Решение № 4365 от 28.4.2025 г. на ВАС по адм. д. № 11791/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Г. К. Г., подадена чрез пълномощник адв. С. Юрукова срещу решение 18842 от 04.10.2024 г., постановено по адм. дело 6192/2024 г. по описа на Административен съд София - град (АССГ), с което е отхвърлен, предявеният от него иск против Националната агенция за приходите (НАП), за присъждане на обезщетение за нанесени неимуществени вреди в размер на 1000 лева, настъпили в резултат на незаконосъобразно бездействие от ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл.24 и чл.32 ОРЗД да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на Г., ведно с дължимата законна лихва върху сумата, считано от 15.07.2019 г. като неоснователни. В касационната жалба са развити доводи за неправилност на атакуваното решение, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът намира за правилен извода на АССГ, че е налице първата предпоставка за уважаване на иска - незаконосъобразно бездействие на НАП, но изразява несъгласие с приетото от съда, че не е доказано наличието на втората предпоставка - претърпени от ищеца неимуществени вреди от бездействието на НАП. По изложените съображения иска отмяната на обжалваното съдебно решение и уважаване на предявения иск, ведно с лихвата върху претендираната сума на обезщетението. Претендира присъждане на разноски за двете инстанции, съгласно приложен списък по чл. 80 от Гражданския процесуален кодекс (ГПК). Ответникът по касация - НАП, чрез юрисконсулт Л. Танев, оспорва жалбата в представен писмен отговор и в съдебно заседание и моли да бъде оставено в сила решението на АССГ. Претендира присъждане на юрисконсултско възнаграждение. Представителят на Върховна касационна прокуратура дава мотивирано, писмено заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е неоснователна. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 АПК, след отмяна на първоначално постановеното решение 7278 от 15.12.2020г. по адм. дело 11277/2019 г. на АССГ, с решение 7240 от 12.06.2024г. по адм. дело 2209/2021 г. на Върховния административен съд, пето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 вр. § 2 от Регламента. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. С определение 10261 от закрито заседание на 28.06.2024г., съдът е разпределил доказателствената тежест между страните като изрично е дал указания на ищеца, че следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича, както и че следва да докаже негативните си преживявания. При новото разглеждане ищецът не е ангажирал нови писмени и/или гласни доказателства, въпреки дадените му изрични указания. Въз основа на така установените факти съдът е приел, че искът е допустим, но неоснователен. АССГ е приел от правна страна, че предявеният осъдителен иск е с правно основание чл. 82, §1 и 2 от ОРЗД във вр. с чл. 203 и сл. АПК. По отношение на първата предпоставка - обработване на личните данни да е извършено в нарушение на разпоредбите на Регламента, съдът е приел, че същата е доказана по делото, предвид липсата на ангажирани доказателства от страна на ответника, от които да се направи извод, че взетите организационни мерки са подходящи, за да гарантират защита на данните, а представените доказателства не установяват, че предприетите организационни мерки са били в такава степен подходящи и ефективни да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. С тези мотиви АССГ е приел наличието на първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите мерки и ефективни средства за защита, произтичащи от задълженията на администратора по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. По отношение втората предпоставка - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие, първоинстанционният съд е приел, че Г. не е представил доказателства за обема и вида на изтекли негови лични данни (имена, ЕГН и др.) и дори не е извършил проверка в НАП, за да установи кои негови лични данни са изтекли в публичното пространство, като се е позовал на показанията на разпитан свидетел при предходно разглеждане на делото. С оглед установеното, съдът е стигнал до извод, че ищецът не доказва наличие на нарушено негово право - на защита на личните му данни от администратора на тези лични данни, което право да е накърнено от неправомерния достъп до същите и разпространението им в интернет пространството. Като е приел, че трите елемента на отговорността по чл.82 от ОРЗД, следва да бъдат установени кумулутавно, съдът е счел, че липсата на доказаност на втория елемент води до неоснователност на предявения иск и го е отхвърлил, както и претенцията за присъждане на лихва. Решението е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Обжалваното решение е правилно и не са налице на основанията по чл. 209, т. 3 АПК за неговата отмяна. Правилно съдът е приел предявеният иск с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Предвид чл. 82 от Регламент (ЕС) 2016/679, предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с Регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по Регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/2021 на СЕС, VB, ECLI:EU:C:2023:986, е посочено че от текста на член 82, § 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този Регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, § 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679, задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, § 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата на чл. 82, § 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищцата в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от съда, не доказват, че приложените мерки са подходящи за защита при обработване на личните данни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези по чл. 24 и чл. 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че член 82, § 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Правилно съдът е приел, че не е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т.6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е посочено, че член 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023г. по дело С-300/21 на СЕС, ECLI:EU:C:2023:370, е предвидено, че член 82, § 1 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Чл. 82, § 1 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Чл. 82 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. Правилно съдът е стигнал до извод, че въпреки дадените указания, ищецът не е доказал какви негови лични данни са достъпени неправомерно. За доказване изтичането на лични данни Г. е ангажирал само, както е посочено в исковата молба копие от потвърдителните СМС-и от "НАП по заявка номер 4136 има неправомерно разкрити лични данни". Така представеното доказателство по никакъв начин не може да се обвърже на първо място с ищеца, липсва яснота кой е направил заявката и дали тя касае Г. К. Г., т.е. не е ясно, че са изтекли именно данните на ищецът и конкретно кои лични данни са изтекли. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ECLI:EU:C:2023:370, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се преценят притеснението и страхът като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищеца, както и че действително са претърпени неимуществени вреди, има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по чл. 82 ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищеца да докаже, че именно негови конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпял и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и правилно съдът е преценил, че не следва да се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението като правилно следва да се остави в сила. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на разноски за юрисконсултско възнаграждение, които на основание чл.78, ал.8 от ГПК, приложим на основание чл.144 АПК и във вр. с чл.37 от закона за правната помощ, съдът определя в размер на 150 лева.