Решение № 9414 от 15.9.2021 г. на ВАС по адм. д. № 9871/2020 г.

Производството е по реда на чл. 208 и слeдващите от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба, подадена от Г. Сираков, чрез пълномощника му адвокат С. Юрукова срещу Решение 4286/30.07.2020 г., постановено по адм. дело 11232/2019 г. по описа на Административен съд София-град. С обжалваното решение е отхвърлен изцяло предявения от Г. Сираков осъдителен иск с правно основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/ против Националната агенция за приходите /НАП/ за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000.00 (хиляда) лева, ведно със законната лихва върху претендираното обезщетение за периода от 15.07.2019 г. до окончателното изплащане на вземането. В касационната жалба до Върховния административен съд се твърди неправилност на решението и се иска отмяната му. Сочените касационни основания в жалбата са всичките по чл. 209, т. 3 АПК нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Конкретните оплаквания на касационния жалбоподател са следните: съдът неправилно е разпределил доказателствената тежест между страните, давайки указания на ищеца да докаже бездействието на ответника; обратно на приетото от съда в решението, в тежест на ответника е било да докаже, че е предприел и изпълнил нужните организационни и технически мерки за защита личните данни на ищеца и да докаже тяхната ефективност, което не е направено; неправилно и в противоречие с материалния закон, съдът е приел, че НАП като пострадало лице от противоправното посегателство от трети лица, не следва да носи отговорност за вредите, причинени на ищеца; съдът е допуснал нарушения при обсъждане на събраните по делото доказателства, приемайки за доказани възраженията на ответника, че е предприел ефективни технически и организационни мерки за защита на личните данни на лицата, при положение, че съдът не разполага с необходимите технически знания; по делото не са ангажирани от ответника доказателства, че представените от него указания, вътрешни правила, методики, политики, инструкции, са били ефективно изпълнявани от служителите му; съдът е нарушил задължението му, произтичащо от чл. 146, ал. 2 от Гражданския процесуален кодекс /ГПК/ във вр. с чл. 144 АПК, както и разпоредбата на чл. 172 ГПК. Касаторът иска отмяна на решението и уважаване на иска изцяло, чрез присъждане и на законната лихва върху обезщетението, така както е претендирана. Иска също присъждане на направените съдебни разноски в първоинстанционното и касационното производство, за които е представен списък на разноските по чл. 80 ГПК. Ответникът по касация НАП оспорва касационната жалба по съображения в писмен отговор, представен чрез юрк. Л. Танев, на 03.09.2020 г. Иска отхвърляне на касационната жалба, като неоснователна и недоказана, и оставяне в сила на обжалваното решение. Претендират се разноски за юрисконсултско възнаграждение. Върховната административна прокуратура, чрез участващия по делото прокурор, изразява становище за допустимост, но неоснователност на касационната жалба. Според прокурора касаторът не успял да извърши необходимото, за да се установи кумулативното наличие на всички изискуеми от закона елементи на сложния състав по чл. 1, ал. 1 ЗОДОВ, респ. правилно първоинстанционният съд бил приел, че не са налице предпоставките за ангажиране на отговорността на държавата по чл. 1 ЗОДОВ. Върховният административен съд в настоящия съдебен състав на трето отделение преценява касационната жалба като допустима. Тя е подадена в срока по чл. 211, ал. 1 АПК от страна по делото, за която подлежащият на обжалване съдебен акт е неблагоприятен. По основателността на касационната жалба, Върховният административен съд приема следното: Административен съд София-град е приел, че е сезиран с иск за заплащане на обезщетение за причинени неимуществени вреди, изразяващи се в притеснения, страх и опасения от злоупотреба с лични данни, причинени от бездействието на длъжностни лица в НАП, в качеството му на администратор на лични данни, с което бездействие е допуснато нарушение на чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на личните данни/, наричан за краткост по-долу Регламента, и нарушение на чл. 45, ал. 1, т. 6, чл. 59, ал. 1, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 от Закона за защита на личните данни /ЗЗЛД/, като не е обработил личните данни по начин, който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки и не са изпълнени задълженията за извършване на оценка на въздействието на предвидените операции по обработване на лични данни върху тяхната защита. Съдът е квалифицирал иска като такъв с правно основание чл. 203 АПК във вр. с чл. 1, ал. 1 ЗОДОВ. Първоинстанционният съд е преценил исковата молба като редовна, а предявения иск като допустим, но неоснователен. Приел, от фактическа страна, че на 15.07.2019 г. медиите оповестили информация за т.