Решение № 12421 от 18.11.2024 г. на ВАС по адм. д. № 6755/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Национална агенция за приходите срещу Решение 2443/12.04.2024 г. на Административен съд София - град /АССГ/, постановено по адм. дело 4804/2021 г., в частта, в която Национална агенция за приходите/НАП/Агенцията/ е осъдена да заплати на Д. М. Р. сума в размер на 500 /петстотин/ лева, представляваща обезщетение за претърпени неимуществени вреди за периода 15.07.2019 г.- 16.09.2019 г., ведно със законната лихва върху тази сума, както и разноски по делото. Решението, в частта, в която е отхвърлен предявеният от Д. Р. иск в останалата му част, до пълния предявен размер от 1000 лв., както и в частта, с която Р. е осъдена да заплати разноски на НАП, като необжалвано е влязло в сила и не е предмет на касационната проверка. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 от АПК. Според касатора неправилно АССГ е приел, че е доказано наличието на първия елемент за ангажиране отговорността на НАП - незаконосъобразно бездействие на орган или длъжностно лице на държавата, при или по повод изпълнение на административна дейност от състава на чл.1, ал.1 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/. Твърди, че не са изследвани предприетите от страна на НАП нормативно установени мерки, не било отчетено, че хакерската атака е престъпление, на което НАП е жертва. Подобно описва предприетите от Агенцията действия след публичното разгласяване на данните, нормативната рамка относно обработването и защитата на личните данни, предприетите от НАП технически и организационни мерки. Моли решението, в обжалваната част, да се отмени и се постанови ново, с което се отхвърли иска на Д. Р. срещу НАП. Претендира юрисконсултско възнаграждение. Касационният жалбоподател в съдебно заседание се представлява от юрк. Маринова, която поддържа жалбата и моли касационният съд да я уважи по изложените в нея съображения. Ответникът по касация Д. М. Р. оспорва касационната жалба в писмен отговор, депозиран чрез пълномощника адв. С. Юрукова. Моли обжалваното решение да се остави в сила. Претендира разноски за настоящата инстанция, за което прилага списък на същите. Ответникът по касация не се явява и не се представлява в съдебно заседание. Постъпила е писмена молба на 09.10.2024 г. от процесуалния представител, с която представя писмена защита. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувано по предявен иск на Д. М. Р. срещу Национална агенция по приходите с искане да й бъде заплатена сумата в размер на 1 000 лева, представляваща обезщетение за претърпени неимуществени вреди за периода 15.07.2019 г. - 16.09.2019 г., настъпили в резултат на неизпълнение в достатъчна степен от ответника на задължението по чл.59, ал.1 от Закона за защита на личните данни /ЗЗЛД/, чл.24 и чл.32 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета (GDPR), заедно със законната лихва върху тази сума. Първоинстанционният съд е приел за безспорно, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани общо 6 074 140 субекти на данни. От приложената от НАП извадка от получен SMS административният съд е установил, че са разкрити лични данни за ищцата Р.. Със Заповед ЗЦУ-586/30.04.2014 г. на Изпълнителния директор на НАП е наредено да се внедрят Системи за управление на сигурността на информацията по стандарт БДС ISO/IEC 27001:2006 в НАП. Със Заповед З-ЦУ-1436/15.10.2018г. на изпълнителния директор на НАП са утвърдени Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от ЗНАП , Указания за обозначаване и работа с информация , Указания за попълване на образци на процедура , Указания за попълване на образеца на инструкция и др. От Председателя на Комисията за защита на личните данни /КЗЛД/ на НАП е издадено Наказателно постановление 004/28.08.19 г., за нарушение на чл. 32, §1, б. б от Регламент (ЕС) 2016/679, което е било обжалвано и впоследствие отменено поради изтекла погасителна давност с Решение 1247/26.02.2024 г. по адм. дело 12334/2023 г. на АССГ. С Решение ППН-02-399/22.08.19 г. КЗЛД издава на НАП разпореждане по чл. 58, §2, б. г , вр. чл. 57, §1, б. а и чл. 83, §2, б. а , б. в , б. г , б. е и б. ж от Регламент (ЕС) 2016/679 за предприемане на подходящи технически и организационни мерки за защита на личните данни. Решението на КЗЛД в частта му относно Разпореждания 7, 14, 15 изцяло, Разпореждане 5 в частта му: "Да се предприемат необходимите действия за създаването на одитни записи на отделните събития и дневници /журнали/ за привилегированите потребители" и Разпореждане 16, в частта му относно "повторното използване на такива данни". Жалбата на НАП в останалата й част е отхвърлена. Решението на АССГ е оспорено пред ВАС от НАП, като с решение 1398/07.02.2024 г. по адм. дело 3781/2023 г. е отменено решението на АССГ в обжалваната му отхвърлителна част и делото е върнато за ново разглеждане от друг състав. Към момента на постановяване на първоинстанционния съдебен акт няма постановен и влязъл в сила съдебен акт. За доказване на претърпени неимуществени вреди по адм. дело 11266/2019 г. са събрани гласни доказателства, чрез разпит на свидетеля Р. К. Х., които съдът е кредитирал. Въз основа на така установените факти съдът е приел, че искът е допустим и частично основателен. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 от ЗОДОВ, е посочил, че в случая исковата претенция се основава на незаконосъобразно бездействие на администратора на лични данни, поради което незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение чл. 204, ал. 4 от АПК. Съдът е анализирал разпоредбите на чл. 203 от АПК, чл. 2в от ЗОДОВ и е приел подадените искове за допустими, поради което е пристъпил към разглеждането им по същество по реда на глава ХІ от АПК, вр. чл. 1, ал. 1 от ЗОДОВ.Съдът е намерил, че е налице първата предпоставка на визираната в чл. 1, ал.1 от ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения.Посочил е, че съставомерно в този случай е липсата на активно поведение на компетентен орган да извърши конкретни фактически действия.Цитирал е Решение от 14.12.2023 г. на трети състав на СЕС по дело С-340/2021 г. съгласно което чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи .