Решение № 2299 от 6.3.2025 г. на ВАС по адм. д. № 10378/2024 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частите от решение 11657/11.07.2024 г. по адм.дело 5395/2021 г. на Административен съд София град, с които НАП е осъдена да заплати на А. Т. Х. сумата от 500 лева, представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата, осъдена е НАП да заплати на А. Т. Х. сумата от 22,50 лв. и на адв. И. В. Юруков сумата от 800 лева на основание чл.38, ал.2 от Закона за адвокатурата. Касаторът поддържа в касационната жалба и в съдебно заседание чрез процесуален представител, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, отхвърляне на иска, присъждане на юрисконсултско възнаграждение и разноски в полза на НАП по списък за всички съдебни инстанции. Ответникът по касационна жалба - А. Т. Х., в писмен отговор и писмена молба, чрез процесуални представители, иска оставяне на решението в обжалваните части в сила и присъждане на разноски по списък. Представителят на Върховна касационна прокуратура изразява становище за основателност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по съществото й, съдът взе предвид следното: С решение 6542/01.06.2021 г. по адм. дело 9340/2020 г. на Върховния административен съд, трето отделение е отменено решение 4291/30.07.2020 г. по адм.дело 13676/2019 г. на Административен съд София град и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищеца правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. АССГ при новото разглеждане на делото е приел, че искът е допустим и частично основателен. АССГ намира, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 от ОРЗД. Счита, че е осъществена и доказана и втората предпоставка за ангажиране на отговорността на НАП, а именно претърпяната вреда от ищеца от незаконосъобразното бездействие на агенцията, както и наличието на причинно - следствена връзка между настъпилите неимуществени вреди за ищеца и установеното незаконосъобразно фактическо бездействие на ответника. Изложил е съображения, че за да е основателен предявеният иск за обезщетение следва да са налице следните предпоставки: 1. Нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679; 2. Причинена материална или нематериална вреда; 3. Причинна връзка между нарушението на правата по регламента и причинената вреда. За да уважи частично иска е приел, че и трите предпоставки са налице. Решението е неправилно по следните съображения: Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на чл. 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно първоинстанционният съд е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Цитираната разпоредба е неотносима към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Разпоредбата на чл. 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, параграф 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В т. 1 от диспозитива на решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези чл. 24 и чл. 32. В т. 5 от диспозитива на решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че чл. 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т.10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Неправилно съдът е приел, че са налице втората и третата предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че чл. 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая липсват събрани доказателства за преживени негативни емоции, твърдени в исковата молба. По делото не е разпитан свидетел нито в първата първа инстанция, нито във втората първа инстанция относно твърдените негативни емоции на ищеца от изтичането му на личните данни. В този смисъл възражението на ответника, че след като е разпитан свидетел в първата първа инстанция, същият не следва да бъде разпитван повторно, не кореспондира със събраните по делото доказателства поради горецитираната липса на подобно доказателствено средство и в двете производства пред АССГ. По изложените съображения решението в обжалваната част като неправилно следва да се отмени и се постанови ново, с което предявеният от Х. иск като недоказан по основание и размер се отхвърли. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на сторените разноски за държавна такса за касационна жалба пред ВАС в размер на 70лв., както и юрисконсултско възнаграждение за всички съдебни инстанции. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да се бъде определен в размер на 400 лв. или юрисконсултско възнаграждение по 100лв. за всяка от съдебните инстанции, общо разноски в размер на 470лв. С оглед изхода на спора няма правна възможност за уважаване на исканията на ответника по касация за присъждане на разноски и адвокатско възнаграждение на оказалия му безплатна правна помощ адвокат. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ АПК, Върховният административен съд, пето отделение