Решение № 8293 от 31.7.2025 г. на ВАС по адм. д. № 9673/2024 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на Национална агенция за приходите/НАП/-София , чрез процесуален представител , против решение 6069/22.05.2024 г. по адм. д. 11175/2019 г. описа на Административен съд София-град/АССГ/. Иска се отмяна на решението, като постановено при допуснато съществено нарушение на съдопроизводствените правила, в нарушение на материалния закон, непълнота на доказателствата и необосновано касационни основание по чл. 209, т. 3 от АПК. Желае се отмяна на решението и отхвърляне на иска. Претендират се разноски, съобразно представен списък на разноските за всички съдебни инстанции. По делото е постъпила и частна жалба от НАП срещу определение 12307/18.07.2024г-, постановено по дело 11175/2024г., с което е оставено без уважение искането на НАП за изменение на решение 6069/22.05.2024 г., в частта за разноските. Ответната страна Й. С. П. , чрез процесуален представител, в писмени отговори оспорва касационната и частна жалби и иска оставянето им в сила. Представителят на Върховна касационна прокуратура намира касационната жалба за неоснователна, не изразява становище по частната жалба. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната и частна жалби са подадени в срока по чл. 211 от АПК от страна, за която съдебните актове са неблагоприятни, намира същите за допустими. Разгледана по същество са основателни, по следните съображения: С оспореното решение 6069/22.05.2024 г. постановено по адм. д. 11175/2019 г. описа на АССГ НАП е осъдена да заплати на Й. П. обезщетение за претърпени неимуществени вреди в размер на 500 лева, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., като е отхвърлен иска за разликата над този размер до пълния предявен размер от 1000 лв. Със съдебното решение, на основание чл. 10, ал. 3 от ЗОДОВ НАП е осъдена да заплати на П. и сумата от 20 лв., както и 400 лв. адвокатско възнаграждение за адв. С. Юрукова. На основание чл. 10, ал. 4 от ЗОДОВ Й. С. П. е осъдена да заплати на НАП сумата от 100 лв. За да постанови решението си съдът е разгледал иск с правно основание чл. 82, пар. 1 от Регламент /ЕС/ 2016/679 на ЕП и Съвета /GDRP/. Приел, че НАП като администратор на лични данни не е изпълнила задължения по чл. 59, ал. 1 от Закона за защита на личните данни / ЗЗЛД/ по чл. 24, чл. 32 от Регламента и чл. 59, ал. 1 от ЗЗЛД, поради което на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП и е разпространена защитена информация на граждани, обработвана от НАП. Съдът е посочил, че ответникът по иска, чрез бездействие, не е изпълнил по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица и това е в пряка причинна връзка с негативните преживявания на ищеца. Посочил, че от ищцата е представена извадка от SMS със съдържание "НАП: По заявка номер 3826 ИМА неправомерно разкрити лични данни", но не е посочено лицето, за което е направена справката по посочената заявка. Приел, че НАП не оспорва факта, че по отношение на П. са налице неправомерно разкрити лични данни. Констатирал, че не са представени доказателства кои лични данни са достъпни. По отношение на претърпените от ищеца неимуществени вреди е приел, че са доказани, с позоваване на т. 6 от решение по дело С-340/2021 г. на СЕС. Решението е постановено при спазване на съдопроизводствените правила и правилно разпределена доказателствена тежест в съответствие с решение по С-340/21, но е необосновано и материално незаконосъобразно, касационни основания по чл. 209, т. 3 от АПК. С определение от 23.07.2021 г. съдът е разпределил доказателствената тежест и указал на ищцата, че следва да установи съществуването на фактите и обстоятелствата , посочени в исковата молба, от които черпи благоприятни за себе си правни последици , установявайки : наличие на твърдени вреди; нарушение на ОРЗД; пряка и непосредствена причинно следствена връзка между него и вредите. На ответната страна е указано, че е носител на доказателствената тежест относно установяване изпълнение задълженията му по ОРЗД, липсата на нарушение на ОРЗД; също така, че не е отговорен за събитието, причинило вредите; че съгласно чл.24,§2 и §3 от ОРЗД е предприел подходящи политики за защита на данните и придържането към одобрени кодекси за поведение или одобрени механизми за сертифициране и прилагане на конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. С определение от 19.01.2024г. съдът