Решение № 9934 от 16.10.2025 г. на ВАС по адм. д. № 5544/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Г. К. Х. срещу Решение 11173/01.04.2025 г. на Административен съд София-град (АССГ), постановено по адм. дело 8301/2024 г. С обжалваното решение е отхвърлена като неоснователна предявената искова претенция от Г. К. Х. срещу Национална агенция по приходите, с правно основание чл. 82, § 1, вр. § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО, с която се иска осъждане на ответника да заплати сумата в размер на 1 000 лева, представляваща обезщетение за претърпени неимуществени вреди за периода от 15.07.2019 г. до подаването на исковата молба, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата и Г. К. Х. е осъдена да заплати разноски по делото. Касационният жалбоподател счита, че решението е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Сочи, че съдът правилно е приел, че е налице първата предпоставка за уважаване на иска, но неправилно е приел, че не е налице втората предпоставка от фактическия състав на отговорността. Излага подробни съображения в подкрепа на становището си, че искът е основателен. Моли решението да се отмени и се постанови ново, с което се уважи искът. Претендира разноски за двете съдебни инстанции, като в касационната жалба се сочи, че разноските се претендират съобразно приложен списък на разноските. Към касационната жалба няма приложен списък на разноските. Касационният жалбоподател се представлява от адв. Юрукова и адв. Юруков. Ответникът по касация Национална агенция за приходите (НАП) оспорва касационната жалба по съображения изложени в писмен отговор. Моли решението да се остави в сила. Претендира юрисконсултско възнаграждение. Ответникът по касация се представлява от юрк. Танев. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е частично основателна по следните съображения: Производството пред АССГ е образувано по предявен иск от Г. К. Х. срещу НАП за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД заедно със законната лихва върху тази сума. Производството пред първоинстанционния съд е по реда на чл. 226 АПК, след като с Решение 9229/25.07.2024 г. на ВАС, постановено по адм. дело 6018/2021 г. е отменено Решение 2591/19.04.2021 г. на АССГ, постановено по адм. дело 11290/2019 г. и делото е върнато за ново разглеждане. След изпълнение на указанията дадени от касационната инстанция, при новото разглеждане на делото, съдът е приел от фактическа страна, че страните не спорят за наличието на неоторизиран достъп до базата с лични данни на НАП, станал на 15.07.2019 г., от който е последвало разпространяване на лични данни. Със Заповед ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т.5 и т.7 ЗНАП , Указания за обозначаване и работа с информация , Указания за попълване на образци на процедура , Указания за попълване на образеца на инструкция и други. Със Заповед ЗЦУ-1595/29.11.2017г. на изпълнителния директор на НАП са утвърдени представените по делото Указания за обозначаване и работа с информацията, версия 3.0. В същите са регламентирани достъпа, разпространението и съхранението на информацията, съхранявана в електронен вид. В НАП са утвърдени Политика по защита на личните данни в НАП (със Заповед ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП), Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Със Заповед ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри система за управление на сигурността на информацията (СУСИ) по стандарт БДС ISO/IEC 27001:2006 в НАП. Приети са Методика за оценка на риска, версия 1, към м. декември 2013 г. и Методика за анонимизиране на индивидуални данни, версия 1, към м. януари 2017 г. Със Заповед ЗЦУ-733/17.04.2014 г. на изпълнителния директор на НАП са приети различни правила, регламентиращи ползването на електронната поща, мрежови файлови ресурси, за работа от разстояние, за работа с преносими информационни активи и други. В НАП има действаща процедура ПФУС 3, версия Г, Извършване на действия при съмнения за инцидент, касаещ информационната система . В хода на съдебното следствие съдът е изслушал и приел, без оспорване от страните, заключение на съдебно компютърна експертиза, което е кредитирал като обосновано и непротиворечиво. От заключението на вещото лице съдът е установил, е на 15.07.2019 г. е осъществен неоторизиран достъп до информационните системи на НАП, при което са извлечени лични данни и данъчно осигурителна информация, които са публикувани в интернет. Достъпът най вероятно е осъществен посредством предоставен от системата на НАП линк за изтегляне на изискан документ от трето лице от системата за възстановяване на ДДС. По този начин е осъществен достъп до устройствата, на които е позиционирана системата за възстановяване на ДДС. В резултат на това бил възложен и извършен пълен технически одит по сигурността, включващ преглед, анализ и препоръки за корекции на информационните системи на НАП и комуникационните и инфраструктурни елементи. Съдът е посочил, че вещото лице е дало информация, че предприетите мерки от НАП към момента на неоторизирания достъп са задоволителни (но не и достатъчни), съпоставени с техническия прогрес и увеличаващите се рискове от нерегламентиран достъп. Вещото лице считало, че е било възможно да бъде предотвратено изтичането на лични данни, ако НАП е разполагала с по добра техническа инфраструктура, на която да се съхраняват данните. В тази връзка е уточнил, че НАП не е използвала най - новите операционни версии и комуникацията с приложението за обработка на съобщение е била посредством HTTP протокол, чрез който данните, предавани между уеб сървъра и уеб клиента се предават в открит тип. Съдът е установил, че по делото е приложена извадка от получен SMS, със следното съдържание: НАП: По заявка номер [номер] има неправомерно разкрити лични данни . От справка от 06.02.2025г., изготвена от НАП, отнасяща за ищцата Г. К. Х. (извършена по нейното ЕГН), за която решаващият съд е посочил, че е представена в последното заседание, е установено, че са разпространени следните лични данни на ищцата: имена, ЕГН, данни от справка за изплатени доходи на физически лица за 2007 г. и данни от справка за изплатени доходи на физически лица за 2014 г. Решаващият съд е изложил съображения, че посочената справка не следва да се кредитира, тъй като е събрана от съда в нарушение на чл. 226, ал. 2 АПК, според която при новото разглеждане на делото се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства след първоначалното разглеждане на делото от първоинстанционния съд. В случая не се касаело за новооткрити или новонастъпили обстоятелства. Също така не е приложима хипотезата, отнасяща се за случая, когато доказателството не е могло да бъде известно на страната. Касаело се за нарочно съставен документ за обстоятелства, които са били налице към 15.07.2019 г., т. е. преди подаване на исковата молба. Също така ищцата е имала възможност да се сдобие извънсъдебно с тази информация във връзка с дадената възможност с автоматичната електронна справка за клиенти. В хода на съдебното следствие, са събрани гласни доказателства показанията на свидетеля Г. Г. Х. дъщеря на ищцата, които съдът е кредитирал. От показанията на свидетеля съдът е установил, че ищцата е научила от медиите за теча на информация от базата данни на НАП и след извършена проверка чрез SMS установила, че са изтекли нейни лични данни. В резултат на това ищцата се притеснила. Допълнително същата се притеснявала за своите имоти и банкови сметки, за което се опасявала, че може да бъдат присвоени от изтичането на лични данни. В началото ищцата била много притеснена и с времето се успокоила. Въз основа на така установените факти съдът от правна страна е приел, че искът е допустим, но неоснователен. След анализ на предпоставките за основателност на иска по чл. 82 от Регламент (ЕС) 2016/679 и сочените от ищцата като нарушени разпоредби на чл. 24, параграф 1, чл. 32 от същия регламент, като за неотносимо е приел соченото в исковата молба нарушение на чл. 59 ЗЗЛД, съдът е приел, че е налице първата предпоставка за ангажиране на отговорността на администратора на лични данни - обработване на лични данни в нарушение на разпоредбите на регламента. След анализ на събраните по делото доказателства е извел извод, че НАП не е ангажирала доказателства, за да докаже, че е приложила подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Посочил е, че НАП е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но агенцията не се е справила с доказателствената тежест. Не е доказала, че по никакъв начин не е отговорна за събитието, причинило вредата. Посочил е, че твърденията на ответника се опровергават от заключението на съдебно компютърната експертиза, според което взетите мерки за задоволителни, но и недостатъчни, съпоставени с техническия прогрес и увеличаващите се рискове от нерегламентиран достъп. За да отхвърли иска съдът е приел, че не се е доказало от ищцата какви лични данни са разпространени и причинната връзка между нарушението и твърдените неимуществени вреди, поради което не са доказани всички елементи от фактическия състав за ангажиране на отговорност. В тази връзка е посочил, че за доказване разкриването на лични данни ищцата е представена единствено справка на електронно съобщение от НАП със следното съдържание: НАП: По заявка номер [номер] има неправомерно разкрити лични данни . В съдържанието на представеното съобщение липсвали идентификационни данни, отнасящи се към ищцата. Посочил е, че не са представени доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени, затова не можел да се направи извод за разкрити конкретни лични данни на ищцата. Изложил е съображения за некредитирането на изисканата и представената справка от 06.02.2025г., изготвена от НАП. Посочил е, че указанията на касационната инстанция не са били свързани с изискването на такъв документ, а с назначаването на експертиза във връзка с бездействието на НАП и дали взетите мерки са били адекватни. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е частично неправилно по следните съображения: Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, като към неговите мотиви настоящата инстанция препраща при условията на чл. 221, ал. 2, изр. второ АПК. Неправилно съдът е приел, че не са налице втората и третата предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищцата е ангажирала доказателства за твърдените като преживени негативни емоции, свързани с потенциалната възможност за злоупотреба с нейните лични данни от трети лица. От показанията на разпитания по делото свидетел се установява настъпването на неимуществените вреди. Неправилно съдът не е кредитирал представената по делото справка от НАП, съдържаща данни какви точно лични данни на ищцата са изтекли. Неправилно е приел, че указанията на касационната инстанция не са бил свързани с изискването на такъв документ. Напротив, в Решение 9229/25.07.2024 г. на ВАС, постановено по адм. дело 6018/2021 г. изрично е посочено, че: в нарушение на чл.171, ал.5 от АПК съдът не е указал на ищеца, че не сочи доказателства, относно твърдяното в исковата молба обстоятелство, относно неправомерно разкрити лични данни, както и какви точно лични данни са били оповестени. Именно в изпълнение на тези указания, първоинстанционният съд, в открито съдебно заседание на 21.01.2025 г., е дал изрични указания на ищцата, че е в нейна тежест да докаже, че са разкрити нейни лични данни и какви са те. В изпълнение на тези указания процесуалният представител на ищцата е поискал изискването на справка от НАП с информация какви точно лични данни са оповестени. Справката е представена на 10.02.2025 г. и е приета като доказателство по делото в съдебно заседание на 18.03.2025 г. При изрично дадени указания в изпълнение на указанията на касационната инстанция и предвид чл. 226, ал. 1 АПК няма процесуална логика да не се кредитира справката и установените с нея факти и обстоятелства. Моментът на узнаването какви точно данни са изтекли следва да се преценява при определяне размера на обезщетението. Предвид събраните доказателства за това какви точно лични данни са изтекли и как това се е отразило на емоционалното състояние на Г. Х. следва да се приеме, че ищцата е доказала настъпването на неимуществени вреди. Съгласно чл. 52 от Закона за задълженията и договорите (ЗЗД), приложим предвид чл. 4 ЗОДОВ, обезщетение за неимуществени вреди се определя от съда по справедливост. В съдебната практика се приема, че справедливостта като критерий за определяне паричния еквивалент на моралните вреди включва винаги конкретни факти, относими към стойността, която засегнатите блага са имали за своя притежател. Този размер следва да е съответен на конкретно установените по делото обстоятелства свързани с продължителността на увреждането и отражението им върху ищеца. Предвид ангажираните доказателства за претърпените вреди притесненията на ищцата във връзка с изтеклите ѝ лични данни, периодът и причината за тези притеснения, съобразявайки факта, че информация какви точно данни са изтекли за ищцата е събрана в съдебното производство, настоящата инстанция намира за справедливо и законосъобразно присъждането на обезщетение в размер на 200 лв. Този размер на обезщетението е съразмерен на доказаните като претърпени неимуществени вреди, отговаря на конкретните факти по делото и е в съответствие с обществените представи за справедливост - материално-икономическите условия в страната. Поради това за размерът на обезщетението за сумата от 200 лв. обжалваното решение следва да се отмени и вместо него се присъди ново, с което НАП се осъди за заплати на Г. К. Х. обезщетение за претърпени неимуществени вреди в размер на 200 лв. Върху сумата на обезщетението от 200 лв. следва да се присъди и претендиратата законна лихва считано от 16.09.2019 г. до окончателното изплащане на сумата. В исковата молба законната лихва се претендира алтернативно от 15.07.2019 г. или от 16.09.2019 г. датата на завеждане на исковата молба, като не са посочени условията, при които следва се приложи алтернативността. На основание чл. 84, ал. 3 от ЗЗД при задължение от непозволено увреждане длъжникът се смята в забава и без покана, а според чл. 86 от ЗЗД при неизпълнение на парично задължение, длъжникът дължи обезщетение в размер на законната лихва от деня на забавата като за действително претърпени вреди в по-висок размер кредиторът може да иска обезщетение съобразно общите правила. Датата 15.07.2019 г. е датата, на която е оповестен теча на лични данни, но не може да се приеме, че това е датата на забавата на длъжника. Поради тази причина законната лихва следва да се дължи от датата на завеждане на исковата молба. Решението на АССГ, в частта, в която се присъжда лихва върху претендираното обезщетение от 1000 лв., считано от 15.07.2019 г. до окончателното изплащане на сумата следва да се отмени. Тъй като предявеният иск е неоснователен в частта за сумата над 200 лв. по пълния претендиран размер от 1000 лв. решението на АССГ, в тази му част, следва да се остави в сила. По отношение на разноските присъдени от първата инстанция предвид изхода на спора по касационната жалба. Първоинстанционният съд е присъдил разноски на ответника в размер на 900 лв., от които 400 лв. юрисконсултско възнаграждение и 500 лв. разноски за експертиза. Предвид чл. 10, ал. 3 ЗОДОВ разноските за експертизата следва да останат в тежест на ответника. На основание чл. 10, ал. 4 ЗОДОВ разноските за юрисконсулт, които се дължат от ищцата, следва да се намалят до 320 лв., съразмерно с отхвърлената част. Общо на ответника за производството пред първата инстанция следва да се присъдят разноски в размер на 320 лв., като в тази част решението следва да се остави в сила. За разликата от 320 лв. до 900 лв. разноски за ответника решението следва да се отмени. Пред първата инстанция ищцата е претендирала разноски за производството. Претендирано е и заплащане на адвокатско възнаграждение при условията на чл. 38 от Закона за адвокатурата (ЗА) за адв. С. Юрукова. Пред първата инстанция е представен списък на разноските. Видно от същия и представените доказателства ищцата е заплатила съдебно-деловодни разноски в размер на 45 лв., от които 10 лв. държавна такса за образуване на делото (11290/2019 г. на ВАС), 5 лв. държавна такса за касационното производство по адм. дело 6018/2021 г. на ВАС, 30 лв. държавна такса за частно касационно производството по адм. дело 4694/2020 г. на ВАС. На основание чл. 38, ал. 2 ЗА и чл. 10, ал. 3 ЗОДОВ на адв. С. Юрукова следва да се присъди адвокатско възнаграждение за осъщественото процесуално представителство по адм. дело 11290/2019 на АССГ, адм. дело 6018/2021 г. на ВАС, адм. дело 4694/2020 г. на ВАС, адм. дело 8301/2024 г. на АССГ в размер на 240 лв. съразмерно на отхвърлената част от иска. По разноските за настоящата инстанция: След като пред настоящата инстанция искът е частично уважен, ответникът дължи на ищеца разноски изцяло за внесената държавна такса 5 лв. На основание чл. 10, ал. 3 ЗОДОВ на адв. Юрукова следва да се присъди адвокатско възнаграждение в размер на 60 лв. съразмерно на уважената част от иска. Предвид изхода на спора на ответника по касация се дължи юрисконсултско възнаграждение съобразно отхвърлената част от иска, на основание чл. 10, ал. 4 ЗОДОВ, в размер на 104 лв. Воден от горното и на основание чл. 221, ал. 2 АПК, Върховният административен съд, пето отделение