Решение № 6104 от 6.6.2025 г. на ВАС по адм. д. № 2653/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на З. А. В., чрез процесуален представител адв. Юрукова, против решение 27931/20.12.2024 г., постановено по адм. д. 5600/2024 г. по описа на Административен съд София-град (АССГ), с което е отхвърлен искът му срещу Националната агенция за приходите (НАП), над уважения размер от 250 лв. до пълния предявен размер от 1000 лв. за присъждане на обезщетение за претърпени неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Твърди, че съдът неправилно е определил размера на присъденото обезщетение, като счита, че същият е твърде занижен с оглед действително претърпените неимуществени вреди. Иска решението да бъде отменено в оспорваната част, като бъде уважен изцяло предявения иск. Претендира разноски. Ответната страна - Национална агенция за приходите не изразява становище по касационната жалба. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувано по предявен З. А. В. срещу НАП иск за присъждане на обезщетение за неимуществени вреди, в размер на 1000 лева, подробно описани в исковата молба, претърпени за периода от 15.07.2019 г., в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), член 24 и член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД , заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане. Производството по адм. д. 5600/2024 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 1171/25.02.2021 г. по адм. дело 11260/2019 г. на АССГ, с решение 5667/09.05.2024 г. по адм.дело 4248/2021 г. на Върховния административен съд, пето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 от Регламента. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, дал е задължителни указания за конкретно разпределение на доказателствената тежест между страните, посочил е дело С-340/2021 г. пред Съда на Европейския съюз, образувано по преюдициално запитване от ВАС по аналогичен спор. В изпълнение на дадените указания, при повторното разглеждане на спора АССГ с определение 8829 от 16.06.2024 г., постановено в закрито заседание е разпределил доказателствената тежест между страните, като е дал указания, че в тежест на ищеца е да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича, както и настъпването на вредите, които твърди да е претърпял. Административният съд е дал указания на ответника НАП, че в негова тежест е да докаже, че съгласно чл. 24, §2 и §3 и чл. 32 от Регламента е положил всички усилия и е осъществил всички подходящи политики, взел е всички подходящи мерки за защита на личните данни на всички физически и юридически лица , които притежава и обработва в служебно качество, както и че се придържа към одобрените кодекси за поведение или одобрени механизми за сертифициране, както и че прилага конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. По делото е назначена и приета съдебно-техническа експертиза (СТЕ), която да прецени, въз основа на представените от ответника доказателства, какъв е техническият механизъм на неоторизирания достъп до лични данни, осъществен на 15.07.2019 г. и дали направеното от ответника във връзка със сигурността на информацията е достатъчно, за да бъде избегната хакерската атака и ако да, какво още е следвало да се направи. За да постанови обжалваното решение АССГ е приел, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че З. А. В. е доказал настъпването на неимуществени вреди, изразяващи се в стрес, безпокойство, притеснение, застрашаване да не се отчужди или открадне имуществото му. АССГ приема, че е доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на ответника НАП. Решението е правилно. Правното основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не е доказал, че по никакъв начин не е отговорен за събитието, причинило вредата. От заключението на вещото лице по назначената и приета СТЕ се установява, че НАП има разработени редица правила и политики, касаещи мрежовата и информационна сигурност, които мерки са адекватни, но доколкото не са били изпълнени на практика, не могат да бъдат определени като достатъчни, за да се избегне нерегламентирания достъп. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, пар. 3 ОРЗД, НАП не е доказала в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да е минимизирала риска от нерегламентиран достъп на трети лица. Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищеца са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищеца за бездействие от страна на НАП. Налага се извод, че администраторът на лични данни не се освобождава от отговорност по смисъла на чл. 82, пар. 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата. Обосновани са изводите на първоинстанционния съд за наличието на претърпени неимуществени вреди от ищеца, които според цитираното решение на СЕС могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Общия регламент относно защитата на данните. За доказване разкриването на лични данни В. е представил снимка на електронно съобщение от НАП със следното съдържание: НАП: по заявка номер 3579 ИМА неправомерно разкрити лични данни . В съдържанието на представеното съобщение липсват идентификационни данни, отнасящи се към ищеца. От справка от 25.09.2024 г., изискана от съда от НАП, е установено, че за идентификатор [номер] (ЕГН на ищеца З. А. В.) са разкрити лични данни, които включват ЕГН, данни от данъчни декларации за облагане с патентен данък, както и данни от подадени от декларации, подадени от работодатели/осигурители за осигурените от тях лица. Предвид това съдът правилно приема, че е доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на ответника. Налага се извод, че при правилно установени факти по делото съдът е достигнал до правилен извод за частична основателност на предявения иск за обезщетение за причинени неимуществени вреди. Настоящият съдебен състав намира за справедлив определения размер на дължимото обезщетение, който е съобразен с характера и тежестта на претърпените вреди, тяхната продължителност и неблагоприятно отражение върху личната сфера на З. В., поради което за него е възникнало право на обезщетение в обичайния размер за подобни случаи, определен съобразно възрастта на ищеца, жизнения стандарт в страната и размерът на минималната работна заплата към момента на узнаване на неправомерния достъп. В съдебната практика се приема, че справедливостта като критерий за определяне паричния еквивалент на моралните вреди включва винаги конкретни факти, относими към стойността, която засегнатите блага са имали за своя притежател. На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са допуснати посочените от касатора нарушения по чл. 209, т. 3 АПК, поради което същото следва да бъде оставено в сила. По отношение на жалбата, в частта за присъдените от съда с обжалваното решение разноски, следва да се има предвид, че с определение 3726/04.02.2025 г. съдът е изменил решението, като го е отменил в частта, с която З. А. В. е осъден да заплати на НАП разноски в размер на 225 лева. Поради това съдът приема, че е налице техническа грешка при оформянето на жалбата и не следва да се произнася по искането. С оглед изхода на спора за касационната инстанция не следва да се присъждат разноски. По тези съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение,