Решение № 7912 от 26.6.2024 г. на ВАС по адм. д. № 1736/2022 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на П. Д. Х., чрез процесуален представител, против решение 219/13.01.2022 г. постановено по адм. д. 8729/2021 г. по описа на Административен съд София-град (АССГ), с което в производство по чл. 203 АПК вр. чл. 1, ал. 1 Закона за отговорността на държавата и общините за вреди (ЗОДОВ), е отхвърлен като неоснователен иск на П. Д. Х., против Национална агенция за приходите (НАП) с искане за заплащане на обезщетение за претърпени неимуществени вреди през периода от 15.07.2019 г. до 16.09.2019 г., в размер на 1000 лева, вследствие на незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задълженията по чл. 59, ал. 1 от Закона за защита на личните данни (33ЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на обезщетението. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба и в писмена защита. Претендира разноски. Ответникът Национална агенция за приходите, чрез процесуален представител, оспорва касационната жалба. Съображения излага в писмен отговор. Претендира разноски. Прави възражение по чл.78, ал.5 ГПК. Представителят на Върховната прокуратура заявява становище за основателност на касационната жалба. Върховният административен съд, пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е неоснователна. Пред АССГ е предявен иск с правно основание чл. 79, ал. 1, вр. чл. 82, пар. 1 от Регламент (ЕС) 2016/679, разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Ищецът П. Х. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, в качеството му на администратор на лични данни по см. на чл. 4, т. 7 от Регламента, да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. Производството по адм. д. 8729/2021 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 7418/21.12.2020 г. по адм. дело 6235/2020 г. на АССГ, с решение 9317/27.08.2021 г. по адм.дело 1613/2021 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента, и е дал задължителни указания до съда за конкретно разпределение на доказателствената тежест между страните. В изпълнение на дадените указания, при повторното разглеждане на спора АССГ е изготвил подробен доклад по делото като с разпореждане, постановено в закрито заседание на 11.11.2021 г., е конституирал страните по спора: ищец П. Д. Х. и ответник НАП. Разпределил е доказателствената тежест между страните като е дал указания, че в тежест на ищеца е да докаже разкриването на личните му данни, както и да уточни и представи доказателства кои конкретни задължения НАП не е изпълнила, вследствие на което е допуснато неправомерното разкриване на лични данни, допълнително да докаже настъпването на вредите и да установи по категоричен начин в какво се изразява бездействието на ответника да изпълни задължения, произтичащи от ОРЗД да осигури достатъчна надеждност и сигурност на информационна си система да защити физическите лица във връзка с обработването на личните им данни, да докаже формата на неизпълнение, в частност кои организационни и/или технически изисквания по обработването на личните данни не са били изпълнени от ответника, поради което са станали причина за нерегламентирания достъп до обработваните от администратора лични данни. Административният съд е дал указания на ответника НАП, че в негова тежест е да докаже липсата на два от елементите от фактическия състав на отговорността за вреди, произтичащи пряко от чл. 82, пар. 1 от Регламента, а именно да установи липсата на нарушение и липсата на причинна връзка, в това число да установи, че не отговорен за събитието, причинило вредата, т. е. липса на твърдяното нарушение, и че от негова страна са приложени подходящи политики и технически и организационни мерки за защита на личните данни, съобразени с рисковете, в изпълнение на задълженията по чл. 24, пар. 2 и пар. 3 и чл. 32 от ОРЗД, включително в съответствие със стандартите на защита на данните по Регламента и националното законодателство, както и да изясни дали системата се поддържа и обслужва от служители на НАП или от външна организация, която обработва личните данни по възлагане от името на администратора. С оглед на така разпределената доказателствена тежест ищецът е представил пред първоинстанционния съд писмено становище, но не е ангажирал нито писмени, нито гласни доказателства, въпреки дадените му изрични указания. За да постанови атакуваното пред настоящата инстанция решение, АССГ е приел от правна страна, че предявеният осъдителен иск е с правно основание чл. 79, ал. 1, чл. 82, пар.1 от ОРЗД, във вр. с чл. 39 от ЗЗЛД, чл. 203 АПК, във вр. чл. 1, ал. 1 от ЗОДОВ, а ответникът НАП, в качеството му на администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, с оглед представените доказателства, не е изпълнил задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. АССГ е приел, че бездействието на администратора на лични данни е довело до уязвимост в системата, което в резултат е допринесло до нерегламентирано разкриване и разпространение на личните данни на ищеца.Според съда независимо от приемането вътрешни правила и политики НАП не е осигурила достатъчна надеждност на информационната си система. Съдът е достигнал до извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на втората предпоставка претърпени неимуществени вреди от П. Х., АССГ е приел, че такива не са налице, тъй като не са доказани от ищеца в новото производство. Атакуваното решение е постановено при разглеждане на делото при условията на чл. 226 АПК. При новото разглеждане П. Х. не е изпълнила дадените й изрични указания да докаже претърпените от нея негативни емоционални преживявания, като решаващият съд е приел за недопустимо кредитирането на събраните гласни доказателства по адм. д. 6235/2020 г., с оглед принципа на непосредственост. Относно наличието на третата предпоставка причинно-следствена връзка между вредите и противоправното бездействие, съдът е приел за безпредметно да обсъди поради недоказаното наличие на втората предпоставка претърпени неимуществени вреди от страна на ищеца. Решението е правилно. Неоснователни са наведените доводи в касационната жалба относно действието на принципа на непосредственост. Връщането на делото за ново разглеждане от друг състав на първоинстанционния съд е в резултат на съществено процесуално нарушение при разглеждане и решаване на спора на първа инстанция, поради което процесуалните действия, извършвани пред съда при първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените му изрични указания при новото разглеждане да докаже настъпването на претендираните вреди, ищецът не се е справил с възложената му доказателствената тежест и не е ангажирал нито писмени, нито гласни доказателства. От приетите по делото доказателства не се установяват факти, което да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. От значение за разрешаването на правния спор е решение на Съда на Европейския съюз (СЕС) от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, като производството по настоящото дело беше спряно до постановяването му. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. В конкретния случай предвид дадените указания от СЕС, при правилно определено от АССГ правно основание на предявения иск - чл. 82 ОРЗД и правилно разпределена на доказателствена тежест между страните, решаващият съд е достигнал до законосъобразни правни изводи. От доказателствата по делото може да се направи категоричен извод за наличие само на първата предпоставка за основателност на иска по чл. 82 ОРЗД - нарушение на Регламент (ЕС) 2016/679, извършено от администратора на данни. Първоинстанционният съд предвид установените факти по делото законосъобразно е приел, че е налице нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни, спрямо правата на ищцата, в качеството й на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. Неотносимо е позоваването в атакуваното съдебно решение на чл. 59, ал. 1 33ЛД, тъй като тази разпоредба се намира в глава осма от ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Тази неточност не променя същността на останалите правни изводи на АССГ. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, пар. 3 ОРЗД, НАП не е доказала в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да е минимизирала риска от нерегламентиран достъп на трети лица. Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищцата са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищцата за бездействие от страна на НАП. Налага се извод, че администраторът на лични данни не се освобождава от отговорност по смисъла на чл. 82, пар. 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищцата и останалите физически лица. Обосновани на ангажираните по делото доказателства са мотивите на първоинстанционния съд за неустановяване на конкретни неимуществени вреди претърпени от ищцата. Правилно решаващия съд се е позовал на принципа на непосредственост относно събраните гласни доказателства и процесуалните действия на съда при първото разглеждане на делото (адм. д. 6235/2020 г.), и че същите се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените изрични указания до ищцата при новото разглеждане на делото да докаже настъпването на претендираните вреди, същата не се е справила с възложената доказателствената тежест и не е ангажирала доказателства в тази насока, поради което правилно АССГ е приел, че не са били установени по надлежния ред претърпени от нея страх и негативни преживявания. На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са допуснати посочените от касатора нарушения по чл.209, т.3 от АПК, поради което същото следва да бъде оставено в сила. Съобразно изхода на спора претенцията на ответната страна за присъждане на разноски за касационната инстанция трябва да се уважи, като на основание чл. 143, ал. 3 АПК, вр. чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, в полза на НАП следва да бъде присъдена сумата 100 лева - юрисконсултско възнаграждение. По изложените съображения и на основание чл.221, ал.2 АПК, Върховният административен съд, пето отделение