Решение № 6100 от 20.05.2021 г. на ВАС по адм. д. № 9682/2020 г.

Решение № 6100 от 20.05.2021 г. на ВАС по адм. д. № 9682/2020 г., III о., докладчик съдията Таня Куцарова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/ и е образувано по касационната жалба на Д. Н. от гр. София против решение № 3950/16.07.2020 г., постановено по адм. д. № 11284/2019 г., по описа на Административен съд – София град. Релевират се доводи за неговата неправилност, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост – касационни отменителни основания по чл. 209, т. 3 АПК. Иска отмяната му и решаване на спора по същество чрез уважаване на иска по чл. 1 ЗОДОВ за присъждане на обезщетение за причинени от ответника неимуществени вреди в пълен размер от 1000 лв. Конкретно се сочи, че съдът в нарушение на чл. 172 ГПК не е кредитирал показанията на разпитания по делото свидетел, че е направил необосновани правни изводи за това дали ищцата е понесла неимуществени вреди, че не съобразил посочена в касационната жалба съдебна практика на ВКС по установяване на неимуществени вреди при прилагане на чл. 2 ЗОДОВ. За неправилен се приема изводът на съда, че дори да са налице някакви неимуществени вреди, същите не са в пряка и непосредствена връзка с изтичането на данни. Ответникът – Национална агенция по приходите оспорва основателността на касационната жалба. Моли за оставяне в сила на обжалваното решение. Представителят на Върховната административна прокуратура представя мотивирано становище за допустимост, но неоснователност на касационната жалба и правилност на оспореното решение. Касационната жалба е подадена в срока по чл. 211 АПК от надлежна страна, за която съдебният акт е неблагоприятен поради което е допустима за разглеждане по същество. Производството пред Административен съд – София град е било образувано по иск, предявен от касационната жалбоподателка срещу Национална агенция по приходите, с който се претендира осъждане на ответника да заплати на ищцата сумата от 1000 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, за периода от 15.07.2019 г. до окончателно изплащане на сумата, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвет от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност в обработваните от него лични данни на ищцата, довело до неразрешено разкриване или достъп до личните данни на ищцата, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата. С решение № 3950/16.07.2020 г., постановено по адм. д. № 11284/2019 г. АССГ е отхвърлил предявения иск с правно основание чл. 1 ЗОДОВ като неоснователен и недоказан. Съдът е обсъдил наличието на елементите от фактическия състав на иска по чл. 1 ЗОДОВ и е достигнал до извод за наличие на първия елемент от състава на отговорността на държавата за вреди, но е приел, че не са установени следващите два елемента – понесена от ищцата вреда и пряка причинно-следствена връзка между установеното бездействие и увреждането. По отношение на твърдяното бездействие от страна на ответника, съдът е приел, че увреждането е свързано с изтеклата на 15.07.2019 г., информация от електронните масиви на НАП, съдържаща лични данни на ищцата, нерегламентиран достъп и престъпно деяние от неизвестно лице, че именно техническата уязвимост на информационната система на НАП е довела до нерегламентирано разкриване и разпространение на личните данни на ищцата, а тя е вследствие от неприлагането на подходящи мерки за защита. Посочил е, че ако системата беше ефективно и надеждно защитена, то не би се стигнало до пробива й, довел до разкриване личните данни на ищцата. Развил е съображения, фактът, че е извършена хакерска атака, с която е пробита информационната система на НАП, доказва, че не са предприети подходящи технически и организационни мерки за защита на обработването на личните данни на ищцата, което е достатъчно да бъде направен извод за незаконосъобразно бездействието на НАП. НАП, в качеството си на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент ЕС 2016/679, при осъществяване на дейността си, е следвало да предприеме ефективни мерки за предотвратяване злоумишлен достъп до личните данни на ищцата. В процесния случай това не е постигнато, а ответникът не е изпълнил задължението си по предотвратяване на престъпление и опазване изтичането на лични данни, като от незаконосъобразното му бездействие следва твърдения от ищцата увреждащ резултат. Бездействието на НАП е незаконосъобразно, противоречи на нормативни изисквания на чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. Ирелевантни са доводите на ответника, че след 15.07.2019 г., когато е осъществен нерегламентирания достъп, НАП е предприела мерки за защита. Тези мотиви обосновават извода, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Относно втората предпоставка – понесени от ищцата вреди от незаконосъобразното бездействие, съдът е приел, че за да бъде уважен искът по основание, следва по категоричен начин да се установи, че са настъпили претендираните от ищцата неимуществени вреди - стрес, безпокойство, притеснение, усещане, че имуществото на ищцата е застрашено от евентуално неправомерно използване на разкритите й лични данни за неправомерни цели, опасение, че с личните й данни ще бъде злоупотребено, например - отчуждаване имуществото й, злоупотреба с банковите й сметки или да изтегляне на кредити на нейно име. Съдът е приел, че посочените в исковата молба неблагоприятни последици принципно имат характер на неимуществени вреди, но те не са пряка и непосредствена последица от изтичането на личните данни на ищцата. Посочил е, че за да бъде уважен искът по основание, следва по категоричен начин да се установи, че са настъпили претендираните от ищцата неимуществени вреди и че те са в резултат на незаконосъобразното бездействие. Съдът е приел, че показанията на разпитания по делото свидетел – съпруг на ищцата, сочат на понесени от ищцата неблагоприятни емоции, свързани с установеното изтичане на личните данни, указват на сериозен емоционален стрес и безпокойство за отрицателни последици върху служебните задължения в ДФЗ, където ищцата работи, но според съда те не кореспондират с поведението на ищцата, която не е направила нищо, за да установи какви са конкретно личните данни, които са разкрити. Не е установила обема на разкритите й лични данни, което означава липса на заинтересованост у това лице, да установи какво точно по отношение на него е разкрито. Развити са разсъждения, за това, че човек, преживяващ силен емоционален стрес от дадена ситуация, в конкретния случай от разкриването на личните й данни, би направил всичко зависещо от него, за да установи какво е разкрито и как би могло това, което е разкрито да бъде променено, за да се предотврати евентуално злонамерено действие. От значение за установяване на наличието на действителна, реално претърпяна вреда и силен стрес, според съда, е наличието на активно поведение на пострадалото лице, да установи до кои негови данни са разкрити, за да може да предприемат мерки, с които до известна степен лицето да се защити. Съдът намира, че за да се установи реално притеснение, най-малкото ищцата е следвало да се представи по делото доказателства за наличните на имоти, за които се страхува да не стане обект на престъпно отчуждаване, или пък следваше да представи доказателства за наличните й банкови сметки, с които се притеснява да не бъде злоупотребено. Наличното за ищцата имущество и банкови сметки са останали недоказани и поради тези обстоятелства, съдът е заключил, че няма как да приеме, че е налице реален страх и притеснение от злоупотребата с нещо, за което не знае дали реално съществува. Посочено е че за извършването на злоупотреба с имущество и банкови сметки, е необходим номер на лична карта, освен три имена, адрес, ЕГН, а по делото не е установено дали номерът на личната й карта е разкрит при неправомерния достъп до лични данни. Развити са съображения, че сочените от ищцата неблагоприятни преживявания не са в пряка и непосредствена връзка с факта на незаконосъобразното бездействие. Така постановеното решение е валидно и допустимо, поради допуснати съществени нарушения на съдопроизводствените правилна, нарушение на материалния закон и необоснованост - касационни отменителни основания по чл. 209, ал. 3 АПК. Правилно искът е разгледан по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, макар че дадената правна квалификация не е точната. Правото на обезщетение и отговорността за причинени вреди са предвидени в чл. 82, § 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Съгласно член 82, параграф 6, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност и притежавани качества (публични органи или частноправни субекти), по аргумент от § 1, т. 1 АПК. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета "Производство за обезщетения" на Административнопроцесуалния кодекс. Съгласно разпоредбата на чл. 203, ал. 1 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на глава единадесета. Както вече се посочи, по силата на член 82, параграф 1 от Общия регламент относно защитата на личните данни, всеки засегнат частноправен субект може да предяви иск за обезщетение ако са нарушени правата му по този регламент и е налице пряка причинно-следствена връзка между нарушението и вредите. Материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. Член 203, ал. 1 АПК, в редакцията ДВ, бр. 77 от 2018 г. определя подсъдност на спора на административния съд, когато вредите имат за причина нарушение на правото на ЕС с акт, действие или бездействие на административен орган или на длъжностно лице от неговата администрация. Съгласно чл. 203, ал. 2 АПК, за неуредените въпроси за имуществената отговорност по ал. 1 се прилагат разпоредбите на Закона за отговорността на държавата и общините за вреди. Предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент /ЕС/ 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 вр. § 2 от Регламента. Следва изрично да се посочи, че дадените от ищеца правни квалификации не обвързват съда. От значение са само фактическите твърдения на ищеца, въз основа на които съдът дава вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от ищеца правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента. Разпоредбата на чл. 24 "Отговорност на администратора" от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, предвижда, ча като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Ответникът по иска е администратор на лични данни по см. на чл. 4, § 7 от ОРЗД и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. "а", както и по б. "е", а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки ("цялостност и поверителност"). При тези правни квалификации, съдът е следвало да съобрази и нормата на чл. 82, § 3 от Регламента, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба очертава границите на отговорността на администратора. Разсъждавайки върху елементите на възникване на отговорността на държавата, съдът следва да има предвид, че изразът "нарушение на настоящия регламент" има широко съдържание и нарушението на сигурността на личните данни е само едно негово проявление, но не го изчерпва. Понятието "нарушение на настоящия регламент" обхваща всяко отклонение от неговите изисквания, а не се свързва само с разпоредбите, които визират конкретни задължения на администратора или обработващия при нарушение на сигурността на личните данни. Тълкуването на чл. 82, пар. 1 от Регламент (ЕС) 2016/679 дава основание отговорността на администратора или обработващия да се ангажира за по-широк кръг нарушения, обхващащ всяко неизпълнение на изисквания, произтичащи от Регламент (ЕС) 2016/679. В тази връзка нарушението на Регламент (ЕС) 2016/679 може да се извърши с акт, действие или бездействие на администратора. Предвид изричната норма на чл. 82, § 3 от Регламента, администраторът на лични данни следва да докаже, при условията на пълно и главно доказване, че е приел подходящи технически и организационни мерки в съответствие с регламента, така че да изключи всяка своя отговорност за събитието, причинило вредата. В контекста на приложимото материално право следва да се направят и изводите за понесени вреди - техния характер и квалификация и начин да установяване и доказване. Настоящата инстанция намира за неправилни правните изводи на административния съд за недоказаност на неимуществените вреди и липса на пряка причинно-следствена вразка между тях и противоправното бездействие на ответника по съображенията, изложени в мотивите на решението. Пряката причинно следствена връзка следва да се преценява като съществуващата и доказана или недоказана само в контекста на приложимата материалноправна норма и и елементите от фактическия състав на същата. Неправилно съдът е приел, че ищцата е следвало да представи доказателства за наличие имущество с цел доказване на посочените в исковата молба негативни емоции - страх и притеснение от посегателството върху него от разкриване на личните й данни. Неправилно съдът е приел, че тези обстоятелства следва да се докажат с представяне на доказателства за конкретни имоти и налични банкови сметки, като само по такъв начин съдът би бил убеден, че твърдените неимуществени вреди са понесени. Видно от съображение 1 на Регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., "Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз ("Хартата") и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. ". От съдържанието на посочените нормативни актове от първичното и вторичното право на ЕС е видно, че правото на защита на личните данни е въздигнато в основно право на гражданите на ЕС. От препратката към защитата по ХОПЕС следва, че основните права на гражданите на ЕС се ползват от правата по чл. 47 от Хартата и всеки, чийто права и свободи, гарантирани от правото на Съюза, са били нарушени, има право на ефективни правни средства за защита пред съд в съответствие с предвидените в настоящия член условия. Според чл. 52, § 3 ХОПЕС доколкото Хартата съдържа права, съответстващи на права, гарантирани от Европейската конвенция за защита на правата на човека и основните свободи, техният смисъл и обхват са същите като дадените им в посочената Конвенция. Тази разпоредба не пречи правото на Съюза да предоставя по-широка защита, каквато действително е призната в практиката на СЕС - Решение на СЕС от 26 февруари 2013 г. по дело C-617/10, Еklagaren v. Hans Еkerberg Fransson, пар. 20. За характера на правото на защита на личните даннни и степента на неговата защита е налична многобройна практика на ЕСПЧ / ЕСПЧ не намира за необходимо и възможно изчерпателното дефиниране на понятието "личен живот" и последователно поддържа широкото тълкуване на правото на неприкосновеност (в този смисъл Решение от 29 април 2002 г. по дело Pretty v. United Kingdom, арр. 2346/02, пар. 63), като подчертава, че се придържа към прагматичен, а не толкова към собствено правен или формален подход (в този смисъл Решение от 24 февруари 1998 г. по дело Botta v. Italy, apр. 21439/93, пар. 27). В практиката си ЕСПЧ прилага чл. 8 от КЗПЧОС така, че включва и правото на защита на личните данни (в този смисъл Решение от 16.02.2000 г. по дело Amann v. Switzerland, аpp. 27798/95; Решение от 27 юни 2017 г. по дело Satakunnan Markkinapцrssi Oy and Satamedia Oy v. Finland, аpp. 931/13, пар. 137). Когато ЕСПЧ признава, че защитата на личните данни е също така проблем на неприкосновеност, той предоставя същите гаранции, предвидени от законодателството и по отношение на защитата на лични данни – право на достъп на субекта на данни до събраните относно него данни, правото на изтриване на лични данни в публични регистри и др. (Gaskin v. The United Kingdom, аpp. 10454/83, Leander v. Sweden, аpp. 9248/81). Налице е и практика на СЕС по правото по чл. 8, § 1 ХОПЕС - Решението на СЕС от 13 май 2014 г. по дело C-131/12 Google Spain SL и Google Inc. срещу Agencia Espaсola de Protecciуn de Datos (AEPD) и Mario Costeja Gonzбlez. В Решение № 8 от 15 ноември 2019 г. по конституционно дело № 4 от 2019 г. /виж мотивите по т. I/ е направен обстоен анализ на правото на защита на личните данни като част от основното конституционно право на неприкосновеност на личния живот с позоваване на Решение № 7/1996 г. на КС, като се сочи и, че: "най-общо правилата за защита на личните данни се разглеждат от Съвета на Европа и Европейския съюз като опит да се отчете заплахата за информационната неприкосновеност на индивида, възникнала от нарастващото потребление на високотехнологични средства за обработване на данни в съвременното дигитализиращо се общество". С оглед на тази съдебна практика, следва да се приеме, че поставянето на допълнителни условия за реализиране на исковата защита на правото по чл. 8, § 1 ХОПЕС е в нарушение на принципа на съразмерност, установен от СЕС като част от правната система на ПЕС. Изискването за доказване на обстоятелства, непосочени от закона, сочи на нарушение на материалния закон и необоснованост на съдебния акт - чл. 209, т. 3 АПК. Доколкото правото на защита на личните данни представлява основно право, както в КРБ, така и според ЕКПЧ / като част от правото на неприкосновеност на личния живот по чл. 8/, и според ПЕС / правото по чл. 8, § 1 ХОПЕС/, то за постигане на ефективността на защитата / изискване по чл. 47 ХОПЕС/ пред съда е необходимо доказване на посегателството върху защитените от правния ред ценности, а настъпването на неимуществените, морални вреди следва да се приемат за логична последица от увреждането. В тази връзка основателно е позоваването на касационния жалбоподател на съдебна практика на ВКС - решение № 63 от 18.03.2016 г. по гр. д. № 5124/2015 г., решение № 165 от 16.06.2015 г. по гр. д. № 288/2015 г., решение № 480 от 23.04.2013 г. по гр. д. № 85/2012 г. по прилагане на чл. 2 ЗОДОВ във връзка с посочване в исковата молба, доказване и обезщетяване на неимуществени вреди с обичаен характер като последица от увреждането. Предвид изложеното, настоящата съдебна инстнация намира, че обжалваното решение № 3950/16.07.2020 г., постановено по адм. д. № 11284/2019 г., по описа на Административен съд – София град следва да се отмени, а делото да се върне за ново разглеждане при спазване на указанията по прилагане на материалния закон и разпределение на доказателствената тежест между страните. Водим от изложеното, Върховният административен съд