Решение № 6154 от 21.05.2021 г. на ВАС по адм. д. № 12912/2020 г.

Решение № 6154 от 21.05.2021 г. на ВАС по адм. д. № 12912/2020 г., V о., докладчик председателят Галина Карагьозова Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите (НАП), чрез процесуалния й представител юрисконсулт Л. Т., против решение № 4983 от 25.09.2020 г. по адм. дело № 11205/2019 г. на Административен съд - София–град, (АССГ), Второ отделение, 23 състав, с което НАП е осъдена по предявения иск с правно основание по член 79, параграф 1 и член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, ОРЗД) да заплати на С. Н. сумата в размер на 700 (седемстотин) лева, представляваща обезщетение за неимуществени вреди, настъпили от неправомерното бездействие на ответника да изпълни задължението си да защити по сигурен начин данните на ищеца като физическо лице, позволило неоторизиран достъп и разкриване на личните данни на ищеца, оповестено публично на 15.07.2019 г., заедно със законната лихва върху тази сума, считано от датата на подаване на исковата молба -16.09.2019 г. до окончателното изплащане на дължимото. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, като неоснователен и е осъдил всяка от страните да заплати съответните разноски на другата страна съразмерно с уважената и отхвърлена част на исковата претенция. Решението в отхвърлителната част не е обжалвано и е влязло в сила, и не е предмет на касационен контрол в настоящото производство. В касационната жалба са развити доводи, че обжалваното решение в осъдителната част е неправилно поради постановяването му при допуснати съществени нарушения на съдопроизводствените правила, неправилно приложение на материалния закон и необоснованост – касационни основания за отмяната му по чл. 209, т. 3 АПК. Сочи се, че в производството по реда на чл. 203 и сл. АПК, във вр. чл. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), предмет на доказване следва да бъде установено конкретно деяние, представляващо неправомерно бездействие от администрацията на НАП, което е довело до безспорния резултат – изтичане на лични данни от базата данни, чийто администратор е НАП. Счита, че е в тежест на ищеца да докаже, че подходящите и ефективни организационни и технически мерки, които администрацията е длъжна да предприеме са останали неизпълнени или лошо изпълнени, поради което е претърпял неимуществени вреди. Тези обстоятелства са останали недоказани от ищеца в процеса и съдът неправилно е приел, че е осъществена първата предпоставка за уважаване на предявения иск. Поддържа, че съдът неправилно е разпределил тежестта на доказване между страните, което е довело и до неправилни изводи по съществото на спора. Сочи, че съдът не е обсъдил представените доказателства от касатора, че задълженията по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), член 24 и член 32 от ОРЗД са изпълнени от администратора на лични данни и не е налице неправомерно бездействие, довело до изтичане на лични данни на ищеца. Счита, че всеки администратор на лични данни може да стане обект на хакерска атака и престъпно посегателство и при такъв случай не съществува презумпция за противоправно поведение на администратора на лични данни, което да е довело или съпричинило противоправното деяние, за което да дължи обезщетение за вреди на засегнатия субект на лични данни. В подкрепа на доводите си за взети организационни и технически мерки представя писмени доказателства. На следващо място сочи, че съдът не е съобразил факта на образуваното пред Софийски районен съд административно наказателно дело № 14811/2019 г. по повод обжалването от НАП на наказателно постановление № 004 от 28.08.2019 г., издадено от председателя на Комисията за защита на лични данни (КЗЛД). Касаторът прави възражения и по отношение наличието на втората изискуема предпоставка – претърпени неимуществени вреди от ищеца под формата на стрес, безпокойство и притеснение, които съответно да са в причинна връзка с твърдяното неправомерно бездействие на администратора на лични данни. Относно третата предпоставка – наличие на пряка причинно-следствена връзка, твърди, че няма такава между изтичането на личните данни на ищеца и реално предизвикано негативно емоционално състояние в резултат на това обстоятелство, а само хипотетични субективни притеснения. Евентуалните вреди са причинени по-скоро от публичното оповестяване в интернет пространството на достъпените по неправомерен начин лични данни, т. е. от опосредстващи факти, които изключват пряката причинна връзка между деянието и вредите. Намира също, че по делото не са представени убедителни доказателства, че в резултат на изтичането на лични данни на ищеца е настъпила негативна промяна в неговото поведение, поради което съдът неправилно и необосновано е приел, че претенцията за обезщетение на същите е частично основателна. При тези съображения, подробно развити в касационната жалба и в с. з. в пледоарията по същество, иска да се отмени обжалваното решение и се постанови друго, с което да се отхвърли изцяло исковата претенция. Претендира присъждане на разноски по делото. Ответникът по касационната жалба – С. Н., чрез пълномощника си адв. Ю., в писмен отговор, оспорва същата като неоснователна и моли обжалваното решение да бъде оставено в сила. Претендира разноски за касационната инстанция. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е неоснователна, по следните съображения: Производството пред АССГ е образувано по предявения иск от С. Н. срещу НАП с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета и е проведено по реда на чл. 203 от АПК за обезщетение за претърпени неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП и довело до публичното разкриване на личните данни на ищеца. С уточняваща молба от 22.10.2019 г. ищецът е заявил, че претендира присъждане на законната лихва върху търсеното обезщетение от 1000 лева, считано от момента на подаване на исковата молба. С уточняващата молба от 15.11.2019 г. е конкретизирал, че оспорва "бездействието на НАП да защити личните данни на ищеца и едновременно с това се предявява иск за обезщетение на причинените от това бездействие и предизвикано от него разпространение на личните му данни неимуществени вреди. " Първоинстанционният съд е установил, че в КЗЛД не е налице висящо или приключило производство, инициирано от ищеца, което е условие за допустимост на предявения пред съда иск, съгласно чл. 39, ал. 4 от от ЗЗЛД. Административният съд е приел за установено от фактическа страна, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица, по което не се спори. По делото са приложени три извадки от получени SMS, в които по цитираните номера на заявки е отговорено, че "има неправомерно разкрити лични данни". От справка на НАП от 02.07.2020 г. е видно, че за идентификатор [ЕГН] (ЕГН на ищеца С. Н.) са разкрити лични данни, които включват ЕГН и имена; данни за изплатени доходи на физически лица за 2007 г.; данни от годишна данъчна декларация за 2003 г., както и за 2010 г., данни от декларации, подадени от работодатели/осигурители за осигурени лица, данни за изплатени доходи на ФЛ за 2015 г., данни от справки-декларации по ЗДДС, в това число и декларация за промяна/ първоначално деклариране на авансови вноски за описаните години и други подобни. По делото са приети писмени доказателства, от които се установява, че след изтичането на лични данни от информационните масиви на НАП, последната е информирала за това Софийска градска прокуратура и Комисията за защита на личните данни. Във връзка с предприетите мерки за правомерно обработване и съхранение на личните данни ответната страна (касационен жалбоподател в настоящото производство) е представила писмени доказателства: заповед № 3 ЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с която е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3. 0 от м. май 2016 г.; заповед № 3 ЦУ-1595, с която са утвърдени "Указания за обозначаване и работа с информацията, версия 3. 0". Утвърдена е Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения; заповед № 3 ЦУ-586/30.04.2014 г. на изпълнителния директор на НАП, с която е наредено да се внедри СУСИ по стандарт БДС I. /I. 27001: 2006 в НАП. В НАП е изработена Методика за оценка на риска, версия 1, към м. декември 2013 г. По делото е предоставена информация от КЗЛД, като постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на ЗЗЛД (чл. 61, ал. 1 ЗЗЛД) че същата е извършила проверка за изтеклата информация от информационните масиви на НАП, при която е установено, че при осъществяване на дейността си НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. За така установеното, председателят на КЗЛД е издал наказателно постановление против НАП за нарушение на член 32, параграф 1, б. "б" от Общия регламент относно защитата на личните данни. Наказателното постановление е обжалвано пред Софийския районен съд и не е влязло в сила. Отделно от това, предвид констатираните нарушения, с решение № ППН-02-399/22.08.2019 г. по описа на КЗЛД, на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки. Решението е оспорено пред АССГ, като е образувано адм. дело № 10477/2019 г., което е висящо и не е приключило с окончателен съдебен акт. Съдът с определение, постановено в съдебно заседание на 22.06.2020 г., е постановил, че предявеният иск следва да се квалифицира с правно основание член 79, параграф 1 и член 82, параграф 1 от Регламент (ЕС) 2016/679, докладвал е материалите по делото и е разпределил доказателствената тежест между страните, с дадени конкретни указания и задължения по събиране на доказателствата. Приел е, че с оглед въведеното фактическо основание на предявения осъдителен иск – бездействие на ответника да изпълни свои законови задължения, ищецът е в правното положение на ищец по отрицателен установителен иск и е в тежест на ответника да докаже отричаното от ищеца надлежно изпълнение на задълженията. Допуснал е служебно, на основание чл. 195, ал. 1, предл. 