025 г. по описа на АС – Русе претендира направените пред инстанцията съдебно-деловодни разноски, както и присъждане на адвокатско възнаграждение по чл. 38, ал. 2 от Закона за адвокатурата.

Ответникът по жалбата – „Изи Асет Мениджмът“ АД, чрез процесуалния си представител, към писмо вх. №4469/20.10.2025 г. по описа на АС – Русе е депозирал писмен отговор, в който изразява становище за недопустимост, респ. за неоснователност на жалбата. Сочи, че в изпратеното на 14.07.2025 г. на електронната поща на представителя на жалбоподателката съобщение е посочено, че искането на жалбоподателката е удовлетворено. Нейните лични данни били обработвани главно на основание изпълнение на законово задължение на администратора по смисъла на чл. 6, § 1, б. „в“ от Регламента за лични данни - във връзка с прекратено правоотношение по договор за потребителски кредит. Счита, че чрез уведомлението си от 14.07.2025 г., изпълнил изцяло задълженията си по чл. 15 от ОРЗД (GDPR). На жалбоподателката била предоставена информация за това, че нейни лични данни се обработвали от дружеството и то ѝ осигурило пълен достъп до личните ѝ данни, както и копия от съответните носители, съдържащи тези данни, които реално се съхранявали в обема, определен от приложимите нормативни изисквания след прекратяване на договорните отношения с клиента. Администраторът имал правото да прецени как да предостави информацията по ясен и ефективен начин. Поисканите документи били предоставяни на жалбоподателката при сключване на договора, което отхвърляло твърденията, че тя не е била запозната с договорните отношения и не може да потвърди легитимността на обработката без повторното предоставяне на документите. По отношение на искането, по чл. 20 от GDPR, в отговора администраторът е посочил, че част от обработката е ръчна, което прави правото на преносимост по чл. 20 GDPR неприложимо в настоящия случай. Понятието „копие“ на лични данни не означавало копие на целия документ. С Уведомлението от 14.07.2025 г. дружеството предоставило копие на обработваните данни и структурирани извадки. По изложените съображения моли съда да остави жалбата без разглеждане като прекрати производството по делото, респ. да постанови решение, с което да я отхвърли като неоснователна. Претендира присъждането на юрисконсултско възнаграждение. Прави възражение за прекомерност на претендираното от другата страна адвокатско възнаграждение.

Съдът, като обсъди събраните по делото доказателства, съобрази доводите на страните и извърши служебна проверка на законосъобразността на оспорения административен акт, приема за установено следното:

Текстът на чл. 39, ал. 1 от ЗЗЛД сочи, че при нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В случая е приложим 14-дневният срок за обжалване по чл.149, ал.1 от АПК. Електронното съобщение, обективиращо оспорения отказ, е получено на електронната поща на представителя на жалбоподателката на 14.07.2025 г., а жалбата срещу него е подадена на 21.07.2025 г.

От изисканото на основание чл.39, ал.4, изр.второ от ЗЗЛД удостоверение с изх.№ ППН-01-1302#1/11.08.2025 г. на КЗЛД се установява, че липсва висящо или приключило пред КЗЛД производство, инициирано от жалбоподателката срещу „Изи Асет Мениджмът“ АД, наличието на каквото би съставлявало абсолютна отрицателна процесуална предпоставка за упражняването на правото на жалба до съда. Неоснователно е и възражението на ответника по жалбата, че електронното съобщение, изпратено до жалбоподателката на 14.07.2025 г., не съдържа отказ да бъдат предоставена исканата информация и копия от документи, поради което жалбата била недопустима. Съдът намира, че макар в съобщението да не е включен изразът „отказвам предоставянето на копия от документи“ или друг подобен израз, то самото посочване от страна на ответника по жалбата, че всички поискани документи са били вече предоставени на жалбоподателката имплицитно съдържа в себе си отказ те да бъдат предоставени отново.

В конкретния случай жалбата е подадена в срок, от процесуално легитимирана страна - адресата на акта, който е неблагоприятно засегнат от него, при наличие на правен интерес, поради което е допустима.

Разгледана по същество жалбата се явява основателна.

Ответникът в производството е дружеството - финансова институция, вписана в регистъра на БНБ за финансовите институции по чл. 3, ал. 1 от Закона за кредитните институции, извършваща дейност на територията на Република България, насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Договорът за кредит касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (вж. Определение № 2713 от 15.03.2023 г. на Върховен административен съд по адм. д. № 1745/2023 г.).

Компетентен да издава актове във връзка с обработването на личните данни е администраторът. Според легалната дефиниция по § 1, т.2 от ДР на ЗЗЛД "администратор", с изключение на администратора по глава осма, е понятието по чл. 4, т.7 от Регламент (ЕС) 2016/679. От своя страна последната разпоредба гласи, че „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Видно от изисканата справка за кредитна задлъжнялост от Централния кредитен регистър към БНБ, в периода от 30.09.2020 г. до 30.06.2025 г. има данни за подадена информация за един кредит по отношение на жалбоподателката от страна на „Изи Асет Мениджмът“ АД. Според чл.17, ал.2 от Наредба № 22 от 16.07.2009 г. за Централния кредитен регистър, институциите по чл. 4, ал. 1 (между които са и лицата по чл.3, ал.1, т.3 от ЗКИ, които отпускат кредити със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства) носят отговорност за верността, пълнотата и своевременното подаване на информацията по тази наредба, както и за спазване изискванията за защита на личните данни. Информацията в Централния кредитен регистър за сключения между жалбоподателката и ответника по жалбата договор е подадена именно от последния, който обработва личните данни на жалбоподателката, като кредитополучател, за целите на изпълнението на договора за потребителски кредит. Следователно „Изи Асет Мениджмът“ АД безспорно има качеството на администратор на лични данни по отношение на жалбоподателката и в този смисъл това дружество разполага с компетентност да постанови оспорения отказ.

Според чл.12, § 1, изр. второ от Регламент (ЕС) 2016/679 информацията по чл.15 от същия се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства, а според § 3, изр. последно на същия член когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

В случая с искането си жалбоподателката е пожелала именно предоставянето на информацията в писмен вид с електронни средства като тя бъде изпратена на електронната поща на нейния представител: [електронна поща]. Оспореният отказ е във формата на съобщение, изпратено на електронна поща, т.е. същият е под формата на електронен документ по смисъла на чл.3, т.35 от Регламент (ЕС) № 910/2014 и чл.3, ал.1 от ЗЕДЕУУ като според ал.2 на последната разпоредба и доколкото документът съдържа електронно изявление, се смята спазена и изискуемата писмена форма.

На 14.06.2025 г. жалбоподателката е подала искане до „Изи Асет Мениджмът“ АД на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, в качеството ѝ на субект, на когото се обработват лични данни, да ѝ бъде предоставена информация относно това дали личните данни на жалбоподателката са обработвани от дружеството, целите за обработване, категориите лични данни, както и копие на личните данни, които били в процес на обработване за периода от 14.06.2020 г. до 12.06.2025 г. Поискано е всички носители на лични данни /договори, стандартни европейски формуляри, платежни нареждания, в които са отразени данни и др./ да ѝ бъдат предоставени.

На 14.07.2025 г. до заявителя било изпратено уведомление от „Изи Асет Мениджмът“ АД, в което е посочено, че дружеството е финансова институция, по чл. 3а, ал. 1 от Закона за кредитните институции и предлага парични заеми със средства, които не са набрани чрез публично привличане на влогове или други, позволени съгласно чл. 3 от Закона за кредитните институции. Посочено е, че личните данни на г-жа Я. („субект на данни“) са били обработвани главно на основание разпоредбата на чл. 6, §1, б. „б“ от Регламента за лични данни в изпълнение на договор, сключен между г-жа Я. и „Провидент Файненшъл България“ ООД, от когото „Изи Асет Мениджмънт“ АД придобило вземането въз основа на извършена цесия. Договорното правоотношение между жалбоподателката и дружеството било прекратено на 31.08.2021 г. От тази дата до настоящия момент (14.07.2025 г.) не били възниквали нови договорни отношения. Единствената операция по обработване на лични данни от страна на дружеството се свеждала до съхранение на данни и документи за срок от пет години след прекратяване на деловите правоотношения с цел спазване на нормативни задължения, съгласно чл. 67, ал. 1 от ЗМИП. Наличните данни и документи се съхранявали в електронен вид, в защитена информационна система, поддържана в съответствие със законовите изисквания. Дружеството не съхранявало: договори с жалбоподателката, стандартни европейски формуляри и платежни нареждания. На основание чл. 15 от Регламент (ЕС) 2016/679, предоставяли достъп до всички лични данни и носители на такива, които се съхранявали към момента. Предоставената информация изчерпвала всички реално обработвани лични данни от страна на дружеството. Посочени са категориите лични данни, които дружеството е обработвало, както и обстоятелството, че ако субектът на данни е посетил интернет страницата на дружеството, то е събирана информация от „бисквитки“ и аналитична информация, която касае предпочитания на база посетените сайтове, както и IP адрес. С цел удовлетворяване правото на достъп до данните по чл. 15, ал. 3 от Регламент /ЕС/ 2016/679 за защита на личните данни, на заявителя било предоставено Удостоверение относно предоставянето на личните данни, които дружеството обработвало за жалбоподателката, което удостоверение е част от съдържанието на уведомлението. Ведно с това е изготвено Приложение № 1 към удостоверението от 14.07.2025 г., съдържащо извлечение от база данни и извлечение от документи, които съдържат личните данни, обработвани от администратора /съгласно решение по дело C-487/21 на Съда на ЕС/. С удостоверението и приложението са изпратени и копие от личната карта на жалбоподателката, копие от декларация за настоящ адрес и досие на клиент към 14.07.2025 г.

Разпечатката съдържа 24 от 51 абзаца. Пълният текст: https://pravoto.app/praktika/c5da41f9-1bc6-44c4-82d5-b92729ec5a64