Решение № 4426 от 29.4.2025 г. на ВАС по адм. д. № 241/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите срещу Решение 22564/06.11.2024 г. на Административен съд София-град (АССГ), постановено по адм. дело 6393/2024 г., в частта, в която Национална агенция за приходите (НАП) е осъдена да заплати на Х. Н. Г. сумата от 500 (петстотин) лева, представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR), а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата и в частта, в която НАП е осъдена да заплати разноски по делото. Касационният жалбоподател счита, че решението в обжалваната му част (петитума на касационната жалба е непрецизно формулиран, но с оглед изложените в нея съображения може недвусмислено да се приеме, че решението на АССГ се обжалва само в частта, в която НАП е осъдена да заплати обезщетение и разноски) е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага съображения в подкрепа на твърденията си, че първоинстанционният съд е постановил решението си при неизяснена фактическа обстановка, както и че е извел неправилни и незаконосъобразни заключения, че е реализиран фактическият състав на отговорността по реда на Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Моли решението, в обжалваната му част, да се отмени и се постанови ново, с което се отхвърли изцяло иска на Х. Н. Г.. Претендира разноски и юрисконсултско възнаграждение. Представя списък на разноски. Касационният жалбоподател се представлява от юрк. Атанасова. Ответникът по касация Х. Н. Г. оспорва касационната жалба по съображения изложени в писмен отговор. Моли решението в обжалваната му част да се остави в сила. Претендира разноски за настоящата инстанция. Претендира се заплащане на адвокатско възнаграждение при условията на чл. 38 от Закона за адвокатурата (ЗА). Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е частично основателна по следните съображения: Производството пред АССГ е образувано по предявен иск от Х. Н. Г. срещу НАП за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД заедно със законната лихва върху тази сума. Производството пред първоинстанционния съд е по реда на чл. 226 АПК, след като с Решение 7490/18.06.2024 г. на ВАС, постановено по адм. дело 2212/2021 г. е отменено Решение 6955/04.12.2020 г. на АССГ, постановено по адм. дело 3086/2020 г. и делото е върнато за ново разглеждане. След изпълнение на указанията дадени от касационната инстанция, при новото разглеждане на делото, съдът е приел от фактическа страна следното: При нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., което обстоятелство съдът е посочил, че не е спорно между страните, е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица. От справка от 25.06.2020 г., изискана от съда от НАП по искане на ищеца, е установено, че за [идентификатор] (ЕГН на ищеца Х. Н. Г.) са разкрити лични данни, които включват ЕГН и имена, както и данни от декларации, подадени от работодатели/осигурители за осигурени от тях лица за 2008 г. За установяване на факта, че НАП е предприела всички необходими мерки за защита на личните данни, ответникът е представил писмени доказателства подробно описани от съда. В хода на съдебното следствие, проведено по адм. дело 3086/2020 г. по описа на АССГ, са събрани гласни доказателства показанията на свидетеля Д. А. Ч. племенник на ищеца, които съдът е кредитирал и посочил какво е установил от тях. Въз основа на така установените факти съдът от правна страна е приел, че искът е допустим и частично основателен. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 ЗОДОВ и позовавайки се на Решение от 14.12.2023 г. на СЕС по дело С-340/2021 г., е приел, че е налице първата предпоставка на визираната в чл. 1, ал. 1 ЗОДОВ хипотеза, а именно налице е незаконосъобразно бездействие от страна на държавен орган да изпълни вмененото му от чл. 59, ал. 1 от ЗЗЛД , чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. В тази връзка е изложил съображения, че въпреки изрично дадените му указания, ответникът по иска не е проявил активност да докаже изпълнение на законовото си задължение, че приложените от него мерки за сигурност на личните данни по чл. 32 от Регламент (ЕС) 2016/679 са подходящи. Поради това е приел, че по делото е останал недоказан фактът, че извършените от НАП действия са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищеца. Приел е, че е налице и втората предпоставка за ангажиране на отговорността на НАП. В тази връзка е посочил, че ищецът е доказал настъпването на неимуществени вреди. По отношение на размера на претърпените вреди съдът е посочил, че вземайки предвид интензитета на претъпените вреди, продължителността на претърпяването им, възрастта и личността на ищеца, а предвид липсата на проявили се у ищеца здравословни проблеми вследствие на неправомерното изтичане на личните му данни, сумата от 500 лв. е справедлива, за да обезщети неимуществените вреди, които той е претърпял. Предвид основателността на иска за претърпени имуществени вреди е приел за основателен и иска за заплащане на лихва за забава. С оглед изхода на спора е присъдил разноски съразмерно на уважената/отхвърлената част от иска. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е частично неправилно по следните съображения: Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно първоинстанционният съд е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД, съответно е присъдил обезщетението и за нарушение на задължението по този законов текст. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Правилно решаващият съд е приел, че доказателствената тежест за установяване на този факт е била в тежест на НАП и той не се е справил с нея. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, въпреки указанията дадени от първоинстанционния съд при новото разглеждане на делото, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Правилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищецът е ангажирал доказателства за твърдените като преживени негативни емоции, свързани с потенциалната възможност за злоупотреба с неговите лични данни от трети лица. От показанията на разпитания по делото свидетел се установяват, както правилно е посочил решаващият съд, настъпването на неимуществените вреди. Настоящата инстанция намира, че съдът неправилно е определил размера на обезщетението. Обезщетението е определено и за допуснати нарушения на задължение по Глава осма ЗЗЛД, което е материално незаконосъобразно. В този смисъл Решение 392/15.01.2025 г. на ВАС, по адм. дело 1808/2021 г. Настоящият съдебен състав, по изложените по-горе съображения, споделя правните изводи за нарушение по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и само за тези нарушения може да бъде ангажирана отговорността на НАП. Това обстоятелство има отношение към размера на обезщетението. Съгласно чл. 52 от Закона за задълженията и договорите (ЗЗД), приложим предвид чл. 4 ЗОДОВ, обезщетение за неимуществени вреди се определя от съда по справедливост. В съдебната практика се приема, че справедливостта като критерий за определяне паричния еквивалент на моралните вреди включва винаги конкретни факти, относими към стойността, която засегнатите блага са имали за своя притежател. Този размер следва да е съответен на конкретно установените по делото обстоятелства свързани с продължителността на увреждането и отражението им върху ищеца. Предвид ангажираните доказателства за претърпените вреди притесненията на ищеца във връзка с изтеклите му лични данни, периодът и причината за тези притеснения, съобразявайки факта, че информация какви точно данни са изтекли за ищеца е събрана в съдебното производство, настоящата инстанция намира за справедливо и законосъобразно присъждането на обезщетение в размер на 200 лв. Този размер на обезщетението е съразмерен на доказаните като претърпени неимуществени вреди, отговаря на конкретните факти по делото и е в съответствие с обществените представи за справедливост - материално-икономическите условия в страната. За сумата от 200 лв. присъдена като обезщетение обжалваното решение следва да се остави в сила. В останалата част - до присъдения от съда размер от 500 лв., искът е неоснователен. Решението на АССГ в тази част следва да се отмени и се постанови ново, с което искът да се отхвърли. Решението следва да се отмени и в частта, в която е присъдено обезщетение за периода от 15.07.2019 г. до настоящия момент (съгласно посоченото от съда), тъй като е неясно кой точно е настоящият момент и следователно периодът на обезщетението е неконкретизиран. По отношение на предявения иск за присъждане на лихва. Решението на първоинстанционния съд с което се присъжда лихва за периода от 15.07.2019 г. до окончателното изплащане на сумата като неправилно следва да се отмени. Лихвата се претендира от ищеца алтеранативно, без да са уточнени условията на заявената алтернативност. На основание чл. 84, ал. 3 от ЗЗД при задължение от непозволено увреждане длъжникът се смята в забава и без покана, а според чл. 86 от ЗЗД при неизпълнение на парично задължение, длъжникът дължи обезщетение в размер на законната лихва от деня на забавата като за действително претърпени вреди в по-висок размер кредиторът може да иска обезщетение съобразно общите правила. Датата 15.07.2019 г. е датата, на която е оповестен теча на лични данни, но не може да се приеме, че това е датата на забавата на длъжника. Поради тази причина законната лихва следва да се дължи от датата на завеждане на исковата молба. По отношение на разноските присъдени от първата инстанция предвид изхода на спора по касационната жалба. На основание чл. 10, ал. 3, изр първо ЗОДОВ, съгласно който ако искът бъде уважен изцяло или частично, съдът осъжда ответника да заплати разноските по производството, както и да заплати на ищеца внесената държавна такса, няма правна възможност за промяна на присъдените разноски за държавна такса от настоящата инстанция. Първоинстанционният съд е присъдил разноските за държавна такса съобразно уважената част от иска, което е в противоречие с чл. 10, ал. 3, изр. първо ЗОДОВ. След като и пред настоящата инстанция искът е частично уважен, ответника дължи на ищеца разноски изцяло за внесената държавна такса. На основание чл. 10, ал. 3, изр. второ ЗОДОВ, съгласно който съдът осъжда ответника да заплати на ищеца и възнаграждение за един адвокат или юрисконсулт, ако е имал такъв, съразмерно с уважената част от иска, дължимите разноски за първата инстанция при условията на чл. 38, ал. 2, вр. ал. 1, т. 1 от Закона за адвокатурата (ЗА) се дължат в размер на 240 лв. До този размер обжалваното решение в частта за разноските следва да се остави в сила. В останалата част решението следва да се отмени. Предвид изхода на спора на касатора се дължи юрисконсултско възнаграждение съобразно уважената част от касационната жалба, на основание чл. 10, ал. 4 ЗОДОВ, в размер на 60 лв. По аргумент от разпоредбата на чл. 10, ал. 2 ЗОДОВ не му се дължат разноски за заплатената държавна такса за настоящата инстанция. Предвид оттегляне на упълномощаването на адвокатите, осъществили правна помощ при условията на чл. 38 ЗА, за настоящата инстанция не им се дължи възнаграждение. Други разноски ответникът по касация не е направил, поради което не му се дължи присъждане на такива. Воден от горното и на основание чл. 221, ал. 2, изр. първо АПК, Върховният административен съд, пето отделение