Решение № 6133 от 20.5.2024 г. на ВАС по адм. д. № 76/2022 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба (именована въззивна жалба), подадена от Банка ДСКАД, чрез процесуален представител, срещу решение 5762 от 13.10.2021г., постановено по адм. дело 9168/2020г. по описа на Административен съд София-град /АССГ/, в частта, с която Банка ДСКАД е осъдена да заплати на В. М. С. сумата в размер на 1000 лева, представляваща обезщетение за неимуществени вреди-притеснения и тревоги, причинени от разкриването на лични данни, което е резултат от бездействието да се изпълни чл.24, §1 и чл.32, §1, б.б от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните, ОРЗД, Регламента), изразяващо се в неосигуряване на подходящи технически и организационни мерки за гарантиране сигурността и поверителността при обработването на личните данни от кредитното досие, съставено във вр. с договор за ипотечен кредит от 16.12.2004г.. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменително основание съгласно чл.209, т.3 от АПК. Моли решението да бъде отменено и да се отхвърли исковата претенция. Подробни съображения излага в касационната жалба. Претендира разноски. Ответникът - В. М. С., чрез процесуален представител оспорва касационната жалба. Съображения излага в писмен отговор. Моли касационната жалба да се отхвърли като неоснователна. Претендира разноски. Прокурорът от Върховна прокуратура дава мотивирано заключение за основателност на касационната жалба. Настоящият състав на Върховния административен съд, пето отделение приема, че касационната жалба е подадена в срока по чл.211, ал.1 АПК и е допустима. Разгледана по същество е неоснователна. За да постанови този резултат Административен съд София-град е приел, че срещу Банка ДСКАД е предявен иск с правно основание чл.82, §1 и §2 ОРЗД, с цена на иска 5000 лева, представляваща обезщетение за претърпени неимуществени вреди( страх, притеснения и стрес от злоупотреба с лични данни и психическо натоварване), вследствие на незаконосъобразно бездействие на Банка ДСКАД, изразяващо се в неизпълнение в достатъчна степен на задължение по чл.59, ал.1 ЗЗЛД и по чл.24 и чл.32 ОРЗД, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, ведно със законната лихва върху тази сума, считано от датата на подаване на исковата молба до окончателното изплащане на сумата. Съдът е счел, че в тежест на ищеца е да установи нарушението на ответника да изпълни задължението си за прилагане на подходящи технически и организационни мерки за осигуряване на надеждност, сигурност и защита при обработването на личните данни на ищеца, съдържащи се в кредитното му досие, да установи, че неизпълнението на посочените задължения е довело до неразрешено разкриване или достъп до лични данни на ищеца, както и да установи настъпването на неимуществените вреди и причинно-следствена връзка между нарушението и неимуществените вреди. Приел е, че в тежест на ответника е да докаже възраженията си по чл.83, §3 ОРЗД, че е приел подходящите технически и организационни мерки, за да избегне вредоносния резултат. АССГ е приел, че Банка ДСКАД не е изпълнило задълженията, произтичащи от чл.24, §1 и чл.32, §1, б.б от Регламент (ЕС) 2016/679, тъй като не са приложени подходящи технически и организационни мерки за гарантиране поверителността и сигурността при обработването на личните данни на ищеца, налице е неразрешено разкриване на лични данни, доколкото личните данни от кредитното досие на ищеца са попаднали в трети лица без неговото съгласие и без това да е свързано с изпълнение на целите на администратора за обработването на данните. Според съда Банка ДСКАД е разработило редица технически и организационни мерки, отнасящи се за сигурността при обработването на личните данни, но в случая извършеното неразрешено разкриване на лични данни (неправомерно отнемане на хард диск от банката, в който са налични файлове с информация за кредитните досиета) отразява обективен факт, че подобно действие е допуснато и не е предотвратено от взетите технически и организационни мерки, което означава, че същите не са достатъчно подходящи по см. на чл.24, §1 и чл.32, §1, б. б от Регламент (ЕС) 2016/679. Съдът е установил, включително от показанията на разпитания по делото свидетел М. И., ценени с оглед разпоредбата на чл.172 ГПК вр. чл.144 АПК, че разкриването на лични данни е предизвикало тревоги и притеснения у ищеца, които представляват неимуществени вреди, без оглед на това дали реално ще последва злоупотреба с разкритите лични данни, а видът и степента на засягане личната сфера на лицето имат значение само за размера на обезщетението. АССГ е приел, че е налице причинна връзка между преживяванията на ищеца и бездействието на ответника (неизпълнение на задължения), довело до разкриване на лични данни, като в случая притесненията и тревогите са следствие на това, че данните на ищеца са на разположение на трети лица. Съдът е посочил, че причиняването на усещане за тревога от нарушената сигурност на защитимото благо (лични данни) е достатъчно, за да се ангажира отговорност на лицето, което има задължение да я гарантира. При определяне на обезщетението в размер на 1000 лева, като компенсиращо понесените неимуществени вреди, изразяващи се в притеснения и тревоги, съдът е отчел изпитаните от ищеца притеснения и тревоги, които не са по-големи от обичайните, периодът на изпитаните притеснения, и видът на разкритите лични данни (имена, ЕГН и адреси), позволяващи пряка идентификация на ищеца, както и копие на нотариален акт, съдържащ данни за индивидуализация на лицето и неговото единствено жилище, включително визуализиране на подписа. Решението е валидно, допустимо, и правилно. С определение от 09.02.2022г. на основание чл.229, ал.1, т.4 от ГПК вр. с чл.144 от АПК производството по делото е спряно до приключване на производството по дело С-340/21г. на Съда на Европейския съюз /СЕС/ по преюдициално запитване, отправено на осн. чл.267 ДФЕС от ВАС на РБ. Производството по дело С-340/21г. на СЕС е приключило с постановяване на Решение на Съда (трети състав) от 14.12.2023г., след което настоящото съдебно производство е възобновено. Първоинстанционният съд вярно е квалифицирал иска по чл.82 §1 вр. §2 от Регламент (ЕС) 2016/679, и предвид предмета на доказване правилно е разпределил доказателствената тежест на страните в процеса. Съгласно чл.24 §1 ОРЗД администраторът на лични данни трябва да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с ОРЗД. Регламентът въвежда изискване тези мерки да са съобразени с естеството, обхвата, контекста и целите на обработването, както се вземат предвид рисковете с различна вероятност и тежест за правата и свободите на физическите лица, както и преразглеждане и при необходимост актуализирането им. В частта по Раздел 2 Сигурност на личните данни, чл.32 Сигурност на обработването Регламента установява задължение за администратора и обработващия лични данни, имайки предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, да прилагат подходящитехнически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност. В конкретния казус в хипотеза на възложена доказателствена тежест на Банка ДСКАД (съответна на приетото решение по дело С-340/21г. на СЕС), ответникът не установява, че разработените от банката до момента на извършеното нарушение на сигурността на личните данни през м.май 2019г.( физическа кражба на електронни копия на документи от 23270 кредитни досиета на ипотечни и жилищни кредити, включително кредитното досие на ищеца, всички съхранявани на физически носител- харддиск) технически и организационни мерки са подходящи, вземайки предвид рисковете, свързани с обработването на личните данни, съдържащи се в кредитните досиета, част от които е препятстване възможността трети лица да копират на физически носител и изнесат електронни копия на документи от вида на горепосочените, съдържащи лични данни. В случая представените от банката писмени доказателства за предприети подходящи политики на данните, съдържащи се в правила за защита наличните данни, правила за банкова сигурност, правила за сигурност на информацията, политика за съответствие и сигурност на Банка ДСКАД, включително посочените примери за прилагани организационни мерки, не обосновават освобождаване от отговорност на банката по см. на чл.83, §3 ОРЗД в качеството й на администратор на лични данни, защото по делото не е доказано, че банката по никакъв начин не е отговорна за събитието, причинило вредата. По делото не се установява, че прилаганите до този момент от банката технически и организационни мерки, предвид тяхното естество, и във връзка с предмета на дейност на дружеството-администратор на лични данни, са били в достатъчна степен съответни на рисковете, свързани с обработването на лични данни, съдържащи се в кредитни досиета, включително относимо към мерки, свързани с намаляване в достатъчна степен на вероятността за физическа кражба на материални носители, в които има лични данни на клиенти на банката. Допълнителен аргумент в този смисъл се съдържа в писмо на ответника изх.16-10-04811/1 от 10.10.2019г. до ищеца, където се сочи, че Банка ДСКАД е предприела след установяване на нарушението промени в прилаганите технически и организационни мерки за защита на данни, целящи предотвратяване на подобни нарушения в бъдеще. Правилно АССГ предвид събраните гласни доказателства е приел за доказани неимуществени вреди, изразени в негативни преживявания от страна на ищеца- тревоги и притеснения, при наличие на причинна връзка между тях и незаконосъобразното бездействие на ответната страна за предприемане на подходящи технически и организационни мерки. Определеният от съда размер от 1000 лева на обезщетението е съответен на изискването на чл.52 ЗЗД, с отчетени степен и продължителност на изпитаните от ищеца притеснения и тревоги, като и вида и обема на разкритите лични данни. Не се кредитират възраженията на касатора. Регламент (ЕС) 2016/679 е пряко приложим от 25.05.2018г. на осн. чл.288 ДФЕС вр. чл.99 §2 от Регламента. Задължението на администратора на лични данни за прилагане подходящитехнически и организационни мерки и упражняване правото на субекта на данни по чл.82, §1 от Регламента, по аргумент от решение от 22.06.2013г. по Дело C-579/21 на СЕС не е обвързано с датата на влизане в сила на ОРЗД при започнали операции по обработване на личните данни на този субект преди тази дата ( в случая 2004г.). Ирелевантна за настоящото производството е процедурата по евентуално ангажиране на административнонаказателна отговорност на ответника. Без значение също така е дали администраторът на лични данни търпи вреди от чуждо неправомерно поведение. Неотносими към производството по делото са евентуалните знания на ищеца относно функционирането на държавните институции и неговата месторабота. Бъдещи събития, свързани с неправомерното обработване на лични данни в резултат на процесното нарушение извършено от администратора, са относими само като хипотеза при разглеждане на възможна потенциална злоупотреба с лични данни на ищеца при преценка относно изпитани от ищеца опасения вследствие на конкретното нарушение на Регламента, за която хипотеза Решението по дело С-340/21 на СЕС дава категоричен отговор. Предвид изложеното като е приел, че са налице елементите на фактическия състав на отговорността по чл.82, §1, вр. §2 ОРЗД, първоинстанционния съд е постановил съдебен акт в съответствие с материалния закон. Противно на твърденията на касатора не се установяват допуснати от административния съд съществени процесуални нарушения. Процесът е проведен при спазване правилата на исковото производство, и правилно разпределена доказателствена тежест в процеса. Не е процесуално нарушение от категорията на съществените оставеното без уважение от съда искане от страна на ответника за извършване разпит на ищеца, предвид изложените от АССГ съображения в определение 5580/27.07.2021г., които се споделят от настоящата инстанция. Решението на съда е постановено след събиране на допустимите и относимите към предмета на съдебното производство доказателства и след тяхното обсъждане, включително и доводите на страните. Решението на първата инстанция е обосновано. Изводите на съдебния състав кореспондират със събраните по делото доказателства и са формирани след тяхната правилна преценка. На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са допуснати посочените от касатора нарушения по чл.209, т.3 от АПК, поради което същото следва да бъде оставено в сила. Предвид изхода на спора претенцията на ответната страна за присъждане на разноски за касационната инстанция не се уважава защото по делото липсват доказателства за сторени такива. По изложените съображения и на основание чл.221, ал.2 АПК, Върховният административен съд, Пето отделение