Решение № 10353 от 24.10.2025 г. на ВАС по адм. д. № 5214/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на С. С. Л., чрез адв. Н. Хаджигенов, срещу Решение 5791 от 19.02.2025 г. по адм. д. 11362/2020 г. на Административен съд София-град (АССГ), с което е отхвърлен искът му с правно основание чл. 82, §1 от Регламент (ЕС) 2016/679 във вр. с чл.39 от Закона за защита на личните данни (ЗЗЛД) и чл. 1, ал.1 Закона за отговорността на държавата и общините за вреди (ЗОДОВ), срещу Националната агенция за приходите (НАП). Касационният жалбоподател счита, че обжалваното решение е неправилно, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и е необосновано отменителни основания по чл. 209, т. 3 АПК. Твърди, че съдът неправилно е приел, че не са доказани претърпените вреди, поради неявяване на допуснатия свидетел на ищеца. Счита, че СЕС в решението си по дело С-340/21 постановява, че самият факт на изтичане на данните е достатъчен, за да настъпят претендираните вреди. Моли обжалваното решение да се отмени. Не претендира разноски. Ответникът по касация - Национална агенция за приходите, чрез юрк. Л. Танев, оспорва касационната жалба по съображения, изложени в писмен отговор. Моли да бъде постановено решение, с което да се отхвърли касационната жалба като неоснователна и недоказана, а обжалваното съдебно решение да се остави в сила. Претендира разноски. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира че касационната жалба е процесуално допустима, като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна, по следните съображения: Производството пред първоинстанционния съд е образувано по предявен от С. С. Л. иск правно основание чл. 79, ал. 1, вр. чл. 82, пар. 1 от Регламент (ЕС) 2016/679, разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Ищецът С. Л. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, в качеството му на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента, да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. С определение 4733 от 28.06.2021 г. производството по делото е спряно, до постановяване на решение на Съда на Европейския съюз по дело С-340/21. С определение 1482 от 08.02.2024 г. производството по делото е възобновено, след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. Първоинстанционният съд е приел за установено, че в резултат на умишлени действия на неустановени трети лица, на 15.07.2019г. е бил осъществен неоторизиран достъп до информационната система на НАП и е публикувана информация, съдържаща се в информационните бази данни на Агенцията, като са били разпространени лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. За изтичането на личните данни са били уведомени Комисията за защита на личните данни (КЗЛД) и Софийската градска прокуратура (СГП). АССГ е приел за безспорно обстоятелството, че във връзка с извършения неоторизиран достъп до база данни на Агенцията и последвалото разпространение на лични данни, е било разработено специално приложение, активно от 25.07.2019г., чрез което всеки български гражданин е можел да провери дали негови лични данни са станали обект на неоторизиран достъп. За установяване на обстоятелството, че лични данни на ищеца са били обект на нерегламентиран достъп, последният е представил и по делото е прието копие от екранно изображение (screenshot) на получено кратко текстово съобщение (без дата) със следното съдържание: НАП: По заявка номер [заличен текст] ИМА неправомерно разкрити лични данни 11:27 ч. . На 05.02.2021г. ответникът по делото е представил Справка от 15.02.2021г. със следното съдържание: За идентификатор 8408230502 има разпространени данни, които включват: - ЕГН и имена; - Данни за плащане до 2007г.; - Данни от данъчна декларация за облагане с патентен данък (чл.43 от ЗОДФЛ) за 2007г.; - Идентификационни данни в качеството на подател на справка декларация по ЗДДС за 11.2010г. , без справката да съдържа индивидуализиращи данни за нейния издател. Първоинстанционният съд е приел за установено и, че в резултат на неоторизирания достъп и неконтролирано разпространение на лични данни, съхранявани в информационните бази данни на НАП, е била извършена проверка от Комисия за защита на личните данни (КЗЛД). В хода на проверката КЗЛД е установила, че при осъществяване на дейността си НАП, в качеството й на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. С Решение ППН-02-399/22.08.2020г., на основание чл.58, §2, буква г във връзка с чл.57, §1, буква а и чл.83, §2, букви а , в , г , е и ж от Регламент (ЕС) 2016/679, КЗЛД е разпоредила на НАП, като администратор на лични данни, да съобрази операциите по обработването на данни с изрично дадените указания в решението указания. По жалба на НАП пред АССГ е образувано адм. дело 10477/2020г. С Решение 565/02.02.2023 съдът е отменил акта КЗЛД, в частта му относно Разпореждания , 7, 14 и 15 изцяло, Разпореждане 5 в частта му: "Да се предприемат необходимите действия за създаването на одитни записи на отделните събития и дневници (журнали) за привилегированите потребители" и Разпореждане 16, в частта му относно "повторното използване на такива данни". Жалбата на НАП в останалата й част е отхвърлена. С Решение 1398/07.02.2024г. по адм. дело 3781/2023г. Върховният административен съд е отменил, в обжалваната му отхвърлителна част, съдебния акт по адм. дело 10477/2020г. и е върнал делото за ново разглеждане от друг състав на АССГ. С Решение 3088/30.01.2025г. по адм. дело 1558/2024г. е отхвърлена изцяло жалбата на НАП срещу Решение ППН-02-399/22.08.2020г. на КЗЛД. За да отхвърли предявеният иск АССГ е приел наличието на първият елемент от фактическия състав на непозволеното увреждане - бездействие на НАП, като администратор на лични данни да изпълни задълженията, установени в чл.24 и чл.32 от Регламент (ЕС) 2016/679 за прилагане на технически и организационни мерки за осигуряване на ниво на сигурност при обработване на личните данни съобразено с естеството, обхвата, контекста и целите на обработването и с идентифицираните рискове с различна вероятност. Относно настъпването за жалбоподателя на реална вреда с неимуществен характер, която да е пряка и непосредствена последица от бездействието на ответника, решаващият съд е намерил, че това обстоятелство по делото е останало недоказано и ищецът не се е справил с тежестта на доказване, която изрично му е указана със съдебния акт при първоначалното насрочване на делото и с Определение 1482/08.02.2024г. Съдът приел за недоказано твърдението на ищеца за преживени от него негативни емоции, изразяващи се в притеснения и страх от използване на личните му данни за извършване на престъпления срещу него или злоупотреби с тях като теглене на кредити, учредяване на ипотеки, залози, срам и ужас, че целият му живот е на показ, поради процесуалното му бездействие за ангажиране на допуснато гласно доказателство, а и писмени доказателства. Представеното копие от екранно изображение (screenshot) на получено кратко текстово съобщение: НАП: По заявка номер [заличен текст] ИМА неправомерно разкрити лични данни. 11:27 , решаващият съд е определил като неустановяващо кой е направил заявката с [заличен текст] и дали неправомерно разкритите данни са именно на ищеца С. Л.. За недоказано съдът е приел и обстоятелството бил ли е ищецът наясно какви негови лични данни са били неправомерно разкрити, в резултат на което приел, че не може да бъде установена и причинно-следствена връзка между тревогите, които ищецът претендира да е изпитал и бездействието на ответника във връзка със задълженията му, вменени с нормите на чл.24 и чл.32 от Регламент (ЕС) 2016/679. В тази връзка се е позовал на разрешението относно принципа на равностойност и ефективност, съобразно посоченото в Решението на СЕС по дело С-300/21, че ищецът е следвало да посочи и да докаже какви негови лични данни са били публично оповестени, за да може да се прецени притеснението и страхът като неимуществени вреди и да се определи адекватно парично обезщетение. Обжалваното решение е валидно, допустимо и правилно и следва да бъде оставено в сила по следните съображения: Предявеният иск е с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид член 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. АССГ правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така, че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни, какъвто в случая е НАП, да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Видът и обема на тези мерки не е конкретно посочен, защото всеки администратор следва сам да определи кои да бъдат тези мерки. С оглед член 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност, съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да се докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Поради това, правилно първоинстанционният съд е разпределил доказателствената тежест между страните, като е указал на НАП да докаже, че е предприела всички технически и организационни мерки за защита на личните данни на физическите лица от неразрешен достъп. Съгласно т. 3 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В производството, в което е постановено обжалваното решение, ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност, както правилно е преценил първоинстанционния съд. Представените писмени доказателства не доказват, че приложените мерки са подходящи за защита на личните данни. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Разкриването на лични данни в резултат на неоторизирания достъп не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Последното обстоятелство, а именно, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен, е останало недоказано от ответника в производството. Това е резултат от несправянето с доказателствената задача да установи благоприятните факти, които са били в негова тежест. Правилно първоинстанционният съд е приел, че в процесния случай не е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. От първоинстанционния съд на ищеца са дадени указания да докаже твърдените за претърпени неимуществени вреди и той не се е справил с възложената му тежест на доказване. В случая, за установяване настъпването на неимуществени вреди, съдът е допуснал, по искане на ищеца, събиране на гласни доказателства, но допуснатият свидетел е бил заличен, вследствие процесуалното бездействие на ищеца. Правилно АССГ е приел, че е останало недоказано твърдението на ищеца за преживени от него негативни емоции, изразяващи се в притеснения и страх от използване на личните му данни за извършване на престъпления срещу него или злоупотреби с тях като теглене на кредити, учредяване на ипотеки, залози, срам и ужас, че целият му живот е на показ. Споделят се изводите на първата инстанция, че за доказване на изтичането на лични данни ангажираното от ищеца копие от екранно изображение (screenshot) на получено кратко текстово съобщение от НАП с вече посоченото по-горе съдържание не установява както че разпространените лични данни са именно на ищеца, така и какви конкретно са същите. Липсата на доказателства за това обстоятелство правилно е обосновала извод на АССГ в обжалваното решение за недоказаност на втория елемент от фактическия състав на отговорността. Правилно е заключението на първостепенния съд, че след като ищецът не е успял да докаже настъпването на неимуществената вреда, която да е пряка и непосредствена последица от бездействието на администратора на лични данни, то искът за обезщетяване е неоснователен, поради липса на два от елементите от фактическия състав на непозволеното увреждане. Трите елемента са кумулативно дадени в чл. 82 от ОРЗД, липсата на доказаност на който и да е от тях има за правна последица неоснователност на иска. Предвид изложеното, обжалваното решение е правилно и обосновано, не са налице сочените касационни основания за отмяната му, поради което следва да се остави в сила. Съобразно изхода на спора претенцията на ответната страна за присъждане на разноски за касационната инстанция трябва да се уважи, като на основание чл. 143, ал. 3 АПК, вр. чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, в полза на НАП следва да бъде присъдена сумата 100 лева - юрисконсултско възнаграждение. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, пето отделение