Решение № 8324 от 31.7.2025 г. на ВАС по адм. д. № 755/2025 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на Национална агенция за приходите/НАП/-София , чрез процесуален представител , против решение 24474/22.11.2024 г. по адм. д. 8007/2024 г. описа на Административен съд София-град/АССГ/. Иска се отмяна на решението, като постановено при допуснато съществено нарушение на съдопроизводствените правила, в нарушение на материалния закон, непълнота на доказателствата и необосновано касационни основание по чл. 209, т. 3 от АПК. Желае се отмяна на решението и отхвърляне на иска. Претендират се разноски, съобразно представен списък на разноските за всички съдебни инстанции. Ответната страна Е. Г. Ц., чрез процесуален представител, в писмен отговор оспорва касационната жалба и иска оставяне на съдебното решение в сила. Представителят на Върховна касационна прокуратура намира касационната жалба за основателна. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от страна, за която решението е неблагоприятно, намира същата за допустима. Разгледана по същество е основателна, по следните съображения: С оспореното решение 24474/22.11.2024 г. по адм. д. 8007/2024 г. описа на АССГ НАП е осъдена да заплати на Е. Ц. обезщетение за претърпени неимуществени вреди в размер на 500 лева, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., като е отхвърлен иска за разликата над този размер до пълния предявен размер от 1000 лв. Със съдебното решение, на основание чл. 10, ал. 3 от ЗОДОВ НАП е осъдена да заплати на Е. Г. Ц. сумата от 22 ,50 лв., както и 800 лв. адвокатско възнаграждение за адв. С. Юрукова. На основание чл. 10, ал. 4 от ЗОДОВ Е. Г. Ц. е осъден да заплати на НАП сумата от 50 лв. За да постанови решението си съдът е разгледал иск с правно основание чл. 82, пар. 1 от Регламент /ЕС/ 2016/679 на ЕП и Съвета /GDRP/. Приел, че НАП като администратор на лични данни не е изпълнила задължения по чл. 59, ал. 1 от Закона за защита на личните данни / ЗЗЛД/ по чл. 24, чл. 32 от Регламента и чл. 59, ал. 1 от ЗЗЛД, поради което на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП и е разпространена защитена информация на граждани, обработвана от НАП. Съдът е посочил, че ответникът по иска, чрез бездействие, не е изпълнил по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица и това е в пряка причинна връзка с негативните преживявания на ищеца. Посочил, че от ищеца е представена извадка от SMS със съдържание "НАП: По заявка номер 2138 ИМА неправомерно разкрити лични данни", но не е посочено лицето, за което е направена справката по посочената заявка. Приел, че НАП не оспорва факта, че по отношение на ищеца са налице неправомерно разкрити лични данни. Констатирал, че не са представени доказателства кои лични данни са достъпни. По отношение на претърпените от ищеца неимуществени вреди е приел, че са доказани, с позоваване на т. 6 от решение по дело С-340/2021 г. на СЕС. Решението е постановено при спазване на съдопроизводствените правила и правилно разпределена доказателствена тежест в съответствие с решение по С-340/21, но е необосновано и материално незаконосъобразно, касационни основания по чл. 209, т. 3 от АПК. Решението е постановено след отменително решение 9055/22.07.2024 г. по адм. д. 2096/2021г. по описа на ВАС, пето отделение, с което делото е върнато за ново разглеждане от друг съдебен състав, поради неправилно разпределена доказателствена тежест между страните. Върховният съд е посочил, че при новото разглеждане на делото първоинстанционният съдебен състав следва разпредели доказателствената тежест, като даде конкретни указания на страните при съобразяване и с решение Съда на Европейския съюз /СЕС/ от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, според което разпоредбата на чл. 82, пар. 1 от ОРЗД трябва да се тълкува в смисъла, че опасенията, които субект на данни изпитва, вследствие на потенциална злоупотреба с личните му данни от трето лице /трета страна по смисъла на чл. 4, т. 10 от ОРЗД/, могат сами по себе си да представляват нематериална вреда, която също подлежи на доказване. Администраторът на лични данни по смисъла на чл. 4, т. 7 от ОРЗД /какъвто безспорно е НАП в случая/ при обработването им следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, пар. 1, б. а, както и по б. е от ОРЗД, поради което при указване на доказателствената тежест, съдът следва да съобрази посочената приложимата правна уредба и цитираното решение на СЕС, в което е тълкувана. Също така е указано, че при разглеждане на делото следва да бъде съобразено, че дадената от ищеца правна квалификация не задължава съда, като от значение за преценката му каква е тя, съдът е обвързан само от фактическите твърдения на ищеца, въз основа на които е длъжен да определи вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от ищцата правни последици и какво е мястото му в йерархията на източниците на правото. Сочи се от ВАС, че доколкото се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента, като въз основа на твърдяното им неизпълнение се претендира обезщетение по чл. 82 ОРЗД. Ето защо при формиране на изводите си за наличие или липса на нарушение на тези текстове, административният съд следва подробно да обсъди представените от НАП писмени доказателства, като съобрази разпоредбата на § 3 на чл. 24 ОРЗД, както и събраните в хода производството доказателства и постановеното в посоченото по - горе решение на СЕС, а именно, че неразрешеното разкриване на лични данни или неразрешен достъп до такива данни от трето лице по смисъла на чл. 4, т. 10 ОРЗД сами по себе си не са достатъчни, за да се приеме, че приложените от ответника технически и организационни мерки не са подходящи по смисъла на чл. 24 и 32 ОРЗД. Преценката в тази връзка следва да бъде направена като се вземат предвид рисковете, свързани с обработването, както и естеството, обхватът и приложението на съответните мерки, съобразно тези рискове, като следва да бъде и съобразено, че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 ОРЗД за обезщетяване на претърпените вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 ОРЗД. При новото разглеждане на делото разпределена е доказателствената тежест, като на ищеца е указано, че следва да докаже настъпването на неимуществените вреди и в какво конкретно се изразява нарушението на ответника да изпълни задължения, произтичащи от ОРЗД, както и да установи пряко причинно-следствена връзка между заявеното нарушение на ответника и неимуществените вреди. От НАП са представени "Политика по защита на личните данни в НАП", указания за работа с информация, версия 3.0, съобразно Наредба за общите изисквания за мрежова и информационна сигурност, "Политика по информационна сигурност на НАП, версия 3.0 от 2016 г., Инструкция 2/8.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри, Методика за оценка на риска и др. Ищецът е ангажирал гласни доказателства в подкрепа на твърденията си за причинени неимуществени вреди, разпитана е неговата дъщеря, с твърдения за силни притеснения изпитани от [възраст] й баща, имащ множество заболявания. Притеснения свързани с евентуални измами и злоупотреби с личните му данни. Съобразно т. 6 от решението по дело С-340/2021 г. на СЕС чл. 82, пар. 1 от Регламента следва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие нарушение на този регламент, от потенциална злоупотреба с неговите лични данни то трети лица, могат сами по себе си да представляват "нематериална вреда" по смисъла на тази разпоредба. Във връзка с разпределената доказателствена тежест, ищецът е представил копие на съобщение от телефон, в отговор на изпратена заявка до НАП с текст "НАП: По заявка номер 2138 ИМА неправомерно разкрити лични данни" В действителност, ищецът, съобразно разпределената му доказателствена тежест, не е ангажирал доказателства от кого е подадена заявката и за лични данни на кое лице се отнася отговора на НАП. Липсват и доказателства какви конкретно са неправомерно разкритите лични данни. В допълнение следва да се посочи, че от страна на НАП е създадена възможност да бъде направена конкретна справка от всеки гражданин по имена и ЕГН за вида на неправомерно достъпените лични данни, от която възможност ищецът не се е възползвал и не е представил доказателства за извършване на подобна справка. Доводите на първоинстанционния съд, че от страна на ответника НАП не се оспорва факта, че по отношение на ищеца са налице неправомерно разкрити лични данни, не се основава на фактите по делото. В действителност, още с отговора си от 28.11.2019 г. при първото разглеждане на делото НАП оспорва това обстоятелство, с позицията, че ищецът не се е възползвал от създадената от страна на НАП възможност да с провери и установи от всеки гражданин за наличието или липсата на неоторизиран достъп до негов лични данни. Поради процесуалното бездействието на ищеца Е. Ц. делото не е попълнено с релевантни за спора доказателства дали той е сред засегнатите лица от хакерската атака срещу електронните масиви на НАП и какви точно негови лични данни са разкрити. В тази връзка събраните гласни доказателства опасения от възможна злоупотреба с личните му данни, не са сами по себе си достатъчни за ангажиране отговорността на ответника. Поради изложеното касационната инстанция приема, че в производството не е доказано неразрешено разкриване или достъп до лични данни на ищеца, както и не са доказани заявените опасения от възможна злоупотреба с негови лични данни. Като е уважил иска и присъдил обезщетение за 500 лева, съдът е постановил неправилно осъдително решение, което следва да бъде отменено, а искът отхвърлен до уважения размер. Решението подлежи на отмяна и в частта относно присъдените в полза на ищеца държавна такса в размер на 22,50 лв. и адвокатско възнаграждение за адв. Юрукова. Предявеният иск следва да бъде отхвърлен като неоснователен, като в полза на касатора следва да бъдат присъдени направените разноски според представения списък - юрисконсултско възнаграждение за всички инстанции - общо в размер на 400 лв. на основание чл. 78, ал. 8 ГПК вр. с чл. 24 от Наредбата за заплащането на правната помощ и държавна такса за касационно производство в размер на 12,50 лв., съгласно приложеният списък на разноските. Воден от горното и на основание чл. 221, ал. 2 от АПК Върховният административен съд, състав на Пето отделение