Решение № 5001 от 19.4.2024 г. на ВАС по адм. д. № 2816/2021 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите срещу Решение 1970/15.12.2020 г. на Административен съд - Благоевград (АС-Благоевград), постановено по адм. дело 619/2020 г., в частта, в която Национална агенция за приходите е осъдена да заплати на Г. Томанова сумата в размер на 600 (шестстотин) лева, представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на Национална агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задълженията ѝ по чл. 59, ал. 1 от Закона за защита на личните данни и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), а именно - да гарантира достатъчно ниво на сигурност на обработваните лични данни, довело до неразрешено разкриване и достъп до личните данни на Г. Томанова, ведно със законната лихва върху тази сума, считано от датата на влизане в сила на решението до окончателното изплащане на сумата и Национална агенция за приходите е осъдена да заплати разноски по делото. Решението, в частта, в която е отхвърлен предявеният от Г. Томанова иск в останалата му част, до пълния предявен размер от 1200 лв., както и в частта за законната лихва върху присъдената главница, за периода от 15.07.2019 г. до влизане в сила на решението по делото, като необжалвано е влязло в сила и не е предмет на касационната проверка. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Счита, че неправилно съдът е приел, че след като е извършена хакерска атака, с която е пробита информационната система на НАП, то това доказва, че не са предприети подходящи технически и организационни мерки за защита на обработването на личните данни на ищцата, което било достатъчно да се направи извод за незаконосъобразно бездействие от страна на НАП. Твърди, че не са изследвани предприетите от страна на НАП нормативно установени мерки, не било отчетено, че хакерската атака е престъпление, на което НАП е жертва. Твърди, че при преценката на свидетелските показания съдът ги е възприел еднозначно, без да отчита вътрешното им противоречие. Извел е и неправилни и незаконосъобразни заключения, че е реализиран фактическият състав на отговорността по реда на Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Подобно описва предприетите от Агенцията действия след публичното разгласяване на данните, нормативната рамка относно обработването и защитата на личните данни, предприетите от НАП технически и организационни мерки. Моли решението, в обжалваната част, да се отмени и се постанови ново, с което се отхвърли иска на Г. Томанова срещу НАП. Претендира юрисконсултско възнаграждение за двете инстанции. Касационният жалбоподател се представлява от юрк. Иванова. Ответникът по касация Г. Томанова оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира разноски за настоящата инстанция. Ответникът по касация се представлява от адв. Василева. Представителят на Върховната административна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството пред АС - Благоевград е образувано по предявен иск от Г. Томанова срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди, подробно описани в исковата молба, претърпени за периода 15.07. 2019 г.- 14.07.2020 г., в резултат на неизпълнение от страна на ответника на задължението да въведе и прилага подходящи технически и организационни мерки за защита на личните данни, които да са съобразени с естеството, обхвата и контекста на обработването на личните данни; допуснатите от ответника нарушения на сигурността на личните данни на ищцата по смисъла на §1, т. 10 от Допълнителните разпоредби (ДР) на Закона за защита на личните данни (ЗЗЛД), вр. чл. 4, т. 12 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД и неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, ведно със законната лихва върху тази сума, считано от 15.07.2019г., до окончателното ѝ изплащане. Първоинстанционният съд е приел, че е безспорно, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани (над 6 000 000 субекти на данни). От приложената от НАП справка е установил, че разкритите данни за ищцата Г. Томанова включват ЕГН, имена, данни от годишната данъчна декларация (ГДД) по чл. 41 от ЗОДФЛ за 2006 г. Със Заповед ЗЦУ-586/30.04.2014г. на изпълнителния директор на НАП е наредено да се внедрят Системи за управление на сигурността на информацията по стандарт БДС ISO/IEC 27001:2006 в НАП. Със Заповед З-ЦУ-1436/15.10.2018г. на изпълнителния директор на НАП са утвърдени Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от ЗНАП, Указания за обозначаване и работа с информация, Указания за попълване на образци на процедура, Указания за попълване на образеца на инструкция и др. Със Заповед ЗЦУ-733/17.06.2016г. на изпълнителния директор на НАП са утвърдени процедура и вътрешни правила за мрежовата и информационната сигурност. Със Заповед ЗЦУ-83/23.01.2013 г. на изпълнителния директор на НАП са определени вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно-осигурителната сметка и сроковете за съхранение на архивираната информация. В НАП е изработена Методика за анонимизиране на индивидуални данни, версия 1, към м. януари 2017г., утвърдена със Заповед ЗЦУ-121/30.01.2017г., утвърдени са и Политика по информационна сигурност на НАП, както и Инструкция 2/08.05.2019г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като Приложение 1 към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. От председателя на Комисията за защита на личните данни (КЗЛД) на НАП е издадено Наказателно постановление 004/28.08.19 г., за нарушение на чл. 32, параграф 1 б. б от Регламент (ЕС) 2016/679, което не е влязло в сила. С Решение ППН-02-399/22.08.19 г. КЗЛД дава на НАП разпореждане по чл. 58, параграф 2, б. г, вр. чл. 57, параграф 1, б. а и чл. 83, параграф 2, б.а, б. в, б. г, б. е и б. ж от Регламент (ЕС) 2016/679 за предприемане на подходящи технически и организационни мерки за защита на личните данни. Решението не е влязло в сила. Установено е, че пред КЗЛД няма висящо или приключило производство по жалба на ищеца във връзка с чл. 37, ал. 4 ЗЗЛД. В хода на съдебното следствие са събрани гласни доказателства показанията на свидетеля Х. Попова, които съдът е кредитирал. Въз основа на така установените факти съдът е приел, че искът е допустим и частично основателен. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 ЗОДОВ, е посочил, че в случая исковата претенция се основава на незаконосъобразно бездействие - неполагане на достатъчно грижа и неприлагане на ефективни мерки за защитата на сигурността на данните, с което са нарушени разпоредбите на чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и чл. 59, ал. 1 ЗЗЛД, чл. 45, ал. 1, т. 6, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 ЗЗЛД. Приел е, че отговорността на ответника произтича от специфичния характер на дейността му по обработване на лични данни и като административен орган със статут на юридическо лице, който следи тази дейност да бъде изпълнявана в съответствие с нормативно установените изисквания, той носи отговорност за вредите от незаконните действия и/или бездействия на включените в състава му органи и служители при извършване на дейността по чл. 1 от ЗОДОВ. Посочил е, че е безспорно, че вследствие на безпрепятствено проникване в информационната система на НАП, т. нар. хакерска атака, е осъществено неправомерното разкриване и разпространение на лични данни на ищцата. Изтичането на информация от сървърите на НАП, в резултат на извършен неоторизиран достъп, категорично сочи на противоправно бездействие (пропуски) на ответника да изпълни произтичащи от закона и регламента задължения да обезпечи достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т. ч. правото на защита на личните им данни. Приел е, че отговорните служители на НАП не са приложили подходящи технологии и мерки за защита, затова системата не е била достатъчно защитена и нейната техническата уязвимост е довела до нерегламентирания достъп до личните данни на ищцата. За неотносим към спора е приел, въпросът как ще се развие наказателното производство, ще бъдат ли осъдени и кои лица за снабдяването с чуждите лични данни, че липсва акт, в който да е описано и доказано в какво се състои техническата уязвимост на информационната система на НАП и как тази уязвимост е предоставила и улеснила извършването на неоторизирания достъп в условията на причинно-следствена връзка. За неоснователни е приел доводите на ответника, че вредите са причинени от престъпното деяние, а не от виновно поведение на служители на НАП, след като НАП е отговорна за събитието, както и обстоятелството, че след осъществяване на нерегламентирания достъп, ответникът е предприел всички необходими мерки за защита на личните данни, както и че са засегнати частични данни, които са във формат изискващ допълнително обработване. По тези съображения е приел, че е налице първата предпоставка за ангажиране на отговорността на НАП. Приел е, че ищцата е доказала наличието на реално претърпяна вреда, което е основен елемент от състава на отговорността по чл. 1 ЗОДОВ. Посочил е, че ищцата е претърпяла вреди от неимуществен характер, вследствие изтичането на личните й данни, които се изразяват в чувство на постоянна тревожност, безпокойство, притеснение, несигурност, страх от възможна злоупотреба с личните данни, която би могло да доведе до отчуждаване на имущество, изтегляне на влогове или кредити, безсъние, като последното не е могло да бъде преодоляно без приемането на медикаменти, изписани от психиатър. Приел, че причинените на Томанова неимуществени вреди са пряка и непосредствена последица от разкриване на личните ѝ данни. Относно размера на вредите е посочил, че той следва да се определи по справедливост от съда, съгласно чл. 52 от Закона за задълженията и договорите (ЗЗД). Съобразявайки характера и степента на преживените страдания, обема на изтеклите данни и събраните по делото доказателства, е приел, че справедливото обезщетение е в размер на 600 лв. Относно претендираните лихви е приел, че лихвата следва да се присъди считано от датата на влизане в сила на решението, от който момент вземането за обезщетение става изискуемо и от този момент се дължи и законна лихва върху него. С оглед изхода на спора и предвид разпоредбата на чл. 10 ЗОДОВ е присъдил разноски, съразмерно уважената/отхвърлената част от иска. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е неправилно в частта, в която е посочен като правно основание на уважения иск разпоредбата на чл. 59 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Поради това решението следва да бъде отменено, в частта, сочеща за правно основание на уважената част от иска чл. 59 ЗЗЛД. В останалата обжалвана част решението е правилно и следва да бъде оставено в сила по следните съображения: Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Правилно решаващият съд е определил предпоставките, които следва да се установят, за да се приеме искът за основателен. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. По делото са събрани доказателства за личните данни на ищеца, до които е имало неправомерен достъп. Следователно той е доказал твърдението си за наличието на нарушено негово право на защита на личните му данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД, предвиждащ че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Поради това изложените в касационната жалба съображения, че съдът не е обосновал кое нормативно задължение НАП не е извършила, са неоснователни. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай от представените от ответника писмени доказателства, вкл. с касационната жалба, не се установява, че същият е приложил подходящите мерки за сигурност, защото не е доказано как утвърдените правила и мерки са реално приложени и дали те осигуряват подходящото ниво на защита. Доказателствената тежест за установяване на този факт е била в тежест на НАП. Не се споделят от настоящата инстанция доводите на съда, че изтичането на информация от сървърите на НАП, в резултат на извършен неоторизиран достъп, т. нар. хакерска атака е осъществено неправомерното разкриване и разпространение на личните данни на ищцата, като възраженията в тази връзка в касационната жалба са основателни. В т. 1 от дипозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. Ангажирането на многобройни писмени доказателства, без доказателства, че предвидените в тях мерки са действително приложени и че те са ефективни, не доказва че същият е взел подходящите организационни и технически мерки, който да гарантират защитата на личните данни, които администраторът обработва. Липсват доказателства, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. Липсват и доказателства, за това какви конкретно технически мерки е взел ответникът, за да защити личните данни, които обработва, от неправомерен достъп, като този от който се претендират вредите. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Представените доказателства за предприети действия след изтичането на данните, не доказват, че взетите мерки са ефективни и подходящи. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Отмяната на издаденото от председателя на КЗЛД наказателно постановление не може да се разглежда като факт доказващ, че НАП не е отговорен за събитието. Наказателното постановление е отменено поради изтекла абсолютна давност. Производството по оспорване на издаденото от КЗЛД Решение ППН-02-399/22.08.19 г. е висящо, поради което в исковото производство НАП е следвало да доказва, че не е отговорен за настъпване на събитието от което се претендират вредите. Правилно съдът е приел, че са налице втората и третата предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба и в уточняваща молба от 30.07.2020 г. Събраните по делото гласни доказателства установяват, че тя действително е преживяла твърдените негативни емоции, които са резултат от нарушението на регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. В т. 3 от диспозитива на Решение от 4 май 2023 г. по дело С-300/21 на СЕС, е посочено, че член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. Решаващият съд правилно е кредитирал показанията на свидетеля, които са преценени с оглед всички други данни по делото, в съответствие с чл. 172 ГПК, вр. чл. 144 АПК, а при определяне размера на обезщетението правилно се е позовал на разпоредбата на чл. 52 ЗЗД, съобразявайки характера и тежестта на претърпените от ищцата негативни емоции, тяхната продължителност, вида на неправомерно разкритите данни. Така определеният размер би довел до пълно репариране на претърпените от ищеца вреди. Налице е причинна връзка между незаконосъобразното бездействие и причинената неимуществена вреда. Проявеното от ответника бездействие да изпълни по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица, е в пряка причинна връзка с негативните усещания на засегнатите лица, в конкретния случай на ищеца. Ако не беше допуснат неправомерния достъп до личните данни, той не би преживял негативните емоции. С оглед изхода на спора претенцията на ответника по касация за присъждане на разноски за настоящата инстанция, се явява основателна и следва да се уважи в доказан по делото размер 300 лв. договорено и заплатено възнаграждение за един адвокат. На ответника не следва да се присъждат разноски, доколкото отмяната на обжалваното решение е само относно едно от посочените от съда правни основания за осъждането на НАП, като отмяната на това правно основание влияе върху крайния резултат. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, пето отделение