Решение № 8367 от 4.8.2025 г. на ВАС по адм. д. № 10374/2024 г.

Производството е по чл. 208 и следв. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Националната агенция за приходите (НАП/ Агенцията), чрез пълномощника гл. юрк. Георгиева, срещу решение 2602/11.09.2024 г., постановено по адм. дело 321/2021 г. по описа на Административен съд -Русе (АС- Русе), с което НАП е осъдена да заплати на С. Р. М. сума в размер на 1,00 (един) лев, представляваща обезщетение за неимуществени вреди, ведно със законната лихва върху тази сума, считано от 14.02.2020 г. до окончателното изплащане на сумата, както и разноски по делото. В касационната жалба са развити доводи за неправилност на оспорения съдебен акт поради неправилно приложение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Иска обжалваното решение да бъде отменено и вместо него да бъде постановено друго, с което да се отхвърли предявения иск. Съображения в подкрепа на доводите са изложени в касационната жалба. Претендира разноски за двете съдебни инстанции. Ответникът- С. Р. М., чрез адв. О. Басарболиев, оспорва касационната жалба в писмен отговор и писмена защита. Счита оспореното съдебно решение за правилно и обосновано и иска да бъде потвърдено от касационната инстанция. Претендира разноски по представен списък. Представителят на Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, тричленен състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна по следните съображения: Производството пред АС - Русе е образувано по предявен от С. Р. М. иск с правно основание чл. 79, § 1 и чл. 82, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните /Регламент (ЕС) 2016/679 /ОРЗД), за присъждане на обезщетение за неимуществени вреди в размер на 1,00 (един) лев., подробно описани в исковата молба, претърпени за периода 16.07.2019 г. края на юли 2019 г., в резултат на неизпълнение в достатъчна степен от страна на НАП на задълженията по, чл.45, ал.1, т.6, чл. 59, ал.1, чл.64, чл.66 - 68 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, заедно със законната лихва върху тази сума, считано от датата на предявяване на иска (14.02.2020 г.) до окончателното й изплащане. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 24 от 20.08.2020 г. по адм. дело 115/2020 г. на АС-Русе, с решение 5900/17.05.2021 г. по адм. дело 11267/2020 г. на Върховния административен съд, Трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 вр. § 2 от Регламента. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. Производството по делото е спряно с определение от закрито заседание на 07.09.2021 г. до постановяване на решение по дело С-340/2021 г. на Съда на Европейския съюз, образувано по преюдиациално запитване, отправено от ВАС по аналогичен спор. С определение от 03.01.2024 г., съдът е възобновил производството, като с последващо определение от 22.01.2024 г. е дал указания на ищеца и ответника относно разпределението на доказателствената тежест и насрочил делото за разглеждане в открито заседание. При новото разглеждане на делото са приобщени събраните доказателства по адм. д. 115/2020 г., и са приети следните нови писмени доказателства, представени от НАП: справки за разпространените данни на ищеца (ЕГН, имена, данни от годишни данъчни декларация по чл. 41 от ЗОДФЛ, данни от декларации по обр. 1 от Наредба Н8, данни от финансови отчети, идентификационни данни за лице по чл.88/чл.87а, ал. 2 и 3 от ЗКПО, информация относно унищожени неценни документи с изтекъл срок на съхранение по чл.41 ЗОДФЛ и чл.50 от ЗДДФЛ), препис от решение 1247 по адм. дело 12334/2023 на АССГ, с което е отменено наказателното постановление с наложената имуществена санкция на НАП и препис от отменено по реда на инстанционния контрол решение 565 по адм. дело 10477/2019 на АССГ, по което предмет на спора е решение ППН-02-399/22.08.2019г. на КЗЛД и същият към момента не е приключил с влязъл в сила съдебен акт. По искане на ищеца във връзка с доказване на претърпените от него неимуществени вреди по делото е допусната и приета съдебно-психологическа експертиза. По искане на ответната страна с оглед изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, по делото е допусната и приета съдебно-техническа експертиза. Въз основа на така установените факти съдът е приел, че искът е допустим и основателен. АС-Русе е приел от правна страна, че предявеният осъдителен иск е с правно основание чл. 1, ал. 1 ЗОДОВ, във вр. с чл. 203 и сл. АПК. По отношение на първата предпоставка - незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината при или по повод изпълнение на административна дейност, първоинстанционният съд е приел, че е налице недостатъчна степен на организационни и технически мерки, взети от страна на НАП, които са допринесли за изтичането на лични данни. Приел е, че ответникът не е успял да докаже изпълнение на законовото си задължение, че приложените от него мерки за сигурност на личните данни са подходящи, което се потвърждава и от приетата по делото съдебно-техническа експертиза. С тези мотиви АС- Русе е приел наличието на първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите мерки и ефективна средства за защита, произтичащи от задълженията на администратора по чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, първоинстанционният съд е приел за доказани настъпването на неимуществени вреди, изразяващи се в петърпените от ищеца С. М. болки и страдания от категорията на обичайните реакции на страх (негативно засягане на личността от неправомерното развитие на процесните обществени отношения), установени и от експерта по съдебно-психологическата експертиза, и че същите са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на администратора. В заключение административният съд е приел, че са налице всички предпоставки за ангажиране на отговорността на НАП. При определяне на размера на обезщетението съдът е намерил, че справедливият размер на дължимото обезщетение за претърпените от ищеца неимуществени вреди възлиза на претендирания размер от 1 (един) лев. Първоинстанционният съд е присъдил и законната лихва върху тази сума, считано от 14.02.2020 г. до окончателното изплащане на сумата. С оглед изхода на спора АС- Русе е присъдил разноски в полза на ищеца за адвокатско възнаграждение за две съдебни инстанции. Решението е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Обжалваното решение е правилно, постановено в съответствие с административнопроизводствените правила и приложимите материални правни норми. Предявеният иск е с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/2021 на СЕС, VB, ECLI:EU:C:2023:986, е посочено че от текста на член 82, § 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Правилно решаващият съд е посочил предпоставките, които следва да се установят, за да се приеме искът за основателен. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, §1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. По делото не се оспорва от процесуалния представител на ответната страна, че до личните данни на ищеца е имало неправомерен достъп. Следователно ищецът е доказал твърдението си за наличието на нарушено негово право на защита на личните му данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, § 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, § 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата на чл. 82, § 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от съда, не доказват, че приложените мерки са подходящи за защита при обработване на личните данни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези по чл. 24 и чл. 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е прието, че член 82, § 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни, противно на изложените в касационната жалба доводи. Обоснован и съответен на приетите по делото доказателства е изводът на първоинстанционния съд, че са налице предпоставките за основателност на исковата претенция. Събраните по делото доказателства установяват, че ищецът е претърпял неимуществени вреди негативни емоции (унижение, срам, безпокойство) и притеснение да не бъде злоупотребено с личните му данни. В тази връзка, правилно са кредитирани показанията на допуснатия и разпитан по делото свидетел, според който след теча на данни С. М. е бил притеснен и се тревожел от бъдеща злоупотреба с личните му данни, тъй като същият бил собственик на различи фирми и се притеснявал от нерегламентирани движения, свързани с тях. Следва да се отбележи, че в случая предвид характера на събитието не е необходимо каквото и да е активно поведение на пострадалото лице. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, VB, ECLI:EU:C:2023:986, е посочено, че член 82, §1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Правилно е заключението на АС- Русе относно наличието на причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл. 82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т. е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. Правилни са изводите на съда, че неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т. е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни (съдържаща и лични данни) и проявеното бездействие, предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, води до повишаване този риск до ниво, което поддържа вероятността за настъпване на събитие от изброените в чл. 32, § 2 от Регламента. В заключение първоинстанционният съд правилно е приел, че по делото са доказани всички необходими елементи за реализиране правото на обезщетение за причинени вреди на ищеца С. Р. М.. При определяне размера на обезщетението АС Русе е приложил нормата на чл. 52 от Закона за задълженията и договорите (ЗЗД), съгласно която обезщетението за неимуществени вреди се присъжда по справедливост, като размерът му се определя с оглед характера на вредите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние на субекта. В този контекст, съдът обосновано е приел, че обезщетение в размер на 1 (един) лев е съразмерно на претърпените неимуществени вреди, отговаря на конкретните факти по делото и е в съответствие с обществените представи за справедливост. С оглед на основателността на главния иск, правилен е извода за уважаване на претендираната от ищеца лихва за забава. Предвид изложеното, решението като валидно, допустимо и правилно, постановено при липса сочените в касационната жалба основания за отмяна по чл. 209, т. 3 АПК следва да бъде оставено в сила. С оглед изхода на спора, на ответника по касация, за настоящата инстанция, следва да се присъди, на основание чл. 10, ал. 3 ЗОДОВ, адвокатско възнаграждение в размер на 800 (осемстотин) лева. По тези съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение,