Решение № 9198 от 6.10.2025 г. на ВАС по адм. д. № 5072/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на К. С. К., чрез адв. А. Павлов срещу Решение 4875/17.12.2024 г. на Административен съд - Пазарджик /АС - Пазарджик/, постановено по адм. дело 807/2024 г., с което са отхвърлени исковите му претенции против Национална агенция за приходите за присъждане на обезщетение за нанесени неимуществени вреди в размер на 2000 лв., предявени на основание чл. 82, § 1 от Общия регламент относно защитата на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета, във вр. чл. 39, ал. 1 и ал. 2 от Закона за защита на личните данни /ЗЗЛД/, ведно с дължимата законна лихва върху сумата, считано от 15.07.2019 г. до окончателното й изплащане. Със същото решение К. К. е осъден да заплати на Националната агенция за приходите/НАП/ сумата от 100 лева, представляваща юрисконсултско възнаграждение. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 от АПК. Твърди, че съдът неправилно е приел, че не са налице останалите две предпоставки за уважаване на предявения иск претърпени от ищцата неимуществени вреди и причинна връзка между вредите и незаконосъобразното бездействие на НАП. Иска решението да бъде отменено, като бъде уважен изцяло предявения иск. Претендира разноски. В съдебно заседание касаторът не се явява и не се представлява. Ответникът по касация Национална агенция по приходите, чрез юриск. Ж. Манолова оспорва касационната жалба в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира касационната жалба за процесуално допустима, като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна по следните съображения: Производството пред първоинстанциония съд е било е образувано по предявен иск на К. С. К. срещу Национална агенция по приходите с да му бъде заплатена сумата в размер на 2 000 лева, представляваща обезщетение за претърпени неимуществени вреди поради неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни съгласно чл.39, ал.2 ЗЗЛД и допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл.24 и чл.32 от Общия регламент относно защитата на личните данни /ОРЗД/ 2016/679 на Европейския парламент и на Съвета (GDPR), заедно със законната лихва върху тази сума, считано от 15.07.2019 г.- датата на увреждането до окончателното й изплащане. За да постанови оспореното решение съдът е приел, че предявеният иск е с правно основание чл. 79, § 1 и чл. 82, § 1 от Регламент /ЕС/ 2016/679, във вр. чл. 39 от ЗЗЛД, чл. 203 от АПК, във вр. чл. 1, ал. 1 от ЗОДОВ. Първоинстанционният съд е намерил за безспорно по делото, че поради нерегламентиран достъп в следствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. От представените по делото доказателства съдът е установил, че са предприети мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и такива за преустановяване на нерегламентирания достъп. АС - Пазарджик е посочил, че по делото са приети писмени доказателства за разработени и утвърдени от НАП документи, както следва: Заповед ЗЦУ-586/30.04.2014 г. на Изпълнителния директор на НАП за внедряване на СУСИ по стандарт БДС ISO/IEC 27001:2006; Заповед З-ЦУ-1436/15.10.2018 г. на Изпълнителния директор за утвърждаване на различни указания, включително и Указания за обозначаване и работа с информацията, с които се цели да се определи и обозначи нивото на мерките по сигурност, изисквани за защита на информацията, в съответствие на класификацията по отношение чувствителност и критичност за НАП; Заповед ЗЦУ-733/17.06.2016 г. за утвърждаване на процедури на отдел Превенция на финансовата и информационна система и вътрешни правила за мрежовата и информационната сигурност; Заповед ЗЦУ-83/23.01.2013 г. за вида съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП; Списък на видовете операции по обработване на лични данни, за които се изисква извършване на оценка на въздействието върху защитата на данните съгласно чл. 35, § 4 от Регламент (ЕС) 2016/679; Заповед ЗЦУ-1596/29.11.2017 г. за утвърждаване на указания за унищожаване на информация и информационни носители в НАП; Заповед ЗЦУ-535/11.05.2016 г. за утвърждаване на вътрешни правила за оборот на електронни документи и документи на хартиен носител; Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри; Политика за информационна сигурност от месец май 2016 г. От друга страна съдът е приел, че от наличните доказателства не може да се установи дали предприетите организационни мерки са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент /ЕС/ 2016/679. При така установеното е намерил, че е налице първата предпоставка за ангажиране отговорността на ответника - незаконосъобразно бездействие по предприемане на ефективни действия от страна на НАП. Съдът е посочил, че ищецът не е ангажирал доказателства какви негови лични данни са достъпени неправомерно. Към исковата молба е представена справка от електронната страница на НАП, в която е посочено: За подадения идентификатор има разпространени данни. Разпространените данни включват: . Никъде в справката не е индивидуализирано лицето, на което са изтекли данните. Липсват имена и ЕГН, от които може да се направи извод, че тази справка касае ищеца, нито кой е направил заявката. По делото е разпитан свидетелят Х. С., който заявява, че се познава с ищеца повече от 30 години. Посочва, през август 2019 г. ищецът му се е обадил по телефона и го помолил да извърши справка от негово име в Централен кредитен регистър във връзка с теча на данни. Твърди, че е направил няколко справки, от които не се виждало да са използвани личните данни на К.. Посочва, че ищецът се притеснявал някой да не изтегли нещо и че пие някакви лекарства на билкова основа. Първоинстанционният съд след анализ на доказателствата по делото е приел, че не са установени и доказани втората и третата предпоставка за уважаване на иска за обезщегение - наличие на причинена неимуществена вреда вреда и причинно следствена връзка на незаконосъобразното бездействие от страна на НАП и причинената вреда. Направил е извод,липсата на доказателства какви точно лични данни са изтекли и че изтеклите такива са именно на ищеца има за последица недоказаност на втория елемент от фактическия състав на отговорността. Трите елемента следва да са кумулативно налице и липсата на един от тях има за последица неоснователност на иска, поради което не следва да се обсъжда дали наличието на третата предпоставка. Въз основа на така установените факти съдът е приел, че искът е неоснователен. Решението е правилно и следва да бъде оставено в сила. Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент /ЕС/ 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 от ЗОДОВ. В разпоредбата на чл. 82 от Регламент /ЕС/ 2016/679 са посочени трите необходими условия, за да възникне правото на обезщетение: 1. нарушение на правата на субекта на данни по Регламент /ЕС/ 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, но поради недоказаност на претърпените вреди искът е неоснователен. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. Регламент /ЕС/ 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. Разпоредбите на чл. 24 и 32 от Регламент /ЕС/ 2016/679 задължават администратора на лични данни /какъвто в случая е НАП/ да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. Съгласно разпоредбата на чл. 82, параграф 3 от ОРЗД предвиждаща, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора /обработващия/, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата на чл. 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В настоящия случай съдът правилно е приел, че ответникът не е представил доказателства, от които да се установи по безспорен начин прилагането на подходящите мерки за сигурност. Представените писмени доказателства, обсъдени от първоинстанционния съд, не доказват, че приложените мерки са подходящи за защита на личните данни. В случая разкриването на лични данни в резултат на т. нар. хакерска атака не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. От друга страна съдът правилно приема, че в настоящия случай не е налице втората предпоставка за основателност на исковата претенция. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В случая както правилно е приел АС - Пазарджик ищецът не доказва какви негови лични данни са достъпени неправомерно. За установяване изтичането на лични данни ищецът не е ангажирал доказателства, че по отношение на него е налице неправомерно разкриване на лични данни. Липсата на доказателства дали и какви точно лични данни са изтекли и че изтеклите такива са именно на ищеца, както и че действително са претърпени неимуществени вреди от К. има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 от ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищецът да докаже, че именно негови конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпял и в какво точно се изразяват те. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение /т. 1/. Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост /т. 2/. Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. По изложените съображения решението като валидно, допустимо и правилно следва да бъде оставено в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на юрисконсултско възнаграждение за настоящата инстанция, се явява основателна и следва да се уважи в размер на 100 лв. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, Пето отделение