Решение № 2995 от 21.3.2025 г. на ВАС по адм. д. № 9489/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП), чрез юрк. Маринова, против решение 6998/31.05.2024 г., постановено по адм. д. 5060/2021 г. по описа на Административен съд София-град (АССГ), в частта с която НАП е осъдена да заплати на Д. Н. Н. сумата от 500 лева, представляващи обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал.1 от ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15. 07.2019 г. до окончателното изплащане на сумата, в частта, в която НАП е осъдена да заплати на Д. Н. сумата от 7,50 лв., направени разноски за държавни такси, съобразно уважената част от иска и в частта, в която НАП е осъдена да заплати на адв. С. Юрукова сумата от 600 лева, за оказана безплатна защита и съдействие, съобразно уважената част от иска. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и е необосновано отменителни основания по чл. 209, т. 3 от АПК. Излага съображения, че съдът неправилно е приел, че е налице незаконосъобразно бездействие на НАП, без да изследва всестранно и пълно всички доказателства, представени по делото. Твърди, че неправилно съдът възприема и наличие на втората и третата предпоставка, тъй като липсват доказателства какви данни на ищеца са изтекли, както и че съдът не е изследвал в цялост причинната връзка между състоянието, което се твърди и причината, която се сочи от ищеца. Иска решението да бъде отменено и да се постанови ново, с което се отхвърля иска срещу НАП като неоснователен и недоказан. Претендира разноски по представен списък. Ответникът по касация - Д. Н. Н., чрез процесуален представител адв. С. Юрукува оспорва касационната жалба по съображения в писмен отговор. Претендира разноски по представен списък. Представителят на Върховната касационна прокуратура заявява становище за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е основателна по следните съображения: Производството пред АССГ е образувано по предявен от Д. Н. Н. срещу НАП иск за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода от 15.07.2019 г., в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), член 24 и член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД , заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане. Производството по адм. д. 5060/2021 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 3950/16.07.2020 г. по адм. дело 11284/2020 г. на АССГ, с решение 6100/20.05.2021 г. по адм.дело 9682/2020 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. С определение 7717 от 15.10.2021 г. делото е спряно на основание чл. 229, ал. 1, т. 4 от ГПК вр. с чл. 144 от АПК, а впоследствие с определение 1449 от 08.02.2024 г. възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. За да постанови обжалваното решение АССГ е приел, че е налице първата предпоставка на визираната в чл. 1, ал.1 от ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че Д. Н. е изпълнила дадените й указания да докаже претърпените от нея неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с нейните лични данни ще бъде злоупотребено, като е приел за безспорно обстоятелството, че по отношение на ищцата има изтичане на лични данни в резултат на неоторизирания достъп, като вредата е в пряка и непосредствена причинно-следствена връзка с незаконосъобразното фактическо бездействие на администратора. Решението е неправилно. Правното основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно обаче АССГ е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 от ЗЗЛД. Член 59 от ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от ОРЗД. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи. НАП не е ангажирала доказателства, за да докаже, че е приложила подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. НАП е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но агенцията не се е справила с доказателствената тежест. Не е доказала, че по никакъв начин не е отговорна за събитието, причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Неправилно първоинстанционният съд е приел, че са доказани вторият и третият елемент от фактическия състав на отговорността по чл. 82 от Регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. От първоинстанционния съд са дадени указания на ищцата да докаже твърдените от нея претърпени неимуществени вреди. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. За доказване разкриването на лични данни Н. е представила снимка на електронно съобщение от НАП със следното съдържание: НАП: по заявка номер 2726 ИМА неправомерно разкрити лични данни . В съдържанието на представеното съобщение липсват идентификационни данни, отнасящи се към ищеца. Не са представени доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени, затова не може да се направи извод за настъпили неимуществени вреди. Съдът неправилно приема, че тези обстоятелства са доказани. За доказване на претърпените от ищеца неимуществени вреди по делото са събрани гласни доказателства. Съдът е разпитал свидетелят Н. Н. съпруг на ищцата. Свидетелят посочва, че е запознат със случая. По негови данни това силно притеснило ищцата, тъй като в службата си била ангажирана с работа по финансови проекти и се тревожела някой да не започне да я следи. Това емоционално напрежение довело до промяна в отношенията й с близките й, така и до желание да напусне работата си за да се избегнат злоупотреби, което продължило около 3-4 месеца. Съдът е кредитирал показанията на разпитания по делото свидетел. В случая, независимо че ищцата е ангажирала доказателства за преживени негативни емоции, подробно описани в исковата молба, същата не е доказала какви нейни лични данни са достъпени неправомерно. Няма ангажирани други доказателства от ищцата, такива не са представени и с касационната жалба. От допустимите доказателства не се установяват факти, които да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се преценят притеснението и страхът като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищцата, както и че действително са претърпени неимуществени вреди, има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по член 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 от ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищеца да докаже, че именно негови конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпял и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва да се обсъжда дали е налице и третата предпоставка за основателност на иска, а именно причинно-следствена връзка. По изложените съображения решението в обжалваната част като неправилно следва да се отмени и се постанови ново, с което предявеният от Д. Н. Н. иск като недоказан по основание и размер се отхвърли. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на разноски, представляващи такива за държавна такса от 70 лв. и за юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да бъде определен в общ размер на 200 лв. (по 100 лв. за всяка съдебна инстанция). По изложените съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение