Решение № 12869 от 27.11.2024 г. на ВАС по адм. д. № 7664/2024 г.

Производството е по чл. 208 и сл. от Административно процесуалния кодекс (АПК). Образувано е по касационна жалба на Националната агенция за приходите (НАП), подадена чрез пълномощника гл. юрк. Н. Атанасова, срещу решение 2599/18.04.2024 г. постановено по адм. дело 5219/2021 г. по описа на Административен съд София- град (АССГ), с коeто НАП е осъдена да заплати на И. В. М. сумата от 500 лева, представляваща обезщетение за причинени неимуществени вреди, ведно със законната лихва, върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата. Със същото решение съдът е осъдил НАП за заплати на ищцата разноски в размер на общо 800лв., вкл. и по предходното разглеждане на делото по адм.д. 11268/2019г. на АССГ и ч.адм.д. 1631/2010г. на ВАС. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, като неоснователен. В тази част то не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Счита, че съдът неправилно е приел, че е налице фактическия състав на чл.1, ал.1 от ЗОДОВ. Твърди също така, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано съдът е приел, че е налице твърдяното незаконосъобразно бездействие. Подробни съображения излага в касационната жалба. Моли решението, включително и в частта относно присъдените разноски, да бъде отменено. Претендира юрисконсултско възнаграждение. Ответникът И. В. М., чрез адв. Юруков, преупълномощен от адв. Св. Юрукова, в писмен отговор по подробно изложени доводи, оспорва жалбата както неоснователна. Счита, че постановеното решение е правилно и моли да бъде оставено в сила. Претендира присъждане на адвокатско възнаграждение. Представителят на Върховната прокуратура дава становище за неоснователност на касационната жалба. Върховният административен съд намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е неоснователна. Пред АССГ е предявен иск с правно основание чл. 79, пар. 1, вр. чл. 82, пар. 1 от Регламент (ЕС) 2016/679, разгледан по реда на чл. 203 от АПК. Ищцата И. В. М. е претендирала обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, в качеството му на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента, да изпълни задължението си да защити по сигурен начин данните на ищцата, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните й данни. Производството по адм. дeло 5219/2021 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 4771/02.09.2020 г. по адм. дело 11268/2019 г. на АССГ, с решение 6263/26.05.2021 г. по адм.дело 11287/2020 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. Съдът е приел за установено, че предмет на разглеждане са обективно и субективно съединени искове (за главница и лихва), предявени от И. В. М., за осъждане на Национална агенция за приходите да заплати сумата от 1 000 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR), а именно: да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищцата, довело до неразрешено разкриване или достъп до личните данни на ищцата, ведно със законната лихва върху тази сума, считано от 15.07.2019 год. до окончателното изплащане на сумата. Съдът е приел, за установено от фактическа страна, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани. От приложената към исковата молба снимка на електронно съобщение със следния текст: НАП: по заявка номер 7196 ИМА неправомерно разкрити лични данни - 26.07.2019 г. На стр. 98 от адм.дело 11268/2019 г. по описа на Административен съд София-град е приложена Справка от НАП от 12.06.2020 г., в която е посочено че за идентификатор ЕГН(ЕГН на И. В. М.) има разпространени данни, които включват: ЕГН и имена; данни от декларации, подадени от работодатели/осигурители за осигурените от тях лица (декларация обр. 1 от Наредба Н8) за период 2008 г., данни от справка за изплатени доходи на физически лица (чл. 73 от ЗДДФЛ) за 2008 г. и данни от справка за изплатени доходи на физически лица (чл. 73 от ЗДДФЛ) за 2011 г. От Председателя на Комисията за защита на личните данни (КЗЛД) на НАП е издадено Наказателно постановление 004/28.08.19 г., за нарушение на чл. 32, §1, б. б от Регламент (ЕС) 2016/679, което е било обжалвано и впоследствие отменено поради изтекла погасителна давност с Решение 1247/26.02.2024 г. по адм. дело 12334/2023 г. на АССГ. С Решение ППН-02-399/22.08.19 г. КЗЛД издава на НАП разпореждане по чл. 58, §2, б. г, вр. чл. 57, §1, б. а и чл. 83, §2, б. а, б. в, б. г, б. е и б. ж от Регламент (ЕС) 2016/679 за предприемане на подходящи технически и организационни мерки за защита на личните данни. Решението на КЗЛД в частта му относно Разпореждания 7, 14, 15 изцяло, Разпореждане 5 в частта му: "Да се предприемат необходимите действия за създаването на одитни записи на отделните събития и дневници (журнали) за привилегированите потребители" и Разпореждане 16, в частта му относно "повторното използване на такива данни". Жалбата на НАП в останалата й част е отхвърлена. Решението на АССГ е оспорено пред ВАС от НАП, като с решение 1398/07.02.2024 г. по адм. дело 3781/2023 г. е отменено решението на АССГ в обжалваната му отхвърлителна част и делото е върнато за ново разглеждане от друг състав. Към момента на постановяване на първоинстанционния съдебен акт няма постановен и влязъл в сила съдебен акт. При повторното разглеждане на спора се приобщени доказателствата, събраните в хода на производството по адм.д. 11268/2019 г. по описа на Административен съд София- град. При така установените факти АССГ е приел, че за да е реализирана отговорността на държавата по чл.1, ал.1 ЗОДОВ, следва да са налице кумулативно определени предпоставки: да има причинена вреда-имуществена или неимуществена; да съществува незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината; незаконосъобразният акт или бездействието да са при или по повод изпълнението на административна дейност; пряка и непосредствена причинна връзка между незаконосъобразният акт, действието или бездействието и настъпилата вреда. Изложил е доводи, че е налице първата предпоставка на визираната в чл. 1, ал.1 ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от ЗЗЛД и чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 (GDPR) задължения. Съдът е приел за безспорно, че НАП има качеството на администратор на лични данни по см. на чл.4, т.7 от ОРЗД, и че са изтекли лични данни, обработвани от НАП, което обстоятелство е установено и обявено на 15.07.2019г. Изложил е доводи, че с оглед разпределената доказателствена тежест, ответникът не е успял да докаже изпълнение на законовото си задължение, че приложените от него мерки за сигурност на личните данни по чл. 32 от Регламента са подходящи. Ето защо е останал недоказан фактът, че извършените от НАП действия, са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищцата. Ответникът не е доказал какви технически мерки са предприети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било осуетяването на изтичането на данни. НАП, в качеството си на администратор на лични данни при осъществяване на дейността си, е следвало да предприеме ефективни мерки за предотвратяване неразрешения достъп до личните данни на ищцата. В процесния случай това не е постигнато. Съдът е кредитирал показанията на разпитания по делото свидетел, от които е установено, че ищцата е преживяла безпокойство и притеснение, почувствала се е застрашена, че с нейните лични данни може да бъде злоупотребено, като може да бъдат изтеглени на нейно име, без знанието й кредити, да бъде регистрирано търговско дружество и т.н., поради което е приел, че е осъществена и втората предпоставка за ангажиране на отговорността на ответника, а именно: претърпяна вреда от И. В. М. от това незаконосъобразно бездействие При така установеното съдът е приел за доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното по-горе незаконосъобразно бездействие на администратора, т.е. доказана е и третата предпоставка за основателност на иска. При определяне на размера на неимуществените вреди съдът подробно е обсъдил относимите обстоятелства като интензитета на вредите, продължителността на претърпяването им, възрастта и личността на ищеца, както и продължителността им. При така изложеното от фактическа и правна страна съдът е постановил решението, с което е приел, че искът е частично основателен. Решението е правилно. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, §1, вр. с чл.24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 год. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните-ОРЗД), както правилно е приел решаващият съд като е посочил предпоставките, които следва да се установят, за да се приеме искът за основателен.Съдът е анализирал разпоредбите на чл. 203 от АПК, чл. 2в от ЗОДОВ и е приел подадените искове за допустими, поради което е пристъпил към разглеждането им по същество по реда на глава ХІ от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Съгласно чл.82, §§ 2, 3, 4, 5, 6 ОРЗД: 2. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях.; 3. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата.; 4. Когато в една и съща операция по обработване участват повече от един администратор или обработващ лични данни или участват и администратор, и обработващ лични данни, и когато те са отговорни по параграфи 2 и 3 за вреда, причинена от обработването, всеки администратор или обработващ лични данни носи отговорност за цялата вреда, за да се гарантира действително обезщетение на субекта на данни.; 5. Когато администратор или обработващ лични данни е изплатил съгласно параграф 4 пълното обезщетение за причинената вреда, той има право да поиска от другите администратори или обработващи лични данни, участвали в същата операция по обработване на лични данни, да му възстановят част от платеното обезщетение, съответстваща на тяхната част от отговорността за причинената вреда в съответствие с условията по параграф 2.; 6. Съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Предпоставките са аналогични с тези по чл. 1, ал.1 ЗОДОВ. Доказателствената тежест в процесното съдебно исково производство, съгласно разпоредбата на чл.82, §3 ОРЗД, при възражение за освобождаване от отговорност за причинени вреди в резултат на нарушаване на Регламента, поради това, че администратор на лични данни не е осигурил и не е приложил подходящи технически и организационни мерки, е изцяло в тежест на администратора и обработващия лични данниНАП, ответна по делото пред АССГ страна, който следва да докаже, че обработването на личните данни се извършва в съответствие с Регламента. Съответно, доказателствената тежест за доказване на настъпилата неимуществена вреда е изцяло за ищцата. Правилно съдът е приел, че НАП има качеството на администратор на лични данни по смисъла на чл.4, т.7 от ОРЗД, като за доказване изпълнение задълженията си в това му качество, произтичащи от Регламента и ЗЗЛД, е представил по делото писмени доказателства за предприетите мерки. При данните в конкретния казус първоинстанционният съд съобразно установените факти по делото правилно е приел, че нарушението е осъществено чрез бездействие, което се изразява в неосигуряване (невъвеждане) на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата И. В. М., и като последица - неосигуряване подходящо ниво на сигурност на тези лични данни, което бездействие по същество представлява неточно изпълнение на задълженията на администратора на лични данни НАП, по чл.24 и чл.32 от ОРЗД. Посочените разпоредби задължават администратора на лични данни (в случая НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, §3 от ОРЗД, предвиждащ че администраторът или обработващият лични данни се освобождава от отговорност съгласно §2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, §2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент, администраторът носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. От представените по делото доказателства съдът правилно е приел, че Национална агенция за приходи не е установила по делото факти, за доказването на които същата носи доказателствена тежест, а такива факти в случая следва да са мерки (различни по вид с организационен и технически характер), които да са предприети, но и не само-трябва да са осъществени, т.е. въведени по смисъла на Регламента и да са подходящи, водещи до еднозначен резултат-сигурна обработка на личните данни, което практически означава изградено ниво на сигурност, чиято степен минимизира риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Представените доказателства за предприети действия след изтичането на данните, не доказват, че взетите мерки са ефективни и подходящи. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието, причинило вредата. Отмяната на издаденото от Председателя на КЗЛД наказателно постановление не може да се разглежда като факт, установяващ, че НАП не е отговорен за събитието, още повече, че наказателното постановление е отменено поради изтекла абсолютна давност. Ирелевантно за спора е изследване на деянието хакерска атака или др. и неговия характер. Обоснован и съответен на приетите по делото доказателства е изводът на първостепенния съд, че са налице втората и третата предпоставка за основателност на исковата претенция. Събраните по делото доказателства установяват, че ищцата е претърпяла неимуществени вреди страх и притеснение да не бъде злоупотребено с личните й данни. В тази връзка, правилно са кредитирани показанията на допуснатия и разпитан по делото свидетел Д. Г.( без родство със страните по делото), според която след теча на данни ищцата е била притеснена и уплашена. Следва да се отбележи, че в случая предвид характера на събитието не е необходимо каквото и да е активно поведение на пострадалото лице. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, §1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. При определяне размера на обезщетението съдът е съобразил характера и тежестта на претърпените от ищцата негативни емоции, тяхната продължителност, вида на неправомерно разкритите данни. Така определеният размер би довел до пълно репариране на претърпените от ищцата вреди. Правилно е заключението на АССГ относно наличието на причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл.82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т.е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. Съдът правилно е приел, че неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т.е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни (съдържаща и лични данни) и проявеното бездействие, предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, води до повишаване този риск до ниво, което поддържа вероятността за настъпване на събитие от изброените в чл.32, §2 от Регламента. В заключение съдът правилно е приел, че по делото са доказани всички необходими елементи за реализиране правото на обезщетение за причинени вреди на ищцата И. В. М.. Предвид изложеното, решението като постановено при липса на отменителното основание по чл.209, т.3, следва да бъде оставено в сила. Правилно е прието от съда, че предвид основателността на главния иск, следва да се уважи и претенцията за присъждане на лихва за забава. Първоинстанционният съд, в съответствие със законовата регламентация, е определил размера на адвокатското възнаграждение в хипотезата на чл. 38, ал.2 вр. ал.1, т.3 ЗАдв., вр.чл.8, ал.1 и чл.7, ал.2,т.1 от Наредба 1/2004год. за минималните адвокатски възнаграждения, в минимален размер за всяка инстанция, като е присъдил разноските съобразно размера на уважената искова претенция. Неоснователен е доводът на касатора за прекомерност на адвокатското възнаграждение, при положение, че съдът е присъдил минималния размер, съобразявайки фактическата и правна сложност на делото, а също и поради това, че възражението за несъответствие между размера на възнаграждението и фактическата и правна сложност на делото следва да се направи пред съдебната инстанция, за която са направени разноските. Съгласно чл.38, ал.2 ЗАдв. в случаите по ал.1, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съгласно цитираната норма и установената практика, адвокатът има право на адвокатско възнаграждение в размер не по-малък от предвидения в наредбата по чл.36, ал.2 ЗАдв., ако са налице следните предпоставки: 1. ако осъществява безплатно адвокатска помощ и съдействие на някое от посочените в чл.38, ал.1 лица и 2. ако в съответното производство насрещната страна е осъдена за разноски. В настоящото касационна производство е представен договор за правна защита и съдействие и пълномощно, видно от които адвокатската помощ е осъществена на основаниечл.38, ал.1, т.3 от ЗАдв., предвид което първата предпоставка е налице. Втората предпоставка за присъждане на адвокатско възнаграждение при условията на чл.38, ал.2 ЗАдв. е насрещната страна да е осъдена за разноски, направени в това производство. В случая такива не са направени и насрещна страна не е осъдена за разноски, поради което липсва основната предпоставка за уважаване на претенцията на адв. С. Юрукова за присъждане на адвокатско възнаграждение пред настоящата касационна инстанция. Водим от горното и на основание чл. 221, ал. 2, предл. първо от АПК, Върховният административен съд, пето отделение