Решение № 9293 от 25.8.2021 г. на ВАС по адм. д. № 8960/2020 г.

Б. Стефанов Гъргов е подал касационна жалба против решение 3782/10.07.2020г. по адм.дело 11313/2019 г. по описа на Административния съд-град София, с което е отхвърлен предявеният от него против Националната агенция за приходите иск с правно основание чл. 1, ал. 1 ЗОДОВ за присъждане на обезщетение в размер на 1000 лева за неимуществени вреди. Направени са оплаквания за неправилност на решението поради съществени нарушения на съдопроизводствените правила, необоснованост и нарушение на материалния закон и е поискано да бъде отменено с постановяването на друго, с което искът да бъде изцяло уважен и се присъдят направените разноски. Националната агенция за приходите е поискала отхвърляне на жалбата и присъждане на разноски. Представителят на Върховната административна прокуратура е дал мотивирано заключение, че решението е правилно и следва да се остави в сила. Върховният административен съд, като провери правилността на решението с оглед направените касационни оплаквания, прие следното: Административният съд е установил, че на 15.07.2019г. е извършен пробив в електронната база данни на Националната агенция за приходите, при което неправомерно е придобита голям обем информация, съдържаща лични данни на български граждани - имена, ЕГН и адреси, телефони, електронни адреси и други. Във връзка с твърденията на ищеца, че публичното неправомерно оповестяване на лични данни се дължи на незаконно бездействие на Националната агенция за приходите, административният съд отбелязал, че такива доказателства по делото не са представени, поради което няма основание за ангажиране на имуществената отговорност на ответника по чл.1, ал.1 ЗОДОВ. Съдът посочил, че с определение от 10.10.2020 г. е дал указания на ищеца да уточни кои конкретни действия/бездействия на административен орган или длъжностни лица от Националната агенция за приходите са довели до настъпване на твърдените вреди. С молба от 24.10.2019 г. процесуалният представител на ищеца заявил, че Националната агенция за приходите не е положила достатъчна грижа и не е изпълнила задълженията си по чл.24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО, и чл.59 от Закона за защита на личните данни. С определение от 28.04.2020 г. съдът дал възможност на страните да ангажират доказателства, включително, като поискат назначаването на компютърна експертиза. С молба от 22.05.2020г. процесуалният представител на ищеца уведомил съда, че делото е изяснено и не е необходимо да се допуска експертиза, тъй като изтичането на данни само по себе си е указание за незаконно бездействие на администрацията. Според изложените от административния съд мотиви, следва да се установи конкретно деяние, което е довело до изтичането на лични данни от базата, чийто администратор е Националната агенция за приходите, като се изследва и хипотезата за наличието на необходимост от въвеждане на конкретна система, софтуер, методика или какъвто и да е друг технически способ, посредством които да се избегне възможността за пробив в системата. При назначаване на експертиза биха могли да се установят конкретни пропуски при организацията и експлоатацията на конкретния софтуерен продукт, които да са станали причина за реализирания неоторизиран достъп. Същевременно от представените от ответника писмени доказателства не се установявала непроявена грижа за защита на личните данни на лицата-разработени са технически процедури по идентификация на потребителите с електронен подпис, персонален идентификационен код, издаван от агенцията, тест за сигурност за разграничаване на компютри от хора, действаща процедура ИС 17, версия В, Администриране на информационната система в Националната агенция за приходите, извършвано е тестване на системата със специализирано техническо средство, предназначено за мониторинг и идентифициране на уязвимости в информационните активи. При изясняването на обстоятелствата следвало да се вземат предвид и противоправните действия на трети лица, разследвани за престъпление, като наказателното производство още не е приключило. Рисковете от неправомерен достъп не биха могли изцяло да бъдат избегнати, с оглед на което задължението на администратора е за свеждането им до възможния минимум. Съдът изтъкнал, че, макар това да би допринесло за изясняване на обстоятелствата по случая, няма право да се позове на решение ППН-02-399 от 22.08.2019г. на Комисията за защита на личните данни, тъй като то не е влязло в сила. В заключение административният съд отбелязал, че нерегламентираният достъп не е еднозначно следствие и не доказва причината за себе си, поради което ищецът бил длъжен да установи наличието на несъответни на необходимостта организационни мерки или технологии. Тъй като това не било сторено, административният съд отхвърлил предявения от Б. Гъргов иск срещу Националната агенция за приходите. Касационната инстанция намира, че при разглеждането на делото са допуснати съществени нарушения на съдопроизводствените правила, вследствие на което делото е решено при неизяснена фактическа обстановка. Първоинстанционният съд законосъобразно е разпределил доказателствената тежест и е дал указания на страните за събиране на доказателства в подкрепа на застъпваните от тях тези. Съдът правилно е указал на ищеца въвеждането на конкретни твърдения за това в какво се изразяват допуснатите от страна на ответника нарушения. Позоваването на нарушения на нормите на чл.59 ЗЗЛД, чл.24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО, само по себе си не е достатъчно, още повече че тези норми са бланкетни и твърдението, че са били нарушени, не дава посока на процеса на доказване. При наличието на указания, които не са били изпълнени, съдът е следвало да прекрати производството поради неотстраняване нередовности в съдържанието на исковата молба в законния седемдневен срок, вместо многократно да дава указания, които не се изпълняват. Касационната инстанция споделя съображенията на първоинстанционния съд, че самият факт на публично оповестяване на лични данни на физически лица в резултат на неправомерно проникване в системата на Националната агенция за приходите не може да се приравни на проявено от институцията незаконно бездействие. По делото са представени доказателства, които сочат, че Националната агенция за приходите е предприела организационни и технически мерки за защита на личните данни. Съдът законосъобразно е отчел и наличието на противоправно деяние от страна на трето лица, пряко свързано с вредоносния резултат. Не е било установена обаче конкретната причина за проникването в базата "данни" на Националната агенция за приходите и могъл ли е нерегламентираният достъп да бъде предотвратен. Тъй като административният съд е задължен и служебно да събира доказателства, следвало е да се назначи компютърна експертиза, щом е преценил, че тя е необходима за изясняване на спорните обстоятелства или да спре производството до приключването на съдебното оспорване на акта, издаден от Комисията за защита на личните данни, в зависимост от връзката между делата. Съгласно чл.82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или от обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания. С оглед констатираните касационни основания решението е неправилно и следва да се отмени с връщане на делото за ново разглеждане от друг състав. Тъй като разглеждането на делото продължава, разноски на страните не се присъждат. По изложените съображения и на основание чл. 222, ал. 2, т.1 АПК Върховният административен съд Националната агенция за приходите е поискала отхвърляне на жалбата и присъждане на разноски. Представителят на Върховната административна прокуратура е дал мотивирано заключение, че решението е правилно и следва да се остави в сила. Върховният административен съд, като провери правилността на решението с оглед направените касационни оплаквания, прие следното: Административният съд е установил, че на 15.07.2019г. е извършен пробив в електронната база данни на Националната агенция за приходите, при което неправомерно е придобита голям обем информация, съдържаща лични данни на български граждани - имена, ЕГН и адреси, телефони, електронни адреси и други. Във връзка с твърденията на ищеца, че публичното неправомерно оповестяване на лични данни се дължи на незаконно бездействие на Националната агенция за приходите, административният съд отбелязал, че такива доказателства по делото не са представени, поради което няма основание за ангажиране на имуществената отговорност на ответника по чл.1, ал.1 ЗОДОВ. Съдът посочил, че с определение от 10.10.2020 г. е дал указания на ищеца да уточни кои конкретни действия/бездействия на административен орган или длъжностни лица от Националната агенция за приходите са довели до настъпване на твърдените вреди. С молба от 24.10.2019 г. процесуалният представител на ищеца заявил, че Националната агенция за приходите не е положила достатъчна грижа и не е изпълнила задълженията си по чл.24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО, и чл.59 от Закона за защита на личните данни. С определение от 28.04.2020 г. съдът дал възможност на страните да ангажират доказателства, включително, като поискат назначаването на компютърна експертиза. С молба от 22.05.2020г. процесуалният представител на ищеца уведомил съда, че делото е изяснено и не е необходимо да се допуска експертиза, тъй като изтичането на данни само по себе си е указание за незаконно бездействие на администрацията. Според изложените от административния съд мотиви, следва да се установи конкретно деяние, което е довело до изтичането на лични данни от базата, чийто администратор е Националната агенция за приходите, като се изследва и хипотезата за наличието на необходимост от въвеждане на конкретна система, софтуер, методика или какъвто и да е друг технически способ, посредством които да се избегне възможността за пробив в системата. При назначаване на експертиза биха могли да се установят конкретни пропуски при организацията и експлоатацията на конкретния софтуерен продукт, които да са станали причина за реализирания неоторизиран достъп. Същевременно от представените от ответника писмени доказателства не се установявала непроявена грижа за защита на личните данни на лицата-разработени са технически процедури по идентификация на потребителите с електронен подпис, персонален идентификационен код, издаван от агенцията, тест за сигурност за разграничаване на компютри от хора, действаща процедура ИС 17, версия В, Администриране на информационната система в Националната агенция за приходите, извършвано е тестване на системата със специализирано техническо средство, предназначено за мониторинг и идентифициране на уязвимости в информационните активи. При изясняването на обстоятелствата следвало да се вземат предвид и противоправните действия на трети лица, разследвани за престъпление, като наказателното производство още не е приключило. Рисковете от неправомерен достъп не биха могли изцяло да бъдат избегнати, с оглед на което задължението на администратора е за свеждането им до възможния минимум. Съдът изтъкнал, че, макар това да би допринесло за изясняване на обстоятелствата по случая, няма право да се позове на решение ППН-02-399 от 22.08.2019г. на Комисията за защита на личните данни, тъй като то не е влязло в сила. В заключение административният съд отбелязал, че нерегламентираният достъп не е еднозначно следствие и не доказва причината за себе си, поради което ищецът бил длъжен да установи наличието на несъответни на необходимостта организационни мерки или технологии. Тъй като това не било сторено, административният съд отхвърлил предявения от Б. Гъргов иск срещу Националната агенция за приходите. Касационната инстанция намира, че при разглеждането на делото са допуснати съществени нарушения на съдопроизводствените правила, вследствие на което делото е решено при неизяснена фактическа обстановка. Първоинстанционният съд законосъобразно е разпределил доказателствената тежест и е дал указания на страните за събиране на доказателства в подкрепа на застъпваните от тях тези. Съдът правилно е указал на ищеца въвеждането на конкретни твърдения за това в какво се изразяват допуснатите от страна на ответника нарушения. Позоваването на нарушения на нормите на чл.59 ЗЗЛД, чл.24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО, само по себе си не е достатъчно, още повече че тези норми са бланкетни и твърдението, че са били нарушени, не дава посока на процеса на доказване. При наличието на указания, които не са били изпълнени, съдът е следвало да прекрати производството поради неотстраняване нередовности в съдържанието на исковата молба в законния седемдневен срок, вместо многократно да дава указания, които не се изпълняват. Касационната инстанция споделя съображенията на първоинстанционния съд, че самият факт на публично оповестяване на лични данни на физически лица в резултат на неправомерно проникване в системата на Националната агенция за приходите не може да се приравни на проявено от институцията незаконно бездействие. По делото са представени доказателства, които сочат, че Националната агенция за приходите е предприела организационни и технически мерки за защита на личните данни. Съдът законосъобразно е отчел и наличието на противоправно деяние от страна на трето лица, пряко свързано с вредоносния резултат. Не е било установена обаче конкретната причина за проникването в базата "данни" на Националната агенция за приходите и могъл ли е нерегламентираният достъп да бъде предотвратен. Тъй като административният съд е задължен и служебно да събира доказателства, следвало е да се назначи компютърна експертиза, щом е преценил, че тя е необходима за изясняване на спорните обстоятелства или да спре производството до приключването на съдебното оспорване на акта, издаден от Комисията за защита на личните данни, в зависимост от връзката между делата. Съгласно чл.82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или от обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания. С оглед констатираните касационни основания решението е неправилно и следва да се отмени с връщане на делото за ново разглеждане от друг състав. Тъй като разглеждането на делото продължава, разноски на страните не се присъждат. По изложените съображения и на основание чл. 222, ал. 2, т.1 АПК Върховният административен съд