Решение № 3353 от 31.3.2025 г. на ВАС по адм. д. № 5512/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Националната агенция за приходите, чрез пълномощник юрк. Р. Маринова, срещу решение 1290/27.02.2024 г., постановено по адм. дело 5130/2021 г. по описа на Административен съд София-град (АССГ). С обжалваното решение Националната агенция за приходите (НАП/ Агенцията) е осъдена да заплати на Д. М. К. сума в размер на 500.00 лева, представляваща обезщетение за неимуществени вреди за периода 15.07.2019 г. - 16.09.2019 г., настъпили в резултат на незаконосъобразно бездействие от страна на Национална агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни и по чл. 24 и чл. 32 от Общия регламент относно защитата на данните, да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на лицето, ведно със законната лихва върху тази сума, считано от датата на подаване на исковата молба 16.09.2019 г. до окончателното й изплащане и са присъдени разноски за платена държавна такса и адвокатско възнаграждение. В касационната жалба са развити доводи за неправилност на оспорения съдебен акт поради неправилно приложение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Иска обжалваното решение да бъде отменено и вместо него да бъде постановено друго, с което да се отхвърли предявения иск. Съображения в подкрепа на доводите са изложени в касационната жалба и в открито заседание. Претендира разноски по представен списък. Ответникът Д. М. К., чрез адв. С. Юрукова, оспорва по съображения, изложени в касационната жалба, в писмен отговор и писмена защита. Счита оспореното съдебно решение за правилно и обосновано и иска да бъде потвърдено от касационната инстанция. Претендира разноски по представен списък. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, Пето отделение, като прецени данните по делото, доводите и възраженията на страните намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е основателна по следните съображения: Производството пред АССГ е образувано по предявен от Д. М. К. иск с правно основание чл. 82, § 1 вр. §. 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните /Регламент (ЕС) 2016/679 /ОРЗД), за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода 15.07.2019 г. - 16.09.2019 г., в резултат на неизпълнение в достатъчна степен от страна на НАП на задълженията по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, заедно със законната лихва върху тази сума, считано от 15.07.2019 г. (алтернативно от датата на завеждане на исковата молба - 16.09.2019 г.) до окончателното й изплащане. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна в обжалваната част на първоначално постановеното решение 2817/09.06.2020 г. по адм. дело 11330/2019 г. на АССГ, с решение 6163/21.05.2021 г. по адм. дело 8824/2020 г. на Върховния административен съд, Трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правната квалификация на иска по чл. 82, пар.1 вр. пар. 2 от Регламента. Изложени са обвързващи мотиви за липса на относимост към спора на чл. 59 от Закона за защита на личните данни (ЗЗЛД), който се намира в Глава осма от закона и регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, респективно неотносими към настоящия правен спор. ВАС е посочил, че НАП има качеството на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. С определение 4057 от проведено закрито заседание на 04.06.2021 г., с оглед указанията на ВАС, първоинстанционният съд е конституирал страните по делото и е разпределил доказателствената тежест като е дал указания на ищеца и ответника. При новото разглеждане нито ищцата, нито ответникът- НАП, са ангажирали нови писмени и/или гласни доказателства, въпреки дадените им изрични указания. Въз основа на така установените факти съдът е приел, че искът е допустим и частично основателен. По отношение на първата предпоставка - незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината при или по повод изпълнение на административна дейност, първоинстанционният съд е приел, че е налице недостатъчна степен на организационни и технически мерки, взети от страна на НАП, които са допринесли за изтичането на лични данни. Приел е, че техническата уязвимост очевидно е налице независимо от нейния произход, естество и обхват, а съществуването й като обективен факт в действителността само по себе си е предпоставка за извършения неоторизиран достъп. С тези мотиви АССГ е приел наличието на първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите мерки и ефективни средства за защита, произтичащи от задълженията на администратора по чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, първоинстанционният съд е приел, че вследствие на неоторизирания достъп до базите данни на НАП и публикуването на личните данни на ищцата, същата е преживяла негативни емоции, изразяващи се в притеснения и опасения, да не бъде злоупотребено с тях като същата е преживяла стрес, безпокойство, тревожност. В заключение административният съд е намерил, че са налице всички предпоставки за ангажиране на отговорността на НАП. При определяне на размера на обезщетението, след преценка на времетраенето на увреждането, съдът е приел, че справедливият размер на дължимото обезщетение за неимуществени вреди възлиза на 500 лв. Първоинстанционният съд е присъдил и законната лихва върху тази сума, считано от 16.09.2019 г. до окончателното изплащане на сумата. С оглед изхода на спора АССГ е присъдил разноски в полза на ищеца и адвокатско възнаграждение. Решението е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е частично недопустимо, тъй като първоинстанционният съд се е произнесъл plus petitum, като е присъдил обезщетените извън предмета на спора при второто разглеждане на делото. Както е посочено по-горе настоящото производство е второ по ред, след като с решение 6163/21.05.2021 г. по адм. дело 8824/2020 г. на Върховния административен съд, Трето отделение, е отменил решение 2817/09.06.2020 г. по адм. дело 11330/2019 г. на АССГ в осъдителната му част, с която Национална агенция за приходите е осъдена да заплати на Д. М. К. сумата от 200.00 лв., представляваща обезщетение за неимуществени вреди, както и сумите от 10 лв. на осн. чл. 10, ал. 3 Закона за отговорността на държавата и общините за вреди (ЗОДОВ) и 100.00 лв., представляваща разноски по делото за адвокатско възнаграждение. В частта, в която е отхвърлен иска на Д. К. за разликата от 200.00 лв. до пълния предявен размер от 1000.00 лв., решение 2817/09.06.2020 г. по адм. дело 11330/2019 г. на АССГ е придобило стабилитет, тъй като не е оспорвано от страната с правен интерес пред касационната инстанция. Следователно предмет на спора по адм. д. 5130/2021 г. по описа на АССГ е предявен иск на Д. К. с размер 200.00 лв. Присъждайки обезщетение в размер на 500.00 лв. с решението по адм. д. 5130/2021 г. на АССГ, предмет на контрол за законосъобразност пред настоящата касационна инстанция, административният съд се е произнесъл извън предмета на спора. Налице е произнасяне plus petitum, което налага обезсилване на решението в тази част като недопустимо и прекратяване на производството по делото. В останалата част обжалваното решение е неправилно на основание чл. 209, т. 3, предл. първо и трето АПК. Съгласно чл. 227, ал. 1 АПК когато първоинстанционното решение се отмени повторно, Върховният административен съд не връща делото за ново разглеждане, а го решава по същество. Процесното дело е изяснено от фактическа страна. Предявеният иск е с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/2021 на СЕС, VB, ECLI:EU:C:2023:986, е посочено че от текста на член 82, § 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд неправилно е приел, че не са налице втората и третата предпоставка за ангажиране отговорността на администратора на лични данни. Тук следва да се отбележи, че неправилно първоинстанционният съд е обсъждал твърдените от ищеца нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, § 1 от Хартата на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, § 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Неправилно първоинстанционният съд е посочил, че доказателствената тежест да докаже незаконосъобразно бездействие от страна на администратора на лични данни се носи от ищеца. Макар и касатора да навежда, че оспорения съдебен акт страда от наличие на съществено нарушение на съдопроизводствените правила от съда, същият не е изложил съображения в касационната жалба в какво се изразяват тези нарушения, което не може да доведе до отмяна на решението и връщането му за ново разглеждане. Разпоредбата на чл. 82, § 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин да не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства, цитирани от съда, не доказват, че приложените мерки са подходящи за защита при обработване на личните данни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези по чл. 24 и чл. 32. В този смисъл неправилно първоинстанционният съд е посочил, че разкриването на лични данни в резултат на т. нар. хакерска атака презюмира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че член 82, § 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Неправилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т.6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е посочено, че член 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ECLI:EU:C:2023:370, е предвидено, че член 82, § 1 от Регламент /ЕС/ 2016/679 трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение /т. 1/. Член 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост /т. 2/. Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. Ищцата не е доказала и какви нейни лични данни са достъпени неправомерно. За доказване изтичането на лични данни Д. К. е ангажирала само, както е наименувано в исковата молба копие от потвърдителните СМС-и, справки от интернет портала на НАП и извадки от публично оповестени таблици с лични данни, всички ние бяхме уведомени, че попадаме сред лицата, чиито лични данни са били неправомерно разкрити . В кориците на първоинстанционното дело, на лист 18 и лист 20, се съдържат идентични извадки, вероятно от потвърдителни SMS, в който е отразено: НАП: По заявка номер 7254 ИМА неправомерно разкрити лични данни (точен цитат). Няма никаква яснота кой е направил заявката и дали тя касае Д. М. К., т.е. не е ясно, че са изтекли именно данните на ищцата. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ECLI:EU:C:2023:370, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се преценят притеснението и страхът като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищцата, както и че действително са претърпени неимуществени вреди, има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по член 82 ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищцата да докаже, че именно нейни конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпяла и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението в обжалваната част като неправилно следва да се отмени, като вместо него се постанови ново, с което предявеният от Д. М. К. иск се отхвърли, в частта, с която е уважен същият и в частта с присъдените разноски и адвокатско възнаграждение. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на разноски по делото, представляващи заплатени държавни такси в общ размер на 82,50 лв. (12,50 лв. за адм. д. 8824/2020 г. и 70 лв. за адм. д. 5512/2024 г. и двете по описа на ВАС) и за юрисконсултско възнаграждение в общ размер на 400 лв. (по 200 лв. за всяка инстанция). По изложените съображения Върховният административен съд, Пето отделение,