Решение № 3786 от 30.09.2025, Административен съд - Стара Загора

РЕШЕНИЕ

№ 3786

Стара Загора, 30.09.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Стара Загора - VI състав, в съдебно заседание на шестнадесети септември две хиляди двадесет и пета година в състав:

Съдия:

МИХАИЛ РУСЕВ

При секретар ЗОРНИЦА ДЕЛЧЕВА като разгледа докладваното от съдия МИХАИЛ РУСЕВ административно дело № 20257240700555 / 2025 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/ във връзка с чл. 39, ал. 1 от Закона за защита на личните данни /ЗЗЛД/.

Образувано е по жалба от Р. К. Д. с постоянен адрес [населено място], подадена чрез пълномощника й адв. М. М. от Адвокатска колегия – Стара Загора, против изричен отказ от 07.05.2025 год. на длъжностното лице по защита на личните данни при „Сити кеш“ООД, с който на жалбоподателката, по повод отправено от нейна страна писмено заявление за достъп до личните й данни, които е следвало да се предоставят въз основа на влязлото в сила съдебно решение №1303/03.04.2025 год., постановено по адм. дело №7/2025 год. по описа на Административен съд Стара Загора. По повод на подадена молба от страна жалбоподателката от 04.05.2025 год., е предоставена на 05.05.2025 год. непълна информация относно обработваните данни, в резултат на което е депозирана нова молба, с конкретизиране на исканията и посочване, че между страните има поне пет сключени договора. В отговор на повторната молба на 07.05.2025 год. са получени части от първите страници на петте договора, с което се твърдяло, че са изпълнили съдебното решение.

В жалбата и в представеното становище се излагат подробни съображения по повод незаконосъобразността на постановения отказ. Твърди се, че между страните са сключени договори на хартиен носител, в няколко екземпляра, като подписи са полагани на всяка една страница. Ето защо е следвало да се представят всичките пет договора в пълнота, а не само част от първите страници. Така и с оглед непредставянето на изисканите договори за заеми се нарушавали заложените в Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета принципи на прозрачност и отчетност при обработката на лични данни, пряко относими към правото за предоставянето на всякаква информация от страна на администратора на личните данни, която информация от своя страна да послужи за извършването на ефективна проверка от страна на субекта за наличието на законосъобразно обработване на личните му данни от администратора. В тази връзка се отрича, че закрепеното в чл.15, §3 от Регламент (ЕС) 2016/ 679 на Европейския парламент и на Съвета задължение на администратора на лични данни се свежда единствено до предоставянето на копие на личните данни, но не и на конкретните документи, представляващи фактическото основание на което те се обработват и обуславящо целите на обработването. В подкрепа на изложените доводи се сочи съдебна практика в т. ч. и такава на СЕС. От съда се иска отмяна на постановения изричен отказ за предоставяне на носителите на лични данни-договори за заеми за периода от 26.11.2018 год. до 26.11.2024 год., въз основа на които се обработват личните данни на жалбоподателката, както и да бъде задължен ответника в седемдневен срок от влизане в сила на съденото решение да представи исканите документи. Претендират се сторените по делото разноски.

Ответникът по жалбата – „Сити кеш“ООД, чрез пълномощника си по делото – гл. юрисконсулт В., в представения по делото отговор с вх.№4058 от 24.06.2025 год., оспорва жалбата като неоснователна. Изложени са подробни аргументи относно общия регламент за относно защитата на данните и неговите разпоредби, като процесния отказ не може да обуслови личен, пряк и непосредствен интерес от оспорването и относно тълкуването на постановеното решение от Административен съд Стара Загора по адм. дело №7/2025 год.. Направеното тълкуване то жалбоподателката, че следва да бъдат представени в цялост исканите документи, а не само копие от същите, е недопустимо разширяване на материалния обхват на чл.15 и чл.20 от Регламент /ЕС/ 2016/79 и целта на регламента. Ето защо е неоснователно представянето на стандартните европейски формуляри, които не съдържат лични данни, както и тези които не се намират в правната и фактическата сфера на администратора, като платежни нареждания, издавани от и съхранявани в банкови институции. Според изложеното не следва да се предоставят и копията от договори, които не съдържат лични данни. Не следвало решението да се тълкува по начин, който де факто създавал ново материално право, неуредено в регламента, като задължава администратора да предоставя всякакви документи, пои8скани от субекта, дори и когато те не съдържат лични данни, не се намират във владени на администратора или биха засегнали правата на трети лица. Един от договорите вече бил предмет на исково производство по инициатива на жалбоподателката, което дело било приключило. По тази причина повторното му искане в цялост било извън правото й на достъп и на преносимост, и цели извличането на информация с цел последваща употреба извън обхвата на регламент /ЕС/ 2016/79. По тези съображения се иска жалбата да бъде оставена без уважение и претендира юрисконсултско възнаграждение за осъщественото процесуално представителство.

Въз основа на събраните по делото доказателства съдът намира за установено следното от фактическа страна:

На 27.11.2024 год., жалбоподателката Р. К. Д., чрез адвокат М. М., е подала по електронен път до „Сити кеш“ООД искане, подписано с електронен подпис, с което на основание чл.15 и чл. 20 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Регламент 2016/679/, е поискала от дружеството, в качеството му на администратор на лични данни да й предостави информация, относно това дали личните й данни са обработвани от „Сити кеш“ООД, както и целите на обработването, категориите лични данни, които се обработват, получателите и категориите получатели, пред които са разкрити тези данни, както и копие на личните данни, които са в процес на обработване за периода от 26.11.2018 год. до 26.11.2024 год. В допълнение е отправено искане всички носители на въпросните данни /договори, стандартни европейски формуляри и др./ да й бъдат предоставени за да се извърши проверка на обработването. Предоставен е електронен адрес, на който да се изпрати отговорът и документите.

На 23.12.2024 год. на посочения електронен адрес е получено писмо-отговор, с което се потвърждава, че дружеството обработва личните й данни, като копие от данните са съдържат в Приложение №1 към отговора. Посочва се, че данните са от категорията „Обработвани данни“ и „Архивирани данни“, като тези от първата група са свързани със сключен договор за потребителски кредит №1082458, а тези от втората група са във връзка с сключени договори за потребителски кредити, по които към момента жалбоподателката нямала задължения към дружеството. Видно от Приложение №1 конкретните лични данни, обработвани от „Сити Кеш“ ООД, [населено място] са сведени до трите имена на лицето, ЕГН, данни за документа за самоличност и постоянен адрес. Описани са целите на обработката на личните данни, в т. ч. за изпълнение и управление на сключени договори, получателите и категориите получатели на лични данни и третите лица, на които те се предоставят, сроковете за съхранение, правата на субекта на лични данни, източниците на лични данни, възможността за вземане на автоматизирани решения и др. Отделно внимание е обърнато на отправеното нарочно искане на Д. за осигуряване на достъп до носителите на лични данни, което искане е сведено до „…стандартни европейски формуляри..“, като е посочено, че в този документ не се съдържат лични данни на жалбоподателката, поради което изисканата информация не попадала в обхвата на заявеното право на достъп.

Това писмо е било предмет на съдебен контрол по адм. дело №7/20025 го. по описа на Административен съд Стара Загора, който с решение №1303/03.04.2025 год. е отменил изричният отказ да бъдат предоставени копие от договорите, изискани от Р. Д. и делото е върнато като преписка на „Сити кеш“ООД за ново произнасяне с дадените указания по прилагането на закона. В това решение се съдържат мотиви, че не съществува законова пречка да бъдат искани копия от договорите, като не остават ясни мотивите за постановения отказ. Решението не е било обжалвано и е влязло в сила. Спор относно това решение и влизането му в сила, не съществува спор между страните.

На 04.05.2025 год. е изпратено писмо по ел. поща от Р. Д., чрез адв. М., в която е посочено, че исканата информация във връзка с влязлото в сила решение на Административен съд Стара Загора по адм. дело №7/2025 год. може да бъде изпратена на посочената ел. поща /лист 39 от делото/. На 07.05.2025 год. е изпратен отговор, в който е посочено, че се съдържат извадки от изплатените кредити на Р. К. Д., като предоставения обем от информация и документи съответства на постановения съдебен акт. /лист 40 – 45 от делото/. Именно това писмо е предмет на съдебен контрол в настоящето производство.

Горната фактическа обстановка се установява от представената по делото административна преписка, образувана по повод искането за достъп до лични данни.

Във връзка със служебно изискана от съда информация, по делото е постъпило писмо с изх. №ППН-01-713#1 от 28.05.2025 год. на П. на КЗЛД, в което е удостоверено, че към 27.05.2025 год. пред Комисията за защита на личните данни не е налице висящо или приключило административно производство, инициирано от Р. К. Д. срещу „Сити кеш“ООД.

При така установените по делото факти съдът направи следните правни изводи:

Приложимата към процесния казус нормативна уредба се съдържа в Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните/, както и в Закона за защита на личните данни.

Съгласно легалното определение на §1, т.1 и т.4 от ДР на ЗЗЛД, по смисъла на този закон „лични данни“ e понятието по чл.4, т.1 от Регламент /ЕС/ 2016/679, а „обработване“ е понятието по чл.4, т.2 от Регламент /ЕС/ 2016/679. Според чл.4, §1 от регламента „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано /“субект на данни“/; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. §2 на чл.4 от регламента гласи, че „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

В §1, т.2 от ДР на ЗЗЛД е предвидено, че по смисъла на този закон „администратор“, с изключение на администратора по глава осма, е понятието по чл.4, т.7 от Регламент /ЕС/ 2016/679, а съгласно т.3 от §1 на ДР на ЗЗЛД „обработващ лични данни“ е понятието по чл.4, т.8 от регламента. Съответно според чл.4, §7 и §8 от Регламент /ЕС/ 2016/679 „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. „Обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.