Решение № 7232 от 27.6.2025 г. на ВАС по адм. д. № 4644/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите /НАП/, чрез процесуален представител, срещу Решение 28087/22.12.2024 г. на Административен съд - София - град (АССг), постановено по адм. дело 5692/2024 г., в частта, с която НАП е осъдена да заплати на Б. И. Б. сумата от 600 (шестстотин) лева, представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата, НАП е осъдена да заплати на Б. И. Б. сумата 40 (четиридесет) лева, заплатени държавни такси и сумата от 600 /шестстотинн/ лева на адв. С. - Юрукова на основание чл. 38, ал. 2 от Закона за адвокатурата /ЗА/. Касационният жалбоподател обжалва съдебното решение като неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост касационни основания за отмяна по чл. 209, т. 3 АПК. Иска отмяната му и постановяване на ново, с което да се отхвърли изцяло предявеният от Б. Б. иск. Претендира разноски за юрисконсултско възнаграждение. Ответникът по касационната жалба Б. И. Б., чрез процесуален представител, в писмен отговор оспорва същата като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира разноски за адвокатско възнаграждение на основание чл. 38 от ЗА. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд (ВАС), състав на Пето отделение, при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема за установено следното: Обжалваното решение е валидно и допустимо постановено е в предвидената от закона форма, от компетентния съд, след надлежно сезиране с жалба против административен акт от лице, чийто интереси са засегнати с него. С Решение 6554/29.05.2024 г., постановено по адм. дело 6490/2021 на Върховния административен съд, Пето отделение е отменено Решение 2651/20.04.2021 г., постановено по адм. дело 11259/2019 г. по описа на АССг и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. С постановеното при новото разглеждане на делото решение, в обжалваната му част, АССг е осъдил НАП да заплати на Б. И. Б. сумата от 600 лева, представляваща обезщетение за причинените му неимуществени вреди, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата и 40 лв., заплатени държавни такси, както и сумата от 600 /осемстотин/ лева адвокатско възнаграждение на адв. С. - Юрукова на основание чл. 38 ЗА.С решението е отхвърлен предявеният от Б. иск за разликата над уважения до пълния му размер от 1000 лв. и същият е осъден да заплати на НАП направените до момента деловодни разноски пред всички инстанции, представляващи възнаграждение за юрисконсулт в размер на 120 лв. В тази част решението като необжалвано е влязло в законна сила. За да постанови горния резултат, първоинстанционният съд е приел от правна страна, че искът е с правно основание чл. 82, пар. 1 Регламент (ЕС) 2016/679 от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46(ЕО) (ОРЗД; Регламент (ЕС) 2016/679, като НАП в качеството на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на Б.. Съдът е приел, че Агенцията не е успяла да докаже, че по никакъв начин не е отговорна за събитието, респ. последната, в качеството ѝ на администратор на лични данни, не е изпълнила задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Административният съд е приел, че са налице и останалите две предпоставки за възникване на правото на обезщетение, а именно налице е твърдяната от Б. претърпяна вреда и причинно следствената връзка между нея и неправомерното бездействие от страна на НАП. При така установеното от правна и фактическа страна съдът е приел исковата претенция за частично основателна като е определил по справедливост обезщетение на Б. Б. в размер на 600 лв., ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата. Решението е неправилно по следните съображения: Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на чл. 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Разпоредбата на чл. 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, параграф 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези чл. 24 и чл. 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че чл. 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп д такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това обстоятелство е останало недоказано от ответника в производството, а именно, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. В съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Неправилно обаче в обжалваното решение е прието, че е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че чл. 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че чл. 82, параграф 1 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1).