Решение № 6134 от 20.5.2021 г. на ВАС по адм. д. № 3681/2021 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Г. Р., чрез адв. С. Ю., срещу решение 457/27.01.2021г. по адм. дело 2732/2020г. на Административен съд - София - град, с което е отхвърлен предявения от нея иск за сумата от 1000 ( хиляда) лева, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на завеждане на исковата молба, до окончателно изплащане на сумата, срещу Национална агенция за приходите, представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължение по чл.59, ал.1 ЗЗЛД и по чл.24 и чл.32 от Общия регламент за защита на личните данни. Твърди се в касационната жалба, че обжалваното решение е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Претендира се отмяната му, осъждане на НАП да заплати претендираната сума, ведно със законната лихва, присъждане на разноски за двете съдебни инстанции и адвокатско възнаграждение за двете съдебни инстанции на адвокат Ю., предоставила безплатна адвокатско помощ. Ответникът по касационна жалба - Национална агенция за приходите (НАП), чрез процесуален представител, в писмен отговор и в съдебно заседание, оспорва изцяло жалбата и моли решението като правилно да бъде оставено в сила, като претендира и присъждане на юрисконсултско възнаграждение за двете съдебни инстанции. Представителят на Върховна административна прокуратура изразява становище за неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна, а разгледана по същество за частично основателна. За да постанови обжалваното решение, АССГ е приел, че не е доказано твърдяното от ищеца незаконосъобразно бездействие от ответника - НАП в качеството му администратор на лични данни по смисъла на а чл.4, т.2 ОРЗД по предприемане на необходимите и ефективни действия, произтичащи от разпоредбите на чл.59, ал.1 от ЗЗЛД и чл.24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ ЕО(ОРЗД). НАП е представил ред изброени в решението вътрешноведомствени актове, издавани в изпълнение на Закона за защита на личните данни (ЗЗЛД) и ОРЗД, но какво е било фактическото бездействие на администрацията в изпълнение на тези изисквания не се установило от една страна, а от друга - не се е установило начина, по който администрацията е следвало да противодейства на извършеното престъпление - "хакерска атака", при която на 15.07.2019 г. от информационните масиви на НАП, съдържаща лични данни на милиони български граждани, между които и на адресата на представеното по делото съобщение, за които съдът е изложил мотиви, че не го кредитира. Освен това, свидетелските показания за изживените от ищцата тревоги и притеснения, не сочат на реално настъпили вреди, тъй като преживените отрицателни емоции на са довели реална промяна в поведението й. Решението е частично неправилно в частта, с която е отхвърлен иска за сумата 300 лева. Правното основание на иска е чл.82, пар.1 ОРЗД, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди, а процесуалният ред за разглеждането му е чл.203 и сл. АПК. Въпреки правилно разпределената доказателствена тежест с разпореждане от 13.03.2020 г., НАП е представил единствено доказателства за предприети организационни мерки в изпълнение на задълженията си по чл.24 и чл.32 ОРЗД. Същият не е представил никакви доказателства за предприети технически мерки за осигуряване сигурността на личните данни в информационните му масиви, каквито задължения създават за него чл.24 и чл.32 ОРЗД, които съгласно чл.32, ал.2 ОРЗД трябва да осигурят подходящо ниво на сигурност на обработваните лични данни, което да препятства неправомерното им разкриване или достъп до тях. Според чл. 154 от ГПК всяка страна е длъжна да установи фактите, на които основава своите искания или възражения, като на основание чл. 153 и чл. 155 от ГПК на доказване подлежат спорните факти от значение за решаване на делото и връзките между тях, но не общоизвестните и служебно известните на съда факти, за които съдът е длъжен да съобщи на страните. Въз основа на тези доказателствени правила в тежест на НАП е да установи, че мерките, които са предприети, са в съответствие със задълженията на администратор на лични данни, произтичащи от ОРЗД и ЗЗЛД и при непредставянето на доказателства в тази насока, обоснованият извод, който е следвало да направи АССГ е, че е налице незаконосъобразно бездействие от страна НАП за неизпълнение на задълженията му по чл.24 и чл.32 ОРЗД да предприеме технически мерки, осигуряващи подходящо ниво на сигурност, което да препятства неправомерното разкриване и достъп до лични данни. Изтичането на информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица, който е съобщен от НАП на компетентните органи (КЗЛД и Прокуратурата на Република България), представлява неправомерно разкриване и достъп до лични данни. Неправилно АССГ не е кредитирал представената от ищеца направена с персонален идентификационен код справка на официалната страница на НАП, от която е видно, че за идентификатора има разпространени данни: ЕГН и имена, данни от годишни данъчни декларации по чл.41 ЗОДФЛ за 2004 г., 2003 г., данни от справка за изплатени доходи на физически лица (чл.73 ЗДДФЛ) за 2017г., данни за декларирани доходи В ГДД, регистрирана фирма на ЕТ, предоставени в Агенцията за социално подпомагане през 2018г., данни за плащане до 2007г. Тази справка е приложена по делото и е приета като писмено доказателство, същата не е оспорена от ответника, нито пък същият е твърдял да е издадена на друг идентификатор, различен от този на ищцата, поради което следва да се приеме, че така изброените лични данни са на ищцата. Ирелевантно е обстоятелството към кой момент е направена справката дали непосредствено след изтичане на личните данни на ищцата или в един по - късен момент, тъй като в нейна тежест е било да установи съществуването на фактите и обстоятелствата, посочени в исковата молба, от които черпи благоприятни за себе си правни последици, което изрично и е указано с определение на съда от 13.03.2020г. С цитираните от съда свидетелски показания, свидетелката Д. В. - М. установява, че ищцата разбрала за изтичането на лични данни по времето, когато починал нейния свекър, който тя гледала след дълго боледуване. Основното притеснение на ищцата било,че това може да се отрази на имуществените й взаимоотношения с близки и трети лица, защото получила наследство от свекъра си, но по завещание. Според свидетелката, ищцата често споделяла притесненията си, че изцяло е поела разходите за тежкото заболяване на свекъра си и може да пострада финансово, защото той имал три дъщери и един син, но грижи за него полагала единствено тя. Описаните свидетелски показания сочат на реално претърпени болки и страдания, свързани с реален страх от реална заплаха за увреждане на имущество и промяна в начина живот. Налице е пряка причинна връзка между невземането на подходящи мерки от страна НАП за защита на личните данни на ищцата и изпитаните от нея притеснение и безпокойство. Деянието на лицето, проникнало в информационната система на НАП, не освобождава ответника от отговорност за вреди, доколкото както бе посочено по - горе не е ангажирал доказателства, че е взел изискуемите от ОРЗД технически мерки, които да гарантират сигурността на съдържащите се в информационната му система лични данни, поради което не е налице и хипотезата на чл.82, пар.3 ОРЗД, в която администраторът на личните данни може да се освободи от отговорност за вреди. Предвид изложеното решението като неправилно - необосновано и материално правно незаконосъобразно в частта за отхвърляне на иска за сумата 300 лева следва да бъде отменено и вместо него да се постанови друго, с което се осъжда НАП да заплати обезщетение за претърпените от ищцата вреди, чийто размер следва да бъде определен в съответствие с чл.52 ЗЗД на 300 (триста) лева, ведно със законната лихва от датата на завеждане на исковата молба - 16.09.2019 г., а обжалваното решение в останалата част да се остави в сила. С оглед изхода на делото на касатора следва да се присъдят направените разноски в размер на 4,50лева заплатени държавни такси за първоинстанционното и касационното производство, а на адв Ю., оказала безплатна адвокатска помощ - 180 лева адвокатско възнаграждение за двете инстанции предвид съотношението уважена - отхвърлена част от иска и на основание чл. 38, ал. 2 във връзка с ал. 1, т. 3 от Закона за адвокатурата вр. чл.8, ал.1, т.1 от Наредбата за минималните размери на адвокатските възнаграждения. Воден от горното и на основание чл.221, ал.2 и чл.222, ал.1 АПК Върховният административен съд, пето отделение