Решение № 5326 от 21.5.2025 г. на ВАС по адм. д. № 2379/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Национална агенция за приходите (НАП) против решение 1185 от 13.01.2025 г., постановено по адм. д. 11261/2019 г. по описа на Административен съд София-град (АССГ), в частта, с която НАП е осъдена да заплати на В. Д. Г. сумата от 500 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на нарушение на Регламент (ЕС) 2016/679, ведно с лихва за забава в размер на 8,89 лв. за периода от 15.07.2019 г. до предявяване на исковата молба и законна лихва от предявяване на иска до окончателно изплащане на задължението. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 АПК. Иска решението да бъде отменено и да се постави друго по същество на спора, с което да се отхвърли исковата молба. Подробни съображения излага в касационната жалба и в открито заседание. Претендира разноски по представен списък. Ответникът В. Д. Г. оспорва касационната жалба по съображения, изложени в писмен отговор. Претендира разноски по представен списък. Представителят на Върховната касационна прокуратура заявява становище за неоснователност на касационната жалба. Върховният административен съд, Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима, но неоснователна по следните съображения: Първоинстанционното производство е образувано по иск с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/ Регламент(ЕС) 2016/679/ ОРЗД) във вр. чл. 39 от Закона защита на личните данни (ЗЗЛД), разгледан по реда на чл. 203 и сл. от АПК във вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Ищцата В. Г. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, изразяващо се в неизпълнение в достатъчна степен на задълженията на НАП по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 да защити по сигурен начин данните на ищцата като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до неразрешено разкриване или достъп до личните ѝ данни. При разглеждане на спора от АССГ производството по делото е спряно до постановяване на Решение от СЕС по дело С-340/2021, образувано по отправено преюдициално запитване от Върховния административен съд по адм. д. 1037/2021 г. След постановяване на решението от 14.12.2023 г. на трети състав на СЕС производството по административното дело пред АССГ е възобновено, а постановеното решението е съобразено с дадените задължителни тълкувания. За да постанови атакуваното пред настоящата инстанция решение, АССГ е приел от правна страна, че предявеният осъдителен иск е с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679, във вр. с чл. 203 и сл. АПК, а НАП в качеството на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Независимо от приемането вътрешни правила и политики НАП не е осигурила достатъчна надеждност на информационната си система. Съобразявайки тълкуването на нормата на чл. 82, § 3 от ОРЗД, съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 Регламент (ЕС) 2016/679 задължения. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищцата от това незаконосъобразно бездействие и причинна връзка между тях, АССГ е приел, че В. Г. доказала претърпените от нея негативни преживявания с оглед представените доказателства, като е приел, че по отношение на ищцата има изтичане на лични данни в резултат на неоторизирания достъп. По тези съображения съдът е осъдил НАП да плати на ищцата В. Г. сумата от 500 лв., представляващи обезщетение за неимуществени вреди, ведно с лихва за забава в размер на 8,89 лв. за периода от 15.07.2019 г. до предявяване на исковата молба и законна лихва от предявяване на иска до окончателно изплащане на задължението. Така постановеното съдебно решение е валидно, допустимо и правилно. Правилно и в съответствие с установената национална съдебна практика и в синхрон с практиката на Съда на Европейския съюз (СЕС) административният съд е определил правната квалификация на иска, с който е сезиран и го приел за разглеждане като такъв с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679. При правилно определен предмет на спора АССГ е разпределил правилно доказателствената тежест в процеса като е дал съответните указания и е съобразил правните последици от установените от събраните доказателства факти. Разпоредбата на чл. 24, § 1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с Регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, а на основание чл. 32 от ОРЗД тези мерки трябва да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Националната агенция за приходите е администратор на лични данни по смисъла на чл. 4, т. 7 от Регламента и в негова тежест на доказване е обстоятелството, че предприеманите организационни и техническите й мерки в дейността й по обработката на лични данни са подходящи с оглед тяхното естество, обхват, контекст и цели на обработването, както и съществуващите рискове за правата на физическите лица, за които те се отнасят. При условията на пълно насрещно доказване НАП не е установила тези факти, поради което обосновано АССГ е приел за доказано твърдението на ищцата за бездействие от страна на НАП. Според решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, Национална агенция за приходите, ECLI:EU:C:2023:986, чл. 82, § 3 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. От тази гледна точка образуваното наказателно производство срещу третите лица, които се разследват като отговорни за нерагламентирания достъп до личните данни на ищеца и други физически лица, не е обстоятелство, което доказва, че НАП по никакъв начин не е отговорен за допуснатия неоторизирания достъп до обработваните от НАП лични данни на В. Г.. Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищцата, които според цитираното решение на СЕС могат да бъдат и само опасения за потенциална злоупотреба с личните ѝ данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Общия регламент относно защитата на данните. Настоящият съдебен състав намира за справедлив определения размер на дължимото обезщетение, който е съобразен с характера и тежестта на претърпените вреди, тяхната продължителност и неблагоприятно отражение върху личната сфера на В. Г., поради което за нея е възникнало право на обезщетение в обичайния размер за подобни случаи, определен съобразно възрастта на ищцата, жизнения стандарт в страната и размерът на минималната работна заплата към момента на узнаване на неправомерния достъп. Налага се извод, че при правилно установени факти по делото съдът е достигнал до правилен извод за частична основателност на предявения иск за обезщетение за причинени неимуществени вреди, поради което съдебното решение в обжалваната му част трябва да бъде оставено в сила при липса на наведените касационни основания. По водене на делото ответната страна пред касационната инстанция не е направила разноски, но е представлявана от адв. С. Юрукова при условията на чл. 38, ал. 1, т. 3 от Закона за адвокатурата за изготвяне на отговор на касационната жалба без процесуално представителство в открито съдебно заседание, поради което в полза на адв. Юрукова на основание чл. 38, ал. 2 от Закона за адвокатурата във връзка с чл. 9, ал. 3 от Наредбата за възнаграждения за адвокатска работа следва да бъде определено възнаграждение в размер на 300 лв. Останалите разноски, включени в списъка по чл. 80 от ГПК са направени в друго производство и по аргумент от чл. 226, ал. 3 от АПК е трябвало да бъдат съобразени от първата инстанция и да бъдат определени с обжалваното само от НАП решение. При липса на искане по чл. 248 от ГПК, респективно жалба от В. Г. е недопустимо тези разноски да бъдат присъждани за първи път от настоящата касационна инстанция. По изложените съображения, Върховният административен съд, Пето отделение,