Решение № 7486 от 7.7.2025 г. на ВАС по адм. д. № 4021/2025 г.

Производството е образувано по чл. 208 и сл. от Административно процесуалния кодекс. Образувано е по касационна жалба на Националната агенция за приходите (НАП), подадена чрез пълномощника юрк. Л. Tанев, срещу решение 4171/07.02.2025 г. постановено по адм. дело 8005/2024 г. по описа на Административен съд София - град (АССГ), с коeто НАП е осъдена да заплати на Х. Г. П. сумата от 200 лева, представляваща обезщетение за причинени неимуществени вреди, вследствие от незаконосъобразното бездействие на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., а именно да гарантира достатъчно ниво на сигурност на обработваните от нея лични данни на ищцата, довело до неразрешено разкриване или достъп до личните данни на ищцата, ведно със законната лихва върху главницата, считано от датата на предявяване на иска - 16.09.2019 г., до окончателното изплащане. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, ведно със законната лихва, като неоснователен. В тази част съдебното решение не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. В касационната жалба са развити доводи за неправилност на атакуваното решение в обжалваната му част поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 от АПК. Твърди се, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано съдът е приел, че е налице твърдяното незаконосъобразно бездействие. Касаторът излага и съображения, че първоинстанционният съд е извел неправилни и незаконосъобразни изводи, че е реализиран фактическият състав на отговорността по реда на ЗОДОВ. Моли решението в обжалваната му част да се отмени и се постанови ново, с което се отхвърли изцяло иска на Х. Г. П.. Претендира юрисконсултско възнаграждение. Ответникът по касация - Х. Г. П., чрез адв. Юрукова, оспорва касационната жалба по съображения, изложени в писмен отговор. Моли решението в обжалваната му част да се остави в сила. Претендира разноски за настоящата инстанция. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна по следните съображения: Производството по адм. дело 8005/2024 г. по описа на АССГ е образувано по реда на чл. 226, ал. 1 от АПК, след като с решение 9033/22.07.2024 г. по адм. дело 1966/2021 г. по описа на Върховен административен съд, пето отделение е отменено решение 7020/07.12.2020 г. по адм.дело 11278/2019 г. по описа на АССГ. Пред АССГ е бил предявен иск от Х. Г. П. срещу НАП за присъждане на обезщетение за неимуществени вреди в размер на 1000 лв., подробно описани в исковата молба, претърпени в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД, ведно със законната лихва върху тази сума, считано от датата на завеждане на исковата молба или алтернативно- от датата на изтичане на личните данни- 15.07.2019 г. до окончателното изплащане на сумата. При новото разглеждане на делото първоинстанционният съд е приел за безспорно от фактическа страна, че на 15.07.2019 г. при т.нар. хакерска атака неправомерно била изтеглена информация с голям обемот електронните масиви на НАП. Информацията съдържала лични данни на множество български граждани. По делото е представена снимка на електронно съобщение с дата 16.08.2019 г. със следния текст: НАП: по заявка номер 4085 ИМА неправомерно разкрити лични данни. Не е посочен телефонният номер, на който е получено текстовото съобщение, както и не е уточнено лицето, за което е направена справката по посочената заявка с номер 4085. Обстоятелството, че такава справка е извършена от ищеца се установява от показанията на разпитания свидетел Н. Н.. В показанията си същият заявява, че са направили проверка с sms, като им било отговорено, че са разкрити лични данни на майка му ищцата по делото. Ответникът представя справка за типа лични данни на ищцата, до които е осъществен неоторизиран достъп, видно от която има разпространени данни, които включват: данни за изплатени доходи на физически лица за 2007 г. и данни за изплатени доходи на физически лица за 2008 г., съдържащи личните данни на лицето. При повторното разглеждане на делото, в изпълнение на дадените указания от Върховния административен съд, съдът с определение 15287/23.08.2024 г. е разпределил доказателствената тежест на страните. На ответната страна са били дадени изрични указания, че носи тежестта да докаже, че в качеството си на администратор, обработващ лични данни, по никакъв начин не е отговорен за събитието, причинило вреди, както и е указано също, че той носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл.32 от ОРЗД (Общия регламент за защита на данните) са подходящи. По делото не са представени други доказателства от ответната страна освен представените при първоначалното разглеждане на делото. За доказване на претърпените от ищеца неимуществени вреди по делото са събрани гласни доказателства. Съдът е възприел показанията на разпитания по делото свидетел като логични и дадени добросъвестно и ги е кредитирал като обективни и достоверни. По искане на ищцата е назначена и приета съдебно техническа експертиза, която съдът е кредитирал, като компетентна и изготвена на база представените по делото доказателства и извършената проверка в НАП. Въз основа на така установените факти съдът е приел, че искът е допустим и частично основателен. Приел е, че НАП, в качеството си на администратор на лични данни съгласно чл.4, т.7 от Регламент (ЕО) 2016/679, при осъществяване на дейността си, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица от информационните бази данни, поддържани от агенцията - имена, ЕГН и адреси на български и чуждестранни граждани, телефони, електронни адреси, данни от годишни данъчни декларации на физически лица, данни от справките за изплатени доходи на физическите лица, данни от осигурителни декларации, данни за здравноосигурителните вноски и др. Съдът е приел, че независимо от наличието на значителна по обем документация във връзка с опазване сигурността на личните данни, които администрира НАП, същата в по-голямата си част е само с декларативен характер, като предвидените мерки и практики за защита на личните данни или не са били прилагани изобщо, или не са били прилагани в необходимия за това обем и с необходимата честота. В тази връзка представените от страна на ответника писмени доказателства единствено установяват взетите от страна на администратора на лични данни мерки от организационно естество, насочени към сигурността на обработването на лични данни, но не и реалното приложение на тези мерки на практика, нито пък прилагането на чисто технически по своя характер мерки за осигуряване необходимото ниво на сигурност. Съдът е изложил доводи, че въпреки указаната доказателствена тежест, ответникът по иска не е ангажирал конкретни доказателства относно това, че преди установения теч на лични данни е бил практически осъществяван предвиденият в редица документи мониторинг, периодична оценка на риска и прилагане на конкретни мерки от техническо естество за ограничаване рисковете за сигурността при обработката на лични данни. При така изложеното е достигнал до извод, че не се установява поведение на ответника, адекватно на изискваното по чл. 3 от Регламента, като НАП само е констатирала етапа на самото разпространение на данните в интернет пространството, но липсват данни да е идентифицирала самото достъпване на данните и тяхното копиране. Според съда наличието или липсата на осъществено престъпно деяние, за каквото действително са налице данни да се води разследване, не може да освободи ответника от отговорност за събитието от 15.07.2019 г., което безспорно причинява вреда и ответникът не е доказал в производството, че по никакъв начин не е отговорен за това събитие, доколкото, то е било улеснено и предпоставено от липсата на активни действия по защита сигурността на личните данни, свързани с периодична оценка и актуализиране на взетите мерки, което да е съобразено с достиженията на техническия прогрес. Извел е заключение за категорично установена претърпяна от ищцата вреда от допуснатия нерегламентиран достъп и разпространение на личните й данни, като същата е изпитал страх и притеснение за това да не бъде злоупотребено с личните й данни. Тези обстоятелства са от естество обективно да предизвикат негативните изживявания на ищеца, доколкото се касае до засягане правната сфера на физическо лице и в този смисъл съдът е счел за доказана налична пряка причинна връзка между установеното бездействие на ответника по делото и причинените на ищеца неимуществени вреди. Решението е валидно, допустимо и правилно. Предявеният иск е с правно основание чл. 82, §1, вр. с чл.24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 год. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните-ОРЗД), както правилно е приел решаващият съд, като е посочил предпоставките, които следва да се установят, за да се приеме искът за основателен.Съгласно чл.82, §§ 2, 3, 4, 5, 6 ОРЗД: 2. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях.; 3. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата.; 4. Когато в една и съща операция по обработване участват повече от един администратор или обработващ лични данни или участват и администратор, и обработващ лични данни, и когато те са отговорни по параграфи 2 и 3 за вреда, причинена от обработването, всеки администратор или обработващ лични данни носи отговорност за цялата вреда, за да се гарантира действително обезщетение на субекта на данни.; 5. Когато администратор или обработващ лични данни е изплатил съгласно параграф 4 пълното обезщетение за причинената вреда, той има право да поиска от другите администратори или обработващи лични данни, участвали в същата операция по обработване на лични данни, да му възстановят част от платеното обезщетение, съответстваща на тяхната част от отговорността за причинената вреда в съответствие с условията по параграф 2.; 6. Съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Доказателствената тежест в процесното съдебно исково производство, съгласно разпоредбата на чл.82, §3 ОРЗД, при възражение за освобождаване от отговорност за причинени вреди в резултат на нарушаване на Регламента, поради това, че администратор на лични данни не е осигурил и не е приложил подходящи технически и организационни мерки, е изцяло в тежест на администратора и обработващия лични данниНАП, ответна по делото пред АССГ страна, който е следвало да докаже, че обработването на личните данни се извършва в съответствие с Регламента. Съответно, доказателствената тежест за доказване на настъпилата неимуществена вреда е изцяло за ищцата. При данните в конкретния казус, първоинстанционният съд съобразно установените факти по делото правилно е приел, че нарушението е осъществено чрез бездействие, което се изразява в неосигуряване (невъвеждане) на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата Х. Г. П. и като последица - неосигуряване подходящо ниво на сигурност на тези лични данни, което бездействие по същество представлява неточно изпълнение на задълженията на администратора на лични данни НАП, по чл.24 и чл.32 от ОРЗД. Посочените разпоредби задължават администратора на лични данни (в случая НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, §3 от ОРЗД, предвиждащ че администраторът или обработващият лични данни се освобождава от отговорност съгласно §2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. При тези данни в конкретния казус първоинстанционния съд съобразно установените факти по делото правилно в мотивите си е приел, че е налице нарушение на Регламента от Национална агенция за приходите в качеството й на администратор на лични данни, спрямо правата на ищеца, в качеството и на субект на лични данни, при тяхната обработка. Нарушението, както правилно е приел съда, е осъществено чрез бездействие, което се изразява в неосигуряване(невъвеждане) на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата Х. Г. П. и като последица неосигуряване подходящо ниво на сигурност на тези лични данни, което бездействие по същество представлява неточно изпълнение задълженията на администратора на лични данни -НАП по чл.24 и чл.32 от ОРЗД. Предвид твърденията на ищеца в исковата молба, при условията на пълно насрещно доказване ответника в процеса НАП не е установила по делото факти, за доказването на които същата носи доказателствена тежест, а такива факти в случая следва да са мерки(различни по вид с организационен и технически характер), които да са предприети, но и не само-трябва да са осъществени, т.е. въведени по см. на Регламента и да са подходящи, водещи до еднозначен резултат-сигурна обработка на личните данни, което практически означава изградено ниво на сигурност, чиято степен минимизира риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. НАП е проявила недостатъчна процесуална активност, представяйки пред първата инстанция единствено писмени доказателства, от прочита на които не може да се обоснове освобождаване от отговорност на администратора на лични данни по см. на чл.82, §3 ОРЗД, т.е. не е доказано в процеса, че администратора на лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Обоснован и съответен на приетите по делото доказателства е извода на първостепенния съд, че ищцата е претърпял неимуществени вреди страх и притеснение да не бъде злоупотребено с личните й данни. В този смисъл правилно са кредитирани показанията на допуснатия и разпитан по делото свидетел Н. П. Н., от чиито показания се установява, че след като П. е направила проверка от която се е установило, че са изтекли личните и данни, ищцата се е чувствала притеснена и напрегната, че може да бъде злоупотребено с личните и данни. Това засягане е с преимуществено негативен характер защото последицата от неправомерното обработване е засягане правата и свободите на личността. В този смисъл доказани от ищцата в случая са понесени от нея притеснения и неудобство, т.е. налице е негативно засягане на личността от неправомерното развитие на процесните обществени отношения. Правилно е заключението на АССГ относно наличието на причина връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл.82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т.е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретиката на казуса поведението на ответника бездействие(неизпълнение задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни(събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните болки и страдания, т.е. доказания в производството отрицателен резултат в сферата на ищеца. Неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т.е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни(съдържаща и лични данни) и проявеното бездействие, предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, води до повишаване този риск до ниво, което поддържа вероятността за настъпване събитие от изброените в чл.32, §2 от Регламента в достатъчно продължителен интервал от време над определена критична величина. В обобщение, съдът правилно е приел, че по делото са доказани всички необходими елементи за реализиране правото на обезщетение и отговорност за причинени вреди по чл.82 ОРЗД на ищцата. На следващо място, правилно е прието от съда, че предвид основателността на главния иск, следва да се уважи и претенцията за заплащане на лихва за забава. Предвид изложеното, решението като правилно и постановено при липса на отменителните основания по чл. 209, т.3 АПК, следва да бъде оставено в сила. Съобразно изхода на спора претенцията на ответника в настоящето производство за присъждане на разноски е основателна и следва да бъде уважена. В тези производства страната е представлявана от адвокат по оказана безплатна правна помощ. На основание чл. 38, ал.2 ЗА разноски за адвокат се дължат за оказаната безплатна помощ при осъществено процесуално представителство, като размерът се определя съобразно Наредбата 1 от 9 юли 2004 г. за минималните размери на адвокатските възнаграждения, по-конкретно съобразно чл. 7, ал.2, и същият е 200(двеста) лв., съобразно уважената част. Воден от горното и на основание чл.221, ал.2 от АПК, Върховният административен съд, Пето отделение