Решение № 1148 от 11.2.2025 г. на ВАС по адм. д. № 7860/2024 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба, подадена от НАП чрез процесуален представител, срещу частите от решение 959/08.05.2024 г. по адм. дело 456/2021 г. на Административен съд - Добрич (АС - Добрич), с които е осъдена НАП, да заплати на С. Н. К. от гр. Добрич, сума в размер на 200 лева, представляваща обезщетение за неимуществени вреди вследствие незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ОРЗД), ведно със законната лихва върху тази сума, считано от датата на влизане в сила на решението до окончателното й изплащане и НАП е осъдена да заплати 10 лева разноски за държавна такса и 120 лева разноски за адвокатски възнаграждения на ищцата. Касаторът поддържа в касационната жалба и в писмено становище чрез процесуален представител, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, присъждане на юрисконсултско възнаграждение и разноски на НАП. Ответникът по касационната жалба - С. Н. К. от гр. Добрич, не взима становище. С решение 9420/15.09.2021 г. по адм. дело 10793/2020 г. на Върховния административен съд, трето отделение е отменено решение 239/03.08.2020 г. по адм. дело 32/2020 г. на АС Добрич в обжалваната част и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищцата правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. АС - Добрич при новото разглеждане на делото е изпълнил указанията относно разпределението на тежестта на доказване. За да постанови обжалваните части от решението, АС е изложил доводи, че предявеният иск е с правно основание чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679. съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и разпространяването на личните данни на ищеца, видно от представената справка от НАП след направена проверка с ПИК. Според нея са разпространени трите й имена и ЕГН. АС е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи и достатъчни, за да гарантират защита на данните. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АС е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 и чл.59 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона . Ищцата е преживяла негативни емоции, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АС на основание чл.52 от Закона за задълженията и договорите е определил обезщетение по справедливост в размер на 200 лева, като е отчел продължителността и интензитета на изпитаните негативни емоции при узнаване за разпространението на личните й данни. Решението е правилно обжалваната част. Правилна и в съответствие със задължителните указания на първата касационна инстанция е преценката на АССГ за правна квалификация на иска по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679, както и за предмета на доказване.