Решение № 1452 от 17.2.2025 г. на ВАС по адм. д. № 9646/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП), против решение 6006/22.05.2024 г., постановено по адм. д. 11300/2019 г. по описа на Административен съд София-град (АССГ), в частта с която НАП е осъдена да заплати на В. П. Р. сумата от 500 лв., представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата и в частта с присъдените разноски. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Иска решението да бъде отменено. Подробни съображения в подкрепа на доводите излага в касационната жалба и в открито заседание. Претендира разноски за юрисконсултско възнаграждение. Ответникът В. П. Р. оспорва касационната жалба по съображения в писмен отговор. Претендира разноски по представен списък. По делото е подадена и частна жалба от Национална агенция за приходите, срещу определение 12295/18.07.2024 г. по описа на АССГ, постановено по адм. дело 11300/2019 г., с което е оставена без разглеждане молбата на НАП за изменение на решение 6006 от 22.05.2024 г. в частта за разноските. Частният жалбоподател иска отмяна на обжалваното определение. Претендира присъждане на разноски за настоящата инстанция. Ответникът по частната жалба - В. П. Р., чрез процесуален представител оспорва същата и иска съдът да остави в сила обжалвания акт. Представителят на Върховната касационна прокуратура заявява становище за неоснователност на касационната и частна жалба. Върховният административен съд, Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е основателна по следните съображения: Първоинстанционното производство е образувано по иск с правно основание чл. 82, § 1 вр. § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/ Регламент(ЕС) 2016/679/ ОРЗД), разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). В. П. Р. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили вследствие на незаконосъобразно бездействие от страна на НАП да изпълни задължението си да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищцата, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните ѝ данни. С протоколно определение от 27.10.2021 г. делото е спряно на основание чл. 229, ал., т. 4 вр. с чл. 144 АПК, а впоследствие с определение от 19.01.2024 г. възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. За да постанови обжалваното решение АССГ е приел, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че В. Р. е доказала настъпването на неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с нейните лични данни ще бъде злоупотребено, като може да бъдат изтеглени притежаваните от нея депозити, както и че може да се злоупотреби с недвижимото й имущество. Поради това, АССГ приема за доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на администратора. Решението е неправилно. Правното основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно обаче АССГ е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от ОРЗД. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи (Решение от 14.12.2023 г. по С-340/21 на СЕС). Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието, причинило вредата. Неправилно първоинстанционния съд е приел, че са доказани вторият и третият елемент от фактическия състав на отговорността по чл. 82 от Регламента. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, §1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. За доказване разкриването на лични данни Р. е представила снимка на електронно съобщение от НАП със следното съдържание: НАП: по заявка номер 3348 ИМА неправомерно разкрити лични данни. Не са представени доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени. Съдът правилно приема, че тези обстоятелства не са доказани. В молба от 16.10.2020 г. процесуалния представител на ищцата е направил искане за допускане на един свидетел при режим на довеждане, който да установи вида и характера на причинените на Р. неимуществени вреди, което искане е уважено от съда с протоколно определение от 21.10.2020 г. В съдебно заседание на 20.01.2021 г. не е доведен свидетел, поради което съдът изрично е предупредил ищцата, че при недовеждането на свидетел за датата на следващото съдебно заседание, същият ще бъде заличен. В проведеното на 10.03.2021 г. съдебно заседание съдът е заличил допуснатия свидетел, след като такъв не е бил доведен от Р.. Няма ангажирани други доказателства от ищеца, такива не са представени и с касационната жалба. За да може да се приложи принципа на равностойност и ефективност ищецът следва да посочи и докаже неимуществените вреди. Неимуществените вреди не се презумират. Целта на доказването на претърпените вреди е да се ангажира отговорността на администратора на лични данни и да се определи адекватно парично обезщетение. Правилата за доказателствената тежест на иск по чл. 82 ОРЗД не са по-неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 от ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищцата да докаже, че именно нейни конкретни лични данни са изтекли, като от разкриването на последните тя е претърпяла твърдените неимуществени вреди - страх, притеснения и безпокойство, че с данните й може да бъде злоупотребено, че могат да бъдат изтеглени притежаваните от нея депозити и да се злоупотреби с недвижимото й имущество. Р. не е ангажирала никакви доказателства, с които да установи настъпването на неимуществени вреди, за които твърди в исковата си молба. Напротив, налице е процесуална пасивност на ищцата, която не е довела допуснатия й свидетел при режим на довеждане, въпреки изричните указания на съда, че при неосигуряването му за съдебното заседание, същият ще бъде заличен. Липсата на доказателства в посочения смисъл имат за правна последица недоказаност на втория елемент от фактическия състав на отговорността. Трите елемента са кумулативно дадени в чл. 82 от ОРЗД, липсата на доказаност на който и да е от тях има за правна последица неоснователност на иска. По изложените съображения решението в обжалваната част като неправилно следва да се отмени и се постанови ново, с което предявеният от В. П. Р. иск се отхвърли за сумата от 500 лева. С оглед окончателния изход на спора се оказва безпредметна частната жалба, подадена от НАП против определение 12295/18.07.2024 г. по адм. д. 11300/2019 г. на АССГ, постановено по реда на чл. 248 от ГПК, но за пълнота на изложението следва да се посочи, че законосъобразно и при точно приложение на ГПК първата инстанция е оставила без разглеждане искането на НАП. В съответствие със задължителното тълкуване на закона, направено в Тълкувателно решение 6/20213 г. на Върховния касационен съд, представянето на списък по чл. 80 от ГПК е процесуална предпоставка за упражняване на правото по чл. 248 от ГПК за изменение на решението в частта от разноските. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да бъде определен в общ размер на размер на 200 лв. (по 100 лв. за юрисконсултско възнаграждение за всяка една от съдебните инстанции). По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение