Решение № 9420 от 15.9.2021 г. на ВАС по адм. д. № 10793/2020 г.

Производството е по реда на чл. 208 и следващите от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите (НАП), чрез процесуален представител ст. юриск. И. Иванов, срещу Решение 239 от 03.08.2020 г., постановено по адм. дело 32/2020 г. по описа на Административен съд Добрич в частта, с която НАП е осъдена да заплати на С. Калчева, на основание чл. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), обезщетение за причинени й неимуществени вреди в размер на 100.00 (сто) лв., ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на обезщетението, както и в частта, с която НАП е осъдена да заплати на Калчева, на основание чл. 10, ал. 3 ЗОДОВ, сумата от 310.00 (триста и десет) лв. съдебно-деловодни разноски по делото, представляващи 10.00 (десет) лв. държавна такса и 300.00 (триста) лв. адвокатско възнаграждение. Касационният жалбоподател твърди неправилност на съдебното решение поради нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост - касационни отменителни основания по чл. 209, т. 3 АПК. Моли решението да бъде отменено и, вместо него, Върховният административен съд да постанови съдебен акт, с който да отхвърли, като неоснователен и недоказан, предявения от Калчева срещу НАП иск за присъждане на обезщетение за неимуществени вреди. В условията на евентуалност моли да бъде определен справедлив, по-нисък размер на обезщетението за неимуществени вреди, присъдено с атакувания акт на ответника по касация, като се съобрази и началната дата на олихвяването. В условията на евентуалност, моли също съдебното производство да бъде спряно до влизане в сила на съдебно решение по обжалвано от НАП Наказателно постановление 004/28.08.2019 г., издадено на Агенцията от Комисията за защита на личните данни за нарушение на чл. 32, параграф 1, буква б от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на личните данни), наричан за краткост по-долу Регламента. Претендира се присъждане на юрисконсултско възнаграждение и направените в касационното производство разноски. Ответникът по касация С. Калчева оспорва касационната жалба, чрез адв. Х. Христов, в представен по делото писмен отговор. Изразява становище, че атакуваното решение е правилно и законосъобразно, като постановено при липса на съществено нарушение на съдопроизводствените правила и материалния закон. Моли за потвърждаването му и присъждане на разноски за касационната инстанция, включително адвокатско възнаграждение по чл. 38, ал. 2, вр. ал. 1, т. 3 от Закона за адвокатурата (ЗА). Върховната административна прокуратура, чрез участващия по делото прокурор, дава заключение за основателност на касационната жалба. Според прокурора, въз основа на доказателствата по делото, може да бъде направен извод, че не са налице кумулативно предвидените предпоставки от състава по чл. 1, ал. 1 ЗОДОВ за ангажиране отговорността на държавата за обезщетение за вреди, поради което изводите на първоинстанционния съд в обратната насока са неправилни. Върховният административен съд, в настоящия съдебен състав на трето отделение, преценява касационната жалба като допустима. Тя е подадена в срока по чл. 211, ал. 1 АПК от страна по делото, за която подлежащият на обжалване съдебен акт е неблагоприятен. По основателността на касационната жалба, Върховният административен съд приема, че същата е основателна по следните съображения: Производството пред Административен съд Добрич е образувано по реда на чл. 203 АПК във вр. с чл. 1 и чл. 4 ЗОДОВ. Съдът е приел, че е сезиран с два обективно и субективно съединени искове (за главница и лихви) първият за присъждане на обезщетение в размер на 1000.00 (хиляда) лв. за периода от 15.07.2019 г. (датата на увреждането) до момента на постановяване на първоинстанционното съдебно решение, за неимуществени вреди, изразяващи се в психически страдания, напрегнатост, стрес, уплах, страх от физически нападения и други отрицателни емоции, претърпени от С. Калчева като резултат от бездействие на служители на НАП, в качеството й на администратор на лични данни, да изпълни в достатъчна степен произтичащи от чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 задължения, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищцата, което бездействие е довело до неразрешено разкриване или достъп до личните й данни. Вторият за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на обезщетението. Съдът приел за установено от фактическа страна и за безспорно по делото, че поради осъществен на 15.07.2019 г. нерегламентиран достъп до информационните масиви на НАП, от тях е изтекла информация, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи български и чужди граждани и 1 989 598 починали. Приел, че нерегламентираният достъп се дължи на умишлени престъпни действия от страна на неизвестно лице. Кредитирал предоставената по делото от НАП справка за ищцата (л. 7 от адм. дело 32/2020 г. по описа на Административен съд Добрич), от съдържанието на която се установява, че изтеклата информация за С. Калчева е ЕГН и три имена. Кредитирал също ангажираните от ищцата гласни доказателства чрез разпита на двама свидетели Н. Петров и С. Тодоров. Въз основа на приетата от него за установена фактическа обстановка, Административен съд Добрич приел от правна страна, че обстоятелството, че е изтекла информация от сървърите на НАП, вследствие неоторизиран достъп, сочи на противоправно бездействие на ответника да изпълни произтичащи от разпоредбите на чл. 59, ал. 1 ЗЗЛД, на чл. 24 и чл. 32 от Общия регламент относно защита на личните данни задължения за осигуряване на достатъчна надеждност и сигурност на информационната си система, за защита физическите лица във връзка с обработването на личните им данни по смисъла на параграф 1, т. 4 от ДР на ЗЗЛД, вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т. ч. правото на защита на личните им данни. Счел, че именно техническата уязвимост на информационната система на НАП е довела до нерегламентирано разкриване и разпространение на личните данни на ищцата, която уязвимост се дължала на неприлагането на подходящи мерки за защита. Според съда, ако системата била ефективно и надеждно защитена, то не би се стигнало до пробива й, довел до разкриване личните данни на ищцата. Заключил, че след като е налице злоумишлено деяние, престъпно посегателство по смисъла на Наказателния кодекс (НК), това означава, че не е изпълнена в необходимата степен задачата по предотвратяване на престъплението и по предотвратяването на неправомерното достъпване на базата данни на касационния жалбоподател. Така съдът счел за реализирана първата предпоставка за ангажиране отговорността на НАП за вреди по реда на чл. 1, ал. 1 ЗОДОВ. На следващо място Административен съд Добрич, позовавайки се на показанията на свидетелите на ищцата, в тяхната взаимовръзка и обусловеност с ангажирания по делото доказателствен материал и при отчитане разпоредбата на чл. 172 от Гражданския процесуален кодекс (ГПК), приел, че Калчева е претърпяла в резултат на това незаконосъобразно бездействие неимуществени вреди морални такива, притеснение и стрес, негативни емоционални изживявания и здравословни проблеми. Заключил, че е установен, както фактът на вредите, така и пряката причинно-следствена връзка между настъпването им и незаконосъобразното бездействие на НАП. Изхождайки от характера на претърпените вреди, трайността на търпенето им, доказаните душевни страдания и общото психическо състояние на ищцата, преценил че претендираната от нея сума на обезщетението в размер на 1000.00 (хиляда) лв. е прекомерно завишена и определил, като справедлив размер на обезвредата по смисъла на чл. 52 от Закона за задълженията и договорите, сумата от 100.00 (сто) лв. Върху тази сума присъдил законната лихва, считано от датата на увреждането (изтичането от електронните масиви на НАП на личните данни на ищцата) до окончателното изплащане на обезщетението. Отхвърлил исковата претенция до пълния предявен размер от 1000.00 (хиляда) лв. Въз основа на установената от него фактическа обстановка, административният съд направил извод, че е осъществен фактическият състав на отговорността по чл. 1 ЗОДОВ, която определил като деликтна отговорност, отличаваща се от общата деликтна отговорност досежно деликвента и спецификата на причинната връзка. Така постановената обжалвана част от решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Съдът е допуснал да се произнесе по нередовна искова молба, както и е дал неправилна правна квалификация на предявения иск. С исковата молба е предявен иск за заплащане на обезщетение за претърпени неимуществени вреди, т.е. искът е за парично вземане, дължимо според ищцта за определен период от време. В този случай, ищцата е следвало да индивидуализира вземането си, освен чрез неговия размер и чрез периода, за който се претендира то. По този начин се определят границите на търсената от ищцата съдебни защита, в които и съдът следва да се произнесе. В исковата молба не е посочен периода, за който се претендира паричното обезщетение. В решението си на стр. 3 от него, съдът необосновано ( без да е изискал подобно уточнение от ищцата и нейния процесуален представител)е посочил, че обезщетението се претендира за периода от 15.07.2019г. до настоящия момент. От друга страна, периодът на исковата претенция( освен в конкретно определени законоустановени случаи, какъвто не е настоящият) не може