Решение № 6015 от 19.05.2021 г. на ВАС по адм. д. № 2821/2021 г.

Решение № 6015 от 19.05.2021 г. на ВАС по адм. д. № 2821/2021 г., V о., докладчик председателят Анна Димитрова Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частта от решение № 15/08.01.2021 г. по адм. дело № 633/2020 г. на Административен съд - Б., с което е осъдена НАП да заплати на В. М. сумата в размер на 500 (петстотин) лева, представляваща обезщетение за неимуществени вреди, ведно със законната лихва върху тази сума, считано от влизане в сила на решението до окончателното плащане. Касаторът поддържа в касационната жалба и в съдебно заседание чрез процесуален представител, че решението в обжалваната част е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необснованост, иска отмяната му, отхвърляне на исковете за обезщетение и лихви, присъждане на юрисконсултско възнаграждение за двете съдебни инстанции. Ответникът по касационна жалба - В. М., чрез процесуален представител, в писмен отговор, иска оставяне на обжалваната част от решението в сила, присъждане на разноски за касационната инстанция. Представителят на Върховна административна прокуратура изразява становище за основателност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна, а разгледана по същество за неоснователна. За да постанови обжалваната част от решението, АССГ, е изложил мотиви, че НАП е администратор на лични данни по смисъла на чл. 4, т. 7 на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 ЕО (ОРЗД) и между страните няма спор, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали лица, между които и личните данни на ищеца, включващи ЕГН, три имена и данни, подадени от организатори на хазартни онлайн игри. От разпита на свидетеля е установено изпитано силно притеснение в период на 2 - 3 месеца за разкритите му лични данни, дали някой няма да злоупотреби със сметките му, докато той се нуждае от пари за лечение, за което е била организирана и кампания за набиране на средства. АС е разпределил тежестта на доказване, указал е на ответника, организирана в негова тежест е установяване на фактите, на които основава своите възражения и искания. Като последица от разпределение на тежестта на доказване съдът е приел за установено, че НАП е бездействала за точно изпълнение на задължението по чл. 59 от закона защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 ОРЗД, а именно да приложи подходящи технически мерки за осигуряване на нивото на сигурност на личните данни на физическите лица. Ненадлежното изпълнение, представляващо бездействие е довело до нарушение на сигурността на личните данни, довело до неразрешено разкриване и достъп до личните данни на ищеца, и е в пряка причинна връзка с емоционалните и психическите му терзания. Посочено е, че НАП не е доказал наличието на предпоставките по чл. 82, пар. 3 ОРЗД, при които може да се освободи от отговорност. Размерът на обезщетението е определен по справедливост и в съответствие с чл. 52 ЗЗД. Решението е правилно в обжалваната му част. Неоснователно е твърдението на касатора за неправилно разпределение на тежестта на доказване от АС. С. чл. 154 от ГПК всяка страна е длъжна да установи фактите, на които основава своите искания или възражения, като на основание чл. 153 и чл. 155 от ГПК на доказване подлежат спорните факти от значение за решаване на делото и връзките между тях, но не общоизвестните и служебно известните на съда факти, за които съдът е длъжен да съобщи на страните. Въз основа на тези доказателствени правила АС е дал законосъобразни указания на НАП за тежестта на доказване. В тежест на ответника по иск с правно основание чл. 82, ал. 1 ОРЗД е да бъде установено, че мерките, които са предприети от него са в съответствие със задълженията на администратор на лични данни, произтичащи от Общия регламент за защита на данните и ЗЗЛД и при неангажиране на доказателства относно предприетите технически мерки, същият законосъобразно е понесъл последиците от недоказването им. НАП не е ангажирал доказателства, от които да се установява, че предприетите от него мерки са подходящите технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, които чл. 24, § 1 от Общия регламент за защита на данните задължава всеки администратор на лични данни да въведе, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. Изрично следва да бъде посочено, че допълнително представените с касационната жалба писмени доказателства относно предприетите от НАП организационни мерки не обуславят по смисъла на чл. 219, ал. 1 от АПК наличието на касационни основания за отмяна на съдебното решение, а само съществуването на още документи, които не са представени своевременно пред първата инстанция. Какви са използваните от НАП технически мерки в изпълнение на задълженията му на администратор на лични данни и дали са подходящи, т. е. извършено ли е законосъобразно действие по изпълнение на законово задължение, тежестта на доказване е на НАП и в този смисъл ответната страна в исковото производство трябва да опровергае твърдението на ищеца, че е налице незаконосъобразно бездействие. Изрично трябва да бъде посочено, че съгласно чл. 24, § 1 от Общия регламент за защита на данните администраторът на лични данни трябва да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Следователно при условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ приема за доказано твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата. По изложените съображения са неоснователни и съображенията в касационната жалба за липса на доказателства за причината за нерегламентирания достъп до личните данни на ищеца, доколкото този факт е извън фактите, които са в тежест на доказване на ищеца. Установяването на причината за нерегламентирания достъп представлява обстоятелство, на което администраторът на лични данни има възможност да се позове, за да се освободи от имуществена отговорност спрямо физическото лице като докаже, че взетите подходящи мерки не са били в състояния да я предотвратят, или да потърси регресна отговорност спрямо лицето, което е осъществило нерегламентирания достъп. В този смисъл неустановяването на причината за нерегламентирания достъп до личните данни на ищеца не представлява неизясняване на спора от фактическа страна поради допуснато процесуално нарушение, респективно основание за отмяна на съдебното решение, а неустановяване на факт, освобождаващи от отговорност администратора на личните й данни. В съответствие със събраните по делото доказателства и логическите връзки между тях е приетото за установено от АС наличие на пряка причинна връзка между невземането на подходящи мерки от страна НАП за защита на личните данни на ищеца и изпитаните от него притеснение и безпокойство. Медийното оповестяване на изтичането на информация от базите данни на НАП, съдържаща и лични данни на физически лица, не прекъсва причинната връзка между бездействието и настъпилите неимуществени вреди, доколкото на практика представлява средството за разбиране, че е извършено непозволено увреждане. Изрично следва да бъде посочено, че освен разпространяването на тази информация в публичното пространство на 15.07.2019 г. ищецът е уведомен лично при справка с ПИК и в писмена справка за това точно кои негови лични данни са неправомерно са разпространени като част от базата данни на НАП. Обосновано и в съответствие с трайната съдебна практика в областта на непозволеното увреждане, АС приема, че изпитването на притеснения, тревога и безпокойство представляват неимуществени вреди, които подлежат на обезщетение. Не е възможно да бъде споделено становището на касатора, че изпитването само на неприятни емоции от описания вид не е достатъчно, за да бъдат определени като неимуществени вреди, ако не са свързани с реален страх от реална заплаха от увреждане на имущество или не са довели до продължително психично разстройство (дълбока депресия). Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз (Хартата/ХОПЕС) и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно — с правото на защита на личните им данни. В този смисъл всяко нарушение спрямо основно право трябва да се разглежда като особено съществено. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо (личните данни) е достатъчно, за да се ангажира отговорност на лицето, което има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основани права. Отделно от това в конкретния случай ищецът е доказал, че безпокойството му е било свързано с реална опасност от разпореждане с имуществото му чрез използване на личните му данни. Настоящият съдебен състав намира, че при правилно приложение на чл. 52 ЗЗД е определен размера на дължимото обезщетение по справедливост и същото не е завишено. По изложените съображения и на основание чл. 221, ал. 2, изречение второ от АПК, настоящият съдебен състав приема, че обжалваното решение на АССГ е валидно, допустимо и правилно като не са налице наведените в касационната жалба основания, поради което следва да бъде оставено в сила. С оглед изхода на делото няма възможност за присъждане на претендираното от касатора юрисконсултско възнаграждение, а на ответника по касация следва да се присъдят направените за настоящата инстанция разноски в размер на 300 лева заплатено адвокатско възнаграждение. Воден от горното Върховният административен съд, пето отделение