Решение № 2530 от 12.3.2025 г. на ВАС по адм. д. № 9704/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Й. С. Г., чрез процесуалния си представител адв. С. Юрукова, срещу Решение 6411/27.05.2024 г., постановено по адм. дело 9109/2021 г. от Административен съд - София-град (АССГ). С обжалваното решение е отхвърлен искът на Й. С. Г. срещу Национална агенция за приходите за присъждане на сума в размер на 200 лева, вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 (Закона за защита на личните данни и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищцата, довело до неразрешено разкриване на личните данни на ищцата, ведно със законната лихва върху главницата, считано от 15.07.2019 г. до окончателното изплащане, и са присъдени разноски. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че съдът дал указания на ищцата за кои от твърдените факти не следва да се сочат доказателства. Твърди, че ответникът не е оспорил факта на получаване на СМС, извадка от който е представен при разглеждане на спора в първото първоинстанционно производство. Моли обжалваното решение да се отмени и се постанови ново, с което се уважи предявеният иск. Съображения в подкрепа на касационната жалба са изложени и в представена писмена молба. Претендира разноски по представен списък. Ответникът по касация Национална агенция за приходите (НАП, Агенцията), чрез юрк. Танев оспорва касационната жалба по съображения, изложени в писмен отговор и в открито съдебно заседание. Моли да бъде постановено решение, с което да се отхвърли касационната жалба като неоснователна и недоказана. Претендира разноски по представен списък. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството по адм. дело 9109/2021 г. по описа на АССГ е образувано по реда на чл. 226, ал. 1 АПК, след като с Решение 9421/15.09.2021 г., постановено по адм д. 8825/2020 г. по описа на Върховен административен съд, Трето отделение, е отменено Решение 2815/09.06.2020 г., постановено по адм. дело 11255/2019 г. по описа на АССГ в обжалваната му част, а именно в частта, с която на основание чл. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) Националната агенция за приходите е осъдена да заплати на Й. С. Г. обезщетение за причинени й неимуществени вреди в размер на 200.00 (двеста) лв., ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на обезщетението, както и в частта, с която Агенцията е осъдена да заплати на г-жа Г. разноски в размер на 110 лв. и делото е върнато за ново разглеждане в отменената част от друг състав на АССГ. Производството пред АССГ е образувано по предявен от Й. С. Г. срещу НАП иск за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба и писмена молба с уточнения, претърпени за периода от 15.07.2019 г., в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), член 24 и член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД, заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане. В изпълнение на указания, съдържащи се в Решение 9421/15.09.2021 г., постановено по адм д. 8825/2020 г. по описа на Върховен административен съд, Трето отделение, с Определение 7096 от 24.09.2021 г. делото е спряно до постановяване на решение по дело С-340/2021 г. на Съда на Европейския съюз, образувано по преюдициално запитване отправено от ВАС по аналогичен спор. С Определение от 22.12.2023 г., постановено в закрито заседание, съдът е възобновил производството по делото, разпределил е доказателствената тежест като е дал указания на страните. При повторното разглеждане на спора са приобщени доказателствата, събрани в хода на производството по адм. дело 11255/2019 г. по описа на Административен съд - София град и са приети новите писмени доказателства, представени от ответника: Писмо и Протокол ЕП-2339 от 12.12.2018 г. от председателя на Държавна агенция Електронно управление (ДАЕУ) до изпълнителния директор на НАП, удостоверяващи извършената проверка в НАП, съгласно чл. 60 от Закона за електронното управление; Писмо ЕП-2339#1 от 19.12.2018 г. от изпълнителния директор на НАП до председателя на ДАЕУ, с което е изискано разяснение и конкретизиране на направените препоръки, съдържащи се в писмото и протокола и Писмо ЕП-43 от 04.01.2019 г. от председателя на ДАЕУ до изпълнителния директор на НАП, с което са предоставени изисканите разяснения. Към доказателствения материал по делото е прието и заключението на вещото лице по назначената съдебно-техническа експертиза със задачи: 1. Въз основа на представените от ответника доказателства, дали направеното от същия във връзка със сигурността на информацията е достатъчно да бъде избегната хакерската атака? и 2. Ако да какво още е следвало да се направи?. В заключението си вещото лице в установило, че НАП има разработени на хартия правила и политики за мрежова и информационна сигурност. Нерегламентирания достъп е осъществен до сървър, които е бил с остаряла версия на операционна система Windows 2008R2 и стара версия на СУБД Oracie 11.2.0.2. Системното и базово програмно осигуряване не е обновявано, защото приложените системи няма да работят с по новите им версии и е трябвало да се модифицират. Поради това вещото лице е приело, че предвидените мерки са адекватни, но доколкото не са били изпълнени на практика, се явяват само на хартия и не могат да бъдат определени като достатъчни, за да се избегне нерегламентирания достъп. Решаващият съд е приел заключението на вещото лице като обективно и компетентно и е отхвърлил като неоснователни доводите на ответника, с които е оспорено заключението. Първоинстанционният съд е приел от фактическа страна, че на 15.07.2019 г. неизвестно лице е осъществило нерегламентиран достъп в информационните масиви на НАП, вследствие на което е разпространена информация, съдържаща личните данни на над 6 000 000 физически лица, като този факт не е спорен за страните. Въз основа на така установените факти съдът е приел, че искът е допустим, но неоснователен. АССГ е приел от правна страна, че искът е с правно основание чл. 82, пар. 1 Регламент (ЕС) 2016/679, като НАП в качеството на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Приети и споделени от съда са изводите на вещото лице след извършената съдебното-техническата експертиза, съгласно които се потвърждава, че приетите вътрешни правила и политики, касаещи мрежовата и информационната сигурност не могат да бъдат определени като достатъчни, за да бъде предотвратен нерегламентирания достъп. Вещото лице твърди, че е било възможно неоторизирания достъп до електронните системи да бъде предотвратен в случай че НАП е разполагал с по-добра техническа инфраструктура, на която да се съхраняват и достъпват данните от външни източници, както и обновяване на операционните системи и използването на техни най-нови версии. От това съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на втората предпоставка съдът е приел, че не е налице твърдяната от ищцата претърпяната вреда, тъй като в хода на производството не са установени кои лични данни на Й. Г. са изтекли и в какъв обем. Посочил е, че в тежест на ищцовата страна е да докаже тяхното настъпване и в какво конкретно се изразяват. Приел е, че от доказателствата по делото не се установило реално настъпване на конкретни неимуществени вреди. Доказателствата по делото сочат на пасивно поведение от нейна страна въпреки че се е притеснявала, няма доказателства да е предприела действия по установяване на конкретните засегнати /разкрити/ данни и действия за предотвратяване на евентуална злоупотреба с тях. При недоказаност на претърпени неимуществени вреди, съдът е приел, че е безпредметно обсъждането дали е налице причинна връзка между бездействието и причинената вреда. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно и следва да бъде оставено в сила при следните коригиращи мотиви: Предявеният иск е с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид член 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 ОРЗД. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед член 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Неправилно първоинстанционният съд е посочил, че доказателствената тежест за докаже незаконосъобразно бездействие от страна на администратора на лични данни се носи от ищеца по делото. Изложените в тази връзка съображения в касационната жалба са основателни, но поради недоказаност на претърпените вреди, по изложените по-долу съображения, допуснатото нарушение на съдопроизводствените правила от съда при разпределяне на доказателствената тежест, въведено от касатора, не може да доведе до отмяна на решението и връщането му за ново разглеждане. Разпоредбата на член 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищцата в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства по адм. дело 11255/19 г. по описа на АССГ и по адм. дело 8825/20 г по описа на ВАС, както представените такива при повторното разглеждане на спора пред АССГ, не доказват, че приложените мерки са подходящи за защита на личните данни. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Разкриването на лични данни в резултат на неоторизирания достъп не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Настоящия съдебен състав счита за неправилно обсъждането на първоинстанционният съд на разпоредбата на чл. 59 от ЗЗЛД, който се намира в Глава осма от ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Допуснатото позоваване на неприложима за случая правна норма не е се е отразило върху крайния правен извод на АССГ за допуснато нарушение на НАП (в същия смисъл са вж. решение 6129 от 20.05.2021 г. постановено по адм. д. 11280/2020 г., III отд. ВАС; решение 3871/02.04.2024 г., постановено по адм. д. 4889/2023 г., V отд., ВАС). Правилно съдът е приел, че в процесния случай не е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. На ищцата от първоинстанционния съд са дадени указания да докаже твърдените за претърпени неимуществени вреди. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищцата не е успяла да докаже преживените негативни емоции, подробно описани в исковата молба. Показанията на разпитания по делото свидетел са много общи. От същите не може да се направи извод за настъпили неимуществени вреди. Свидетелят сочи, че ищцата се е притеснявала, но не е посочил как точно притеснението се е отразило на г-жа Г. и в какво точно се изразява, т. е. до какви негативни емоции е довело това притеснение. Ищцата не е доказала и какви нейни лични данни са достъпени неправомерно. За доказване изтичането на лични данни г-жа Г. е ангажирала само, както е наименувано в исковата молба копие от потвърдителните СМС-и, справки от интернет портала на НАП и извадки от публично оповестени таблици с лични данни, всички ние бяхме уведомени, че попадаме сред лицата, чиито лични данни са били неправомерно разкрити. В кориците на първоинстанционното дело, на лист 16 и лист 18, се съдържат идентични извадки, вероятно от потвърдителни SMS, в който е отразено: НАП: По заявка номер 6717 ИМА неправомерно разкрити лични данни (точен цитат). Няма никаква яснота кой е направил заявката и дали тя касае Й. С. Г., т.е. не е ясно, че са изтекли именно данните на г-жа Г.. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се преценят притеснението и страхът като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищцата, както и че действително са претърпени неимуществени вреди, има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по член 82 ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищцата да докаже, че именно нейни конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпяла и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението следва да бъде оставено в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на юрисконсултско възнаграждение за настоящата инстанция, се явява основателна и следва да се уважи в размер на 100 лв. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, Пето отделение