Решение № 392 от 15.1.2025 г. на ВАС по адм. д. № 1808/2021 г.

Производството е по реда на чл. 208 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Националната агенция за приходите, чрез процесуален представител, срещу решение 1904 от 08.12.2020 г., постановено по административно дело 634/2020 г. от Административен съд /АС/ Благоевград, с което е НАП е осъдена да заплати на С. И. И. от [населено място] сумата от 1000 лева -обезщетение за причинени неимуществени вреди, ведно със законната лихва, считано от датата на влизане в сила на обжалваното съдебно решение до окончателното плащане на сумата, както и сумата от 310 лева съдебни разноски по делото. Касационният жалбоподател обжалва съдебното решение като твърди, че е неправилно, постановено в нарушение на материалния закон, при съществено нарушение на съдопроизводствените правила и е необосновано - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска същото да бъде отменено и да се постанови друго, с което искът на С. И. бъде отхвърлен. Претендира разноски за юрисконсултско възнаграждение за двете съдебни инстанции. Ответникът по касационната жалба С. И. И., чрез процесуален представител, в писмен отговор оспорва същата като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира разноски за адвокатско възнаграждение. Прокурорът от Върховната прокуратура дава мотивирано становище за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е частично основателна. За да уважи иска на С. И. И. с правно основание чл. 1, ал. 1 от ЗОДОВ, чл. 39, ал. 2 от ЗЗЛД и чл. 82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ ЕО /Регламент (ЕС) 2016/679, Регламента/ административният съд приема, че НАП като администратор на лични данни не е спазил изискването на чл. 24 и чл. 32 от Регламента, както и тези на чл. 59, ал. 1 и чл. 45, ал. 1, т. 6 от 33ЛД, като не е въвел подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с Регламента, като мерките е следвало да бъдат с ниво на сигурност, съобразено с рисковете. При анализ на събраните писмени и гласни доказателства, първоинстанционният съд е развил съображения за наличието на причинно - следствена връзка между незаконосъобразното бездействие на НАП довело до изтичането на личните данни на И. в публичното пространство на Р. България и настъпилите за него неимуществени вреди, изразяващи се в болки и страдания, представляващи негативни емоционални проблеми. Относно размера на присъденото обезщетение е прието, че с оглед характера на претърпените вреди, продължителността на търпенето им, доказаните душевни страдания и общото психическо състояние на И., справедливият такъв следва да е в пълния претендиран размер от 1000 лева. Присъдени са лихви, считано от влизане на съдебното решение в сила, до окончателното изплащане на сумата, като са присъдени и съдебни разноски в полза на И.. Обжалваното решение е валидно и допустимо постановено е в предвидената от закона форма, от компетентния съд, след надлежно сезиране с искова молба от активно легитимирано лице. Разгледано по същество решението е неправилно в частта, в която е присъдено обезщетение за претърпени неимуществени вреди над размера от 200 лв., до размера от 1000 лв. Следва да се остави в сила в частта, в която НАП е осъдена да заплати обезщетение в размер на 200 лв., ведно със законната лихва, считано от момента на подаване на иска. Делото е спряно, а впоследствие възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. Следва да се вземат предвид мотивите на касационната инстанция. Правилното правно основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от същия въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент (ЕС) 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията материални и нематериални вреди , обезщетение за нанесени вреди и за целите на прилагането на посочения регламент тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки /виж Решение от 4 май 2023 г. по С-300/21 на СЕС/. Следователно чл. 1, ал. 1 от ЗОДОВ не се прилага. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент (ЕС) 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът на лични данни обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от Регламента. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от Регламента са подходящи (Решение от 14.12.2023 г. по С-340/21 на СЕС). Затова и предвид посоченото решение на СЕС, са неправилни правните изводи на съда, че достъпването на личните данни от трети лица е факт, който сам по себе си доказва, че техническите и организационни мерки за защита на личните данни са неподходящи и че настъпването на неимуществени вреди се презумира. В случая с разпореждане от 04.08.2020 г. /л. 13/ първоинстанционният съд правилно е разпределил тежестта на доказване, като е указал на ответника НАП да докаже фактите и обстоятелствата, на които основава своите възражения и искания. Неправилно на ответника по иска е дадено указание за представяне на доказателства за вида и обема на изтеклите лични данни, но НАП е изпълнил указанията и представил писмена справка за изтекли ЕГН, три имена и данни от годишни данъчни декларации на ищеца. На С. И. са дадени указания за представяне на доказателства за претърпените неимуществени вреди. Спорът по делото не е дали администраторът на лични данни е извършил действия или е бездействал при осъществяване защитата на личните данни, а дали избраните и приложени от него организационни и технически мерки, за които е представил писмени доказателства, са подходящи, за да препятстват неоторизиран достъп до лични данни и тяхното незаконно обработване от трети лица. Ответникът не е ангажирал доказателства, въпреки дадените му указания, с които да установи, че е спазил чл. 24 и чл. 32 от Регламента, поради което следва да се приеме за доказан първия елемент от фактическия състав на отговорността по чл. 82 от Регламента обработването на лични данни да е в нарушение на разпоредбите на този регламент. Неправилно съдът приема, че е извършено нарушение и на чл. 59, ал. 1 и чл. 45, ал. 1, т. 6 от 33ЛД ЗЗЛД и това е в причинно - следствена връзка с настъпилите неимуществени вреди, за което следва да бъде ангажирана имуществена отговорност. Тези разпоредби са неотносими към спора и не представляват правно основание за присъждане на обезщетение. Задълженията на НАП като администратор на лични данни не се намират в Глава осма от ЗЗЛД Правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване , която транспонира изискванията на Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. И това е така, защото НАП не е от компетентните държавни органи по смисъла на чл. 42, ал. 4 от ЗЗЛД, които имат правомощия по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Относно втория елемент от фактическия състав на отговорността за вреди по чл. 82 от Регламента. Понятието вреди се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява напълно целите на Регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите. Пълното и действително обезщетение по съображение 146 от Регламента е цел на този правен институт, без да е необходимо изплащане на наказателно обезщетение. Опасенията, които субект на лични данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на чл. 82 от Регламент 2016/679 /виж решение по С-340/21 на СЕС/. Тежестта на доказване е на ищеца, съгласно чл. 154, ал.1 от ГПК вр. с чл.144 от АПК. В Решение по дело С-340/21 е посочено, че опасенията, които субектът на данни изпитва, вследствие на нарушението на този регламент могат да бъдат сами по себе си нематериални вреди, но засегнатото лице е длъжно да ги докаже. В исковата молба И. е посочил и впоследствие НАП е доказал, че негови лични данни са изтекли в публичното пространство - имена, ЕГН, данни от годишни данъчни декларации по чл. 41 от ЗОДФЛ за 2006 г., 2017 г. и 2018 г. Настоящата инстанция споделя правните изводи на съда за наличието на доказателства за втория елемент от фактическия състав на отговорността по чл. 82 от Регламента. За да може да се приложи принципа на равностойност и ефективност (виж решение по С-300/21) ищецът следва да посочи и докаже неимуществените вреди. Тези вреди не се презумират. Целта на доказването на претърпените вреди е да се ангажира отговорността на администратора на лични данни и да се определи адекватно парично обезщетение. Предвид принципа на процесуална автономия във вътрешния правов ред на всяка държава членка, настоящият състав приема, че правилата за доказателствена тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове и следователно е спазен принципа на равностойност. Правилото на чл. 154, ал.1 от ГПК, всяка страна да установява фактите, на които основава своите искания и възражения, не прави практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза и следователно е спазен принципа на ефективност. При определяне на размера на обезщетението съдът е допуснал нарушение на чл. 82, ал. 1 от Регламента. Както бе посочено по-горе обезщетението е определено и за допуснати нарушения на задължения по глава осма от ЗЗЛД, което е материално незаконосъобразно. Настоящият съдебен състав споделя правните изводи само за нарушение по чл. 24 и чл. 32 от Регламента и само за тези нарушения може да бъде ангажирана отговорността на НАП. Това обстоятелство има отношение към размера на обезщетението. Предвид пасивното поведение на ищеца и липсата на данни по делото да е търсил информация какви по вид и обем негови лични данни са изтекли в публичното пространство след хакерската атака от лица, които не са служители на НАП, се налага правен извод за завишен размер на присъденото обезщетение. В тази връзка настоящият съдебен състав намира за справедливо и законосъобразно присъждането на обезщетение в размер на 200 лв., като същият е съразмерен на претърпените неимуществени вреди, отговаря на конкретните факти по делото и е в съответствие с обществените представи за справедливост. В останалата част до присъдения размер от 1000 лв. искът е неоснователен и следва да бъде отхвърлен. С оглед горното, решението в частта, с която е присъдено обезщетение в размер на 200 лв. до претендирания такъв от 1000 лв., ведно със законна лихва от датата на влизане в сила на решението до окончателното изплащане, следва да се остави в сила, съответно в тази в която е присъдено обезщетение над този размер до претендирания такъв от 1000 лв. следва да се отмени. Предвид резултата по делото решението следва да бъде отменено и в частта, в която в полза на И. е присъдено адвокатско възнаграждение над размера от 62 лв. Предвид изхода на спора, съразмерно уважената част на касационната жалба и предвид чл. 78, ал. 8 във вр. с чл. 37 от Закона за правната помощи чл. 25 аот Наредбата за заплащане на правната помощ, както и с оглед правната и фактическа сложност на делото, на касатора следва да се присъдят разноски за юрисконксултско възнаграждение в размер на 200 лв. за двете съдебни инстанции. Съразмерно на отхвърлената част от касационната жалба, на ответника по касация следва да се присъди адвокатско възнаграждение в размер на 60 лв. Водим от горното и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение