Решение № 1577 от 19.2.2025 г. на ВАС по адм. д. № 3682/2021 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Е. П. Ш., чрез адв. Юрукова срещу решение 458 от 27.01.2021 г. по адм. дело 11249/2019 г. на Административен съд София град (АССГ), с което е отхвърлен предявеният от нея иск срещу Национална агенция за приходите (НАП) за заплащане на обезщетение за претърпени неимуществени вреди размер на 1 000 лева, заедно със законната лихва, считано от 15.07.2019 г., в резултат на незаконосъобразно бездействие от страна на НАП, довело до неправомерно разкриване на личните ѝ данни. Касационният жалбоподател обжалва решението като неправилно, постановено в противоречие с материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - касационно основание по чл. 209, т. 3 АПК. Иска същото да бъде отменено и да се постанови ново по същество на спора, с което да се уважи предявения от Ш. иск. Претендира разноски за адвокатско възнаграждение за двете съдебни инстанции. Ответникът по касационната жалба Национална агенция за приходите, чрез процесуален представител, в писмен отговор оспорва същата като неоснователна с искане да бъде отхвърлена, а оспореното съдебно решение - оставено в сила, като правилно и законосъобразно. Претендира разноски за юрисконсултско възнаграждение. Прокурорът от Върховната прокуратура дава мотивирано становище за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е основателна. Производството пред административния съд е образувано по искова молба на Е. П. Ш. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от бездействия на НАП, довели до неправомерно разпространение на личните й данни, вследствие на които ищцата претърпява неимуществени вреди, подробно посочени в исковата молба, поради което и претендира обезщетение на тези вреди, ведно със законната лихва от датата на изтичане на личните данни 15.07.2019 г. до датата на изплащане на обезщетението /алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата/. За да постанови обжалваното решение, първоинстанционният съд приема, че искът е с правно основание чл. 1 от ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди в резултат на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се в неизпълнение на задължения, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламента (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните; ОРЗД; Регламента/. Прието е за безспорно установено, че на 15.07.2019 г. е осъществен нерегламентиран достъп поради умишлени престъпни действия от страна на неизвестно лице, в резултат на което е изтекла информация от информационните масиви на НАП. След извършен преглед на предприетите мерки за защита на сигурността на информацията в НАП, на база представените от ответника доказателства - заповеди на изпълнителния директор на НАП, Политика по информационна сигурност, Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри, АССГ приема, че противоправното поведение от страна на трети лица, довело до негативен резултат - неоторизиран достъп до базата данни на НАП не презюмира противоправно поведение на администратора на лични данни /какъвто в конкретния случай е НАП/, изразяващо се в бездействие на последния да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В тази връзка административният съд достига до извод, че не е доказан първият елемент от фактическия състав на отговорността по чл. 1, ал. 1 от ЗОДОВ, а именно действие и/или бездействие на орган или длъжностно лице при или по повод изпълнение на административна дейност. Решаващият съд приема за недоказана и втората предпоставка по смисъла на посочената разпоредба - наличието на претърпяна вреда. В тази връзка сочи, че не е доказано Ш. реално да е претърпяла твърдените неимуществени вреди, представляващи притеснения, страх и опасения за възможна злоупотреба с личните ѝ данни. С оглед горните съображения, първоинстанционният съд приема, че предявеният иск с правно основание чл. 1, ал. 1 от ЗОДОВ е неоснователен и отхвърля исковата претенция изцяло. Така постановеното решение е неправилно. Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В разпоредбата на чл. 82 от Регламент (ЕС) 2016/679 са посочени трите необходими условия, за да възникне правото на обезщетение: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд неправилно е приел, че не е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно липсва бездействие на НАП при прилагането на подходящи технически и организационни мерки за осигуряване защитата на базата данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни /какъвто в случая е НАП/ да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата на чл. 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства, цитирани от първоинстанционния съд не доказват, че приложените мерки са подходящи за защита на личните данни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В случая разкриването на лични данни в резултат на т. нар. хакерска атака не презюмира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Първоинстанционнният съд неправилно е приел, че не са налице втората и третата предпоставка за ангажиране на отговорността на администратора. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI: EU: C: 2023: 986, е посочено, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват "нематериална вреда" по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В съдебното производство ищцата твърди претърпяването на неимуществени вреди, описани в исковата молба и потвърдени със свидетелските показания на разпитания по делото свидетел. Ангажирала е доказателства, чрез изискана справка от НАП, от които е видно, че спрямо нея е налице разпространение на лични данни в обем: ЕГН и данни от декларации, подадени от работодатели/осигурителите за осигурените от тях лица. Допълнително от събраните свидетелски показания в съдебното производство е видно, че след научаване за изтичането на личните данни ищцата е станала по-нервна и неспокойна и се е опасявала от бъдещи злоупотреби с личните данни. С оглед изложеното ищцата е доказала кои нейни лични данни са изтекли, както и че действително са претърпените неимуществени вреди, изразяващи се в страх и безпокойство. Следователно налице е втората предпоставка за ангажиране на отговорността на администратора, а именно доказани претърпени неимуществени вреди. Третата предпоставка причинно-следствена връзка между нарушението на регламента (незаконосъобразното бездействие) и претърпените неимуществени вреди, също е налице. Проявеното от ответника бездействие да изпълни по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица, е в пряка причинна връзка с негативните усещания на засегнатите лица, в конкретния случай на ищцата. В случай че не беше допуснат неправомерния достъп до личните данни, ищцата не би преживяла негативните емоции. Пряката причинна връзка между противоправното бездействие на ответника и настъпилата за ищцата вреда не се прекъсва от начина, по който тя е разбрала за неправомерния достъп. Негативните емоции са пряк резултат от неправомерното разкриване на лични данни, в резултат на недоказаното от ответника взимане на подходящите технически и организационни мерки. При заявената от ищеца претенция за присъждане на обезщетение в размер на 1000 лв., за определяне размера на претенцията за обезщетяване на неимуществените вреди, следва да се съобрази разпоредбата на чл. 52 от Закона за задълженията и договорите (ЗЗД), като размерът на обезщетението се определи по справедливост. В случая с оглед характера и тежестта на претърпените негативни емоции, тяхната продължителност и неблагоприятното им отражение в личната сфера на лицето, неговата възраст, стандартът на живот в страната, съдът намира, че справедливият размер на обезщетението е в размер на 200 лв., ведно с претендираната лихва, считано от датата на подаване на исковата молба-17.09.2019г. до окончателното изплащане на сумата. Този размер на обезщетението би довел до пълно репариране на претърпените от ищцата вреди. Предвид изложеното решението следва да се отмени като неправилно като постановено в нарушение на материалния закон, в частта, в която е отхвърлен иска за размера до 200 лв. и вместо него да се постанови ново, с което на Ш. да се присъди обезщетение за претърпени неимуществени вреди от незаконосъобразно бездействие на НАП в размер на 200 лв. Решението следва да бъде отменено частично и относно присъденото юрисконсултско възнаграждение на НАП за първата съдебна инстанция за разликата над 83 лв. до присъдения размер от 100 лв., предвид частичното уважаване на иска, на основание чл. 10, ал. 4 ЗОДОВ. С оглед изхода на спора следва да се уважи направеното от касационния жалбоподател искане за присъждане на разноски за двете съдебни инстанции, като на основание чл. 10, ал. 3 ЗОДОВ ответникът следва да бъде осъден да заплати на Е. П. Ш. заплатените държавни такси за двете съдебни инстанции в общ размер 15 лв., а предвид представените доказателства за осъществена правна помощ при условията на чл. 38 от Закона за адвокатурата (ЗА) и заявената претенция за заплащане на адвокатско възнаграждение на адвоката осъществил безплатна правна помощ, на адв. С. Юрукова ще следва да се заплати адвокатско възнаграждение. На основание чл. 10, ал. 3 ЗОДОВ същото следва да се определи съразмерно с уважената част на иска, а именно в размер на 167 лв. за всяка съдебна инстанция. С оглед изхода на спора, на ответника по касация, за настоящата инстанция, ще следва да се присъди, на основание чл. 10, ал. 4 ЗОДОВ, юрисконсултско възнаграждение съразмерно с отхвърлената част от иска, а именно 83 лв., платими от ищцата. По тези съображения и на основание чл. 221, ал. 2, във вр. чл. 222, ал. 1 АПК, Върховният административен съд, Пето отделение,