Решение № 9292 от 25.8.2021 г. на ВАС по адм. д. № 8823/2020 г.

Националната агенция за приходите е подала касационна жалба против решение 2814/09.06.2020 г. по адм. дело 11289/2019 г. на Административния съд град София в частта, в която е осъдена да заплати на В. Гурев, на основание чл. 1, ал. 1 ЗОДОВ, обезщетение в размер на 200 лева за неимуществени вреди, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане. Направени са оплаквания за неправилност на решението поради съществени нарушения на съдопроизводствените правила, необоснованост и нарушение на материалния закон и е поискано да бъде отменено в обжалваната част с постановяването на друго, с което предявеният иск да се отхвърли изцяло и се присъдят разноски. Ответникът В. Гурев е поискал отхвърлянето на жалбата и присъждане на разноски. Представителят на Върховна административна прокуратура е дал заключение, че решението е неправилно и следва да бъде отменено. Върховният административен съд, като провери правилността на решението с оглед направените касационни оплаквания, прие следното: Административният съд установил, че на 15.07.2019г. е осъществен нерегламентиран пробив в електронната база данни на Националната агенция за приходите, при което неправомерно е придобита голям обем информация, съдържаща лични данни на български граждани. Това събитие създало у ищеца тревоги и притеснения, че с данните му може да бъде злоупотребено. Според изложените от съда мотиви, именно техническата уязвимост на информационната система довела до нерегламентирано разкриване на личните данни на В. Гурев. Ако системата е била ефективно и надеждно защитена, не би се стигнало до засягане на личната сфера на ищеца. Съдът посочил, че макар пробивът да е осъществен в резултат на престъпно деяние, очевидно Националната агенция по приходите не е изпълнила задълженията си за защита на личните данни по ефективен начин, като не е предприела подходящите технически и организационни мерки. Тези обстоятелства сочели на незаконно бездействие от страна на ответника, в противоречие с чл.59 ЗЗЛД и чл. 24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО, което е първата от предвидените в чл.1, ал.1 ЗОДОВ предпоставки за ангажиране имуществената отговорност на държавата. В пряка и непосредствена причинна връзка с бездействието на ответника ищецът понесъл неимуществени вреди, установени със свидетелски показания, изразяващи се в сериозно безпокойоство и тревожност от публичното разкриване на личните му данни в интернет пространството. Изхождайки от характера на вредите и времето, през което са търпени, административният съд приел, че справедливият размер на обезщетението възлиза на 200 лева и го присъдил в полза на ищеца заедно със законната лихва, считано от 15.07.2019 г. Касационната инстанция намира, че при разглеждането на делото и постановяването на решението са допуснати съществени нарушения на съдопроизводствените правила, необоснованост и нарушение на материалния закон. Административният съд е дал формални указания на страните във връзка с доказателствените им задачи и е приключил разглеждането на делото в едно заседание, без да изясни съществени за правилното решаване на спора обстоятелства. Съдът е игнорирал факта, че по делото не е доказано изтичането на лични данни на ищеца. Въпреки искането на процесуалния представител на ищеца първоинстанционният съд не е задължил ответната страна да предостави нужната информация. Противно на приетото от съда, по делото не е доказано наличието на незаконно бездействие от страна на Националната агенция по приходите. В противоречие с правилата на формалната логика съдът е приел, че самият факт на изтичането на лични данни на български граждани, съхранявани от Националната агенция за приходите, е равнозначен на проявено от институцията бездействие. Игнорирано е престъпното деяние, което е безспорен фактор в причинно-следствената връзка. Съдът не е съобразил, че всяка информационна система е подложена на рискове от неоторизиран достъп, независимо от предприетите от администратора мерки. Поради това нормативно са заложени стандарти, неизпълнението на които ангажира отговорността на администратора или на обработващия лични данни. Съгласно чл.82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или от обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания. Пред касационната инстанция са представени доказателства, от които е видно, че Националната агенция за приходите е разработила и прилага Инструкция 2 от 8.05.2019 г. за мерките и средствата за защита на лични данни, обработвани от агенцията, както и вътрешни правила за мрежовата и информационната сигурност, а също и документи, назовани "Политика за защита на личните данни", "Указания за обозначаване и работа с информацията", "Указания за разработване попълване и/или зареждане с данни на образци на документи и приложения, което създава вероятност за изводи, различни от направените от административния съд. За правилното решаване на спора съдът е следвало да укаже на ищеца въвеждането на твърдения за конкретните проявни форми на неизпълнение на задълженията, имащи за цел постигането на мрежова и информационна сигурност. Общо формулираните изявления на ищеца, че били нарушени чл.59 ЗЗЛД и чл. 24 и чл.32 от Регламент (ЕС) 2016/679, не дават насока на доказването и възпрепятстват защитата на ответника. Необходимо е цялостно изясняване на фактите, което би позволило да се направи почиващ на доказателства, убедителен извод за не/съответствието на предприетите от Националната агенция за приходите мерки със стандартите за защита на личните данни по Регламент (ЕС) 2016/679 и по националния закон. Неизясняването на фактическата обстановка по делото се дължи и на липсата на конкретни указания към страните за разпределение на доказателствената тежест в съответствие с чл. 154, ал. 1 ГПК. Съобразно чл. 82, §3 от Регламент (ЕС) 2016/679 администраторът на лични данни следва да докаже при условията на пълно и главно доказване, че е приел подходящите технически и организационни мерки, за да избегне вредоносния резултат. Както беше отбелязано по-горе, нарушенията на правилата за обработването на лични данни, допуснати от ответника, не могат да бъдат обект на предположения, а следва да бъдат доказани от ищеца. С оглед констатираните при касационната проверка нарушения на съдопроизводствените правила, на формалната логика и на материалния закон, решението в обжалваната част е неправилно и следва да се отмени с връщане на делото за ново разглеждане от друг състав, при което да се обсъдят представените пред касационната инстанция писмени доказателства и се съберат нови в съответствие с доказателствените задачи на всяка от страните. Тъй като разглеждането на делото продължава, разноски на страните не се присъждат. По изложените съображения и на основание чл. 222, ал. 2, т.1 АПК Върховният административен съд