Решение № 2548 от 12.3.2025 г. на ВАС по адм. д. № 10559/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите, чрез гл. юрк. Г. Иванова, срещу Решение 2597/09.08.2024 г., постановено по адм. дело 784/2024 г. от Административен съд - Благоевград (АС - Благоевград). С обжалваното решение Административен съд Благоевград е осъдил по предявения иск с правно основание чл. 81, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО/Общ регламент относно защитата на данните, Националната агенция за приходите да заплати на Е. М. сумата в размер на 500 (петстотин) лева, представляваща обезщетение за неимуществени вреди, настъпили в периода от 15.07.2019 г. до датата на подаване на исковата молба от незаконосъобразно бездействие на органи на Национална агенция за приходите по изпълнение на задължения по членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година, ведно със законната лихва върху сумата, считано от датата на влизане в сила на настоящото решение до окончателното й изплащане. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, ведно със законната лихва, като неоснователен. Съдът е осъдил всяка от страните да заплати следващите се разноски на другата страна съразмерно с уважената и отхвърлена част на исковата претенция. Решението в отхвърлителната част не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано съдът е приел, че е налице твърдяното незаконосъобразно бездействие. Твърди, че първоинстанционният съд е извел неправилни и незаконосъобразни изводи за наличието на претърпяната неимуществена вреда от ищцата, тъй като от събрания доказателствен материал не е установено реално настъпване на неимуществените вреди. Моли обжалваното решение да се отмени и да се постанови ново, с което се отхвърли предявеният иск. Съображения в подкрепа на касационната жалба са изложени и в открито съдебно заседание. Претендира разноски. Ответникът по касация Е. И. М., чрез адв. Р. Василева, оспорва касационната жалба по съображения, изложени в писмен отговор. Моли да бъде постановено решение, с което да се отхвърли касационната жалба като неоснователна и недоказана, а обжалваното съдебно решение да се потвърди. Претендира разноски. Представителят на Върховната прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството по адм. дело 784/2024 г. по описа на Административен съд - Благоевград е образувано по реда на чл. 226, ал. 1 АПК, след като с Решение 6761/04.06.2024 г., постановено по адм д. 2161/2021 г. по описа на Върховен административен съд, Пето отделение, е отменено Решение 1940/14.12.2020 г., постановено по адм. дело 632/2020 г. по описа на Административен съд - Благоевград и делото е върнато за ново разглеждане в от друг състав на съда. Производството пред административния съд е образувано по предявен от Е. И. М. срещу НАП иск за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода от 15.07.2019 г. до подаването на исковата молба, в резултат на незаконосъобразно бездействие, изразяващо се в неизпълнение в достатъчна степен от страна на ответника на задълженията по член 24 и член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД , заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане. В изпълнение на указания, съдържащи се в Решение 6761/04.06.2024 г., постановено по адм д. 2161/2021 г. по описа на Върховен административен съд, Пето отделение, с Разпореждане 2060 от 24.06.2024 г. съдът е разпределил доказателствената тежест между страните, както следва: ищецът Е. М. следва да докаже претърпените неимуществени вреди, изразяващи се в опасения за злоупотреба с личните ѝ данни и интензитетът на тези опасения; ответникът НАП следва да докаже, че е предприел всички технически и организационни мерки за защита на личните данни на физическите лица, които обработва, от неразрешен достъп. При повторното разглеждане на спора са приобщени доказателствата, събраните в хода на производството по адм. дело 632/2020 г. по описа на Административен съд Благоевград и тези по адм. дело 2161/2021 г. по описа на Върховен административен съд. По делото са събрани гласни доказателства по искане на ищцата, като пред съда е преразпитан свидетелят В. М.. Според свидетелските показания, след като разбрала за публичното оповестяване на личните ѝ данни, ищцата била разтревожена и изпитвала притеснения от възможна злоупотреба с тях, поради което е променила пароли на профили в социалните мрежи, пин кодове на сметки и карти с цел превенция на бъдещи неблагоприятни икономически последици. При новото разглеждане на спора НАП не е ангажирал нито писмени, нито гласни доказателства. Първоинстанционният съд е приел за безспорно, че вследствие на неоторизиран достъп от неизвестно лице на 15.07.2019 г. до информационния масив на НАП публично са разпространени лични данни на физически лица. АС - Благоевград е приел от правна страна, че искът е с правно основание чл. 82, пар. 1 Регламент (ЕС) 2016/679, като НАП в качеството на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Съдът е приел представените от НАП въведени процедури за информационна сигурност, не са ефективни, тъй като не отговарят на критериите по член 24, параграф 1 от ОРЗД и не осигуряват сигурността на данните, като Агенцията не е успяла да докаже, че по никакъв начин не е отговорна за събитието. От това съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на втората и третата предпоставка съдът е приел, че е налице твърдяната от ищцата претърпяната вреда и причинно следствената връзка между вредата и неправомерното бездействие. Съгласно изискана и представена Справка от НАП със следното съдържание: За идентификатор [номер] има разпространени данни, които включват: ЕГН и имена; данни от годишна данъчна декларация (чл. 41 ЗОДФЛ) за 2006 г. съдът е приел за установени по вид и обем неправомерно разпространените лични данни на ищцата. Съдът е приел за доказани, съгласно дадените свидетелски показания, претърпените от Е. М. неимуществени вреди, изразяващи се притеснение и несигурност, опасения от възможна в бъдеще злоупотреба с лични данни и че същата ги е изпитала именно вследствие на незаконосъобразно бездействие от страна на Национална агенция за приходите по изпълнение на задължения по членове 24 и 32 от Регламент (ЕС) 2016/679. При така установено от правна и фактическа страна съдът е приел исковата претенция за частично основателна като е определил по справедливост обезщетение на Е. М. в размер на 500 лв. Поради основателността на главния иск е уважил и акцесорния иск за лихва върху обезщетението. Определил е разноски на страните съразмерно на уважената част на исковата претенция. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно и следва да бъде оставено в сила по следните съображения: Предявеният иск е с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид член 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед член 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Правилно първоинстанционният съд е разпределил доказателствената тежест между страните, като е указал на НАП да докаже, че е предприела всички технически и организационни мерки за защита на личните данни на физическите лица от неразрешен достъп. Разпоредбата на член 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищцата в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност, както правилно е преценил първоинстанционния съд. Представените писмени доказателства по адм. дело 632/20 г. по описа на АС - Благоевград и тези по адм. дело 2161/21 г по описа на ВАС, не доказват, че приложените мерки са подходящи за защита на личните данни. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Разкриването на лични данни в резултат на неоторизирания достъп не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Правилно съдът е приел, че в процесния случай е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. На ищцата от първоинстанционния съд са дадени указания да докаже твърдените за претърпени неимуществени вреди. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. Обоснован и съответен на приетите по делото доказателства е извода на първостепенния съд, че ищцата е претърпяла неимуществени вреди притеснения от бъдещи злоупотреби с личните ѝ данни. При първото разглеждане на делото по искане на ищцата е представена Справка от НАП, от която са видни видът и обемът на изтеклите лични данни на Е. М. - ЕГН и имена, както и данни от годишна данъчна декларация (чл. 41 ЗОДФЛ) за 2006 г. В този смисъл правилно са кредитирани показанията на допуснатия и разпитан по делото свидетел В. М. близък приятел на ищцата, от чиито показания се установява, че след като М. е разбрала за публичното оповестяване на личните ѝ данни, била разтревожена и изпитвала притеснения от възможна злоупотреба с тях, поради което е променила пароли на профили в социалните мрежи, пин кодове на сметки и карти с цел превенция на бъдещи неблагоприятни икономически последици. Следователно ищцата е доказала и какви нейни лични данни са достъпени неправомерно, както и преживените негативни последици от този факт. Правилно е заключението на АССГ относно наличието на причина връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл.82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т.е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретния случай поведението на ответника бездействие (неизпълнение задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни (събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните опасения и притеснения, т.е. доказания в производството отрицателен резултат в сферата на ищеца. Следователно изпитаните негативни емоции от страна на ищцата Е. М. са вследствие от неправомерното бездействие на НАП, поради което е правилно АС Благоевград е извел извод за наличие на третата предпоставка от фактическия състав по чл. 81, пар. 1 от Регламент (ЕС) 2016/679. Съдът правилно е приел, че оценката на интензитета на претърпените неимуществени вреди обуславя извод за частична основателност на претендираното обезщетение за същите. Обезщетението за неимуществени вреди се присъжда по справедливост, съгласно чл. 52 ЗЗД. Размерът на обезщетението за неимуществени вреди се определя с оглед характера на същите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние като следствие от тях. Също така, размерът на обезщетението не следва да бъде и източник на обогатяване за пострадалия, т. е. следва да бъде съобразен със стандарта на живот в обществото. В този контекст, съдът обосновано е приел, че обезщетение в размер на 500 лв. е съразмерно на претърпените неимуществени вреди, отговаря на конкретните данни по делото и е в съответствие с обществените представи за справедливост. Поради това решението на административния съд в осъдителната част за сумата 500 лв. е правилно и обосновано. Предвид изложеното, обжалваното решение е правилно и обосновано, не са налице сочените касационни основания за отмяната му, поради което следва да се остави в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на разноски, представляващи адвокатско възнаграждения за един адвокат за настоящата инстанция в размер на 400 лв., се явява основателна и следва да се уважи. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, Пето отделение