Решение № 6054 от 19.05.2021 г. на ВАС по адм. д. № 634/2021 г.

Решение № 6054 от 19.05.2021 г. на ВАС по адм. д. № 634/2021 г., V о., докладчик съдията Мария Николова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на С. П. срещу Решение № 6463/17.11.2020 г. на Административен съд С.-град (АССГ) постановено по адм. дело № 11274/2019 г. В касационната жалба е допусната техническа грешка при изписване номера на обжалваното решение, но предвид изложеното в жалбата, волята на касационния жалбоподател, относно това кой е обжалваният съдебен акт, е ясна и недвусмислена. С обжалваното решение е отхвърлен предявеният от С. П. иск за сумата от 1 000 (хиляда) лева, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата, срещу Национална агенция за приходите (НАП), представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД). Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Оспорва извода на съда, че след като достъпът до данните е бил осъществен посредством противоправно посегателство от трети лица, НАП като "пострадало лице" не следвало да носи отговорност. Сочи, че съдът не е отчел, че отговорността по Закона за отговорността на държавата и общините за вреди (ЗОДОВ) е обективна. Националната агенция за приходите, като администратор на лични данни, е имала основната задача да предпази съхраняваните и обработвани лични данни именно от противоправни посегателства на трети лица. Счита, че след като е бил налице пробив в системата, това означавало, че задачата не е била изпълнена и именно в резултата се състояла липсата на ефективност на мерките, прилагани от ответника за защита на съхраняваните и обработвани от него лични данни на ищеца. Сочи, че съдът без да притежава специални знания, е приел за основателни възраженията на ответника по иска, че предприетите от него мерки са ефективни. Твърди, че съдът е обсъдил представените в тази връзка от ответника писмени доказателства, но не ги е обсъдил, а единствено ги е цитирал в оспорваното решение. Неправилно е приел, само въз основа на тези писмени доказателства, че не е налице първият елемент от фактическия състав на отговорността по чл. 1, ал. 1 ЗОДОВ. Оспорва извода на съда, че неимуществените вреди следвало да не са хипотетични и евентуални, а реални. Излага твърдения, че притесненията на ищеца от възможни злоупотреби с личните му данни, са реални неимуществени вреди. Позовавайки се на съдебна практика по приложението на чл. 2, ал. 2 ЗОДОВ излага съображения, че когато се претендира обезщетение за обичайните неимуществени вреди, не са нужни формални, външни доказателства за тези обичайни вреди. Моли обжалваното решение да се отмени и вместо него да се постанови друго, с което се уважи предявеният иск. Претендира разноски за двете съдебни инстанции. Представя Списък на разноските. Касационният жалбоподател се представлява от адв. Ю.. Ответникът по касация – Националната агенция за приходите оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за двете съдебни инстанции. Ответникът по касация се представлява от юрк. Т.. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения. Производството пред АССГ е образувано по предявен иск от С. П. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г. (алтернативно от дата на завеждане на исковата молба) до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните данни, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните й, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните й данни. Първоинстанционният съд от фактическа страна е установил, че на 15.07.2019 г. е изтекла информация от информационните масиви на НАП, съдържащ данни на над 5 мил. души. Посочил е, че е безспорно, че това изтичане е поради нерегламентиран достъп, в следствие на умишлени престъпни действия от страна на неизвестно/и лице/а. Посочил е, че не е налице необходимост да събира доказателства какви лични данни са изтекли, по причина, че правопораждащият факт е достатъчно известен, а при демографската обстановка било повече от сигурно, че ищцата е засегната от пробива в системата на НАП. Посочил е, че също не следва да обсъжда твърденията в исковата молба за преживени душевни несгоди, предвид неприключилите коментари за неоторизирания достъп до личните данни на ѕ от населението и нормалната човешка реакция при доказана липса на защита на лични данни; константната престъпност със злоупотреба с лични данни, телефонни, имотни, търговски и всякакъв вид измами, както и несигурната защита, при евентуална държавна намеса. По тези съображения е приел, че твърдението е за несъответна защита на лични данни от страна на НАП, като оператор с лични данни. Посочил е, че от ответника по иска са представени писмени доказателства - Заповед № 3 ЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с която е утвърдена политика по защита на личните данни в НАП, утвърдената Политика по информационна сигурност на НАП, версия 3. 0 от м. май 2016, Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения, Заповед № 3 ЦУ-586/30.04.2014 г. на изпълнителния директор на НАП, с която е наредено да се внедри СУСИ по стандарт БДС IS0/IEC 27001: 2006 в НАП, Методика за оценка на риска, версия 1. 1, към м. декември 2015 г., Заповед № 3 ЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП, с която са утвърдени "Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от Закона за Националната агенция за приходите (ЗНАП)", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др. Въз основа на така установените факти съдът е приел, че искът е неоснователен. В тази връзка е изложил съображения, че липсват предпоставки за ангажирането на отговорността на държавата по смисъла на ЗОДОВ. След анализ на разпоредбата на чл. 59, ал. 1 ЗЗЛД и чл. 24 и чл. 32 от ОРЗД, е посочил, че тези разпоредби не регламентират конкретни задължения, респ. действия на приходната агенция, свързани с опазването на личните данни, неизпълнението на които да съставлява незаконосъобразно бездействие. Изложил е съображения, че наведените доводи на ищцата за липса на подходящи и ефективни организационни и технически мерки следва да бъдат безспорно установени и по категоричен начин да става ясно, че задълженията на администрацията са останали неизпълнени или лошо изпълнени и именно те да са причината за неправомерния резултат. Посочил е, че няма спор, че е налице противоправно деяние, извършено от трети лица. Приел е, че то само по себе си не обосновава извод, че е следствие от незаконосъобразното бездействие на ответника, да изпълни нормативно предвидените с регламента и закона задължения, да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица, във връзка с обработването на личните им данни. Посочил е, че от страна на ответника са представени доказателства, от които става видно, че задълженията предвидени с регламента са изпълнени. По отношение на изложените в исковата молба твърдения за настъпилите вреди е посочил, че субективното изживяване е достатъчно лично, за да бъде обсъждано от съда. Приел е, че реални щети/вреди не са настъпили. Посочил е, че в исковата молба се сочи, че ищцата е преживяла стрес, безпокойство, притеснения и опасения за възможна злоупотреба с личните и данни. Изложил е съображения, че настъпилите неимуществени вреди следва да не са хипотетични и евентуални, а реални. Преживеният стрес, безпокойство и притеснение, следва да са такива, че да доведат до трайно изменение в ежедневно битовите навици и поведение на ищцата. Чувството на стрес и безпокойство трябва да са довели до реална промяна в поведението на ищцата. Житейски погледнато, в случай на такова нерегламентирано посегателство спрямо личните данни на човек, последният следва да предприеме всякакво активно поведение, с цел да защити своите интереси. Приел е, че такива доказателства не са ангажирани от ищцата. Предвид неустановяването на незаконосъобразно бездействие на ответника и настъпили вреди, е посочил, че е безпредметно да бъде обсъждана причинна връзка и следва да се приеме, че такава не е налице. Решението е правилно при следните съображения. Обжалваното решение е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Както правилно е отбелязал първоинстанционният съд, въпросът с допустимостта на иска е разрешен с Определение № 4958/28.04.2020 г., постановено по адм. дело № 1638/2020 г. по описа на ВАС. М. и да не е обсъдено от съда, по делото са представени доказателства за липсата на висящо или приключило производство, иницирано от ищцата, което е условие за допустимост на иска, съгласно чл. 39, ал. 4 ЗЗЛД. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В случая с оглед качеството на администратора на лични данни – специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл. 2, ал. 1 ЗНАП) правото да се претендира обезщетение за причинените вреди се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане към неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. Правилно решаващият съд е посочил, че за да възникне право на иск за обезщетение, е необходимо да са налице няколко кумулативни предпоставки, а именно: - незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината, при или по повод изпълнението на административна дейност; вреда - имуществена или неимуществена; пряка и непосредствена причинна връзка между незаконосъобразния акт, действието или бездействието и настъпилата вреда. В светлината на чл. 82 от ОРЗД предметът на доказване изисква: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Първоинстанционния съд неправилно е приел, че не е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Неправилно съдът е посочил, че не е налице необходимост да събира доказателства какви лични данни са изтекли, доколкото това е едно от обстоятелствата, които следва да бъдат установени. По делото от ищеца са представени доказателства – извадка от получен SMS, без дата и без номер на който е изпратен, неоспорена от ответника, със следното съдържание: "НАП: По заявка номер 5859 ИМА неправомерно разкрити лични данни". Направено е и доказателствено искане да се задължи ответникът да представи доказателства за вида и обема на изтеклите данни, по което искане съдът не се е произнесъл. Доколкото в касационната жалба липсват наведени доводи за допуснато съществено нарушение на съдопроизводствените правила в тази връзка, това не се отразява на крайния резултат по спора. В случая следва да се приеме, че ищецът е представил доказателства за наличието на нарушено негово право – на защита на личните му данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството.