Решение № 12554 от 20.11.2024 г. на ВАС по адм. д. № 5888/2024 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба, подадена от Национална агенция за приходите (НАП), чрез процесуален представител срещу решение 1263/26.02.2024 г. по адм. дело 7887/2021 г. на Административен съд - София - град (АССГ), в частите му, с които е осъдена НАП, по иск с правно основание по чл. 79, пар. 1 и чл. 82, пар. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 26.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните; ОРЗД; Регламента/ да заплати на В. Й. Ч., с адрес в гр. София, сума в размер на 500 (петстотин) лева, представляваща обезщетение за неимуществени вреди за периода 15.07.2019 г. - 16.09.2019 г., настъпили от бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни и по чл. 24 и чл. 32 ОРЗД, да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на Ч., ведно със законната лихва върху тази сума, считано от 16.09.2019 г. до окончателното й изплащане; НАП е осъдена да заплати 45 лева разноски на ищеца и 600 лева адвокатско възнаграждение на адв. Юрукова. Касационният жалбоподател обжалва съдебното решение като твърди, че е неправилно, постановено в нарушение на материалния закон, при съществено нарушение на съдопроизводствените правила и е необосновано - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска отмяната му и отхвърляне на исковете за обезщетение и лихви. Претендира разноски за юрисконсултско възнаграждение. Ответникът по касационната жалба В. Й. Ч., в писмен отговор и писмена защита, чрез процесуален представител, оспорва същата, като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира разноски за адвокатско възнаграждение. Прокурорът от Върховната прокуратура дава мотивирано становище за неоснователност на касационната жалба. Върховният административен съд (ВАС), пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна, а разгледана по същество за неоснователна. С решение 8703/19.07.2021 г. по адм. дело 11279/2020 г. на Върховния административен съд, трето отделение е отменено решение 4767/02.09.2020 г. по адм. дело 11180/2019 г. на АССГ и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Посочил е, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. С обжалваното пред настоящата съдебна инстанция решение, постановено във второто първоинстанционно производство по делото, АССГ е осъдил НАП да заплати на В. Й. Ч. от гр. София сумата от 500 лева, представляваща обезщетение за причинените ѝ неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата по искова молба с посочен входящ номер и посочени правни и фактически основания по молбата, осъдила е НАП да заплати на В. Й. Ч. 45 лева разноски, както и на адвокат Юрукова 600 лева адвокатски възнаграждения по чл. 38, ал. 2 съобразно уважената част от иска, отхвърля предявения иск в останалата му част над 500 лева до предявения размер от 1000 лева. Решението е неправилно в частта, в която е посочен като правно основание на уважения иск чл. 59 ЗЗЛД. Неправилно административният съдът приема, че е извършено нарушение и на чл. 59, ал. 1 от ЗЗЛД . Посочената разпоредба е неотносима към спора и неправилно е вписани в диспозитива на първоинстанционното решение като правно основание за ангажиране на отговорността, като същата не представлява правно основание за присъждане на обезщетение и неправилно са вписани в диспозитива на решението. Задълженията на НАП като администратор на лични данни не се намират в Глава осма от ЗЗЛД Правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, която транспонира изискванията на Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. Това е така, защото НАП не е от компетентните държавни органи по смисъла на чл. 42, ал. 4 от ЗЗЛД, които имат правомощия по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Решението е правилно като краен резултат в частта, с която е осъдена НАП да заплати обезщетение за неимуществени вреди в размер на 500 лева на Ч., ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата и са присъдени разноски и адвокатско възнаграждение. Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В разпоредбата на чл. 82 от Регламент (ЕС) 2016/679 са посочени трите необходими условия, за да възникне правото на обезщетение: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни /какъвто в случая е НАП/ да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата на чл. 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от първоинстанционния съд не доказват, че приложените мерки са подходящи за защита на личните данни В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В случая разкриването на лични данни в резултат на т. нар. хакерска атака не презюмира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от НАП в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника пред АССГ да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Касаторът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Относно втория елемент от фактическия състав на отговорността за вреди по чл. 82 от Регламента, следва да се отбележи, че понятието вреди се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява напълно целите на Регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите. Пълното и действително обезщетение по съображение 146 от Регламента е цел на този правен институт, без да е необходимо изплащане на наказателно обезщетение. Опасенията, които субект на лични данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на чл. 82 от Регламент 2016/679 /виж решение по С-340/21 на СЕС/, като тежестта на доказване е на ищеца, съгласно чл. 154, ал. 1 от ГПК вр. с чл.144 от АПК, респ. засегнатото лице е длъжно да докаже претърпените вреди. В тази връзка са обосновани изводите на АССГ за наличие на претърпени неимуществени вреди от Ч., вследствие на допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679, като същите се изразяват основно в опасения и притеснения за потенциална злоупотреба с личните ѝ данни и са подкрепени от допуснатият и изслушан в първоначалното производство свидетел. Тук следва да се добави, че настоящият съдебен състав напълно споделя изводите на първоинстанционния такъв, досежно определения размер на присъденото обезщетение. Последният, с оглед потенциалният характер на опасенията и липсата на установен вредоносен резултат, както и характера и тежестта на претърпените вреди, тяхната продължителност и неблагоприятното им отражение върху личната сфера на Ч., правилно е определен от първоинстанционния съд в размер на 500 лева. Решението като правилно като краен резултат в посочените по горе части следва да бъде оставено в сила. С оглед изхода на спора и своевременно направеното искане, на адвокат Юрукова следва да бъдат присъдени разноски за касационната инстанция, представляващи адвокатско възнаграждение. В договора за правна помощ е посочено, че представителството е безплатно на основание чл. 38, ал. 1, т. 3, предл. второ от Закона за адвокатурата /ЗА/ - защита на близки или на друг юрист и на това основание са поискани от съда. Настоящият съдебен състав, съобразявайки предвидения в наредбата по чл. 36, ал. 2 от ЗА размер възнаграждението и на основание чл. 8, ал. 1, вр. чл. 7, ал. 2, т. 1 от Наредба 1 от 9.07.2004 г. за минималните размери на адвокатските възнаграждения, както и съобразно уважената част от иска, определя същият в размер на 200 /двеста/ лева, платими от касатора. Предвид изложеното и на основание чл. 221, ал. 2 АПК Върховният административен съд, Пето отделение