Решение № 5896 от 4.6.2025 г. на ВАС по адм. д. № 2642/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Национална агенция за приходите срещу Решение 4117/07.02.2025 г. на Административен съд София - град /АССГ/, постановено по адм. дело 9295/2024 г., в частта, в която Национална агенция за приходите/НАП/Агенцията/ е осъдена да заплати на Д. С. Д. сума в размер на 500 /петстотин/ лева, представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. както и разноски по делото в размер на 600 лв., представляващи адвокатско възнаграждение. Решението, в частта, в която е отхвърлен предявеният от Д. Д. иск в останалата му част, до пълния предявен размер от 1000 лв., както и в частта, с която същата е осъдена да заплати разноски на НАП, като необжалвано е влязло в сила и не е предмет на касационната проверка. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 от АПК. Според касатора неправилно АССГ е приел, че е доказано наличието на първия елемент за ангажиране отговорността на НАП - незаконосъобразно бездействие на орган или длъжностно лице на държавата, при или по повод изпълнение на административна дейност от състава на чл.1, ал.1 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/. Твърди, че не са изследвани предприетите от страна на НАП нормативно установени мерки, не било отчетено, че хакерската атака е престъпление, на което НАП е жертва. Подробно описва предприетите от Агенцията действия след публичното разгласяване на данните, нормативната рамка относно обработването и защитата на личните данни, предприетите от НАП технически и организационни мерки. Моли решението, в обжалваната част, да се отмени и се постанови ново, с което се отхвърли иска на Д. Д. срещу НАП. Претендира юрисконсултско възнаграждение за процесуално представителство пред Върховния административен съд/ВАС/. Касационният жалбоподател в съдебно заседание не се явява и не се представлява. Ответникът по касация Д. С. Д. оспорва касационната жалба в писмен отговор, депозиран чрез пълномощника адв. С. Юрукова. Моли обжалваното решение да се остави в сила. Претендира разноски за настоящата инстанция, за което прилага списък на същите. Ответникът по касация не се явява и не се представлява в съдебно заседание. Представителят на Върховната касационна прокуратура дава мотивирано заключение за допустимост и неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувано по предявен иск на Д. Д. срещу Национална агенция по приходите с искане да й бъде заплатена сумата в размер на 1 000 лева, представляваща обезщетение за претърпени неимуществени вреди, настъпили в резултат на неизпълнение в достатъчна степен от ответника на задължението по чл.59, ал.1 от Закона за защита на личните данни /ЗЗЛД/, чл.24 и чл.32 от Общия регламент относно защитата на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета /GDPR/, заедно със законната лихва върху тази сума. Първоинстанционният съд е приел за безспорно, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани общо 6 074 140 субекти на данни. От представената от ищцата Справка от НАП за неправомерно разпространени нейни лични данни, последните са уточнени - ЕГН и имена, данни от декларации, подадени от работодатели/осигурители за осигурените от тях лица, данни от справка за изплатени доходи на физически лица и данни, подадени от организатори на хазартни онлайн игри. Със Заповед ЗЦУ-586/30.04.2014 г. на Изпълнителния директор на НАП е наредено да се внедрят Системи за управление на сигурността на информацията по стандарт БДС ISO/IEC 27001:2006 в НАП. Със Заповед З-ЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от ЗНАП , Указания за обозначаване и работа с информация , Указания за попълване на образци на процедура , Указания за попълване на образеца на инструкция и др. Съдебното производство е образувано след отмяната на Решение 5034 от 29.09.2020 г. постановено по адм. дело 11305/2019 г. по описа на Административен съд София- град с Решение 9693/09.09.2024 г. по адм. дело. 13605/2020 г. по описа на Върховния административен съд и връщането му за ново разглеждане от друг състав, съобразно дадените указания по тълкуването и прилагане на закона. Предвид задължителните указания, дадени с Решение 9693/09.09.2024 г. по адм. дело 13605/2020 г. на ВАС, с разпореждане 20510/18.10.2024 г. по адм. дело 9295/2024 г. съдът е указал доказателствената тежест на ответника, в т.ч. да се представят доказателства за изпълнение на задължението за спазване принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. а и б. е от ОРДЗ, както и обстоятелствата, че приложените от него мерки за сигурност по чл. 32 от ОРДЗ са подходящи. Със същото разпореждане е указана доказателствената тежест на ищцата да представи доказателства за твърдените нематериални вреди, поради опасенията, които е изпитала в следствие на нарушение на регламента от потенциалната злоупотреба с личните й данни. За доказване на претърпени неимуществени вреди по адм. дело 113056/2019 г. са събрани гласни доказателства, чрез разпит на свидетеля М. Б. Д. /син на ищцата/ които съдът е кредитирал доколкото възпроизвеждат лични впечатление на свидетеля от ищеца, независимо, че са в родство с ищцата. Същите са преценени от АССГ като логични и последователни и непротиворечиви. Посочил е ,че от друга страна по делото не са ангажирани доказателства, които да ги оборват. При повторното разглеждане на спора, освен събраните и приобщени по адм. дело 11305/2019 г. доказателства, не са представени и приети други писмени и гласни доказателства. Въз основа на така установените факти съдът е приел, че искът е допустим и частично основателен. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 от ЗОДОВ, е посочил, че в случая исковата претенция се основава на незаконосъобразно бездействие на администратора на лични данни, поради което незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение чл. 204, ал. 4 от АПК. Съдът е анализирал разпоредбите на чл. 203 от АПК, чл. 2в от ЗОДОВ и е приел подадените искове за допустими, поради което е пристъпил към разглеждането им по същество по реда на глава ХІ от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Съдът е намерил, че е налице първата предпоставка на визираната в чл. 1, ал.1 от ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Посочил е, че съставомерно в този случай е липсата на активно поведение на компетентен орган да извърши конкретни фактически действия. Цитирал е Решение от 14.12.2023 г. на трети състав на СЕС по дело С-340/2021 г. съгласно което чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи .