Решение № 548 от 21.1.2025 г. на ВАС по адм. д. № 9462/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите срещу Решение 2441/12.04.2024 г. на Административен съд София-град (АССГ), постановено по адм. дело 4968/2021 г., в частта, в която Национална агенция за приходите е осъдена да заплати на Й. В. Т. сумата от 500 (петстотин) лева, за периода 15.07.2019 г. 16.09.2019 г., заедно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане, на основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), сумата от 7,50 лв. на основание чл. 10, ал. 3 от ЗОДОВ и в частта, в която НАП е осъдена да заплати на адв. С. Юрукова сумата от 600 лв. на основание чл. 38, ал. 2 Закона за адвокатурата (ЗА). Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага съображения в подкрепа на твърденията си, че не е налице бездействие от страна на НАП при неоторизирания достъп до личните данни. Счита, че съдът неправилно е приел, че в процесния случай е налице твърдяното незаконосъобразно бездействие на НАП, което да обоснове наличието на първата предпоставка за възникване на правото на обезщетение в хипотезата на чл. 1, aл. 1 ЗОДОВ. Счита за неправилни и изводите на съда по отношение на втората предпоставка за възникване на правото на обезщетение, а именно, че негативните емоции са в следствие на неоторизирания достъп. Твърди, че Т. не е извършил проверка кои негови данни са изтекли. Моли решението в обжалваната му част да се отмени и се постанови ново, с което се отхвърли изцяло иска на Й. Т.. Претендира юрисконсултско възнаграждение. Касационният жалбоподател се представлява от юрк. Танев. Ответникът по касация Й. В. Т. оспорва касационната жалба по съображения изложени в писмен отговор. Моли решението в обжалваната му част да се остави в сила. Претендира разноски за настоящата инстанция. Представя списък на разноските и писмена защита. Претендира заплащане на адвокатско възнаграждение при условията на чл. 38 от Закона за адвокатурата (ЗА). Ответникът по касация се представлява от адв. Юрукова и адв. Юруков. По делото е подадена и частна жалба от Национална агенция за приходите, срещу определение 7890/07.06.2024 г. по описа на АССГ по адм. дело 4968/2021 г., с което е оставена без уважение молбата на НАП за изменение на решение 2441 от 12.04.2024 г. в частта за разноските. Частния жалбоподател иска отмяна на обжалваното определение и допълване на цитираното решение в частта за разноските, представляващи юрисконсултско възнаграждение в размер на 50 лв. Претендира присъждане на разноски за настоящата инстанция. Ответника по частната жалба - Й. В. Т., чрез процесуален представител оспорва същата и моли съда да остави без уважение исканията на частния жалбоподател. Представителят на Върховната прокуратура дава мотивирано заключение за основателност на касационната жалба и неоснователност на частната жалба. Върховният административен съд (ВАС), състав на Пето отделение, при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема че касационната жалба е допустима, като подадена в срок и от надлежна страна. Разгледана по същество касационната жалба е основателна. Производството пред АССГ е образувано по предявен иск от Й. Т. срещу НАП за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода 15.07.2019 г. - 16.09.2019 г., в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното й изплащане. С Решение 5729/12.05.2021 г. на Върховния административен съд (ВАС), постановено по адм. дело 8958/2020 г. е отменено Решение 3780/10.07.2020 г. на АССГ, постановено по адм. дело 11285/2019 г. и делото е върнато за ново разглеждане от друг състав на АССГ, съобразно дадените указания по тълкуване и прилагане на закона. Първоинстанционният съд е приел, че искът е допустим и частично основателен. АССГ намира, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 от ОРЗД. АС приема за осъществена и доказана и втората предпоставка за ангажиране на отговорността на НАП, а именно претърпяната вреда на Т. от незаконосъобразното бездействие на агенцията, както и наличието на причинно - следствена връзка между настъпилите неимуществени вреди за Т. и установеното незаконосъобразно фактическо бездействие на ответника. Изложил е съображения, че за да е основателен предявеният иск за обезщетение следва да са налице следните предпоставки: 1. Нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679; 2. Причинена материална или нематериална вреда; 3. Причинна връзка между нарушението на правата по регламента и причинената вреда. За да уважи частично иска е приел, че и трите предпоставки са налице. Решението е неправилно по следните съображения: Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на чл. 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно първоинстанционният съд е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Цитираната разпоредба е неотносима към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Разпоредбата на чл. 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, параграф 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези чл. 24 и чл. 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че чл. 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т.10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. В съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Неправилно съдът е приел, че са налице втората и третата предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че чл. 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че чл. 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1).