отново разпределил доказателствената тежест, като даде конкретни указания на страните при съобразяване и с решение Съда на Европейския съюз /СЕС/ от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, според което разпоредбата на чл. 82, пар. 1 от ОРЗД трябва да се тълкува в смисъла, че опасенията, които субект на данни изпитва, вследствие на потенциална злоупотреба с личните му данни от трето лице /трета страна по смисъла на чл. 4, т. 10 от ОРЗД/, могат сами по себе си да представляват нематериална вреда, която също подлежи на доказване. Администраторът на лични данни по смисъла на чл. 4, т. 7 от ОРЗД /какъвто безспорно е НАП в случая/ при обработването им следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, пар. 1, б. а, както и по б. е от ОРЗД, поради което при указване на доказателствената тежест, съдът следва да съобрази посочената приложимата правна уредба и цитираното решение на СЕС, в което е тълкувана. От НАП са представени "Политика по защита на личните данни в НАП", указания за работа с информация, версия 3.0, съобразно Наредба за общите изисквания за мрежова и информационна сигурност, "Политика по информационна сигурност на НАП, версия 3.0 от 2016 г., Инструкция 2/8.05.3029 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри, Методика за оценка на риска и др. Ищцата е ангажирала гласни доказателства в подкрепа на твърденията си за причинени неимуществени вреди, разпитано е лицето М. Б., която споделила впечатленията си от притесненията които П. изпитвала с узнаване на факта за теч на личните й данни, с твърдение за влошаване на здравословното състояние и необходимост от медицинска помощ. Съобразно т. 6 от решението по дело С-340/2021 г. на СЕС чл. 82, пар. 1 от Регламента следва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие нарушение на този регламент, от потенциална злоупотреба с неговите лични данни то трети лица, могат сами по себе си да представляват "нематериална вреда" по смисъла на тази разпоредба. Във връзка с разпределената доказателствена тежест, ищцата е представила копие на съобщение от телефон, в отговор на изпратена заявка до НАП с текст "НАП: По заявка номер 3826 ИМА неправомерно разкрити лични данни" В действителност, ищецът, съобразно разпределената му доказателствена тежест, не е ангажирал доказателства от кого е подадена заявката и за лични данни на кое лице се отнася отговора на НАП. Липсват и доказателства какви конкретно са неправомерно разкритите лични данни. В допълнение следва да се посочи, че от страна на НАП е създадена възможност да бъде направена конкретна справка от всеки гражданин по имена и ЕГН за вида на неправомерно достъпените лични данни, от която възможност ищцата не се е възползвала и не е представил доказателства за извършване на подобна справка. Поради процесуалното бездействието на ищцата Й. С. П. делото не е попълнено с релевантни за спора доказателства дали той е сред засегнатите лица от хакерската атака срещу електронните масиви на НАП и какви точно негови лични данни са разкрити. В тази връзка събраните гласни доказателства опасения от възможна злоупотреба с личните му данни, не са сами по себе си достатъчни за ангажиране отговорността на ответника. Поради изложеното касационната инстанция приема, че в производството не е доказано неразрешено разкриване или достъп до лични данни на ищеца, както и не са доказани заявените опасения от възможна злоупотреба с негови лични данни. Като е уважил иска и присъдил обезщетение за 500 лева, съдът е постановил неправилно осъдително решение, което следва да бъде отменено, а искът отхвърлен до уважения размер. Решението подлежи на отмяна и в частта относно присъдените в полза на ищеца държавна такса в размер на 20 лв. и адвокатско възнаграждение за адв. Юрукова. На тази плоскост, разглеждането на частната жалба срещу определение 12307 /18.07.2024г. , с което е оставено без уважение искането за изменение на решението в частта за разноските се явява безпредметно. Предявеният иск следва да бъде отхвърлен като неоснователен, като в полза на касатора следва да бъдат присъдени направените разноски според представения списък - юрисконсултско възнаграждение за всички инстанции - общо в размер на 200 лв. на основание чл. 78, ал. 8 ГПК вр. с чл. 24 от Наредбата за заплащането на правната помощ . Воден от горното и на основание чл. 221, ал. 2 от АПК Върховният административен съд, състав на Пето отделение