Решение № 954 от 6.2.2025 г. на ВАС по адм. д. № 3066/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по две касационни жалби, подадени от Национална агенция за приходите и от Р. И. И., против решение 1021 от 16.12.2020 г., постановено по адм. дело 558/2020 г. по описа на Административен съд Пазарджик (АС Пазарджик). Касационният жалбоподател - Национална агенция за приходите (НАП, Агенцията), чрез процесуален представител юрк. Терзов, обжалва съдебното решение в частта, с която НАП е осъдена да заплати на Р. И. И. сума в размер на 500 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на публично оповестяване на лични ѝ данни. Развиват се съображения за неправилност на съдебния акт в оспорената му част, поради нарушение на материалния закон и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Иска се неговата отмяна. Претендира юрисконсултско възнаграждение за настоящата инстанция. В условията на евентуалност прави възражение за прекомерност на претендираните от касатора разноски. Ответникът по тази касационна жалба Р. И. И. не изразява становище. Касационния жалбоподател - Р. И. И., чрез процесуалния представител адв. А. Павлов, обжалва съдебното решение в неговата осъдителната и отхвърлящата иска част, както и в частта за разноските и иска уважаването на исковата претенция в пълния предявен размер от 1200 лв. Излага съображения за неправилност на съдебния акт в оспорената му част, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания по чл. 209, т. 3 АПК. Не претендира разноски. Ответникът по тази касационна жалба НАП в писмени бележки изразява становище за неоснователност за касационна жалба. Прокурорът от Върховната прокуратура дава мотивирано заключение за неоснователност и на двете касационни жалби. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационните жалби са процесуално допустими като подадени в законния срок, от надлежни страни и срещу подлежащ на оспорване съдебен акт. Разгледани по същество и двете касационни жалби са неоснователни по следните съображения: Производството пред АС Пазарджик е образувано по предявен иск от Р. И. И. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в периода в размер на 1200 лв., ведно със законната лихва от 15.07.2019 г. до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в психическо натоварване, притеснения и опасения от всевъзможни злоупотреби с личните данни на ищцата, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните й, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните данни на ищцата. От фактическа страна съдът е приел за безспорно, че на 15.07.2019 г. неизвестно лице е осъществило нерегламентиран достъп в информационните масиви на НАП, станал известен като хакерска атака, вследствие на което е разпространена информация, съдържаща личните данни на множество физически лица. По делото е представена справка от НАП със следното съдържание: За подадения идентификатор 8507093435 има разпространени данни. Разпространените данни включват: ЕГН и имена, от справка за изплатени доходи на физически лица (чл. 73 от ЗДДФЛ) за 2018 г. и идентификационни данни, в качеството на представляващ лице в административнонаказателно производство. В хода на съдебното са събрани и гласни доказателства чрез разпит на свидетеля И. Х., който твърди, че след като научила за изтеклите ѝ лични данни, ищцата била смутена и силно притеснена да не бъдат използвани, за да навредят на бизнеса ѝ и да изтеглят паричните ѝ средства. Ответникът по делото - НАП е представила писмени доказателства по отношение на внедрена Система за управление на сигурността на информацията (СУСИ) по стандарт БДС ISO/IEC 27001:2006, както вътрешни правила, заповеди, методики и инструкции относно политиките за информационна сигурност. Първоинстанционния съд е приел, че предявения иск е допустим, като такъв с правно основание чл. 203, ал. 1 и чл. 204, ал. 4 АПК, във вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), във вр. чл. 82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД), във вр. чл. 39, ал. 1 и ал. 2 от Закона за защита на личните данни (ЗЗЛД). Въз основа на така установените факти съдът е приел, че искът е допустим и частично основателен. Приел е, че исковата претенция се основава на незаконосъобразно бездействие - неполагане на достатъчно грижа и неприлагане на ефективни мерки за защитата на сигурността на данните, с което са нарушени разпоредбите на чл. 24 и чл. 32 от GDPR и чл. 59, ал. 1 от ЗЗЛД, чл. 45, ал. 1, т. 6, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 от ЗЗЛД. За ангажиране на отговорността на НАП по фактическия състав на отговорността за вреди по чл. 1, ал. 1 от ЗОДОВ следва да са налице следните предпоставки: незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината при или по повод изпълнение на административна дейност, отменени по съответния ред, вреда от такъв административен акт, действие или