Решение № 12723 от 25.11.2024 г. на ВАС по адм. д. № 6857/2024 г.

Производството е по чл. 208 и сл. от Административно процесуалния кодекс (АПК). Образувано е по касационна жалба на Националната агенция за приходите (НАП), подадена чрез пълномощника ст. юрк. П. Иванова, срещу решение 950/08.05.2024 г. постановено по адм. дело 219/2021 г. по описа на Административен съд - Добрич, с коeто НАП е осъдена да заплати на Т. Г. Г. сумата от 300 лева, представляваща обезщетение за причинени неимуществени вреди, вследствие от незаконосъобразното бездействие на ответника, изразяващо се в неизпълнение на задълженията му по чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 (ОРЗД), довело до неправомерното разкриване и разпространение на лични данни на ищеца, ведно със законната лихва, считано от датата на влизане в сила на решението по настоящото дело до окончателното изплащане на сумата, като НАП е осъдена заплати на Т. Г. Г. сумата от 30 лева, представляващи разноски по делото. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, като неоснователен. В тази част, решението не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Твърди също така, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано съдът е приел, че е налице твърдяното незаконосъобразно бездействие. Подробни съображения излага в касационната жалба. Моли решението да бъде отменено. Претендира разноски. Ответникът Т. Г. Г. не ангажира становище по касационната жалба. Представителят на Върховната прокуратура дава становище за неоснователност на касационната жалба. Върховният административен съд намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е неоснователна. Пред АдмС - Добрич е предявен иск с правно основание чл. 79, ал. 1, вр. чл. 82, пар. 1 от Регламент (ЕС) 2016/679, разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Ищецът Т. Г. Г. е претендирал обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, в качеството му на администратор на лични данни по см. на чл. 4, т. 7 от Регламента, а именно да изпълни задълженията си по чл. 32 и 34 от Регламента, да защити по сигурен начин данните на ищеца като гражданин, което е станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. Производството по адм. дeло 219/2021 г. по описа на АдмС Добрич се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 254/17.08.2020 г. по адм. дело 35/2020 г. на АдмС Добрич, с решение 5786/13.05.2021 г. по адм.дело 11013/2020 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. Съдът е приел за установено от фактическа страна, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани (над 6 000 000 субекти на данни). От приложената от НАП справка (л.6) е установено, че са разкрити и данните на ищеца, Т. Г. Г. и че същите включват ЕГН, имена, данни за глоби за нарушения по Закона за движение по пътищата до 2004 г., данни от годишни данъчни декларации по чл.41 от ЗОДФЛ за 2004 г. и за 2003 г. При повторното разглеждане на делото, в изпълнение на дадените указания от Върховния административен съд,на ответната страна са били дадени изрични указания с определение 562/19.12.2023 г., че носи тежестта да докаже, че в качеството си на администратор, обработващ лични данни, по никакъв начин не е отговорен за събитието, причинило вреди. На ответника е указано също, че той носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл.32 от ОРЗД (Общия регламент за защита на данните) са подходящи. Процесуалният представител на ответника в писмена молба e заявил, че няма да сочи други доказателства, освен събраните при първоначалното разглеждане на делото. По делото е представено писмо с изх. ППН-01-111/2020#2 от 18.02.2020 г. на Комисията за защита на личните данни (л.27 и сл.), в уверение, че в хода на извършена проверка от страна на КЗЛД е установено, че при осъществяване на дейността си НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица в различен обем. За да постанови атакуваното пред настоящата инстанция решение, съдът е приел от правна страна, че предявеният осъдителен иск е с правно основание чл. 79, ал. 1, чл. 82, пар.1 от ОРЗД, във вр. с чл. 39 от ЗЗЛД, чл. 203 АПК, във вр. чл. 1, ал. 1 от ЗОДОВ, а ответникът НАП, в качеството му на администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, с оглед представените доказателства, не е изпълнил задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Според съда, независимо от приемането на вътрешни правила и политики, НАП не е осигурила достатъчна надеждност на информационната си система. Не са ангажирани конкретни доказателства относно това, че преди установения теч на лични данни е бил осъществяван предвиденият в редица документи мониторинг, периодична оценка на риска и прилагане на конкретни мерки от техническо естество за ограничаване на рисковете за сигурността ри обработването на лични данни. Приел е, че в качеството си на администратор на лични данни НАП следва да прилага подходящи технически и организационни мерки и съгласно чл.59, ал.1 ЗЗЛД. При така установеното е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Относно претърпяната вреда от ищеца, съдът е приел, че от показанията на разпитаните по делото свидетели се установява безспорно, че действително Г. се е чувствал силно притеснен и обезпокоен. Поради естеството на работата му на полицейски служител той е съзнавал напълно до какви възможни неблагоприятни последици за него и семейството му може да доведе разкриването на личните му данни имена, ЕГН, информация от данъчни декларации. Негативните емоции и психически дискомфорт, който изпитва всеки средностатистически на емоционално ниво човек и които са породени от опасения, че в един неизвестен бъдещ момент може да бъде злоупотребено с неговите лични данни, са достатъчни да обосноват причиняване на неимуществени вреди в резултат на страх и безпокойство. С оглед изложеното е приел, че събраните по делото гласни доказателства установяват причиняването на неимуществени вреди на ищеца. Претърпените от ищеца психически и емоционални неудобства са в резултат от нарушението на регламента и неизпълнение на вмененото от закона задължение на НАП по осигуряване на защита на обработваните от нея данни на задължените лица, проявено под формата на бездействие, поради което е счел за доказана налична пряка причинна връзка между установеното бездействие и причинените на ищеца неимуществени вреди. При така установеното от фактическа и правна страна съдът е постановил оспореното решение, което е неправилно в частта, в която е посочен като правно основание на уважения иск чл.59 ЗЗЛД. Тази разпоредба е неотносима към задълженията на НАП като администратор на лични данни. Същата се намира в глава осма ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, вкл. предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Поради това в тази част решението е неправилно и следва да бъде отменено. Като краен резултат решението в останалата обжалвана част е правилно. Правното основание на предявения иск е чл.82 ОРЗД Право на обезщетение и отговорност за причинени вреди, според който (чл.82, §1,2,3 ОРЗД) 1. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. 2. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях.; 3. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Съгласно чл. 82, § 6 от Регламент (ЕС) 2016/679, съдебните производства във връзка с упражняването на правото на обезщетение при нарушаване на правата на субекта на лични данни, произтичащи от Регламента, се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в чл. 79, § 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора на лични данни е съответно на ОРЗД. Незаконосъобразността на същите, което е в пряка причинна връзка с претендираната вреда е основание за ангажиране на отговорността на извършителя и в този контекст чл. 39, ал. 2 ЗЗЛД дава правна възможност на субекта на данни да предяви и претенцията за обезщетение, която да бъде разгледана в същото производство. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета Производство за обезщетения на АПК. Следователно, правото да се претендира обезщетение за вреди, причинени от администратор на лични данни при или по повод обработване на лични данни на засегнатия субект се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК с препращане за неуредените въпроси към ЗОДОВ и ГПК. С оглед посоченото правно основание, което е правилно определено от първоинстанционния съд, три са изискуемите предпоставки, съдържими в предмета на доказване за реализиране правото на обезщетение и отговорност за причинени вреди по чл.82 ОРЗД: Нарушение на Регламент (ЕС) 2016/679 извършено от администратор или обработващ лични данни( по см. на чл.4, §7 и §8 от Регламента), доказано по съответния процесуален ред; претърпяна от лице материална или нематериална вреда; причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. От значение за разрешаването на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., като производството по настоящото дело е било спряно до постановяването му. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. От доказателствата по делото може да се направи категоричен извод за наличие на трите предпоставки за основателност на иска по чл. 82 ОРЗД - допуснато от администратора на данни нарушение на Регламент (ЕС) 2016/679, наличие на нематериална вреда и причинна връзка между претърпяната вреда и нарушението на Регламента. Първоинстанционният съд обосновано е приел от установените по делото факти, че е налице първата предпоставка - нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни спрямо правата на ищеца, в качеството му на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, § 3 ОРЗД, НАП не доказва в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да минимизира риска от нерегламентиран достъп на трети лица. Независимо от правилно разпределената тежест на доказване от първоинстанционния съд, Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищеца са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано съдът е приел за установено твърдението на ищеца за бездействие от страна на НАП. Следователно, администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищеца и останалите физически лица. По изложените съображения касационният състав намира за правилен извода на първоинстанционния съд, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Ирелевантно за спора е изследване на деянието хакерска атака или др. и неговия характер, както правилно е приел първоинстанционния съд. Правилно и обосновано въз основа на събраните по делото доказателствата съдът е намерил, че са налице втората и третата предпоставка за основателност на исковата претенция. Защитата на физическите лица във връзка с обработването на лични данни е основно право.