Решение № 2633 от 14.3.2025 г. на ВАС по адм. д. № 5991/2024 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на "Български пощи" ЕАД против решение 505/ 18.01.2024 г. по адм. д. 9929/ 2022 г. по описа на Административен съд София- град. Иска отмяна на решението като неправилно. Твърди, че съдът се е обосновал със съдебно-техническата експертиза, но я обсъдил избирателно и не е дал отговори на поставени въпроси. Голяма част от разпорежданията на КЗЛД не касаят технически действия, затова не става ясно изпълнението им доколко ще предотврати бъдеща хакерска атака. Налице е обективна невъзможност атаката да бъде предвидена, предотвратена или избегната. Съдът не е отговорил дали всички разпореждания се отнасят за кибератаката. Не е обсъдил представените доказателства от "Български пощи" ЕАД и описаните от него действия в тяхната последователност при извършеното посегателство, с които се доказва, че са предприети подходящи технически и организационни мерки. Необсъденото в цялост заключение установява, че не техническите и организационни мерки са били неподходящи, а нерегламентираното проникване в системите на жалбоподателя е в резултат на дадените от Microsoft указания. Неправилно съдът приема, че не са предприети подходящи технически и организационни мерки, защото тяхната подходящност се преценява от дружеството и не подлежи на контрол от КЗЛД. Единствената причина за нерегламентираният достъп е деактивирането на важен модул, който защитава спам и злонамерен софтуер и това е станало по предписание на Microsoft. Липсва причинно-следствена връзка между неприложени мерки и осъщественият неоторизиран достъп и разкриване на лични данни. Само фактът на осъществената хакерска атака не презумира наличието на нарушение от "Български пощи" ЕАД. Задълженията са изпълнени от "Български пощи" ЕАД. Не са обсъдени всички факти и доказателства по делото. Ответната страна Комисията за защита на личните данни не изразява становище. Представителят на Върховната касационна прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК, намира същата за допустима. Разгледана по същество е основателна по следните съображения: С решение 505/18.01.2024 г. по описа на Административен съд София- град е отхвърлена жалбата на "Български пощи" ЕАД срещу решение ПАИКД-13-20/22 от 06.10.2022 г. на КЗЛД,с което на основание чл. 58, пар. 2, б. "г" от Регламент 2016/679 за нарушение на чл. 32, пар.1, б. "б", "в" и "г" и пар. 2 вр. с чл.5, пар.1, б."е" от Регламент 2016/679 въз основа на извършена проверка са приложени мерки за отстраняване на констатирани нарушения с цел предотвратяване на бъдещи нарушения, като в 16 точки е разпоредил извършването на конкретни задължения и са определени срокове за изпълнение. Прието е,че "Български пощи" ЕАД е администратор на лични данни по смисъла на чл. 4, т.7 от Регламент 2016/679 и обработва данни на физически лица във връзка с предмета си на дейност. На 16.04.2022 г. е установена невъзможност за функциониране на софтуерните приложения поради криптирана голяма част от база данни в резултат на хакерска атака. В съответствие с разписани правила за поведение в "Инструкция за управление на инциденти", версия 02 от 2014 г., активиран "План за непрекъснатост на сигурността на информацията, версия 4/2018 г.", са предприети поредица от действия. Пробивът на сигурността е извършен посредством зловреден софтуер Mimikatz, платформа за кражба на пароли. Не могат да бъдат възстановени Интегрирана Автоматизирана система за Управление на Търговската дейност, Информационна система Електронен пенсионен картон, Система за автоматизиране на дейностите по предоставяне на пощенски услуги, отговарящи на пазарните потребности и електронна търговия с интегрирана Е-пакет", Eдинен софтуер за управление и контрол на пощенско-парични преводи, Унифициран софтуер за управление и отчитане на продажбите на стоки в Български пощи, Интегрирана система за работна заплата и управление на човешки ресурси Aladin, Интегрирана куриерска информационна система, поради криптиране на базата данни и създадени бекъпи. Засегнати са хиляди лица. В решението на КЗЛД са описани предприети мерки за ограничаване на вредните последици, мерки за възстановяване чрез създадената организация за изграждане на нова информационна инфраструктура на Български пощи върху платформа на държавен хибриден частен облак /ДХЧО/, изграждане на нова домейн и сървърна инфраструктура, обобщаване и възстановяване на информацията, на новите инсталирани сървърни конфигурации се инсталира последна версия на антивирусен софтуер Eset Nod 32, който принципно успявал да прихване и карантинира вируси, изградена е физическа свързаност между ДХЧО и съществуващата информационна инфраструктура на "Български пощи" ЕАД. Посочено е, че са предприети действия за изпълнение на оценката на обхвата на въздействие върху всички активи, успоредно с мерките за възстановяване, изпълнение на стартирани мерки за възстановяване на функционалността на ключовите информационни системи на Български пощи. Описани са подробно:1. предприети от "Български пощи" ЕАД последващи действия и мерки във връзка с рискове за повторна хакерска атака, 2. мерки за повишаване на защитата на инфраструктурата и недопускане на инциденти от подобен характер, 3.обсъдена е организацията на информационната сигурност във водещия документ Регламент за управление на сигурността на информацията, версия 4/2018, отговорностите на съответните длъжностни лица, одобрената през 2020 г. Политика за защита на лични данни, Процедурата ОПУ 07 Вътрешен одит, Политиките за информационна сигурност, планове за действия в случай на аварии, природни бедствия и др. непредвидени обстоятелства. Направени са констатации относно непрекъсваемостта на функционирането на информационните системи и липсата на резервен център за данни поради липса на финансови средства. Посочени са конкретни действия, които трябва да се извършат за възстановяване на нормалното състояние на цялата система и на плана за непрекъснатост. Направени са констатации относно правилата за служителите, имащи отношение към процесите и дейностите по обработка на личните данни, във връзка с управлението на персоналната сигурност. Обсъдени са всички видове тестове на системата. В 19 точки КЗЛД е направила обобщения във връзка с констатациите като: 1.липсата на политики и процедури са формиране и поддръжка на журнални дневници /лог файлове/, 2. неспазени процедури и политики за архивиране /бекъп/ на информационните системи, като не се осъществява архивиране на бази данни във вид на дългосрочни архиви и такива на външен носител, поради което е невъзможно възстановяване на функционирането на информационните системи и база данни, 3.недостатъчен контрол за спазване на процедурата за формиране на потребителско име и парола на ниво администратор на информационните системи, 4. ненадграден стандарт ISO27001/2013 до ISO LEC 27701/ 2019 за проверка защитата на личните данни, 5.липса на извършена оценка на въздействието и идентифициран висок риск за всяка система, 6.липса на доказателства, че утвърдени от "Български пощи" ЕАД политики и процедури са приложени в цялост, 7.липса на последващ контрол след приключило обучение на служители по Регламент 2016/679 и невключени задължения за обработване на лични данни на физически лица при изпълнение на служебни задължения, 8. при констатирани при одит през 2021 г. рискове със значителни завишени стойности не са предприети бързи и адекватни мерки за защита на уязвимости, 9., нарушен е принцип на отчетност поради липса на записи за отделни събития и журнални дневници за привилегировани потребители, 10. Невнедрена Система за управление и анализ на събитията в областта на сигурността за осигуряване на анализ в реално време на сигнали за сигурност, генерирани в мрежовия хардуер и приложения, 11.Основната отговорност за информационните системи е само за Дирекция "ИКТ",но не се прилага защита от дирекция "Сигурност" и Звено "Защита на лични данни", 12. Не се осъществяват периодични консултации с длъжностно лице по защита на лични данни, 13. Няма доказателства висшият мениджмънт да е периодично ангажиран и запознат с проблемите на информационната сигурност, 14, Няма действия за обновяване на информационните системи и на СУБД към актуалните версии на Microsoft SOL 2019, защото някои от използваните приложения няма да работят на по-високи версии, 15.В сключени договори администратор- обработващ, липсват клаузи за конкретно задължение за предприемане на технически и организационни мерки при обработване на данните и не са разписани правила за контрол, 16. на доставчиците не са дефинирани правила и принципи за избор на доставчици, както и такива за оценки на рискове. От така констатираните обстоятелства КЗЛД е направила извод ,че не са приложени подходящи технически и организационни мерки, в резултат на което е извършен нерегламентиран достъп до база данни, след което са били криптирани, а от нарушението на сигурността са засегнати приблизително 4 675 393 бр. записи, съдържащи лични данни на физически лица, 1 700 000 субекти на лични данни от ИАСТУД, от които са индивидуализирани 675 393 бр. физически лица. Нарушена е способността за гарантиране на постоянна поверителност, наличност, цялостност и устойчивост на системите и услугите за обработване, както и способността за своевременно възстановяване на наличността и достъпа до лични данни- нарушение на чл. 32, пар.1, б. "б", "в" и "г" и пар. 2 вр. с чл. 5, пар.1, б."е" от Регламент 2016/679. Обосновано е защо се предприемат принудителни административни мерки в рамките на оперативната самостоятелност на КЗЛД по чл. 58, пар. 2 /без тези по б."и"/ от Регламента с цел предотвратяване или преустановяване извършването на нарушение. В случая на "Български пощи" ЕАД се обработват голям обем от лични данни, но поради липсата на адекватни технически и организационни мерки за защита на лични данни администраторът на лични данни не е успял да изпълни задължението си по чл. 32, пар. 1, б. "б" от Регламента, като е допуснал загуба на наличността и устойчивостта на своите системи и услуги. Използват се компютърни конфигурации, за които не се поддържат по- нови версии на операционната система от Windows 7, който вече не се поддържа от съответния доставчик. Това означава, че поради липса на поддръжка на софтуера, не са отчетени нововъзникнали и новооткрити бъгове и заплахи за системите, които стандартно се отстраняват от самия производител и доставчик на софтуера. Предвид констатациите и в резултат на проверката, като най-целесъобразна мярка е избрана тази по чл. 58, пар.2, б."г" от Регламента, т.е. даване на конкретни разпореждания на администратора, като му се указва и начина, по който следва да се отстранят констатираните нарушенията и да се предотвратят бъдещи такива нарушения. Конкретните разпореждания са в 19 точки с определен срок за изпълнение и са в смисъл: да се анализира риска, да се извърши оценка на въздействието по чл. 35, ал. 4 от Регламента, да се актуализира процедурата за формиране на потребителско име и парола за достъп, да бъде актуализирана политиката за защита на личните данни, да се изготви и утвърди методика за оценяване на инциденти в информационната сигурност, да се въведат политики и процедури за формиране и поддръжка на журнални записи, да бъде изработена конкретна стратегия и политики за нейната реализация на основание чл. 32, пар. 1, б."в" от Регламента, да се определи ключова информация за всяка информационна система за осигуряване на постоянна наличност и устойчивост на бизнес процесите, да бъдат определени критерии, свързани със сигурността и обработването на личните данни при избор на доставчици и да се актуализират договорите с тях, да се актуализират длъжностните характеристики на служителите на "Български пощи" ЕАД относно обработването на лични данни, да се впишат нови задължения в длъжностната характеристика на длъжностното лице по защитата на данните, да се въведе и приложи механизъм за последващ контрол на ефективността на проведените обучения по защита на личните данни, да се актуализират договорите между администратор и обработващ лични данни и да се включат задължително технически и организационни мерки при обработване на лични данни, да бъдат въведени установените политики и конкретни мерки за защита на лични данни, предложени 2021 г. след одит, да се замени при необходимост съществуващия хардуер и да се предприемат действия за обновяване на операционни системи и на системите за управление на бази данни, като се ползват само такива, които официално се поддържат от съответните доставчици. За всички разпореждания са определени конкретни срокове за изпълнение. С решението на първоинстанционния съд подробно са посочени предприетите действия от страна на "Български пощи " ЕАД след установяване на извършената хакерска атака и по време на последваща атака, констатациите от проверката на Комисията за защита на личните данни за осъществено блокиране на потребителите от използване на собствените им информационни системи и криптиране на файлове и бази данни, което дава на хакерите контрол над всяка информация, съхранявана на сървърите на администратора на лични данни, както и всички установени на място проблеми във връзка със защитата на личните данни, описани в деветнадесет точки. Възпроизведено е съдържанието на решението на КЗЛД, както и заключението на съдебния експерт. От изслушаната експертиза се установява, че причината за нерегламентирания достъп е деактивирането, по предписание на Microsoft, на важен модул, който защитава от спам и зловреден софтуер. Според съдебния експерт дадените разпореждания от КЗЛД не касаят извършването на технически действия, като тези по т. 1, 2, 4, 9, 11, 12, 13, 14 и 15 касаят на практика процесите по анализ и идентифициране на потенциални заплахи, администрирането на лични данни, каквито не са изтекли при кибератаката. Специално за т.3 е посочено, че препоръчаните процедури съществуват и преди атаката. За т.5 и т. 7 от решението на КЗЛД съдебният експерт посочва наличието изпълнение на предписанието, по т.6 предвидени ,но нереализирани политики за запис поради липса на финансови средства, а по т.16 е установило замяна на софтуера в рамките на месец след кибератаката. Направен е извод, че всички разпореждания са изпълнени. Първоинстанционният съд е развил следните правни изводи:1.оспореният административен акт е издаден от компетентен орган, при спазване на необходимия кворум и мнозинство и форма, 2.не са допуснати съществени нарушения на административнопроизводствените правила, 3. спазен е материалния закон в чл. 32, пар.1 от Регламент 2016/679. Направен е извод, че няма доказателства, от които да се направи извод, че техническите и организационни мерки са били подходящи, за да гарантират защитата на личните данни. Част от разпорежданията са свързани с компютърната сигурност - т.т. 3, 5, 6, 7, 8, 10 и 16, а останалите по т.т.1, 2, 4, 9, 11, 12, 13, 14 и 15 касаят процеси по анализ и идентифициране на потенциални заплахи. Посочено е,че голяма част от разпорежданият са изпълнени, а останалите, за които няма данни да са изпълнени, имат технически характер. Доколкото е съдебно установено, че част от разпорежданията са изпълнени, това следва да бъде взето предвид от Комисията за защита на личните данни при предоставяне на доказателства за изпълнение на разпорежданията. Решението е неправилно и следва да бъде отменено поради съществено нарушение на съдопроизводствените правила. Съдът е длъжен да обсъди всички наведени от жалбоподателя доводи, които са релевантни за правилното разрешаване на спора. Защитната теза на жалбоподателя, развита в първоначалната жалба е :1. няма законова презумпция за неподходящи технически и организационни мерки, приложени от администратора на лични данни, само на базата на осъществена хакерска атака, 2. липсва "уязвимост" по смисъла на т. 34, пар. 3 от ДР на Закона за киберсигурност като неустойчивост на информационната система, на вътрешния контрол и на процедурите за сигурност и тяхното реализиране, които могат да се използват за деструктивно въздействие на системата, 3.изтичане на лични данни няма, 4. липсва опора в закона на дадените от КЗЛД разпореждания за преодоляване на описани в акта "дефицити", нито има яснота дали хакерската атака би била предотвратена, ако бяха изпълнени посочените в 19 точки мерки,5. не е изяснен механизма за осъществения пробив, 6. задължителен набор от технически и организационни мерки по Регламента и по ЗЗЛД- няма и част от предписаните мерки са напълно неотносими към осъществения пробив на системите на "Български пощи" ЕАД , а други имат отношение единствено към преодоляване на последиците, но не и към предотвратяване на пробива, 7. Разпореденият за прилагане по т. 6 от решението на КЗЛД стандарт ISO 27701:2019 не фигурира в списъка на стандарти в областта на мрежовата и информационната сигурност, представляващ Приложение 1 към Наредбата за минималните изисквания за мрежова и информационна сигурност, 8. Не става ясно по т.5 от решението на какъв регламент са обосновани според КЗЛД процедурите по формиране на потребителско име и парола, по отношение на които се твърди, че има недостатъчен контрол, 9. По т.8 от решението разпореждането е неясно, защото не е конкретизирано за коя част от политиките на Български пощи ЕАД се отнася,10. По т.10 от решението също не е ясно промените в длъжностните характеристики с какво ще предотвратят занапред подобни инциденти, 11.,По т.18 няма конкретизиране на договорите с кои конкретни лица има предвид КЗЛД. Оспорва се и т.19, според която Български пощи ЕАД не са дефинирали правила и принципи за избор на доставчици, както и такива за оценка на рисковете свързани с тях, а вместо това се ползват правилата и изискванията по Закона за обществени поръчки . Оспорват се като кратки и неподходящи сроковете за изпълнение по конкретните мерки по т. 3, 4, т. 6, т. 15 и т. 16. С разпореждане от 8.12.2022 г. съдът е разпределил доказателствената тежест, като на жалбоподателя е указал да докаже фактическите констатации, на които основава възражението си в жалбата, а на ответника, че носи доказателствена тежест по отношение на компетентност, фактически основания и спазване на материалните и процесуалните правила в административното производство. Указанията са формални. По молба на "Български пощи" ЕАД е допусната и изслушана съдебна техническа експертиза с цел установяване механизма на проникване в системите на "Български пощи" ЕАД, уязвимостта на Microsoft системата към момента на кибератаката и дали без тази уязвимост би се реализирала тази атака, налице ли е изтичане на лични данни и дали изпълнението препоръките са от естество да предотвратят занапред бъдещи хакерски атаки. Въпреки възпроизведените съдържания на констативния протокол, изготвен от Комисията за защита на личните данни, оспореният административен акт и експертизата, съдът не е развил съображения по релевантни за спора факти и наведените от жалбоподателя оплаквания, с което е допуснал съществено нарушение на чл. 172а, ал.2 от АПК. Съгласно решение по дело С-340/21 г. Съдът на Европейския съюз членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Следователно е основателен доводът на жалбоподателя, че законова презумпция няма. Преценката дали приложените от администратора технически и организационни мерки по чл. 32 от Регламента са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове. Администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. Първоинстанционният съд приема, че жалбоподателят не се е справил с доказателствената тежест. В същото време съдът не е изпълнил задължението си по чл.170, ал.3 от АПК и не е разпределил доказателствената тежест относно техническите и организационни мерки на "Български пощи" ЕАД, което има задължението да докаже, че тези мерки са подходящи. Разпореждането от 8.12.2022 г. е формално, а не конкретно и не съответства на решението по дело С - 340/21 на СЕС, нито на националната процесуална разпоредба. Допуснатото нарушение е съществено и е касационно основание за отмяна по чл. 209, т. 3 от АПК На второ място съдът не е обсъдил всички наведени конкретни оплаквания за незаконосъобразност на решението на КЗЛД в т. 3, 5, 7, 6 и 16. Няма развити мотиви по довода дали КЗЛД е длъжна при констатиран нерегламентиран достъп, да прилага само принудителни административни мерки, които имат за цел да преустановят и предотвратят онова бездействие на администратора на лични данни, което е в причинна връзка с осъществената кибератака на информационни системи на администратора на лични данни, с цел да бъде предотвратен занапред подобен инцидент. Твърдението на касатора е,че разпорежданията не се отнасят за кибератаката и не спомагат за предотвратяване на бъдещи кибератаки. В случая са приложени два вида принудителни административни мерки -преустановителни и превантивни. Преустановителните имат за цел преустановяване на административни нарушения, а превантивните да предотвратят занапред такива. Съдът не е изложил съображения кои от мерките представляват преустановителни и дали към момента на издаване на оспорения административен акт нарушението съществува. В съдебната експертиза на вещото лице е посочено, че повечето от мерките вече са изпълнени. Съдът въобще не е изложил съображения към кой момент са изпълнени мерките, разпоредени от КЗЛД - към момента на издаване на решението на КЗЛД или към момента на изготвяне на съдебната експертиза. Тежестта на доказване, че конкретни мерки са изпълнени, преди издаване на решението на КЗЛД, е на жалбоподателя. Неправилно съдът приема, че обстоятелството дали мерките са изпълнени или не, е въпрос на проверка в изпълнителното производство, а не в съдебното производство при осъществяване на контрол за законосъобразност на оспорения акта. Относно тези мерки, които към момента на издаване на решението на КЗЛД, вече са изпълнени, съдът дължи произнасяне по законосъобразността на издадения административен акт и спазване на целта на закона. Това е така, защото принудителната административна мярка е вид държавна принуда. Основанието за вземането й е наличието на правонарушение или наличие на опасност от правонарушение, което основание подлежи на съдебен контрол. Установяването на нарушение е в основанието за издаване на административен акт, с който се прилага мярката, предвид чл. 22 от ЗАНН. При липса на правонарушение не е налице основание за прилагане на принуда. Затова съдът дължи отговор дали е имало основание за издаване на оспореното решение с конкретни разпоредени мерки, предвид данните за изпълнението им. Предвид изложеното решението следва да бъде отменено, а делото върнато на същия съд за ново разглеждане от друг съдебен състав. По претенциите за разноски следва да се произнесе съдът по съществото на спора. На основание чл. 221, ал. 2 от АПК, Върховният административен съд, състав на пето отделение