Решение № 5830 от 14.05.2021 г. на ВАС по адм. д. № 9992/2020 г.

Решение № 5830 от 14.05.2021 г. на ВАС по адм. д. № 9992/2020 г., III о., докладчик съдията Румяна Лилова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по подадена касационна жалба от С. Х., чрез упълномощената адв. С. Ю., срещу Решение № 4009 от 20.07.2020 г., постановено по адм. д. № 11208 по описа на Административен съд София - град (АССГ) за 2019 г. С него е отхвърлен предявеният от Х. иск срещу Националната агенция за приходите (НАП) за осъждането й да му заплати сума в размер на 1000, 00 лв., представляваща обезщетение за претърпени неимуществени вреди като последица на незаконосъобразно бездействие от страна на НАП за периода 15.07.2019 г. до "настоящия момент", изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Общия регламент относно защитата на данните ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR), а именно да гарантира достатъчно ниво на сигурност на обработваните лични данни на Х., довело до неразрешено разкриване или достъп до тях, ведно със законната лихва върху сумата, считано от 15.07.2019 г. "алтернативно от датата на подаване на исковата молба" до окончателното изплащане на сумата на обезщетението. Наред с това, Х. е осъден да заплати на НАП сума в размер на 100, 00 лв. за юрисконсултско възнаграждение. В касационната жалба се излагат съображения за постановяване на обжалваното решение при наличието на всички касационни основания по чл. 209, т. 3 АПК – нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост. Според касационния жалбоподател изводът на съда, че по делото не са доказани претърпените от Х. неимуществени вреди, както и причинната връзка между тях и незаконосъобразното бездействие на НАП, е неправилен. В тази връзка съдът без основание и в нарушение на чл. 172 от Гражданския процесуален кодекс (ГПК) не е кредитирал показанията на разпитания по делото свидетел. Неправилно взел предвид също така, че по делото не били представени доказателства за собственост на притежаваните от Х. имоти и автомобили. По изложените в касационната жалба съображения се иска отмяната на обжалваното съдебно решение и уважаване на предявения иск, ведно с лихвата върху сумата на обезщетението, както е претендирана. Иска се и присъждането на сторените разноски за двете съдебни инстанции съобразно представените доказателства и списък на разноските. В съдебното заседание пред настоящия съд касационният жалбоподател не се явява и не се представлява. Ответникът - НАП оспорва касационната жалба, чрез упълномощен юрисконсулт, в представен по делото подробно обоснован писмен отговор. Претендира юрисконсултско възнаграждение. В съдебното заседание пред настоящия съд се представлява от упълномощен юрисконсулт, който от негово име оспорва касационната жалба, а по същество моли обжалваното съдебно решение на остане в сила. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на трето отделение, като взе предвид становищата на страните и извърши проверка на обжалваното съдебно решение на наведените касационни основания съгласно разпоредбата на чл. 218, ал. 1 АПК и след служебна проверка за валидността, допустимостта и съответствието му с материалния закон по реда на чл. 218, ал. 2 АПК, приема следното: Касационната жалба е процесуално допустима като подадена от надлежна страна, за която съдебният акт е неблагоприятен и в срока по чл. 211, ал. 1 АПК. Разгледана по същество, касационната жалба е основателна. Производството пред административния съд е образувано по предявения от С. Х. иск срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000, 00 лв. като последица на незаконосъобразно бездействие от страна на НАП за периода 15.07.2019 г. до "настоящия момент", изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Общия регламент относно защитата на данните ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., а именно да гарантира достатъчно ниво на сигурност на обработваните лични данни на Х., довело до неразрешено разкриване или достъп до тях, ведно със законната лихва върху сумата, считано от 15.07.2019 г. "алтернативно от датата на подаване на исковата молба" до окончателното изплащане на сумата на обезщетението. Административен съд София - град квалифицирал иска за присъждане на обезщетение по чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Приел за установено от фактическа страна, че поради нерегламентиран достъп, вследствие на умишлени престъпни действия от страна на неизвестно лице, осъществени на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни в частност и за Х. Въз основа на доказателствата направил извод, че безспорно по отношение на това лице има неправомерно достъпни лични данни, но техният обем останал недоказан. Относно настъпването на твърдените неимуществени вреди допуснал гласни доказателства. От правна страна съдът приел за установено, че е налице първата предпоставка за ангажиране отговорността на НАП - противоправно нейно бездействие да изпълни вменено му от чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. Според съда ответникът не осигурил достатъчни надеждност и сигурност на информационната си система да защити физическите лица във връзка с обработването на личните им данни. Направил извод, че техническата уязвимост на информационната система на НАП е довела до нерегламентирано разкриване и разпространение на личните данни на Х., като последната е следствие неприлагането на подходящи мерки за защита. Националната агенция за приходите не била изпълнила задължението си за предотвратяване на престъпление и опазване изтичането на лични данни. Според съда фактът, че е извършена хакерска атака, с която е пробита информационната система на НАП безспорно доказва, че не са предприети подходящи технически и организационни мерки за защита на обработването на личните данни на Х., поради което е налице незаконосъобразно бездействие на НАП. В този смисъл съдът приел, че е налице първата предпоставка за ангажиране отговорността на НАП, но счел, че твърдените от Х. емоционални сътресения, които представляват вид неимуществена вреда, не били пряка и непосредствена последица от изтичането на личните му данни и при това останали недоказани. За последното съдът се обосновал като обсъдил казаното от разпитаната по делото свидетелка (съпруга на настоящия касационен жалбоподател) и приел, че от една страна то противоречи на липсата на доказателства относно обема на данните, а от друга на заявеното от Х.. Наред с това за този си извод съдът се мотивирал и с установеното по делото поведение на лицето след като е констатирал неправомерното разкриване на личните му данни. По тези причини направил краен извод, че твърдяната неимуществена вреда, изразяваща се в стрес, притеснение, заплаха от незаконосъобразното бездействие на НАП, не е доказана и отхвърлил иска с правно основание чл. 1, ал. 1 ЗОДОВ. Предвид неоснователността на исковата претенция за присъждане на обезщетение за неимуществени вреди, съдът приел за неоснователна и претенцията за присъждане на лихва за забава. При съобразяване изхода на спора, осъдил Х. да заплати на НАП разноски в размер на 100, 00 лв. за юрисконсултско възнаграждение. Решението е валидно и допустимо, но е неправилно поради допуснати от първоинстанционния съд съществени нарушения на съдопроизводствените правила, станали причина за неговата необоснованост. Поради така допуснатите нарушения относимите към спора факти не са изяснени, което се явява пречка за извършването на проверка от настоящия съд относно правилното приложение на материалния закон. Първоинстанционният съд не е дал подробни и конкретни указания по разпределението на доказателствената тежест в контекста на Регламента, съответно не е установил относими към спора факти, необходими за правилното решаване на делото. Правилно предявеният от Х. иск за присъждане на обезщетение за твърдените неимуществени вреди е разгледан по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, въпреки че дадената от съда правна квалификация не е коректната. Съгласно чл. 4, ал. 3 от Конституцията на Република България тя участва в изграждането и развитието на Европейски съюз, а по силата на чл. 5, ал. 4 от нея международните договори, ратифицирани по конституционен ред, обнародвани и влезли в сила за Република България, са част от вътрешното право на страната. Те имат предимство пред тези норми на вътрешното законодателство, които им противоречат. С оглед на това регламентираните в Договора за Европейския съюз (ДЕС) и в Договора за функциониране на Европейския съюз (ДФЕС) права на правните субекти имат предимство пред норми на вътрешното право, които им противоречат. Същото важи и за Хартата на основните права на Европейския съюз (ХОПЕС), която по силата на член 6, § 1 ДФЕС има същата юридическа сила като договорите. Член 8, § 1 ХОПЕС и член 16, § 1 ДФЕС предвиждат, че всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право. Правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и защитата на основни права и свободи на физическите лица и по-специално тяхното право на защита на личните данни, са определени в Регламент (ЕС) 2016/679. На основание член 288, § 2 ДФЕС регламентът е акт с общо приложение, който е задължителен в своята цялост и се прилага пряко във всяка една държава членка. Правото на ефективна съдебна защита срещу администратор или обработващ лични данни е уредено в член 79, § 1 от Общия регламент, който предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно член 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по Регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с него. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване - член 79, § 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в член 82, § 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента (§ 2). Съгласно член 82, § 6 от него съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, § 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност и притежавани качества (публични органи или частноправни субекти). Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета "Производство за обезщетения" на АПК. Съгласно разпоредбата на чл. 203, ал. 1 АПК исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на глава единадесета. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, § 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка с (в резултат на) нарушение на регламента. В конкретния случай този фактически състав на практика съвпада с изискуемия за възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие (в случая), вреда и причинна връзка между тях. Това обаче не означава, че искът е следвало да се квалифицира като такъв с правно основание чл. 1, ал. 1 ЗОДОВ, както е сторил това първоинстанционният съд. Изложените от Х. факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защитата на данните, обуславят правна квалификация на иска по чл. 82, § 1, във вр. с § 2 от Регламента. Този извод не се променя от обстоятелството, че предвидените в посочените текстове задължения са "преписани" съответно в чл. 59 и чл. 66 ЗЗЛД, както и че Х. се позовава както на тези норми, така и на чл. 1 ЗОДОВ. Дадените от него правни квалификации не обвързват съда. От значение са само фактическите му твърдения, въз основа на които съдът следва да даде вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от него правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента, поради което тяхното преповтаряне в националното законодателство може да има само информационен характер. Разпоредбата на чл. 24 "Отговорност на администратора" от Общия регламент относно защитата на данните /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствия с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Извън съмнение е, че НАП е администратор на лични данни по см. на чл. 4, т. 7 от Регламента и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. "а", както и по б. "е", а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки ("цялостност и поверителност"). При тези правни квалификации, първоинстанционният съд е следвало да съобрази и разпоредбата на чл. 82, § 3 от Регламента, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба касае доказателствената тежест в процеса, като възлага на ответника по иска да докаже липсата на два от елементите от фактическия състав на отговорността за вреди, а именно липсата на нарушение по смисъла на регламента и липсата на причинна връзка. За ищеца по иска с правно основание чл. 82, § 1, във вр. § 2 от Регламента остава да докаже настъпването на вредите, както и в какво конкретно се изразява бездействието на администратора на лични данни. В процеса пред първоинстанционния съд са давани указания по тежестта на доказване с Определение от 08.05.2020 г. Липсва нарочно определение на съда за разпределяне на доказателствената тежест между страните, което съответно да възлага доказателствена тежест на НАП за установяване липса на нарушение, а на Х. да установи по категоричен начин в какво конкретно се изразява бездействието на ответника да изпълни задължения, произтичащи от Общия регламент относно защитата на данните да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни. Докладът по делото повтаря твърденията на страните в исковата молба и в отговора по нея. Липсва очертаване на спорните между страните факти, които следва да бъдат доказани, съответно липсва разграничаване на безспорните факти. На страните не са дадени указания по тежестта на доказване, съобразно техните конкретни твърдения, конкретния спор и конкретната нормативна уредба. На НАП не е указано, че в негова тежест е да установи, че не е отговорен за събитието, причинило вредата, тоест, че липсва нарушение, в причинна връзка с което са претърпени вредите, нито че съгласно чл. 24, § 2 и § 3 и чл. 32 от Регламента администраторът на лични данни следва да доказва наличието на подходящи политики за защита на данните и придържането към одобрени кодекси за поведение или одобрени механизми за сертифициране, както и прилагането на конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. Наред с това, съдът не е съобразил и служебното начало в съдебния процес по административни дела, включително необходимостта от специални знания за изясняване на съществен въпрос по делото, а именно какъв е техническият механизъм на неоторизирания достъп до лични данни, осъществен на 15.07.2019 г. Не са направени и никакви фактически извод въз основа на представените по делото от НАП доказателства, приложени към писмо от 01.07.2020 г., а простото им изброяване в решението не води на обратни изводи. При липса на дадени указания по разпределението на доказателствената тежест в горния смисъл и на събрани относими към спора доказателства, изводът на административния съд, че неоторизираният достъп сочи на противоправно бездействие на НАП да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна техническа надеждност и сигурност на информационната си система, за да защити физическите лица във връзка с обработването на личните им данни, е формиран при съществени процесуални нарушения и е необоснован. Противно на възприетото от съда, по делото не е установено по категоричен начин, че именно техническата уязвимост на информационната система е довела до нерегламентирано разкриване и разпространение личните данни на ищеца и че то е следствие от неприлагането на подходящи мерки за защита. Следва да се подчертае, че понятието за "нарушение на сигурността на лични данни" по смисъла на Регламента се съдържа в чл. 4, § 12 от него. Нарушението на сигурността, респективно липсата на такова нарушение, са факти, които следва да бъдат установени в процеса. Нарушението не може да се презюмира въз основа на други данни, по - конкретно въз основа на това, че има неразрешено разкриване или достъп до лични данни. Неразрешеното разкриване и достъп може да е следствие от нарушението, но това следствие, както и самото нарушение, респективно тяхната липса, трябва да бъдат доказани и това изисква използване на специални знания. Не на последно място, изводите на съда за нарушение на чл. 24 и чл. 32 от Общия регламент относно защитата на данните /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. са формирани при липса на обсъждане на представените от НАП писмени доказателства, в светлината на чл. 24, § 3 от Регламента. По изложените съображения, обжалваното съдебно решение следва да бъде отменено, а делото върнато за ново разглеждане от друг състав на административния съд. При новото разглеждане в подробен доклад по делото съдът следва да посочи относимите към спора факти, като разграничи спорните от безспорните. След определяне на спорните факти, на страните следва да бъдат дадени подробни указания по разпределението на доказателствената тежест, съобразени с техните конкретни твърдения и с нормата на чл. 82, § 3 от Регламента, включително, но не изчерпателно, за необходимостта от специални знания за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин и до какви конкретно устройства или системи, съхраняващи данни е осъществен той, изцяло на външна намеса ли се дължи достъпът и възможно ли е това, какви технически мерки са предприети, за да предотвратят такъв достъп, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, и технически възможно ли е било предотвратяването на изтичането на данни. Следва да се укаже на НАП, че негова е тежестта да докаже с всички допустими доказателствени средства, че нерегламентираният достъп не се дължи на нарушение по смисъла на Регламента, включително, че такова нарушение липсва или че е направено всичко възможно за предотвратяването му, предвид достиженията на техническия прогрес и различните рискове. Х. от своя страна следва да установи по категоричен начин в какво конкретно се изразява бездействието на НАП да изпълни задължения, произтичащи от Общия регламент за защитата на данните. Предвид изложеното и доколкото допуснатите от съда нарушения на съдопроизводствените правила са съществени, те са основание за отмяна на обжалваното решение и връщане на делото за ново разглеждане от друг състав на АССГ при съобразяване на изложеното в мотивите на настоящото решение. По разноските ще се произнесе съдът при новото разглеждане на делото на основание чл. 226, ал. 3 АПК. Ето защо и на основание чл. 221, ал. 2, изр. първо, предл. второ и чл. 222, ал. 2, т. 1 АПК, Върховният административен съд, състав на трето отделение