Решение № 9399 от 13.9.2021 г. на ВАС по адм. д. № 11029/2020 г.

Производството е касационно, по реда на чл. 208 и следващите от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба от И. Бонев, подадена чрез пълномощника му адв. С. Юрукова, против Решение 4692/24.08.2020 г., постановено по адм. дело 11322/2019 г. от Административния съд София-град (АССГ). С обжалваното решение е отхвърлен изцяло предявеният от И. Бонев осъдителен иск с правно основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) против Националната агенция за приходите (НАП) за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000.00 (хиляда) лева, ведно със законната лихва върху претендираното обезщетение за периода от 15.07.2019 г. до окончателното изплащане на вземанията. Със същото решение И. Бонев е осъден да заплати на НАП разноски по делото в размер на 100.00 (сто) лева. В касационната жалба се твърди неправилност на решението и се иска отмяната му. Сочените касационни основания в жалбата до Върховния административен съд са всичките по чл. 209, т. 3 АПК нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Конкретните оплаквания са следните: съдът неправилно е разпределил доказателствената тежест между страните, давайки указания на ищеца да докаже бездействието на ответника; обратно на приетото от съда в решението, в тежест на ответника е било да докаже, че е предприел и изпълнил нужните организационни и технически мерки за защита личните данни на ищеца и да докаже тяхната ефективност, което не е направено; неправилно и в противоречие с материалния закон, съдът е приел, че НАП като пострадало лице от противоправното посегателство от трети лица, не следва да носи отговорност за вредите, причинени на ищеца; допусната от съда необоснованост на извода му (при положение, че съдът не разполага с необходимите технически знания), която е резултат и на допуснати нарушения от съда при обсъждане на събраните по делото доказателства, приемайки за доказани възраженията на ответника, че е предприел ефективни мерки за защита личните данни на лицата; по делото не са ангажирани от ответника доказателства, че представените от него указания, вътрешни правила, методики, политики, инструкции, са били ефективно изпълнявани от служителите му; съдът е нарушил задължението му, произтичащо от чл. 146, ал. 2 от Гражданския процесуален кодекс (ГПК) във вр. с чл. 144 АПК, както и разпоредбата на чл. 172 ГПК. Касаторът иска отмяна на решението и уважаване на иска изцяло, чрез присъждане и на законната лихва върху обезщетението, а така също и направените разноски пред двете съдебни инстанции, за които е представен списък на разноските. Ответникът в касационното производство Националната агенция по приходте (НАП) оспорва касационната жалба по съображения в писмен отговор, представен на 07.10.2020 г. Иска отхвърляне на касационната жалба, поради липсата на касационните оплаквания и оставяне в сила на обжалваното решение. Претендира се разноски за юрисконсултско възнаграждение. Върховната административна прокуратура, чрез участващия по делото прокурор, изразява становище за допустимост, но неоснователност на касационната жалба. Според прокурора не са налице предпоставките на чл. 1 ЗОДОВ в случая, както правилно бил приел и първоинстанционният съд. Върховният административен съд в настоящия съдебен състав преценява касационната жалба като допустима. Тя е подадена от страна по делото, в срока по чл. 211, ал. 1 АПК, за която подлежащият на обжалване съдебен акт е неблагоприятен. По основателността на касационната жалба, Върховният административен съд приема следното: Административният съд София-град (АССГ или първоинстанционният съд ) е приел, че е сезиран с иск за заплащане на обезщетение за причинени неимуществени вреди, изразяващи се в притеснения, страх и опасения от злоупотреба с лични данни, причинени от бездействието на длъжностни лица в НАП, в качеството й на администратор на лични данни, с което бездействие е допуснато нарушение на чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на личните данни), наричан за краткост по-долу Регламента и чл. 45, ал. 1, т. 6, чл. 59, ал. 1, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 от Закона за защита на личните данни (ЗЗЛД), като не е обработил личните данни по начин, който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки и не са изпълнени задълженията за извършване на оценка на въздействието на предвидените операции по обработване на лични данни върху тяхната защита. Съдът е квалифицирал иска като такъв с правно основание чл. 203 АПК вр. с чл. 1 ЗОДОВ. Първоинстанционният съд е преценил иска като допустим, приемайки, че исковата молба е подадена от легитимирано лице срещу процесуално легитимиран ответник, за защита по чл. 257 АПК, която е безсрочна.Съдът е преценил исковата молба като неоснователна. Първоинстанционният съд е приел, че, от фактическа страна е установен неоторизиран достъп чрез хакерска атака до обработваните от НАП бази данни с лични данни, за който факт съдът е кредитирал информацията, разпространена чрез медиите на 15.07.2019 г. Съдът е посочил, че по случая е образувано и досъдебно производство, което към момента на постановяване на обжалваното решение, не е приключило. Прието е от съда, че след оповестяване и узнаване на неоторизирания достъп, НАП незабавно била уведомила за случая с писмо, Комисията за защита на личните данни (КЗЛД). Уведомена била, според съда, и Софийската градска прокуратура, както и специализираните звена при Главна дирекция Борба с организираната престъпност МВР и Държавна агенция Национална сигурност, както и били предприети мерки за уведомяване на обществеността и мерки за преустановяване на нерегламентирания достъп. От справка, представена от ответника, съдът е приел, че за идентификатор [ЕГН] (номера на идентификатора съвпада с ЕГН на ищеца, така както е посочен в исковата молба) разпространените лични данни включват ЕГН, имена, както и данни от справка за изплатени доходи на физически лица ( чл. 73 от Закона за данъците върху доходите на физическите лица) за 2017 г. Съдът е приел, че ищецът въпреки, че е узнал за неправомерното разкриване на личните му данни, не е направил нищо, за да установи конкретиката на тези данни. Във връзка с така установената фактическа обстановка, съдът е формирал следните изводи: член 257 АПК дава възможност за защита срещу бездействие на административен орган да изпълни конкретно фактическо действие, разпоредено от нормативна разпоредба. В обхвата на доказване влиза установяването на конкретно деяние, представляващо неправомерно бездействие на администрацията на НАП, което да е довело до изтичане на лични данни от базата данни, чийто администратор е НАП. Твърдените от ищеца подходящи и ефективни организационни и технически мерки трябвало, според съда, да бъдат установени, чрез изследване на наличието на задължения за администрацията, които са останали неизпълнени или лошо изпълнени. Според съда, сочените от ищеца разпоредби от ЗЗЛД и Общия регламент относно защитата на личните данни, не регламентират конкретни задължения, действия на НАП, неизпълнението на които съставлява бездействие по смисъла на чл. 257 АПК. В случая, липсвала презумпция за противоправно поведение на НАП, което да е довело или да е съпричинило за деянието хакерска атака, чрез която е извършен неоторизиран достъп до базата данни на НАП. Съдът е приел, че въпреки дадените указания на ищеца, последният не е доказал наличието на незаконосъобразно бездействие на ответника. Съдът не се е съгласил с ищеца, че самият неоторизиран достъп води до извод за наличието на пропуски от страна на администратора на лични данни. Приел е, че НАП е предприела всички необходими мерки, за да минимизира рисковете от поддържането на електронните услуги, като за този свой извод, съдът се е позовал на приложени от ответника, издадени и приети от длъжностните му лица, документи във връзка с това. Съдът е стигнал до решаващия извод, че не е налице първата предпоставка за възникване на отговорността по чл. 1 ЗОДОВ. Съдът е преценил като недоказани и останалите предпоставки от фактическия състав на чл. 1 ЗОДОВ, а именно вреда и причинна връзка между нея и твърдяното неправомерно бездействие. Съдът е посочил, че, за да се преценят като вреда, преживеният стрес и безпокойство трябвало да променят качеството на живот на ищеца, да са довели до промяна в поведението му, каквато, в конкретния случай, не се установявало. За този свой извод, съдът се е позовал на бездействието на ищеца да установи, какви конкретно данни са изтекли за него. Липсата на активно поведение в тази насока от страна на ищеца е мотивирало съда да приеме недоказанастта на твърдените вреди. Според съда, за да се установи реално притеснение, най-малкото ищецът е следвало да представи по делото доказателства за неговите имоти или налични банкови сметки, за които се страхува да не станат обект на престъпно отчуждаване или злоупотреба. Съдът приел, че не е налице реален страх и притеснение от злоупотребата с нещо, за което не са представени доказателства, че реално съществува. По изложените съображения, АССГ е отхвърлил иска, предявен от И. Бонев като неоснователен. Така постановеното решение е неправилно, като постановено при съществени процесуални нарушения, и е необосновано. Неправилна е правната квалификация на иска, направена от съда. Както се посочи по-горе, първоинстанционният съд е квалифицирал иска като такъв с пр. осн. чл.1 ЗОДОВ. Макар, предявеният иск да следв да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правна квалификация на иска е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016г. (GDPR) ( наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. Неправилната квалификация на иска е довела до неправилно прилагане на правилата за разпределение на доказателствената тежест между страните по делото. С определение 1785/05.03.2020г., съдът е указал на ищеца необходимостта от доказването на твърдяното от него бездействие на ответника. Това указание е неправилно. В исковата молба ясно се сочат задълженията по регламента, които ответникът не е изпълнил. Твърденията на ищеца са, че ответникът не е приложил подходящи технически и организационни мерки, за да гарантира целостта и поверителността на данните на лицата, че съществуват недостатъци в защитата на информационната сигурност на НАП, че от 2008г. не е правено осигуряване на сървъра и осигурителните системи на НАП, че липсва резервен сървър, че сървъра на НАП е бил уязвим за външни влизания, че избраният от НАП втори идентификатор не осигурява по-сериозна защита на личните данни. В своя отговор на исковата молба, НАП възразява, че като администратор на лични данни, е предприела всички необходими технически и организационни мерки за защита при обработването на личните данни. Във връзка с това свое възражение, НАП е следвало да докаже фактите, на които то се основа, съгласно чл.154, ал.1 ГПК, като представените писмени доказателства - Политика по информационна сигурност на НАП, версия 3.0 от 2016 година, Методика за оценка на риска, версия 1.1 от 2015 година, Заповед З-ЦУ-1436/15.10.2018г. на изп.директор на НАП, Политика по защита на личните данни в Националната агенция за приходите, Указания за обозночаване и работа с информация, не са били достатъчни. Необходимо е било да се установи, че предвидените мерки в посочените документи са изпълнени на практика и, че те са достатъчни за осигуряването на пълната и ефекасна защита на личните данни. Съдът е следвало да даде подобни указания на ответника, което не е направил. В тази връзка следва да се посочи също така, че първоинстанционнитя съд неправилно приема, че се твърди хипотезата на чл.257 АПК, откъдето прави извода, че доказателствената тежест е за ищеца. Не всяко неизпълнение на задължение за фиктическо действие е бездействие по смисъля на чл.257 АПК. Предмет на осъдителния иск по чл.256 и чл.257 АПК е правото на лице или организация на конкретни фактически действия от административен орган, за които органът е задължен пряко от закона ( определение 11950 от 10.11.2008г. на ВАС по адм.д. 13502/2008г.). В конкретния случай от обстоятелствената част на исковата молба, не следва, че твърденията са за бездействие по смисъла на чл.257 АПК. Твърди се бездействие на длъжностни лица на ответника да изпълнят свои преки задължения по служба, произтичащи от Регламента, което неизпълнение на служебни задължения е довело до нарушаване на правото на защита на личните днни на ищеца. Предпоставките по чл. 82, параграф 1 от Общия регламент са в кумулативност и са : наличие на материална или нематериална вреда; нарушение на Регламент (ЕС) 2016/679; причинна връзка между претърпяната вреда и нарушението на Регламента. Както се посочи по-горе, както и предвид императивната разпоредба на чл.5, параграф 2 от Регламента, НАП в качеството й на администратор на лични данни носи доказателствената тежест, че е спазила принципите, свързвани с обработването на личните данни, в конкретния случай на ищеца, в това число, че е гарантирала подходящо ниво на сигурност при обработката на тези данни. Съдът е следвало да укаже на ответника необходимостта от доказването на този факт, вкл. и да укаже необходимостта от събиране по делото на съдебно-техническа експертиза, която да даде заключение по този въпрос, тъй като съдът не разполага със специални знания за това. Безспорно е между страните, че до информационната система на НАП е осъществен неоторизиран достъп. От твърденията на ищеца следа, че този неоторизиран достъп, не би бил факт, ако ответникът е предприел действията, за които се твърди, че е бездействал. Обратно, НАП твръди, че е предприел и е осъществил всичко необходимо за защита на личните данни на лицата при тяхната обработка. След като съдът не разполага със специални знания, за да прецени, какво е направено, дали направеното е достатъчно, могла ли е да бъде избегната хакерската атака и ако "да", какво още е следвало да се направи, съдът е следвало при условията на чл. 171, ал.2 АПК служебно да допусне изслушването на съдебно-техническа експретиза по този въпрос, за която да определи компетентно/компетнтни вещо/вещи лица. Като не е направил това, съдът е пропуснал да изясни съществен за спора въпрос. Не може да се сподели извода на съда за недоказаност на претърпяната от ищеца вреда, тъй като той не бил доказал активно поведение за установяване на съдържанието на разкритите за него лични данни, както и не бил доказал, че притежава имущество, за което да се притеснява, че може да стане обект на злоупотреби. Този извод на съда освен, че е необоснован е и неправилен. Още от уточнителната молба на ищеца от 6.11.2019г. ( лист 24 от делото на първоинстанционния съд) става ясно, че ищецът е знаел, какви точно данни са били разкрити за него. В тази молба е посочено "Чувства се незащитен от държавата - на показ са изложенинеговите имена, ЕГН, документи за самоличност, телефонни номера, информация за доходите му и адреса, на който живее.". Твърденията на ищеца са, че неговите притеснения са във връзка с това, да не се злоупотреби със самоличността му, като възможността за отчуждаване на негово имущество е само фрагмент от общото му притеснение, поради което липсата на доказателства, че притежава такова, не може да служи като аргумент, че ищецът не е доказал твърдените от него притеснения. Допуснатите от съда съдопроизводствени нарушения са съществени, тъй като са останали неизяснени факти и обстоятелства от значение за спора, чието изясняване може да повлияе на крайния резултат.