Решение № 432 от 16.1.2025 г. на ВАС по адм. д. № 7667/2024 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частите от решение 951/08.05.2024 г. по адм. дело 284/2021 г. на Административен съд - Добрич (АС - Добрич), с които е осъдена НАП, да заплати на В. Б. Б. от гр. Добрич, сума в размер на 300 лева, представляваща обезщетение за неимуществени вреди вследствие незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни и по чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ОРЗД), довело до неправомерно разкриване и разпространение на лични данни на ищеца, ведно със законната лихва върху тази сума, считано от датата на влизане в сила на решението до окончателното й изплащане и НАП е осъдена да заплати 30 лева разноски на ищеца. Касаторът поддържа в касационната жалба и в писмено становище чрез процесуален представител поддържа, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, в условията на евентуалност присъждане на обезщетение в по - нисък размер , присъждане на юрисконсултско възнаграждение и разноски на НАП. Ответникът по касационната жалба - В. Б. Б. от гр. Добрич, в писмен отговор чрез процесуален представител, иска оставяне в сила на решението, присъждане на всички разноски за всички производства и адвокатско възнаграждение по реда на чл.38, ал.2 от ЗА на адвокат Христов. Представителят на Върховна прокуратура изразява становище за основателност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С решение 7252/16.06.2021 г. по адм. дело 11015/2020 г. на Върховния административен съд, трето отделение е отменено решение 250/14.08.2020 г. по адм. дело 23/2020 г. на АС - Добрич и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищеца правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. АС - Добрич при новото разглеждане на делото е изпълнил указанията относно разпределението на тежестта на доказване. За да постанови обжалваните части от решението, АС е изложил доводи, че предявеният иск е с правно основание чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679. Посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и и разпространяването на личните данни на ищеца, видно от представената справка, издадена от НАП. Според нея са разпространени имената му и ЕГН и са посочените. данните от кои негови декларации, справки за изплатени доходи. АС е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи и достатъчни, за да гарантират защита на данните. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АС е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 и чл.59 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона . Ищецът е преживял негативни емоции, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АС на основание чл.52 от Закона за задълженията и договорите е определил обезщетение по справедливост в размер на 300 лева, като е отчел продължителността и интензитета на изпитаните негативни емоции при узнаване за разпространението на личните му данни. Решението е неправилно в частта, в която е посочен като правно основание на уважения иск чл.59 ЗЗЛД. Както е указала и първата касационна инстанция тази разпоредба е неотносима към задълженията на НАП като администратор на лични данни, тъй като се намира в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това решението следва да бъде отменено в частта, сочеща за правно основание на уважената част от иска чл.59 ЗЗЛД. Решението е правилно като краен резултат в останалата обжалвана част. Правилна и в съответствие със задължителните указания на първата касационна инстанция е преценката на АССГ за правна квалификация на иска по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679, както и за предмета на доказване. Чл.24 , пар.1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл.32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АССГ, съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С -340/21 и ангажираната компютърно - техническа експертиза НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищеца, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за доказано твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищеца и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на П. на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С -340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Решението като правилно като краен резултат в тази му част следва да бъде оставено в сила. С оглед изхода на делото пред ВАС не могат да се присъждат разноски и юрисконсултско възнаграждение на касатора. Няма правна възможност за присъждане на разноски за предходни съдебни инстанции на ответника по касация и адвокатско възнаграждение на неговия адвокат за предходните инстанции, тъй като Б. и представляващият го адвокат не са искали изменение на решението на втората първа инстанция, произнасяща се на основание чл.226 ал.3 АПК по разноските за предходните производства, в частта за разноските, нито са го обжалвали в тази му част. В настоящето производство ответникът по касация не е направил разноски и съответно касаторът няма да бъде осъден да заплати разноски, поради което липсва кумулативно необходима предпоставка за присъждане на адвокатско възнаграждение по чл.38, ал.2 ЗА на оказалия безплатна адвокатска помощ адв. Христов, независимо от изхода на делото.