Решение № 12730 от 25.11.2024 г. на ВАС по адм. д. № 7135/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите (НАП) срещу решение 2429 от 12.04.2024 г. постановено по адм. дело 3359/2022г. по описа на Административен съд - София-град (АССГ). НАП, чрез процесуален представител обжалва съдебното решение в частта, с която е осъдена да заплати обезщетение за неимуществени вреди в размер на 500 лв., ведно със законната лихва, считано от 15.07.2019 г. до окончателното плащане на сумата и съответните разноски като твърди, че е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост касационни основания по смисъла на чл. 209, т. 3 от АПК. Иска обжалваната от него част от съдебното решение да бъде отменена. Съображения в подкрепа на твърденията и исканията са изложени в касационната жалба. Претендира разноски за касационна инстанция. Ответникът по касационната жалба И. П. П., чрез процесуален представител, я оспорва по съображения в писмен отговор. Претендира разноски за касационна инстанция. Представителят на Върховната прокуратура заявява становище за основателност на касационната жалба. Върховният административен съд, трето отделение, като взе предвид становището на страните и извърши проверка на обжалваното решение на посочените касационни основания, съгласно разпоредбата на чл. 218, ал. 1 от АПК, и след служебна проверка за допустимостта, валидността и съответствието на решението с материалния закон по реда на чл. 218, ал. 2 от АПК, намира за установено от фактическа и правна страна следното: Касационната жалба е подадена в законоустановения срок, от надлежна страна, с оглед на което е процесуално допустима. Разгледана по същество е неоснователна по следните съображения: С обжалваното решение 2429 от 12.04.2024 г., постановено по адм. дело 3359/2022 г. по описа АССГ е осъдена НАП по иск с правно основание чл. 204, ал.4 от АПК във вр. с чл. 59, ал.1 от ЗЗЛД и чл.24 и чл.32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/Регламент/ОРЗД) да заплати на И. П. П., сума в размер на 500 лв., представляваща обезщетение за неимуществени вреди за периода 15.07.2019 г. - 16.09.2019 г.., настъпили в резултат на незаконосъобразно бездействие от страна на Национална агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Общия регламент относно защитата на данните, да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на И. П., ведно със законната лихва върху тази сума, считано от 15.07.2019 до окончателното й изплащане, отхвърлен е предявеният иск за разликата над 500 лв. до пълния предявен размер от 1000 лв., ведно със законната лихва върху разликата и са присъдени разноски в полза на всяка от страните, съобразно уважената и отхвърлената част от иска. Първоинстанционният съд е приел всички ангажирани от страните писмени доказателства (основно относно организацията на работа на НАП като администратор на личи данни), включително справка от НАП за индентификатор [номер], цифри съвпадащи по ред и номера на единния граждански номер на ищеца и е разпитал един свидетел. Въз основа на тези събрани доказателства е обосновал извод, че ищецът е претърпял неимуществени вреди (негативни емоции, притеснения и опасения за евентуална бъдеща злоупотреба с данните му) в резултат от неоторизиран достъп до електронните бази данни на НАП, придобил публичност като хакерската атака , станала известна за обществеността чрез публикации в медии на 15.07.2019 г. Административният съд е приел за доказано, че НАП в качеството му на администратор на лични данни не е изпълнил задълженията си по чл. 59 от ЗЗЛД и чл. 24 и чл. 32 от ОРЗД като не е приложил подходящи технически и организационни мерки, които да съответстват на риска при обработването на събираните от него данни. Според първата инстанция е налице пряка причинна връзка между тези нарушения и претърпените от И. П. неимуществени вреди, поради което по справедливост е определил дължимото за тях обезщетение. Така постановеното съдебно решение е валидно, допустимо и правилно като краен резултат. Фактическата обстановка по спора е изяснена от административния съд в съответствие със събраните доказателства, изложена е ясно и точно в мотивите към първоинстанционното решение, поради което се възприема изцяло. Правната квалификация на исковата молба в съответствие с установената национална съдебна практика и в синхрон с практиката на Съда на Европейския съюз (СЕС) е по чл. 79, ал. 1, чл. 82, параграф 1 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни /ОРЗД/. Правилно е разпределена доказателствената тежест от решаващия състав на АССГ, като съдът се е съобразил с разясненията дадени с Решение от 14.12.2023 г. на трети състав на СЕС по дело С-340/2021 г., че е в тежест на ответника /НАП/ да установи липсата на нарушение по смисъла на Регламента и липсата на причинна връзка с твърдените вреди. Разпоредбата на чл. 24, параграф 1 от ОРЗД изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с Регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, а на основание чл. 32 от ОРЗД тези мерки трябва да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Националната агенция за приходите е администратор на лични данни по смисъла на чл. 4, ал. 7 от Регламента и в негова тежест на доказване е обстоятелството, че предприеманите организационни и техническите й мерки в дейността й по обработката на лични данни са подходящи с оглед тяхното естество, обхват, контекст и цели на обработването, както и съществуващите рискове за правата на физическите лица, за които те се отнасят. При условията на пълно насрещно доказване НАП не е установила тези факти, поради което обосновано АССГ е приел за доказано твърдението на ищеца за бездействие от страна на НАП. Според решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB,Национална агенция за приходите, ECLI:EU:C:2023:986, Член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. От тази гледна точка образуваното наказателно производство срещу третите лица, които се разследват като отговорни за нерагламентирания достъп до личните данни на ищеца и други физически лица, не е обстоятелство, което доказва, че НАП по никакъв начин не е отговорен за допуснатия неоторизирания достъп до обработваните от НАП лични данни на И. П.. Извършените от НАП действия след неправомерния достъп до личните данни на ищеца на 15.09.2023 г. в изпълнение на изискванията на ОРЗД не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Настоящия съдебен състав счита за неправилно обсъждането на първоинстанционният съд на разпоредбата на чл. 59 от ЗЗЛД, който се намира в Глава осма от ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Допуснатото позоваване на неприложима за случая правна норма не е се е отразило върху крайния правен извод на АССГ за допуснато нарушение на НАП (в същия смисъл Решение 6129 от 20.05.2021 г. постановено по адм. д. 11280/2020 г., III отд. ВАС; Решение 3871/02.04.2024 г., постановено по адм. д. 4889/2023 г., V отд., ВАС и др., Решение 6436 от 27.05.2021 г. по адм.дело 10069 от 2021 г.). Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищеца, които според цитираното решение на СЕС могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Общия регламент относно защитата на данните. Настоящият съдебен състав намира за справедлив определения размер на дължимото обезщетение, който е съобразен с характера и тежестта на претърпените вреди, тяхната продължителност и неблагоприятно отражение върху личната сфера на И. П., поради което за него е възникнало право на обезщетение в обичайния размер за подобни случаи, определен съобразно възрастта на ищеца, жизнения стандарт в страната и размерът на минималната работна заплата към момента на узнаване на неправомерния достъп. Налага се извод, че при правилно установени факти по делото съдът е достигнал до правилен извод за частична основателност на предавения иск за обезщетение за причинени неимуществени вреди. При разглеждане на спора първата инстанция не е допуснала нарушения на съдопроизводствените правила, а фактическите и правни изводи са обосновани задълбочено. По изложените съображения касационната жалба е неоснователна, а обжалваното решение като действително, допустимо, правилно, постановено при отсъствието на наведените касационни основания, следва да бъде оставено в сила на основание чл. 221, ал. 2 от АПК. С оглед изходът на спора пред касационната инстанция, в полза на И. П. П. следва да бъде присъдено адвокатско възнаграждение в размер на 400 лв. съгласно чл. 7, ал.2, т.1 от Наредбата за минималните адвокатско възнаграждения. Други разноски ответника по касационната жалба по настоящото производство не е сторил. По тези съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, трето отделение,