Решение № 2572 от 10.03.2026 г. на ВАС по адм. д. № 5209/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Г. К. Г., чрез процесуалния му представител адв. Н. Хаджигенов, против решение № 6245/22.02.2025 г., постановено по адм. дело № 8053/2024 г. по описа на Административен съд София-град (АССГ), с което е отхвърлен искът му, предявен на основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във вр. с чл. 39 от ЗЗЛД и чл. 1, ал. 1 от ЗОДОВ срещу Национална агенция за приходите, за заплащане на обезщетение в размер на 1000 (хиляда) лева за неимуществени вреди, претърпени вследствие на това, че ответникът не е положил дължимата грижа за защита на личните му данни и не е изпълнил задължението по чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/67, заедно със законната лихва върху тази сума, смятано от 15.07.2019 г. до окончателното й изплащане. Касационният жалбоподател счита, че решението е неправилно, незаконосъобразно и постановено в нарушение на установените правила. Оспорва извода на съда за недоказаност на претендираните неимуществени вреди. Твърди, че данните му са сред изтеклите от информационните системи на НАП и това обстоятелство е напълно достатъчно, за да настъпят претендираните вреди. Моли обжалваното решение да се отмени. Не претендира разноски по делото. Ответникът по касация – Национална агенция за приходите (НАП), чрез процесуалния си представител юрк. Л. Танев, оспорва касационната жалба по съображения, изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за настоящата инстанция. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувано по предявен от Г. К. Г. иск срещу НАП за присъждане на обезщетение за неимуществени вреди, описани в исковата молба, претърпени в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък „Регламент (ЕС) 2016/679“, заедно със законната лихва върху тази сума, считано от датата на увреждането - 15.07.2019 г., до окончателното й изплащане. Първоинстанционният съд е приел от фактическа страна, че в резултат на умишлени действия на неустановени трети лица на 15.07.2019 г. е бил осъществен неоторизиран достъп до информационната система на НАП и е публикувана информация, съдържаща се в информационните бази данни на НАП, като са били разпространени лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. За изтичането на личните данни са били уведомени Комисията за защита на личните данни и Софийската градска прокуратура. Като общоизвестно обстоятелство е прието, че във връзка с извършения неоторизиран достъп и последвалото разпространение на лични данни, е било разработено специално приложение, активно от 25.07.2019г., чрез което всеки български гражданин е можел да провери дали негови лични данни са станали обект на този неоторизиран достъп. За установяване на обстоятелството, че негови лични данни са били сред засегнатите такива, ищецът е представил следното доказателство - копие от екранно изображение (screenshot) на получено кратко текстово съобщение (без дата) със следното съдържание: „НАП: По заявка номер 7098 ИМА неправомерно разкрити лични данни“ 17:34 ч.“. От ответната страна по иска е представена справка от 25.08.2020 г. със следното съдържание: „За идентификатор •••••••••• има разпространени данни, които включват: - ЕГН и имена“. Справката не съдържа индивидуализиращи данни за нейния издател. Установено по делото е също така, че със Заповед №ЗЦУ-586/30.04.2014 г. изпълнителният директор на НАП е наредил, смятано от 01.05.2014 г. в НАП да се внедри Система за управление на сигурността на информацията (СУСИ) по стандарт БДС ISO/IEC 27001:2006, която включва изрично и изчерпателно посочените документи, съгласно т. 1.1. – т. 1.9. Със Заповед №ЗЦУ-1436/15.10.2018 г. изпълнителният директор на НАП е утвърдил: „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от Закона за Националната агенция за приходите (ЗНАП)“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. За установяване на твърдените от него факти и обстоятелства ответникът е представил и следните писмени доказателства: Методика за оценка на риска от м. ноември 2015 г.; Политика по информационна сигурност на НАП от м. май 2016 г.; Инструкция №2/08.05.2019г. за мерките и средствата за защита на лични данни, обработвани в Националната агенция за приходите и реда за движение на преписки и заявяване на регистри; Политика по защита на личните данни в НАП, утвърдена със Заповед №ЗЦУ-746/25.05.2018г.; Указания за обозначаване и работа с информацията; Списък на видовете операции по обработване на лични данни, за които се изисква извършване на оценка за въздействието върху защитата на данните съгласно чл. 35, параграф 4 от Регламент (ЕС) 2016/679; Методика за оценка на риска. Въз основа на така установените факти съдът е приел, че искът е допустим, но неоснователен. След анализ на разпоредбите на чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във вр. с чл. 39 от ЗЗЛД и чл. 1, ал. 1 от ЗОДОВ, решаващият състав е посочил, че редът за разглеждане на иска е по Глава единадесета от АПК, като за неуредените въпроси на имуществената отговорност се прилагат разпоредбите на ЗОДОВ. В този смисъл основателността на предявения от Г. К. Г. иск следва да бъде преценена въз основа проверката за кумулативното наличие на следните три обстоятелства: 1) наличие на незаконосъобразен акт, действие или бездействие на административен орган или длъжностно лице – администратор на данни, осъществяващи нарушение на правилата, установени в Регламент (ЕС) 2016/679 по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и на правилата по отношение на свободното движение на лични данни; 2) реално причинена вреда, която от своя страна 3) да е в причинна връзка с незаконосъобразните актове, действия и/или бездействие – т.е. да е тяхна пряка и непосредствена последица. В настоящия случай исковата претенция се основава на незаконосъобразно бездействие на ответника – администратор на лични данни, изразяващо се в неизпълнение в достатъчна степен на задължението, установено в чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на лични данни се извършва в съответствие с изискванията на Регламента. В това отношение съдът е приел, че ответникът не се е справил с доказателствената си тежест да установи по безспорен начин, че след преценка на естеството, обхвата, контекста и целите на обработването е идентифицирал всички рискове с различна вероятност и въз основа на това е въвел най-подходящите в конкретния случай и ефективни технически и организационни мерки за защита на личните данни. Представените от него документи свидетелстват за предприети от формална страна действия по осигуряване защитата на обработваните данни, но не и за това дали е извършена действителна оценка на риска при отчитане на обхвата, контекста и целите на обработването, дали тази оценка е била периодично преразглеждана и актуализирана и дали при необходимост въведените технически и организационни мерки са били изпитвани и преценявани с оглед на тяхната ефективност в съответствие с извършения анализ на риска и съответното ниво на сигурност. По тези съображения съдът е приел, че е налице първият елемент от фактическия състав на непозволеното увреждане - бездействие на НАП, като администратор на лични данни, да изпълни задълженията, установени в чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, за прилагане на технически и организационни мерки за осигуряване на ниво на сигурност при обработване на личните данни, съобразено с естеството, обхвата, контекста и целите на обработването и с идентифицираните рискове с различна вероятност. По отношение на втория и третия елемент от обсъждания фактически състав съдът е достигнал до извод за недоказаност на твърдяната от ищеца вреда с неимуществен характер, която да е пряка и непосредствена последица от бездействието на ответника. В тази връзка, от една страна, позовавайки се на практиката на Съда на ЕС, АССГ е посочил, че опасенията, които субектът на данни изпитва, вследствие на нарушение на Регламент (ЕС) 2016/679, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“. От друга страна, съдът е припомнил, че в тези случаи лицето, което твърди настъпването на отрицателни последици за него, е длъжно да докаже, че тези последици представляват нематериални вреди по смисъла на член 82 от същия Регламент. По-конкретно, когато лице, което иска обезщетение на това основание, се позовава на опасенията, че в бъдеще с неговите лични данни ще бъде злоупотребено поради наличието на такова нарушение, сезираната национална юрисдикция трябва да провери дали тези опасения може да се смятат за основателни с оглед на обстоятелствата в конкретния случай и на субекта на данни. Въз основа на представените доказателства и установените факти по делото съдът е мотивирал извода, че в случая не се доказва настъпването на конкретни неимуществени вреди. Приел е, че доказателствата по делото сочат на пасивно поведение от страна на ищеца за установяване на обстоятелствата, на които се основава твърдението му за преживени негативни емоции, изразяващи се в реален страх от злоупотреба с личните му данни, срам, ужас и неудобство от публичното оповестяване на същите. Не са представени доказателства ищецът да е предприел действия по установяване на конкретните негови лични данни, които са били засегнати (разкрити/разпространени), както и в резултат от процесуалното му бездействие е бил заличен допуснатият по негово искане, при режим на довеждане, един свидетел по делото. Предвид недоказването на претендираните вреди не може да бъде установена и причинно-следствена връзка между тревогите, които ищецът твърди, че е претърпял, и бездействието на ответника във връзка със задълженията му, вменени с нормите на чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. Така постановеното решение на АССГ е правилно. Правилен е изводът на съда, че в случая е налице първата предпоставка – незаконосъобразно бездействие на администратора на лични данни. Обосновани и мотивирани са съображенията на съда във връзка с прилагането на чл. 82, параграф 3 от Регламент (ЕС) 2016/679, предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. В случаите на възражение за освобождаване от отговорност на посоченото правно основание тежестта да докаже, че са взети подходящите технически и организационни мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда, т.е. администраторът/обработващият лични данни е този, който трябва да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин да не може да бъде държан отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив от трети лица в информационната система на НАП. В процесния случай представените от ответника доказателства не установяват по несъмнен начин, че същият е приложил най-подходящите и ефективни мерки за сигурност, които да са от естество да изключат напълно отговорността му по отношение на настъпилото събитие, свързано с осъществен неоторизиран достъп и разпространение на лични данни, съхранявани в информационните бази данни на НАП. Приложените по делото писмени доказателства, цитирани в първоинстанционното решение, не доказват, че предприетите технически и организационни мерки са осигурили необходимото ниво на сигурност при обработване на личните данни, съобразено с естеството, обхвата, контекста и целите на обработването и с идентифицираните рискове с различна вероятност. Недоказването от страна на администратора на лични данни, че настъпилото неблагоприятно събитие не може по никакъв начин да му бъде вменено като отговорност, е резултат именно от несправянето му с тежестта да докаже, че приложените мерки са подходящи и ефективни, както и че дейностите по обработването са в съответствие с Регламент (ЕС) 2016/679, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица (в този смисъл съображение 74 от Регламент (ЕС) 2016/679). В настоящия случай не се доказва изградено такова ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, поради което правилно първоинстанционният съд е приел, че ответникът не се е справил с доказателствената тежест. Правилен е обаче и изводът на съда, че в процесния случай не е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“ по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. На ищеца от първоинстанционния съд са дадени указания да докаже твърдените за претърпени неимуществени вреди. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В тази връзка правилно АССГ е отбелязал, че за да се приложи принципът на равностойност и ефективност в настоящия случай, съобразно посоченото в Решението на СЕС по дело С-300/21, ищецът е следвало да посочи и да докаже какви негови лични данни са били публично оповестени, за да може притестнението и страхът да се преценят като неимуществени вреди и да се определи адекватно парично обезщетение. В случая ищецът не е доказал какви негови лични данни са били засегнати в резултат на установения неоторизиран достъп и изтичането на данни от информационните бази данни на НАП. Правилна е констатацията на административния съд, че от приложеното на лист 16 от делото доказателство по никакъв начин не става ясно кой е направил заявката и дали тя действително касае Г. К. Г.. Освен това ищецът не успява да докаже и настъпването на твърдените негативни емоции, описани в исковата молба. Допуснатият до разпит свидетел, поискан от ищеца, при режим на довеждане, за установяване на обстоятелствата относно претърпените неимуществени вреди, не се е явил в първото по делото съдебно заседание, за което ищецът е бил надлежно уведомен. Последиците от неявяването на допуснатия свидетел при режим на довеждане се носят от поискалата го страна. Твърденията на ищеца за преживени тревоги под формата на срам, страх и ужас от оповестяването на личните му данни и евентуалното им използване за престъпни цели и злоупотреби не са подкрепени със съответно относими и допустими доказателства. Ищецът не е представил доказателства, от които по безспорен начин да се установи какви конкретни негативни емоции е преживял и в резултат на разкриването на кои негови лични данни вследствие на неправомерното бездействие на администратора на лични данни. По изложените съображения касационната инстанция намира за правилен и обоснован извода на АССГ за недоказаност на втория и третия елемент от фактическия състав на основанието за ангажиране на отговорността на администратора на лични данни в настоящия спор. Поради това като е отхвърлил предявения от Г. К. Г. срещу НАП иск с правно основание чл. 82, параграф1 от Регламент (ЕС) 2016/679 във вр. с чл. 39 от ЗЗЛД и чл. 1, ал. 1 от ЗОДОВ, АССГ е постановил законосъобразен правен резултат. Обжалваното решение е валидно, допустимо и правилно и следва да се остави в сила. С оглед изхода на спора искането на ответника по касация за присъждане на юрисконсултско възнаграждение за настоящата инстанция се явява основателно и следва да бъде уважено за сумата от 200 лева или 102,26 евро, на основание чл. 78, ал. 8 от ГПК, във вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо от АПК, Върховният административен съд, пето отделение