Решение № 6209 от 25.05.2021 г. на ВАС по адм. д. № 2602/2021 г.

Решение № 6209 от 25.05.2021 г. на ВАС по адм. д. № 2602/2021 г., V о., докладчик съдията Емил Димитров Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите/НАП/, чрез процесуален представител, против Решение № 1/04.01.2021 г. постановено по адм. дело № 2995/2019 г. на Административен съд Пловдив/АС-Пловдив/, с което НАП е осъдена да заплати на Я. К. от гр. Пловдив, сумата от 1/един/ лев, съставляваща обезщетение за неимуществени вреди, в резултат на незаконосъобразно бездействие, съставляващо нарушение на чл. 32 от Общ регламент за защита на личните данни/ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /ОРЗД, Регламента/, както и сумата от 10/десет/лв., съставляващи направени разноски по делото. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон и необосновано – отменително основание съгласно чл. 209, т. 3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба и в писмени бележки. Претендира разноски. Ответникът- Я. К., чрез процесуален представител оспорва касационната жалба. Съображения излага в писмен отговор. Претендира разноски. Прокурорът от Върховна административна прокуратура дава становище за основателност на касационната жалба. Касационната жалба е подадена в срок и е допустима, а разгледана по същество е неоснователна. За да постанови обжалваното решение, АС-Пловдив в проведено производство по реда на чл. 203 и сл. АПК вр. чл. 1, ал. 2 ЗОДОВ, е приел, че в случая се претендира обезщетение по чл. 1, ал. 1 ЗДОВ, основано на незаконосъобразно бездействие от страна на НАП, като администратор на лични данни, а именно неизпълнение на задължения на НАП, произтичащи пряко от чл. 32 и чл. 34 ОРЗД, в резултат на което ищеца е претърпял неимуществени вреди, при упражнено общо право на иск, при липса на процесуална пречка за допустимостта му, основана на разпоредбата на чл. 39, ал. 4 ЗЗЛД. Съдът е приел за установено, че на 15.07.2019 г. било регистрирано налично изтичане на лични данни от информационната система на НАП, което било отразено в нарочно водения от Агенцията регистър за събития и инциденти, касаещи информационната сигурност в НАП и което било обявено публично чрез редица медийни публикации. Въпросните бази данни с лични данни /име, ЕГН и др. /, обработвани и поддържани от НАП, били публикувани в Интернет пространството. За така установения теч на лични данни, които НАП обработвала в качеството й на администратор на лични данни, ответната агенция извършила уведомление до КЗЛД на основание чл. 33 от Регламент /Е0/ 2016/679, като в тази връзка и предвид медийното обявяване на извършен пробив в сигурността на данните на НАП, КЗЛД се и самосезирала, като била назначена и извършена проверка. Срещу НАП било издадено наказателно постановление № 004/28.08.2019 г. от Председателя на КЗЛД, което било обжалвано от НАП и в което било прието, че при проверката от представените документи от НАП се потвърдило, че информацията с лични данни, до която бил осъществен нерегламентиран достъп и която е публикувана в Интернет пространството, е част от информационните масиви на НАП. Заключено било, че НАП, в качеството си на администратор на лични данни съгласно чл. 4, т. 7 от Регламент /Е0/ 2016/679, при осъществяване на дейността си, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица от информационните бази данни, поддържани от агенцията - имена, ЕГН и адреси на български и чуждестранни граждани, телефони, електронни адреси, данни от годишни данъчни декларации на физически лица, данни от справките за изплатени доходи на физическите лица, данни от) осигурителни декларации, данни за здравноосигурителните вноски и др. В наказателното постановление било прието, че е нарушен чл. 32, § 1, б. "б" от Регламент/Е0/2016/679 и поради това на НАП била наложена имуществена санкция. В действителност, въпреки че в годините преди и след влизане в сила на Регламент /Е0/ 2016/679 от страна на НАП били приети и утвърдени множество документи, касателно защитата на информационната сигурност в агенцията, като НАП внедрила и системи за управление на сигурността на информацията по стандартите за осигуряване неприкосновеността на информацията /ISO 27001 и приела различни мерки и политики, те не били прилагани ефективно на практика и в реални условия, като не се извършвали напр. периодични одити на сигурността на информацията, нито т. нар. "стрес тестове" и това предпоставило и успеха на хакерската атака от лятото на 2019 г. В жалбата си срещу наказателното постановление НАП посочила, че след влизане в сила на въпросния Регламент /Е0/ 2016/679, или от 25.05.2018 г. до датата на установения теч на не били въвеждани нови технологии във връзка с обработването на лични данни, поради което и не била възникнала от извършване оценка на въздействието на предвидените операции по обработването върху защитата на личните данни и това било причината такава оценка да липсва. Във връзка с установения теч на данни били уведомени и правоохранителните органи, като започнало разследване на т. нар. хакерска атака, както и били уведомени всички държавни и финансови органи и институции, които биха имали отношение към случая. От НАП било разработено и специално приложение на разположение на гражданите, от извършена персонална проверка относно това дали лични данни са обект на неоторизиран достъп, което приложение заработило към 25.07.2019 г. Още на същата дата ищецът К., ползвайки приложението, получил електронно съобщение, че има неправомерно разкрити лични данни. След получаване на съобщението К. бил притеснен и уплашен и се заел да сменя ПИН кодове и пароли, започнал да се консултира с IT - специалисти, както и да търси информация какви точно негови лични данни са станали обект на неоторизиран достъп. След време ищецът получил и информация относно вида на изтеклите данни, които били такива относно неговият ЕГН, както и подавани от него декларации. По делото е разпитан свидетел, от показанията на който се установява, че след теча на данни К. е бил притеснен и уплашен, станал по разсеян и неспокоен в по-голяма степен. Започнал да сменя пароли и ПИН-кодове, да рови за информация, писал жалби и писма до НАП да пита които точно негови данни са изтекли и се консултирал с IT специалисти как да защити данните си. По делото пред АС-Пловдив е допусната СТЕ, по която е изготвено и прието заключение на ВЛ Д. Д.. При тези факти АС-Пловдив е приел, че за реализиране отговорността на държавата по чл. 1, ал. 1 ЗДОВ, следва да са налице кумулативно определени предпоставки: да има причинена вреда-имуществена или неимуществена; да съществува незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината; незаконосъобразният акт или бездействието да са при или по повод изпълнението на административна дейност; пряка и непосредствена причинна връзка между незаконосъобразният акт, действието или бездействието и настъпилата вреда. Съдът е приел за безспорно, че НАП има качеството на администратор на лични данни по см. на чл. 4, т. 7 от ОРЗД, и че са изтекли лични данни, обработвани от НАП, което обстоятелство е установено и обявено на 15.07.2019 г. Според съда от доказателствата по делото не се установява да е било налице незаконосъобразно бездействие от страна на ответника, изразило се в нарушение на чл. 34 ОРЗД, но е доказано твърдяното противоправно бездействие, изразило се в нарушение на чл. 32 ОРЗД. АС-Пловдив е счел, че независимо от наличието на значителна по обем документация във вр. с опазване сигурността на личните данни, които администрира НАП, същата в по-голямата си част е само с декларативен характер, като предвидените мерки и практики за защита на личните данни или не са били прилагани изобщо, или не са били прилагани в необходимия за това обем и с необходимата честота. В тази връзка представените от страна на ответника писмени доказателства единствено установяват взетите от страна на администратора на лични данни мерки от организационно естество, насочени към сигурността на обработването на лични данни, но не и реалното приложение на тези мерки на практика, нито пък прилагането на чисто технически по своя характер мерки за осигуряване необходимото ниво на сигурност. Съдът е приел, че въпреки указаната доказателствена тежест, ответникът по иска не е ангажирал конкретни доказателства относно това, че преди установения теч на лични данни е бил практически осъществяван предвиденият в редица документи мониторинг, периодична оценка на риска и прилагане на конкретни мерки от техническо естество за ограничаване рисковете за сигурността при обработката на лични данни. Според АС-Пловдив от изводите на техническата експертиза, както и разясненията по нея, дадени от вещото лице ставало ясно, че, в НАП не е бил провеждан преди датата на установеното неправомерно въздействие върху информационната система съответен периодичен одит на информационната сигурност, който да даде обективна оценка на ефективността на въведените контроли и защити срещу съществуващи и възникващи заплахи, нито са били провеждани т. нар. "стрес тестове" на системите с необходимата периодичност, нито са проигравани хипотетично възникнали ситуации с оглед бързата и своевременна намеса при реално възникнала рискова ситуация, като в тази насока приетите документално политики, макар да съответстват на международните стандарти, не са били прилагани ефективно в реални условия. По признанието на ответника понеже не били разработвани нови информационни системи или услуги в периода от влизане в сила на Регламента до 15.07.2019 г. и не били използвани нови технологии, то изискванията на Регламента касателно информационната сигурност не били приложими, а следвало да се прилагат единствено при внедряване на нова информационна система или услуга. Съдът е достигнал до извод, че не се установява поведение на ответника, адекватно на изискваното по чл. 3 от Регламента, като НАП само е констатирала етапа на самото разпространение на данните в интернет пространството, но липсват данни да е идентифицирала самото достъпване на данните и тяхното копиране. Според съда наличието или липсата на осъществено престъпно деяние, за каквото действително са налице данни да се води разследване, не може да освободи ответника от отговорност за събитието от 15.07.2019 г., което безспорно причинява вреда и ответникът не е доказал в производството, че по никакъв начин не е отговорен за това събитие, доколкото, то е било улеснено и предпоставено от липсата на активни действия по защита сигурността на личните данни, свързани с периодична оценка и актуализиране на взетите мерки, което да е съобразено с достиженията на техническия прогрес. Извел е заключение за категорично установена претърпяна от ищеца вреда от допуснатия нерегламентиран достъп и разпространение на личните му данни, като ищеца е изпитал страх и притеснение за това да не бъде злоупотребено с личните му данни, в която връзка са били и действията му, насочени към промяна на пароли и кодове и консултации със съответни специалисти как да зашити данните си, като така сложилите се събития по изтичане и разпространение на лични данни /включващи и ЕГН на ищеца/ са от естество и обективно да предизвикат негативните изживявания на ищеца, доколкото се касае до засягане правната сфера на физическо лице., и в този смисъл съдът е счел за доказана налична пряка причинна връзка между установеното бездействие на ответника по делото и причинените на ищеца неимуществени вреди. Решението е правилно като краен резултат. При неправилно определено правно основание на предявения иск, но при установена фактическа обстановка, кореспондираща със събраните по делото доказателства и правилно разпределена доказателствена тежест между страните, АС-Пловдив е достигнал до споделящи се от настоящия съдебен състав заключения относно наличието на вреда с неимуществен характер, нарушени разпоредби от приложимата материалноправна уредба, причинна връзка между претърпяната вреда и нарушените разпоредби, и основателност на иска за обезщетение за вреди от допуснато нарушение на Регламента. Противно на възприетото от първостепенния съд, правното основание на предявения иск е чл. 82 ОРЗД "Право на обезщетение и отговорност за причинени вреди" ( виж посоченото от ищеца на стр. 3 от исковата молба), според който (чл. 82, § 1 ОРЗД) 1. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Съгласно чл. 82, § 2, 3, 4, 5, 6 ОРЗД: 2. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях.; 3. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата.; 4. Когато в една и съща операция по обработване участват повече от един администратор или обработващ лични данни или участват и администратор, и обработващ лични данни, и когато те са отговорни по параграфи 2 и 3 за вреда, причинена от обработването, всеки администратор или обработващ лични данни носи отговорност за цялата вреда, за да се гарантира действително обезщетение на субекта на данни.; 5. Когато администратор или обработващ лични данни е изплатил съгласно параграф 4 пълното обезщетение за причинената вреда, той има право да поиска от другите администратори или обработващи лични данни, участвали в същата операция по обработване на лични данни, да му възстановят част от платеното обезщетение, съответстваща на тяхната част от отговорността за причинената вреда в съответствие с условията по параграф 2.; 6. Съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2. С оглед посоченото правно основание, три са изискуемите компоненти, съдържими в предмета на доказване за реализиране правото на обезщетение и отговорност за причинени вреди по чл. 82 ОРЗД: претърпяна от лице материална или нематериална вреда; нарушение на Регламент (ЕС) 2016/679 извършено от администратор или обработващ лични данни/ по см. на чл. 4, § 7 и § 8 от Регламента/, доказано по съответния процесуален ред; причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. Доказателствената тежест в процесното съдебно исково (а не административно) производство, съгласно разпоредбата на чл. 82, § 3 ОРЗД, при възражение за освобождаване от отговорност за причинени вреди в резултат на нарушаване на Регламента, поради това, че администратор на лични данни не е осигурил и не е приложил подходящи технически и организационни мерки, е изцяло в тежест на администратора и обработващия лични данни–НАП, ответна по делото пред АС-Пловдив страна, който следва да докаже, че обработването на личните данни се извършва в съответствие с Регламента. Съответно доказателствената тежест за доказване на настъпилата неимуществена вреда е изцяло за ищеца. В този смисъл правилно съдът е приел, че НАП има качеството на администратор на лични данни по см. на чл. 4, т. 7 от ОРЗД, като за доказване изпълнение задълженията си в това му качество, произтичащи от Регламента и ЗЗЛД, ответника е представил по делото писмени доказателства за предприети мерки. Въпреки недостатъчната процесуална активност на ответника, съдът правилно с оглед правомощията му по чл. 171, ал. 2 АПК е допуснал и назначил съдебно-техническа експертиза за установяване релевантните за спора факти- дали взетите мерки от страна на НАП от технически и организационен характер са били достатъчни с оглед осигуряване на сигурността при обработването на лични данни. Настоящата съдебна инстанция, съобразно приетите по делото и неоспорени от страните доказателства, включително заключението на ВЛ Димитър Д. по извършената СТЕ по делото, намира за безспорно установено, че поради нерегламентиран достъп, в следствие на умишлени действия от страна на неизвестно лице, осъществен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6074140 физически лица, от които 4104786 живи ФЛ, български и чужди граждани, и 1989598 починали ФЛ, включващи следните категории лични данни на ФЛ-имена, ЕГН, адреси, телефони, електронни адреси и др. информация за контакт, данни от ГДД на ФЛ, данни от справките за изплатени доходи на ФЛ, данни от осигурителни декларации, данни за здравноосигурителни вноски, за издадени АУАН и др., а ответника не оспорва факта, че по отношение на ищеца К. са налице неправомерно разкрити лични данни от категорията на изброените по-горе- ЕГН и подавани декларации. При тези данни в конкретния казус първоинстанционния съд съобразно установените факти по делото правилно в част от мотивите си е приел, че е налице нарушение на Регламента от Национална агенция за приходите в качеството й на администратор на лични данни, спрямо правата на ищеца, в качеството и на субект на лични данни, при тяхната обработка. Нарушението според настоящия състав, е осъществено чрез бездействие, което се изразява в неосигуряване(невъвеждане) на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца Я. К., и като последица неосигуряване подходящо ниво на сигурност на тези лични данни, което бездействие по същество представлява неточно изпълнение задълженията на администратора на лични данни -НАП по чл. 24 и чл. 32 от ОРЗД. Предвид твърденията на ищеца в исковата молба, при условията на пълно насрещно доказване ответника в процеса Национална агенция за приходи не е установила по делото факти, за доказването на които същата носи доказателствена тежест, а такива факти в случая следва да са мерки(различни по вид с организационен и технически характер), които да са предприети, но и не само-трябва да са осъществени, т. е. въведени по см. на Регламента и да са подходящи, водещи до еднозначен