Решение № 5561 от 8.5.2024 г. на ВАС по адм. д. № 5576/2022 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу решение 2283/06.04.2022 г. по адм.дело 4861/2021 г. на Административен съд - София - град (АССГ). Касаторът поддържа в касационната жалба и в съдебно заседание чрез процесуален представител, че решението е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, отхвърляне на иска срещу НАП, присъждане на юрисконсултско възнаграждение за касационното производство. Ответникът по касационна жалба - М. Зарева, в писмена молба и писмена защита чрез процесуален представител, иска оставяне на решението в сила, присъждане на адвокатско възнаграждение на адв. Юрукова на основание чл.38 от Закона за адвокатурата. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С решение 5743/12.05.2021 г. по адм.дело 11031/2020 г. на Върховния административен съд, трето отделение е отменено решение 4695/24.08.2020 г. по адм. дело 11182/2019 г. на АССГ и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Посочил е, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Разяснил е, нормата на чл.59 ЗЗЛД е неправилно обсъждана от първоинстанционния съд, тъй като се намира в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това е неотносима към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл.4, т.7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните и в частност какво следва да бъде указано на ответника и как да бъдат преценени негативните преживявания на ищеца. С обжалваното пред настоящата съдебна инстанция решение, постановено във второто първоинстанционно производство по делото, АССГ е осъдил НАП да заплати на М. Зарева от гр. София сумата от 1000 лева, представляваща обезщетение за причинените й неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата по искова молба с посочен входящ номер и посочени правни основания по молбата, осъдила е НАП да заплати на М. Зарева 45 лева разноски и на адвокат С. Юрукова 1200 лева адвокатски възнаграждения по чл.38, ал.2 за трите съдебни производства по делото. Решението е правилно като краен резултат в частта, с която е осъдена НАП да заплати обезщетение за неимуществени вреди в размер на 1000 лева на Зарева, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата и са присъдени разноски и адвокатско възнаграждение. АССГ е посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и и разпространяването на личните данни на ищцата, видно от представената справка, издадена от НАП. Според нея са разпространени имената й, ЕГН и данни от изброени нейни декларации. АССГ е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните и че същите са актуализирани. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. Съдът се е позовал на изслушаната по делото компютърно - техническа експертиза и е приел за установено, че достъпът до личните данни е осъществен през вътрешната система VATREFUND за възстановяване на ДДС от друга държава членка на ЕС, която система комуникира с други вътрешни системи на НАП, от които са извлечени данните. VATREFUND не изисква оторизация с електронен подпис и неоторизираният достъп е осъществен чрез предоставен от системата на НАП линк за изтегляне на изискан документ от трето лице. Според заключението при подходящо техническо, софтуерно и кадрово обезпечение е възможно рискът от нерегламентиран достъп да бъде сведен до минимум. Отделно от това е липсвал технически контрол за оценка на риска и е била внедрена несертифицирана Система за управление на сигурността на информацията. АССГ се е позовал на събраните в първата първа инстанция гласни доказателства, според които ищцата е изживял много тежко разкриването на личните й данни, здравословното й състояние се е влошило и е постъпила на лечение, като са приети и представените от нея медицински документи. АССГ е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 и чл.45, ал.1, т.6 ЗЛД,чл.59 ЗЗЛД, чл.64 ЗЗЛД и чл.66, ал.1 и ал.2 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона чрез възможността за достъп без оторизация с електронен подпис и предоставен линк за изтегляне на документ при този достъп. Ищцата е преживяла негативни емоции, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АССГ на основание чл.52 от Закона за задълженията и договорите е определил обезщетение по справедливост в размер на 1000 лева, като е отчел характера и степента на преживените вътрешни душевни страдания. Настоящата съдебна инстанция не споделя изложените мотиви за нарушение от НАП на чл.45, ал.1, т.6 ЗЛД,чл.59 ЗЗЛД, чл.64 ЗЗЛД и чл.66, ал.1 и ал.2 ЗЗЛД . Както е указала и първата касационна инстанция тези разпоредби са неотносими към задълженията на НАП като администратор на лични данни, тъй като се намират в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Правната квалификация на иска е по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679 и е за нарушения по по чл.24 и 32 от Регламент (ЕС) 2016/679 от НАП, които АССГ правилно е приел за установени. Твърдяното от касатора качество на НАП на административен орган е неточно, доколкото НАП не е колективен административен орган, а е администрация към административни органи. Тези твърдения обаче са правно ирелевантни при преценка на отговорността на НАП като администратор на лични данни и материалноправните предпоставки по чл.4 ЗОДВ и чл.256 АПК са неотносими към правен спор относно отговорността на администратор на лични данни по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679 за допуснати от него нарушения по л.24 и 32 от същия Регламент.