Решение № 7388 от 14.6.2024 г. на ВАС по адм. д. № 2532/2021 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частите от решение 369/15.12.2020 г. по адм.дело 36/2020 г. на Административен съд - Добрич, с които е осъдена НАП, да заплати на Д. Г. М., с адрес в гр. Добрич, обезщетение за неимуществени вреди в размер на 250 лева, ведно със законната лихва, считано от влизане на съдебното решение в сила до окончателното изплащане на сумата и НАП е осъдена да заплати 10 лева разноски по делото на Д. Г. М.. Касационният жалбоподател поддържа в касационната жалба, че решението в обжалваните части е неправилно - постановено при съществено нарушение на съдопроизводствените правила, в нарушение на материалния закон и необосновано, иска отмяната му, отхвърляне на иска или присъждане на по - нисък размер на обезщетението, присъждане на разноски и юрисконсултско възнаграждение. Ответникът по касационна жалба - Д. Г. М., чрез процесуален представител в писмен отговор, иска оставяне на решението в сила, присъждане на разноски по делото и на основание чл.38, ал.2 от Закона за адвокатурата адвокатско възнаграждение на адвокат Христов, оказал безплатна адвокатска помощ на ответника. Представителят на Върховна прокуратура изразява становище за неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С обжалваната част от решението АС е приел, че предявеният от М. срещу НАП иск за неимуществени вреди в резултат на незаконосъобразно бездействие на НАП е частично основателен по размер. Посочил е, че НАП в качеството му на администратор на лични данни е бездействал да изпълни задълженията си по чл.59, ал.1 ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни, поради което трети лица са получили нерегламентиран достъп на 15.07.2019 година до личните данни на множество физически лица, между които и ищцата, за която са разпространени ЕГН, имена, данни от декларации, подадени от работодатели/осигурители за осигурени от тях лица. АС е изложил мотиви, че достъпването на информацията от трети лица само по себе си води до извод за недостатъчност на взетите организационни и технически мерки за опазване на данните. Посочил е, че ответникът не е доказал и предпоставките на чл.82, пар.3 ОРЗД за освобождаване от отговорност на администратора на лични данни. Приел е, че М. е претърпяла неимуществени вреди - болки и страдания, а именно изживян стрес, безпокойство и тревожност, които са в причинно - следствена връзка с незаконсъобразното бездействие на ответника, като е преценил по справедливост обезщетение от 250 лева, което е съразмерно с претърпените вреди. Решението е неправилно в обжалваната част. Правилни са мотивите на съда относно процесуалния ред, по който следва да се разгледа делото, но същият не е определил правилно материалноправното основание на предявения иск и не е взел предвид спецификата му при разпределяне тежестта на доказване и формиране на правните изводи. Предявеният иск е с правно основание чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679 (ОРЗД) срещу администратор на лични данни - НАП. Предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, пар1 вр. пар 2 от Регламента. Нормата на чл.59 ЗЗЛД е неправилно обсъждана от първоинстанционния съд, тъй като се намира в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това е неотносима към настоящия правен спор. В случая на ищеца неправилно е указано, че следва да доказва незаконосъобразно действие/ бездействие на административния орган, или служител, а на ответника - единствено възможност за представяне на отговор и посочване на доказателство по чл.39, ал.4 ЗЗЛД. На ответника по иска не е указано, че в негова тежест е да установи, че съгласно чл. 24 пар. 2 и пар. 3 и чл. 32 ОРДЗ е положил всички усилия и е осъществил всички подходящи политики, взел е всички подходящи мерки за защита на личните данни на всички физически и юридически лица , които притежава и обработва в служебно качество, както и че се придържа към одобрените кодекси за поведение или одобрени механизми за сертифициране, както и че прилага конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. На ответника не е указано, че съгласно чл.82, пар.3 ОРЗД при нерегламентиран достъп на трето лице до данните, в тежест на администратора на лични данни е да докаже, че причинилият съответните вреди факт не може да му бъде вменен. Предвид неуказване на тежестта на доказване на НАП е нарушено правото му на защита, което е и съществено съдопроизводствено нарушение. Решението е и необсновано в обжалваната част. Като е посочено в решение от 14.12. 2023 г. на СЕС по дело С -340/2021 по преюдициално запитване, отправено от ВАС, че само по себе си неразрешеното разкриване на лични данни от трето лице не е достатъчно, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на чл.24 и чл.32 ОРЗД. В този смисъл основният мотив на АС за наличието доказано нарушение на ОРЗД противоречи на тълкуването на Регламента, дадено от СЕС. Именно затова следва при новото разглеждане на делото правилно да се разпредели тежестта на доказване и да се направят правни изводи в съответствие с доказаните факти и тези, които не са установени от страната, длъжна да ги докаже и при съобразяване на последиците от разпределението на тежестта на доказване. Неправилността на решението в частта, с която НАП е осъдена да заплати обезщетение за неимуществени вреди на ищеца води и до неправилност на обжалваната част, с която са присъдени разноски. Решението следва да бъде отменено, делото върнато за ново разглеждане от друг състав на АС поради допуснатото съществено процесуално нарушение със задължителни указания в мотивите. По направените искания за присъждане на разноски, юрисконсултско и адвокатско възнаграждение в касационната производство, следва да се произнесе АС при новото разглеждане на делото, на основание чл.226, ал.3 АПК, като вземе предвид и изхода на делото по същество на спора. Предвид изложеното и на основание чл. 222, ал.2 АПК, Върховният административен съд, пето отделение