резултат-сигурна обработка на личните данни, което практически означава изградено ниво на сигурност, чиято степен минимизира риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. Ответната страна е проявила недостатъчна процесуална активност, представяйки пред първата инстанция единствено писмени доказателства, от прочита на които не може да се обоснове освобождаване от отговорност на администратора на лични данни по см. на чл. 82, § 3 ОРЗД, т. е. не е доказано в процеса, че администратора на лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Обоснован и съответен на приетите по делото доказателства е извода на първостепенния съд, че ищеца е претърпял неимуществени вреди – страх и притеснение да не бъде злоупотребено с личните му данни.. В този смисъл правилно са кредитирани показанията на допуснатия и разпитан по делото свидетел Е. Я., според които след теча на данни ищеца е бил притеснен и уплашен, станал е разсеян и неспокоен в по-голяма степен. Следва да се отбележи, че в случая предвид характера на събитието не е необходимо каквото и да е активно поведение на пострадалото лице, поради което установените от съда действия на ищеца- смяна на ПИН кодове и пароли, консултации с IT – специалисти и търсене информация какви точно негови лични данни са станали обект на неоторизиран достъп, са ирелевантни. Евентуалната теза за необходимост от някакви действия на субекта налични данни, противоречи на характера на обществените отношения по обработването на лични данни, динамиката на тези данни в обществото и със самия характер на личните данни като дълбоко свързани с персоналната идентичност на субекта, която свързаност е до степен, че дори вероятността за тяхното разкриване, възприета от личността, винаги има за резултат чувствително засягане психическото и емоционално състояние на субекта. Това засягане е с преимуществено негативен характер защото последицата от неправомерното обработване е засягане правата и свободите на личността. В този смисъл доказани от ищеца в случая са понесени от него болки, страдания и неудобства от категорията на обичайната дистресова реакция, т. е. налице е негативно засягане на личността от неправомерното развитие на процесните обществени отношения. Правилно е заключението на АССГ относно наличието на причина връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл. 82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т. е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретиката на казуса поведението на ответника – бездействие(неизпълнение задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни(събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните болки и страдания, т. е. доказания в производството отрицателен резултат в сферата на ищеца. Казано по друг начин, неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т. е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни(съдържаща и лични данни) и проявеното бездействие, предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, води до повишаване този риск до ниво, което поддържа вероятността за настъпване събитие от изброените в чл. 32, § 2 от Регламента в достатъчно продължителен интервал от време над определена критична величина. Ирелевантно за спора е изследване на деянието хакерска атака или др. и неговия характер, както правилно е приел първоинстанционния съд. В обобщение –по делото са доказани всички необходими елементи за реализиране правото на обезщетение и отговорност за причинени вреди по чл. 82 ОРЗД на ищеца Я. К.. Според настоящия състав при заявената от ищеца претенция за присъждане обезщетение в размер на 1/един/лв. и предвид установения по делото интензитет на негативно увреждане(претърпените неимуществени вреди), подлежащи на обезщетяване, правилен е извода на АС-Пловдив за уважаване претенцията в пълния й размер. Предвид изложеното, решението на Административен съд Пловдив като постановено при липса на отменителното основание по чл. 209, т. 3, следва да бъде оставено в сила. Съобразно изхода на спора направеното искане от Я. К. за присъждане на разноски за две съдебни инстанции не следва да се уважава, защото на ищеца в първоинстанционното производство разноски са присъдени, като няма данни за сторени такива в касационното производство. Воден от горното и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, Пето отделение