Решение № 11310 от 15.12.2025, Административен съд - Пловдив

РЕШЕНИЕ

№ 11310

Пловдив, 15.12.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Пловдив - XI Състав, в съдебно заседание на двадесети ноември две хиляди двадесет и пета година в състав:

Съдия:

МИЛЕНА НЕСТОРОВА – ДИЧЕВА

При секретар Д. Й. като разгледа докладваното от съдия МИЛЕНА НЕСТОРОВА – ДИЧЕВА административно дело № 20257180702134 / 2025 г., за да се произнесе взе предвид следното:

Делото е образувано по жалба на М. Б. Б., [ЕГН], [населено място], [улица], чрез адв.М., против изричен отказ на „Ай тръст“ЕООД по заявление от 12.08.2025 г. да се предостави информация за обработваните лични данни на жалбоподателката, както и техните носители.

Иска се отмяна на отказа като се излагат доводи, че незаконосъобразно не са предоставени копия от исканите документи, които съдържат лични данни на жалбоподателката.

Представя се и писмена молба от адв.М. с изложени подробни доводи по така заявената теза като се поддържа жалбата с аргументи, че не са предоставени исканите носители на лични данни в тяхната цялост.

Претендират се разноски.

За ответника се взема становище за недопустимост, алтернативно неоснователност на жалбата с доводи, че за изпълнение на задължението по чл.15 GDPR е достатъчно администраторът да предостави извлечение от носителите на личните данни, в частта, в която се съдържат самите лични данни.

Претендира се юрисконсултско възнаграждение.

Съдът, като взе предвид събраните по делото доказателства (представената административна преписка) и изложените от страните доводи, намира за установено следното:

Жалбата е процесуално допустима, като подадена от лице, което счита, че не е изпълнено искането му по реда на чл. 15 и чл. 20 от Регламент 2016/679 за предоставяне на копие на документи, съдържащи лични данни, които са в процес на обработване. Поискано е да се предоставят данните, както и копие на всички носители на лични данни на Б. като именно по повод на неудовлетворяването на това ѝ искане се формира и предмета на спора (непредоставянето на носителите на личните данни в тяхната цялост).

По делото не се спори, че е изпратен отговор от длъжностно лице по защита на личните данни при ответника, в който се потвърждава, че ответникът обработва определен обем лични данни на жалбоподателя. Ведно с отговора са изпратени и копия от част от договори, в които се съдържат обработваните лични данни. Съгласно чл. 15, пар. 3 от Регламент 2016/679 са предоставени копия на личните данни, които се обработват под формата на извлечение от съдържанието на съответните документи, в които тези данни фигурират.

Жалбоподателят остава недоволен от така изготвения отговор, който оспорва. Счита, че не е изпълнено задължението на обработващия да предостави носителите на данни в тяхната цялост, които са изрично поискани. Последното е и предмет на производството.

Не е спорно, че между жалбоподателя и ответника са възникнали облигационни отношения по силата на договор за поръчителство, като оспорващият е субект, чиито лични данни са обработвани от дружеството – ответник и в това си качество има право на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Регламент 2016/679). Ответникът попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679, съгласно която "администратор" означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Предвид горното, за ответното дружество, като администратор на лични данни, е съществувало нормативно установено задължение да се произнесе по подаденото от жалбоподателя искане, като с оглед разпоредбата на чл. 12, § 3 от Регламент 2016/679, информация относно действията, предприети във връзка с искане по членове 15-22, е следвало да бъде предоставена без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Именно в този срок администраторът на лични данни се е произнесъл по искането, като не е предоставил копие от наличните договори, а извлечение от документите, съдържащо лични данни. Непредоставянето на копията на документите е и предмет на настоящото производство.

Съдът намира, че така формираният отказ е издаден от компетентен орган - длъжностното лице по защита на личните данни при „Ай тръст“ЕООД.

В хода на проведеното производство не се твърди и не се установява да са допуснати нарушения на процесуалните правила.

Спорният по делото въпрос е дали при отправено искане на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679 за предоставяне на информация относно обработването на лични данни, администраторът на лични данни дължи предоставяне и на самите носители на тези данни.

Според чл. 4, параграф 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, параграф 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Според § 1 на чл. 12 от Регламент 2016/679, "администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства", а с чл. 12, параграф 2 от Регламент 2016/679 е вменено задължение на администратора на лични данни да съдейства за упражняването на правата на субекта на данните по членове 15—22.

Според разпоредбата на чл. 15, § 1 от Регламент 2016/679, субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация: целите на обработването; съответните категории лични данни; получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации; когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок; съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване; правото на жалба до надзорен орган; когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник; съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.

Чл. 15, § 3 от Регламент (ЕС) 2016/679 предвижда, че администраторът предоставя копие от личните данни, които са в процес на обработване.

Тези разпоредби следва да се тълкуват и във връзка с чл. 8, § 2 от Хартата на основните права на Европейския съюз, според който всеки има право на достъп до събраните данни, отнасящи се до него.

В случая, жалбоподателят е отправил надлежно искане по чл. 37б от ЗЗЛД до ответника, в качеството му на администратор на лични данни. Искането е свързано с упражняване на права по чл. 15 от Регламент 2016/679 и по силата на чл. 15, § 3 от Регламент 2016/679, администраторът е длъжен да предостави копие от обработваните от него лични данни на заявителя.

Настоящият съдебен състав намира за неоснователен довода на ответника, че субектът на данни има единствено правото да получи копие от обработваните лични данни, каквото му е предоставено, като правото по чл. 15 от Регламент (ЕС) 2016/679 не включва получаването на копия от документи. В тази връзка следва да се има предвид, че според т. 21 от Решение от 04.05.2023 г. на СЕС по дело С-487/21, доколкото в ОРЗД не е дадено определение на така използваното понятие "копие", следва да се отчете обичайното значение на това понятие, което съгласно заключението на генералния адвокат (т. 30), обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработка или препращането към категории лични данни не би отговаряло на това определение. В т. 23 от същото решение на СЕС е посочено, че употребата на израза "всяка информация" в определението на понятието "лични данни", залегнало в тази разпоредба, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че засяга съответното лице. В решението на СЕС се сочи също, че чл. 15, § 3, изр. първо от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че правото да се получи от администратора копие от личните данни, които са в процес на обработване изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като в това отношение трябва да се вземат предвид правата и свободите на други лица.

В Решение от 22.06.2023 г. на СЕС по дело С-579/21, т. 45 е посочено, че широкото определение на понятието "лични данни" обхваща не само данните, събрани и съхранявани от администратора, но и всяка информация, резултат от обработване на лични данни, които засягат лице, което е идентифицирано или може да бъде идентифицирано. В точки 63- 66 от същото решение на СЕС се сочи следното: "Що се отнася по-конкретно до съобщаването на цялата тази информация чрез предоставянето на журналните файлове за разглежданите в главното производство операции по обработване, следва да се отбележи, че чл. 15, параграф 3, първо изречение от ОРЗД гласи, че администраторът "предоставя копие от личните данни, които са в процес на обработване". В това отношение Съдът вече е постановил, че така използваното понятие "копие" обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които cа в процес на обработване или препращането към категории лични данни не би отговаряло на това определение. От текста на член 15, параграф 3, първо изречение от този регламент следва също, че задължението за съобщаване се свързва с личните данни, които са предмет на разглежданото обработване. Копието, което администраторът е длъжен да предостави, трябва да съдържа всички лични данни, които са в процес на обработване, да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно да възпроизвежда изцяло и точно тези данни. За да се гарантира, че така предоставената информация е лесна за разбиране, както изисква чл. 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост. По-специално, когато лични данни са генерирани от други данни или когато такива данни са следствие от празни полета, т. е. няма насоки, които да разкриват информация за субекта на данните, контекстът, в който се обработват тези данни, е задължителен елемент, който позволява на субекта на данните да разполага с прозрачен достъп и разбираемо представяне на тези данни. " В горния смисъл е и Решение от 26.10.2023 г. на СЕС по дело С-307/22, FT v. DW, т. 73-76, в което се казва: "Накрая, що се отнася до целите, преследвани с член 15 от ОРЗД, той има за цел да укрепи и уточни правата на субектите на данни. Така предвиденото в тази разпоредба право на достъп трябва да позволи на субекта на данните да провери дали свързаните с него лични данни са точни и дали се обработват законосъобразно. Освен това, копието от личните данни, които са в процес на обработване, което администраторът е длъжен да предостави съгласно чл. 15, параграф 3, първо изречение от ОРЗД, трябва да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно трябва да възпроизвежда изцяло и точно тези данни. По-специално, за да се гарантира, че предоставената от администратора информация е лесна за разбиране, както изисква чл. 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, които в частност съдържат личните данни в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост. Ето защо, правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, които в частност съдържат посочените данни, ако представянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права“.