Решение № 5052 от 04.06.2025, Административен съд - Пловдив

РЕШЕНИЕ

№ 5052

Пловдив, 04.06.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Пловдив - III Състав, в съдебно заседание на двадесет и втори май две хиляди двадесет и пета година в състав:

Съдия:

ЛЮБОМИРА НЕСТОРОВА

При секретар МАРИЯНА ГЕОРГИЕВА-ПЕЙНИРОВА като разгледа докладваното от съдия ЛЮБОМИРА НЕСТОРОВА административно дело № 20257180700490 / 2025 г., за да се произнесе взе предвид следното:

Производството е по реда на чл.39 ал.1 от Закона за защита на личните данни /ЗЗЛД/ във връзка с чл.145 и следв. от Административнопроцесуалния кодекс /АПК/.

Образувано е по жалба на М. В. Г. с [ЕГН], с адрес: [населено място], [улица], ***, депозирана чрез адвокат П., против изричен отказ на дружеството „КРЕДИРЕКТ“ ЕООД, обективиран в съобщение от 10.03.2025г., изпратено по електронната поща marina_8910@[интернет адрес], да предостави информация за обработваните лични данни на М. В. Г., ведно с копие на носителите на тези лични данни – договор за потребителски кредит, сключен между М. В. Г. и „КРЕДИРЕКТ“ ЕООД.

В първоначалната жалба /л.2 по делото/ са изложени съображения за незаконосъобразност на отказа и се иска неговата отмяна. Поддържа се, че с отказа се възпрепятства правото на оспорващия по чл. 8, параграф 2 от Хартата на основните права на Европейския съюз, да получи ясна представа за това дали данните му са обработвани добросъвестно, за точно определени цели и въз основа на съгласието му или по силата на друго предвидено от закона легитимно основание.

След изричните указания дадени от съда с Определение № 2836 от 25.03.2025г, с уточняващата жалба /л. 22 по делото/ се оспорва вече изричен отказ и се иска „КРЕДИРЕКТ“ ЕООД да предостави информация за обработваните лични данни на М. В. Г., ведно с копие на носителите на тези лични данни – договор за потребителски кредит, сключен между М. В. Г. и „КРЕДИРЕКТ“ ЕООД.

Иска се присъждане на сторените в съдебното производство разноски.

Ответникът – „КРЕДИРЕКТ“ ЕООД с ЕИК *********, с адрес: [населено място],[улица], *, чрез процесуалния си представител – юрисконсулт В., изразява становище относно първоначално оспорения мълчалив отказ. Претендира отхвърляне на жалбата и юрисконсултско възнаграждение.

Според публично достъпните данни, отразени от Регистър на финансовите институции по чл. 3а от Закона за кредитните институции ЗКИ) (https://www.bnb. bg/RegistersAndServices/RSFIRegister/index. htm), актуални към 06.2025г., предмет на дейност на „КРЕДИРЕКТ“ ЕООД е отпускане на кредити със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства съгласно ЗКИ, дейности по чл. 2 ал.2 т.7 и 12 от Закона за кредитните институции – гаранционни сделки и дейности по придобиване на вземания по кредити или дейност, представляваща друга форма на финансиране (факторинг, форфетинг и други), както и всяка друга дейност незабранена от закона. КРЕДИРЕКТ ЕООД е вписана в регистъра на Българска народна банка (БНБ) и като такова има право да извършва финансови дейности на територията на Република България.

Дружеството има качеството на финансова институция по смисъла на чл. 3, ал. 1 от ЗКИ, извършваща дейност на територията на Република България и насочена към широк кръг потребители, и в това си качество създава, съхранява и обработва в процеса на дейността си данни на ползвателите на услугите по чл. 3, ал. 1, т. 3 от ЗКИ, които са лични данни по смисъла на член 4, алинея 1 от ОРЗД.

Договорът за кредит, касае лични данни по смисъла на член 4, точка 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (вж. Определение № 2713 от 15.03.2023 г. на Върховен административен съд по адм. д. № 1745/2023 г.) Съобразно установената съдебна практика (Решение № 7101 от 28.06.2023 г. на ВАС по адм. д. № 1825/2023 г., V о.), нормата на чл. 39 от ЗЗЛД не въвежда като условие за допустимост на съдебния контрол задължителното провеждане на производство по административен контрол върху действия и актове на администратора и на обработващия лични данни. С. З. за защита на личните данни е предоставена възможност на субекта на лични данни да прецени по кой ред ще защитава нарушените си права по Регламент (ЕС) 2016/679 и по този закон. Забрана за сезиране на съда е поставена, само когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. В случая такива данни не са налице, поради което уточняващата жалба като подадена в предвидения процесуален срок, при наличието на правен интерес срещу акт, подлежащ на съдебен контрол, се явява ДОПУСТИМА.

Съдът установи следното от фактическа страна:

На 10.02.2025г. М. В. Г. е подала молба с вх. № 2615 до „КРЕДИРЕКТ“ ЕООД на основание чл. 15 и чл. 20 от Регламент (ЕС) 2016/679, в качеството й на субект, на когото се обработват лични данни, да й бъдат предоставени копия от всички Договори за потребителски кредит, сключен между нея и „КРЕДИРЕКТ“ ЕООД в периода 22.01.2022 г. до 22.01.2025 г. Претенцията била мотивирана с това, че тези договори съдържат лични данни на кредитополучателя и те се обработват на основание сключеното облигационно правоотношение. Изрично в искането било посочено и желанието да бъдат предоставени и копия от тези договори, а алтернативно на основание чл. 20 от Регламент (ЕС) 2016/679, в случай че не може да се предостави тази информация, то това да бъде сторено на основание чл. 11, ал. 1, т. 12 от Закона за потребителския кредит. Посочен е и адрес, на който да бъдат предоставени договорите.

