Решение № 5756 от 13.5.2021 г. на ВАС по адм. д. № 971/2021 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от В. К. - Х. чрез адв.С. Ю. срещу решение 6799 от 27.11.2020 г., постановено по административно дело 11207/2019 г. от Административен съд София-град, с което е отхвърлен предявеният от нея иск за присъждане на обезщетение в размер на 1000 лв. за претърпени неимуществени вреди в периода 15.07.2019 г. до 16.09.2019 г. (датата на предявяване на иска), вследствие незаконосъобразно бездействие на Националната агенция за приходите, ведно със законната лихва, считано от 15.07.2019г. до окончателното изплащане на сумата. Твърди се, че решението е неправилно, поради нарушение на материалния зокон, съществено нарушение на съдопроизводствените правила и необоснованост - касационни основания по чл. 209, т. 3 АПК. По подробно развити доводи в касационната жалба се иска отмяната му и постановяване на ново по съществото на спора, с което предявения от касаторката иск бъде уважен. Претендира присъждане на съдебно - деловодни разноски, съгласно приложен списък по чл.80 ГПК. Ответникът по касационната жалба Национална агенция за приходите (НАП), чрез процесуален представител в представен писмен отговор и в съдебно заседание, оспорва същата и моли съда да постанови решение, с което да я отхвърли като неоснователна. Претендира присъждане на юрисконсултско възнаграждение. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Касационната жалба е подадена в срока по чл.211, ал.1 АПК, от страна за която съдебният акт е неблагоприятен, поради което е процесуално допустима. Разгледана по същество, същата е основателна по следните съображения: Предмет на разглеждане пред АССГ е предявен иск с правно основание чл.82, ал.1 от Регламент /ЕС/2016/679 на Европейския парламент и на Съвета, разгледан по реда на чл.203 от АПК във вр. чл.39, ал.2 от Закона за защита на личните данни и чл.1, ал.1 от Закона за отговорността на държавата за вреди, като се претендира обезщетение за неимуществени вреди в размер на 1000лв., настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищцата като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните данни на ищцата. За да се произнесе по спора, АССГ е приел за общоизвестен фактът за оповестена на 15.07.2019г. от страна на медиите "хакерска атака", при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани, поради което според съдът е налице противоправно деяние. Според АССГ обаче това противоправно поведение е извършено от трети лица и не презюмира противоправно поведение на администратора на лични данни - НАП, изразявящо се в бездействие да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни. Съдът е изложил съображения, че в тежест на ищцата е да посочи кои са тези конкретни деяния, реализирани чрез фактически /технически/ действия, които е следвало да извърши НАП или длъжностни лица при нея, но не ги е извършила или ги е извършила лошо, така че е настъпил или е допринесено за настъпването на противоправния резултат - неоторизиран достъп. Съдът е установил, че за доказване изпълнението на задълженията си, произтичащи от Регламента и закона от страна на ответника са представени доказателства за предприетите от НАП организационни мерки в изпълнение на задълженията си в качеството си на администратор на лични данни по смисъла на § 1, т. 2 от ДР ЗЗЛД във вр. с чл. 4, т. 7 от Регламента по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и аналогичните такива, предвидени в чл. 24 от Регламента, като са представени утвърдени Политика по информационната сигурност на НАП от 2016 г. и Политика по защита на личните данни в НАП, утвърдени от изпълнителния директор на НАП. Представена е и заповед ЗЦУ - 1436 от 15.10.2018 г. на изпълнителния директор на НАП, с която в изпълнение на изисквания на Наредбата за общите изисквания за мрежова и информационна сигурност са утвърдени указания за разработване, попълвани и/|или зареждане с данни на образци на документи и приложения, утвърдени въз основа на ЗНАП и други указания във връзка с обозначаване и работа с информацията, попълване на образци и др. Тези документи според съда не са оспорени от ищцата, поради което твърдението й, че същите не установяват фактическото изпълнение на предписаните мерки остава недоказано, поради проявената от страната процесуална пасивност, въпреки дадените указания от съда в тази насока във връзка с разпределение на доказателствената тежест. Предвид горното, съдът е приел, че не е налице първият елемент от фактическия състав на отговорността по чл.1, ал.1 от ЗОДОВ. Недоказано според съдът е останало и твърдението на ищцата за претърпени неимуществени вреди, изразявящи се в притеснение, страх и възможна злоупотреба с личните й данни, станали достъпни вследствие на т.нар. "хакерска атака" и причинно следствената връзка между тях. От показанията на разпитания по делото свидетел и другите доказателства по делото, съдът е приел за недоказано реалното настъпване на конкретни неимуществени вреди. Изложени са съображения за недоказаност на факта, как установения неправомерен достъп до базата данни на НАП и публичното им оповестяване се е отразил върху живота на ищцата - дали е засегнато самочувствието й, самооценката й, работата й, отношенията й в семейството, с близки и приятели, здравословното й състояние и т.н. Доколкото по делото не е установено незаконосъобразно бездействие от страна на ответника, както и настъпили вреди, според съдът е безпредметно да бъде обсъждана причинна връзка между тях, поради което е приел, че същата не е налице. По тези съображения, съдът е отхвърлил предявения иск. Обжалваното решение е валидно и допустимо постановено е от компетентен съд след предявен иск по реда на чл. 203, ал. 2 във вр. с ал. 1 АПК от лице, имащо право на защита по чл. 79, §. 1 от Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламента), като съгласно § 2 на цитирания текст производствата се образуват пред съдилищата в държавата членка, в която администраторът или обработващият лични данни има място на установяване. В тази насока е и разпоредбата на чл. 39 ЗЗЛД, предвиждаща, че при нарушаване на правата му по Регламента и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс, като в това производство субектът на данни (какъвто е ищеца) може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни. Ооснователен е наведеният довод за постановяване на решението при допуснати нарушения на съдопроизводствените правила. С разпореждане от 26.06.2020г. първоинстанционният съд е указал на страните доказателствената тежест, която имат в това производство, но същата е неправилно разпределена. Неправилно е указано на ищцата, че в нейна тежест е да докаже незаконосъобразно бездействие на ответника. Твърдяното бездействие по своята същност представлява отрицателен факт, въведен в процеса чрез твърдението на ищцата, поради което страната която твърди обратното, носи доказателствена тежест да установи по положителен начин тези обстоятелства, които доказват нейното твърдение и изключват твърдението на насрещната страна. Въпреки неправилно разпределената доказателствена тежест, ответника е представил доказателства, с които се е опитал да докаже предприетите от него технически и организационни мерки за обработването на личните данни в съответствие със закона, които обаче неправилно са ценени от първоинстанционния съд. От страна на ответника са представени доказателства за предприетите от НАП организационни мерки в изпълнение на задълженията си в качеството си на администратор на лични данни по смисъла на § 1, т. 2 от ДР ЗЗЛД във вр. с чл. 4, т. 7 от Регламента по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и аналогичните такива, предвидени в чл. 24 от Регламента, като са представени утвърдени Политика по информационната сигурност на НАП от 2016 г. и Политика по защита на личните данни в НАП, утвърдени от Изпълнителния директор на НАП. Представена е и заповед ЗЦУ - 1436 от 15.10.2018 г. на изпълнителния директор на НАП, с която в изпълнение на изисквания на Наредбата за общите изисквания за мрежова и информационна сигурност са утвърдени указания за разработване, попълвани и/|или зареждане с данни на образци на документи и приложения, утвърдени въз основа на ЗНАП и други указания във връзка с обозначаване и работа с информацията, попълване на образци и др. Липсват доказателства относно предприетите от НАП технически мерки, предвидени в цитираните по горе разпоредби на ЗЗЛД и Регламента, предвиждащи при отчитане естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица да прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този закон, респективно на Регламента, като и в двата случая е предвидено, че при необходимост тези мерки се преразглеждат и актуализират. По делото е разпитан един свидетел, който е установил, че ищцата след установяване на факта, че личните й данни обработвани от НАП са огласени, въз основа на получено от НАП кратко текстово съобщение е имала притеснения относно възможни злоупотреби при използване на тези данни, предимно от финансов характер. Това притеснение се отразило на семейство, започнали скандали между нея и мъжа й, последвали конфликти, безпокойство и притеснения. В решението си първоинстанционният съд е изложил подробно установената с доказателства фактическа обстановка, но е формирал погрешни правни изводи при неправилно приложение на материалния закон. От доказателствата по делото безспорно е установено, че правата на субекта на лични данни ищцата по делото са били нарушени при обработката им от администратора НАП, който при неосигуряване на технически мерки, гарантиращи защитата на личните й данни е допуснал широкото им огласяване, при което Х. е изпитала притеснения свързани с евентуалното им неправомерно използване възможни злоупотреби от финансов характер. Изложеното обосновава извод за настъпило непозволено от ЗЗЛД и Регламента увреждане на ищцата, в качеството й на субект на лични данни от администратора на същите - неизпълнение на задълженията му посочени по-горе по чл. 24 от Регламента и чл. 59, ал. 1 ЗЗЛД, да предприеме подходящи технически мерки за защитата им, съобразени с отчитане естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, а още по-малко предвидените допълнителни такива в чл. 32 от Регламента, в случая настъпилите в правната сфера на ищеца неимуществени вреди произтичат от бездействието на администратора в тази насока. Като администратор на лични данни по смисъла на чл. 4, § 7 от Регламента при обработването на тези данни НАП е следвало да спазва принципите за законосъобразност и добросъвестност по чл. 5, § 1, б. а и б. е същите да бъдат обработвани по начин, гарантиращ подходящо ниво на сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като прилага подходящи технически и организационни мерки. В случая безспорно установения факт на изтекла информация от сървърите на НАП на 15.07.2019 г. в следствие на неоторизиран достъп безспорно обуславя извод за наличие на бездействие на НАП да осигури надеждност и сигурност на личните данни, при което в случая е осъществено нарушение на сигурността им по смисъла на чл. 4, §12 от Регламента. Обстоятелството, че е извършена хакерска атака осъществен неправомерен достъп до информационната система на НАП обуславя еднозначен извод, че не са предприети необходимите технически мерки за защитата на личните данни на ищцата, тъй като ответникът в качеството му на администратор на лични данни има задължението периодично да преценява техническата надеждност и да осигури високо ниво на сигурност, а неизпълнението на това задължение води до извод, че противоправното му бездействие е довело до увреждане на лицата, чийто лични данни са обработвани от него. Ето защо неправилно в обжалваното решение е прието, че в случая не е налице твърдяното от ищцата бездействие от страна на администратора на лични данни по отношение на осигуряване на подходящи и адекватни технически мерки за защитата на обработваните от него лични данни, неправилно искът е приет за неоснователен, предвид нормативно установеното правило, че всеки и длъжен да поправи вредите, които е причинил. Настоящият състав намира, че в случая предявеният иск е такъв по чл. 82, § 1 от Регламента, който предвижда, че всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди и с оглед на установеното по-горе е основателен. Неимуществените вреди са неизмерими с пари и затова следващото се за тях обезщетение, се определят на принципа на справедливостта. Неоснователен е наведеният довод, че установените по делото като вид и интензитет неимуществени вреди, не следва да бъдат обезщетявани, тъй като не е установено по делото как установения неправомерен достъп се е отразил на качеството на живот на ищцата - дали е засегнато самочувствието й, отношенията в семейството, с близки и приятели и т.н. Тъкмо обратното от показанията на разпитаната по делото свидетелка се установява именно промяна в начина и качеството на живот на ищцата, безпокойство, претеснения, конфликти и скандали в семейството. Необосновано и в противоречие с трайната съдебна практика в областта на непозволеното увреждане, АССГ приема, че изпитването на притеснения, тревога и безпокойство не представляват неимуществени вреди, които подлежат на обезщетение. Не е възможно да бъде споделено становището, че изпитването само на неприятни емоции от описания вид не е достатъчно, за да бъдат определени като неимуществени вреди, ако не са свързани с реален страх от реална заплаха от увреждане на имущество или не са довели до продължително психично разстройство (дълбока депресия). Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз (Хартата/ХОПЕС) и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно с правото на защита на личните им данни. В този смисъл всяко нарушение спрямо основно право трябва да се разглежда като особено съществено. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо (личните данни) е достатъчно, за да се ангажира отговорност на лицето, което има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основни права. В конкретния случай, предвид установените като вид и интензитет претърпени неимуществени вреди от ищцата, които следва да бъдат обезщетени, настоящият състав намира, че справедливият размер на дължимото обезщетение е в размер на 300 лв. Така изложеното обосновава извод, че обжалваното решение е неправилно и следва да бъде отменено, вместо което следва да бъде постановено ново, с което НАП в качеството й на администратор на лични данни следва да бъде осъдена да заплати на В. К. - Х. обезщетение за нанесени неимуществени вреди в размер на 300 лв. на основание чл. 82, ал. 1 и ал. 2 от Регламента, а предявеният иск за разликата над 300 лв. до пълния му предявен размер от 1000 лв. следва да бъде отхвърлен като неоснователен и недоказан.