Решение № 6844 от 5.6.2024 г. на ВАС по адм. д. № 1970/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Д. С. С., подадена чрез пълномощника адвокат С. Юрукова, срещу решение 7018 от 07.12.2020 г., постановено по адм. дело 11201/2019 г. по описа на Административен съд София - град (АССГ), с което е отхвърлен предявеният от нея иск против Националната агенция за приходите (НАП, Агенцията), за заплащане на обезщетение за претърпени неимуществени вреди в размер на 1000 лева, вследствие незаконосъобразно бездействие. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът възразява, че доказателствената тежест не е правилно разпределена от съда, като на ищеца са дадени указания да докаже всички елементи на фактическия състав на отговорността на държавата, включително наличието на незаконосъобразно бездействие, представляващо отрицателен факт. Изтъква се, че ответникът не е изпълнил задължения предвидени в закон, като именно той следва да доказва изпълнението на тези задължения. Като неправилна се оспорва преценката на съда за предприети технически и организационни мерки за осигуряване ефективна защита на данните, съдържащи се в информационните масиви на НАП. Неправилна била и констатацията за липса на претърпени неимуществени вреди в причинна връзка с твърдяното незаконосъобразно бездействие. По изложените съображения се иска отмяната на обжалваното съдебно решение и уважаване на предявения иск, ведно с лихвата върху претендираната сума на обезщетението. Иска се присъждане на съдебно-деловодни разноски за двете инстанции, съгласно приложен списък по чл. 80 от Гражданския процесуален кодекс (ГПК). Ответникът по касация - НАП, чрез юрисконсулт Л. Танев, оспорва жалбата в съдебно заседание и моли съда да постанови решение, с което да остави в сила решението на АССГ. Претендира присъждане на юрисконсултско възнаграждение. Представителят на Върховна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е основателна. Производството пред АССГ е образувано по предявен от Д. С. иск с посочено от нея правно основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), за присъждане на обезщетение в размер на 1000 лева за претърпени неимуществени вреди в резултат на неизпълнение от НАП в достатъчна степен на задължението й по чл. 59, ал. 1 от Закона за защита на личните данни (33ЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), а именно да гарантира достатъчно ниво на сигурност на обработваните лични данни, довело до неразрешено разкриване или достъп до нейните лични данни, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане. Първоинстанционният съд е приел, че нито един от елементите на фактическия състав на отговорността по чл. 1 ЗОДОВ не е налице. Установил е наличието на нерегламентиран достъп, вследствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019 г., в резултат на което е изтекла информация от информационните масиви на НАП. Според съда обаче, този резултат не презумира противоправно поведение на органи и длъжностни лица на Агенцията, нито такова е било доказано от ищцата. АССГ е извършил преглед на предприетите мерки за защита на сигурността на информацията в НАП, на база представените от Агенцията заповеди на изпълнителния й директор. Установил е, че за случая са били уведомени от НАП - Софийска градска прокуратура (СГП) и Комисията за защита на личните данни (КЗЛД). Срещу Агенцията е издадено наказателно постановление от страна на КЗЛД, за нарушение на чл. 32, § 1, б. б от Регламент (ЕС) 2016/679. Понастоящем това наказателно постановление е отменено с влязло в сила решение 1247/26.02.2024 г. по дело 12334/2023 г. по описа на АССГ, но отмяната не е поради липса или недоказаност на нарушението, а на основание изтекла абсолютна погасителна давност. От правна страна е прието, че искът е с правно основание чл. 1 ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди, в следствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се неизпълнение на задължения, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от ОРЗД. Неправилно е преценено, че такива указания са били дадени от Върховния административен съд (ВАС) с определение 5898 от 21.05.2020 г. по адм. дело 3497/2020 г. В него, освен отмяната на незаконосъобразното определение за оставяне исковата молба без разглеждане, е посочено единствено, че производството следва да се развие по реда на чл. 203, ал. 1 АПК, като изрично е акцентирано, че правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, § 1 от ОРЗД. За нереализирана е счетена първата предпоставка на отговорността на държавата, като е прието, че липсва незаконосъобразно бездействие от страна на държавен орган да изпълни вменени му от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от ОРЗД задължения, довело до изтеклата на 15.07.2019 г., вследствие нерегламентиран достъп и престъпно деяние от неизвестно лице, информация от електронните масиви на НАП, съдържаща лични данни на ищцата. Самото обстоятелство, че е изтекла тава информация - безспорен факт по делото, не е прието за противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система. За недоказано е преценено не само наличието на незаконосъобразно бездействие от страна на ответника, но и наличието на претендираните неимуществени вреди, както и каквато и да било причинна връзка с вредите, които да са пряка и непосредствена последица от увреждането. По отношение твърденията на ищцата за преживян стрес, безпокойство, притеснение, чувство на застрашеност от физическо посегателство, изнудвания, както и кражба на имущество, съдът е посочил, че те представляват вид неимуществени вреди, но е намерил, че не са пряка и непосредствена последица от изтичането на личните й данни, а освен това са останали недоказани. По тези съображения АССГ е постановил атакуваното решение, с което предявеният иск е изцяло отхвърлен. Решението е валидно и допустимо, но е неправилно поради допуснати от първоинстанционния съд съществени нарушения на съдопроизводствените правила, станали причина за неговата необоснованост. Във връзка с допуснатите нарушения, относимите към спора факти са останали неизяснени, което е пречка за извършването на проверка за правилното приложение на материалния закон. Административният съд неправилно е определил правното основание на иска и не е дал подробни и конкретни указания по разпределението на доказателствената тежест с оглед изискванията на Регламент (ЕС) 2016/679, съответно не е установил относими към спора факти, необходими за правилното решаване на правния спор. Правилно предявеният от Д. С. иск за присъждане на обезщетение за твърдените неимуществени вреди е разгледан по реда на чл. 203, ал. 1 АПК, въпреки че дадената от съда правна квалификация не е точна. Не са следвани и дадените насоки относно правното основание на иска в определение 5898 от 21.05.2020 г. по адм. дело 3497/2020 г. на ВАС. Правото на ефективна съдебна защита срещу администратор или обработващ лични данни е уредено в чл. 79, § 1 от ОРЗД, който предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно чл. 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по Регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с него. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване - чл. 79, § 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, § 1 от ОРЗД, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента - § 2. Съгласно член 82, § 6 от него съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, § 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност - публични органи или частноправни субекти. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета Производство за обезщетения на АПК. Съгласно разпоредбата на чл. 203, ал. 1 АПК исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на глава единадесета. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от чл. 82, § 1 от ОРЗД, включва претърпени материални или нематериални вреди настъпили в причинна връзка с нарушение на Регламента. В конкретния случай посоченият фактически състав действително съвпада с този по възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие, вреда и причинна връзка между тях. Това обаче не означава, че искът е следвало да се квалифицира като такъв с правно основание чл. 1, ал. 1 ЗОДОВ, както е преценил първоинстанционният съд. Изложените от Д. С. факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от ОРЗД, обуславят правна квалификация на иска по чл. 82, § 1, вр. § 2 от Регламента. Този извод не се променя от обстоятелството, че предвидените в посочените текстове задължения са преповторени, съответно в чл. 59 и чл. 66 ЗЗЛД, както и че С. се позовава както на тези норми, така и на чл. 1 ЗОДОВ. Всъщност неотносимо е позоваването на чл. 59 и чл. 66 ЗЗЛД, тъй като тези разпоредби се намират в глава 8 ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи, но само за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Освен това дадените от ищцата правни квалификации не обвързват съда. От значение са само фактическите й твърдения, въз основа на които съдът следва да даде вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от нея правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от ОРЗД. Разпоредбата на чл. 24 Отговорност на администратора от Регламент (ЕС) 2016/79 предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствия с Регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. От значение за предмета на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., до постановяването на което производството по настоящото дело беше спряно. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Няма съмнение, че НАП е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. а, както и по б. е" а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки (цялостност и поверителност). При тези правни квалификации, първоинстанционният съд е следвало да съобрази и разпоредбата на чл. 82, § 3 от ОРЗД, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба касае доказателствената тежест в процеса, като възлага на ответника по иска да докаже липсата на два от елементите от фактическия състав на отговорността за вреди, а именно липсата на нарушение по смисъла на Регламента и липсата на причинна връзка. За ищеца по иска с правно основание чл. 82, § 1, вр. § 2 от Регламента остава да докаже настъпването на вредите, както и в какво конкретно се изразява бездействието на администратора на лични данни. Това понастоящем, макар и след постановяването на обжалваното решение на АССГ, е установено и в решение на СЕС по дело С-340/21 г. В процеса пред първоинстанционния съд са давани указания по тежестта на доказване с разпореждането от 25.10.2019 г. и разпореждане от 12.06.2020 г. Липсва обаче, нарочен акт на съда за конкретно разпределяне на доказателствената тежест между страните. Съдът не е очертал спорните между страните факти, които следва да бъдат доказани, съответно липсва разграничаване на безспорните факти. На страните не са дадени указания по тежестта на доказване, съобразно техните твърдения, конкретния спор и приложимата нормативна уредба. На НАП не е указано, че в нейна тежест е да установи, че не е отговорна за събитието, причинило вредата, тоест, че липсва нарушение, в причинна връзка с което са претърпени вредите, нито че съгласно чл. 24, § 2 и § 3 и чл. 32 от ОРЗД администраторът на лични данни следва да доказва наличието на подходящи политики за защита на данните и придържането към одобрени кодекси за поведение или одобрени механизми за сертифициране, както и прилагането на конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. При липса на дадени указания по разпределението на доказателствената тежест в горния смисъл и на събрани относими към спора доказателства, крайният изводът на административния съд е формиран при съществени процесуални нарушения и е необоснован. По изложените съображения, обжалваното съдебно решение следва да бъде отменено, а делото върнато за ново разглеждане от друг състав на административния съд. При новото разглеждане в подробен доклад по делото съдът следва да посочи освен приложимото правно основание на иска, също относимите към спора факти, като разграничи спорните от безспорните. След определяне на спорните факти, на страните следва да бъдат дадени подробни указания по разпределението на доказателствената тежест, съобразени с техните конкретни твърдения и с нормата на чл. 82, § 3 от ОРЗД включително, но не изчерпателно, за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин и до какви конкретно устройства или системи, съхраняващи данни е осъществен, изцяло на външна намеса ли се дължи достъпът и възможно ли е това, какви технически мерки са предприети, за да бъде предотвратен такъв достъп, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, и технически възможно ли е било предотвратяването на изтичането на данни. Следва да се укаже на НАП, че негова е тежестта да докаже с всички допустими доказателствени средства, че нерегламентираният достъп не се дължи на нарушение по смисъла на Регламента, включително, че такова нарушение липсва или че е направено всичко възможно за неговото предотвратяване, предвид достиженията на техническия прогрес и различните рискове. С. от своя страна следва да установи наличието на конкретни неимуществени вреди претърпени от нея, както и причинна връзка между вредата и нарушението. Предвид изложеното и доколкото допуснатите от съда нарушения на съдопроизводствените правила са съществени, те са основание за отмяна на обжалваното решение и връщане на делото за ново разглеждане от друг състав на АССГ при съобразяване на изложеното в мотивите на настоящото решение. По разноските ще се произнесе съдът при новото разглеждане на делото на основание чл. 226, ал. 3 АПК. Ето защо и на основание чл. 221, ал. 2, изр. първо, предл. второ и чл. 222, ал. 2, т. 1 АПК, Върховният административен съд, пето отделение