Решение № 3577 от 4.4.2025 г. на ВАС по адм. д. № 10561/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите, чрез ст. юрк. П. Иванова, срещу Решение 1586 от 08.08.2024 г., постановено по адм. дело 657/2021 г. от Административен съд - Добрич (АС - Добрич). Решението на АС Добрич се обжалва от НАП в частта, с която Административен съд Добрич е осъдил по предявения иск с правно основание чл. 81, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО/Общ регламент относно защитата на данните, Националната агенция за приходите да заплати на С. С. С. сумата от 300 (триста) лева, представляваща обезщетение за неимуществени вреди - претърпени от ищеца стрес, психическо напрежение, страх, безпокойство, притеснение, негативни преживявания и емоции, вследствие от незаконосъобразното бездействие на ответника, изразяващо се в неизпълнение на задълженията му по чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни (ЕС) 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016, довело до неправомерното разкриване и разпространение на лични данни на ищеца, ведно със законната лихва, считано от датата на влизане в сила на решението до окончателното изплащане на сумата. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, ведно със законната лихва, като неоснователен. Съдът е осъдил всяка от страните да заплати следващите се разноски на другата страна, съразмерно с уважената и отхвърлена част на исковата претенция. Решението в отхвърлителната част не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. Касационният жалбоподател счита, че обжалваното решение е неправилно, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и е необосновано отменителни основания по чл. 209, т. 3 АПК. Твърди, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано съдът е приел, че е налице твърдяното незаконосъобразно бездействие. Развива доводи, че първоинстанционният съд е извел неправилни и незаконосъобразни изводи за наличието на претърпяната неимуществена вреда от ищеца, тъй като от събрания доказателствен материал не е установено реално настъпване на неимуществените вреди. Моли обжалваното решение да се отмени и да се постанови ново, с което се отхвърли предявеният иск. Съображения в подкрепа на касационната жалба са изложени и в представено становище с характер на писмени бележки. Претендира разноски. Ответникът по касация С. С. С., чрез адв. Христов, оспорва касационната жалба по съображения, изложени в писмен отговор. Моли да бъде постановено решение, с което да се отхвърли касационната жалба като неоснователна и недоказана, а обжалваното съдебно решение да се потвърди. Претендира разноски за адвокатско възнаграждение. Представителят на Върховната прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна, по следните съображения: Производството по адм. дело 657/2021 г. по описа на Административен съд Добрич е образувано по реда на чл. 226, ал. 1 АПК, след като с Решение 1308/21.12.2024 г., постановено по адм д. 2572/2021 г. на Върховен административен съд, е отменено Решение 385/22.12.2020 г., постановено по адм. дело 141/2020 г. по описа на АС- Добрич и делото е върнато за ново разглеждане от друг състав на съда. Производството пред първоинстанционния съд е образувано по предявен от С. С. С. иск срещу НАП за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода от 15.07.2019 г. до подаването на исковата молба, в резултат на незаконосъобразно бездействие, изразяващо се в неизпълнение в достатъчна степен от страна на ответника на задълженията по член 24 и член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни /Регламент (ЕС) 2016/679, ОРЗД/, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане. В изпълнение на указания, съдържащи се в решение 1308/21.12.2024 г., постановено по адм д. 2572/2021 г. на Върховен административен съд, с Определение 573 от 20.12.2023 г. съдът е разпределил доказателствената тежест между страните. При повторното разглеждане на спора са събрани гласни доказателства по искане на ищеца, като пред съда е разпитан свидетелят И. З.. Според свидетелските показания, след като разбрал за публичното оповестяване на личните си данни, ищецът бил силно притеснен и се страхувал за сметките си и сигурността им, като тези притеснения продължили повече от година. При новото разглеждане на спора НАП е представила писмени доказателства установяващи резултатите от извършена от Държавна агенция Електронно управление / ДАЕУ/ проверка на информационната система и другите информационни ресурси на НАП и текущото им състояние към момента на проверка, извършена в периода 24.09.2018г. 26.09.2018г., ведно с препоръки, както и писма на изпълнителния директор на НАП до ДАЕУ във връзка с констатациите и препоръките от проверката. Първоинстанционният съд е приел за безспорно, че вследствие на неоторизиран достъп от неизвестно лице на 15.07.2019 г. до информационния масив на НАП публично са разпространени лични данни на физически лица, сред които и лични данни на С. С. С., установени от справка, представена от ищеца и неоспорена от ответника, а именно - ЕГН и данни от годишна данъчна декларация по чл.41 от ЗОДФЛ за 2004 г., както и данни от декларации, подадени от работодатели/осигурители за осигурените от тях лица (декларация обр. 1 от Наредба Н8) за период 2008 г. АС Добрич е приел от правна страна, че искът е с правно основание чл. 82, пар. 1 Регламент (ЕС) 2016/679, като НАП в качеството на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Съдът е приел, че ответникът не е ангажирал доказателства, установяващи, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, а част от представените доказателства за предприети действия касаят времето след "изтичането" на данните и не доказват, че взетите мерки, преди същото да се случи, са били ефективни и подходящи. Приел, че при ефективно и надлежно защитена информационна система на НАП не би се стигнало до пробива й, причинил разкриването на личните данни на толкова много правни субекти /над шест милиона/, вкл. и на ищеца, а представените от НАП въведени процедури за информационна сигурност определил, че не са ефективни, тъй като не отговарят на критериите по член 24, параграф 1 от ОРЗД и не осигуряват сигурността на данните. В заключение, съдът е направил извод, че ответникът, в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на втората и третата предпоставка съдът е приел, че е налице твърдяната от ищеца претърпяна вреда и причинно следствената връзка между вредата и неправомерното бездействие. Съдът се е позовал на справката от НАП относно обема на неправомерно разпространените лични данни за ищеца. Съдът е приел за доказани, съгласно дадените свидетелски показания, претърпените от С. С. неимуществени вреди, изразяващи се притеснение, опасения от възможна в бъдеще злоупотреба с лични данни и че той ги е изпитал именно вследствие на незаконосъобразно бездействие от страна на Национална агенция за приходите по изпълнение на задължения по чл. 24 и чл.32 от Регламент (ЕС) 2016/679. При така установено от правна и фактическа страна съдът е приел исковата претенция за частично основателна, като е определил по справедливост обезщетение на ищеца в размер на 300 лв. Поради основателността на главния иск е уважил и акцесорния иск за лихва върху обезщетението. Определил е разноски на страните, съразмерно на уважената част на исковата претенция. Обжалваното решение е валидно и допустимо, като постановено от надлежен съдебен състав, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно и следва да бъде оставено в сила по следните съображения: Предявеният иск е с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид член 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. АС Добрич правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни, какъвто в случая е НАП, да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Видят и обема на тези мерки не е конкретно посочен, защото всеки администратор следва сам да определи кои да бъдат тези мерки. С оглед член 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност, съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да се докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Поради това, правилно първоинстанционният съд е разпределил доказателствената тежест между страните, като е указал на НАП да докаже, че е предприела всички технически и организационни мерки за защита на личните данни на физическите лица от неразрешен достъп. Съгласно т. 3 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В производството, в което е постановено обжалваното решение, ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност, както правилно е преценил първоинстанционния съд. Представените писмени доказателства при първото разглеждане на делото и в производството по адм.д. 657/2021г. на АС Добрич, не доказват, че приложените мерки са подходящи за защита на личните данни. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Разкриването на лични данни в резултат на неоторизирания достъп не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Последното обстоятелство, а именно, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен, е останало недоказано от ответника в производството. Това е резултат от несправянето с доказателствената задача да установи благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Правилно съдът е приел, че в процесния случай е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. На същият, от първоинстанционния съд са дадени указания да докаже твърдените за претърпени неимуществени вреди и той се е справил с възложената му тежест на доказване. Обоснован и съответен на приетите по делото доказателства е извода на първостепенния съд, че ищецът е претърпял неимуществени вреди притеснения от бъдещи злоупотреби с личните му данни. Налице е и справка от НАП, от която са видни видът и обемът на изтеклите лични данни на С. С.. Правилно е заключението на АС Добрич относно наличието на причина връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл.82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т.е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретния случай поведението на ответника бездействие (неизпълнение на задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни (събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните опасения и притеснения, т.е. доказания в производството отрицателен резултат в сферата на ищеца. Следователно, изпитаните негативни емоции от страна на ищеца са вследствие от неправомерното бездействие на НАП, поради което правилно АС Добрич е извел извод за наличие на третата предпоставка от фактическия състав по чл. 81, пар. 1 от Регламент (ЕС) 2016/679. Законосъобразен и е извода на първоинстанционния съд за частична основателност на претендираното обезщетение за вреди. Обезщетението за неимуществени вреди се присъжда по справедливост, съгласно чл. 52 ЗЗД. Размера на обезщетението за неимуществени вреди се определя с оглед характера на същите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние като следствие от тях. Съдът обосновано е приел, че обезщетение в размер на 300 лв. е съразмерно на претърпените неимуществени вреди, отговаря на конкретните данни по делото и е в съответствие с обществените представи за справедливост. Предвид изложеното, обжалваното решение е правилно и обосновано, не са налице сочените касационни основания за отмяната му, поради което следва да се остави в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на разноски, представляващи адвокатско възнаграждения за един адвокат за настоящата инстанция в размер на 200 лв., се явява основателна и следва да се уважи. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, Пето отделение