Решение № 6849 от 5.6.2024 г. на ВАС по адм. д. № 1688/2022 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Г. С. С., подадена чрез пълномощника адвокат С. Юрукова, срещу решение 78 от 06.01.2022 г., постановено по адм. дело 5331/2021 г. по описа на Административен съд София - град (АССГ), с което е отхвърлен предявеният от него иск против Националната агенция за приходите (НАП), за присъждане на обезщетение в размер на 1000 лева за претърпени неимуществени вреди вследствие незаконосъобразно бездействие на ответника, изразяващо се в неизпълнение в достатъчна степен на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (33ЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът изразява несъгласие с отказа на АССГ да кредитира показанията на свидетеля, дадени при предходното разглеждане на делото пред друг състав на съда, тъй като в производствата по АПК и Граждански процесуален кодекс (ГПК), е неприложим принципът на непосредственост, за разлика от предвиждането по чл. 18 от Наказателно-процесуалния кодекс (НПК), което обаче се прилага само в наказателния процес. По отношение наличието на неимуществени вреди се позовава на съдебна практика на Върховния касационен съд. Въз основа на изложените оплаквания иска отмяна на атакуваното съдебно решение и постановяване на друго, с което предявеният иск бъде уважен. Претендира присъждане на съдебно-деловодни разноски за двете инстанции, съгласно приложен списък по чл. 80 ГПК. Ответникът по касация - НАП, чрез юрисконсулт Д. Лукова, в съдебно заседание и представени писмени бележки, оспорва жалбата и моли съда да постанови решение, с което да я отхвърли като неоснователна и недоказана. Претендира присъждане на юрисконсултско възнаграждение. Представителят на Върховна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е неоснователна. Предмет на разглеждане пред АССГ е предявен иск с правно основание чл. 82, § 1 от ОРЗД, разгледан по реда на чл. 203 АПК, вр. чл. 39, ал. 2 ЗЗЛД, като се претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 АПК, след отмяна на първоначално постановеното решение 4010 от 20.07.2020 г. по адм. дело 11326/2019 г. на АССГ, с решение 6161 от 21.05.2021 г. на ВАС, състав на трето отделение, постановено по адм. дело 9994/2020 г. и връщане на делото за ново разглеждане от друг състав. В решението на ВАС са дадени задължителни указания за конкретно разпределение на доказателствената тежест между страните. В изпълнение на дадените указания, при настоящото разглеждане АССГ е изготвил подробен доклад по делото, с разпореждане постановено в закрито заседание на 08.06.2021 г., в който изрично е посочил, че в тежест на ищеца е да докаже настъпването на претендираните вреди, а на ответника - че не е отговорен за събитието причинило вредата. При новото разглеждане нови писмени доказателства не са представяни от страните. Ищецът не е ангажирал гласни доказателства, въпреки дадените му изрични указания. От фактическа страна съдът е приел за безспорно, че на 15.07.2019 г., е изтекла информация от масивите на НАП, съдържаща лични данни на 6 074 140 физически лица, от които 4 104 786 живи лица, български и чужди граждани и 1 989 589 починали лица. По адм. дело 11326/2019 г. е приложена извадка от получен SMS от дата 04.09.2019 г., със следното съдържание: НАП: По заявка номер 9184 ИМА неправомерно разкрити лични данни. Не е посочен телефонният номер на който е получено съобщението, но ответникът не оспорва, че по отношение Г. С. са налице неправомерно разкрити лични данни. НАП е представила и справка за ищеца, от която се установява, че изтеклата информация за него е: ЕГН, имена, данни за ГДД за доходите на ФЛ за 2009 г., данни от справка за изплатени доходи на ФЛ за 2013 г., 2014 г., 2016 г., 2017 г. и 2018 г. При първото разглеждане по отношение предприетите мерки от ответника са представени заповед ЗЦУ-586/30.04.2014 г., с която изпълнителният директор на НАП наредил да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006. Със заповед ЗЦУ-1436/15.10.2018 г. е утвърдил "Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др. Със заповед ЗЦУ-1236/21.08.2019 г. е утвърдена процедура ИС 17 "Администриране на информационна система в НАП", версия В, а със заповед ЗЦУ-482 от 01.04.2019 г. са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП. Със заповед ЗЦУ-1596/29.11.2017 г. са утвърдени "Указания за унищожаване на информация и информационни носители в НАП, ведно с приложенията към него. Представени са Вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП, утвърдени със заповед ЗЦУ-535/11.05.2016 г. Изработена Методика за анонимизиране на индивидуални данни, версия 1, към м. януари 2017 г. Утвърдена е Политика по информационна сигурност на НАП. Утвърдена е Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. В хода на извършена проверка от страна на Комисията за защита на личните данни (КЗЛД) е установено, че НАП в качеството на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. В тази връзка председателят на КЗЛД е издал наказателно постановление 004/28.08.2019 г. на НАП за нарушение на чл. 32, § 1, б. б от Регламент (ЕС) 2016/679. Това наказателно постановление е отменено с влязло в сила решение 1247/26.02.2024 г. по дело 12334/2023 г. по описа на АССГ, но отмяната не е поради липса или недоказаност на нарушението, а на основание изтекла абсолютна погасителна давност. По адм. дело 11326/2019 г. е разпитана като свидетел Л. Г., живееща на семейни начала с ищеца, която е заявила, че във връзка с изтеклите му данни той се е притеснил някой да не изтегли заем от негово име, както и да не бъдат отчуждени негови имоти. Получил SMS да отиде до съответна банка за справка, но бил информиран от банката, че това е фишинг. По електронната поща получил съобщение, че трябва да купи биткойни, което изтрил. Не знае кои конкретно негови лични данни за изтекли. За да постанови сега атакуваното решение, след преглед на приложимата правна уредба АССГ е приел от правна страна, че искът е с правно основание чл. 82, § 1 от ОРЗД, а НАП в качеството на администратор на лични данни по смисъла на § 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, § 7 ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Независимо от приемането на горе описаните документи, НАП не е осигурила достатъчна надеждност на информационната си система. Техническата уязвимост на тази система е довела до нерегламентирано разпространение на личните данни на ищеца и това е следствие от неприлагането от НАП на подходящи мерки за защита. От това съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, АССГ е приел, че Г. С. не е изпълнил дадените му изрични указания да докаже претърпените от него негативни преживявания, като е недопустимо да бъдат кредитирани свидетелските показания дадени по адм. дело 11326/2019 г., заради нарушение на принципа на непосредственост. По тези съображения, съдът е отхвърлил предявения иск. Решението е правилно. От значение за разрешаването на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., като производството по настоящото дело беше спряно до постановяването му. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Предвид дадените указания от СЕС, при правилност на определеното от АССГ правно основание на предявения иск - чл. 82 ОРЗД и разпределение на доказателствената тежест, решаващият съд е достигнал до законосъобразни правни изводи. От доказателствата по делото може да се направи категоричен извод за наличие само на първата предпоставка за основателност на иска по чл. 82 ОРЗД - нарушение на Регламент (ЕС) 2016/679, извършено от администратора на данни. Първоинстанционният съд обосновано на установените факти по делото е приел, че е налице нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни, спрямо правата на ищеца, в качеството му на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. Неотносимо е позоваването в атакуваното съдебно решение на чл. 59, ал. 1 33ЛД, тъй като тази разпоредба се намира в глава 8 ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Тази неточност не променя същността на останалите правни изводи на АССГ. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, § 3 ОРЗД, НАП не доказва в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да минимизира риска от нерегламентиран достъп на трети лица. Независимо от правилно разпределената тежест на доказване от АССГ, Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищеца са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищеца за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерагламентирания достъп до личните данни на ищеца и останалите физически лица. По изложените съображения касационният състав намира за правилен извода на АССГ, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Обосновани на ангажираните по делото доказателства са мотивите на първоинстанционния съд за неустановяване на конкретни неимуществени вреди претърпени от ищеца. Макар позоваването на принципа на непосредственост при събирането на гласни доказателства да е необосновано, след отмяната на решение 4010 от 20.07.2020 г. по адм. дело 11326/2019 г. на АССГ, с решение 6161 от 21.05.2021 г. по адм. дело 9994/2020 г. на ВАС, процесуалните действия на съда от първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените му изрични указания при новото разглеждане да докаже настъпването на претендираните вреди, ищецът не се е справил с възложената му доказателствената тежест и не е ангажирал гласни доказателства, поради което правилно АССГ е приел, че не са били установени по надлежния ред претърпени от него страх и негативни преживявания. Предвид на изложените съображения настоящият касационен състав приема, че обжалваното решение е правилно, не са налице касационни основания по чл. 209, т. 3 АПК, поради което то следва да бъде оставено в сила. При този изход на спора, при направеното нарочно искане, на основание чл. 143, ал. 3 АПК, вр. чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, в полза на НАП следва да бъде присъдена сумата 100 лева за юрисконсултско възнаграждение по производството пред настоящата инстанция. По изложените съображения и на основание чл. 221, ал. 2, АПК, Върховният административен съд, пето отделение