Решение № 5634 от 29.5.2025 г. на ВАС по адм. д. № 2893/2025 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Р. Д. П., чрез процесуален представител, срещу решение 1155 от 12.01.2025 г., постановено по адм. д. 11235/2019 г. по описа на Административен съд София - град (АССГ), с което е отхвърлен иска й с правно основание чл.82, пар.1 от Регламент (ЕС)2016/679 във връзка с чл.39 ЗЗЛД и чл.1, ал.1 ЗОДОВ срещу Национална агенция за приходите, представлявана от изпълнителния й директор. Касационната жалбоподателка поддържа, че оспореното решение е неправилно, поради нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост отменителни основания по чл. 209, т. 3 АПК. Твърди, че съдът неправилно е приел за недоказани претърпени от ищеца неимуществени вреди и причинна връзка между вредите и незаконосъобразното бездействие на НАП. Поддържа, че по отношение на вредите следва да се приложи практиката на ВКС, която е в смисъл, че за обичайните неимуществени вреди, които не се описват в исковата молба, не са нужни формални, външни доказателства за установяване на тези обичайни вреди, "тъй като те настъпват винаги в резултат на наказателно производство" /решение 63/ 2016 г. по гр. д. 5124/2015 г., трето отделение на ГК/, а размерът се определя според стандарта на живот (гр. д. 288/2015 г. на ВКС, трето отд.). Иска оспореното решение да бъде отменено и се постанови ново, с което се уважи предявения иск в пълния му размер. Претендира и направените по делото разноски за двете съдебни инстанции, съгласно приложения списък на разноските по чл.80 ГПК вр. с чл.144 АПК. Ответната страна - Национална агенция за приходите, чрез процесуалния си представител в представен по делото писмен отговор и в съдебно заседание, оспорва касационната жалба и излага подробни съображения за правилност на оспореното решение. Иска същото да бъде оставено в сила и претендира направените по делото разноски представляващи юрисконсултско възнаграждение. Прокурорът от Върховна касационна прокуратура дава мотивирано, писмено заключение за неоснователност на касационната жалба. Върховният административен съд състав на Пето отделение, намира касационната жалба за процесуално допустима, като подадена в преклузивния 14-дневен срок по чл. 211, ал. 1 АПК, от страна с правен интерес по смисъла на чл. 210, ал. 1 АПК, за която решението е неблагоприятно, срещу подлежащ на касационно оспорване съдебен акт. Разгледана по същество на основанията посочени в нея и след проверка на решението за валидност, допустимост и съответствие с материалния закон, съгласно чл. 218, ал. 2 от АПК, касационната жалба е неоснователна. Производството пред административния съд е образувано по искова молба от 16.09.2019 г. с предявен осъдителен иск от Р. Д. П., чрез адв. С. Юрукова срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди, в резултат на незаконосъобразно бездействие на НАП за периода от 15.07.2019 г. до предявяване на иска, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. чл.24 и чл.32 от ОРЗД, довело до нерегламентирано разкриване или достъп до личните й данни, от което ищцата е претърпяла неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможни злоупотреби с личните му данни, поради което е претендирал обезщетение на тези вреди в размер на 1000 лв., ведно със законната лихва, считано от датата на изтичане на личните данни 15.07.2019 г. до окончателното изплащане на обезщетението. За да се произнесе по спора, първоинстанционният съд е приел, че предявеният иск е с правно основание чл.82, §1 от Регламент(ЕС) 2016/679 във вр. с чл.39 ЗЗЛД е чл.1, ал.1 от ЗОДОВ и същият е допустим, но неоснователен. От събраните по делото доказателства, АССГ стигнал до извод, че е налице първия елемент от фактическия състав за реализиране на отговорността - бездействие на НАП като администратор на лични данни да изпълни задълженията по чл.24 и чл.32 от Регламента за прилагане на технически и организационни мерки за осигуряване на ниво на сигурност при обработване на личните данни, но по делото е останало недоказано настъпването за ищцата на реална неимуществена вреда, която да е пряка и непосредствена последица от това бездействие. Решението е правилно. В исковата молба се твърдят нарушения на задължения, произтичащи пряко от чл. 24 чл. 32 от Регламента, поради което правното основание на иска е чл.82, § 1 от Регламент 2016/679 /ОРЗД/, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на посочения регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображения 146 на Регламента става ясно, че чл. 82 въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, § 2 от ОРЗД са посочени трите кумулативно необходими предпоставки, за да възникне правото на обезщетение, а именно: обработването на личните данни да е извършено в нарушение на разпоредбите на регламента; вреди, нанесени на субекта на данните и причинно-следствена връзка между незаконосъобразното обработване на данните и вредите. ОРЗД не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82 от ОРЗД, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент тези термини следва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 04.05.2023 г. по дело С-300/21 на СЕС). В решение от 14.12.2023 г. по дело С-340/21 на СЕС е посочено, че самото нарушение на разпоредбите на ОРЗД не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на чл. 24 и чл. 32 от същия и да бъде присъдено право на обезщетение. Изтичането на лични данни в публичното пространство, в резултат на неправомерно поведение на трети лица /по смисъла на чл. 4, т.10 от ОРДЗ/, не презюмира, че приложените технически и организационни мерки за защита на лични данни по чл. 24 и чл. 32 от ОРЗД са неподходящи. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна". Принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от ОРЗД, следва да се тълкува в смисъл, че в исковото производство за обезщетение по чл. 82 от ОРЗД администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи. Първоинстанционният съд правилно е извел извод, че ответникът не е ангажирал доказателства, от които да се направи еднозначен извод, че в качеството му на администратор на лични данни, е идентифицирал всички възможни рискове и е приложил най-подходящите и ефективни мерки за сигурност. Действително, с приетите по делото писмени доказателства се установява, че в един продължителен период от време администраторът формално е предприемал действия за осигуряване на защита на данните които обработва, като е утвърждавал множество правила, процедури, указания, методики и други. Не са събрани обаче доказателства, че всички тези документи са основани на действително извършвана оценка на риска при отчитане на обхвата, контекста и целите на обработването. Освен изброените документи НАП не е представил, нито посочил доказателства с които да установи, че в съответствие със задължението по чл.24, §1 GDPR в определени периоди предприеманите от него технически и организационни мерки за защита на личните данни са били преразглеждани и съответно актуализирани въз основа на извършен анализ на риска. Не се твърди и не са ангажирани доказателства периодично да е било извършвано изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването, в съответствие със задължението, регламентирано в чл.32 от Регламент (ЕС) 2016/679. При това съдът правилно е приел, че в случая е налице първият елемент от фактическия състав на непозволеното увреждане - бездействие на НАП като администратор на лични данни, да изпълни задълженията, установени в чл.24 и чл.32 от Регламент (ЕС) 2016/679. Настоящият съдебен състав споделя извода на административния съд , че по делото е останало недоказано настъпването за ищцата на реална вреда с неимуществен характер, която да е пряка и непосредствена последица от бездействието на ответника. В мотивите на Решението от 14.12.2023г. (т.84, т.85) СЕС приема, че лице, засегнато от нарушение на Регламент (ЕС) 2016/679, което е имало отрицателни последици за него, е длъжно да докаже, че тези последици представляват нематериални вреди по смисъла на член 82 от този Регламент (Решение от 04.05.2023 г. по дело С-300/21 на СЕС). Правилно съдът е приел, че е в процесния случай не е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с негови лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищцата. Правилно административният съд е приел за недоказано по делото твърдението на П. за преживени от нея негативни емоции, изразяващи се във възмущение от допуснатия пробив в информационната сигурност на НАП и последвалото безкритично отношение и неадекватни реакции на държавните институции; страх и притеснения, защото се чувства незащитена от държавата, както и от възможността да бъде злоупотребено с личните й данни. Процесуалното бездействие на ищцата и нейният процесуален представител е довело до заличаване на допуснатия по делото свидетел с определение на съда от 08.02.2021г., поради което твърденията в исковата молба за претърпени неимуществени вреди са останали недоказани. Понятието "вреди" се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява напълно целите на регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите. Пълното и действително обезщетение по съображение 146 от ОРЗД е цел на този правен институт, без да е необходимо за целите на такова пълно обезщетяване да се налага изплащане на наказателно обезщетение. Опасенията, които субект на лични данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват "нематериална вреда" по смисъла на чл. 82 от Регламент 2016/679 / виж решение по дело С-340/21 на СЕС/, но тежестта на доказване е на ищеца, съгласно чл. 154, ал. 1 от ГПК във връзка с чл. 144 от АПК. Настоящата инстанция споделя изводите на първоинстанционния съд относно недоказаност на претърпените от ищцата неимуществени вреди - втория елемент от фактическия състав на отговорността по чл. 82 от ОРЗД. За да може да се приложи принципа на равностойност и ефективност, съгласно решение по дело С-300/21 на СЕС, ищеца следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства в посочения смисъл имат за правна последица недоказаност на втория елемент от фактическия състав на отговорността. Тъй като трите елемента са кумулативно дадени в чл.82 от ОРЗД, липсата на доказаност на който и да е от тях води до неоснователност на иска, в какъвто смисъл е решението на съда. По изложените съображения и при липса на пороците сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила. С оглед изхода на делото няма правна възможност за присъждане на разноски на касационната жалбоподателка. С оглед изхода на спора и предвид своевременно направеното искане от процесуалния представител на ответната страна за присъждане на юрисконсултско възнаграждение в касационното производство, П. следва да заплати на НАП разноски по делото, изразяващи се в юрисконсултско възнаграждение в размер на 200 лева на основание чл. 78, ал. 8 ГПК във вр. с чл. 144 АПК, чл. 37 от Закона за правната помощ и чл.24 от Наредбата за заплащането на правната помощ. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо от АПК, Върховният административен съд, Пето отделение