Решение № 9649 от 13.10.2025 г. на ВАС по адм. д. № 4819/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Н. Б. И., чрез адв. С. Юрукова срещу Решение 1137/11.01.2025 г. на Административен съд София-град /АССГ/, постановено по адм. дело 11189/2019 г. С обжалваното решение е отхвърлен искът на Н. Б. И. срещу Национална агенция за приходите/НАП/ с искане за заплащате на обезщетение за претърпени неимуществени вреди в размер на 1000 лева от незаконосъобразно бездействие и Н. Б. И. е осъден да заплати разноски по делото. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 от АПК. Съдът неправилно е приел, че не са налице другите предпоставки за уважаване на иска претърпените от ищеца неимуществени вреди и причинната връзка между вредите и незаконосъобразното бездействие на НАП. Касаторът твърди, позовавайки се на съдебна практика на Върховния касационен съд, че наличието на неимуществени вреди от незаконосъобразни действия/бездействия не следва да се доказват. Моли обжалваното решение да бъде отменено и се постанови ново, с което да се уважи предявеният иск. Претендира разноски за двете съдебни инстанции. В открито съдебно заседание касаторът не се явява и не се представлява. Постъпила е писмена молба от адв. Юруков, процесуален представител на ищеца, с която поддържа касационната жалба, оспорва писмения отговор по нея и прави доказателствено искане. Ответникът по касация Национална агенция за приходите, чрез юрк. Младенов оспорва касационната жалба по съображения, изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за настоящата инстанция. В открито съдебно заседание ответникът не се представлява. Представителят на Върховната касационна прокуратура дава мотивирано заключение за допустимост и неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна. Производството пред АССГ е образувано по предявен иск от Н. Б. И. срещу НАП за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни /ЗЗЛД/, чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/, наричан по - нататък Регламент /ЕС/ 2016/679 или ОРЗД , заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане. Първоинстанционният съд е приел за безспорно между страните, че поради нерегламентиран достъп в следствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. За доказване изтичането на лични данни ищецът е ангажирал единствено копие от екранно изображение /screenshot/ на получено кратко текстово съобщение: НАП: По заявка номер 8170 ИМА неправомерно разкрити лични данни. 22:10 . От събраните доказателства не се установява кой е направил заявката с 8170 и дали неправомерно разкритите данни са именно на ищеца Н. Б. И.. В съответствие с указанията на съда, ответникът е представил по делото Справка от 04.12.2020 г. със следното съдържание: За [идентификатор] има разпространени данни, които включват: - ЕГН и имена; - Данни от справка за изплатени доходи за физически лица /чл.73 от ЗДДФЛ/ за 2012 г. . Справката не съдържа индивидуализиращи данни за нейния издател. За доказване на претендираните от ищеца по делото неимуществени вреди е допуснато събирането на гласни доказателства. Поради процесуално бездействие на ищеца допуснатият свидетел Р. П. е бил заличен с протоколно определение от 08.02.2021 г.. Съдът е констатирал, че видно от отразеното в призовката, на посочения от ищеца адрес на живее свидетелят Р. П.. С Определение 4731/28.06.2021 г. съдът е спрял производството по адм. дело до постановяване на Решение от Съда на Европейския съюз по дело С-340/2021, образувано по преюдициално запитване на Върховния административен съд по адм. дело 1037/2021 г. След възобновяване на адм. дело с Определение 1201/01.02.2024 г. съдът е дал възможност на ищеца да ангажира свидетелски показания, като доведе свидетел в следващото съдебно заседание. С протоколно определение от 08.04.2024 г. съдът е заличил допуснатия свидетел, като е констатирал, че е постъпила молба от адв. И. Юруков за изслушване на свидетел, без да са приложени доказателства за надлежното преупълномощаване на адв. И. Юруков от адв. С. Юрукова. При положение, че доказателственото искане за разпит на свидетел е направено от лице, което не е упълномощено от ищеца, то правилно първоинстанционният съд е оставил без уважение същото. За установяване на относимите към спора факти по делото са били приети от ответника следните писмени доказателства Заповед ЗЦУ-586/30.04.2014 г. изпълнителният директор на Агенцията е наредил, считано от 01.05.2014 г. в НАП да се внедри Система за управление на сигурността на информацията по стандарт БДС ISO/IEC 27001:2006, която включва изрично и изчерпателно посочените документи, съгласно т.1.1. т.1.9. През 2016 г. са били утвърдени Вътрешни правила за оборот на електронни документи и документи на хартиен носител /Заповед ЗЦУ-535/11.05.2016г./. На 17.06.2016г. със Заповед ЗЦУ-733 Изпълнителният директор на Агенцията е утвърдил и Процедури, с приложения към тях, на Отдел Превенция на финансовата и информационна система в Инспекторат на НАП; Вътрешни правила за мрежовата и информационна сигурност , както и Политика по информационна сигурност на НАП . Със Заповед ЗЦУ-1596/29.11.2017г. изпълнителният директор на НАП е утвърдил Указания за унищожаване на информация и информационни носители в НАП , заедно със съответни приложения и Описание на методите и минималните препоръки за санитарна обработка /саниране/ на данни и софтуер . Със Заповед ЗЦУ-1436/15.10.2018г. изпълнителният директор на НАП е утвърдил: Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл.10, ал.1, т.5 и т.7 от Закона за Националната агенция за приходите /ЗНАП/ , Указания за обозначаване и работа с информация , Указания за попълване на образци на процедура , Указания за попълване на образеца на инструкция и др. За установяване на твърдените от него факти и за установяване на твърдените от ответника факти и обстоятелства същия е представил следните писмени доказателства: Указания за обозначаване и работа с информацията; Правила за използване на електронна поща в Интернет на НАП; Правила за ползване на мрежови файлови ресурси; Правила за правата и задълженията на потребителите, ползващи информационни активи в НАП; Правила за работа от разстояние в НАП; Правила за работа с преносими информационни активи в НАП; Правила за управление на достъпа до информационни активи и услуги в НАП всички без указани дата на приемане и орган, който ги е издал; Списък на видовете операции по обработване на лични данни за които се изисква извършване на оценка за въздействието върху защитата на данните съгласно чл.35, §4 от Регламент /ЕС/ 2016/679; Указания за унищожаване на информация и информационни носители в НАП; Описание на методите и минималните препоръки за санитарна обработка /саниране/ на данни и софтуер; Вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП; Методика за анонимизиране на индивидуални данни от м. януари 2017 г.; Инструкция 2/08.05.2020г. за мерките и средствата за защита на личните данни и реда за движение на преписки и заявяване на регистри. Политика по информационна сигурност на НАП от м. май 2016 г. Въз основа на така установените факти съдът е приел, че искът с правно основание чл.82, §1 Регламент /ЕС/ 2016/679 е допустим, но неоснователен. Съдът e посочил, че в случая исковата претенция се основава на незаконосъобразно бездействие, изразяващото се в неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита, в нарушение на разпоредбите на чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 Приел, че в исковото производство не е установено по безспорен начин, че всички елементи от фактическия състав на чл. 1, ал. 1 от ЗОДОВ са налице. Правилно АССГ е приел, че въпреки представените по делото доказателства ответникът не се е справил с доказателствената тежест. В процесния случай ответникът не е ангажирал доказателства, от които да се направи еднозначен извод, че в качеството му на администратор на лични данни, е идентифицирал всички възможни рискове и е приложил най-подходящите и ефективни мерки за сигурност. Действително, с приетите по делото писмени доказателства се установява, че в един продължителен период от време администраторът формално е предприемал действия за осигуряване на защита на данните които обработва, като е утвърждавал множество правила, процедури, указания, методики и други. АССГ е посочил, че в случая е налице първият елемент от фактическия състав на непозволеното увреждане - бездействие на НАП, като администратор на лични данни да изпълни задълженията, установени в чл.24 и чл.32 от Регламент /ЕС/ 2016/679 за прилагане на технически и организационни мерки за осигуряване на ниво на сигурност при обработване на личните данни съобразено с естеството, обхвата, контекста и целите на обработването и с идентифицираните рискове с различна вероятност. От друга страна съдът е посочил, че ищецът не е доказал наличието на претендираните неимуществени вреди, тъй като не е ангажирал каквито и да е било доказателства, от които по безспорен начин да следва, че за него са настъпили неимуществени вреди, които са пряка и непосредствена последица от незаконосъобразни бездействия на служители на НАП при изпълнение на административната им дейност. Решението е правилно. Съдът правилно е приел, че предявеният иск е с правно основание чл. 82, параграф 1 от Регламент /ЕС/ 2016/679, във връзка с чл. 39 от ЗЗЛД. Предвид чл. 82 от Регламент /ЕС/ 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент /ЕС/ 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. Регламент /ЕС/ 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата на чл. 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. Съдът правилно е приел, че в процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от съда, не доказват, че приложените мерки са подходящи за защита при обработване на личните данни. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни, поради което съдът правилно и законосъобразно е приел наличието на първата предпоставка. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В този смисъл правилно първоинстанционният съд е посочил, че разкриването на лични данни в резултат на т.нар. хакерска атака не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Правилно съдът е приел, че е в процесния случай не е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т.6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение /т. 1/. Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост /т. 2/. Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищецът не е ангажирал доказателства за преживени негативни емоции, подробно описани в исковата молба, същият не е доказал и какви негови лични данни са достъпени неправомерно. По делото е представено единствено копие от екранно изображение на полученото кратко текстово съобщение и справка от НАП, без посочен издател на същата. Съдът правилно е приел,че не се установява кой е направил заявката с 8170 и дали неправомерно разкритите данни са именно на ищеца Н. И.. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищеца, както и че действително са претърпени неимуществени вреди имат за последица недоказаност на втория елемент от фактическия състав на отговорността. Тъй като трите елемента са кумулативно дадени в чл.82 от ОРЗД, липсата на доказаност на който и да е от тях има за правна последица неоснователност на иска, в какъвто смисъл е решението на съда. Съдът не е допуснал съществено нарушение на съдопроизводствените правила спрямо ищцата, защото тежестта на доказване правилно е разпределена и дадените й указания по отношение на втория елемент от фактическия състав са правилни. Вредите не се презумират и съдебната практика на ВКС е неотносима към спора. Правилата за доказателствената тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 от ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципа на равностойност и принципа на ефективност ще са спазени, като е необходимо ищецът да докаже, че именно негови конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпял и в какво точно се изразяват те. В случая съдът правилно е приел, че ищецът не се е справил с доказателствената тежест да установи, че е претърпял вреди.Липсата на доказателства какви точно лични данни са изтекли и в какво се изразяват претърпените неимуществени вреди. По изложените съображения обжалваното решение, като правилно следва да бъде оставено в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на юрисконсултско възнаграждение за настоящата инстанция, се явява основателна и на основание чл.37 от Закона за правната помощ /ЗПП/ и чл.24 от Наредбата за заплащането на правната помощ, на ответника да се присъди юрисконсултско възнаграждение в размер на 100 лв. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо от АПК, Върховният административен съд, Пето отделение