Решение № 9417 от 15.9.2021 г. на ВАС по адм. д. № 11283/2020 г.

Производството е по реда на чл. 208 и слeдващите от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба, подадена от Б. Стоянов, чрез пълномощник адв. С. Юрукова, срещу Решение 4770/02.09.2020 г., постановено по адм. дело 11319 по описа на Административен съд София град за 2019 г. С обжалваното решение е отхвърлен предявеният от Стоянов иск с правно основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/ срещу Националната агенция за приходите /НАП/, за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000.00 (хиляда) лв. и иска за присъждане на законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното му изплащане. В касационната жалба се излагат съображения за постановяване на обжалваното решение при наличието на всички касационни основания по чл. 209, т. 3 АПК нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост. Конкретно се поддържа становище, че съдът неправилно e разпределил доказателствената тежест в производството, давайки указания на ищеца да докаже бездействието на ответника. Твърди се, че без да приобщи специални знания чрез изслушване на заключение на вещо лице, първоинстанционният съд e приел възраженията на НАП досежно ефективността на приложените технически и организационни мерки за защита на личните данни за доказани, въпреки че съдът не притежава специални технически знания. В допълнение, независимо, че ги е цитирал, съдът не обсъдил представените от НАП писмени доказателства, а за целта също му били необходими специални знания, доколкото с тях се уреждат технически въпроси. Според ищеца неправилно и необосновано в обжалваното решение е прието, че НАП е предприел мерки с оглед опазване на личните данни, които обработва, като са съобразени всички релевантни правни норми, тъй като не е посочено с кои точно действия и по какъв начин тези норми са били изпълнени. Посочено е също от ищеца, че направеният от съда извод, че въз основа на гласните доказателства, не се установяват твърдените неимуществени вреди, е необоснован. В случая притесненията на ищеца от възможна злоупотреба с разпространените му лични данни били реални и обективно съществуващи, а не хипотетични и евентуални. Тези притеснения били основани на действителен факт публичното оповестяване на личните данни на ищеца който факт предпоставял реална възможност от всевъзможни варианти за злоупотреби. По така направените в касационната жалба възражения се иска отмяната на атакуваното съдебно решение и уважаване на предявения иск, ведно с лихвата върху сумата на обезщетението, както е претендирана. Иска се и присъждането на сторените разноски за двете съдебни инстанции съобразно представен списък на разноските по чл. 80 от Гражданския процесуален кодекс /ГПК/. В съдебното заседание пред настоящия съд касационният жалбоподател не се явява и не се представлява. Ответникът НАП оспорва касационната жалба, чрез процесуален представител юрк. Я. Рангелов, в представен по делото подробен писмен отговор. Претендира юрисконсултско възнаграждение. В съдебното заседание пред настоящата инстанция не се представлява. Участващият по делото представител на Върховната административна прокуратура дава заключение за неоснователност на касационната жалба. Според прокурора, в случая, не са изпълнени елементите от фактическия състав на чл. 1, ал. 1 ЗОДОВ, както правилно бил приел и първоинстанционният съд. Върховният административен съд, в настоящия съдебен състав на трето отделение, преценява касационната жалба като допустима. Тя е подадена в срока по чл. 211, ал. 1 АПК от страна по делото, за която подлежащият на обжалване съдебен акт е неблагоприятен. По основателността на касационната жалба, Върховният административен съд приема следното: Административният съд София-град е приел, че е сезиран с иск за заплащане на обезщетение за причинени неимуществени вреди, изразяващи се в притеснения, страх и опасения от злоупотреба с лични данни, причинени от бездействието на длъжностни лица в НАП, в качеството му на администратор на лични данни, с което бездействие е допуснато нарушение на чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на личните данни/, наричан за краткост по-долу Регламента и на чл. 45, ал. 1, т. 6, чл. 59, ал. 1, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 от Закона за защита на личните данни /ЗЗЛД/, като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки и не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на лични данни върху тяхната защита. Съдът е квалифицирал иска като такъв с правно основание чл. 1, ал. 1 ЗОДОВ, във вр. с чл. 203 и следващите от АПК. Преценил исковата молба като допустима, но неоснователна. Административен съд София-град е приел, от фактическа страна, че на 15.07.2019 г. неизвестно лице е осъществило нерегламентиран достъп в информационните масиви на НАП, станал известен като хакерска атака, вследствие на което е разпространена информация, съдържаща личните данни на над 6 000 000 физически лица. Приел, че между страните е безспорно, че се касае за противоправно деяние, за извършването на което Агенцията уведомила Софийска градска прокуратура и Комисията за защита на личните данни. Кредитирал представените от ответника по делото писмени доказателства заповеди, указания, вътрешни правила, методики, политики, инструкции. За да отхвърли иска, изложил съображения от правна страна, че, в конкретния случай, не била налице нито една от предпоставките за ангажиране на отговорността на държавата по чл. 1, ал. 1 ЗОДОВ. Според съда, с цитираната разпоредба, се има предвид незаконосъобразно фактическо бездействие по смисъла на чл. 256 АПК, а, в случая, не било установено конкретно деяния, което да представлява неправомерно бездействие от страна на НАП, което да е довело до нерегламентирания достъп до личните данни на ищеца. Посочил, че наведените от ищеца доводи за липса на подходящи и ефективни организационни и технически мерки за защитата на личните данни останали недоказани. Те следвало да бъдат безспорно установени и следвало по категоричен начин да става ясно, че задълженията на администрацията на НАП са останали неизпълнени или лошо изпълнени, което именно да е причината за неправомерния резултат. Приел, че само по себе си противоправното деяние /нерегламентираният достъп до личните данни/ не обосновава извод, че е следствие от незаконосъобразното бездействие на ответника да изпълни нормативно предвидените със ЗЗЛД и Общия регламент задължения за осигуряване на достатъчна надеждност и сигурност на информационната си система и да защити физическите лица при обработването на личните им данни. Счел, че от страна на НАП, били ангажирани доказателства, от които ставало ясно, че задълженията, предвидени с Регламента били изпълнени. Съдът преценил като недоказани и останалите предпоставки от фактическия състав на чл. 1 ЗОДОВ, а именно вреда и причинна връзка между нея и твърдяното неправомерно бездействие. Съдът посочил, че, за да се преценят като вреда преживеният стрес, безпокойство и притеснение, те следвало да са такива, че да доведат до трайно изменение в ежедневно битовите навици и поведение на ищеца, т.е. до промяна в поведението му, каквато, в конкретния случай, не се установявало. Според съда, при такова нерегламентирано посегателство спрямо личните данни на човек, липсвало активно поведение от страна на ищеца с цел защита на интересите му, доколкото по делото не било установено, че Стоянов е търсил информация от НАП какви конкретно данни са изтекли за него и не е посещавал техен офис с цел осведомяване. В допълнение първоинстанционният съд приел, че приобщените по делото гласни доказателства показват единствено изпитани чувства на притеснение за бъдещи несигурни събития, което не било достатъчно, за да се обуслови настъпването на вреда, така както се претендира. Това мотивирало съда да приеме твърдените неимуществени вреди, като недоказани. По изложените съображения, Административен съд София-град преценил иска, предявен от Б. Стоянов срещу НАП като неоснователен и го отхвърлил. Така постановеното решение е валидно и допустимо, но е неправилно, поради допуснати от първоинстанционния съд съществени нарушения на съдопроизводствените правила и необоснованост. Неправилна е правната квалификация на иска, направена от съда. Както се посочи по-горе, първоинстанционният съд е квалифицирал иска като такъв с пр. осн. чл.1 ЗОДОВ. Макар, предявеният иск да следв да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правна квалификация на иска е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016г. (GDPR) ( наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. Неправилната квалификация на иска е довела до неправилно прилагане на правилата за разпределение на доказателствената тежест между страните по делото. С определение от 28.04.2020г., съдът е указал на ищеца необходимостта от доказването на твърдяното от него бездействие на ответника. Това указание е неправилно. В исковата молба ясно се сочат задълженията по регламента, които ответникът не е изпълнил. Твърденията на ищеца са, че ответникът не е приложил подходящи технически и организационни мерки, за да гарантира целостта и поверителността на данните на лицата, че съществуват недостатъци в защитата на информационната сигурност на НАП, че от 2008г. не е правено осигуряване на сървъра и осигурителните системи на НАП, че липсва резервен сървър, че сървъра на НАП е бил уязвим за външни влизания, че избраният от НАП втори идентификатор не осигурява по-сериозна защита на личните данни. В своя отговор на исковата молба, НАП възразява, че като администратор на лични данни, е предприела всички необходими технически и организационни мерки за защита при обработването на личните данни. Във връзка с това свое възражение, НАП е следвало да докаже фактите, на които то се основа, съгласно чл.154, ал.1 ГПК, като представените писмени доказателства - Политика по информационна сигурност на НАП, версия 3.0 от 2016 година, Методика за оценка на риска, версия 1.1 от 2015 година, Заповед З-ЦУ-1436/15.10.2018г. на изп.директор на НАП, Политика по защита на личните данни в Националната агенция за приходите, Указания за обозночаване и работа с информация, не са били достатъчни. Необходимо е било да се установи, че предвидените мерки в посочените документи са изпълнени на практика и, че те са достатъчни за осигуряването на пълната и ефикасна защита на личните данни. Съдът е следвало да даде подобни указания на ответника, което не е направил. В тази връзка следва да се посочи също така, че първоинстанционнитя съд неправилно приема, че се твърди хипотезата на чл.257 АПК, откъдето прави извода, че доказателствената тежест е за ищеца. Не всяко неизпълнение на задължение за фиктическо действие е бездействие по смисъля на чл.257 АПК. Предмет на осъдителния иск по чл.256 и чл.257 АПК е правото на лице или организация на конкретни фактически действия от административен орган, за които органът е задължен пряко от закона ( определение 11950 от 10.11.2008г. на ВАС по адм.д. 13502/2008г.). В конкретния случай от обстоятелствената част на исковата молба, не следва, че твърденията са за бездействие по смисъла на чл.257 АПК. Твърди се бездействие на длъжностни лица на ответника да изпълнят свои преки задължения по служба, произтичащи от Регламента, което неизпълнение на служебни задължения е довело до нарушаване на правото на защита на личните днни на ищеца. Предпоставките по чл. 82, параграф 1 от Общия регламент са в кумулативност и са : наличие на материална или нематериална вреда; нарушение на Регламент (ЕС) 2016/679; причинна връзка между претърпяната вреда и нарушението на Регламента. Както се посочи по-горе, както и предвид императивната разпоредба на чл.5, параграф 2 от Регламента, НАП в качеството й на администратор на лични данни носи доказателствената тежест, че е спазила принципите, свързвани с обработването на личните данни, в конкретния случай на ищеца, в това число, че е гарантирала подходящо ниво на сигурност при обработката на тези данни. Съдът е следвало да укаже на ответника необходимостта от доказването на този факт, вкл. и да укаже необходимостта от събиране по делото на съдебно-техническа експертиза, която да даде заключение по този въпрос, тъй като съдът не разполага със специални знания за това. Безспорно е между страните, че до информационната система на НАП е осъществен неоторизиран достъп. От твърденията на ищеца следа, че този неоторизиран достъп, не би бил факт, ако ответникът е предприел действията, за които се твърди, че е бездействал. Обратно, НАП твръди, че е предприел и е осъществил всичко необходимо за защита на личните данни на лицата при тяхната обработка. След като съдът не разполага със специални знания, за да прецени, какво е направено, дали направеното е достатъчно, могла ли е да бъде избегната хакерската атака и ако "да", какво още е следвало да се направи, съдът е следвало при условията на чл. 171, ал.2 АПК служебно да допусне изслушването на съдебно-техническа експретиза по този въпрос, за която да определи компетентно/компетнтни вещо/вещи лица. Като не е направил това, съдът е пропуснал да изясни съществен за спора въпрос. Не може да се сподели извода на съда за недоказаност на претърпяната от ищеца вреда, тъй като той не бил доказал активно поведение. Неправилен е и изводът на съда, че ищецът не бил претърпял вреда, тъй като преживеният стрес и безпокойство не са довели до трайно изменение в ежедневно битовите навици и поведение на ищеца. Така посочените съображения на съда, обосновали крайния му извод, че ищецът не е претърпял неимуществена вреда са нелогични. Ищецът сочи като неимуществена вреда, чието обезщетяване иска, преживеният от него стрес, безпокойство и притеснение за периода, така както е уточнен в допълнителната му молба. Посочените негативни преживявания са състояние на духа, което не във всички случай дава отражение на обективното поведение на физическите лица в ежедневието им. От липсата на подобно отражение, не може да се направи заключение, че безпокойството и притеснението не са изживени, че лицето не е било под стрес, или че те не са били с висок интензитет. Съдът не разполага със специални знания, които да му позволят да прецени в конкретния случай, дали твърдените негативни изживявания са били факт и до каква степен те са разстроили емоционалното състояние на ищеца. В този случай, ако съдът има съмнения, наред със гласните доказателства е следвало да укаже на ищеца необходимостта от събиране по делото на съдебно-психологична експертиза, който да даде заключение за реакцията на ищеца, причинена от изтичането на данните за него, за нейната проявна форма и интензитета. Изводът на съда за липсата на вреда у ищеца е необоснован. Допуснатите от съда съдопроизводствени нарушения са съществени, тъй като са довели до неизясняване на факти и обстоятелства от значение за спора, чието установяване може да повлияе на крайния резултат. Решението на първоинстанционния съд следва да се отмени, а вместо това делото се върне за ново разглеждане от друг съдебен състав на АССГ. При новото разглеждане, съдът следва да се съобрази с укзанията, дадени в настоящото решение, а също така да съобрази, че по аналогичен спор е отправено от ВАС преюдицианло запитване до Съда на Европейския съюз, по което е образувано дело С-340/21 година. По въпроса за разноските, направени в производствата пред първоинстанционния съд и в настоящото, следва да се произнесе съдът при новото разглеждане на делото. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ и чл. 222, ал. 2, т. 1 АПК, Върховният административен съд в състав на трето отделение, Първа колегия