Решение № 8310 от 4.7.2024 г. на ВАС по адм. д. № 2817/2021 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу решение 44 от 29.12.2020 г. по адм. дело 585/2020 г. на Административен съд Благоевград в частта му, с която НАП е осъдена да заплати на Р. В. В. обезщетение за причинените ѝ неимуществени вреди в размер на 600 лева, ведно със законна лихва, считано от датата на влизане в сила на обжалваното съдебно решение до окончателното плащане на сумата, както и сумата от 10 лева съдебни разноски по делото. Иска постановяване на решение, с което да се отхвърли иска на Р. В. срещу НАП и претендира присъждане на юрисконсултско възнаграждение за двете съдебни инстанции. Ответникът по касационна жалба Р. В. В., в писмен отговор чрез процесуален представител, оспорва жалбата и моли решението да бъде оставено в сила. Прокурорът от Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд (ВАС), състав на Пето отделение, при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема за установено следното: Обжалваното решение е валидно и допустимо постановено е от компетентен съд, след надлежно сезиране. Касационната жалба е неоснователна по следните съображения: С определение по хода на делото от 11.06.2021 г. делото е спряно на основание чл. 229, ал., т. 4 вр. с чл. 144 АПК, а впоследствие с определение от 21.12 2023 г. възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. С обжалваното пред настоящата съдебна инстанция решение АС, е осъдил НАП да заплати на Р. В. В. сумата от 600 лева, представляваща обезщетение за причинените ѝ неимуществени вреди, ведно със законната лихва считано от датата на влизане в сила на обжалваното съдебно решение до окончателното плащане на сумата, както и сумата от 10 лева съдебни разноски по делото и отхвърля предявения от В. иск над уважения размер. Решението е правилно в обжалваната му част, с която е осъдена НАП да заплати обезщетение за неимуществени вреди в размер на 600 лева на В., ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата и са присъдени 10 лева разноски. В касационната жалба са наведени доводи относно това, че АС-Благоевград не е обосновал кое нормативно задължение НАП не е извършила. Ясно в обжалваното решение се сочи, че органът като администратор на лични данни, при осъществяване на дейността си е следвало ефективно да предприеме мерки за предотвратяване на злоумишлен достъп до лични данни, бездействието на НАП е в противоречие с изискванията на чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламент ЕС 2016/679. Административния съд е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните и че същите са актуализирани. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните ѝ от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АС- Благоевград е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и чл. 45, ал. 1, т. 6 ЗЛД, чл. 59 ЗЗЛД, чл. 64 ЗЗЛД и чл. 66, ал. 1 и ал.2 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона чрез възможността за достъп без оторизация с електронен подпис и предоставен линк за изтегляне на документ при този достъп. Ищцата е преживяла негативни емоции, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. Първоинстанционният съд, на основание чл.52 от Закона за задълженията и договорите, е определил обезщетение по справедливост в размер на 600 лева, като е отчел характера и степента на преживените вътрешни душевни страдания. Настоящата съдебна инстанция не споделя изложените мотиви за нарушение от НАП на чл. 45, ал. 1, т. 6 ЗЛД, чл. 59 ЗЗЛД, чл. 64 ЗЗЛД и чл. 66, ал.1 и ал. 2 ЗЗЛД. Както е указала и първата касационна инстанция тези разпоредби са неотносими към задълженията на НАП като администратор на лични данни, тъй като се намират в Глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Правната квалификация на иска е по чл. 82, § 1 във връзка с § 2 от Регламент (ЕС) 2016/679 и е за нарушения по чл. 24 и чл. 32 от този регламент от НАП, които АС правилно е приел за установени. Твърдяното от касатора качество на НАП на административен орган е неточно, доколкото НАП не е колективен административен орган, а е администрация към административни органи. Тези твърдения обаче са правно ирелевантни при преценка на отговорността на НАП като администратор на лични данни и материалноправните предпоставки по чл. 4 ЗОДВ и чл. 256 АПК са неотносими към правен спор относно отговорността на администратор на лични данни по чл. 82, § 1 във връзка с § 2 от Регламент (ЕС) 2016/679 за допуснати от него нарушения по чл. 24 и чл. 32 от същия Регламент. Чл. 24, § 1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл. 32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АС съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С-340/21 НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищцата, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АС е приел за доказано твърдението на ищцата за бездействие от страна на НАП. В случая са установени и конкретни недостатъци на взетите технически мерки, способствали неоторизирания достъп на трето лице до личните данни на ищеца. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на В. и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на В. на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АС за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С-340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Решението като правилно като краен резултат в посочените по - горе части следва да бъде оставено в сила. С оглед изхода на делото пред ВАС не може да се присъди юрисконсултско възнаграждение на касатора.