да надхвърля датата на предявяване на исковата молба. Съдът също така е квалифицирал неправилно предявения иск. Както се посочи по-горе, първоинстанционният съд е квалифицирал иска като такъв с пр. осн. чл.1 ЗОДОВ. Предявеният иск, макар, да следва да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правната муквалификация е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016г. (GDPR) ( наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. Неправилната квалификация на иска е довела до неправилно прилагане на правилата за разпределение на доказателствената тежест между страните по делото. В исковата молба ясно се сочат задълженията по регламента, които ответникът не е изпълнил. Твърденията на ищеца са, че ответникът не е приложил подходящи технически и организационни мерки, за да гарантира целостта и поверителността на данните на лицата, че съществуват недостатъци в защитата на информационната сигурност на НАП. В своя отговор на исковата молба, НАП възразява, че като администратор на лични данни, е предприела всички необходими технически и организационни мерки за защита при обработването на личните данни. Във връзка с това свое възражение, НАП е следвало да докаже фактите, на които то се основа, съгласно чл.154, ал.1 ГПК, като представените писмени доказателства с молбата от 10.07.20 г. не са достатъчни. Необходимо е било да се установи, че предвидените мерки в представените документи, са изпълнени на практика и, че те са достатъчни за осигуряването на пълната и ефикасна защита на личните данни, съдържащи се в информационните масиви на НАП. Съдът е следвало да даде подобни указания на ответника. Не може да се сподели извода на първоинстанциониня съд, че обстоятелството, че е изтекла информация от сървърите на НАП, вследствие на неоторизиран достъп, сочело на противоправно бездействие от страна на ответника да изпълни произтичащи от разпоредбите на регламента задължения за осигуряване на достатъчна надежност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни. Презумпция в този смисъл липсва, както в регламента, така и в националния ни закон. Само фактът на неоторизирания достъп до информационната система на НАП не доказва бездействието на ответника да осигури защитата й. Причината за осъществения неоторизиран достъп не може да е еднозначна и това да е единствено и само неосигуряването на добра защита. Не е изключено, дори при осигурена максимално висока степен на защита ( което обстоятелство е останало недоказано по делото) тя да бъде преодоляна при достъп до информация, как може да стане това. Безспорно е между страните, че до информационната система на НАП е осъществен неоторизиран достъп. От твърденията на ищеца следва, че този неоторизиран достъп, не би бил факт, ако ответникът е предприел действията, за които се твърди, че е бездействал. Обратно, НАП твръди, че е предприел и е осъществил всичко необходимо за защита на личните данни на лицата при тяхната обработка. След като съдът не разполага със специални знания, за да прецени, какво е направено, дали направеното е достатъчно, могла ли е да бъде избегната хакерската атака и ако "да", какво още е следвало да се направи, съдът е следвало при условията на чл. 171, ал.2 АПК служебно да допусне изслушването на съдебно-техническа експретиза по този въпрос, за която да определи компетентно/компетнтни вещо/вещи лица. Като не е направил това, съдът е пропуснал да изясни съществен за спора въпрос - било ли е направено всичко обективно възможно за защита на информационната система на НАП от кибер атака, или не, и ако отговорът е отрицателен, какво е следвало да се направи, предвидено ли е то в документите, представени от ответника и защо не е направено. Допуснатите от съда съдопроизводствени нарушения са съществени, тъй като са довели до неизясняване на факти и обстоятелства от значение за спора, чието установяване може да повлияе на крайния резултат на делото. Решението на първоинстанционния съд в обжалваната му част следва да се отмени, а вместо това делото се върне за ново разглеждане от друг съдебен състав на АССГ. При новото разглеждане, съдът следва да се съобрази с укзанията, дадени в настоящото решение, а също така, да съобрази, че по аналогичен спор, е отправено от ВАС преюдицианло запитване до Съда на Европейския съюз, по което е образувано дело С-340/21 година. По въпроса за разноските, направени в производствата пред първоинстанционния съд и в настоящото производство, на осн. чл.226, ал.3 АПК следва да се произнесе съдът, който ще разгледа делото след връщането му. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ и чл. 222, ал. 2, т. 1 АПК, Върховният административен съд в състав на трето отделение, Първа колегия