Решение № 360 от 15.1.2025 г. на ВАС по адм. д. № 9680/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП) против решение 7478/04.06.2024 г. постановено по адм. д. 5181/2021 г. по описа на Административен съд София-град (АССГ), в частта с която НАП е осъдена да заплати на Г. В. Н. сумата от 500 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 ЗЗЛД и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата и в частта с присъдените разноски. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Иска решението да бъде отменено. Подробни съображения в подкрепа на доводите излага касационната жалба и в открито заседание. Претендира разноски за юрисконсултско възнаграждение. Ответникът Г. В. Н. оспорва касационната жалба по съображения в писмен отговор и писмена молба. Претендира разноски по представен списък. Представителят на Върховната прокуратура заявява становище за основателност на касационната жалба. Върховният административен съд, Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е основателна по следните съображения: Първоинстанционното производство е образувано по иск с правно основание чл. 82, § 1 вр. § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/ Регламент(ЕС) 2016/679/ ОРЗД), разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Г. Н. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили вследствие на незаконосъобразно бездействие от страна на НАП да изпълни задължението си да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищцата, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните ѝ данни. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 4926/23.09.2020 г. по адм. дело 11222/2019 г. на АССГ, с решение 5961/18.05.2021 г. по адм. дело 11513/2020 г. на Върховния административен съд (ВАС), трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента, и е дал задължителни указания до съда за конкретно разпределение на доказателствената тежест между страните. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 вр. § 2 от Регламента. Изложени са обвързващи мотиви за липса на относимост към спора на чл. 59 от Закона за защита на личните данни (ЗЗЛД), който се намира в Глава осма от ЗЗЛД относно правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, респективно неотносими към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. В изпълнение на дадените указания, при повторното разглеждане на спора АССГ с протоколно определение от 21.09.2021 г. е разпределил доказателствената тежест между страните като е дал указания, че в тежест на ищцата е да докаже претърпяването на негативни преживявания, които да са вследствие на нерегламентираното разпространение на нейните лични данни. На ответника е указано, че е в негова тежест да представи доказателства относно причината, довела до нерегламентираното разпространение на лични данни, както и дали преди датата на нерегламентиран достъп на НАП е извършван контрол на сигурността и защитата на поддържаните бази данни и възможно ли е била с оглед напредъка на техническия прогрес нерегламентираното разпространение да бъде предотвратено. На ответника НАП са дадени и указания съгл. чл. 82, § 3 ОРЗД, че е в негова тежест да докаже с всички допустими доказателствени средства, че нерегламентирания достъп не се дължи на нарушение на Регламент (ЕС) 2016/679, респ. че е направил всичко възможно да бъде предотвратяван нерегламентирания достъп с оглед на достиженията на техническия прогрес и анализ на рисковете. С оглед на така разпределената доказателствена тежест и ищецът и ответникът не са ангажирали нито писмени, нито гласни доказателства, въпреки дадените изрични указания от съда. Производството по делото е спряно до постановяване на Решение от Съда на Европейския съюз по дело С-340/2021, образувано по отправено преюдициално запитване от Върховния административен съд по адм. д. 1037/2021 г. Производството е възобновено след постановяване на решението от 14.12.2023 г. на трети състав на СЕС и решението на АССГ е постановено при съобразяване с дадените задължителни тълкувания. За да постанови атакуваното пред настоящата инстанция решение, АССГ е приел от правна страна, че предявеният осъдителен иск е с правно основание чл. 82, § 1 от ОРЗД, във вр. с чл. 59 от ЗЗЛД, чл. 203 АПК, във вр. чл. 1, ал. 1 от ЗОДОВ, а ответникът НАП, в качеството му на администратор на лични данни по смисъла на § 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, предвид представените доказателства, не е изпълнил задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Съдът е достигнал до извод, че ответникът НАП, в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения и вменени му с вменено му от чл. 59, ал. 1 от ЗЗЛД. По отношение на втората предпоставка претърпени неимуществени вреди от Г. Н., АССГ е приел, че такива са налице и същите са доказани с оглед събраните гласни доказателства по адм. д. 11222/2019 г. по описа на АССГ. Относно наличието на третата предпоставка причинно-следствена връзка между вредите и противоправното бездействие, съдът е приел, че такава е налице поради доказаните претърпени неимуществени вреди, вследствие на установеното незаконосъобразно фактическо бездействие на администратора. По тези съображения съдът е осъдил НАП да плати на ищцата Г. Н. сумата от 500 лв. обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане, както и за разноски по делото за държавни такси и адвокатско възнаграждение. Така постановеното съдебно решение е валидно и допустимо, но неправилно. Неправилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на решение Съда на Европейския съюз (СЕС) от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е посочено, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. Връщането на делото за ново разглеждане от друг състав на първоинстанционния съд е в резултат на съществено процесуално нарушение при разглеждане и решаване на спора на първа инстанция, поради което процесуалните действия, извършвани пред съда при първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените ѝ изрични указания при новото разглеждане да докаже настъпването на претендираните вреди, ищцата не се е справила с възложената ѝ доказателствената тежест и не е ангажирала нито писмени, нито гласни доказателства. От ангажираните писмени доказателства от първоначалното разглеждане на спора пред съда- извадка от получен SMS със съдържание: НАП: По заявка номер 5227 ИМА неправомерно разкрити лични данни и справка от НАП със съдържани За идентификатор 7101137057 има разпространени данни, които включват: ЕГН и имена, данни от декларации, подадени от работодатели/осигурителите за осигурените от тях лица (декларация обр. 1 от Наредба Н8) за период 2008 г. и данни от справка за изплатени доходи на физически лица (чл. 72 от ЗДДФЛ) за 2010 и 2013 г. , се доказва нерегламентираното разпространение на личните данни на ищцата, както и техния обем. Съобразявайки свидетелските показания, събрани при първоначалното разглеждане на спора, АССГ е допуснал процесуално нарушение и фактическите установявания въз основа на тях са необосновани. Следователно от допустимите доказателства не се установяват факти, което да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. Следва да се отбележи, че неправилно първоинстанционният съд е обсъждал твърдените от ищеца нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Като е достигнал до противоположен правен извод и е определил по справедливост обезщетение за неимуществени вреди АССГ е постановил неправилно решение, което подлежи на отмяна в тази част, а вместо него трябва да бъде постановено друго, с което да бъде отхвърлен иска и за присъдените от първата инстанция 500 лв. Останалата част на съдебното решение, с която е отхвърлен иска до пълния предявен размер на претендираното обезщетение не е предмет на касационен контрол като необжалвана от страната, за която е неблагоприятна. С оглед промяната в окончателния изход на спора обжалваното съдебно решение следва да бъде отменено и в частите относно присъдените на всяка от страните разноски по делото, а претендираните и направени от НАП разноски за всички инстанции за представителство от юрисконсулт, общо в размер на 400 лв. (по 100 лв. за юрисконсултско възнаграждение за всяка една от съдебните инстанции) трябва да бъдат възложени изцяло в тежест на Г. Н.. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение