Решение № 9421 от 15.9.2021 г. на ВАС по адм. д. № 8825/2020 г.

Производството е по реда на чл. 208 и следващите от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите (НАП), чрез юриск. Л. Гетова-Чилова, срещу Решение 2815 от 09.06.2020 г., постановено по адм. дело 11255/2019 г. по описа на Административен съд София-град в частта, с която НАП е осъдена да заплати на Й. Григорова, на основание чл. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), обезщетение за причинени й неимуществени вреди в размер на 200.00 (двеста) лв., ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на обезщетението. Със същото решение НАП е осъдена да заплати на Григорова, на основание чл. 10, ал. 3 ЗОДОВ, сумата от 10.00 (десет) лв. съдебни разноски, както и 100.00 (сто) лв. адвокатско възнаграждение на адв. С. Юрукова, на основание чл. 38, ал. 2 от Закона за адвокатурата. Касационният жалбоподател твърди неправилност на съдебното решение поради нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост - касационни отменителни основания по чл. 209, т. 3 АПК. Моли решението да бъде отменено и, вместо него, Върховният административен съд да постанови съдебен акт, с който да отхвърли, като неоснователен и недоказан, предявения от Григорова срещу НАП иск за присъждане на обезщетение за неимуществени вреди. В условията на евентуалност моли съдебното производство да бъде спряно до влизане в сила на съдебно решение по обжалвано от НАП Наказателно постановление 004/28.08.2019 г., издадено на Агенцията от Комисията за защита на личните данни за нарушение на чл. 32, параграф 1, буква б от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на личните данни/, наричан за краткост по-долу Регламента. Претендира се присъждане на юрисконсултско възнаграждение и направените в касационното производство разноски, съгласно предоставен списък по чл. 80 от Гражданския процесуален кодекс (ГПК). Ответникът по касация Й. Григорова оспорва касационната жалба, чрез пълномощник адв. С. Юрукова, в представен по делото писмен отговор от 20.07.2020 г. Изразява становище, че атакуваното решение е правилно и обосновано в обжалваната му част. Моли за потвърждаването му и присъждане на разноски за касационната инстанция. Участващият по делото представител на Върховната административна прокуратура дава заключение за основателност на касационната жалба. Според прокурора изводите на първоинстанционния съд за наличие на всички материалноправни предпоставки по чл. 1, ал. 1 ЗОДОВ, ангажиращи отговорността на държавата за обезщетение за вреди, са неправилни и необосновани, като в случая не било установено наличието на нито една от тях. Върховният административен съд, в настоящия съдебен състав на трето отделение, преценява касационната жалба като допустима. Тя е подадена в срока по чл. 211, ал. 1 АПК от страна по делото, за която подлежащият на обжалване съдебен акт е неблагоприятен. По основателността на касационната жалба, Върховният административен съд приема следното: Административен съд София-град е приел, че е сезиран с иск за присъждане на обезщетение в размер на 1000.00 (хиляда) лв., ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата, за неимуществени вреди, изразяващи се в страдания, стрес, притеснения, отрицателни психически изживявания и чувства, претърпени от Й. Григорова като резултат от бездействие на длъжностни лица в НАП, в качеството й на администратор на лични данни, да изпълни произтичащи от чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 задължения, което бездействие е довело до неправомерно придобиване и разпространение на личните й данни. Квалифицирал иска като такъв по чл. 1, ал. 1 ЗОДОВ, във вр. с чл. 203 и чл. 204, ал. 4 АПК. Съдът приел за установено от фактическа страна и за безспорно по делото, че на 15.07.2019 г. е осъществен нерегламентиран достъп до сървърите на НАП, в резултат на което от информационните масиви на Агенцията е изтекла информация, съдържаща лични данни на ищцата. Определил неправомерното достъпване до базата данни на НАП като злоумишлено деяние и престъпно посегателство по смисъла на Наказателния кодекс (НК). Счел, че именно техническата уязвимост на информационната система на НАП, е довела до нерегламентирано разкриване и разпространение на личните данни на ищцата, а тази уязвимост, според съда, била следствие от неприлагането от НАП на подходящи технически и организационни мерки за защита на личните данни. Съгласно преценката на съда, обстоятелството, че е извършена хакерска атака, с която е пробита информационната система на НАП, било неоспоримо доказателство, че не са предприети подходящи мерки за защита при обработването на личните данни на ищцата, което било достатъчно, за да бъде направен извод за противоправно бездействие на ответника в първоинстационното производство. НАП, в качеството си на администратор на лични данни по смисъла на чл. 4, т. 7 от Общия регламент относно защитата на личните данни, при осъществяване на дейността си, следвало ефективно да предприеме мерки за предотвратяване злоумишлен достъп до личните данни на Григорова, което не било постигнато в конкретния случай. Административният съд стигнал до извода, че НАП не е изпълнила задълженията си по предотвратяване на престъпление и опазване изтичането на лични данни, като именно от противоправното й бездействие неприлагането на подходящи технически и организационни мерки, осигуряващи невъзможност една хакерска атака да пробие системата от лични данни е настъпил увреждащия за ищцата резултат. Така съдът приел за доказана първата предпоставка за ангажиране отговорността на НАП, наличието на незаконосъобразно бездействие. На следващо място Административен съд София-град, кредитирайки показанията на свидетеля на ищцата, в тяхната взаимовръзка и обусловеност с ангажирания по делото доказателствен материал, приел, че Григорова е претърпяла в резултат на това незаконосъобразно бездействие твърдените от нея неимуществени вреди изживени стрес, безпокойство, тревожност, психически дискомфорт и негативни емоции. Заключил, че е установен, както факта на вредите, така и пряката причинно-следствена връзка между настъпването им и незаконосъобразното бездействие на НАП. Въз основа на установената фактическа обстановка, административният съд направил извод, че е осъществен фактическият състав на отговорността по чл. 1 ЗОДОВ, като приел, че при условията на чл. 52 от Закона за задълженията и договорите (ЗЗД), справедливият размер на дължимото на Й. Григорова обезщетение за неимуществени вреди възлиза на 200.00 (двеста) лв. Върху тази сума е присъдена законната лихва, считано от датата на увреждането (изтичането от електронните масиви на НАП на личните данни на ищцата) до окончателното изплащане на обезщетението. Исковата претенция до пълния предявен размер от 1000.00 (хиляда) лв. е отхвърлена. Касационната жалба е основателна. Решението на Административен съд София-град е постановено при съществени процесуални нарушения и е необосновано. В резултат на допуснатите съдопроизводствени нарушения са останали неизяснени относими към спора факти. Решението в обжалваната му част е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Съдът е допуснал неправилна правна квалификация на предявения иск. Както се посочи по-горе, първоинстанционният съд е квалифицирал иска като такъв с пр. осн. чл.1 ЗОДОВ. Предявеният иск, макар, да следва да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правната му квалификация е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016г. (GDPR) ( наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. Неправилната квалификация на иска е довела до неправилно прилагане на правилата за разпределение на доказателствената тежест между страните по делото. В исковата молба ясно се сочат задълженията по регламента, които ответникът не е изпълнил. Твърденията на ищеца са, че ответникът не е приложил подходящи технически и организационни мерки, за да гарантира целостта и поверителността на данните на лицата, че съществуват недостатъци в защитата на информационната сигурност на НАП. В своя отговор на исковата молба, НАП възразява, че като администратор на лични данни, е предприела всички необходими технически и организационни мерки за защита при обработването на личните данни. Във връзка с това свое възражение, НАП е следвало да докаже фактите, на които то се основа, съгласно чл.154, ал.1 ГПК. Не може да се сподели извода на първоинстанциониня съд, че обстоятелството, че е изтекла информация от сървърите на НАП, вследствие на неоторизиран достъп, сочело на противоправно бездействие от страна на ответника да изпълни произтичащи от разпоредбите на регламента задължения за осигуряване на достатъчна надежност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни. Презумпция в този смисъл липсва, както в регламента, така и в националния ни закон. Само фактът на неоторизирания достъп до информационната система на НАП, не доказва бездействието на ответника да осигури защитата й. Причината за осъществения неоторизиран достъп не може да е еднозначна и това да е единствено и само неосигуряването на добрата защита на информационната система. Не е изключено, дори при осигурена максимално висока степен на защита ( което обстоятелство е останало недоказано по делото) тя да бъде преодоляна при достъп до информация, как може да стане това. Безспорно е между страните, че до информационната система на НАП е осъществен неоторизиран достъп. От твърденията на ищеца следва, че този неоторизиран достъп, не би бил факт, ако ответникът е предприел действията, за които се твърди, че е бездействал. Обратно, НАП твръди, че е предприел и е осъществил всичко необходимо за защита на личните данни на лицата при тяхната обработка. След като съдът не разполага със специални знания, за да прецени, какво е направено, дали направеното е достатъчно, могла ли е да бъде избегната хакерската атака и ако "да", какво още е следвало да се направи, съдът е следвало при условията на чл. 171, ал.2 АПК служебно да допусне изслушването на съдебно-техническа експретиза по този въпрос, за която да определи компетентно/компетнтни вещо/вещи лица. Като не е направил това, съдът е пропуснал да изясни съществен за спора въпрос - било ли е направено всичко обективно възможно за защита на информационната система на НАП от външна намеса, или не, и ако отговорът е отрицателен, какво е следвало да се направи, предвидено ли е то в документите, представени от ответника и защо не е направено. Допуснатите от съда съдопроизводствени нарушения са съществени, тъй като са довели до неизясняване на факти и обстоятелства от значение за спора, чието установяване може да повлияе на крайния резултат на делото. Решението на първоинстанционния съд в обжалваната му част следва да се отмени, а вместо това делото се върне за ново разглеждане от друг съдебен състав на АССГ. При новото разглеждане, съдът следва да се съобрази с укзанията, дадени в настоящото решение, а също така, да съобрази, че по аналогичен спор, е отправено от ВАС преюдицианло запитване до Съда на Европейския съюз, по което е образувано дело С-340/21 година. По въпроса за разноските, направени в производствата пред първоинстанционния съд и в настоящото производство, на осн. чл.226, ал.3 АПК следва да се произнесе съдът, който ще разгледа делото след връщането му. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ и чл. 222, ал.2 АПК, Върховният административен съд