Решение № 9257 от 26.7.2024 г. на ВАС по адм. д. № 2606/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Националната агенция за ходите (НАП), подадена чрез пълномощника юрисконсулт Л. Танев, срещу решение 7209 от 11.12.2020 г., постановено по адм. дело 11317/2019 г. по описа на Административен съд София - град (АССГ), в частта му с която НАП е осъдена да заплати на Т. Х. П. от гр. София сумата от 500 лева, представляваща обезщетение за причинени му неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата, по предявен иск с правно основание чл. 39, ал. 2 от Закона за защита на личните данни (ЗЗЛД), вр. чл. 82, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), в резултат от незаконосъобразно фактическо бездействие на НАП да изпълни задълженията си по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и по чл. 45 ал. 1 т. 6, чл. 59 ал. 1, чл. 64, чл. 66 ал. 1 и ал. 2, чл. 67 и чл. 68 ЗЗЛД, довело до нарушение на сигурността на личните данни по смисъла на § 1 т. 10 от ДР на ЗЗЛД, вр. чл. 4 т. 12 от Регламент (ЕС) 2016/679 и допуснат пробив в информационната система на НАП с резултат - публично разгласяване на личните данни на около 5 000 000 граждани, станало публично известно чрез медиите на 15.07.2019 г. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, като неоснователен. В тази част то не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът счита по отношение вмененото му незаконосъобразно фактическо бездействие, че цитираните от него приложими норми на ОРЗД, ЗЗЛД и Закона за отговорността на държавата и общините за вреди (ЗОДОВ) има предвид такова по чл. 256 АПК и очертания от не го предмет на доказване. Твърди се също така от касатора, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано АССГ е приел, че е налице твърдяното незаконосъобразно бездействие на Агенцията. Заявява, че съдът не е взел предвид образуваното пред Софийски районен съд административно наказателно дело 14811/2019 г. по повод обжалването от НАП на наказателно постановление 004 от 28.08.2019 г., издадено от председателя на Комисията за защита на лични данни (КЗЛД) във връзка с осъществен неоторизиран достъп до информационната система на НАП, което към тогавашния момент не е било приключило с влязъл в сила съдебен акт. Счита, че не е установено какви лични данни са изтекли по отношение на ищеца и действията които той е предприел в тази насока. Оспорва приетите като претърпени неимуществени вреди от ищеца под формата на стрес, безпокойство и притеснение, които съответно да са в причинна връзка с твърдяното неправомерно бездействие на администратора на лични данни. Също така съдът не е обсъдил становището на участвалия по делото прокурор, чиято категорична позиция е за неоснователност и недоказаност на ищцовата претенция. Въз основа на изложените оплаквания иска отмяна на атакуваното съдебно решение и постановяване на друго, с което предявеният иск бъде отхвърлен изцяло. Претендира юрисконсултско възнаграждение. Ответникът по касация Т. Х. П. чрез адвокати С. Юрукова и И. Юруков, в представени писмен отговор, молба и писмена защита, оспорва жалбата и моли съда да постанови решение, с което да я остави без уважение. Иска присъждане на съдебно-деловодни разноски, съгласно приложен списък по чл. 80 от Гражданския процесуален кодекс (ГПК). Представителят на Върховна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е неоснователна. Предмет на разглеждане пред АССГ е предявен иск с правно основание чл. 82, § 1 от ОРЗД, разгледан по реда на чл. 203 АПК, вр. чл. 39, ал. 2 ЗЗЛД, като се претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на П. като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване негови лични данни. С молба от 18.11.2019 г. ищецът е уточнил периода на претенцията и е конкретизирал, че оспорва бездействието на НАП да защити личните му данни, като едновременно с това предявява иск за обезщетение на причинените от това бездействие и предизвикано от ответника разпространение на личните му данни неимуществени вреди. От фактическа страна е прието, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на около 5 000 000 български граждани. Въз основа на извършена справка в специално разработено от НАП приложение /по ЕГН/ - на 11.08.2019г. ищеца разбира, че са изтекли негови лични данни- ЕГН и имена; данни подадени от организатора на онлайн хазартни игри,включващи и данни от личната му карта. По делото са приети писмени доказателства, от които се установява, че след изтичането на лични данни от информационните масиви на НАП, последната е информирала за това Софийска градска прокуратура и КЗЛД. Във връзка с предприети мерки за правомерно обработване и съхранение на личните данни от НАП са представени доказателства относно предприетите мерки във връзка с неправомерния достъп до информационните й масиви. От КЗЛД е предоставена информация, че е извършила проверка за изтеклата информация от информационните масиви на НАП, при която е установено, че при осъществяване на дейността си НАП не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. За така установеното, председателят на КЗЛД е издал наказателно постановление против НАП за нарушение на чл. 32, § 1, б. б от ОРЗД. Наказателното постановление е обжалвано пред Софийския районен съд и не е влязло в сила. Събрани са гласни доказателства, чрез разпит на свидетеля И. Юруков, приятел на ищеца. Според показанията му Т. П. е изпитвал притеснения когато научил за изтеклите му лични данни, да не бъде изтеглен кредит на негово име или да не се разпореди някой с негово движимо и недвижимо имущество. Поведението му се рязко променило с непрестанни мрачни мисли за злоупотреба с него. При тези така установената фактическа обстановка АССГ е приел предявеният иск за допустим и частично основателен, като го е уважил за сумата от 500 лева. Решението е правилно. Съгласно чл. 82, § 6 от Регламент (ЕС) 2016/679, съдебните производства във връзка с упражняването на правото на обезщетение при нарушаване на правата на субекта на лични данни, произтичащи от Регламента, се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в чл. 79, § 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност - публични органи или частноправни субекти. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора на лични данни е съответно на ОРЗД. Незаконосъобразността на същите, което е в пряка причинна връзка с претендираната вреда е основание за ангажиране на отговорността на извършителя и в този контекст чл. 39, ал. 2 ЗЗЛД дава правна възможност на субекта на данни да предяви и претенцията за обезщетение, която да бъде разгледана в същото производство. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета Производство за обезщетения на АПК. Следователно, правото да се претендира обезщетение за вреди, причинени от администратор на лични данни при или по повод обработване на лични данни на засегнатия субект се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК с препращане за неуредените въпроси към ЗОДОВ и ГПК. В случая правилно АССГ е съобразил, че правната квалификация на иска е дадена в определение 4966/28.04.2020г., постановено по адм. дело 2645/2020г., а именно : чл. 79, § 1 и чл. 82, § 1 от ОРЗД.Първата от тези разпоредби предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно чл. 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване чл. 79, § 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, § 1, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Не може да бъде възприето възражението на касационния жалбоподател, че не е установено по отношение на ищеца да са разкрити лични данни, тъй като справката за това какви данни са изтекли за ищеца изхожда от НАП и тя правилно е била възприета от АССГ като установяваща наличието на този факт. От значение за разрешаването на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., като производството по настоящото дело беше спряно до постановяването му. Съгласно това решение чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Предвид дадените указания от СЕС, при правилност на определеното от АССГ правно основание на предявения иск - чл. 82 ОРЗД и разпределение на доказателствената тежест, решаващият съд е достигнал до законосъобразни правни изводи. От доказателствата по делото може да се направи категоричен извод за наличие трите предпоставки за основателност на иска по чл. 82 ОРЗД - допуснато от администратора на данни нарушение на Регламент (ЕС) 2016/679, наличие на материална или нематериална вреда и причинна връзка между претърпяната вреда и нарушението на Регламента. Първоинстанционният съд обосновано на установените факти по делото е приел, че е налице първата предпоставка - нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни спрямо правата на ищеца, в качеството му на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, § 3 ОРЗД, НАП не доказва в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да минимизира риска от нерегламентиран достъп на трети лица. Независимо от правилно разпределената тежест на доказване от АССГ, Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищеца са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищеца за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищеца и останалите физически лица. По изложените съображения касационният състав намира за правилен извода на АССГ, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Обосновано на доказателствата по делото съдът е намерил, че са налице също втората и третата предпоставка за основателност на исковата претенция. Защитата на физическите лица във връзка с обработването на лични данни е основно право.