Решение № 4650 от 7.5.2025 г. на ВАС по адм. д. № 1706/2025 г.

Производството е образувано по чл. 208 и следв. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на Националната агенция за приходите /НАП/, подадена чрез пълномощника юриск. Р. Д. М., срещу Решение 24025/19.11.2024 г., постановено по адм. дело 5964/2024 г. по описа на Административен съд София - град /АССГ/, с коeто НАП е осъдена да заплати на Д. С. С. сумата от 500 лева, представляваща обезщетение за причинени неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата, както и разноски по делото. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева като неоснователен. В тази част съдебното решение не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 от АПК. Касаторът излага съображения относно изведени от първоинстанционния неправилни и незаконосъобразни заключения, че е реализиран фактическият състав на отговорността по реда на ЗОДОВ. Твърди се, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано съдът е приел, че е налице твърдяното незаконосъобразно бездействие. Съдът е решил делото при неизяснена фактическа обстановка, тъй като не е установено дали и кои лични данни на лицето са изтекли.Ищецът не е представил доказателства, от които да се установи какви негови данни са изтекли, за да може да се твърди,че са разкрити такива. Моли решението в обжалваната му част да се отмени и се постанови ново, с което се отхвърли изцяло иска на Д. С.. Претендира присъждане на юриск. възнаграждение. Касаторът в съдебно заседание се представлява от юриск. Танев, който поддържа касационната жалба по изложените в нея съображения и моли за присъждане на юриск. възнаграждение. Ответникът по касация - Д. С. С., чрез адв. Юрукова оспорва касационната жалба по съображения, изложени в писмен отговор. Според касатора обстоятелството кои точно лични данни, съхранявани и обработвани от НАП са били обект на нерегламентиран достъп, е без значение. В уточнителната молба ищецът е посочил кои конкретни лични данни смята, че са станали обект на нерегламентиран достъп. Моли решението в обжалваната му част да бъде оставено в сила. Претендира разноски за настоящата инстанция по представен списък на същите. Постъпила е писмена молба на 02.04.2025 г. от адв. Юруков, с която поддържа отговора по касационната жалба. Направено е искане за събиране на писмени доказателства. В съдебно заседание ответникът по касация не се явява и не се представлява. Представителят на Върховната касационна прокуратура дава мотивирано заключение за допустимост и неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е основателна по следните съображения: Пред АССГ е бил предявен иск от Д. С. С. срещу НАП за присъждане на обезщетение за неимуществени вреди в размер на 1000 лв., подробно описани в исковата молба, претърпени в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни, чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/, наричан по - нататък Регламент /ЕС/ 2016/679 или ОРЗД , ведно със законната лихва върху тази сума, считано от датата на завеждане на исковата молба или алтернативно - от датата на изтичане на личните данни - 15.07.2019 г. до окончателното изплащане на сумата. Съдът е приел за установено от фактическа страна, че между страните не се спори относно обстоятелството, че на 15.07.2019 г. личните данни на ищцата са станали публично достояние с източник информационната система на НАП. За удостоверяването на този факт ищцата е представила един брой извадка от НАП за получен SMS със следното съдържание: НАП: По заявка номер [номер] ИМА неправомерно разкрити лични данни . В хода на съдебното производство е назначена и приета Съдебно - техническа експертиза, от заключението по която се установява, че на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП. От базите с данни на тази система са извлечени защитени със закон лични данни и данъчноосигурителна информация, като данните и информацията са публикувани в интернет пространството. Вещото лице е посочило, че към 15.07.2019 г. Националната агенция за приходите е използвала операционните системи Windows сървър версии от 2013 и 2016 г., както и на система за управление на бази данни Oracle версии 11.2.0.2 и 12. Посочило е, че към 15.07.2019 г. това са версии в експлоатационен срок, но не са най-новите за продуктите. Според вещото лице приложният сървър на основното приложение на Информационна система Контрол е работил върху самостоятелна машина, отговаряща на препоръките от oracle системни изисквания за инсталиране и конфигуриране на самостоятелна инстанция на oracle weblogic application server. Посочило е, че машината е свързана в локалната мрежа на Националната агенция за приходите. Сървърът на базата данни е работил върху самостоятелна машина, отговаряща на препоръчаните от oracle системни изисквания за съответната версия. Вещото лице сочи, че са използвани т. нар. защитни стени . Вещото лице е определило нивото на сигурност на използваните системи, като средно. Вещото лице е посочило, че за регламентиран достъп до системата на Националната агенция за приходите са необходими базови компютърни умения. Посочило е, че за нерегламентиран достъп до системата са необходими по - специализирани умения и знания, тъй като е необходимо заобикаляне на защитите на информационната система. Липсват данни за проведени изпитвания на системата. В заключение вещото лице е посочило, че информационната система, съдържаща личните данни на гражданите, не е била в достатъчна степен защитена, като при подходящо техническо, софтуерно и кадрово обезпечаване и навременни действия, рискът от нерегламентиран достъп може да бъде сведен до минимум. За доказване на претърпените от ищеца неимуществени вреди по делото са събрани гласни доказателства. Съдът е разпитал свидетелката М. В. Б., която посочва, че ищцата за притесненията си след като разбрала за изтичането на личните й данни, спряла да се весели, не можела да спи, тъй като мислела, че някой може да продаде жилището й, да изтегли пари от сметката и други подобни. Съдът е кредитирал показанията на разпитания по делото свидетел като логични, обективни и достоверни. Въз основа на така установените факти АССГ е приел, че искът е допустим и частично основателен. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 от ЗОДОВ е посочил, че Д. С. е обосновала своята претенция за обезщетение от твърдението, че вредите й са причинени от незаконосъобразно бездействие на ответника НАП да изпълни произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 задължения. Посочил е, че ответната страна е администратор на лични данни по смисъла на чл. 4, параграф 7 от Регламент /ЕС/ 2016/679 и при обработване на личните данни следва да спазва принципите на законосъобразност и добросъвестност залегнали в чл. 5, параграф 1, б. а и б. е от ОРЗД. Приел е, че обстоятелството, че на 15.07.2019 г. е изтекла информация от сървърите на НАП, вследствие неоторизиран достъп безспорно, сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна техническа надеждност и сигурност на информационната си система, за да защити физическите лица във връзка с обработването на личните им данни. Извел е извод, че именно техническата уязвимост на информационната система е довела до нерегламентирано разкриване и разпространение на личните данни на ищеца която е следствие от неприлагането на подходящи мерки за защита. Обстоятелството, че е извършена хакерска атака, осъществен е неправомерен достъп до информационната система на НАП е неоспоримо доказателство, че не са предприети подходящи технически и организационни мерки за защита при обработване на личните данни на ищеца, което е достатъчно да бъде направен извод за противоправност на бездействието на НАП. Безспорно установено е, че Националната агенция за приходите като администратор на лични данни не е приложила подходящи технически и организационни мерки за осигуряване защитата на личните данни, с които оперира и същите са станали публично достояние. Горното съставлява нарушение на чл. 32, т. 1, б. б от ОРЗД. Защитата на физическите лица, във връзка с обработването на лични данни е основно право, арг. чл. 8, § 1 от Хартата на основните права на Европейския съюз и чл. 16, § 1 от Договора за функционирането на Европейския съюз. В конкретния случай администраторът на лични данни, чрез бездействието си е накърнил основно право на ищцата. Съдът е приел с оглед на безспорно установения нерегламентиран достъп до данните на ищцата, че й е причинена вреда, тъй като допускането на неразрешен достъп до личните и данни, обработвани от Националната агенция за приходите, накърнява легитимните очаквания на С. спрямо държавата за сигурност в личната и имуществената сфера, предвид възможността за злоупотреби с личните данни, широко обсъждана в медийното пространство. Според АССГ на обезщетяване подлежат вредите от естественото притеснение и неприятно усещане, което всеки човек би изпитал в подобна ситуация. При безспорната установеност, че данните на ищцата са станали публично известни, липсата на доказателства, че ответникът е предприел всички необходими мерки за защита на данните, осигурявайки високо ниво на защита на системата, в която се съхраняват данните и липсата на доказателства, че е използвана високо квалифицирана техника за снабдяване с тях и разгласяването им от третото лице, възражението на ответника, че не носи отговорност, тъй като данните са оповестени от трето лице, като резултат от неправомерни действия е неоснователно. Неправомерните действия не могат да прекъснат пряката причинно - следствена връзка между допуснатото от ответника нарушение, настъпилият противоправен резултат и претърпените неимуществени вреди. Ищцата не е доказала вреди, по-големи от обикновените неудобства и притеснения, поради което според АССГ сумата от 500 лева представлява справедливо обезщетение на безспорно претърпените неимуществените вреди, а искът до размера от 1 000 лева е отхвърлил като неоснователен. В заключение административният съд е намерил, че са налице всички предпоставки за ангажиране на отговорността на НАП. Решението е неправилно. Предявеният иск е с правно основание чл. 82, §1 от Регламент /ЕС/ 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Предвид чл. 82 от Регламент /ЕС/ 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент /ЕС/ 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно - следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, §1 от Харта на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. Регламент /ЕС/ 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. Членове 24 и 32 от Регламент /ЕС/ 2016/679 задължават администратора на лични данни /какъвто се явява НАП/ да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, §3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, §2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. Не се споделят от настоящата инстанция доводите на съда, че извършената хакерска атака, с която е осъществен неправомерен достъп до информационната система на НАП, безспорно доказва, че не са предприети подходящи технически и организационни мерки за защита при обработване на личните данни на ищеца, което е достатъчно да бъде направен извод за противоправно бездействие/пропуск/ на НАП, като възраженията в тази връзка в касационната жалба са основателни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, §1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Неправилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т.6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение /т. 1/. Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост /т. 2/. Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая независимо, че ищцата е ангажирала доказателства за преживени негативни емоции, подробно описани в исковата молба, същата не е доказала какви нейни лични данни са достъпени неправомерно. За доказване изтичането на лични данни ищцата е представила извлечение от справка от НАП, от която е видно, че е налице неправомерно разкриване на данни. В кориците на първоинстанционното дело се съдържат извадки от извършена справка със следното съдържание: НАП: По заявка номер 5207 ИМА неправомерно разкрити лични данни . Няма никаква яснота какви лични данни са разкрити. Други доказателства в тази насока не са представени от ищцата, а направеното доказателствено искане от адв. Юруков с молбата от 02.04.2025 г. е оставено без уважение от касационната инстанция предвид забраната по чл.220 от АПК за нови фактически установявания в касационното производство. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищеца имат за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по чл. 82 ОРЗД не са по - неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 от ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Необходимо е ищецът да докаже, че именно негови конкретни лични данни са изтекли. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва да се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението в обжалваната част като неправилно следва да се отмени, като вместо него се постанови ново, с което предявеният от Д. С. С. иск се отхвърли и в частта, с която е уважен същият, а именно - за сумата от 500 лв. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП да бъде присъдени разноски по делото, представляващи такива за държавна такса от 70 лв. и за юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да бъде определен в размер на 100 лв. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ АПК, Върховният административен съд, Пето отделение