бездействие и причинна връзка между постановения незаконосъобразен акт, действие или бездействие и настъпилия вредоносен резултат. При липсата на който и да е елементите от фактическия състав не следва да се реализира отговорността на НАП. По отношение на първата предпоставка - незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината при или по повод изпълнение на административна дейност, първоинстанционния съд е приел, че НАП притежава качество на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, както и че осъществява дейности по обработване на лични данни по смисъла на чл. 4, т. 2 от ОРЗД. С оглед на това качество НАП има задължение да прилага подходящи технически и организационни мерки с цел гарантиране, че обработването е в съответствие с чл. 24 и чл. 32 от ОРЗД, както и чл. 59, ал. 1 от ЗЗЛД. Отговорността на ответника НАП произтича от специфичния характер на дейността му по обработване на лични данни, включваща създаване, поддържане и актуализация на регистъра и базата данни, както и архивиране и съхраняване на съдържащата се в тях информация и контролирания достъп до нея. Първоинстанционният съд е приел, че неоторизирания достъп е причината за неправомерно разкриване и разпространение на лични данни, като самото осъществяване на неоторизирания достъп категорично сочи, че е вследствие на противоправно бездействие (пропуски) на ответника да изпълни произтичащи от нормативната рамка задължения да обезпечи достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, във вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679. Приел е, че техническата уязвимост очевидно е налице независимо от нейния произход, естество и обхват, а съществуването й като обективен факт в действителността само по себе си е предпоставка за извършения неоторизиран достъп. Като безспорно доказателство е прието самото обстоятелството за допусната хакерска атака, с която е пробита информационната система на НАП по отношение на повече от 6 000 000 субекти на данни, че не е налице извършване на оценка на подходящото ниво на сигурност и не са взети необходимите технически и организационни мерки за защита при обработването на личните данни на засегнатите лица, в т. ч. и личните данни на ищцата. Представените доказателства от ответника не доказват по категоричен начин предприемането на подходящи и ефективни организационни и технически мерки за гарантиране сигурността на обработваните лични данни, както и за освобождаване от отговорност на ответника по смисъла на чл. 82, § 3 ОРЗД. С тези мотиви АС Пазарджик е приел наличието на първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите мерки и ефективна средства за защита, произтичащи от задълженията на администратора по чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. По отношение на втората предпоставка първоинстанционния съд е приел, че и тя е осъществена, тъй като в съдебното производство са доказани претърпени неимуществени вреди от ищцата Р. И. от незаконосъобразно бездействие на НАП, изразяващи се в притеснения, смущения и стрес и свързаните с това негативни изживявания. След като е установил наличието на втората предпоставка, АС Пазарджик е установил и наличието на третата предпоставка, а именно пряка причинно-следствена връзка между изтичането на личните данни на ищцата и преживените негативни емоции от нейна страна. По тези съображения първоинстанционният съд частично е уважил предявения иск като е присъдил на Р. И. 500 лв. обезщетение за претърпените неимуществени вреди, следствие от противоправното бездействие на НАП. Предвид основателността на главния иск, съдът е уважил и претенцията на за заплащане на лихва за забава, както и е присъдил разноски на страните. Решението е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. По делото са представени доказателства за липсата на висящо или приключило производство, инициирано от ищеца, което е условие за допустимост на иска, съгласно чл. 39, ал. 4 ЗЗЛД. Решението е правилно, като постановено при липса на сочените в касационните жалби отменителни основания. Предявеният иск е с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Правилно решаващият съд е посочил предпоставките, които следва да се установят, за да се приеме искът за основателен. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/2021 на СЕС, VB, ECLI:EU:C:2023:986, е посочено че от текста на член 82, § 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, §1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. По делото не се оспорва от процесуалния представител на ответната страна, че до личните данни на ищцата е имало неправомерен достъп. Следователно ищцата е доказала твърдението си за наличието на нарушено нейно право на защита на личните й данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, § 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, § 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Неправилно първоинстанционният съд е посочил, че доказателствената тежест да докаже незаконосъобразно бездействие от страна на администратора на лични данни се носи от ищцата. Макар и касатора Р. И. да навежда доводи, че оспорваният съдебен акт страда от наличие на съществено нарушение на съдопроизводствените правила от съда, същият не е изложил съображения в касационната жалба в какво се изразяват тези нарушения, което не може да доведе до отмяна на решението и връщането му за ново разглеждане. Разпоредбата на чл. 82, § 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от съда, не доказват, че приложените мерки са подходящи за защита при обработване на личните данни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези по чл. 24 и чл. 32. В този смисъл неправилно първоинстанционният съд е посочил, че разкриването на лични данни в резултат на т. нар. хакерска атака презюмира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че член 82, § 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Настоящият съдебен състав счита за неправилно обсъждането на първоинстанционният съд на разпоредбата на чл. 59 от ЗЗЛД, който се намира в Глава осма от ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Допуснатото позоваване на неприложима за случая правна норма не е се е отразило върху крайния правен извод на АС - Пазарджик за допуснато нарушение на НАП (в същия смисъл са вж. решение 6129 от 20.05.2021 г. постановено по адм. д. 11280/2020 г., III отд. ВАС; решение 3871/02.04.2024 г., постановено по адм. д. 4889/2023 г., V отд., ВАС). Обоснован и съответен на приетите по делото доказателства е изводът на първостепенния съд, че са налице втората и третата предпоставка за основателност на исковата претенция. Събраните по делото доказателства установяват, че ищцата е претърпяла неимуществени вреди негативни емоции и притеснение да не бъде злоупотребено с личните й данни. В тази връзка, правилно са кредитирани показанията на допуснатия и разпитан по делото свидетел, според който след теча на данни ищцата е била притеснена и се тревожела от бъдеща злоупотреба с личните ѝ данни. Следва да се отбележи, че в случая предвид характера на събитието не е необходимо каквото и да е активно поведение на пострадалото лице. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е посочено, че член 82, §1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Правилно е заключението на АС - Пазарджик относно наличието на причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл. 82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т. е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. Правилни са изводите на съда, че неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т. е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни (съдържаща и лични данни) и проявеното бездействие, предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, води до повишаване този риск до ниво, което поддържа вероятността за настъпване на събитие от изброените в чл. 32, § 2 от Регламента. В заключение първоинстанционният съд правилно е приел, че по делото са доказани всички необходими елементи за реализиране правото на обезщетение за причинени вреди на ищцата Р. И. И.. При определяне размера на обезщетението АС Пазарджик е приложил нормата на чл. 52 от Закона за задълженията и договорите (ЗЗД), съгласно която обезщетението за неимуществени вреди се присъжда по справедливост, като размерът му се определя с оглед характера на вредите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние на субекта. Също така съдът е съобразил, че размерът на обезщетението не следва да бъде и източник на обогатяване за пострадалия, т. е. следва да бъде съобразен със стандарта на живот в обществото. В този контекст, съдът обосновано е приел, че обезщетение в размер на 500 лв. е съразмерно на претърпените неимуществени вреди, отговаря на конкретните факти по делото и е в съответствие с обществените представи за справедливост, и че така определеният размер би довел до пълно репариране на претърпените от ищцата вреди. Касационната инстанция споделя направения извод на АС - Пазарджик, че размерът на обезщетението за неимуществените вреди съответства на характера и тежестта на увреждането и неблагоприятното отражение в живота на ищцата, поради което правилно искът до пълния претендиран размер от 1200 лв. е отхвърлен като неоснователен и недоказан. С оглед на основателността на главния иск, правилен е извода за уважаване на претендираната от ищцата лихва за забава. Предвид изложеното, решението като валидно, допустимо и правилно, постановено при липса сочените в касационни жалби основания за отмяна по чл. 209, т. 3 АПК следва да бъде оставено в сила. С оглед изхода на спора разноски за касационната инстанция не се дължат, а остават за страните, така както са направени. По тези съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение,