Решение № 5374 от 30.4.2024 г. на ВАС по адм. д. № 4598/2021 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на Националната агенция за приходите против решение 1339/ 4.03.2021 г. по адм.д. 11224/2019 г. по описа на Административен съд София- град. Иска отмяна на решението като неправилно поради допуснато съществено нарушение на съдопроизводствените правила, нарушение на материалния закон и необоснованост. Твърди, че съдът неправилно е преценил фактите и неправилно е приложил закона. Ищцата не е посочила какви конкретни задължения от страна на служители на НАП не са изпълнени или са лошо изпълнени като първа предпоставка за отговорността по чл. 1, ал. 1 от ЗОДОВ. Наведени са и са обсъдени от съда неизпълнения на задължения по чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 / Регламента/, но се посочват още и нарушения по чл. 45, ал. 1, т. 6, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 от ЗЗЛД, но тези разпоредби не регламентират конкретни задължения за НАП и затова неизпълнението им не съставляват бездействие по чл. 256 от АПК. твърди, че е налице противоправно деяние, което е резултат от престъпление, а не от бездействие на НАП. Негативният резултат не презумира противоправност на администратора на лични данни. Всички приложени процедури от НАП са съобразени с международни стандарти за управление и качество като ISO 9000 и ISO 9001. Доказано е, че се прилагат политики, правила, процедури, указания и методики за управление на сигурността на информацията на НАП по отношение на всички защитени данни при спазване на Регламента. Няма претърпени реални вреди, а за хипотетични и евентуални вреди не се дължи обезщетение. Бездействието на ищеца да провери кои негови лични данни са изтекли, внася съмнение в степента на тревожността и ангажираността на ищеца от изтичането на информацията. Не е изследвана причинно-следствената връзка. Претендира юрисконсултско възнаграждение. Ответната страна Д. Кюмуркова оспорва касационната жалба като неоснователна, като намира решението за постановено при спазване на съдопроизводствените правила и материалния закон. Твърди, че НАП е нарушила чл. 24, 32, 45, ал.1, т. 6, чл. 64, 66, ал.1 и ал. 2, чл. 67 и 68 от ЗЗЛД. Претендира разноски по чл. 38, ал.1, т. 3 от ЗА- адвокатско възнаграждение за процесуално представителство пред АССГ, пред ВАС по частна жалба, д.т. за ВАС по частна жалба, възнаграждение по чл. 38, ал.1, т. 3 вр. с ал. 2 от ЗА за процесуално представителство пред ВАС. Представителят на Върховната прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК, намира същата за допустима. Разгледана по същество е основателна по следните съображения: Решението е неправилно и следва да бъде отменено. Постановено е по предявен иск от Д. Кюмуркова против НАП за присъждане на обезщетение за претърпени неимуществени вреди с правно основание чл. 82, ал. 1 от Регламент 2016/679, с твърдение, че с такова право разполага по чл. 39, ал. 2 от ЗЗЛД вр. с чл.1, ал.1 от ЗОДОВ, тъй като НАП е държавен орган. С осъдителното решение първоинстанционният съд е присъдил обезщетение от 250 лв. за претърпени неимуществени вреди, ведно със законната лихва, считано от влизане на съдебното решение в сила до окончателното плащане, като отхвърлил иска в останалата част до пълния размер от 1000 лв, присъдил на ищцата направените разноски, на адвоката присъдил 75 лв. адвокатско възнаграждение, осъдил ищцата да заплати на НАП юрисконсултско възнаграждение от 75 лв. при условията реципрочност. За да постанови този резултат съдът е разгледал иск с правно основание чл. 1, ал.1 от ЗОДОВ като приел, че НАП не е изпълнила задължения по чл. 24 и 32 от Регламент 2016/679 и чл. 45, ал.1, т.6, чл. 59, ал.1, чл. 64, 66, ал.1 и ал. 2, чл. 67 и 68 от ЗЗЛД, като приема, че тежестта на доказване за законосъобразно обработване на лични данни е върху администратора на лични данни. Приема, че чл. 59, ал.1 от ЗЗЛД и чл. 24 от Регламента въвеждат оборима презумпция за незаконосъобразно обработване на лични данни щом администраторът не е в състояние да докаже обработването им в съответствие със закона. Администраторът на лични данни не е изпълнил задължението си по чл. 59, ал.1 от ЗЗЛД да докаже, че мерките, които е приложил са подходящи и достатъчни. Приема, че ищецът е имал пасивно поведение, но тъй като ответникът не е изпълнил задължението си по "чл. 59, ал.1 от АПК", не е доказал изпълнение на дължими по закон действия. Относно неимуществените вреди е дадена вяра на разпитания свидетел, като по отношение на размера е съобразено бездействието на ищцата да разбере какъв точно вид и обем от личните й данни са неправомерно достъпени. Съдът цитира "чл. 59, ал.1 от ЗОДОВ" като разпоредба, която презумирала бездействие при невъзможност да се докаже сигурност на обработване на лични данни. Приема, че нямало да има успешна хакерска атака, ако бяха взети достатъчни и подходящи мерки за сигурност. Приема за размера на обезщетението, че съответства на претърпени обичайни неимуществени вреди, причинени от бездействие на НАП. За други вреди няма доказателства. Решението е постановено при съществено нарушение на съдопроизводствените правила, което е касационно основание за отмяна на решението и връщането му за ново разглеждане в обжалвана част. Задължение на съда е да определени правилната правна квалификация на предявения иск. В случая правното основание на иска е посочено в исковата молба - чл. 82 от Регламент/ЕС/ 2016/679, като са посочени още и правни норми от националното законодателство. Съдът е разгледал иск по чл. 1, ал. 1 от ЗОДОВ и не е изложил никакви съображения за наличието на основание за ангажиране на отговорност на администратор на лични данни по чл. 82, ал. 2 от Регламента. За да приеме, че искът по чл.1, ал.1 от ЗОДОВ е основателен съдът е развивал съображения за нарушени законови разпоредби, които се намират в Глава осма от ЗЗЛД "Правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване", която транспонира изискванията на Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. НАП обаче не е държавен орган по смисъла на чл. 42, ал. 4 от ЗЗЛД, за който да се отнасят правомощията по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Като е приел за доказано, че администраторът на лични данни не е спазил правни норми, които се отнасят за правозащитни органи, какъвто орган НАП не е, съдът е допуснал и нарушение на материалния закон, което също представлява касационно основание за отмяна на съдебно решение. Съдът посочва, че НАП не е изпълнил задължение по "чл. 59, ал.1 от АПК", която разпоредба се отнася за мотивиране на административен акт, какъвто няма по делото и не е предмет на спора. Обсъдил е също наличието на презумпция по "чл. 59, ал.1 от ЗОДОВ", каквато разпоредба този специален закон няма. Съгласно чл.172а, ал. 2 от АПК съдът излага към решението си мотиви, в които освен становищата на страните и фактите по делото се излагат правни изводи на съда. В случая тази разпоредба съществено е нарушена, защото липсват мотиви по предмета на делото, а са изложени такива, които или са неприложими за спора или не съществуват изобщо. Спорът по делото не е дали администраторът на лични данни е извършил действия или е бездействал при осъществяване защитата на личните данни, а дали избраните и приложени от него организационни и технически мерки, за които е представил писмени доказателства, са подходящи, което има значение за ангажиране на отговорността за обезщетяване на претърпени вреди. Съдебното производство е спряно до произнасяне с решение от 14.12.2023 г. на СЕС по дело С-340/21. Към момента на произнасяне по съществото на спора е налице и Решение от 4.05.2023 г. по дело С-300/ 21 на СЕС. Двете решения дават разяснения по прилагането на чл. 82 от Регламент /ЕС/ 2016/679. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламент 2016/679 има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Първоинстанционният съд приема неправилно, че има презумпция за неизпълнение на задължения по закон от страна на НАП, като се мотивира, че ако техническите и организационни мерки бяха подходящи, нямаше да се осъществи хакерската атака. Това разбиране се е отразило на разпределянето на доказателствената тежест. С определение от 17.09.2020 г. съдът указва на НАП по реда на чл. 154 от ГПК да установи създаването на конкретни правила за обработка на лични данни в отделните информационни системи и мерки за защита, дали е изградено звено, което да отговаря за управлението на риска, създаден ли е план за действие при операционно събитие, дали е утвърдена методика за управление на риска. Тези указания са изпълнени от ответника с представяне на писмени доказателства по делото, и за проверката им не е необходимо назначаване на експертиза. Липсата на активност от страна на ответника да поиска изслушване на съдебна експертиза, е прието от съда като основание да приложи последиците на доказателствената тежест. Допуснато е обаче съществено нарушение на чл. 154 от ГПК, което се е отразило на правилността на решението. Липсва указание до ответника да докаже релевантните за спора факти, т.е. изпълнението на задълженията по чл. 24 и чл. 32 от Регламента /а не по Глава осма от ЗЗЛД/ за предприети подходящи технически и организационни мерки. Такова изпълнение може да се установи чрез проверка на представените писмени доказателства със съдебен експерт. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, се тълкува от СЕС в смисъл, че в исково производство за обезщетение по чл. 82 от Регламента администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи. НАП е изпълнила указанията на съда и представила доказателства за създадени правила, организации и предприети мерки, но дали те са били подходящи, за да гарантира и докаже администратора на лични данни, че те съответстват на регламента, е факт, останал недоказан, поради липсата на указания от съда в съответствие с чл.154 от ГПК. Според СЕС от съображение 146 от Регламента се налага извод, че чл. 82 въвежда собствен режим на отговорност в областта на защитата на личните данни, в който са уредени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (виж Решение от 4 май 2023 г. по С-300/21 на СЕС/. Първоинстанционният съд изцяло се е позовал на национални разпоредби като обсъждал настъпването на "обичайни неимуществени вреди" и други вреди "по-големи от обичайните", с което е нарушил европейското законодателство поради неправилно тълкуване на ПЕС. СЕС посочва в цитираните решения, че понятието "вреди" се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява целите на Регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите, но се държи сметка изплащането на обезщетението да не се превърне в наказателно обезщетение. Поради това понятието "обичайна вреда" , която ползва първоинстанционният съд в решението си не съответства на смисъла на понятието "вреди" по чл. 82 от Регламента. Предвид изложеното е налице касационно основание за отмяна на решението в частта, в която НАП е осъдена да заплати обезщетение и направени разноски по делото, като делото бъде върнато за ново разглеждане от друг съдебен състав, който да разпредели правилно доказателствената тежест за установяване на релевантни за спора факти по чл. 82 от Регламента и да изложи мотиви при спазване на чл.172а, ал. 2 от АПК и при съобразяване на практиката на СЕС, цитирана по-горе. В отхвърлителната част, както и в частта, в която Д. Кюмуркова е осъдена да заплати на НАП разноски, решението е влязло в сила. По отношение на разноските ще се произнесе съдът по съществото на спора. На основание чл. 221, ал. 2 от АПК Върховният административен съд, пето отделение