Решение № 950 от 6.2.2025 г. на ВАС по адм. д. № 2295/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на П. Г. К., чрез процесуален представител адв. Павлов, против решение 969 от 03.12.2020 г., постановено по адм. дело 557/2020 г. по описа на Административен съд Пазарджик (АС Пазарджик). С обжалваното решение е отхвърлен иска на П. Г. К. срещу Националната агенция за приходите за присъждане на сума в размер на 1200 лв., представляваща обезщетение на ищеца за причинените неимуществени вреди, изразяващи се психическо натоварване, притеснения и опасения от всевъзможни злоупотреби с личните данни на ищеца, станали достъпни вследствие т. нар. хакерска атака , при която от електронните масиви на Национална агенция за приходите неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, публично оповестени на 16.07.2019 г., ведно с иска за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане. В касационната жалба са развити доводи за неправилност на оспорения съдебен акт поради неправилно приложение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Иска обжалваното решение да бъде отменено и вместо него да бъде постановено друго, с което да се уважи предявения иск. Не претендира разноски. Ответникът по касационната жалба Национална агенция за приходите (НАП, Агенцията), чрез процесуален представител ст. юрк. Недева, оспорва касационната жалба по съображения изложени в писмен отговор, писмени бележки и в открито заседание. Иска обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за настоящата инстанция. В условията на евентуалност прави възражение за прекомерност на претендираните от касатора разноски. Прокурорът от Върховната прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е основателна по следните съображения: Производството пред АС Пазарджик е образувано по предявен иск от П. Г. К. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в периода 15.07.2019 г. 27.05.2020 г., в размер на 1200 лв., ведно със законната лихва от 15.07.2019 г. до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в психическо натоварване, притеснения и опасения от всевъзможни злоупотреби с личните данни на ищеца, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните й, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните данни на ищеца. От фактическа страна съдът е приел за безспорно, че на 15.07.2019 г. неизвестно лице е осъществило нерегламентиран достъп в информационните масиви на НАП, станал известен като хакерска атака , вследствие на което е разпространена информация, съдържаща личните данни на множество физически лица. По делото е представена справка от НАП, направена с ПИК код със следното съдържание: За подадения идентификатор има разпространени данни. Разпространените данни включват: ЕГН и имена, данни за глоби за нарушения на Закона за движението по пътищата до 2004 г., данни от годишна данъчна декларация по чл. 41 от ЗОДФЛ за 2006 г., данни от данъчна декларация за облагане с патентен данък по чл. 43 от ЗОДФЛ за 2003 г., данни от декларации, подадени от работодатели/осигурителите за осигурените от тях лица (декларация обр. 1 от Наредба Н8) за период 2008 г.. В хода на съдебното производство е изискано и представено удостоверение от ответната страна, със идентично съдържание за обема на разпространени данни на ищеца П. К.. Събрани са и гласни доказателства чрез разпит на свидетелката Ц. К., която посочва, че след научаване за изтичането на личните данни ищеца е станал е станал по-нервен, избухлив и неспокоен, което се отразило върху неговия сън, притеснил се е от бъдещи злоупотреби с личните му данни. Ответникът по делото - НАП е представила писмени доказателства по отношение на внедрена Система за управление на сигурността на информацията (СУСИ) по стандарт БДС ISO/IEC 27001:2006, както вътрешни правила, заповеди, методики и инструкции относно политиките за информационна сигурност. Първоинстанционният съд е приел, че предявения иск е допустим, като такъв с правно основание чл. 203, ал. 1 и чл. 204, ал. 4 АПК, във вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), във вр. чл. 82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД), във вр. чл. 39, ал. 1 и ал. 2 от Закона за защита на личните данни (ЗЗЛД). Приел е, че исковата претенция се основава на незаконосъобразно бездействие - неполагане на достатъчно грижа и неприлагане на ефективни мерки за защитата на сигурността на данните, с което са нарушени разпоредбите на чл. 24 и чл. 32 от GDPR и чл. 59, ал. 1 от ЗЗЛД, чл. 45, ал. 1, т. 6, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 от ЗЗЛД. За ангажиране на отговорността на НАП по фактическия състав на отговорността за вреди по чл. 1, ал. 1 от ЗОДОВ следва да са налице следните предпоставки: незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината при или по повод изпълнение на административна дейност, отменени по съответния ред, вреда от такъв административен акт, действие или бездействие и причинна връзка между постановения незаконосъобразен акт, действие или бездействие и настъпилия вредоносен резултат. При липсата на който и да е елементите от фактическия състав не следва да се реализира отговорността на НАП. По отношение на първата предпоставка - незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината при или по повод изпълнение на административна дейност, първоинстанционния съд е приел, че НАП притежава качество на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, както и че осъществява дейности по обработване на лични данни по смисъла на чл. 4, т. 2 от ОРЗД. С оглед на това качество НАП има задължение да прилага подходящи технически и организационни мерки с цел гарантиране, че обработването е в съответствие с чл. 24 и чл. 32 от ОРЗД, както и чл. 59, ал. 1 от ЗЗЛД. Отговорността на ответника НАП произтича от специфичния характер на дейността му по обработване на лични данни, включваща създаване, поддържане и актуализация на регистъра и базата данни, както и архивиране и съхраняване на съдържащата се в тях информация и контролирания достъп до нея. Първоинстанционният съд е приел, че неоторизирания достъп е причината за неправомерно разкриване и разпространение на лични данни, като самото осъществяване на неоторизирания достъп категорично сочи, че е вследствие на противоправно бездействие (пропуски) на ответника да изпълни произтичащи от нормативната рамка задължения да обезпечи достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, във вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679. Приел е, че техническата уязвимост очевидно е налице независимо от нейния произход, естество и обхват, а съществуването й като обективен факт в действителността само по себе си е предпоставка за извършения неоторизиран достъп. Като безспорно доказателство е прието самото обстоятелството за допусната хакерска атака, с която е пробита информационната система на НАП по отношение на повече от 6 000 000 субекти на данни, че не е налице извършване на оценка на подходящото ниво на сигурност и не са взети необходимите технически и организационни мерки за защита при обработването на личните данни на засегнатите лица, в т. ч. и на ищеца. Представените доказателства от ответника не доказват по категоричен начин предприемането на подходящи и ефективни организационни и технически мерки за гарантиране сигурността на обработваните лични данни, както и за освобождаване от отговорност на ответника по смисъла на чл. 82, § 3 ОРЗД. С тези мотиви АС Пазарджик е приел наличието на първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите мерки и ефективна средства за защита, произтичащи от задълженията на администратора по чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, първоинстанционният съд е приел, че от събраните по делото доказателства не се установява настъпването на конкретните твърдени неимуществени вреди. Като недоказано е прието, че ищеца П. К. е изпитал психическо натоварване от изтичането на личните му данни, както и притеснения и опасения от всевъзможни злоупотреби с тях. Освен това ищеца не е имал активно поведение по отношение на промяна на личните документи. Поради това е преценено, че субективните преживявания на П. К. не са съответни на резултата от бездействието на ответника, с оглед на което не е доказана и причинната връзка между незаконосъобразното бездействие на ответника и претърпяна от ищеца вреда. По тези съображения, съдът е отхвърлил като неоснователен предявения иск. Решението е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. По делото са представени доказателства за липсата на висящо или приключило производство, инициирано от ищеца, което е условие за допустимост на иска, съгласно чл. 39, ал. 4 ЗЗЛД. Обжалваното решение е неправилно на основание по чл. 209, т. 3, предл. първо и трето АПК. Предявеният иск е с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/2021 на СЕС, VB, ECLI:EU:C:2023:986, е посочено че от текста на член 82, § 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд неправилно е приел, че не са налице втората и третата предпоставка за ангажиране отговорността на администратора на лични данни. Тук следва да се отбележи, че неправилно първоинстанционният съд е обсъждал твърдените от ищеца нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, § 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, § 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Неправилно първоинстанционният съд е посочил, че доказателствената тежест да докаже незаконосъобразно бездействие от страна на администратора на лични данни се носи от ищеца. Макар и касатора да навежда, че оспорвания съдебен акт страда от наличие на съществено нарушение на съдопроизводствените правила от съда, същият не е изложил съображения в касационната жалба в какво се изразяват тези нарушения, което не може да доведе до отмяна на решението и връщането му за ново разглеждане. Разпоредбата на чл. 82, § 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от съда, не доказват, че приложените мерки са подходящи за защита при обработване на личните данни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези по чл. 24 и чл. 32. В този смисъл неправилно първоинстанционният съд е посочил, че разкриването на лични данни в резултат на т. нар. хакерска атака презюмира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че член 82, § 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Първоинстанционният съд неправилно е приел, че не са налице втората и третата предпоставка за ангажиране на отговорността на администратора. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е посочено, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В съдебното производство ищецът твърди претърпени неимуществени вреди, подробно описани в исковата молба и молба-уточнение. Ангажирал е доказателства, чрез представена справка от НАП, направена с ПИК код и изискано удостоверение от НАП, от които е видно, че спрямо ищеца е налице разпространение на лични данни в обем: ЕГН и имена, данни за глоби за нарушения на Закона за движението по пътищата до 2004 г., данни от годишна данъчна декларация по чл. 41 от ЗОДФЛ за 2006 г., данни от данъчна декларация за облагане с патентен данък по чл. 43 от ЗОДФЛ за 2003 г., данни от декларации, подадени от работодатели/осигурителите за осигурените от тях лица (декларация обр. 1 от Наредба Н8) за период 2008 г. Допълнително от събраните свидетелски показания в съдебното производство е видно, че след научаване за изтичането на личните данни ищеца е станал по-нервен, избухлив и неспокоен, което се отразило върху неговия сън, притеснил се е от бъдещи злоупотреби с личните данни. С оглед изложеното ищецът е доказал кои негови лични данни са изтекли, както и че действително са претърпени неимуществените вреди, изразяващи се в страх и безпокойство. Следователно налице е втората предпоставка за ангажиране на отговорността на администратора, а именно доказани претърпени неимуществени вреди. Третата предпоставка причинно-следствена връзка между нарушението на регламента (незаконосъобразното бездействие) и претърпените неимуществени вреди, също е налице. Проявеното от ответника бездействие да изпълни по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица, е в пряка причинна връзка с негативните усещания на засегнатите лица, в конкретния случай на ищеца. В случай че не беше допуснат неправомерния достъп до личните данни, ищеца не би преживял негативните емоции. Пряката причинна връзка между противоправното бездействие на ответника и настъпилата за ищеца вреда не се прекъсва от начина, по който той е разбрал за неправомерния достъп. Негативните емоции са пряк резултат от неправомерното разкриване на лични данни, в резултат на недоказаното от ответника взимане на подходящите технически и организационни мерки. При заявената от ищеца претенция за присъждане на обезщетение в размер на 1200 лв., за определяне размера на претенцията за обезщетяване на неимуществените вреди, следва да се съобрази разпоредбата на чл. 52 от Закона за задълженията и договорите (ЗЗД), като размерът на обезщетението се определи по справедливост. В случая с оглед характера и тежестта на претърпените негативни емоции, тяхната продължителност и неблагоприятното им отражение в личната сфера на лицето, неговата възраст, стандартът на живот в страната, размерът на минималната работна заплата за 2019 г. към момента на узнаване за неправомерния достъп до личните данни 15.07.2019 г., съдът намира, че справедливият размер на обезщетението е в размер на 200 лв., ведно с претендираната лихва, считано от датата на подаване на исковата молба - 27.05.2020 г. до окончателното изплащане на сумата. Този размер на обезщетението би довел до пълно репариране на претърпените от ищеца вреди. Предвид изложеното решението следва да се отмени като неправилно като постановено в нарушение на материалния закон, в частта, в която е отхвърлен иска за размера до 200 лв. и вместо него да се постанови ново, с което на ищцата да се присъди обезщетение за претърпени неимуществени вреди от незаконосъобразно бездействие на НАП в размер на 200 лв. Решението следва да бъде отменено частично и относно присъденото юрисконсултско възнаграждение на НАП за първата съдебна инстанция за разликата над 83 лв. до присъдения размер от 100 лв., предвид частичното уважаване на иска, на основание чл. 10, ал. 4 ЗОДОВ. С оглед изхода на спора следва да се уважи направеното от касационния жалбоподател искане за присъждане на разноски за двете съдебни инстанции, като на основание чл. 10, ал. 3 ЗОДОВ ответникът следва да бъде осъден да заплати на П. Г. К. заплатената държавна такса за първоинстанционното производство и такса за издаване на съдебно удостоверение в общ размер 15 лв. Предвид представените доказателства за осъществена правна помощ при условията на чл. 38 от Закона за адвокатурата (ЗА) и заявената претенция за заплащане на адвокатско възнаграждение на адвоката осъществил безплатна правна помощ, на адв. А. Павлов ще следва да се заплати адвокатско възнаграждение. На основание чл. 10, ал. 3 ЗОДОВ същото следва да се определи съразмерно с уважената част на иска, а именно в размер на 58 лв. за първа инстанция. С оглед изхода на спора, на ответника по касация, за настоящата инстанция, ще следва да се присъди, на основание чл. 10, ал. 4 ЗОДОВ, юрисконсултско възнаграждение съразмерно с отхвърлената част от иска, а именно 83 лв. По тези съображения и на основание чл. 221, ал. 2, във вр. чл. 222, ал. 1 АПК, Върховният административен съд, Пето отделение,