Решение № 5872 от 14.5.2021 г. на ВАС по адм. д. № 12935/2020 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на А. М., чрез процесуален представител, против решение 5738/22.10.2020г. постановено по адм. дело 11237/2019г. на Административен съд София-град/АССГ/, с което в производство по чл.1, ал.1 ЗОДОВ, вр. чл.203-207 АПК, е оставена без уважение искова молба от А. М., предявена срещу Национална агенция за приходите/НАП/ за обезщетение за нанесени неимуществени вреди на ищеца, в размер на 1000лв., предявен на осн. чл.203 АПК, вр. чл.82, §1 от Общ регламент за защита на личните данни/ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016г./ОРЗД, Регламента/, вр. чл.39, ал.2 ЗЗЛД, вр. чл.1, ал.1 ЗОДОВ. Касаторът навежда доводи неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменително основание съгласно чл.209, т.3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба. Претендира разноски. Ответникът- Национална агенция за приходите, чрез процесуален представител оспорва касационната жалба. Съображения излага в писмен отговор. Претендира разноски. Прокурорът от Върховна административна прокуратура дава становище за неоснователност на касационната жалба. Касационната жалба е подадена в срок и е допустима, а разгледана по същество, е основателна. За да постанови обжалваното решение АССГ е счел, че исковата молба се основава на незаконосъобразно бездействие-нарушение разпоредбите на чл.24 и чл.32 ОРЗД и чл.59, ал.1 ЗЗЛД, чл.45, ал.1, т.6 ЗЗЛД, чл.64 ЗЗЛД, чл.66, ал.1 и ал.2 ЗЗЛД, чл.67 и чл.68 ЗЗЛД- неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. Съдът е приел за безспорно, че на 15.07.2019г. е оповестена от медиите информация за хакерска атака, при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на общо 6074140 физически лица, включващи 4104786 живи ФЛ, български и чужди граждани и 1959598 починали ФЛ, като е осъществен неоторизиран достъп до базата данни на НАП, неразрешено разкриване и разпространение на следните категории лични данни на ФЛ-имена, ЕГН, адреси, телефони, електронни адреси и др. информация за контакт, данни от ГДД на ФЛ, данни от справките за изплатени доходи на ФЛ, данни от осигурителни декларации, данни за здравноосигурителни вноски, за издадени АУАН и др. Приел е, че НАП има качеството на администратор на лични данни по см. на чл.4, т.7 от ОРЗД, като за доказване изпълнение задълженията си в това му качество, произтичащи от Регламента и ЗЗЛД, ответника е представил по делото доказателства за предприети мерки: утвърдена политика по информационната сигурност на НАП, Версия 3.0, май 2016г.; Методика за оценка на риска-приложение 3 към процедура ПФИС 7, Версия 1.1, ноември 2015г.; Инструкция 2/08.05.2019г. за мерките и средствата за защита на лични данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри; Заповед З-ЦУ-1436/15.10.2018г. на ИД на НАП, с която са утвърдени указания за обработване и съхраняване на данни; Заповед ЗЦУ-746/25.05.2018г. на ИД на НАП, с която е утвърдена политика за защита на личните данни в НАП/приложена към заповедта/, Процедура Оценка на риска за информационна сигурност, номер ПФИС 7, версия В; Заповед ЗЦУ-586/30.04.2014г. на ИД на НАП за внедряване считано от 01.05.2014г. на система за управление на сигурността на информацията в НАП; Указания за обозначаване и работа с информацията. Според съда тези документи установяват реда, по който е следвало да се обработват личните данни от ответника, но не и какъв контрол по отношение на спазването им е осъществен. По делото е разпитан свидетел, от показанията на който се установява, че ищцата много се е притеснила да не се злоупотреби и да не се използват данните й за нечестни неща, да не се изтегли кредит от нейно име или нещо друго. При тези факти АССГ е достигнал до извод, че при определена с разпоредбата на чл.59, ал.1 ЗЗЛД доказателствена тежест на администратора на лични данни да установи, че обработването на тези данни се извършва в съответствие с този закон, от доказателствата по делото не се установява какви технически мерки са предприети от ответника и как те са преодолени от осъществилото неоторизиран достъп лице, а именно техническата уязвимост на информационната система на НАП е довела до нерегламентирано разпространение на личните данни на ищеца, и това е следствие от неприлагането от НАП на подходящи мерки за защита. Съдът е извел заключение, че ответника, в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване на престъпление и опазване изтичането на лични данни, като се установява незаконосъобразното му бездействие, противоречащо на нормативните изискванията на чл.59, ал.1 ЗЗЛД, чл.24 и чл.32 от ОРЗД, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл.59, ал.1 ЗЗЛД, чл.24 и чл.32 от ОРЗД задължения. По отношение втората предпоставка, която според АССГ следва да е налице за ангажиране отговорността на НАП- претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие, съдът е приел, че от събраните по делото доказателства не се установява настъпване на конкретни неимуществени вреди, като субективните преживявания на ищцата не са съответни на резултата от бездействието на ответника, поради което не е доказана причинната връзка между незаконосъобразното бездействие на ответника и претърпяната от ищеца вреда. Решението е неправилно. При определено правно основание на предявения иск- чл.82 ОРЗД, решаващия съд е достигнал до незаконосъобразни като краен резултат правни изводи. Три са изискуемите компоненти, съдържими в предмета на доказване за реализиране правото на обезщетение и отговорност за причинени вреди по чл.82 ОРЗД: претърпяна от лице материална или нематериална вреда; нарушение на Регламент (ЕС) 2016/679 извършено от администратор или обработващ лични данни/ по см. на чл.4, §7 и §8 от Регламента/, доказано по съответния процесуален ред; причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. В настоящия случай при спазване на съдопроизводствените правила, включително по разпределение доказателствената тежест в процеса, първоинстанционния съд съобразно установените факти по делото правилно е приел, че е налице нарушение на Регламента от Национална агенция за приходите в качеството й на администратор на лични данни, спрямо правата на ищцата, в качеството и на субект на лични данни, при тяхната обработка. Нарушението според настоящия състав, е осъществено чрез бездействие, което се изразява в неосигуряване(невъвеждане) на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата А. М., и като последица неосигуряване подходящо ниво на сигурност на тези лични данни, което бездействие по същество представлява неточно изпълнение задълженията на администратора на лични данни -НАП по чл.24 и чл.32 от ОРЗД. Предвид твърденията на ищеца в исковата молба, при условията на пълно насрещно доказване ответника в процеса Национална агенция за приходи не е установила по делото факти, за доказването на които същата носи доказателствена тежест( в този смисъл чл.82, §3 ОРЗД), а такива факти в случая следва да са мерки(различни по вид с организационен и технически характер), които да са предприети, но и не само-трябва да са осъществени, т.е. въведени по см. на Регламента и да са подходящи, водещи до еднозначен резултат-сигурна обработка на личните данни, което практически означава изградено ниво на сигурност, чиято степен минимизира риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. Ответната страна е проявила недостатъчна процесуална активност, представяйки пред първата инстанция единствено писмени доказателства, от прочита на които не може да се обоснове освобождаване от отговорност на администратора налични данни по см. на чл.82, §3 ОРЗД, т.е. не е доказано в процеса, че администратора на лични данни по никакъв начин не отговорен за събитието, причинило вредата. Необоснован и противоречащ на приетите по делото доказателства е извода на първостепенния съд за липса на конкретни неимуществени вреди понесени от ищцата. Този извод категорично се опровергава от показанията на допуснатия и разпитан по делото свидетел С. С., според които ищцата е изпитала притеснения от злоупотреба и неправомерно използване на личните й данни. Противно на възприетото от АССГ, в случая предвид характера на събитието не се касае за необходимост от предизвикване на толкова силни притеснения и страдания на гражданите, характеризиращи се като болки и страдания, подлежащи на репариране, както неправилно е приел първоинстанционния съд. Не е необходимо и каквото и да е активно поведение на пострадалото лице. Подобен извод противоречи на характера на обществените отношения по обработването на лични данни, динамиката на тези данни в обществото и със самия характер на личните данни като дълбоко свързани с персоналната идентичност на субекта, която свързаност е до степен, че дори вероятността за тяхното разкриване, възприета от личността, винаги има за резултат на чувствително засягане психическото и емоционално състояние на субекта. Това засягане е с преимуществено негативен характер защото последицата от неправомерното обработване е засягане правата и свободите на личността. В този смисъл доказани от ищцата в случая са понесени от нея болки, страдания и неудобства от категорията на обичайната дистресова реакция, т.е. налице е негативно засягане на личността от неправомерното развитие на процесните обществени отношения. Неправилно е заключението на АССГ относно липсата на причина връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. Следва да се отбележи, че в производството по чл.82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т.е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретиката на казуса поведението на ответника бездействие(неизпълнение задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни, при което цитираното първо по време събитие закономерно е довело до процесните болки и страдания, т.е. доказания в производството отрицателен резултат в сферата на ищцата. Казано по друг начин, неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т.е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни(съдържаща и лични данни), който предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, е критично висок, води до поддържане вероятността за настъпване събитие от изброените в чл.32, §2 от Регламента в достатъчно продължителен интервал от време над определена критична величина. В обобщение по делото са доказани всички необходими елементи за реализиране правото на обезщетение и отговорност за причинени вреди по чл.82 ОРЗД на ищцата А. М.. При заявената от ищцата претенция за присъждане обезщетение в размер на 1000лв. и предвид установения по делото интензитет на негативно увреждане(претърпените неимуществени вреди), подлежащи на обезщетяване, жизненият стандарт и инфлационните процеси в страната, настоящият съдебен състав приема, че справедливият размер на дължимото обезщетение е 500 лева. Решението на АССГ като неправилно-постановено при наличие на касационното основание по чл.209, т.3, предл. първо и трето, следва да се отмени, като вместо това се постанови друго по съществото на спора, с което Национална агенция за приходите, в качеството й на администратор на лични данни бъде осъдена на основание чл.82, §1 и §2 от Регламент (ЕС) 2016/679, да заплати на А. М. обезщетение за нанесени неимуществени вреди в размер на 500 лева. Исковата претенция за разликата над 500лв. до пълния предявен размер от 1000 лв. следва да отхвърли се като неоснователна и недоказана. При този изход на спора и направеното искане за присъждане на разноски на ищцата, и съдържащата се в искането претенция за присъждане адвокатско възнаграждение предвид представителството на същата от адвокат по реда на чл.38, ал.2 вр. ал.1, т.3 ЗА, в полза на адвокат С. Ю. от Софийска адвокатска колегия следва да определи възнаграждение съразмерно с уважената част на иска и съобразно чл.8, ал.1, т.2 от Наредба 1 от 09.07.2004г. за минималните размери на адвокатските възнаграждения, в размер на 150лв., платимо от администрацията на ответника, а Национална агенция за приходите бъде осъдена да заплати на А. М. сума в размер на 15 лева- платена от ищцата държавна такса за две съдебни инстанции. Водим от горното и на основание чл.221, ал.2, изр. първо, предложение второ от АПК, Върховният административен съд, състав на Пето отделение