Решение № 9781 от 16.9.2024 г. на ВАС по адм. д. № 5642/2021 г.

Производството е по реда на чл. 208 и следв. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Г. А. Х., чрез процесуалния му представител адв. Юрукува срещу решение 2109/31.03.2021 г., постановено по адм. дело 11291/2019 г. от Административен съд - София-град (АССГ). В касационната жалба са развити доводи за неправилност на оспореното първоинстанционно решение поради допуснато съществено нарушение на съдопроизводствените правила, нарушение на материалния закон и необоснованост касационно основание по чл. 209, т. 3 АПК. Иска се отмяна на решението като неправилно, претендира се присъждане на разноски за двете съдебни инстанции. Ответникът по касационната жалба Национална агенция за приходите (НАП), чрез процесуалния си представител юрк. Танев в писмено становище и в съдебно заседание, оспорва същата като неоснователна и моли да бъде отхвърлена, а оспореното съдебно решение да бъде оставено в сила. Претендира разноски за юрисконсултско възнаграждение. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд (ВАС), тричленен състав на пето отделение, след като прецени данните по делото и становищата на страните и след извършена служебна проверка по реда на чл. 218, ал. 2 от АПК приема за установено следното: Касационната жалба е подадена от активно легитимирана страна, в срока по чл. 211, ал. 1 АПК, против подлежащ на оспорване съдебен акт, който е неблагоприятен за нея, поради което е процесуално допустима. Разгледана по същество е нeоснователна, по следните съображения: Производството пред АССГ е образувано по искова молба на Г. А. Х. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от бездействия на НАП, довели до неправомерно разпространение на личните му данни, вследствие на което ищецът е претърпяла неимуществени вреди, подробно посочени в исковата молба, поради което и претендира обезщетение на тези вреди, ведно със законната лихва от датата на изтичане на личните данни 15.07.2019 г. до датата на изплащане на обезщетението. За да постанови обжалваното решение, първоинстанционният съд приема, че искът е с правно основание чл. 1 от ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди вследствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се неизпълнение на задължения, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламента (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните; ОРЗД; Регламента/. Прието е за безспорно установено, че на 15.07.2019 г. е осъществен нерегламентиран достъп вследствие на умишлени престъпни действия от страна на неизвестно лице, в резултат на което е изтекла информация от информационните масиви на НАП. След извършен преглед на предприетите мерки за защита на сигурността на информацията в НАП, на база представените от ответника доказателства - заповеди на изпълнителния директор на НАП, Методика за оценка на риска Приложение 3 към процедура ПФИС 7, утвърдена политика по информационна сигурност, Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри АССГ приема, че предвидените с Регламента задължения за осигуряване достатъчна надеждност и сигурност на информационната система, както и за защита на физическите лица във връзка с обработване на личните им данни от страна на НАП не са изпълнени. Излага съображения, че не се установява конкретен технически начин, по който са станали достъпни личните данни при хакерската атака, за да се направи извод дали това е станало вследствие на неприлагане на ефективни организационни и/или технически мерки за защита на данни или въпреки тях. Въпреки това приема, че именно техническата уязвимост на информационната система на НАП е довела до нерегламентирано разкриване и разпространение на личните данни на ищеца. Обосновава извод за незаконосъобразно бездействие на НАП поради непредприемане на необходими действия в съответствие със законовите изисквания, с което е налице първата предпоставка за ангажиране на отговорността на НАП, но не е доказана втората предпоставка за наличие на претърпяна вреда. В тази връзка сочи, че не е доказано ищецът реално да е претърпял твърдените неимуществени вреди, представляващи емоционални сътресения, поради което приема, че предявеният иск с правно основание чл. 1, ал. 1 от ЗОДОВ е неоснователен и отхвърля исковата претенция изцяло. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно и следва да бъде оставено в сила при следните коригиращи мотиви: Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В чл. 82 от Регламент (ЕС) 2016/679 са посочени трите необходими условия, за да възникне правото на обезщетение: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, но поради недоказаност на претърпените вреди иска е неоснователен. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата на чл. 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от първоинстанционния съд не доказват, че приложените мерки са подходящи за защита на личните данни В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В случая разкриването на лични данни в резултат на т.нар. хакерска атака не презюмира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Правилно съдът приема, че в настоящия случай не е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. На ищеца от първоинстанционния съд са дадени указания да докаже твърдените за претърпени неимуществени вреди. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищецът не доказва преживените негативни емоции, подробно описани в исковата молба. Показанията на разпитания по делото свидетел са много общи. От същите не може да се направи извод за настъпили неимуществени вреди. Свидетелят сочи, че ищецът се е притеснявал, но не е посочил как точно притеснението се е отразило на Х. и в какво точно се изразява, т. е. до какви негативни емоции е довело това притеснение. Ищецът не доказва и какви негови лични данни са достъпени неправомерно. За доказване изтичането на лични данни ищецът не ангажира доказателства, че по отношение на него е налице неправомерно разкриване на личните му данни. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищеца, както и че действително са претърпени неимуществени вреди, има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по чл. 82 ОРЗД не са по-неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищецът да докаже, че именно негови конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпял и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението следва да бъде оставено в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на юрисконсултско възнаграждение за настоящата инстанция, се явява основателна и следва да се уважи в размер на 100 лв. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, пето отделение