Решение № 4129 от 16.4.2025 г. на ВАС по адм. д. № 1170/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна и частна жалба, подадени от Национална агенция за приходите (НАП) против решение 19021 от 07.10.2024 г., постановено по адм. д. 5907/2024 г. по описа на Административен съд София-град (АССГ), в частта, с която НАП е осъдена да заплати на М. С. Х. сумата от 500 лв., представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата и в частта с присъдените разноски, и против определение 24837 от 26.11.2024 г., постановено по същото дело, с което е оставено без разглеждане искането на НАП за изменение на решение 19021 от 07.10.2024 г., в частта относно присъдените разноски, представляващи юрисконсултско възнаграждение и присъдено адвокатско възнаграждение. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 АПК. Иска решението да бъде отменено в обжалваните части. Подробни съображения излага в касационната жалба и в открито заседание. Претендира разноски. Ответникът М. С. Х. оспорва касационната жалба по съображения, изложени в писмен отговор. Претендира разноски по представен списък. Частният жалбоподател НАП навежда доводи за неправилност на обжалваното определение, постановено по реда на чл. 248 ГПК и иска да бъде отменено. Ответникът по частната жалба М. С. Х. изразява становище за неоснователност на частната жалба и правилност на оспореното определение. Иска оспореното определение да бъде потвърдено от касационната инстанция като правилно и законосъобразно. Представителят на Върховната касационна прокуратура заявява становище за неоснователност на касационната жалба и не изразява становище по частната жалба. Върховният административен съд, Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е основателна по следните съображения: Първоинстанционното производство е образувано по иск с правно основание чл. 82, § 1 във вр. § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/ Регламент(ЕС) 2016/679/ ОРЗД), разгледан по реда на чл. 203 от АПК във вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Ищцата М. Х. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, изразяващо се в неизпълнение в достатъчна степен на задълженията на НАП по чл. 59, ал. 1 от Закона защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент(ЕС) 2016/679 да защити по сигурен начин данните на ищцата като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до неразрешено разкриване или достъп до личните ѝ данни. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 6954/04.12.2020 г. по адм. дело 2060/2020 г. на АССГ, с решение 6544/29.05.2024 г. по адм. дело 972/2021 г. на Върховния административен съд, Пето отделение, и връщане на делото за ново разглеждане от друг състав. В решението на ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 от Регламента. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, както и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните, дал е указания за съобразяване с постановеното Решение от Съда на Европейския съюз по дело С-340/2021. В изпълнение на дадените указания от ВАС, с определение 9103 от 18.06.2024 г. първоинстанционния съд е изготвил доклад по делото, разпределил е доказателствената тежест между страните, давайки съответните указания, приканил е страните за постигане на спогодба. При новото разглеждане от страна на ищцата е представена писмена молба преди разглеждането на делото в открито заседание, с която ищцата е уведомила съда, че не възразява делото да бъде разгледано в нейно отсъствие, изразила е, че поддържа исковата молба, няма доказателствени искания и счита делото за изяснено от фактическа страна. По делото не са ангажирани други доказателства както от ищцата, така и от ответника. За да постанови атакуваното пред настоящата инстанция решение, решаващият съд е приел, че НАП в качеството на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на М. Х.. Независимо от приемането вътрешни правила и политики НАП не е осигурила достатъчна надеждност на информационната си система. Съобразявайки тълкуването на нормата на чл. 82, § 3 от ОРЗД, съдът е направил извод, че НАП в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 59 ЗЗЛД и чл. 24 и чл. 32 Регламент(ЕС) 2016/679 задължения. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищцата от това незаконосъобразно бездействие и причинна връзка между тях, АССГ е приел, че М. Х. е изпълнила дадените ѝ изрични указания да докаже претърпените от нея негативни преживявания с оглед представените доказателства (гласни) при първото разглеждане на спора (адм. д. 2060/2020 г., по описа на АССГ), като е приел, че по отношение на ищцата има изтичане на лични данни в резултат на неоторизирания достъп. По тези съображения съдът е осъдил НАП да плати на ищцата М. Х. сумата от 500 лв., представляващи обезщетение за неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане, както и за разноски по делото и адвокатското възнаграждение. Така постановеното съдебно решение е валидно и допустимо, но неправилно. Правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, & 1 от Регламент (ЕС) 2016/679, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента § 2, чл. 82. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от чл. 82, § 1 от ОРЗД, включва претърпени материални или нематериални вреди настъпили в причинна връзка с нарушение на Регламент (ЕС) 2016/679. За реализиране на отговорността е необходимо да са налице всички предпоставки от фактическия състав, поради което съдът е длъжен да се произнесе за наличието/липсата на всяка една от тях. В конкретния случай посоченият фактически състав действително съвпада с този по възникване право на обезщетение по чл. 1 от ЗОДОВ - незаконосъобразно бездействие, вреда и причинна връзка между тях. Това обаче не означава, че искът е следвало да се квалифицира като такъв с правно основание чл. 1, ал. 1 от ЗОДОВ, както е неправилно е посочено в титулната част на обжалваното съдебно решение въпреки изричните указания на Върховния административен съд. От значение са само фактическите й твърдения, въз основа на които съдът следва да даде вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от нея правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и точно тези обстоятелства и правни норми са преценени от АССГ независимо от непрецизното квалифициране в титулната част на съдебния акт. Следва да се отбележи, че неправилно първоинстанционният съд е обсъждал твърдените от ищцата нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, § 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Правилно първоинстанционният съд е разпределил доказателствената тежест между страните, като е указал на НАП да докаже, че е предприела всички технически и организационни мерки за защита на личните данни на физическите лица от неразрешен достъп. Разпоредбата на чл. 82, § 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент (ЕС) 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай НАП не е представила доказателства, от които да се установи, че са приложени подходящите мерки за сигурност, както правилно е преценил първоинстанционния съд. Представените писмени доказателства по адм. дело 2060/2020 г. по описа на АССГ не доказват, че приложените мерки са подходящи за защита на личните данни. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Разкриването на лични данни в резултат на неоторизирания достъп не презумира противоправно поведение на НАП като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че чл. 82, § 3 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от НАП в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на НАП да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. НАП не е ангажирала доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. НАП е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказано, че по никакъв начин не е отговорна за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Неправилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на решение Съда на Европейския съюз (СЕС) от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е посочено, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищцата. Връщането на делото за ново разглеждане от друг състав на първоинстанционния съд е в резултат на съществено процесуално нарушение при разглеждане и решаване на спора на първа инстанция, поради което процесуалните действия, извършвани пред съда при първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените ѝ изрични указания при новото разглеждане да докаже настъпването на претендираните вреди, ищцата не се е справила с възложената ѝ доказателствената тежест и не е ангажирала гласни доказателства, не са ангажирани и доказателства, че нейните лични данни са от тези, за които е установено неправомерно изтичане . Като е съобразил свидетелските показания, събрани при първоначалното разглеждане на спора, АССГ е допуснал процесуално нарушение и фактическите установявания въз основа на тях са необосновани. От ангажираните писмени доказателства от първоначалното разглеждане на спора пред съда изискана справка от НАП със съдържание За [идентификатор] има разпространени данни, които включват: ЕГН и имена. , също не се доказва нерегламентираното разпространение на личните данни на ищцата, както и техния обем, защото липсва връзка между посочения номер на идентификатор и конкретно физическо лице. След приключване на съдебното заседание на 02.04.2025 г. е докладвана молба от М. Х., изпратена по електронен път на 01.04.2025 г. в 23.02. часа, в която са направени недопустими доказателствени искания относно факти с правно значение, които подлежат на установяване пред първата инстанция, но не са в подкрепа на касационните основания по смисъла на чл. 29, ал. 2 от АПК. М. Х. като ответна страна в настоящото производство не е в положение да ангажира доказателства в подкрепа на касационните основания, между които липсват доводи за допуснати процесуални нарушения в процеса относно събирането на доказателствата, а непълнотата на доказателствата не е основание по чл. 209, т. 3 от АПК, поради което не са налице основания за отмяна на хода по същество за събиране на доказателства чрез задължаване на НАП да представи писмени доказателства за установяване на факти, за които АССГ е указал, че са в тежест на доказване на ищцата в първоинстанционното производство. Съобразявайки свидетелските показания, събрани при първоначалното разглеждане на спора, АССГ е допуснал процесуално нарушение и фактическите установявания въз основа на тях са необосновани. Необосновани са и изводите, че по делото е доказано, че личните данни на М. Х. са обект на хакерската атака . Следователно от допустимите доказателства не се установяват факти, което да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. Като е достигнал до противоположен правен извод и е определил по справедливост обезщетение за неимуществени вреди АССГ е постановил неправилно решение, което подлежи на отмяна в тази част, а вместо него трябва да бъде постановено друго, с което да бъде отхвърлен иска и за присъдените от първата инстанция 500 лв. Останалата част на съдебното решение, с която е отхвърлен иска до пълния предявен размер на претендираното обезщетение не е предмет на касационен контрол. С оглед промяната в окончателния изход на спора обжалваното съдебно решение следва да бъде отменено и в частите относно присъдените на всяка от страните разноски по делото, а претендираните и направени от НАП разноски за всички инстанции за представителство от юрисконсулт, общо в размер на 400 лв. (по 100 лв. за юрисконсултско възнаграждение за всяка една от съдебните инстанции) трябва да бъдат възложени изцяло в тежест на М. Х.. НАП претендира разноски само за юрисконсултско възнаграждение, поради което разноските за държавна такса не следва да бъдат включвани при определяне на размера на дължимите разноски. С оглед окончателния изход на спора се оказва безпредметна и без правен интерес частната жалба, подадена от НАП против определение 24837 от 26.11.2024 г. по адм. д. 5907/2024 г. на АССГ, постановено по реда на чл. 248 от ГПК. По изложените съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, Пето отделение