Решение № 7236 от 12.6.2024 г. на ВАС по адм. д. № 2296/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Ц. А. К., подадена чрез пълномощника адвокат А. Павлов, срещу решение 967 от 03.12.2020 г., постановено по адм. дело 556/2020 г. по описа на Административен съд Пазарджик, с което е отхвърлен предявеният от нея иск против Националната агенция за приходите (НАП, Агенцията), с който се претендират неимуществени вреди в размер на 1200 лева, в периода от 15.07.2019 г. до завеждането на исковата молба - 27.05.2020 г., както и законната лихва върху тази сума от 15.07.2019 г. до изплащането й. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът счита, че изпитаните от него емоционални сътресения представляват неимуществени вреди, които са пряка и непосредствено последица от изтичане на личните му данни във връзка с твърдяното бездействие на НАП да ги опази. Намира също, че настъпването на неимуществените вреди се предполага. По изложените съображения иска отмяната на обжалваното съдебно решение. Претендира присъждане на съдебно-деловодни разноски. Ответникът по касация - НАП, чрез юрисконсулт И. Недева, оспорва жалбата в представен писмен отговор, писмени бележки и в съдебно заседание и моли съда да постанови решение, с което да остави в сила атакувания съдебен акт. Иска присъждане на юрисконсултско възнаграждение. Представителят на Върховна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е основателна. Производството пред Административен съд Пазарджик е образувано по предявен от Ц. К. иск с посочено правно основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), за присъждане на обезщетение в размер на 1200 лева за претърпени неимуществени вреди в резултат на неизпълнение от НАП на задължението й по чл. 59, ал. 1 от Закона за защита на личните данни (33ЛД) и по Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), довело до неразрешено разкриване на нейните лични данни, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане. Първоинстанционният съд е приел, че само първият от елементите на фактическия състав на отговорността по чл. 1 ЗОДОВ е налице. Установил е наличието на нерегламентиран достъп, вследствие на умишлени престъпни действия от страна на неизвестно лице, чрез осъществена на 15.07.2019 г. хакерска атака, в резултат на което е изтекла информация от масивите на НАП с голям обем, съдържаща личните данни на множество български граждани. По отношение на ищцата е установено, че са изтекли ЕГН, данни от декларации подадени от работодатели/осигурители за период 2008 г. Съдът е извършил преглед на предприетите мерки за защита на сигурността на информацията в НАП, на база представените от Агенцията заповеди на изпълнителния й директор. Установил е, че за случая са били уведомени от НАП - Софийска градска прокуратура (СГП) и Комисията за защита на личните данни (КЗЛД). Срещу Агенцията е издадено наказателно постановление от страна на председателя на КЗЛД, за нарушение на чл. 32, § 1, б. б от Регламент (ЕС) 2016/679. Понастоящем това наказателно постановление е отменено с влязло в сила решение 1247/26.02.2024 г. по дело 12334/2023 г. по описа на АССГ, но отмяната не е поради липса или недоказаност на нарушението, а на основание изтекла абсолютна погасителна давност. Съдът е посочил, че наличието на одобрени процедури, правила, политики, инструкции, указания и методики не опровергава извода, че е била нарушена сигурността на обработваните данни, след като те са били публично разкрити, поради което е приел, че техническата уязвимост на информационната система на НАП е довела до нерегламентираното разкриване и разпространение на личните данни на ищцата. Приходната агенция в качеството й на администратор на лични данни, при осъществяване на дейността си е следвало предприеме ефикасни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Посочено е, че бездействието на НАП е незаконосъобразно и противоречи на изискванията на чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от ОРЗД За неустановена е счетена втората предпоставка на отговорността на държавата - наличието на претърпени от ищцата вреди вследствие на това незаконосъобразно бездействие. Съдът е намерил, че те не са доказани с показанията на свидетеля и другите доказателства по делото. Преценил е, че притесненията на ищцата са били обективно неоснователни с оглед изключително слабата вероятност само на базата на изтеклите нейни лични данни да бъде изтеглен заем на нейно име. По тези съображения Административен съд Пазарджик е постановил атакуваното решение, с което предявеният иск е изцяло отхвърлен. Решението е валидно и допустимо, но е неправилно поради допуснати от първоинстанционния съд съществени нарушения на съдопроизводствените правила, станали причина за неговата необоснованост. Във връзка с допуснатите нарушения, относимите към спора факти са останали неизяснени, което е пречка за извършването на проверка за правилното приложение на материалния закон. Административният съд неправилно е определил правното основание на иска и е дал погрешни и непълни указания по разпределението на доказателствената тежест с оглед изискванията на Регламент (ЕС) 2016/679, съответно не е установил относими към спора факти, необходими за правилното решаване на правния спор. Правилно предявеният от Ц. К. иск за присъждане на обезщетение за твърдените неимуществени вреди е разгледан по реда на чл. 203, ал. 1 АПК, въпреки че дадената от съда правна квалификация не е точна. Правото на ефективна съдебна защита срещу администратор или обработващ лични данни е уредено в чл. 79, § 1 от ОРЗД, който предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно чл. 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по Регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с него. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване - чл. 79, § 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, § 1 от ОРЗД, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента - § 2. Съгласно член 82, § 6 от него съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, § 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност - публични органи или частноправни субекти. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета Производство за обезщетения на АПК. Съгласно разпоредбата на чл. 203, ал. 1 АПК исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на глава единадесета. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от чл. 82, § 1 от ОРЗД, включва претърпени материални или нематериални вреди настъпили в причинна връзка с нарушение на Регламента. В конкретния случай посоченият фактически състав действително съвпада с този по възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие, вреда и причинна връзка между тях. Това обаче не означава, че искът е следвало да се квалифицира като такъв с правно основание чл. 1, ал. 1 ЗОДОВ, както е преценил първоинстанционният съд. Изложените от Ц. К. факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от ОРЗД, обуславят правна квалификация на иска по чл. 82, § 1, вр. § 2 от Регламента. Този извод не се променя от обстоятелството, че предвидените в посочените текстове задължения са преповторени, съответно в чл. 59 и чл. 66 ЗЗЛД, както и че К. се позовава както на тези норми, така и на чл. 1 ЗОДОВ. Всъщност неотносимо е позоваването на чл. 59 и чл. 66 ЗЗЛД, тъй като тези разпоредби се намират в глава Осма от ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи, но само за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Освен това дадените от ищцата правни квалификации не обвързват съда. От значение са само фактическите й твърдения, въз основа на които съдът следва да даде вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от нея правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от ОРЗД. Разпоредбата на чл. 24 Отговорност на администратора от Регламент (ЕС) 2016/79 предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствия с Регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. От значение за предмета на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., до постановяването на което производството по настоящото дело беше спряно. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Няма съмнение, че НАП е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. а, както и по б. е" а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки (цялостност и поверителност). При тези правни квалификации, първоинстанционният съд е следвало да съобрази и разпоредбата на чл. 82, § 3 от ОРЗД, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба касае доказателствената тежест в процеса, като възлага на ответника по иска да докаже липсата на два от елементите от фактическия състав на отговорността за вреди, а именно липсата на нарушение по смисъла на Регламента и липсата на причинна връзка. За ищеца по иска с правно основание чл. 82, § 1, вр. § 2 от Регламента остава да докаже настъпването на вредите, както и в какво конкретно се изразява бездействието на администратора на лични данни. Това понастоящем, макар и след постановяването на обжалваното съдебно решение, е установено и в решение на СЕС по дело С-340/21 г. В процеса пред първоинстанционния съд са дадени неправилни указания по тежестта на доказване с определение 978 от 02.07.2020 г., тъй като от ищцата е изискано да установи наличието на незаконосъобразно бездействие от страна на орган или длъжностно лице по опазване личните й данни. Съдът не е очертал правилно спорните между страните факти, които следва да бъдат доказани, съответно липсва разграничаване на безспорните факти. На страните не са дадени съответни указания по тежестта на доказване, съобразно техните твърдения, конкретния спор и приложимата нормативна уредба. На НАП не е указано, че именно в нейна тежест е да установи, че не е отговорна за събитието, причинило вредата, тоест, че липсва нарушение, в причинна връзка с което са претърпени вредите, нито че съгласно чл. 24, § 2 и § 3 и чл. 32 от ОРЗД администраторът на лични данни следва да доказва наличието на подходящи политики за защита на данните и придържането към одобрени кодекси за поведение или одобрени механизми за сертифициране, както и прилагането на конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. При неправилността и липсата на дадени указания по разпределението на доказателствената тежест в горния смисъл и на събрани относими към спора доказателства, крайният изводът на административния съд е формиран при съществени процесуални нарушения и е необоснован. По изложените съображения, обжалваното съдебно решение следва да бъде отменено, а делото върнато за ново разглеждане от друг състав на административния съд. При новото разглеждане в подробен доклад по делото съдът следва да посочи освен приложимото правно основание на иска, също относимите към спора факти, като разграничи спорните от безспорните. След определяне на спорните факти, на страните следва да бъдат дадени подробни указания по разпределението на доказателствената тежест, съобразени с техните конкретни твърдения и с нормата на чл. 82, § 3 от ОРЗД включително, но не изчерпателно, за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин и до какви конкретно устройства или системи, съхраняващи данни е осъществен, изцяло на външна намеса ли се дължи достъпът и възможно ли е това, какви технически мерки са предприети, за да бъде предотвратен такъв достъп, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, и технически възможно ли е било предотвратяването на изтичането на данни. Следва да се укаже на НАП, че негова е тежестта да докаже с всички допустими доказателствени средства, че нерегламентираният достъп не се дължи на нарушение по смисъла на Регламента, включително, че такова нарушение липсва или че е направено всичко възможно за неговото предотвратяване, предвид достиженията на техническия прогрес и различните рискове. Ц. К. от своя страна следва да установи наличието на конкретни неимуществени вреди претърпени от нея, както и причинна връзка между вредата и нарушението. Предвид изложеното и доколкото допуснатите от съда нарушения на съдопроизводствените правила са съществени, те са основание за отмяна на обжалваното решение и връщане на делото за ново разглеждане от друг състав на първоинстанционния съд при съобразяване на изложеното в мотивите на настоящото решение. По разноските ще се произнесе съдът при новото разглеждане на делото на основание чл. 226, ал. 3 АПК. Ето защо и на основание чл. 221, ал. 2, изр. първо, предл. второ и чл. 222, ал. 2, т. 1 АПК, Върховният административен съд, пето отделение