нар. хакерска атака, при която от електронните масиви на НАП неправомерно била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. Приел, че е осъществен неоторизиран достъп до базата данни на НАП, неразрешено разкриване и разпространение на категории лични данни за 6 074 140 български и чужди граждани, за който факт съдът е кредитирал информацията, предоставена от КЗЛД с писмо от 05.11.2019 г. (л. 32-33 от адм. дело 11232/2019 г.) (в решението е сбъркан номерът на писмото; като такъв е посочен ППН-01-1670/05.11.2019 г., а той е ППН-01-1669/05.11.2019 г.; не знаех дали трябва да посоча грешката, затова цитирам без номер на писмо). Съдът е посочил, че по случая е образувано и досъдебно производство за компютърно престъпление, което към момента на постановяване на обжалваното решение, не е приключило. Кредитирал представените от ответника по делото писмени доказателства заповеди, указания, методики, политики, инструкции. Първоинстанционният съд посочил още, че към исковата молба е приложен скрийншот на текстово съобщение от 27.07.2019 г., 9.36 ч. (л. 16 от адм. дело 11232/2019 г.) със следното съдържание НАП: По заявка номер 7360 ИМА неправомерно разкрити лични данни. Пояснил, че, от съдържанието на това доказателство, не ставало ясно за кого се отнасят личните данни и в какъв обем са разкрити. При така установената фактическа обстановка, съдът приел, от правна страна, че когато визира незаконосъобразно бездействие, разпоредбата на чл. 1, ал. 1 ЗОДОВ има предвид незаконосъобразно фактическо бездействие по смисъла на чл. 256 АПК, т.е. бездействие на административен орган по задължение, произтичащо пряко от нормативен акт или което той е длъжен да извърши по силата на закона. В конкретния случай, според съда, било налице противоправно деяние, което обаче само по себе си не обосновавало извод, че е следствие от незаконосъобразното бездействие на ответника да изпълни произтичащи от Регламент (ЕС) 2016/679 и ЗЗЛД задължения да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица във връзка с обработването на личните им данни. Негативният резултат (неоторизирания достъп до базата данни на НАП) не презюмирал противоправно поведение на администратора на лични данни, изразяващо се в бездействие на последния да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни така, че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. Съдът приел, че за доказване изпълнението на задълженията си, произтичащи от Регламента и закона, ответникът представил по делото писмени доказателства, а ищецът, въпреки дадените от съда указания, проявявайки процесуална пасивност не успял да докаже твърдението си, че писмените доказателства, ангажирани от НАП, не установяват фактическото изпълнение на предписаните технически и организационни мерки за защита на личните данни. Така съдът стигнал до решаващия извод, че не е налице първата предпоставка за възникване на отговорността по чл. 1 ЗОДОВ. Административен съд София-град преценил като недоказани и останалите предпоставки от фактическия състав на чл. 1, ал. 1 ЗОДОВ, а именно вреда и причинна връзка между нея и твърдяното неправомерно бездействие. Съдът посочил, че, изтичането на лични данни в публичното пространство е нормално да предизивика емоционален дискомфорт у всеки човек, но, в конкретния случай, не се установявало, доколко фактът на публичното им оповестяване е довел до промяна в качеството на живот на ищеца. Нямало данни по делото, дали и как това е довело до влошаване на самочувствието на Сираков, самооценката му, работата му, отношенията му в семейството, с близките и приятелите му, както и на здравословното му състояние. Липсата на активно поведение на ищеца да установи какви конкретно данни са изтекли за него, както и свидетелските показания на съпругата на ищеца, с които, според съда, не се доказвало настъпването на коренни житейски промени, мотивирало първоинстанционния съд да приеме твърдените неимуществени вреди като недоказани. Счел, че, след като в производството пред него не се е установило незаконосъобразно бездействие на ответника, както и настъпили вреди, причинна връзка било безпредметно да бъде обсъждана и следвало да се приеме, че също не е налице. По изложените съображения, Административен съд София-град преценил иска, предявен от Г. Сираков срещу НАП, за неоснователен и го отхвърлил. Решението е неправилно, като постановено при съществени процесуални нарушения, и е необосновано. Неправилна е правната квалификация на иска, направена от съда. Както се посочи по-горе, първоинстанционният съд е квалифицирал иска като такъв с пр. осн. чл.1 ЗОДОВ. Макар, предявеният иск да следва да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правната квалификация на иска е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016г. (GDPR) ( наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. Неправилната квалификация на иска е довела до неправилно прилагане на правилата за разпределение на доказателствената тежест между страните по делото. В исковата молба ясно се сочат задълженията по регламента, които ответникът не е изпълнил. Твърденията на ищеца са, че ответникът не е приложил подходящи технически и организационни мерки, за да гарантира целостта и поверителността на данните на лицата, че съществуват недостатъци в защитата на информационната сигурност на НАП, че от 2008г. не е правено осигуряване на сървъра и осигурителните системи на НАП, че липсва резервен сървър, че сървъра на НАП е бил уязвим за външни влизания, че избраният от НАП втори идентификатор не осигурява по-сериозна защита на личните данни. В своя отговор на исковата молба, НАП възразява, че като администратор на лични данни, е предприела всички необходими технически и организационни мерки за защита при обработването на личните данни. Във връзка с това свое възражение, НАП е следвало да докаже фактите, на които то се основа, съгласно чл.154, ал.1 ГПК, като представените писмени доказателства - Политика по информационна сигурност на НАП, версия 3.0 от 2016 година, Методика за оценка на риска, версия 1.1 от 2015 година, Заповед З-ЦУ-1436/15.10.2018г. на изп.директор на НАП, Политика по защита на личните данни в Националната агенция за приходите, Указания за обозночаване и работа с информация, не са били достатъчни. Необходимо е било да се установи, че предвидените мерки в посочените документи са изпълнени на практика и, че те са достатъчни за осигуряването на пълната и ефикасна защита на личните данни. Съдът е следвало да даде подобни указания на ответника, което не е направил. В тази връзка следва да се посочи също така, че първоинстанционният съд неправилно приема, че се твърди хипотезата на чл.257 АПК, откъдето прави извода, че доказателствената тежест е за ищеца. Не всяко неизпълнение на задължение за фиктическо действие е бездействие по смисъля на чл.257 АПК. Предмет на осъдителния иск по чл.256 и чл.257 АПК е правото на лице или организация на конкретни фактически действия от административен орган, за които органът е задължен пряко от закона ( определение 11950 от 10.11.2008г. на ВАС по адм.д. 13502/2008г.). В конкретния случай от обстоятелствената част на исковата молба, не следва, че твърденията са за бездействие по смисъла на чл.257 АПК. Твърди се бездействие на длъжностни лица на ответника да изпълнят свои преки задължения по служба, произтичащи от Регламента, което неизпълнение на служебни задължения е довело до нарушаване на правото на защита на личните днни на ищеца. Предпоставките по чл. 82, параграф 1 от Общия регламент са в кумулативност и са : наличие на материална или нематериална вреда; нарушение на Регламент (ЕС) 2016/679; причинна връзка между претърпяната вреда и нарушението на Регламента. Както се посочи по-горе, както и предвид императивната разпоредба на чл.5, параграф 2 от Регламента, НАП в качеството й на администратор на лични данни носи доказателствената тежест, че е спазила принципите, свързвани с обработването на личните данни, в конкретния случай на ищеца, в това число, че е гарантирала подходящо ниво на сигурност при обработката на тези данни. Съдът е следвало да укаже на ответника необходимостта от доказването на този факт, вкл. и да укаже необходимостта от събиране по делото на съдебно-техническа експертиза, която да даде заключение по този въпрос, тъй като съдът не разполага със специални знания за това. Безспорно е между страните, че до информационната система на НАП е осъществен неоторизиран достъп. От твърденията на ищеца следа, че този неоторизиран достъп, не би бил факт, ако ответникът е предприел действията, за които се твърди, че е бездействал. Обратно, НАП твръди, че е предприел и е осъществил всичко необходимо за защита на личните данни на лицата при тяхната обработка. След като съдът не разполага със специални знания, за да прецени, какво е направено, дали направеното е достатъчно, могла ли е да бъде избегната хакерската атака и ако "да", какво още е следвало да се направи, съдът е следвало при условията на чл. 171, ал.2 АПК служебно да допусне изслушването на съдебно-техническа експретиза по този въпрос, за която да определи компетентно/компетнтни вещо/вещи лица. Като не е направил това, съдът е пропуснал да изясни съществен за спора въпрос. Не може да се сподели извода на съда за недоказаност на претърпяната от ищеца вреда, тъй като той не бил доказал активно поведение. Неправилен е и изводът на съда, че ищецът не бил претърпял вреда, тъй като преживеният стрес и безпокойство не са довели до трайно изменение в ежедневно битовите навици и поведение на ищеца. Така посочените съображения на съда, обосновали крайния му извод, че ищецът не е претърпял неимуществена вреда са нелогични. Ищецът сочи като неимуществена вреда, чието обезщетяване иска, преживеният от него стрес, безпокойство и притеснение. Посочените негативни преживявания са състояние на духа, което не във всички случай дава отражение на обективното поведение на физическите лица в ежедневието им. От липсата на подобно отражение, не може да се направи заключение, че безпокойството и притеснението не са изживени, че лицето не е било под стрес, или че те не са били с висок интензитет. Съдът не разполага със специални знания, които да му позволят да прецени в конкретния случай, дали твърдените негативни изживявания са били факт и до каква степен те са разстроили емоционалното състояние на ищеца. В този случай, ако съдът има съмнения, наред със гласните доказателства, е следвало да укаже на ищеца необходимостта от събиране по делото на съдебно-психологична експертиза, която да даде заключение за реакцията на ищеца, причинена от изтичането на данните за него, за нейната проявна форма и интензитета й. Изводът на съда за липсата на вреда у ищеца е необоснован. Съдът не е изискал уточнение и за периода ( с начало и край), за който се твърди, че са претърпени вредите и , за който се претендира обезщетението.