Решение № 5991 от 18.05.2021 г. на ВАС по адм. д. № 1973/2021 г.

Решение № 5991 от 18.05.2021 г. на ВАС по адм. д. № 1973/2021 г., V о., докладчик съдията Тинка Косева Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от П. Н., чрез пълномощник адв. С. Ю. срещу решение № 7487 от 22.12.2020 г., постановено по административно дело № 11186/2019 г. от Административен съд С.-град, с което е отхвърлен предявеният от нея иск за присъждане на обезщетение в размер на 1000 лв. за претърпени неимуществени вреди, вследствие незаконосъобразно бездействие на Националната агенция за приходите, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата. Твърди се, че решението е неправилно, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - касационни основания по чл. 209, т. 3 АПК. По подробно развити доводи в касационната жалба се иска отмяната му и постановяване на ново по съществото на спора, с което предявения от касаторката иск бъде уважен. Претендира присъждане на съдебно - деловодни разноски, съгласно приложен списък по чл. 80 ГПК. Ответникът по касационната жалба – Национална агенция за приходите (НАП), чрез процесуален представител в представен писмен отговор, оспорва същата и моли съда да постанови решение, с което да я отхвърли като неоснователна. Претендира присъждане на юрисконсултско възнаграждение. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, намира че подадена в срока по чл. 211, ал. 1 АПК и от надлежна страна касационна жалба е процесуално допустима. Разгледана по същество, същата е частично основателна по следните съображения: Предмет на разглеждане пред АССГ е предявен иск с правно основание чл. 82, ал. 1 от Регламент /ЕС/2016/679 на Европейския парламент и на Съвета, разгледан по реда на чл. 203 от АПК във вр. чл. 39, ал. 2 от Закона за защита на личните данни и чл. 1, ал. 1 от Закона за отговорността на държавата за вреди, като се претендира обезщетение за неимуществени вреди в размер на 1000 лв., настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищцата като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните данни на ищцата. За да се произнесе по спора, АССГ е приел за доказано твърдяното от ищцата незаконосъобразно бездействие от страна на ответника - НАП по предприемане на необходимите и ефективни действия, произтичащи от разпоредбата на чл. 59, ал. 1 от ЗЗЛД и чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., относно защитата на физическите лица във връзка с обработването на личните данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО. Цитираните разпоредби изискват от администратора на лични данни, какъвто е НАП по смисъла на чл. 4, т. 7 от ОРЗД, да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на личните данни се извършва в съответствие с разпоредбите на ОРЗД, като аналогични разпоредби се съдържат и в Закона за защита на личните данни. Съдът е приел за общоизвестен фактът за оповестена на 15.07.2019 г. от страна на медиите "хакерска атака", при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани, поради което според съдът е налице противоправно деяние. Според АССГ именно факта на изтеклата информация от сървърите на НАП, вследствие неоторизиран достъп, безспорно сочи на противоправно бездействие на ответника да изпълни произтичащи от Регламента и закона задължения да осигури достатъчна надеждност и сигурност на информационната си система, за да защити физическите лица във връзка с обработването на личните им данни по см. на § 1, т. 4 от ДР на ЗЗЛД, вр. с чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т. ч. правото им на защита на личните данни. Според съдът, фактът че е извършена "хакерска атака", с която е пробита информационната система на НАП, безспорно доказва, че не са предприети подходящи технически и организационни мерки за защита на обработването на личните данни на ищцата, което е достатъчно да бъде направен извод за незаконосъобразно бездействие на НАП. Предвид горното, съдът е счел, че е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите ефективни действия, произтичащи от чл. 59, ал. 1 ЗЗЛД и чл. 24 и чл. 32 от ОРЗД /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. задължения. Недоказани според съда обаче са останали твърденията на ищцата за претърпени неимуществени вреди, изразяващи се в притеснение и стрес от изтеклите данни, станали достъпни вследствие на т. нар. "хакерска атака" и причинно - следствената връзка между тях. От показанията на разпитания по делото свидетел и другите доказателства по делото, съдът е приел за недоказано реалното настъпване на конкретни неимуществени вреди. Изложени са съображения за недоказаност на факта, как установения неправомерен достъп до базата данни на НАП и публичното им оповестяване се е отразил върху качеството на живот на ищцата, както и в поведението й. Според съдът, за да се установи реално притеснение следва да са представени доказателства за наличните банкови сметки на ищцата, за които се страхува да не станат обект на престъпно посегателство, което в случая не е сторено. На последно място е прието от съда, че всички твърдени в исковата молба емоционални състояния, освен неподкрепени с доказателства по делото, противоречат на активното поведение на ищцата, която като е узнала за неправомерното разкриване на личните й данни, не е положила усилия, за да установи какви конкретно лични данни са разкрити. Като е приел за недоказани настъпили в патримониума на ищцата неимуществени вреди и причинна връзка между незаконосъобразното бездействие на ответника и твърдените вреди, съдът е отхвърли предявения иск като неоснователен и недоказан. Обжалваното решение е валидно и допустимо – постановено е от компетентен съд след предявен иск по реда на чл. 203, ал. 2 във вр. с ал. 1 АПК от лице, имащо право на защита по чл. 79, §. 1 от Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламента), като съгласно § 2 на цитирания текст производствата се образуват пред съдилищата в държавата – членка, в която администраторът или обработващият лични данни има място на установяване. В тази насока е и разпоредбата на чл. 39 ЗЗЛД, предвиждаща, че при нарушаване на правата му по Регламента и по този закон, субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс, като в това производство субектът на данни (какъвто е ищеца) може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни. В решението си първоинстанционният съд е изложил подробно установената с доказателства фактическа обстановка, но е формирал погрешни правни изводи при неправилно приложение на материалния закон. От доказателствата по делото безспорно е установено, че правата на субекта на лични данни – ищцата по делото са били нарушени при обработката им от администратора НАП, който при неосигуряване на технически мерки, гарантиращи защитата на личните й данни е допуснал широкото им огласяване, при което Н. е изпитала притеснения свързани с евентуалното им неправомерно използване – възможни злоупотреби от финансов характер. Изложеното обосновава извод за настъпило непозволено от ЗЗЛД и Регламента увреждане на ищцата, в качеството й на субект на лични данни от администратора на същите - неизпълнение на задълженията му посочени по-горе по чл. 24 от Регламента и чл. 59, ал. 1 ЗЗЛД, да предприеме подходящи технически мерки за защитата им, съобразени с отчитане естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, а още по-малко предвидените допълнителни такива в чл. 32 от Регламента, в случая настъпилите в правната сфера на ищеца неимуществени вреди произтичат от бездействието на администратора в тази насока. Като администратор на лични данни по смисъла на чл. 4, § 7 от Регламента при обработването на тези данни НАП е следвало да спазва принципите за законосъобразност и добросъвестност по чл. 5, § 1, б. "а" и б. "е" – същите да бъдат обработвани по начин, гарантиращ подходящо ниво на сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като прилага подходящи технически и организационни мерки. В случая безспорно установения факт на изтекла информация от сървърите на НАП на 15.07.2019 г. в следствие на неоторизиран достъп безспорно обуславя извод за наличие на бездействие на НАП да осигури надеждност и сигурност на личните данни, при което в случая е осъществено нарушение на сигурността им по смисъла на чл. 4, § 12 от Регламента. Обстоятелството, че е извършена хакерска атака – осъществен неправомерен достъп до информационната система на НАП обуславя еднозначен извод, че не са предприети необходимите технически мерки за защитата на личните данни на ищцата, тъй като ответникът в качеството му на администратор на лични данни има задължението периодично да преценява техническата надеждност и да осигури високо ниво на сигурност, а неизпълнението на това задължение води до извод, че противоправното му бездействие е довело до увреждане на лицата, чийто лични данни са обработвани от него. Ето защо правилно в обжалваното решение е прието, че в случая е налице твърдяното от ищцата бездействие от страна на администратора на лични данни по отношение на осигуряване на подходящи и адекватни технически мерки за защитата на обработваните от него лични данни, неправилно искът е приет за неоснователен, предвид нормативно установеното правило, че всеки и длъжен да поправи вредите, които е причинил. Настоящият състав намира, че в случая предявеният иск е такъв по чл. 82, § 1 от Регламента, който предвижда, че всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди и с оглед на установеното по-горе е основателен. Неимуществените вреди са неизмерими с пари и затова следващото се за тях обезщетение, се определят на принципа на справедливостта. Неоснователен е направеният от АССГ извод за недоказаност на твърдяните от ищцата неимуществени вреди, описани като страх, притеснение, заплаха от физически посегателства и изнудвания. Свидетелските показания сочат на реално претърпени болки и страдания, свързани с притеснения и реален страх от теглене на кредит от нейно име и заплаха от увреждане на имуществото й. Неправилна е преценката на АССГ за недоказаност на претърпени от ищцата вреди и реално притеснение, поради това, че не е представила по делото доказателства за налични банкови сметки, за които се страхува да не станат обект на престъпно посегателство. В случая е накърнено основно право на ищцата, като физическо лице при обработване на личните й данни от ответника като администратор - неприложени подходящи технически мерки за осигуряване ниво на сигурност, съобразени с риска, което е направило възможно пробива в информационните масиви на НАП, ищцата е изпитала неудобства, чувствала се е притеснена и несигурна. Накърнени са легитимните и очаквания спрямо държавата за сигурност в личната и имуществената й сфера, предвид общодостъпната информация за възможни злоупотреби с личните й данни в момента на разкриването им и за в бъдеще. По делото е разпитана свидетелката Г. Я., която е установила, че когато ищцата е разбрала за изтичането на личните й данни през 2019 г., тя се е притеснила, защото имала изтеглен кредит, който изплаща, променила се и поради факта, че имала проблеми с мъжа, с който е живяла, страхувала се от тормоз и той да не злоупотреби. Съдът неправилно е приел, че при установяване на тeзи вреди, следва да се изхожда само от формалните, външни доказателства и да се изисква формално пълно доказване на причинените неимуществени вреди, изразяващи се в притеснението от всевъзможни бъдещи евентуални злоупотреби с личните данни на ищцата, означава да се отрече необходимостта от защитата на обществените отношения, свързани с обработването на лични данни, дадена с Общия регламент и ЗЗЛД. Необосновано и в противоречие с трайната съдебна практика в областта на непозволеното увреждане, АССГ приема, че изпитването на притеснения, тревога и безпокойство не представляват неимуществени вреди, които подлежат на обезщетение. Не е възможно да бъде споделено становището, че изпитването само на неприятни емоции от описания вид не е достатъчно, за да бъдат определени като неимуществени вреди, ако не са свързани с реален страх от реална заплаха от увреждане на имущество. Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз (Хартата/ХОПЕС) и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно — с правото на защита на личните им данни. В този смисъл всяко нарушение спрямо основно право трябва да се разглежда като особено съществено. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо (личните данни) е достатъчно, за да се ангажира отговорност на лицето, което има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основни права. Деянието на лицето, проникнало в информационната система на НАП, не освобождава ответника от отговорност за вреди, доколкото както бе посочено по - горе не е ангажирал доказателства, че е взел изискуемите от ОРЗД технически мерки, които да гарантират сигурността на съдържащите се в информационната му система лични данни, поради което не е налице и хипотезата на чл. 82, пар. 3 ОРЗД, в която администраторът на личните данни може да се освободи от отговорност за вреди. Предвид изложеното решението като неправилно - необосновано и материално правно незаконосъобразно в частта за отхвърляне на иска за сумата 300 лева следва да бъде отменено и вместо него да се постанови друго, с което се осъжда НАП да заплати обезщетение за претърпените от ищцата вреди, чийто размер следва да бъде определен в съответствие с чл. 52 ЗЗД на 300 ( триста) лева, ведно със законната лихва от датата на завеждане на исковата молба - 16.09.2019 г., а обжалваното решение в останалата част да се остави в сила. С оглед изхода на делото на касатора следва да се присъдят направените разноски в размер на 4, 50 лева, представляващи съответната част на заплатената от него държавна такса общо в размер на 15 лв. – 10 лв. за първа инстанция и 5 лева за касационната инстанция, а на адвокат С. Ю., оказала безплатна правна помощ – 180 лв. адвокатско възнаграждение за двете съдебни инстанции, предвид съотношението уважена - отхвърлена част от иска и на основание чл. 38, ал. 2 във връзка с ал. 1, т. 3 от Закона за адвокатурата вр. чл. 8, ал. 1, т. 1 от Наредба № 1 от 09.07.2004 за минималните размери на адвокатските възнаграждения. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение