Решение № 431 от 16.1.2025 г. на ВАС по адм. д. № 6667/2024 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частите от решение 1418/05.03.2024 г. по адм. дело 5224/2021 г. на Административен съд - София - град (АССГ), с които е осъдена НАП, да заплати на Й. Д. К. от гр. София, сума в размер на 500 лева, представляваща обезщетение за неимуществени вреди за периода 15.07.2019 г. до настоящия момент, вследствие незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни и по чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ОРЗД), да гарантира достатъчно ниво на сигурност на обработваните от НАП лични данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното й изплащане; НАП е осъдена да заплати 22,50 лева разноски на ищеца и 800 лева адвокатско възнаграждение на адв. С. Юрукова. Касаторът поддържа в касационната жалба, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, отхвърляне на исковете за обезщетение и лихви, присъждане на юрисконсултско възнаграждение за касационното производство. Ответникът по касационната жалба - Й. Д. К., в писмен отговор и писмена защита, чрез процесуален представител, оспорва същата, като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира присъждане на разноски за касационната инстанция и присъждане на адвокатско възнаграждение на адв. Юрукова за оказана безплатна адвокатска помощ. Представителят на Върховна прокуратура изразява становище за неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С решение 6082/19.05.2021 г. по адм. дело 11034/2020 г. на Върховния административен съд, трето отделение е отменено решение 4694/24.08.2020 г. по адм. дело 11173/2019 г. на АССГ и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищеца правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. За да постанови обжалваната част от решението, АССГ е приел, че за да е реализирана отговорността на държавата по чл. 1, ал. 1 ЗОДОВ, следва да са налице кумулативно определени предпоставки: да има причинена вреда-имуществена или неимуществена; да съществува незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината; незаконосъобразният акт или бездействието да са при или по повод изпълнението на административна дейност; пряка и непосредствена причинна връзка между незаконосъобразният акт, действието или бездействието и настъпилата вреда. Изложил е доводи, че е налице първата предпоставка на визираната в чл. 1, ал.1 ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59 ЗЗЛД и чл. 24 и чл. 32 от ОРЗД задължения. Съдът е приел за безспорно, че НАП има качеството на администратор на лични данни по см. на чл.4, т.7 от ОРЗД, и че са изтекли лични данни, обработвани от НАП, което обстоятелство е установено и обявено на 15.07.2019г. Изложил е доводи, че с оглед разпределената доказателствена тежест, ответникът не е успял да докаже изпълнение на законовото си задължение, че приложените от него мерки за сигурност на личните данни по чл. 32 от Регламента са подходящи. Ето защо е останал недоказан фактът, че извършените от НАП действия, са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищцата. Ответникът не е доказал какви технически мерки са предприети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било осуетяването на изтичането на данни. НАП, в качеството си на администратор на лични данни при осъществяване на дейността си, е следвало да предприеме ефективни мерки за предотвратяване неразрешения достъп до личните данни на ищцата. В процесния случай това не е постигнато. Съдът е кредитирал показанията на разпитания по делото свидетел, от които е установено, че ищцата е преживяла безпокойство и притеснение, почувствала се е застрашена, че с нейните лични данни може да бъде злоупотребено, като може да бъдат изтеглени на нейно име, без знанието й кредити, да бъде регистрирано търговско дружество и т.н., поради което е приел, че е осъществена и втората предпоставка за ангажиране на отговорността на ответника, а именно: претърпяна вреда от Й. Д. К. от това незаконосъобразно бездействие При така установеното съдът е приел за доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното по-горе незаконосъобразно бездействие на администратора, т.е. доказана е и третата предпоставка за основателност на иска. При определяне на размера на неимуществените вреди съдът подробно е обсъдил относимите обстоятелства като интензитета на вредите, продължителността на претърпяването им, възрастта и личността на ищеца, както и продължителността им, като е приел, че искът е частично основателен. Решението е неправилно в частта, в която е посочен като правно основание на уважения иск чл. 59 ЗЗЛД в осъдителния диспозитив. Посочената разпоредба е неотносима към задълженията на НАП като администратор на лични данни, тъй като се намира в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това решението следва да бъде отменено в частта, сочеща за правно основание на уважената част от иска чл. 59 ЗЗЛД. Решението е правилно като краен резултат в останалата обжалвана част, независимо, че настоящият съдебен състав не споделя изложените мотиви относно материално - правното основание на иска по чл.1, ал.1 ЗОДОВ и чл.257 АПК. Видно от задължителните указания на първата касационна инстанция правната квалификация на иска е по чл. 82, пар. 1 във връзка с пар. 2 от Регламент (ЕС) 2016/679 (ОРЗД). АССГ е разпределил правилно тежестта на доказване в съответствие със задължителните указания на ВАС. Твърдяното от касатора качество на НАП на административен орган е неточно, доколкото НАП не е колективен административен орган, а е администрация към административни органи. Тези твърдения обаче са правно ирелевантни при преценка на отговорността на НАП като администратор на лични данни и материалноправните предпоставки по чл. 4 ЗОДОВ и чл. 256 АПК са неотносими към правен спор относно отговорността на администратор на лични данни по чл. 82, пар. 1 във връзка с пар. 2 от Регламент (ЕС) 2016/679 за допуснати от него нарушения по чл. 24 и 32 от същия Регламент.