На 10.03.2025г. до М. Г. е изпратен по електронната поща marina_8910@[интернет адрес] отговор от „КРЕДИРЕКТ“ ЕООД, с който е уведомена за категорията на обработваните лични данни, целта на обработване, категориите получатели на личните данни и условията за разкриване на личните данни, както и срока за съхранение на личните данни. Към отговора било представено и Приложение № 1, в което били посочени личните данни на М. Г., които са предмет на обработване във връзка с кредитните му взаимоотношения с доставчика на финансови услуги.

Относно искането за предоставяне на копия от сключените договори, в отговора от 10.03.2025г. от „КРЕДИРЕКТ“ ЕООД е заявено следното: „ Вие имате право да получите от Нас само данните, които сте ни предоставили и ние обработваме по автоматичен начин, като изрично посочите новият Администратор, на който същите заявявате да бъдат предадени. С оглед на изричното искане за получаване на материалния субстрат на документите, Ви информираме, че предмет на право на достъп са само данни, които се обработват по автоматичен начин и се прехвърлят по същия начин на новия Администратор.

Относно посоченото от Г. искане на основание на чл. 11, ал. 1, т. 12 от ЗПК е отговорено, че същото е извън обхвата на заявено право на достъп.

Отговорено е още, че Общите условия по договорите за кредит не съдържат лични данни и в тази връзка не са в обхвата на заявеното от Г. право, с оглед на обстоятелството, че Г. не може да бъде идентифицирана от дружеството и/или друг субект по тях. Същите не подлежат на проверка от страна на молителката, а при евентуален спор, същите се разглеждат по гражданскоправен ред от компетентния български съд.

С оглед установените факти Съдът формира следните правни изводи:

Между страните не се спори по обстоятелството, че жалбоподателят е отправил искане до „КРЕДИРЕКТ“ ЕООД, с предмет право на достъп до обработваните лични данни във връзка със сключени между тези страни договори за кредит. Не се спори и по факта, че освен информацията за обработваните лични данни в искането е било заявено и изрично желание на Г. за получаване на копия от сключените договори за кредит.

Не се спори и по обстоятелство, че с оглед дейността на „КРЕДИРЕКТ“ ЕООД дружеството попада в хипотезата на определението по чл. 4, т. 7 от Регламент 2016/679 за "администратор" на лични данни - физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка.

Не се спори и по обстоятелство, че между М. Г. и „КРЕДИРЕКТ“ ЕООД съществуват облигационни отношения, произтичащи от сключени между страните договори за кредит. Договорите не са представени по делото въпреки изричните указания на съда, дадени с Определение № 2169 от 06.03.2025г. При липса на спор Съдът приема за доказано, че жалбоподателката е субект, чийто лични данни са обработвани от „КРЕДИРЕКТ“ ЕООД, следователно има право като субект на това обработване на достъп до обработваните му от администратора лични данни, съгласно чл. 15 от Регламент 2016/679.

Според чл. 4, § 1 от Регламент 2016/679, "лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано ("субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице".

Съгласно чл. 4, § 2 от Регламент 2016/679, "обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Нормата на чл. 37б, ал. 1 от ЗЗЛД регламентира, че субектът на данни упражнява правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин.

Нормата на чл. 15 от Регламент 2016/679 предвижда "право на достъп на субекта на данните", като в параграф 1 е заложено, че "субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните... ".

Достъпът до обработваните лични данни, съгласно чл. 15, параграф 3 от Регламент 2016/679, се предоставя от администратора чрез копие от личните данни, които са в процес на обработване.

В случая отправеното от жалбоподателката искане до „КРЕДИРЕКТ“ ЕООД има характер на заявления по смисъла на чл. 37б, ал. 1 от ЗЗЛД. В молбата с вх. №2615 от 10.02.2025г. /л.15 по делото/ са били попълнени реквизитите по чл. 37б, ал. 2 от ЗЗЛД, посочено е като предпочитана форма за получаване на информация при упражняване на правата по чл. 15 – 22 от Регламент (ЕС) 2016/679 предоставянето на копия от сключените договори за кредит.

Следва да се изясни, че ако ответникът като администратор на лични данни е имал съмнение с каква цел е заявено искането на жалбоподателката за представяне на копия от сключените с нея договори за кредит, е следвало да процедира по реда на чл. 12§ 2 от Регламент 2016/679 - "Администраторът съдейства за упражняването на правата на субекта на данните по членове 15 - 22. В случаите, посочени в член 11, параграф 2, администраторът не отказва да предприеме действия по искане на субекта на данните за упражняване на правата му по членове 15-22, освен ако докаже, че не е в състояние да идентифицира субекта на данните". В случая, от съдържанието на отговора от 10.03.2025г., се установи, че за администратора не е имало никаква пречка да идентифицира подателя на заявлението, предмета на искането и заявената форма за достъп до обработваните лични данни.