Решение № 5921 от 18.05.2021 г. на ВАС по адм. д. № 12931/2020 г.

Решение № 5921 от 18.05.2021 г. на ВАС по адм. д. № 12931/2020 г., V о., докладчик съдията Юлия Ковачева Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на Национална агенция за приходите срещу решение № 4982 от 25.09.2020 г. по адм. дело № 11181/2019 г. на Административен съд С. – град. С обжалваното решение Административен съд С.-град е осъдил по предявения иск с правно основание по член 79, параграф 1 и член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО/Общ регламент относно защитата на данните, Националната агенция за приходите да заплати на Й. Ч. сумата в размер на 600 /шестстотин/ лева, представляваща обезщетение за неимуществени вреди, настъпили от неправомерното бездействие на ответника да изпълни задължението си да защити по сигурен начин данните на ищеца като физическо лице, позволило неоторизиран достъп и разкриване на личните данни на ищеца, оповестено публично на 15.07.2019 г., заедно със законната лихва върху тази сума, считано от датата на подаване на исковата молба -16.09.2019 г. до окончателното изплащане на дължимото. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, като неоснователен. Съдът е осъдил всяка от страните да заплати следващите се разноски на другата страна съразмерно с уважената и отхвърлена част на исковата претенция. Решението в отхвърлителната част не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. Касационният жалбоподател поддържа, че обжалваното решение в осъдителната част е неправилно поради постановяването му при допуснати съществени нарушения на съдопроизводствените правила, неправилно приложение на материалния закон и необоснованост – касационни основания за отмяната му по чл. 209, т. 3 АПК. Излага доводи, че в производството по реда на чл. 203 и сл. АПК във вр. чл. 1 от Закона за отговорността на държавата и общините за вреди предмет на доказване следва да бъде установено конкретно деяние, представляващо неправомерно бездействие от администрацията на НАП, което е довело до безспорния резултат – изтичане на лични данни от базата данни, чийто администратор е НАП. Счита, че е в тежест на ищеца да докаже, че подходящите и ефективни организационни и технически мерки, които администрацията е длъжна да предприеме са останали неизпълнени или лошо изпълнени, поради което е претърпял неимуществени вреди. Тези обстоятелства са останали недоказани от ищеца в процеса и съдът неправилно е приел, че е осъществена първата предпоставка за уважаване на предявения иск. Поддържа, че съдът неправилно е разпределил тежестта на доказване между страните, което е довело и до неправилни изводи по съществото на спора. В тази връзка навежда оплаквания, че съдът не е обсъдил представените доказателства от касатора, че задълженията по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), член 24 и член 32 от Общия регламент са изпълнени от администратора на лични данни и не е налице неправомерно бездействие, довело до изтичане на лични данни на ищеца. Счита, че всеки администратор на лични данни може да стане обект на хакерска атака и престъпно посегателство и при такъв случай не съществува презумпция за противоправно поведение на администратора на лични данни, което да е довело или съпричинило противоправното деяние, за което да дължи обезщетение за вреди на засегнатия субект на лични данни. В подкрепа на доводите си за взети организационни и технически мерки представя писмени доказателства. На следващо място сочи, че съдът не е съобразил факта на образуваното пред Софийски районен съд административно наказателно дело № 14811/2019 г. по повод обжалването от НАП на наказателно постановление № 004 от 28.08.2019 г., издадено от председателя на Комисията за защита на лични данни във връзка с осъществен неоторизиран достъп до информационната система на НАП, което не е приключило с влязъл в сила съдебен акт. Касаторът прави възражения и по отношение наличието на втората изискуема предпоставка – претърпени неимуществени вреди от ищеца под формата на стрес, безпокойство и притеснение, които съответно да са в причинна връзка с твърдяното неправомерно бездействие на администратора на лични данни. Относно третата предпоставка – наличие на пряка причинно-следствена връзка, твърди, че няма такава между изтичането на личните данни на ищеца и реално предизвикано негативно емоционално състояние в резултат на това обстоятелство, а само хипотетични субективни притеснения. Евентуалните вреди са причинени по-скоро от публичното оповестяване в интернет пространството на достъпените по неправомерен начин лични данни, т. е. от опосредстващи факти, които изключват пряката причинна връзка между деянието и вредите. Намира също, че по делото не са представени убедителни доказателства, че в резултат на изтичането на лични данни на ищеца е настъпила негативна промяна в неговото поведение, поради което съдът неправилно и необосновано е приел, че претенцията за обезщетение на същите е частично основателна. При тези съображения, подробно развити в касационната жалба, писмени бележки и пледоария по същество, иска да се отмени обжалваното решение и се постанови друго, с което да се отхвърли изцяло исковата претенция. Претендира присъждане на разноски по делото. Ответникът по касационната жалба – Й. Ч., чрез пълномощника си, представя писмен отговор, в който поддържа, че обжалваното решение е правилно и не са налице касационни основания за отмяната му. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени доказателствения материал по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е неоснователна, по следните съображения: Производството пред Административен съд С. – град е образувано по предявения иск от Й. Ч. срещу Националната агенция за приходите, с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета, разгледан от съда по реда на чл. 203 АПК във вр. чл. 39, ал. 2 ЗЗЛД, за обезщетение за претърпени неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП и довело до публичното разкриване на личните данни на ищеца. С уточняваща молба от 22.10.2019 г. ищецът е заявил, че претендира присъждане на законната лихва върху търсеното обезщетение от 1000 лева, считано от момента на подаване на исковата молба. С уточняващата молба от 15.11.2019 г. е конкретизирал, че оспорва "бездействието на НАП да защити личните данни на ищеца и едновременно с това се предявява иск за обезщетение на причинените от това бездействие и предизвикано от него разпространение на личните му данни неимуществени вреди. " Първоинстанционният съд е установил, че в Комисията за защита на личните данни /КЗЛД/ не е налице висящо или приключило производство, инициирано от ищеца, което е условие за допустимост на предявения пред съда иск, съгласно чл. 39, ал. 4 ЗЗЛД. Административният съд е приел за установено от фактическа страна, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. По делото е приложена извадка от получен SMS, без дата и без номер, на който е изпратен, със следното съдържание: "НАП: По заявка номер 6290 ИМА неправомерно разкрити лични данни". От справка на НАП от 02.07.2020 г. е видно, че за идентификатор [ЕГН] (ЕГН на ищеца Й. Ч.) са разкрити лични данни, които включват ЕГН и имена; данни за изплатени доходи на физически лица за 2007 г.; данни от справка за изплатени доходи на ФЛ (чл. 73 ЗДДФЛ) за 2016 година. По делото са приети писмени доказателства, от които се установява, че след изтичането на лични данни от информационните масиви на НАП, последната е информирала за това Софийска градска прокуратура и Комисията за защита на личните данни. Във връзка с предприетите мерки за правомерно обработване и съхранение на личните данни ответната страна (касационен жалбоподател в настоящото производство) е представила следните писмени доказателства: Заповед № 3 ЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с която е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3. 0 от м. май 2016 г. Заповед № 3 ЦУ-1595, с която са утвърдени "Указания за обозначаване и работа с информацията, версия 3. 0". Утвърдена е Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Заповед № 3 ЦУ-586/30.04.2014 г. на изпълнителния директор на НАП, с която е наредено да се внедри СУСИ по стандарт БДС I. /I. 27001: 2006 в НАП. В НАП е изработена Методика за оценка на риска, версия 1, към м. декември 2013 г. Заповед № 3 ЦУ-121/30.01.2017 г., с която е утвърдена Методика за анонимизиране на индивидуални данни (Приложение № 1). По делото е предоставена информация от Комисията за защита на личните данни за това, че КЗЛД, като постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на ЗЗЛД (чл. 61, ал. 1 ЗЗЛД) е извършила проверка за изтеклата информация от информационните масиви на НАП, при която е установено, че при осъществяване на дейността си НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. За така установеното, председателят на КЗЛД е издал наказателно постановление против НАП за нарушение на член 32, параграф 1, б. "б" от Общия регламент относно защитата на личните данни. Наказателното постановление е обжалвано пред Софийския районен съд и не е влязло в сила. Отделно от това, предвид констатираните нарушения, с решение № ППН-02-399/22.08.2019 г. по описа на КЗЛД, на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки. Решението е оспорено пред АССГ, като е образувано адм. дело № 10477/2019 г., което е висящо и не е приключило с окончателен съдебен акт. Съдът с определение, постановено в съдебно заседание на 22.06.2020 г., е постановил, че предявеният иск следва да се квалифицира с правно основание член 79, параграф 1 и член 82, параграф 1 от Регламент (ЕС) 2016/679, докладвал е материалите по делото и е разпределил доказателствената тежест между страните, с дадени конкретни указания и задължения по събиране на доказателствата. Приел е, че с оглед въведеното фактическо основание на предявения осъдителен иск – бездействие на ответника да изпълни свои законови задължения, ищецът е в правното положение на ищец по отрицателен установителен иск и е в тежест на ответника да докаже отричаното от ищеца надлежно изпълнение на задълженията. Допуснал е служебно, на основание чл. 195, ал. 1, предл. 2-ро ГПК във вр. чл. 204, ал. 5 АПК извършването на съдебно техническа експертиза, с вещо лице със специалност "киберсигурност", като е дал възможност на ответника в 14-дневен срок да формулира задачи за експерта, с изрично указание, че ако откаже, съдът ще отмени определението си за допускане на експертиза и ще реши спора съобразно наличните по делото доказателства и носената от страните доказателствена тежест. С молба от 07.07.2020 г. НАП е представила изисканите писмени доказателства и информация и се е отказала от възможността да формулира задачи към вещо лице за извършване на съдебно техническа експертиза по съображения, че доказателствената тежест в тази насока е за ищеца и същият следва да докаже осъществяването на фактическия състав по чл. 1, ал. 1 ЗОДОВ. Съдът с определение, постановено в закрито съдебно заседание на 09.07.2020 г., е отменил определението си от 22.06.2020 г. за допускане на съдебно техническа експертиза, която да се извърши от вещо лице със специалност "киберсигурност". Съдът е събрал гласни доказателства, чрез разпит на свидетеля В. Ч., дъщеря на ищеца. Според показанията й, ищецът е изпитвал притеснения за изтеклите му лични данни, страхувал се да не стане злоупотреба с имуществото и парите от пенсията му, страхувал се да не се появят измамници, които притеснения се отразили на емоционалното му състояние и продължавали и към момента на свидетелстването. Съдът е приел, че впечатленията на свидетеля са преки и непосредствени и произтичат от комуникацията й с ищеца, поради което ги е кредитирал като обективни и достоверни. При тези фактически обстоятелства, които се възприемат изцяло от касационната инстанция, съдът правилно е приел от правна страна, че искът е допустим и частично основателен, като го е уважил за сумата от 600 лв. Правилно съдът е приел, че предявеният иск от Й. Ч. е допустим. Съгласно член 82, параграф 6 от Регламент (ЕС) 2016/679, съдебните производства във връзка с упражняването на правото на обезщетение при нарушаване на правата на субекта на лични данни, произтичащи от Регламента, се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни – чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни – чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност и притежавани качества (публични органи или частноправни субекти), по аргумент от § 1, т. 1 АПК. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора на лични данни е съответно на Общия регламент за защита на личните данни. Незаконосъобразността на акта, действието или бездействието, което е в пряка причинна връзка с претендираната вреда е основание за ангажиране на отговорността на извършителя и в този контекст чл. 39, ал. 2 ЗЗЛД дава правна възможност на субекта на данни да предяви и претенцията за обезщетение, която да бъде разгледана в същото производство. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета "Производство за обезщетения" на Административнопроцесуалния кодекс. Следователно, както правилно е приел съдът, правото да се претендира обезщетение за вреди, причинени от администратор на лични данни при или по повод обработване на лични данни на засегнатия субект се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на Административнопроцесуалния кодекс с препращане за неуредените въпроси към Закона за отговорността на държавата и общините за вреди и Гражданския процесуален кодекс. Правилно съдът е приел от правна страна, че разглежданата искова претенция е с правно основание член 79, параграф 1 от Общия регламент и член 82, параграф 1 от Общия регламент. Член 79, параграф 1 предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно член 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване – член 79, параграф 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в член 82, параграф 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. При обсъждане на правната квалификация на предявения иск и неговата основателност, касационният състав намира, че първоинстанционният съд неправилно е обсъждал разпоредби от Г. осма от закона, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, т. к. са неотносими към настоящия правен спор. Това обстоятелство обаче не рефлектира върху правилността на решението, предвид правилно определеното правно основание на иска с относимите разпоредби от Европейското право. Първоинстанционният съд правилно е приел, че са налице изискуемите предпоставки за основателност на предявения иск. Материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. Ето защо, съдът правилно е приел, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. доказано нарушение на Регламент (ЕС) 2016/679; 2. наличие на материална или нематериална вреда; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Административният съд правилно е приел, че ищецът носи доказателствата тежест съобразно правилата при предявен отрицателен установителен иск, т. е в негова тежест е било да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Съответно, ответната страна е следвало да установи, че е изпълнила задълженията си да защити по сигурен начин данните на ищеца, произтичащи от член 24 и член 32 от Общия регламент. Неоснователни са възраженията на касационния жалбоподател за допуснати съществени нарушения на съдопроизводствените правила поради неправилно разпределена доказателствена тежест между страните. Противно на доводите в касационната жалба, единствено ответникът е следвало да доказва изпълнението на действията, дължими по силата на посочените правни норми, които обезпечават защитимото право на ищеца и в този контекст съдът точно е разпределил доказателствената тежест между страните. По отношение установяването на първия елемент от фактическия състав на предявения иск, съдът коректно е указал на ответника, че за установяване изпълнението на задълженията за предприемане на подходящи и ефективни технически мерки са му необходими специални знания от специалност "киберсигурност", с които съдът не разполага, поради което му е дал възможност да формулира задачи за вещото лице по допусната служебно съдебно техническа експертиза. Административният съд, като се е позовал на изричния отказ на касационния жалбоподател (ответник в първоинстанционното производство) да бъде извършена такава експертиза, правилно е преценил, че "администраторът на лични данни" не е установил, че извършените от него действия, за които са представени само писмени доказателства, са били подходящи технически за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищеца. Тук трябва да се посочи, че допълнително представените с касационната жалба писмени доказателства относно предприетите от НАП мерки не обуславят по смисъла на чл. 219, ал. 1 от АПК наличието на касационни основания за отмяна на съдебното решение, а само съществуването на още документи, които не са представени своевременно пред първата инстанция. Отговорността на администратора на лични данни, съгласно член 24 от Общия регламент за защита на данните, който урежда общите задължения, е като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, да въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящия регламент. Тези мерки се преразглеждат и при необходимост се актуализират. По отношение на сигурността на обработването, в член 32, параграф 1 е предвидено, че като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност (...). В параграф 2 на член 32 е посочено, че при оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, по-специално от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. В съображение 74 на Регламента е посочено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. Член 82, параграф 3 от Регламента допуска администраторът на лични да се освободи от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на Регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството в резултат на извършения неправомерен пробив в информационната система на НАП. В светлината на цитираните правила, правилно е прието от административния съд, че е установен първият елемент от фактическия състав на предявения иск - бездействие за точно изпълнение на задължението по член 32 от Общия регламент относно защита на личните данни. Представените по делото писмени доказателства от касационния жалбоподател сочат на предприети организационни мерки, но не доказват по несъмнен начин, че същите са били в такава степен подходящи и ефективни, както и че са взети такива технически мерки, които са подходящи и ефективни по начин, който гарантира изискваното ниво на сигурност при обработването на личните данни в съответствие с Регламента. Съответно съдът правилно е приел, че събраният доказателствен материал по делото не обуславя извод, че са изпълнени изискванията на член 24 и член 32 от Регламента и не е налице основание администраторът на лични данни да бъде освободен от отговорност поради осъществяване на условието на член 82, параграф 3 от Общия регламент. Правилно съдът е приел, че са налице също втората и третата предпоставка за основателност на исковата претенция. Съдът точно е посочил, че защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. Съдът правилно е преценил, че е накърнено основно право на ищеца - физическо лице, от ответника като администратор на лични данни поради извършеното обработване на личните му данни, което нарушава Общия регламент - неприложени от администратора на лични данни подходящи технически мерки за осигуряване на ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, което е направило възможно пробива в информационните масиви на НАП. В резултат на нарушението, ищецът е изпитал неудобства, чувствал се е притеснен и несигурен, накърнени са били легитимните му очаквания спрямо държавата за сигурност в личната и имуществената му сфера, предвид общодостъпната информация и възможни злоупотреби с личните му данни за напред. Съдът правилно е кредитирал показанията на свидетеля като достоверни, както и че същите сочат за отрицателни преживявания и негативно емоционално състояние на ищеца, което е провокирано от нарушението на Регламента при обработване на личните му данни от касационния жалбоподател, в качеството му на администратор на лични данни. Съдът правилно е приел, че с оглед спецификата на непозволеното увреждане в резултат на неправомерно обработване на лични данни на засегнатия субект, следва да се обезщетят причинените неимуществени вреди, изразяващи се в притеснението от бъдещи евентуални злоупотреби с личните данни на ищеца и е отхвърлил възраженията на ответника в обратна насока, поддържани и в касационната жалба. Следва да се споделят съображенията на съда, че ищецът може да претендира обезщетение за неимуществените вреди от бездействието на ответника да изпълни задължението си да защити по сигурен начин данните му като физическо лице. Нематериалните вреди настъпват в резултат от нарушаването сигурността на данните, като в съображения 146 от Регламента е посочено, че понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. На плоскостта на това съображение, съдът правилно е приел, позовавайки се и на съдебната практика по приложението на чл. 2 ЗОДОВ, че нематериални вреди са налице и при преживени отрицателни, негативни състояния, свързани с притеснения от допуснатия пробив в сигурността на обработване на личните данни, като същите не са хипотетични и евентуални, както поддържа касаторът, нито е необходимо да бъде доказан реален страх от реална съществуваща заплаха от увреждане на имущество или претърпяна реална вреда. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо (личните данни) е достатъчно, за да се ангажира отговорност на администратора на лични данни, който има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основни права. При положение, че по делото е установено, че в резултат на изтичане на личните му данни, ищецът е преживял стрес и изпитвал негативни емоции, съдът обосновано е намерил, че е налице причинна връзка между нарушението по член 82, параграф 1 от Регламента и претърпените нематериални вреди, следователно е изпълнен фактическият състав, обуславящ основателността на иска за присъждане на обезщетение за претърпените нематериални вреди в резултат на нарушението на правилата за защита на личните данни. Правилно и обосновано съдът е отхвърлил доводите на касатора, че липсва пряка причинно следствена връзка между изтичането на личните данни на касационния ответник и претърпените нематериални вреди от същия, т. к. първото е в резултат на извършения неправомерен пробив от външно лице в информационната система на НАП. Съдът вярно е посочил, че въпросът дали проведената хакерска атака от външно лице осъществява състав на престъпление е ирелевантен по делото, т. к. същественото е дали администраторът на лични данни е приложил подходящи технически и организационни мерки, по начин, който би го освободил от отговорност за събитието, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. Съдът е обсъдил изложените съображения от касатора в тази насока и правилно е подчертал, че проявеното бездействие на ответника да изпълни задълженията си по гарантиране сигурността на личните данни на засегнатия субект (процесуална последица от непроведеното от него успешно пълно доказване на надлежно изпълнение на задължението му за сигурност на обработването) е в пряка причинна връзка с настъпилите нематериални вреди за последния. Неоснователни са също доводите на касатора за наличие на висящо производство пред Софийския районен съд по обжалване на наказателното постановление, с което е санкциониран администраторът на лични данни, предвид липсата на идентичност на предмета на двете производства, както и на преюдициалност на производството пред съда по повод наложените принудителни административни мерки от надзорния орган, и претенцията на ищеца като физическо лице за обезщетение, предявена пред съда. В тази връзка трябва да се подчертае разграничението между незаконосъобразността на бездействието на касатора при осъществяване на административната дейност по обработване на личните данни като материално правно условие за основателност на претенцията и като основание за налагането на принудителни административни мерки и административни санкции за това нарушение от надзорния орган. Както се посочи, съгласно правилото на член 79, параграф 1 от Общия регламент за защита на личните данни, субектът на данни разполага с право на ефективна съдебна защита, независимо от наличните административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган, т. е. не е възможно да бъде отречено правото му да предяви осъдителен иск за обезщетение, гарантирано от Общия регламент за защита на личните данни поради висящ съдебен спор между администратора на лични данни и надзорния орган, т. к. това би представлявало поставяне на допълнително условие от националното право, в нарушение на принципите на равностойност и ефективност. Съдът правилно е приел, че оценката на интензитета на претърпените неимуществени вреди обуславя извод за частична основателност на претендираното обезщетение за същите. Обезщетението за неимуществени вреди се присъжда по справедливост, съгласно чл. 52 ЗЗД. Размерът на обезщетението за неимуществени вреди се определя с оглед характера на същите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние като следствие от тях. Също така, размерът на обезщетението не следва да бъде и източник на обогатяване за пострадалия, т. е. следва да бъде съобразен със стандарта на живот в обществото. В този контекст, съдът обосновано е приел, че обезщетение в размер на 600 лв. е съразмерно на претърпените неимуществени вреди, отговаря на конкретните данни по делото и е в съответствие с обществените представи за справедливост. Поради това решението на административния съд в осъдителната част за сумата 600 лв. е правилно и обосновано. Предвид изложеното, обжалваното решение е правилно и обосновано, не са налице сочените касационни основания за отмяната му, поради което следва да се остави в сила. С оглед изхода на спора и своевременно направеното искане за присъждане на разноски от пълномощника на касационния ответник, на адвокат С. Ю. следва да бъдат присъдени разноски за касационната инстанция, представляващи адвокатско възнаграждение. В договора за правна помощ е посочено, че договореното възнаграждение е безплатно на основание чл. 38, ал. 1, т. 3, предложение второ от Закона за адвокатурата - защита на близки или на друг юрист и на това основание са поискани от съда. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати. Минималният размер на адвокатското възнаграждение е регламентиран в Наредба 1/2004 година за минималните размери на адвокатските възнаграждения, като приложимата разпоредба е тази на чл. 8, ал. 1, т. 1 (Нова – ДВ, бр. 84 от 2016 г.), съгласно която за процесуално представителство, защита и съдействие по административни дела с определен материален интерес до 100 лева е 300 лв. Съобразно уважената част от иска в размер на 600 лева, дължимото се адвокатско минимално възнаграждение е 150 лева. С оглед на това Национална агенция за приходите следва да заплати на адвокат С. Ю. разноски в размер на 150 лева. Водим от горното и на основание чл. 221, ал. 2 АПК, Върховният административен съд, пето отделение,