Решение № 3019 от 24.3.2025 г. на ВАС по адм. д. № 10379/2024 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на Национална агенция за приходите (НАП) против решение 11553/11.07.2024 г. по адм.д. 5184/2021 г. описа на АС-София- град. Иска отмяна на решението с наведени оплаквания за допуснато съществено нарушение на съдопроизводствените правила, необоснованост и материална незаконосъобразност. Твърди, че са ангажирани доказателства, които доказват, че НАП не е бездействала, а е предприела необходимите технически и организационни мерки в изпълнение на задълженията си по Регламент 2016/679 от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни, за да минимилизира рисковете от поддържане на електронни услуги. Ищцата не е направила нищо, за да установи какви конкретно нейни лични данни са разкрити, което означава незаинтересованост. Дали ищцата е преживяла наистина силен стрес се установява само с действия от нейна страна, каквито не са предприети. Следователно няма реално притеснение, предвид т. 85 от решение по С-340/21 на СЕС. Затова емоционалните състояния на ищцата са в резултат на самосъздадена нереална представа, а не в резултат на обективна заплаха. Не е налице и непосредствена причинно-следствена връзка. Иска отмяна на решението и отхвърляне на иска, като претендира юрисконсултско възнаграждение за пред ВАС. Ответната страна К. Т. Ц., чрез процесуален представител, оспорва касационната жалба и иска оставяне на съдебния акт в сила. Представителят на Върховната касационна прокуратура намира касационната жалба за неоснователна. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от страна, за която решението е неблагоприятно, намира същата за допустима. Разгледана по същество е основателна по следните съображения: С оспореното решение 11553/11.07.2024 г. по адм.д. 5184/2021 г. описа на Административен съд - София - град е осъдена Националната агенция за приходите да заплати на К. Т. К. обезщетение за претърпени неимуществени вреди в размер на 500.00 лева, ведно със законната лихва от 15.07.2019 г., като е отхвърлен иска за разликата над този размер до претендирания размер от 1000 лв, присъдил на ищцата 22,50 лв. държавна такса по чл. 10, ал. 3 от ЗОДОВ, на адвокат И. Юруков сумата от 800 лв. по чл. 38, ал. 2 от ЗА. Осъдил ищцата да заплати на НАП сумата от 50 лв. по чл. 10, ал. 4 от ЗОДОВ. За да постанови този резултат съдът е разгледал иск с правно основание чл. 82, пар.1 от Регламент /ЕС/ 2016/679 на ЕП и Съвета /GDRP/ по реда на глава XI от АПК. Приел, че НАП като администратор на лични данни не е изпълнила задължения по чл. 24, чл. 32 от Регламента и чл. 59, ал.1 от ЗЗЛД, бездействал, поради което на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП и е разпространена защитена информация на граждани, обработвана от НАП. Ответникът по иска не се е справил с тежестта на доказване и не е ангажирал доказателства, за да установи, че е приложил мерки за сигурност на личните данни и че тези мерки са подходящи. Съдът приема за установено, че ищцата е представила само извадка от получен от НАП SMS по заявка 2862, че има разкрити лични данни, като няма данни по чия заявка е направена справката, нито има представено доказателства какви лични данни на ищцата са достъпени. Въпреки тази констатация е направен извод, че "безспорно се установява, че по отношение на ищцата има неправомерно достъпени лични данни, но техният обем е недоказан". Развити са изводи, че ищцата е претърпяла вреди, които се изразяват в преживяно безпокойство, притеснение, чувство на застрашеност от злоупотреба с лични данни, което е доказано със свидетелски показания на приятелка на ищцата. Неимуществените вреди са претърпени в продължения на около 2 месеца, считано от датата на узнаване до датата на подаване на исковата молба. Решението е постановено при спазване на съдопроизводствените правила и правилно разпределена доказателствена тежест в съответствие с решение по С-340/21. Същото обаче е необосновано и материално незаконосъобразно, касационни основания по чл. 209, т. 3 от АПК. Решението е постановено след отменително решение 6162/21.05.2021 г. по адм. д. 9874/2020 г. по описа на ВАС, трето отделение, с което делото е върнато за ново разглеждане от друг съдебен състав поради неправилно определено правно основание на предявения иск и са дадени указания, че спорът е по чл. 82 от Регламента, а не по чл. 1, ал. 1 от ЗОДОВ. С определение от з.з. на 12.04.2024 г. съдът е указал на ищцата да ангажира доказателства за настъпването на неимуществени вреди, което е съобщено на ищцата на 22.04.2024 г., а в открито съдебно заседание на 2.07.2024 г. е указал на НАП, че е в негова тежест доказването на подходящността на техническите и организационни мерки по чл. 32 от Регламент 2016/679. Тъй като ответната страна е заявила, че няма да представя доказателства съдът е дал ход по съществото на спора. Въпреки дадените указания НАП не се е справила с доказателствената тежест и не е ангажирала релевантните за спора доказателства. Представените писмени доказателства като "Политика по защита на личните данни в НАП" от 2018 г., Указания за работа с информация, съобразно Наредба за общите изисквания за мрежова и информационна сигурност, "Политика по информационна сигурност на НАП, версия 3.0 от 2016 г., Инструкция 2/ 8.05.3029 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри, Методика за оценка на риска от 2015 г., Оценка на риска за информационната сигурност от 2016 г. и др., не установяват спазване на чл. 24, пар.1 и чл. 32 от Регламента, и че са въведени подходящи технически и организационни мерки, с които да се гарантира и администраторът на лични данни да е в състояние да докаже, че обработването се извършва в съответствие с Регламента и са взети предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ищцата обаче също не е ангажирала доказателства, с които да установи, че е претърпяла нематериална вреда по смисъла на чл. 82, пар.1 от Регламента. СЕС посочва в решението по С-340/21, че понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на практиката на Съда по начин, който да отразява напълно целите на Регламента. Само опасенията, че в бъдеще с личните данни може да бъде злоупотребено от трета страна, могат сами по себе си да представляват "нематериални вреди", но сезираната национална юрисдикция трябва да провери дали тези опасения може да се считат за основателни с оглед обстоятелствата в конкретния случай и на субекта на лични данни. Представена е снимка от телефон на изпратена до НАП заявка номер 2862, на който е отговорено, че има неправомерно разкрити лични данни. Нито е ясно от чий телефон е направена заявката, нито за кое лице се отнася справката. Въпреки указанията на съда, физическото лице не е представило конкретна справка от НАП по имена и ЕГН за вида на неправомерно достъпените лични данни. Ищцата не е проявила активност, такава справка не е поискана и съответно пред съда не е представена. Поради това делото не е попълнено с релевантни за спора доказателства дали са достъпени и какви точно лични данни на ищцата. Следователно не е доказано, че са налице основателни опасения от възможна злоупотреба с лични данни на К. Т. К.. При първоначалното разглеждане на спора е разпитана свидетелка, която също не дава показания за обема на лични данни, които ищцата твърди, че са достъпени при хакерската атака. Затова не се доказва, че нервността и притесненията на ищцата са в причинна връзка с достъпени нейни лични данни поради неспазване на чл. 24 и чл. 32 от Регламента от страна на НАП. Като е уважил иска и присъдил обезщетение за 500 лева, съдът е постановил неправилно осъдително решение, което следва да бъде отменено, а искът отхвърлен до уважения размер. Решението подлежи на отмяна и в частта относно присъдените в полза на ищцата и адвокат Юруков такси и адвокатско възнаграждение. По същество предявеният иск следва да бъде отхвърлен като неоснователен, като в полза на касатора следва да бъдат присъдени направените в съдебното производство разноски, представляващи юрисконсултско възнаграждение за всички съдебни инстанции в размер на 400 лв. на основание чл.78, ал.8 ГПК вр. с чл. 24 от Наредбата за заплащането на правната помощ. Следва да бъде присъдена платената държавна такса за касационно производство в размер на 12,50 лв., предвид чл. 18, ал. 3, във вр. с чл. 2а, т. 2 от Тарифата за държаните такси, които се събират от съдилищата по Гражданския процесуален кодекс (ГПК). Предвид изложеното и на основание чл. 221, ал. 2 от АПК Върховният административен съд, състав на Пето отделение