2-ро ГПК във вр. чл. 204, ал. 5 АПК извършването на съдебно-техническа експертиза, с вещо лице със специалност "киберсигурност", като е дал възможност на ответника в 14-дневен срок да формулира задачи за експерта, с изрично указание, че ако откаже, съдът ще отмени определението си за допускане на експертиза и ще реши спора съобразно наличните по делото доказателства и носената от страните доказателствена тежест. С молба от 06.07.2020 г. НАП е представила изисканите писмени доказателства и информация и се е отказала от възможността да формулира задачи към вещо лице за извършване на съдебно-техническа експертиза по съображения, че доказателствената тежест в тази насока е за ищеца и същият следва да докаже осъществяването на фактическия състав по чл. 1, ал. 1 ЗОДОВ. Съдът с определение, постановено в закрито съдебно заседание на 09.07.2020 г., е отменил определението си от 22.06.2020 г. за допускане на съдебно-техническа експертиза, която да се извърши от вещо лице със специалност "киберсигурност". Съдът е събрал гласни доказателства, чрез разпит на свидетеля И. К., приятел на ищеца. От показанията на свидетеля е установил, че ищеца е изпитвал притеснения за изтеклите му лични данни. Същият притежава голям собствен бизнес - фирма за транспортна дейност и е споделил, че изпитва страх, поради изтеклите данни за бизнеса си, както и да не бъда отвлечен член на семейството му. Съдът е приел, че впечатленията на свидетеля са преки и непосредствени и произтичат от комуникацията му с ищеца, поради което ги е кредитирал като обективни и достоверни. При тези фактически обстоятелства, които се възприемат изцяло и от касационната инстанция, съдът правилно е приел от правна страна, че искът е допустим и частично основателен, като го е уважил за сумата от 700 лева. Правилно съдът е приел, че предявеният иск е допустим, като в тази връзка е цитирал и практика на ВАС. Правилно съдът е приел от правна страна, че разглежданата искова претенция е с правно основание член 79, параграф 1 от ОРЗД и член 82, параграф 1 от същия. Член 79, параграф 1 предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно член 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване – член 79, параграф 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в член 82, параграф 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. При обсъждане на правната квалификация на предявения иск и неговата основателност, касационният състав намира, че първоинстанционният съд неправилно е обсъждал разпоредби от Глава осма от закона, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, т. к. са неотносими към настоящия правен спор. Това обстоятелство обаче не рефлектира върху правилността на решението, предвид правилно определеното правно основание на иска с относимите разпоредби от Европейското право. Първоинстанционният съд правилно е приел, че са налице изискуемите предпоставки за основателност на предявения иск. Материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. Ето защо, съдът правилно е приел, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. доказано нарушение на Регламент (ЕС) 2016/679; 2. наличие на материална или нематериална вреда; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Административният съд правилно е приел, че ищецът носи доказателствата тежест да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Съответно, ответната страна е следвало да установи, че е изпълнила задълженията си да защити по сигурен начин данните на ищеца, произтичащи от член 24 и член 32 от Общия регламент. Неоснователни са възраженията на касационния жалбоподател за допуснати съществени нарушения на съдопроизводствените правила поради неправилно разпределена доказателствена тежест между страните. Противно на доводите в касационната жалба, съдът правилно е разпределил доказателствената тежест, като е приел, че ответникът следва да докаже изпълнението на действията, дължими по силата на посочените правни норми, които обезпечават защитимото право на ищеца. Съгласно чл. 82, параграф 3 от ОРЗД, предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. Следователно в тежест на ответника по иска е да установи, че е изпълнил задължението си да защити по сигурен начин данните на ищцата. В своя защита срещу предявения иск, ответникът е представил само писмени доказателства, описани от решаващия съд, които може да се приеме, че установяват вземането на организационни мерки от страна на НАП, назад във времето, но липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните и че същите са актуализирани. Липсват доказателства, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. Липсват и доказателства за това, какви технически мерки е взел ответникът, за да защити личните данни, които обработва, от неправомерен достъп. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи технически мерки за осигуряване на новото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Не е представил и доказателства, че утвърдените процедури и методики, за които е представил писмени доказателства, са изпълнявани. НАП дори не е установила неправомерния достъп, а е разбрала за него от публикации в медиите, което означава, че взетите организационни мерки не гарантират, че администраторът следи за неправомерен достъп и при наличието на такъв, разбира своевременно за това. Представянето на писмени доказателства за наличието на организационни мерки е недостатъчно, за да се приеме, че предприетите от администратора мерки са подходящи. Твърденията и представените доказателства за предприетите от ответника действия след "изтичането" на данните са част от задълженията му по регламента и закона, но не доказват, че взетите от него мерки са ефективни и подходящи. Освен това, случая съдът коректно е указал на ответника, че за установяване изпълнението на задълженията за предприемане на подходящи и ефективни технически мерки са му необходими специални знания от специалност "киберсигурност", с които съдът не разполага, поради което му е дал възможност да формулира задачи за вещото лице по допусната служебно съдебно техническа експертиза. Административният съд, като се е позовал на изричния отказ на касационния жалбоподател (ответник в първоинстанционното производство) да бъде извършена такава експертиза, правилно е преценил, че администраторът на лични данни не е установил, че извършените от него действия, за които са представени само писмени доказателства, са били подходящи технически за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищеца. Представените в настоящото касационно производство писмени доказателства относно предприетите от НАП мерки не обуславят по смисъла на чл. 219, ал. 1 от АПК наличието на касационни основания за отмяна на съдебното решение, а само съществуването на още документи, които не са представени своевременно пред първата инстанция. Правилно решаващият съд е приел, че ответникът като администратор на лични данни не е изпълнил задълженията си по член 24 от ОРЗД, съгласно който администраторът като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, следва да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящия регламент, които следва да се преразглеждат и при необходимост се актуализират, както и задължението си по член 32, параграф 1 от ОРЗД, съгласно който като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност (...). В параграф 2 на член 32 е посочено, че при оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, по-специално от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. В светлината на цитираните правила, правилно е прието от административния съд, че е установен първият елемент от фактическия състав на предявения иск - бездействие за точно изпълнение на задължението по член 32 от Общия регламент относно защита на личните данни. Представените по делото писмени доказателства от касационния жалбоподател сочат на предприети организационни мерки, но не доказват по несъмнен начин, че същите са били в такава степен подходящи и ефективни, както и че са взети такива технически мерки, които са подходящи и ефективни по начин, който гарантира изискваното ниво на сигурност при обработването на личните данни в съответствие с Регламента. Съответно съдът правилно е приел, че събраният доказателствен материал по делото не обуславя извод, че са изпълнени изискванията на член 24 и член 32 от Регламента и не е налице основание администраторът на лични данни да бъде освободен от отговорност поради осъществяване на условието на член 82, параграф 3 от Общия регламент. Правилно съдът е приел, че са налице също втората и третата предпоставка за основателност на исковата претенция. Съдът точно е посочил, че защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. Съдът правилно е преценил, че е накърнено основно право на ищеца - физическо лице, от ответника като администратор на лични данни поради извършеното обработване на личните му данни, което нарушава Общия регламент - неприложени от администратора на лични данни подходящи технически мерки за осигуряване на ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, което е направило възможно пробива в информационните масиви на НАП. В резултат на нарушението, ищецът е изпитал неудобства, чувствал се е притеснен и несигурен, накърнени са били легитимните му очаквания спрямо държавата за сигурност в личната и имуществената му сфера, предвид общодостъпната информация и възможни злоупотреби с личните му данни занапред. Съдът правилно е кредитирал показанията на свидетеля като достоверни, както и че същите сочат за отрицателни преживявания и негативно емоционално състояние на ищеца, което е провокирано от нарушението на Регламента при обработване на личните му данни от касационния жалбоподател, в качеството му на администратор на лични данни. Съдът правилно е приел, че с оглед спецификата на непозволеното увреждане в резултат на неправомерно обработване на лични данни на засегнатия субект, следва да се обезщетят причинените неимуществени вреди, изразяващи се в притеснението от бъдещи евентуални злоупотреби с личните данни на ищеца и е отхвърлил възраженията на ответника в обратна насока, поддържани и в касационната жалба. Следва да се споделят съображенията на съда, че ищецът може да претендира обезщетение за неимуществените вреди от бездействието на ответника да изпълни задължението си да защити по сигурен начин данните му като физическо лице. Нематериалните вреди настъпват в резултат от нарушаването сигурността на данните, като в съображение 146 от Регламента е посочено, че понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. На плоскостта на това съображение, съдът правилно е приел, позовавайки се и на съдебната практика по приложението на чл. 2 от ЗОДОВ, че нематериални вреди са налице и при преживени отрицателни, негативни състояния, свързани с притеснения от допуснатия пробив в сигурността на обработване на личните данни, като същите не са хипотетични и евентуални, както поддържа касаторът, нито е необходимо да бъде доказана реално съществуваща заплаха от увреждане на имущество или претърпяна реална вреда. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо (личните данни) е достатъчно, за да се ангажира отговорност на администратора на лични данни, който има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основни права. При положение, че по делото е установено, че в резултат на изтичане на личните му данни, ищецът е преживял стрес и изпитвал негативни емоции, съдът обосновано е намерил, че е налице причинна връзка между нарушението по член 82, параграф 1 от Регламента и претърпените нематериални вреди, следователно е изпълнен фактическият състав, обуславящ основателността на иска за присъждане на обезщетение за претърпените нематериални вреди в резултат на нарушението на правилата за защита на личните данни. Правилно и обосновано съдът е отхвърлил доводите на касатора, че липсва пряка причинно следствена връзка между изтичането на личните данни на касационния ответник и претърпените нематериални вреди от същия, т. к. първото е в резултат на извършения неправомерен пробив от външно лице в информационната система на НАП. Съдът вярно е посочил, че въпросът дали проведената хакерска атака от външно лице осъществява състав на престъпление е ирелевантен по делото, т. к. същественото е дали администраторът на лични данни е приложил подходящи технически и организационни мерки, по начин, който би го освободил от отговорност за събитието, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. Съдът е обсъдил изложените съображения от касатора в тази насока и правилно е подчертал, че проявеното бездействие на ответника да изпълни задълженията си по гарантиране сигурността на личните данни на засегнатия субект (процесуална последица от непроведеното от него успешно пълно доказване на надлежно изпълнение на задължението му за сигурност на обработването) е в пряка причинна връзка с настъпилите нематериални вреди за последния. Неоснователни са също доводите на касатора за наличие на висящо производство пред Софийския районен съд по обжалване на наказателното постановление, с което е санкциониран администраторът на лични данни, предвид липсата на идентичност на предмета на двете производства, както и на преюдициалност на производството пред съда по повод наложените принудителни административни мерки от надзорния орган, и претенцията на ищеца като физическо лице за обезщетение, предявена пред съда. В тази връзка трябва да се подчертае разграничението между незаконосъобразността на бездействието на касатора при осъществяване на административната дейност по обработване на личните данни като материално правно условие за основателност на претенцията и като основание за налагането на принудителни административни мерки и административни санкции за това нарушение от надзорния орган. Както се посочи, съгласно правилото на член 79, параграф 1 от Общия регламент за защита на личните данни, субектът на данни разполага с право на ефективна съдебна защита, независимо от наличните административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган, т. е. не е възможно да бъде отречено правото му да предяви осъдителен иск за обезщетение, гарантирано от Общия регламент за защита на личните данни поради висящ съдебен спор между администратора на лични данни и надзорния орган, т. к. това би представлявало поставяне на допълнително условие от националното право, в нарушение на принципите на равностойност и ефективност. Съдът правилно е приел, че оценката на интензитета на претърпените неимуществени вреди обуславя извод за частична основателност на претендираното обезщетение за същите. Обезщетението за неимуществени вреди се присъжда по справедливост, съгласно чл. 52 от ЗЗД. Размерът на обезщетението за неимуществени вреди се определя с оглед характера на същите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние като следствие от тях. Също така, размерът на обезщетението не следва да бъде и източник на обогатяване за пострадалия, т. е. следва да бъде съобразен със стандарта на живот в обществото. В този контекст, съдът обосновано е приел, че обезщетение в размер на 700 лева. е съразмерно на претърпените неимуществени вреди, отговаря на конкретните данни по делото и е в съответствие с обществените представи за справедливост. Поради това решението на административния съд в осъдителната част за сумата 700 лева. е правилно и обосновано. Предвид изложеното, обжалваното решение е правилно и обосновано и при липсата на касационни основания за отмяната му следва да се остави в сила. С оглед изхода на спора и своевременно направеното искане за присъждане на разноски от пълномощника на касационния ответник, на адвокат С. Ю. следва да бъдат присъдени разноски за касационната инстанция, представляващи адвокатско възнаграждение. В договора за правна помощ е посочено, че правната помощ е безплатна на основание чл. 38, ал. 1, т. 3, предложение второ от Закона за адвокатурата - защита на близки или на друг юрист и на това основание са поискани от съда. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 от Закона за адвокатурата и осъжда другата страна да го заплати. Минималният размер на адвокатското възнаграждение е регламентиран в Наредба 1/2004 година за минималните размери на адвокатските възнаграждения, като приложимата разпоредба е тази на чл. 8, ал. 1, т. 1 (Нова – ДВ, бр. 84 от 2016 г.), съгласно която за процесуално представителство, защита и съдействие по административни дела с определен материален интерес до 1000 лева е 300 лева. Съобразно уважената част от иска в размер на 700 лева, дължимото адвокатско минимално възнаграждение е 210 лева. С оглед на това Национална агенция за приходите следва да заплати на адвокат С. Ю. разноски в размер на 210 лева. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, пето отделение,