Решение № 6839 от 5.6.2024 г. на ВАС по адм. д. № 12914/2020 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Националната агенция за приходите (НАП), подадена чрез пълномощника юрисконсулт Л. Танев, срещу решение 4979 от 25.09.2020 г., постановено по адм. дело 11311/2019 г. по описа на Административен съд София - град (АССГ), в частта му с която по иск с правно основание по чл. 79, § 1 и чл. 82, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), НАП е осъдена да заплати на М. Й. И. сумата от 500 лева, представляваща обезщетение за неимуществени вреди, настъпили от неправомерното бездействие на ответника да изпълни задължението си да защити по сигурен начин личните данни на ищеца като физическо лице, позволило неоторизиран достъп и разкриването им, оповестено публично на 15.07.2019 г., заедно със законната лихва върху тази сума, считано от датата на подаване на исковата молба -16.09.2019 г. до окончателното изплащане на дължимото. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, като неоснователен. В тази част то не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът счита, че съдът е цитирал правни норми, без да обсъди представените от него доказателства. По отношение вмененото му незаконосъобразно фактическо бездействие заявява, че разпоредбата на чл. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) има предвид такова по чл. 256 АПК. Намира, че съдът неправилно е разпределил тежестта на доказване между страните, което е довело и до неправилни изводи по съществото на спора. Твърди, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства. Счита, че не е установено по отношение на ищеца да са разкрити лични данни, техния обхват и действията които той е предприел в тази насока. Възразява и по отношение приетите като претърпени неимуществени вреди от ищеца под формата на стрес, безпокойство и притеснение, които съответно да са в причинна връзка с твърдяното неправомерно бездействие на администратора на лични данни. Заявява, че съдът не е взел предвид образуваното пред Софийски районен съд административно наказателно дело 14811/2019 г. по повод обжалването от НАП на наказателно постановление 004 от 28.08.2019 г., издадено от председателя на Комисията за защита на лични данни (КЗЛД) във връзка с осъществен неоторизиран достъп до информационната система на НАП, което към тогавашния момент не е било приключило с влязъл в сила съдебен акт. Въз основа на изложените оплаквания иска отмяна на атакуваното съдебно решение и постановяване на друго, с което предявеният иск бъде отхвърлен изцяло. Претендира юрисконсултско възнаграждение за двете инстанции. Ответникът по касация - М. Й. И., чрез адвокати С. Юрукова и И. Юруков, в представени писмен отговор, молба и писмена защита, оспорва жалбата и моли съда да постанови решение, с което да я остави без уважение. Иска присъждане на съдебно-деловодни разноски, съгласно приложен списък по чл. 80 от Гражданския процесуален кодекс (ГПК). Представителят на Върховна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е неоснователна. Предмет на разглеждане пред АССГ е предявен иск с правно основание чл. 82, § 1 от ОРЗД, разгледан по реда на чл. 203 АПК, вр. чл. 39, ал. 2 ЗЗЛД, като се претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. С уточняваща молба от 22.10.2019 г. ищецът е заявил, че претендира присъждане на законната лихва върху търсеното обезщетение, считано от момента на подаване на исковата молба. С друга молба от 15.11.2019 г. е конкретизирал, че оспорва бездействието на НАП да защити личните данни на ищеца и едновременно с това се предявява иск за обезщетение на причинените от това бездействие и предизвикано от него разпространение на личните му данни неимуществени вреди. Съдът е установил, че в КЗЛД няма висящо или приключило производство, инициирано от ищеца, което е условие за допустимост на предявения пред него иск, съгласно чл. 39, ал. 4 ЗЗЛД. От фактическа страна е прието, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи лица - български и чужди граждани и 1 989 598 починали лица. По делото е приложена извадка от получен SMS от дата 09.08.2019 г., без номер, на който е изпратена, със следното съдържание: НАП: По заявка номер 6877 ИМА неправомерно разкрити лични данни . От справка на НАП от 02.07.2020 г. е видно, че за идентификатор [номер] (ЕГН на ищеца М. И.) са разкрити лични данни, които включват ЕГН и имена; данни за изплатени доходи на физически лица за 2007 г. и за 2008 г. По делото са приети писмени доказателства, от които се установява, че след изтичането на лични данни от информационните масиви на НАП, последната е информирала за това Софийска градска прокуратура и КЗЛД. Във връзка с предприети мерки за правомерно обработване и съхранение на личните данни от НАП са представени издадени от нейния директор актове, както следва: заповед ЗЦУ-746/25.05.2018 г., с която е утвърдена политика по защита на личните данни в НАП; утвърдена Политика по информационна сигурност на НАП, версия 3. 0 от м. май 2016 г.; утвърдена Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри; (в Приложение 1, към чл. 24, ал. 2 от нея, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения); заповед ЗЦУ-586/30.04.2014 г., с която е наредено да се внедри СУСИ по стандарт БДС I. /I. 27001: 2006; изработена Методика за оценка на риска, версия 1, към м. декември 2013 г.; заповед ЗЦУ-1436/15.10.2018 г., с която са утвърдени Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП , Указания за обозначаване и работа с информация , Указания за попълване на образци на процедура , Указания за попълване на образеца на инструкция и др. От КЗЛД е предоставена информация, че е извършила проверка за изтеклата информация от информационните масиви на НАП, при която е установено, че при осъществяване на дейността си НАП не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. За така установеното, председателят на КЗЛД е издал наказателно постановление против НАП за нарушение на чл. 32, § 1, б. б от ОРЗД. Наказателното постановление е обжалвано пред Софийския районен съд и не е влязло в сила. Съдът с определение от открито съдебно заседание на 22.06.2020 г. е постановил, че предявеният иск следва да се квалифицира с правно основание чл. 79, § 1 и чл. 82, § 1 от Регламент (ЕС) 2016/679, докладвал е материалите по делото и е разпределил доказателствената тежест между страните, с дадени конкретни указания и задължения по събиране на доказателствата. Приел е, че с оглед въведеното фактическо основание на предявения осъдителен иск - бездействие на ответника да изпълни свои законови задължения, М. И. е в правното положение на ищец по отрицателен установителен иск и е в тежест на ответника да докаже отричаното от ищеца надлежно изпълнение на задълженията. Съдът е допуснал служебно извършването на съдебно техническа експертиза, с вещо лице със специалност киберсигурност , като е дал възможност на ответника в 14-дневен срок да формулира задачи за експерта, с изрично указание, че ако откаже, съдът ще отмени определението си за допускане на експертиза и ще реши спора съобразно наличните по делото доказателства и носената от страните доказателствена тежест. С молба от 06.07.2020 г. НАП е представила изискани писмени доказателства, като е заявила, че отказва да формулира задачи към вещо лице за извършване на съдебно техническа експертиза по съображения, че доказателствената тежест в тази насока е за ищеца и същият следва да докаже твърденията си в исковото производство. Съдът с определение в закрито съдебно заседание на 09.07.2020 г., е отменил определението си от 22.06.2020 г. за допускане на съдебно техническа експертиза, която да се извърши от вещо лице със специалност киберсигурност . Събрани са гласни доказателства, чрез разпит на свидетеля Д. А., колега на ищеца. Според показанията му, М. И. е изпитвал притеснения за изтеклите му лични данни, тъй като през 2017 г. закупил имот със собствени средства и кредит от банка. Получавал е имейли от банката за актуализиране на акаунта и други проблеми, които подозирал, че са били свързани с изтичането на данни, защото до тогава не е получавал такива. Притеснявал се да не бъде изтеглен бърз кредит от негово име. Станал притеснителен и раздразнителен, в работата му се случвали инциденти. При тези така установената фактическа обстановка АССГ е приел предявеният иск за допустим и частично основателен, като го е уважил за сумата от 500 лева. Решението е правилно. Съгласно чл. 82, § 6 от Регламент (ЕС) 2016/679, съдебните производства във връзка с упражняването на правото на обезщетение при нарушаване на правата на субекта на лични данни, произтичащи от Регламента, се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в чл. 79, § 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност - публични органи или частноправни субекти. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора на лични данни е съответно на ОРЗД. Незаконосъобразността на същите, което е в пряка причинна връзка с претендираната вреда е основание за ангажиране на отговорността на извършителя и в този контекст чл. 39, ал. 2 ЗЗЛД дава правна възможност на субекта на данни да предяви и претенцията за обезщетение, която да бъде разгледана в същото производство. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета Производство за обезщетения на АПК. Следователно, правото да се претендира обезщетение за вреди, причинени от администратор на лични данни при или по повод обработване на лични данни на засегнатия субект се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК с препращане за неуредените въпроси към ЗОДОВ и ГПК. Правилно АССГ е приел от правна страна, че предявеният иск е с правно основание чл. 79, § 1 и чл. 82, § 1 от ОРЗД. Първата от тези разпоредби предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно чл. 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване чл. 79, § 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, § 1, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Неотносимо е позоваването от страна на ищеца на чл. 59 и чл. 66 ЗЗЛД, тъй като тези разпоредби се намират в глава 8 ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи, но само за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. АССГ не е констатирал това несъответствие, но тази неточност не променя същността на останалите му правни изводи. Не може да бъде възприето възражението на касационния жалбоподател, че не е установено по отношение на ищеца да са разкрити лични данни, тъй като справката за това какви данни са изтекли за ищеца изхожда от НАП и тя правилно е била възприета от АССГ като установяваща наличието на този факт. От значение за разрешаването на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., като производството по настоящото дело беше спряно до постановяването му. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Предвид дадените указания от СЕС, при правилност на определеното от АССГ правно основание на предявения иск - чл. 82 ОРЗД и разпределение на доказателствената тежест, решаващият съд е достигнал до законосъобразни правни изводи. От доказателствата по делото може да се направи категоричен извод за наличие трите предпоставки за основателност на иска по чл. 82 ОРЗД - допуснато от администратора на данни нарушение на Регламент (ЕС) 2016/679, наличие на материална или нематериална вреда и причинна връзка между претърпяната вреда и нарушението на Регламента. Първоинстанционният съд обосновано на установените факти по делото е приел, че е налице първата предпоставка - нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни спрямо правата на ищеца, в качеството му на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, § 3 ОРЗД, НАП не доказва в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да минимизира риска от нерегламентиран достъп на трети лица. Независимо от правилно разпределената тежест на доказване от АССГ, Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищеца са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищеца за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерагламентирания достъп до личните данни на ищеца и останалите физически лица. По изложените съображения касационният състав намира за правилен извода на АССГ, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Неоснователни са възраженията на касационния жалбоподател за допуснати съществени нарушения на съдопроизводствените правила поради неправилно разпределена доказателствена тежест между страните. Противно на доводите в касационната жалба, единствено ответникът е следвало да доказва изпълнението на действията дължими по силата на посочените правни норми, които обезпечават защитимото право на ищеца и в този контекст съдът точно е разпределил доказателствената тежест между страните. По отношение установяването на първия елемент от фактическия състав на предявения иск, съдът обосновано е указал на ответника, че за установяване изпълнението на задълженията за предприемане на подходящи и ефективни технически мерки са му необходими специални знания от специалност киберсигурност , с които съдът не разполага, поради което му е дал възможност да формулира задачи за вещото лице по допусната служебно съдебно-техническа експертиза. АССГ се е позовал на изричния отказ на НАП да бъде извършена такава експертиза и правилно е преценил, че администраторът на лични данни не е установил, че извършените от него действия за които са представени само писмени доказателства, са били подходящи технически за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищеца. Тук трябва да се посочи, че допълнително представените с касационната жалба писмени доказателства относно предприетите от НАП мерки не обуславят по смисъла на чл. 219, ал. 1 от АПК наличието на касационни основания за отмяна на съдебното решение, а само съществуването на още документи, които не са представени своевременно пред първата инстанция. Обосновано на доказателствата по делото съдът е намерил, че са налице също втората и третата предпоставка за основателност на исковата претенция. Правилно е изложил, че защитата на физическите лица във връзка с обработването на лични данни е основно право.