Решение № 8644 от 9.9.2025 г. на ВАС по адм. д. № 9492/2024 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на Национална агенция за приходите/НАП/- София , чрез процесуален представител , против решение 7437/04.06.2024 г. по адм. д. 5829/2021 г. описа на Административен съд София-град/АССГ/. Иска се отмяна на решението, като постановено при допуснато съществено нарушение на съдопроизводствените правила, в нарушение на материалния закон, непълнота на доказателствата и необосновано касационни основание по чл. 209, т. 3 от АПК. Желае се отмяна на решението и отхвърляне на иска. Претендират се разноски. Ответната страна С. Й. Д. , чрез процесуален представител, в писмен отговор оспорва касационната жалба и желае оставяне в сила на оспореното решение. Представителят на Върховна касационна прокуратура намира касационната жалба за неоснователна. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от страна, за която съдебния акт е неблагоприятен, намира същата за допустима. Разгледана по същество е основателна, по следните съображения: С оспореното решение 7437/04.06.2024 г., постановено по адм. д. 5829/2021 г. описа на АССГ НАП е осъдена да заплати на С. Д. обезщетение за претърпени неимуществени вреди в размер на 500 лева, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., като е отхвърлен иска за разликата над този размер до пълния предявен размер от 1000 лв.Със съдебното решение, на основание чл. 10, ал. 3 от ЗОДОВ НАП е осъдена да заплати на Д. и сумата от 22,50 лв., както и 800 лв. адвокатско възнаграждение за адв. С. Юрукова. На основание чл. 10, ал. 4 от ЗОДОВ С. Й. Д. е осъден да заплати на НАП сумата от 50 лв. Производството по адм. д. 5829/2021 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 3946/16.07.2020 г. по адм. дело 11199/2019 г. на АССГ, с решение 7028/10.06.2021 г. по адм. д. 10565/2020г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. Делото е било спряно на основание чл. 229, ал. 1, т. 4 от ГПК вр. с чл. 144 от АПК, а впоследствие е възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. За да постанови обжалваното в настоящето производство решение АССГ е приел, че е налице първата предпоставка на визираната в чл. 1, ал. 1 от ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че С. Д. е изпълнил дадените му указания да докаже претърпените от него неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с неговите лични данни ще бъде злоупотребено, като е приел за безспорно обстоятелството, че по отношение на ищцата има изтичане на лични данни в резултат на неоторизирания достъп, като вредата е в пряка и непосредствена причинно-следствена връзка с незаконосъобразното фактическо бездействие на администратора. Решението е правилно. Правното основание на иска е чл. 82, пар. 1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от ОРЗД. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи. НАП не е ангажирала доказателства, за да докаже, че е приложила подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. НАП е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но агенцията не се е справила с доказателствената тежест. Не е доказала, че по никакъв начин не е отговорна за събитието, причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Обосновано първоинстанционният съд е приел, че са доказани вторият и третият елемент от фактическия състав на отговорността по чл. 82 от Регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват "нематериална вреда" по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. От първоинстанционния съд са дадени указания на ищеца да докаже твърдените от него претърпени неимуществени вреди. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. За доказване разкриването на лични данни ищеца С. Д. е представил снимка на електронно съобщение от НАП със следното съдържание: "НАП: По заявка номер 3522 ИМА неправомерно разкрити лични данни". Посочени са трите имена на лицето и ЕГН. Тоест представени са доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени, затова може да се направи извод за настъпили неимуществени вреди. Съдът правилно приема, че такива вреди са действително доказани. За доказване на претърпените от ищеца неимуществени вреди по делото съдът се позова на събраните по делото гласни доказателства установявщи претърпян страх и стресово състояние на Д. от изтичане на личните му данни и реалната възможност за злоупотреба с тях. По изложените съображения решението в обжалваната част като правилно следва да се остави в сила. Предвид изхода на спора основателна е претенцията на процесуалния представител на ответника по касация за присъждане на сторените по делото разноски, в размер на 15 лева заплатени държавни такси, както и на адвокат С. Ю. сумата 1 000 лева за осществено процесуални представителство и оказана безплатна защита и съдействие. По изложените съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение