Решение № 2923 от 20.3.2025 г. на ВАС по адм. д. № 9642/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП), чрез юрк. Танев, против решение 5954/22.05.2024 г., постановено по адм. д. 5592/2021 г. по описа на Административен съд София-град (АССГ), в частта с която НАП е осъдена да заплати на М. Д. сумата от 500 лева, представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата, в частта, в която НАП е осъдена да заплати на М. Д. сумата от 20 лв., на основание чл. 10, ал. 3 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) и в частта, в която НАП е осъдена да заплати на адв. С. Юрукова сумата от 600 лева, на основание чл. 38, ал. 2 от Закона за адвокатурата (ЗА). Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че съдът неправилно е приел, че е налице незаконосъобразно бездействие на НАП, което да обоснове първата предпоставка за възникването на правото на обезщетение. Твърди, че неправилно съдът възприема и наличие на втората и третата предпоставка, тъй като ищецът не е доказал какви са конкретно личните данни, които са разкрити, както и че съдът не е изследвал в цялост причинната връзка между състоянието, което се твърди и причината, която се сочи от ищеца. Иска решението да бъде отменено и да се постанови ново, с което се отхвърля иска срещу НАП като неоснователен и недоказан. Претендира юрисконсултско възнаграждение за настоящата инстанция. Ответникът по касация - М. А. Д., чрез процесуален представител адв. С. Юрукова оспорва касационната жалба по съображения в писмен отговор и писмена молба. Претендира разноски по представен списък. По делото е подадена и частна жалба от Национална агенция за приходите, срещу определение 12210/17.07.2024 г. по описа на АССГ, постановено по адм. дело 5592/2021 г., с което е оставена без уважение молбата на НАП за изменение на решение 5954 от 22.05.2024 г. в частта за разноските. Частният жалбоподател иска отмяна на обжалваното определение. Претендира присъждане на разноски за настоящата инстанция. Ответникът по частната жалба - М. А. Д., чрез процесуален представител адв. С. Юрукова оспорва същата и иска съдът да остави в сила обжалвания акт. Представителят на Върховната касационна прокуратура заявява становище за основателност на касационната жалба и неоснователност на частна жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е основателна по следните съображения: Производството пред АССГ е образувано по предявен от М. А. Д. срещу НАП иск за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода от 15.07.2019 г., в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), член 24 и член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД , заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане. Производството по адм. д. 5592/2021 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 6870/01.12.2020 г. по адм. дело 6818/2020 г. на АССГ, с решение 6726/04.06.2021 г. по адм. дело 1446/2021 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. С протоколно определение от 27.10.2021 г. делото е спряно на основание чл. 229, ал., т. 4 вр. с чл. 144 АПК, а впоследствие с определение от 19.01.2024 г. възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. За да постанови обжалваното решение АССГ е приел, че е налице първата предпоставка на визираната в чл. 1, ал.1 ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че М. Д. е изпълнил дадените му указания да докаже претърпените от него неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с неговите лични данни ще бъде злоупотребено, като е приел за безспорно обстоятелството, че по отношение на ищеца има изтичане на лични данни в резултат на неоторизирания достъп, но техният обем е останал недоказан. Решението е неправилно. Правното основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно обаче АССГ е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от ОРЗД. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Неправилно първоинстанционния съд е приел, че са доказани вторият и третият елемент от фактическия състав на отговорността по чл. 82 от Регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. От първоинстанционния съд са дадени указания на ищеца да докаже твърдените от него претърпени неимуществени вреди. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. За доказване разкриването на лични данни Д. е представил снимка на електронно съобщение от НАП със следното съдържание: НАП: по заявка номер 6717 ИМА неправомерно разкрити лични данни . В съдържанието на представеното съобщение липсват идентификационни данни, отнасящи се към ищеца. Не са представени доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени, затова не може да се направи извод за настъпили неимуществени вреди. Съдът неправилно приема, че тези обстоятелства са доказани. В молба от 08.10.2020 г. процесуалния представител на ищеца е направил искане за допускане на един свидетел при режим на довеждане, който да установи вида и характера на причинените на Д. неимуществени вреди, което искане е уважено от съда с протоколно определение от 08.10.2020 г. В съдебно заседание на 19.11.2021 г. не е доведен свидетел и процесуалният представител на ищеца се е отказал от направеното доказателствено искане, поради което съдът е отменил свое протоколно определение от съдебно заседание на 08.10.2020 г. за допускане при режим на довеждане на един свидетел. Няма ангажирани други доказателства от ищеца, такива не са представени и с касационната жалба. От допустимите доказателства не се установяват факти, които да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се преценят притеснението и страхът като неимуществени вреди и да се определи адекватно парично обезщетение. В случая ищецът не е успял да докаже преживените негативни емоции, подробно описани в исковата молба. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищеца, както и че действително са претърпени неимуществени вреди, има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по член 82 ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищеца да докаже, че именно негови конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпял и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва да се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението в обжалваната част като неправилно следва да се отмени и се постанови ново, с което предявеният от М. А. Д. иск като недоказан по основание и размер се отхвърли. С оглед окончателния изход на спора и предвид акцесорния характер на обжалваното определение по чл. 248, ал. 1 ГПК, не следва да се обсъждат доводите за неговата неправилност. Определение 12210/17.07.2024 г. по адм. д. 5592/2021 г. на АССГ, постановено по реда на чл. 248 от ГПК, следва да се отмени, т. к. остава лишено от предмет. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да бъде определен в размер на размер на 200 лв., по 100лв. за всяка инстанция. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение