Решение № 4318 от 25.4.2025 г. на ВАС по адм. д. № 10838/2024 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационна жалба на Национална агенция за приходите против решение 9425/20.06.2024 г. по адм.д. 4907/2021 г. описа на Административен съд София- град, в частта му, с която Националната агенция за приходите / НАП/ е осъдена да заплати на С. П. Х. сумата от 500 лв., представляваща обезщетение за претърпени неимуществени вреди в резултат на незаконосъобразно бездействие от страна на Националната агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., а именно да гарантира достатъчно ниво на сигурност на обработваните от нея лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху главницата, считано от датата на предявяване на иска - 16.09.2019 г. до окончателното изплащане на сумата. Иска се отмяна на решението, с оплаквания за допуснато съществено нарушение на съдопроизводствените правила, необоснованост и материална незаконосъобразност. Твърди се, че с оглед ангажирани доказателства, установяващи, че НАП не е бездействала, а е предприела необходимите технически и организационни мерки в изпълнение на задълженията си по Регламент 2016/679 от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни, неправилно съдът приел, че е налице незаконосъобразно бездействие на НАП, което обосновава наличието на първата предпоставка за възникване на правото на обезщетение по чл.1 ал.1 от ЗОДОВ. Наведени са доводи за недоказаност от страна на ответника по касация на причинени неимуществени вреди. Оспорва се и наличието на непосредствена причинно-следствена връзка като предпоставка за възникване на правото на обезщетение по чл.1 от ЗОДОВ. Иска се отмяна на решението в обжалваната му част и отхвърляне на иска. Претендира се присъждане на направените разноски, съобразно представен списък на разноските. Ответната страна С. П. Х., в писмен отговор, чрез процесуален представител, оспорва касационната жалба и моли за отхвърлянето й, по подробни съображения, развити в отговора. Моли за присъждане на разноски по представен списък на разноските. Представителят на Върховна касационна прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от страна, за която решението е неблагоприятно, намира същата за допустима. Разгледана по същество касационната жалба е основателна, по следните съображения: С оспореното решение 9425/ 20.06.2024 г. постановено по адм.д. 4907/2021 г. описа на Административен съд - София - град НАП е осъдена да заплати на С. П. Х. обезщетение за претърпени неимуществени вреди в размер на 500.00 лева, ведно със законната лихва върху тази сума, считано от датата на подаване на исковата молба - 16.09.2019 г., като е отхвърлен иска за разликата над този размер до пълния предявен размер от 1000 лв. Със съдебното решение НАП е осъдена да заплати направените от С. Х. разноски за държавна такса в размер на 22,50 лв. лв., както и 800 лв. адвокатско възнаграждение за адв.Юрукова. АССГ се е произнесъл по предявен иск с правно основание чл. 79 параграф 1 и чл.82 параграф 1 от Регламент /ЕС/ 2016/679 на ЕП и Съвета /GDRP/, обоснован с твърдения за претърпени неимуществени вреди от незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, което е довело до неразрешено разкриване или достъп до личните данни на ищеца. Съдът е приел, че НАП като администратор на лични данни, не е изпълнила задълженията си по чл. 24, чл. 32 от Регламента и чл. 59, ал.1 от ЗЗЛД, поради което на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП и е разпространена защитена информация на граждани, обработвана от НАП. Съдът е посочил, че ответникът по иска, чрез бездействие, не е изпълнил произтичащи от закона и регламента задължения да обезпечи достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т. ч. правото на защита на личните им данни. При тези установявания съдът е извел извод за наличието на първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, задължения, произтичащи от чл.24 и чл.32 от ОРЗД. Относно наличието на претърпяна вреда от страна на ищеца от незаконосъобразното бездействие на НАП, решаващият съд, въз основа на гласни доказателства, събрани при предходното разглеждане на делото, е приел, че ищецът е изпитал притеснения от възможна злоупотреба и неправомерно използване на личните му данни, които опасения, съобразно тълкуването в решението на СЕС по дело С-340/21 г., могат сами по себе си да представляват нематериални вреди" по смисъла на чл.82 параграф 1 от ОРЗД. Приел и наличието на пряка причинно-следствена връзка между бездействието на НАП да изпълни по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица и негативните усещания на ищеца. Решението е постановено при спазване на съдопроизводствените правила и правилно разпределена доказателствена тежест в съответствие с решението по дело С-340/21 на СЕС, но е необосновано и материално незаконосъобразно, касационни основания по чл. 209, т. 3 от АПК. Решението, предмет на касационна проверка, е постановено след отменително решение 5830/ 14.05.2021 г. по адм.д. 9992/2020 г. по описа на Върховен административен съд, трето отделение, с което делото е върнато за ново разглеждане от друг съдебен състав, поради неправилно определено правно основание на предявения иск и са дадени указания, че спорът е по чл. 82, пар. 3 от Регламента, а не по чл. 1, ал. 1 от ЗОДОВ. С определение 6162 от 19.08.2021 г. по адм.д. 4907/2021г. на АССГ, на страните е съобщен проекто-доклад по делото, разпределена е доказателствената тежест, като на ищеца е указано, че следва да докаже настъпването на неимуществените вреди и в какво конкретно се изразява нарушението на ответника да изпълни задължения, произтичащи от ОРЗД, както и да установи пряка причинно-следствена връзка между заявеното нарушение на ответника и неимуществените вреди. Със същото определение съдът е указал на ответника да докаже липсата на нарушение по смисъла на Регламента и липсата на причинно-следствена връзка с твърдените вреди, както и че не е отговорен за събитието, причинило вредата, и че е имал подходящи политики за защита на данните Междувременно, с Определение 9359/26.11.2021г. съдът е спрял производството по делото до постановяването на решение по дело С-340/2021г. на СЕС и след постановяването на решение от 14.12.2023г. по делото, с Определение 1066/29.01.2024г. е възобновил производството. Преди спирането и след възобновяване на производството страните не са представяли доказателства. Ищецът не е ангажирал гласни доказателства в подкрепа на твърденията си за причинени неимуществени вреди, вкл. и съобразно тълкуването на понятието "вреда" по смисъла на чл. 82, пар.1 от Регламента и според решението по дело С-340/21 на СЕС, според което вредата следва да се тълкува в по-широк смисъл в контекста на практиката на Съда, по начин, който да отразява напълно целите на Регламента. Така, СЕС е приел, че само опасенията, че в бъдеще с личните данни може да бъде злоупотребено от трета страна, могат сами по себе си да представляват "нематериални вреди", но сезираната национална юрисдикция трябва да провери дали тези опасения може да се считат за основателни, с оглед обстоятелствата в конкретния случай и на субекта на лични данни. Във връзка с разпределената доказателствена тежест, ищецът е представил копие на съобщение от телефон, в отговор на изпратена заявка до НАП с текст НАП: По заявка номер 4753 ИМА неправомерно разкрити лични данни. , с дата на съобщението 26 юли и липсваща година и час 20:02. Срещу въпросното копие на съобщение има ръкописен текст за С. П. Х. , а представеното копие съдържа още две съобщения съответно по заявка 2461, по която има неправомерно разкрити лични данни и второ съобщение по заявка 1776, по която няма неправомерно разкрити лични данни. Това представяне на копие на отговор на заявка, както и разпита на свидетеля В. Х., за доказване на претърпените неимуществени вреди, са извършени в производството по адм.д. 11208/2019г. на АССГ, постановеното решение по което е отменено с решение по адм.д. 9992/2020г. на ВАС и делото е върнато за ново разглеждане от друг състав на първоинстанционния съд. Връщането на делото за ново разглеждане от друг съдебен състав е в резултат на съществено процесуално нарушение при разглеждане и решаване на спора на първа инстанция, поради което процесуалните действия, извършвани пред съда при първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените му изрични указания, при новото разглеждане, да докаже настъпването на претендираните вреди, ищецът не се е справил с възложената му доказателствена задача и не е ангажирал нито писмени, нито гласни доказателства. Като е съобразил свидетелските показания, събрани при първоначалното разглеждане на спора, АССГ е допуснал процесуално нарушение и фактическите установявания въз основа на тези гласни доказателства са необосновани. Същевременно, от допустимите доказателства не се установяват факти, което да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. Ищецът, съобразно разпределената му доказателствена тежест, не е ангажирал и доказателства от кого е подадена заявката и за лични данни на кое лице се отнася отговора на НАП. Липсват и доказателства какви конкретно са неправомерно разкритите лични данни, независимо от създадената от страна на НАП, след 15.07.2019г., възможност да бъде направена конкретна справка, от всеки гражданин, по имена и ЕГН за вида на неправомерно достъпените лични данни, от която възможност ищецът не се е възползвал и не е представил доказателства за извършване на подобна справка. Искане за представяне по делото на справка, относно вида и обема на личните данни на ищеца, до които е осъществен нерегламентиран достъп, бе направено от страна на пълномощника на ответника по касация в касационното производство, с молба от 02.04.2025г. Искането бе оставено от съда без уважение, като процесуално недопустимо, по аргумент от чл.219 от АПК, тъй като не е за установяване на касационните основания. Поради бездействието на ищеца в производството не са доказани релевантните за спора обстоятелства, а именно: дали С. П. Х. е сред засегнатите лица от хакерската атака срещу електронните масиви на НАП и какви точно негови лични данни са разкрити неправомерно. При тези съображения, касационната инстанция приема, че в производството не е доказано неразрешено разкриване или достъп до лични данни на ищеца, вследствие на което заявените опасения от възможна злоупотреба с лични данни се явяват неоснователни и недоказани. Като е уважил иска и присъдил по справедливост обезщетение в размер на 500 лева, първоинстанционният съд е постановил неправилно осъдително решение, което следва да бъде отменено, а искът отхвърлен до уважения размер. Решението подлежи на отмяна и в частта относно присъдените в полза на ищеца държавна такса в размер на 22,50 лв. и адвокатско възнаграждение за адв.Юрукова в размер на 800 лв. При този изход на спора, в полза на касатора следва да бъдат присъдени направените пред касационната инстанция разноски, според представения списък - юрисконсултско възнаграждение в размер на по 100 лв., съответно за производството по адм.д. 11208/2019г. на АССГ, по адм.д. 9992/2020г. по описа на ВАС, по адм.д. 4907/2021г. на АССГ и по настоящето адм.д. 10838/2024г. на ВАС или в общ размер от 400 лв., както и за държавна такса за касационна жалба срещу решението по адм.д. 4907/2021г. на АССГ в размер на 70 лв. Предвид изложеното и на основание чл. 221, ал. 2 от АПК Върховният административен съд, състав на пето отделение