Решение № 6516 от 31.05.2021 г. на ВАС по адм. д. № 1968/2021 г.

Решение № 6516 от 31.05.2021 г. на ВАС по адм. д. № 1968/2021 г., V о., докладчик председателят Галина Карагьозова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Г. Х., чрез пълномощника й адв. С. Ю., против решение № 7019 от 07.12.2020 г. на Административен съд - София-град (АССГ), Второ отделение, 24 състав, постановено по адм. дело № 11213/2019 г., с което е отхвърлен предявеният от касационната жалбоподателка иск срещу Националната агенция за приходите (НАП) за присъждане на сумата от 1000, 00 лева, представляваща обезщетение за причинени неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни, станали достъпни вследствие "хакерска атака", при която от електронните масиви на НАП неправомерно е изтеглена информация, съдържаща множество лични данни на български граждани, публично огласена от медиите на 15.07.2019 г. С решението е отхвърлен и акцесорния иск за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане, както и ищцата е осъдена да заплати на НАП съдебни разноски в размер на 100 лева за юрисконсултско възнаграждение. В касационната жалба са развити доводи, че оспореното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Сочи се, че съдът е изпълнил неправилно задължението си за разпределяне на доказателствената тежест в процеса, като е указал, че в тежест на ищеца е да докаже незаконосъобразното бездействие на ответника, докато в действителност доказателствената тежест е за ответника, тъй като наличието на бездействие представлява отрицателен факт. Сочи се, че от страна на ищцата (сега касационна жалбоподателка) не е било възможно да опише конкретни задължения на нАП, които не са били изпълнени, тъй като са налице законово регламентирани задължения на ответника за прилагането на "ефективни мерки", което понятие само по себе си предполага оперативна самостоятелност на задължения държавен орган, съответно доказателствената тежест е на ответника, който е следвало да посочи кои са били тези подходящи и ефективни организационни и технически мерки, които е решил да приложи в случая, за да защити личните данни и да докаже тяхното прилагане на практика и тяхната ефективност. Оспорва се и изводът на съда, че след като достъпа до данните и бил осъществен посредством противоправно посегателство от трети лица, НАП не следва да носи отговорност. Оспорва се приетото от съда, че от страна на НАП е доказана ефективността на мерките, освен това се сочи, че съдът не притежава специални знания, за да извърши тази преценка, а по делото не е приемана съдебна експертиза в тази връзка. Отделно от това, представените от ответника документи са цитирани в обжалваното решение, но не са обсъдени. Оспорват се и изводите на съда, че ищцата не е доказала твърдяната вреда. Иска се отмяна на оспореното решение и вместо него да се постанови друго, с което се уважи предявения иск, ведно със законната лихва. върху сумата. Претендират се разноски за двете съдебни инстанции по представения списък на разноските по чл. 80 от Гражданския процесуален кодекс (ГПК). Ответникът по касация – Националната агенция за приходите, чрез процесуалния си представител юрисконсулт Г. И., оспорва касационната жалба по съображения, изложени в подробен писмен отговор. Моли обжалваното решение да се остави в сила като правилно. Претендира юрисконсултско възнаграждение. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е частично основателна по следните съображения: Производството пред АССГ е образувано по предявения от Г. Х. иск срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в периода 15.07.2019 г. – 16.09.2019 г., в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г. (алтернативно от датата на завеждане на исковата молба - 16.09.2019 г.) до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на лични данни. Първоинстанционният съд правилно е квалифицирал предявения иск като такъв с правно основание чл. 203 от АПК, във вр. с чл. 82, ал. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, Регламент (ЕС) 2016/679, ОРЗД), във вр. с чл. 39, ал. 2 от Закона за защита на личните данни (ЗЗЛД), във вр. с чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Приел е, че искът е допустим, но неоснователен. Посочил е, че предмет на делото е искова претенция, основаваща се на незаконосъобразно бездействие - нарушение на разпоредбите на чл. 24 и чл. 32 от ОРЗД и чл. 59, ал. 1, чл. 45, ал. 1, т. 6, чл. 64, чл. 66, ал. 1 и ал. 2; чл. 67 и чл. 68 Закона за защита на личните данни (ЗЗЛД) – неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. Посочил е, че не е спорно между страните и е общоизвестен факт, че на 15.07.2019 г. медиите са оповестили информация за "хакерска атака", при която от електронните бази данни на НАП неправомерно е била изтеглена информация, съдържаща лични данни на 6 074 140 физически лица, от които 4 104 786 живи физически лица - български и чужди граждани и 1 989 598 починали физически лица. Изтеглянето на информацията е установено и от писмата на НАП до Софийска градска прокуратура и до КЗЛД, с които адресатите са уведомени, че на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП и е публикувана информация, съдържаща се в информационните бази данни на Агенцията, която представлява защитена със закони информация - лични данни и данъчна и осигурителна информация. Съдът е приел, че е налице противоправно деяние, но не може да се приеме, че това противоправно деяние е следствие от незаконосъобразно бездействие на ответника да изпълни произтичащи от посочените по-горе разпоредби на регламента и закона задължения да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица, във връзка с обработването на личните им данни. Изложил е съображения, че от доказателствата по делото не се установяват твърдените пропуски под формата на бездействие. НАП е предприела всички необходими технически и организационни мерки, за да минимизира рисковете от поддържането на електронните услуги. Изводът си съдът е обосновал с приложените по делото доказателства, подробно описани, от които е установено, че към 15.07.2019 г. в НАП са разработени и утвърдени указания, правила и други документи, регламентиращи необходимите мерки. След оповестяване и узнаване за неоторизирания достъп, на основание чл. 22 от Регламента, НАП незабавно е уведомила за случая КЗЛД с писмо. В обобщение, съдът е посочил, че не е доказано по безспорен начин твърдяното незаконосъобразно бездействие на НАП, което да обоснове наличието на първата предпоставка за възникване на правото на обезщетение в хипотезата на чл. 1, ал. 1 от ЗОДОВ. Първоинстанционният съд е приел също така, че не е доказано и наличието на претендираните вреди, както и каквато и да е пряка причинно-следствена връзка между същите и твърдяното бездействие. Посочил е, че тежестта на доказване на тези обстоятелства тежи върху ищцата, която не се е справила с доказателствената тежест и не е ангажирала доказателства, от които по безспорен начин да следва, че за нея са настъпили неимуществени вреди, които да са пряка и непосредствена последица от незаконосъобразни бездействия на служители на НАП при изпълнение на процесната дейност. Вредите следва да са реални, а не хипотетични. В случая от доказателствата не е установено настъпването на твърдените вреди за ищцата. Действително преживяването на стрес, безпокойство и притеснение несъмнено е неимуществена вреда, но в случая същата е останала недоказана, а и не е в пряка и непосредствена връзка с изтичането на личните данни. Преживените стрес и безпокойство следва да доведат до промяна в качеството на живот и поведението на ищцата. От показанията на разпитания свидетел се установява, че същата е била притеснена да не бъде открадната нейната самоличност, да не бъде одобрена за кредит, тъй като получава висок доход, като разкриването на данните е било дълго време тема на разговор. Това установено от свидетеля емоционално състояние противоречи на нейното поведение, тъй като узнавайки за теча на данни същата не е направила нищо, за да установи какви са конкретно данните. По делото е представена единствено извадка от електронно съобщение със следното съдържание: "НАП: По заявка номер 5731 ИМА неправомерно разкрити лични данни". Посоченото означава липса на заинтересуваност у това лице, което ако иска да предотврати негативни последици би направило всичко зависещо от него да установи какво е разкрито, за да се предпази от злонамерено посегателство. Посоченото, съдът е приел, че не установява реално настъпване на конкретни неимуществени вреди. Освен това съдът е счел, че евентуалните вреди са причинени не от твърдяното бездействие на НАП, а от публичното оповестяване в интернет пространството на достъпените по неправомерен начин лични данни, което представлява действие, опосредяващо настъпването на крайния резултат. Налице са опосредстващи факти, които изключват пряката причинна връзка между деянието и вредите. По тези съображения е приел за неоснователен иска по чл. 1, ал. 1 от ЗОДОВ. Приел е, че неоснователността на главния иск обуславя и неоснователност на свързания с него акцесорен иск за присъждане на лихва върху сумата на обезщетението. Решението е частично неправилно по следните съображения: Обжалваното решение е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, във вр. чл. 1, ал. 1 от ЗОДОВ. В случая с оглед качеството на администратора на лични данни – специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл. 2, ал. 1 ЗНАП), правото да се претендира обезщетение за причинените вреди, се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане за неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. Правилно решаващият съд е определил предпоставките, които следва да са налице, за да е основателен искът за обезщетение. В светлината на чл. 82 от ОРЗД предметът на доказване изисква: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Първоинстанционният съд неправилно е приел, че не е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Хартата на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 от ОРЗД. По делото от ищеца са представени доказателства – извадка от получен SMS за неправомерно разпространени негови лични данни. Уточнени са и данните, които се твърди, че са "изтекли" за ищцата – три имена, ЕГН, номер на лична карта, данни за доходите на лицето - молба от 24.10.2019 г. В същата молба е направено и доказателствено искане да се задължи ответника да представи доказателства за вида и обема на изтеклите данни, по което искане съдът не се е произнесъл, вероятно поради признанието на процесуалния представител на ответника в о. с. з. на 09.11.2019 г., че не оспорва обстоятелството, че "обем лични данни на ищцата са изтекли". Доколкото в касационната жалба липсват наведени доводи за допуснато съществено нарушение на съдопроизводствените правила в тази връзка, това не се отразява на крайния резултат по спора. С оглед събраните по делото доказателства, неоспорени от ответника, следва да се приеме, че ищцата е представила доказателства за наличието на нарушено нейно право – на защита на личните й данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до същите и разпространяването им в интернет пространството.