Решение № 6743 от 4.06.2021 г. на ВАС по адм. д. № 11964/2020 г.

Решение № 6743 от 4.06.2021 г. на ВАС по адм. д. № 11964/2020 г., III о., докладчик съдията Любка Петрова Производството е по реда на чл. 208 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите /НАП/ против решение № 4673 от 20.08.2020 г. по адм. дело № 11234/2019 г. на Административен съд - София-град. С него е уважена частично исковата претенция на С. К. срещу НАП, заявена с правно основание чл. 203 АПК, вр. чл. 82, ал. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните//GDPR/, вр. чл. 39, ал. 2 ЗЗЛД, вр. чл. 1, ал. 1 ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1 000 лева ведно със законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното изплащане на вземанията. От обстоятелствената част на касационната жалба могат да се изведат доводи за противоречие с материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по смисъла на чл. 209, т. 3 АПК. Моли за присъждане на съдебни разноски и пред двете съдебни инстанции. В открито съдебно заседание страната, редовно уведомена, се представлява и поддържа касационната си жалба. Ответната страна - С. К., изразява чрез процесуалния си представител – адв. Ю., становище за неоснователност на касационната жалба. Счита за правилни изводите на първоинстанционния съд при отхвърляне на исковата претенция за вреди. Моли за присъждане на адвокатско възнаграждение за защитя пред касационната инстанция. В съдебно заседание не се явява и представлява. Участвалият в настоящото производство прокурор от Върховната административна прокуратура дава заключение за основателност на касационната жалба. Сочи, че правилно съдът е направил извод за наличието на две от предпоставките за присъждане на обезщетение, но неправилно е оценил свидетелските показания и това е довело до неверния извод за наличие на неимуществени вреди за ищцата и касационен ответник. Настоящата инстанция като взе предвид становището на страните и извърши проверка на обжалваното решение на посочените касационни основания, съгласно разпоредбата на чл. 218, ал. 1 от АПК, и след служебна проверка за допустимостта, валидността и съответствието на решението с материалния закон по реда на чл. 218, ал. 2 от АПК, намира за установено от фактическа и правна страна следното: Касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК и е процесуално допустима, а разгледана по същество е основателна. Производството пред административния съд е образувано по искова молба, подадена С. К., с която срещу Националната агенция за приходите /НАП/ е предявен иск, заявен с правно основание чл. 203 АПК, вр. чл. 82, ал. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ /GDPR/ /по-надолу наричан за краткост Регламента/, вр. чл. 39, ал. 2 ЗЗЛД, вр. чл. 1, ал. 1 ЗОДОВ, за присъждане на сумата в размер на 1 000 лева, представляваща обезщетение на ищеца за причинените му неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, станали достъпни вследствие т. нар. "хакерска атака", при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани. Отговорността на НАП е ангажирана в качеството й на администратор на лични данни, с твърдение, че е допуснала нарушения на чл. 24 и чл. 32 GDPR и чл. 59, ал. 1 ЗЗЛД, нарушила е и разпоредбите на чл. 45, ал. 1, т. 6 ЗЗЛД като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки; чл. 64 ЗЗЛД, като намира, че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл. 66, ал. 1 и, ал. 2 ЗЗЛД; чл. 67 и чл. 68 ЗЗЛД. Претендира се и законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане. Въз основа на изясненото по делото от фактическа страна, първоинстанционният съд приел предявения иск за допустим, а по същество за частично основателен. За да стигне до този правен резултат, Административен съд – София град, след обсъждане на събраните по делото доказателства, от фактическа страна е установил, че вследствие на осъществен неоторизиран достъп до базата данни на НАП неправомерно е изтеглена информация с голям обем, съдържаща лични данни на голям брой български граждани. За да мотивира изводите си относно основателността на ищцовата претенция съдът е посочил, че това противоправно деяние, обосновава извод за противоправно бездействие на ответната по иска страна да изпълни произтичащите от приложимите в случая българско и европейско законодателство да осигури достатъчно надеждност и сигурност на информационните си системи. Намерил е, че до негативния резултат се е стигнало в резултат на противоправно бездействие от страна на длъжностни лица, в състава на ответника НАП. Изложил е мотиви за наличие на незаконосъобразно фактическо бездействие на НАП в качеството му на администратор на лични данни /ЛД/, като ангажираните от ответника доказателства /при наличие на изрични указания на Съда по доказателствата/, не доказват, че НАП е изпълнила задълженията си на администратор по нормите на чл. 24 и чл. 32 от Регламента и по чл. 45, ал. 1, т. 6, чл. 59, ал. 1, чл. 64 и чл. 66, ал. 1 и ал. 2 от ЗЗЛД. Нямало данни и не се е твърдяло от ответника, че въведените от него мерки по чл. 24, § 1 от Регламента са били периодично преразглеждани и при необходимост актуализирани. Нямало данни и не се е твърдяло от ответника да са били одобрени кодекси за поведение по чл. 40 и механизми за сертифициране по чл. 42 от Регламента. Ето защо съдът е намерил, че администраторът в случая не е доказал, че е въвел подходящи технически и организационни мерки, гарантиращи, че обработва личните данни в съответствие с Регламента. Освен това, нямало данни и не се е твърдяло от ответника, че е въвел "псевдонимизация" по см. на чл. 4, § 5 от Регламента, провеждал е редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването и е осигурил способност за гарантиране на постоянна поверителност на системите и услугите за обработване. Поради това, съдът е направил извод, че администраторът в случая не е доказал, че е осигурил сигурността на обработването на данните по см. на чл. 32 от Регламента. По отношение на чл. 45, ал. 1, т. 6 от ЗЗЛД /ред. към 15.07.19/, съдът отново е направил извод, че администраторът на ЛД /НАП/ не е доказал, че е гарантирал подходящо ниво на сигурност, като е приложил подходящи технически или организационни мерки. До същия извод е достигнал и при изследването на действията на НАП по приложението на чл. 59, ал. 1 от ЗЗЛД и чл. 64 и чл. 66, ал. 1 и ал. 2 от ЗЗЛД /в относимата им редакция към 15.07.2019 г. / Съдът е намерил обаче, че не е налице твърдяното от ищцата незаконосъобразно фактическо бездействие по чл. 67 и чл. 68 от ЗЗЛД. По втората предпоставка за основателност на иска, съдът е приел, че са настъпили неимуществени вреди, но не в твърдения от ищцата размер. Изслушани са свидетелски показания, които съдът е кредитирал въпреки роднинската връзка между свидетеля и ищцата, тъй като само член на най-близкия кръг на ищцата би имал детайлни наблюдения върху психическото и емоционалното й състояние. Съдът е приел и че самият факт на изтекли публично в интернет лични данни и данъчна информация на ищеца, респ. станали потенциално обект на неконтролирана /по време, място и обем/ злоупотреба с тях, обуславят настъпването на неимуществени вреди за субекта на данните и настъпването на неимуществените вреди следва да се презумира. Не е изложил подробни мотиви относно наличието на пряка причинно-следствена връзка между вредата и вредоносното бездействие, като само е констатирал наличието на такава. Изложил е подробни съображения относно размера на вредите и претендираната като акцесорно искане лихва. С оглед съответното намаляване на присъденото обезщетение и лихви е присъдил и по-малък размер адвокатско възнаграждение за процесуалния представител на лицето. Решението, макар и много подробно е неправилно. Постановено е при съществено нарушение на процесуалните правила, поради което ще следва да се отмени, а делото – да се върне за ново разглеждане от друг състав на същия съд по следните съображения: Административният съд е дал точна правна квалификация на предявените искове, но неправилно е привързал иска към нормата на чл. 1, ал. 1 от ЗОДОВ и предпоставките за присъждане на обезщетение, залегнали в тази правна норма. Тъй като член 82 от Регламента дава правилното материалното основание на иска, като предвижда, че всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Специалното ни национално законодателство, приложимо в случая установява в своя чл. 39, ал. 1 ЗЗЛД не начин, а процесуален ред за реализиране на отговорността на всички администратори на лични данни, независимо от правосубектността им и притежаваните качества. Макар да е вярно, че не се изключва националното право на държавите членки на ЕС, което адаптира прилагането на разпоредбите на Регламента, по аргумент от чл. 288 от Договора за Европейския съюз, по отношение на защита на личните данни ще се приложи в цялост Регламентът. Предявения иск следва да намери основанието си именно в неговия чл. 82, § 1, който предвижда, че всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Стъпвайки отново на чл. 82, § 6 от Регламента, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2 от същия. На национално ниво, обществените отношения, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламента намират уредбата си в ЗЗЛД. Последният, в своя чл. 39, ал. 1 препращайки към разпоредбите на АПК, дава процесуалния ред за реализиране на отговорността на всички администратори на лични данни, независимо от правосубектността им и притежаваните качества. Съгласно чл. 203 АПК исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на Глава единадесета от АПК. Именно това е релевантния правен ред за разглеждане на исково производство с правно основание чл. 82, § 1 от Регламента. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, § 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка с нарушение на регламента. В конкретния случай този фактически състав на практика съвпада с изискуемия за възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие (в случая), вреда и причинна връзка между тях. Съдът правилно се е ориентирал в разпределението на доказателствената тежест между страните и правилно е приложил принципа на служебното начало в административния процес като със свои указания и разпореждания е изисквал различни уточнения и доказателства от страните. Въпреки това, на страните не са дадени никакви указания относно фактите, които подлежат на доказване от всяка от тях в процеса, както и дали същите са релевантни и достатъчни. В резултат на това, делото е останало непопълнено с относими за спора факти. В конкретния случай допуснатите процесуални нарушения препятстват преценката относно наличието или липсата на предпоставки за ангажиране на отговорността на НАП. За да се ангажира неговата отговорност на основание чл. 82 от Общия Регламент, по делото следва да се установи кумулативното наличие на следните елементи от фактическия състав на цитираната разпоредба: наличие на материална или нематериална вреда; доказано нарушение на някое от задълженията на администратора на данни по Общия регламент; Причинна връзка между претърпяната вреда и нарушението на Регламента. В този смисъл са основателни доводите на касатора, съдържащи се в жалбата относно неправилната преценка на съда по отношение на наличието на достатъчни организационни мерки. Изпълнението на задълженията за опазване на личните данни предполага въвеждането на ефективни процедури и механизми, които да са насочени към онези видове операции по обработване, които има вероятност да доведат до висок риск за правата и свободите на физическите лица поради своето естество, обхват, контекст и цели. Предвид предмета на делото, основният спорен въпрос е, дали са предприети цитираните или други подходящи мерки, които да доведат до подсигуряване на достатъчно ниво на защита. След като е налице задължение за администратора на лични данни да въведе подобни подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на личните данни се извършва при спазване на чл. 24, пар. 1 и чл. 32 от Регламента, тежестта на доказване, че не е нарушил това свое задължение лежи именно върху него. Без да е получил указание за това, касаторът е представил пред настоящата инстанция и Методика за анонимизиране на индивидуални данни, във версия от януари 2017 г. Тя не е била представена пред първоинстанционният съд и съответно не е могла да бъде обсъдена в съвкупност с останалите доказателства по делото. Това е довело до неправилен извод съда по отношение на спазването на условията по чл. 32 от Регламента. Въпросът за видовете подходящи и необходими технически и организационни мерки не е правен и обсъждането му би могло да стане едва след изслушване на специалист в областта чрез назначаване на съдебнотехническа експертиза и изготвянето на мотивирано заключение. За пълнота следва да се посочи, че всички останали въпроси относно наличието на съпричиняване във връзка с евентуалното освобождаване от отговорност на ответника, съгласно правилата на Регламента, също трябва да бъдат отчетени при едно ново разглеждане на делото. По отношение на изслушаните свидетелски показания съдът следва да формира нови изводи, като съобрази и факта, че никъде в Общия регламент не е въведена презумпция за възникване на вреди по отношение на физическите лица при каквото и да е нарушение от страна на администраторите на лични данни на задълженията им по регламента или националното законодателство. По изложените съображения, съдебното решение, предмет на проверка, следва да бъде отменено, делото да бъде върнато за ново разглеждане от друг състав на АССГ. Предявеният от С. К. иск следва да бъде квалифициран като такъв по чл. 82 от Регламента, а доказателствената тежест в процеса - разпределена при съобразяване на мотивите на настоящото решение. При новото разглеждане, съдът следва да посочи относимите към спора факти, като разграничи спорните от безспорните. След определяне на спорните факти, на страните следва да бъдат дадени подробни указания по тежестта на доказване, съобразени с техните конкретни твърдения и с нормата на чл. 82, § 3 от Регламента, включително, но не изчерпателно, за необходимостта от специалния знания за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни, изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса, какви технически мерки са предприети, за да предотвратят достъпа, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, технически възможно ли е било предотвратяването на изтичането на данни. Следва да се укаже на ответника по иска, че негова е тежестта да докаже с всички допустими доказателствени средства, че нерегламентираният достъп не се дължи на нарушение по смисъла на регламента, включително, че такова нарушение липсва, тъй като всички негови задължения по регламента са изпълнени, респективно, че е направил всичко възможно да предотврати нарушението, предвид достиженията на техническия прогрес и различните рискове. С оглед резултата от касационното обжалване разноски на страните за настоящата инстанция не следва да се присъждат. Всички направени в производството разноски, включително и тези пред касационната инстанция, върнала делото за ново разглеждане, следва да се съобразят от съда, който се произнася по съществото на спора, при новото разглеждане на делото. Воден от горното и на основание чл. 221, ал. 2 във вр. с чл. 222, ал. 1, т. 1 от АПК, Върховният административен съд - Трето отделение,