Решение № 4169 от 17.4.2025 г. на ВАС по адм. д. № 147/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Л. С. П., чрез процесуален представител адв. С. Юрукова, против решение 23745/17.11.2024 г., постановено по адм. д. 7468/2024 г., по описа на Административен съд София-град (АССГ), с което е отхвърлен искът й срещу Националната агенция за приходите (НАП), за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1 000 (хиляда) лева, ведно със законната лихва, считано от 15.07.2019г. до окончателното изплащане на сумите и Л. С. П. е осъдена да заплати на НАП сумата от 300 (триста) лева на основание чл. 143, ал. 3 от АПК. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Твърди, че съдът неправилно е приел, че не са налице останалите две предпоставки за уважаване на предявения иск претърпени от ищцата неимуществени вреди и причинна връзка между вредите и незаконосъобразното бездействие на НАП. Иска решението да бъде отменено, като бъде уважен изцяло предявения иск. Претендира разноски. Ответната страна - Национална агенция за приходите, чрез процесуален представител юрк. Л. Танев, оспорва касационната жалба по съображения, изложени в писмен отговор и в съдебно заседание. Иска решението да бъде оставено в сила. Претендира разноски. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Пред АССГ е предявен иск с правно основание чл. 79, ал. пар.1, вр. чл. 82, пар. 1 от Регламент (ЕС) 2016/679, разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Ищцата Л. П. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, в качеството му на администратор на лични данни по см. на чл. 4, т. 7 от Регламента, да изпълни задължението си да защити по сигурен начин данните на ищцата като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните й данни. Производството по адм. д. 7468/2024 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 2594/19.04.2021 г. по адм. дело 3456/2020 г. на АССГ, с решение 7896/26.06.2024 г. по адм.дело 6020/2021 г. на Върховния административен съд, пето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 от Регламента. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, дал е задължителни указания за конкретно разпределение на доказателствената тежест между страните, посочил е дело С-340/2021 г. пред Съда на Европейския съюз, образувано по преюдициално запитване от ВАС по аналогичен спор. В изпълнение на дадените указания, при повторното разглеждане на спора АССГ с разпореждане 16206 от 06.09.2024 г., постановено в закрито заседание е разпределил доказателствената тежест между страните, като е дал указания, че в тежест на ищцата е да докаже настъпването на вредите, които твърди да е претърпял, както и да установи по категоричен начин в какво конкретно се изразява нарушението на ответника да изпълни задължения, произтичащи от ОРЗД / чл. 24 и чл. 32/ относно защитата на личните данни да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни, както и обема на данните, които неправомерно са разкрити. Административният съд е дал указания на ответника НАП, че в негова тежест е да докаже липсата на два от елементите от фактическия състав на отговорността за вреди, произтичаща пряко от чл. 82, § 1 от ОРЗД, а именно - да установи липсата на нарушение по смисъла на регламента и липсата на причинна връзка с твърдените вреди. В тежест на ответника е да установи, че не е отговорен за събитието причинило вредата, както и да докаже наличието на подходящи политики за защита на данните и придържането към одобрени кодекси за поведение или одобрени механизми за сертифициране, както и прилагането на конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. В тази връзка съдът е указал на ответника, че са необходими специални знания за изясняване на въпросите: при какви конкретни обстоятелства е допуснато изтичането на данни; има ли нерегламентиран достъп; по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни; изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса; какви технически мерки са предприети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било предотвратяването на изтичането на данни. С оглед на така разпределената доказателствена тежест ищецът не е ангажирал доказателства извън събраните в проведеното производство по адм.д.3456/2020 г. на АССГ. За да постанови обжалваното решение АССГ е приел, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищцата от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че Л. П. не е доказала настъпването на неимуществени вреди, изразяващи се в стрес, безпокойство, притеснение, застрашаване да не се извърши злоупотреба с имуществото й. Поради това, АССГ приема за недоказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на администратора. Решението е правилно. Правното основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не е доказал, че по никакъв начин не е отговорен за събитието, причинило вредата. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, пар. 3 ОРЗД, НАП не е доказала в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да е минимизирала риска от нерегламентиран достъп на трети лица. Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищцата са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищцата за бездействие от страна на НАП. Налага се извод, че администраторът на лични данни не се освобождава от отговорност по смисъла на чл. 82, пар. 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата. Неотносимо е позоваването в атакуваното съдебно решение на чл. 59, ал. 1 33ЛД, тъй като тази разпоредба се намира в глава осма от ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Тази неточност не променя същността на останалите правни изводи на АССГ. Обосновани са изводите на първоинстанционния съд за неналичието на претърпени неимуществени вреди от ищцата, които според цитираното решение на СЕС могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Общия регламент относно защитата на данните. За доказване разкриването на лични данни П. е представила снимка на електронно съобщение от НАП със следното съдържание: НАП: по заявка номер 8799 ИМА неправомерно разкрити лични данни. В съдържанието на представеното съобщение липсват идентификационни данни, отнасящи се към ищцата. Не са представени доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени. Ищцата не е установила какъв е обема на разкритите й лични данни, нито вида или тежестта на вредите, така и техния интензитет и отражението им върху нейното здравословно състояние. Трите елемента за възникване на правото на обезщетяване на вреди са кумулативно дадени в чл. 82 от ОРЗД, като липсата на доказаност на който и да е от тях има за правна последица неоснователност на иска. На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са допуснати посочените от касатора нарушения по чл. 209, т. 3 от АПК, поради което същото следва да бъде оставено в сила. С оглед изхода на спора и предвид своевременно направеното искане от процесуалния представител на ответната страна за присъждане на юрисконсултско възнаграждение в касационното производство, касаторът следва да заплати на НАП направените по делото разноски, изразяващи се в юрисконсултско възнаграждение в размер на 100 лева, в съответствие с чл. 288 във вр. с чл. 143 АПК и чл. 78, ал. 8 ГПК във вр. с чл. 144 АПК, чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ. По тези съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение,