Решение № 5915 от 15.5.2024 г. на ВАС по адм. д. № 4321/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Р. Я. Й., подадена чрез пълномощника адвокат С. Ю., срещу решение 252 от 14.01.2021 г., постановено по адм. дело 11226/2019 г. по описа на Административен съд София - град (АССГ), с което е отхвърлен предявеният от нея иск против Националната агенция за приходите (НАП), с правно основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), за присъждане на обезщетение в размер на 1000 лева за претърпени неимуществени вреди в периода от 15.07.2019 г. до предявяването на иска - на 16.09.2019 г., вследствие незаконосъобразно бездействие на служители на НАП, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от Закона за защита на личните данни (33ЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни, довело до неразрешено разкриване или достъп до нейните лични данни, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът намира за правилен извода на АССГ, че е налице първата предпоставка за уважаване на иска - незаконосъобразно бездействие на НАП, но изразява несъгласие с приетото от съда, че не е доказано наличието на останалите две - претърпени от ищцата неимуществени вреди и причинна връзка между тях и бездействието на НАП. Обосновава това наличие с показанията на разпитания свидетел в хода на първоинстанционното производство, като се позовава и на съдебна практика на Върховния касационен съд. Въз основа на изложените оплаквания иска отмяна на атакуваното съдебно решение и постановяване на друго, с което предявеният иск бъде уважен. Претендира присъждане на съдебно-деловодни разноски за двете инстанции, съгласно приложен списък по чл. 80 от Гражданския процесуален кодекс (ГПК). Ответникът по касация - НАП, чрез юрисконсулти М. Т. и Я. М., в представен писмен отговор и в съдебно заседание, оспорва жалбата и моли съда да постанови решение, с което да я отхвърли като неоснователна. Претендира присъждане на юрисконсултско възнаграждение. Представителят на Върховна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е основателна. Предмет на разглеждане пред АССГ е предявен иск с правно основание чл. 82, § 1 от ОРЗД, разгледан по реда на чл. 203 АПК, вр. чл. 39, ал. 2 ЗЗЛД и чл. 1, ал. 1 ЗОДОВ, като се претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищцата като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните й данни. От фактическа страна съдът е приел за безспорно, че поради нерегламентиран достъп, вследствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019 г., е изтекла информация от масивите на НАП, съдържаща лични данни на над пет милиона български граждани. По делото е приложена извадка от получен SMS от дана 26.07.2019 г., със следното съдържание: "НАП: По заявка номер 1564 ИМА неправомерно разкрити лични данни". Не е посочен телефонният номер на който е получено съобщението, но НАП не оспорва, че по отношение Р. Й. са налице неправомерно разкрити лични данни. По отношение предприетите мерки ответника са представени доказателства, че след изтичането на данните НАП е информирала Софийска градска прокуратура (СГП), Комисията за защита на личните данни (КЗЛД), Главна дирекция Борба с организираната престъпност (ГДБОП) и Държавна агенция Национална сигурност (ДАНС). Със заповед ЗЦУ-586/30.04.2014 г. изпълнителният директор на НАП наредил да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006. Със заповед ЗЦУ-1436/15.10.2018 г. е утвърдил "Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др. Със заповед ЗЦУ-733/17.06.2016 г. са утвърдени "Процедури с приложения към тях на отдел "Превенция на финансовата и информационна система" в Инспекторат на НАП, "Вътрешни правила за мрежовата и информационна сигурност, а именно: Правила за ползване на електронна поща и Интернет в НАП, версия 3.0; Правила за ползване на мрежови файлови ресурси в НАП, версия 2.0; Правила за правата и задълженията на потребителите, ползващи информационни активи в НАП, версия 2.0; Правила за работа от разстояние в НАП, версия 2.0; Правила за работа с преносими информационни активи в НАП, версия 2.0; Правила за управление на достъпа до информационни активи и услуги в НАП, версия 2.0, както и "Политика по информационна сигурност на НАП", версия 3. Със заповед ЗЦУ-1236/21.08.2019 г. е утвърдена процедура ИС 17 "Администриране на информационна система в НАП", версия В, а със заповед ЗЦУ-482 от 01.04.2019 г. са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП. Съгласно заповед ЗЦУ-83 от 23.01.2013 г. е определен видът, съдържанието, редът за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно-осигурителната сметка и сроковете за съхранение на архивираната информация. Изготвен е списък на видовете операции по обработване на лични данни, за които се изисква извършване на оценка на въздействието върху защитата на данните съгласно чл. 35, § 4 от Регламент (ЕС) 2016/679. Със заповед ЗЦУ-1596/29.11.2017 г. са утвърдени "Указания за унищожаване на информация и информационни носители в НАП, ведно с приложенията към него. Представени са Вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП, утвърдени със заповед ЗЦУ-535/11.05.2016 г. Утвърдена е Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Утвърдена е и Политика по информационна сигурност на НАП, версия 3.0 от м. май 2016 г. В хода на извършена проверка от страна на КЗЛД е установено, че НАП в качеството на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. В тази връзка председателят на КЗЛД е издал наказателно постановление 004/28.08.2019 г. на НАП за нарушение на чл. 32, § 1, б. б от Регламент (ЕС) 2016/679. Съгласно заявеното от процесуалния представител на ответната страна, това наказателно постановление е отменено с влязло в сила решение 1247/26.02.2024 г. по дело 12334/2023 г. по описа на АССГ, но отмяната не е поради липса или недоказаност на нарушението, а на основание изтекла абсолютна погасителна давност. По делото е разпитан свидетел от показанията на който се установява, че ищцата се е притеснила да не се злоупотреби с данните й, като се изтегли кредит от нейно име. Тя изпаднала в паническо разстройство. Заявила, че е разочарована от държавната институция и че ще напусне страната. Изтичането на данните е установила от направена справка. След преглед на приложимата правна уредба АССГ е приел от правна страна, че НАП в качеството на администратор на лични данни по смисъла на чл. 4, § 7 ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Независимо от приемането на горе описаните документи, НАП не е осигурила достатъчна надеждност на информационната си система. Техническата уязвимост на тази система е довела до нерегламентирано разпространение на личните данни на ищцата и това е следствие от неприлагането от НАП на подходящи мерки за защита. От това съдът е направил извода, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищцата от това незаконосъобразно бездействие и причинна връзка между тях, АССГ е приел, че от събраните по делото доказателства не се установява настъпването на конкретните твърдени неимуществени вреди. Като недоказано е преценено, че Р. Й. е изпитала силен стрес от изтичането на личните й данни и преживян страх да не се злоупотреби с имуществото й, тъй като тя не е доказала, че притежава такова. Освен това ищцата не е имала активно поведение да установи обема на разкритите й данни, както и да промени номера на личната си карта. Така е преценено, че субективните преживявания на Й. не са съответни на резултата от бездействието на ответника, поради което не е доказана и причинната връзка между незаконосъобразното бездействие на ответника и претърпяна от ищцата вреда. По тези съображения, съдът е отхвърлил предявения иск. Решението е неправилно на основание по чл. 209, т. 3, предл. първо и трето АПК. От значение за разрешаването на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., като производството по настоящото дело беше спряно до постановяването му. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Предвид дадените указания и при правилно определено от АССГ правно основание на предявения иск - чл. 82 ОРЗД, решаващият съд е достигнал до незаконосъобразни правни изводи. От доказателствата по делото може да се направи категоричен извод за наличието и на трите предпоставки обуславящи причинени вреди по чл. 82 ОРЗД. Първата от тях е нарушение на Регламент (ЕС) 2016/679, извършено от администратора на данни, втората - претърпяна от лицето имуществена или неимуществена вреда и третата - причинна връзка между вредата и нарушението. В настоящия случай при спазване на съдопроизводствените правила, включително по разпределение доказателствената тежест в процеса, първоинстанционният съд съобразно установените факти по делото правилно е приел, че е налице нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни, спрямо правата на ищцата, в качеството й на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. Неотносимо е позоваването в атакуваното съдебно решение на чл. 59, ал. 1 33ЛД, тъй като тази разпоредба се намира в глава 8 ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Тази неточност не променя същността на останалите правни изводи на АССГ. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, § 3 ОРЗД, НАП не доказа в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да минимизира риска от нерегламентиран достъп на трети лица. Независимо от правилно разпределената тежест на доказване от АССГ, Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищцата са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерагламентирания достъп до личните данни на ищеца и останалите физически лица. По изложените съображения касационният състав намира за правилни изводите на АССГ, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Необосновани и противоречащи на доказателствата обаче, са мотивите на първоинстанционния съд за неустановяване на конкретни неимуществени вреди претърпени от ищцата. Този извод се опровергава от показанията на разпитания по делото свидетел, според който ищцата е изпитала притеснения да възможна злоупотреба и неправомерно използване на личните й данни. Както е посочено в решението на СЕС по дело С-340/21 г. самият страх, изпитван от субекта по отношение на възможна злоупотреба с неговите лични данни от трети страни, може да се квалифицира като неимуществена вреда. Не е необходимо каквото и да е активно поведение на пострадалото лице, нито доказване, че притежава някакво имущество, заради възможността от възлагане на чужди задължения. Подобни изводи противоречат на характера на обществените отношения по обработването на лични данни, динамиката на тези данни в обществото и със самия характер на личните данни като дълбоко свързани с персоналната идентичност на субекта, която свързаност е до степен, че дори вероятността за тяхното разкриване винаги има за резултат чувствително засягане психическото и емоционално състояние на субекта. Това засягане има негативен характер, защото последицата от неправомерното обработване е засягане правата и свободите на личността. В този смисъл следва да се приемат да доказани претърпените от ищцата болки и страдания от категорията на обичайната реакция на страх, т. е. налице е негативно засягане на личността от неправомерното развитие на процесните обществени отношения. Неправилно е и заключението на АССГ относно липсата на причина връзка между претърпяната вреда и нарушението. Именно бездействието на НАП да изпълни задълженията си по ОРЗД е довело да неразрешено разкриване и достъп до съхранените данни, което е причинило изложените страдания на ищцата и е основанието за достигане до противоправния резултат. В контекста на изложеното се налага извод за доказаност на всички необходими елементи за реализиране правото на обезщетение и отговорност за причинени вреди по чл. 82 ОРЗД на ищцата Р. Й.. При заявената от нея претенция за присъждане обезщетение в размер на 1000 лева и предвид установения по делото интензитет на негативното увреждане, настоящият състав намира, че справедливият размер на дължимото обезщетение е 500 лева. Решението на АССГ следва да бъде отменено като неправилно и вместо него бъде постановено ново, с което НАП в качеството й на администратор на лични данни следва да бъде осъдена да заплати на Р. Й. обезщетение за причинени неимуществени вреди в размер на 500 лева, на основание чл. 82, § 1 от ОРЗД, а предявеният иск за разликата над 500 лева, до пълния му предявен размер от 1000 лева, следва да бъде отхвърлен като неоснователен и недоказан. Върху размера на приетото за дължимо обезщетение следва да се присъди и законна лихва, но от датата на предявяването на иска - 16.09.2019г. до окончателното заплащане на обезщетението. При този изход на спора, при направеното искане за присъждане на разноски на ищцата и съдържащата се в искането претенция за адвокатско възнаграждение предвид представителството от адвокат по реда на чл. 38, ал. 2, вр. ал. 1, т. 3 от Закона за адвокатурата, в полза на адвокат С. Ю. от Софийска адвокатска колегия следва да определи възнаграждение, съразмерно с уважената част на иска и съобразно чл. 8, ал. 1, вр. чл. 7, ал. 2, т. 1 от Наредба 1 от 09.07.2004 г. за минималните размери на адвокатските възнаграждения, в размер на 200 лева, платимо от ответната страна, а НАП бъде осъдена да заплати и на Р. Й. сумата от 15 лева, за платените държавна такса за двете съдебни инстанции. По изложените съображения и на основание чл. 221, ал. 2, изр. първо, предложение второ от АПК, Върховният административен съд, пето отделение