Решение № 6541 от 1.06.2021 г. на ВАС по адм. д. № 9873/2020 г.

Решение № 6541 от 1.06.2021 г. на ВАС по адм. д. № 9873/2020 г., III о., докладчик съдията Любка Петрова Производството е по реда на чл. 208 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от С. Ц. чрез адвокат С. Ю. против решение № 4289 от 30.07.2020 г. по адм. дело № 11324/2019 г. на Административен съд - София-град. С него е отхвърлен, като неоснователен иск заявен с правно основание чл. 203 АПК, вр. чл. 82, ал. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните//GDPR/, вр. чл. 39, ал. 2 ЗЗЛД, вр. чл. 1, ал. 1 ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1 000 лева ведно със законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното изплащане на вземанията. От обстоятелствената част на касационната жалба могат да се изведат доводи за противоречие с материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по смисъла на чл. 209, т. 3 АПК. Моли за присъждане на съдебни разноски и пред двете съдебни инстанции. Представя списък на разноските. В открито съдебно заседание страната, редовно уведомена, не се явява и не се представлява. Ответната страна - Националната агенция за приходите, изразява чрез юрисконсулт Л. Т. становище за неоснователност на касационната жалба. Счита за правилни изводите на първоинстанционния съд при отхвърляне на исковата претенция за вреди. Моли също за присъждане на юрисконсултско възнаграждение. В съдебно заседание оспорва касационната жалба, като поддържа подадения отговор. Не сочи доказателства. Участвалият в настоящото производство прокурор от Върховната административна прокуратура дава заключение за неоснователност на касационната жалба. Сочи, че макар по делото да не се спори, че поради нерегламентиран, публично оповестен на 15.07.2019 г. достъп, на неизвестно лице до информационните масивите на НАП е изтекла информация, съдържаща лични данни на множество данъкоплатци, от данните по делото не се установява незаконосъобразно бездействие, нарушение на разпоредбите на чл. 24 и чл. 32 от Общия регламент отн. защитата личните данни /ЕС/2016/679 на Европейския парламент и на Съвета от 27 април 2016 година GDPR и чл. чл. 59, ал. 1, 45, ал. 1, т. 6, 64, 66, ал. 1 и 2, 67 и 68 ЗЗЛД, от страна на служители на НАП. Не счита за установено настъпването на претендираните от ищцовата страна неимуществени вреди, които да са в резултат на незаконосъобразно бездействие, както и дали НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки. Окачествява като ирелевантни доводите на жалбоподателя за вероятни вредоносни имуществени последици. Моли, в случай, че предявената претенция бъде призната за основателна, размерът на обезщетението да бъде сведен до справедлив размер, тъй като не счита, че описаните от ищеца негативни психически състояния се отличават с особена интензивност, а по делото не са установени данни за реална възможност от предприемане конкретни вредоносни действия. Настоящата инстанция като взе предвид становището на страните и извърши проверка на обжалваното решение на посочените касационни основания, съгласно разпоредбата на чл. 218, ал. 1 от АПК, и след служебна проверка за допустимостта, валидността и съответствието на решението с материалния закон по реда на чл. 218, ал. 2 от АПК, намира за установено от фактическа и правна страна следното: Касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК и е процесуално допустима, а разгледана по същество е основателна. Производството пред административния съд е образувано по искова молба, подадена С. Ц., с която срещу Националната агенция за приходите /НАП/ е предявен иск, заявен с правно основание чл. 203 АПК, вр. чл. 82, ал. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ /GDPR/ /по-надолу наричан за краткост Регламента/, вр. чл. 39, ал. 2 ЗЗЛД, вр. чл. 1, ал. 1 ЗОДОВ, за присъждане на сумата в размер на 1 000 лева, представляваща обезщетение на ищеца за причинените му неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, станали достъпни вследствие т. нар. "хакерска атака", при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани. Отговорността на НАП е ангажирана в качеството й на администратор на лични данни, с твърдение, че е допуснала нарушения на чл. 24 и чл. 32 GDPR и чл. 59, ал. 1 ЗЗЛД, нарушила е и разпоредбите на чл. 45, ал. 1, т. 6 ЗЗЛД като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки; чл. 64 ЗЗЛД, като намира, че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл. 66, ал. 1 и, ал. 2 ЗЗЛД; чл. 67 и чл. 68 ЗЗЛД. Претендира се и законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане. Въз основа на изясненото по делото от фактическа страна, първоинстанционният съд приел предявения иск за допустим, а по същество неоснователен. За да стигне до този правен резултат, Административен съд – София град, след обсъждане на събраните по делото доказателства, от фактическа страна е установил, че вследствие на осъществен неоторизиран достъп до базата данни на НАП неправомерно е изтеглена информация с голям обем, съдържаща лични данни на голям брой български граждани. За да мотивира изводите си относно неоснователността на ищцовата претенция съдът е посочил, че това противоправно деяние, обаче само по себе си не обосновава извод за противоправно бездействие на ответната по иска страна да изпълни произтичащите от приложимите в случая българско и европейско законодателство да осигури достатъчно надеждност и сигурност на информационните си системи. Намерил е, че до негативния резултат се е стигнало в резултат на противоправно поведение от страна на трето лице, който свой извод е мотивирал с общоизвестното обстоятелство, че за т. нар. "хакерска атака" е образувано досъдебно производство за компютърно престъпление, което към датата на постановяване на съдебното решение няма данни да е приключило. Изложил е мотиви за проявена от ищеца процесуална пасивност да докаже твърдяното от него фактическо неизпълнение на предписаните технически и организационни мерки за осигуряване защита на базата данни. По тези съображения е стигнал до извода, че не е налице първата от предпоставките на чл. 1, ал. 1 от ЗОДОВ за да бъде ангажирана отговорността на държавата, в лицето на Националната агенция за приходите – незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата при или по повод изпълнение на административна дейност. Независимо от гореизложеното, за пълнота на изложението съдът е посочил в мотивите си, че въз основа на събраните и анализирани в хода на производството гласни и писмени доказателства, не може да се установи реалното настъпване на конкретните неимуществени вреди, описани в иска. Решението е неправилно. Постановено е при съществено нарушение на процесуалните правила, поради което ще следва да се отмени, а делото – да се върне за ново разглеждане от друг състав на същия съд по следните съображения: Административният съд е дал неточна квалификация на предявените искове като ги е привързал към нормата на чл. 1, ал. 1 от ЗОДОВ. Съдът е следвало да съобрази, че Европейският съюз полага целенасочени и последователни усилия за хармонизиране на националните правни системи по отношение на защитата и администрирането на личните данни. Основната цел е уеднаквяване на прилаганите стандарти за защита на основните права и свободи на физическите лица досежно дейностите по обработване на данни и осигуряване свободното движение на лични данни между държавите членки. В тази, за да се гарантира необходимото високо равнище защитата на физическите лица, както и за улесняване на движението на лични данни в рамките на Съюза, степента на защита на правата и свободите на физическите лица по отношение на тези данни следва да бъде еднакво във всички държави членки. Нужно е и осигуряването в рамките на ЕС на последователно и еднозначно прилагане на общите правила за защита на основните права и свободи на физическите лица, свързани с администрирането на лични данни. Същевременно ЕС отчита необходимостта, за изпълнение на задача от обществен интерес или при упражняване на официалните правомощия, предоставени на администратора на лични данни, да се позволи на държавите членки да запазят или да въведат национални разпоредби, които да уточняват по-нататък реда за прилагане на въведените с Регламента правила. Във връзка с това Регламентът оставя и известна свобода на действие на държавите членки да конкретизират съдържащите се в него правила, включително по отношение на обработването на специални категории лични данни ("чувствителни данни"). Така, наред с общоевропейските актове относно защитата на данните, държавите членки имат и специално законодателство, какъвто в България се явява ЗЗЛД. Националният ни закон адаптира прилагането на разпоредбите на Регламента в области, които се нуждаят от по-специфични разпоредби. В този смисъл макар да е вярно, че не се изключва право на държавите членки, което адаптира прилагането на разпоредбите на Регламента, по аргумент от чл. 288 от Договора за Европейския съюз по отношение на защита на личните данни се прилага в цялост Регламентът. В контекста на изложеното, в конкретния случай административният съд първоначално е посочил, че производството се развива по чл. 203, във връзка с член 82 от Регламента, но допълнително неправилно е разгледал производството при предпоставките и по реда на чл. 1, ал. 1 ЗОДОВ. Именно член 82 от Регламента дава правилното материалното основание на иска, като предвижда, че всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Специалното ни национално законодателство, приложимо в случая установява в своя чл. 39, ал. 1 ЗЗЛД не начин, а процесуален ред за реализиране на отговорността на всички администратори на лични данни, независимо от правосубектността им и притежаваните качества. Макар да е вярно, че не се изключва националното право на държавите членки на ЕС, което адаптира прилагането на разпоредбите на Регламента, по аргумент от чл. 288 от Договора за Европейския съюз, по отношение на защита на личните данни ще се приложи в цялост Регламентът. Предявения иск следва да намери основанието си именно в неговия чл. 82 § 1, който предвижда, че всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Стъпвайки отново на чл. 82 § 6 от Регламента, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2 от същия. На национално ниво, обществените отношения, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламента намират уредбата си в ЗЗЛД. Последният, в своя чл. 39, ал. 1 препращайки към разпоредбите на АПК, дава процесуалния ред за реализиране на отговорността на всички администратори на лични данни, независимо от правосубектността им и притежаваните качества. Съгласно чл. 203 АПК исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на Глава единадесета от АПК. Именно това е релевантния правен ред за разглеждане на исково производство с правно основание чл. 82 § 1 от Регламента. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, § 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка с нарушение на регламента. В конкретния случай този фактически състав на практика съвпада с изискуемия за възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие (в случая), вреда и причинна връзка между тях. Това обаче не означава, че разпределението на доказателствената тежест между страните е като при иск с правно основание чл. 1, ал. 1 ЗОДОВ, каквито указания за разглеждане е дал първоинстанционният съд. На страните са дадени неправилни указания относно фактите, които подлежат на доказване от всяка от тях в процеса във връзка с чл. 1, ал. 1 ЗОДОВ в определение от 18.10.2019 г., в резултат на което делото е останало непопълнено с релевантни за спора факти. В конкретния случай допуснатите процесуални нарушения препятстват преценката относно наличието или липсата на предпоставки за ангажиране на отговорността на НАП. За да се ангажира неговата отговорност на основание чл. 82 от Общия Регламент, по делото следва да се установи кумулативното наличие на следните елементи от фактическия състав на цитираната разпоредба: наличие на материална или нематериална вреда; доказано нарушение на някое от задълженията на администратора на данни по Общия регламент; Причинна връзка между претърпяната вреда и нарушението на Регламента. Неправилно административният съд е указал на ищеца, че следва да докаже наличието на незаконосъобразно бездействие от страна на ответника, изразяващо се в неполагане на необходимата грижа по опазване на личните данни, като на практика му е прехвърлил цялата доказателствена тежест във връзка с установяване на всички релевантни за спора факти. Напротив, именно администраторът на лични данни, в лицето на Националната агенция за приходите следва да установи, че са били приложени всички подходящи мерки за технологична защита като докаже изпълнение на задълженията, които Регламентът създава. В този смисъл са основателни доводите на касатора, съдържащи се в жалбата относно пропуска на първоинстанционният съд да изпълнил едно от основните си задължения свързани с принципите на служебното начало (чл. 9 АПК) и установяване на истината (чл. 7 АПК). Изпълнението на задълженията за опазване на личните данни предполага въвеждането на ефективни процедури и механизми, които да са насочени към онези видове операции по обработване, които има вероятност да доведат до висок риск за правата и свободите на физическите лица поради своето естество, обхват, контекст и цели. Предвид предмета на делото, основният спорен въпрос е, дали са предприети цитираните или други подходящи мерки, които да доведат до подсигуряване на достатъчно ниво на защита. След като е налице задължение за администратора на лични данни да въведе подобни подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на личните данни се извършва при спазване на чл. 24, пар. 1 и чл. 32 от Регламента, тежестта на доказване, че не е нарушил това свое задължение лежи именно върху него. Въпросът за видовете подходящи и необходими технически и организационни мерки не е правен и обсъждането му би могло да стане едва след изслушване на специалист в областта чрез назначаване на съдебнотехническа експертиза и изготвянето на мотивирано заключение. За пълнота следва да се посочи, че всички останали въпроси относно наличието на съпричиняване във връзка с евентуалното освобождаване от отговорност на ответника, съгласно правилата на Регламента, също трябва да бъдат отчетени при новото разглеждане на делото. По изложените съображения, съдебното решение, предмет на проверка, следва да бъде отменено, делото да бъде върнато за ново разглеждане от друг състав на АССГ. Предявеният от С. Ц. иск следва да бъде квалифициран като такъв по чл. 82 от Регламента, а доказателствената тежест в процеса - разпределена при съобразяване на мотивите на настоящото решение. При новото разглеждане, съдът следва да посочи относимите към спора факти, като разграничи спорните от безспорните. След определяне на спорните факти, на страните следва да бъдат дадени подробни указания по тежестта на доказване, съобразени с техните конкретни твърдения и с нормата на чл. 82, § 3 от Регламента, включително, но не изчерпателно, за необходимостта от специалния знания за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни, изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса, какви технически мерки са предприети, за да предотвратят достъпа, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, технически възможно ли е било предотвратяването на изтичането на данни. Следва да се укаже на ответника по иска, че негова е тежестта да докаже с всички допустими доказателствени средства, че нерегламентираният достъп не се дължи на нарушение по смисъла на регламента, включително, че такова нарушение липсва, тъй като всички негови задължения по регламента са изпълнени, респективно, че е направил всичко възможно да предотврати нарушението, предвид достиженията на техническия прогрес и различните рискове. С оглед резултата от касационното обжалване разноски на страните за настоящата инстанция не следва да се присъждат. Всички направени в производството разноски, включително и тези пред касационната инстанция, върнала делото за ново разглеждане, следва да се съобразят от съда, който се произнася по съществото на спора, при новото разглеждане на делото. Воден от горното и на основание чл. 221, ал. 2 във вр. с чл. 222, ал. 1, т. 1 от АПК, Върховният административен съд - Трето отделение,