Решение № 1765 от 20.2.2025 г. на ВАС по адм. д. № 9834/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП), против решение 3018/08.05.2024 г., постановено по адм. д. 9359/2021 г. по описа на Административен съд София-град (АССГ), в частта с която НАП е осъдена да заплати на Б. Г. С. сумата от 500 лв., представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата и в частта с присъдените разноски. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила, при непълнота на доказателствата и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Иска решението да бъде отменено. Подробни съображения в подкрепа на доводите излага в касационната жалба. Претендира разноски за юрисконсултско възнаграждение. Ответникът Б. Г. С. оспорва касационната жалба по съображения в писмен отговор. Претендира разноски по представен списък. По делото е подадена и частна жалба от Национална агенция за приходите, срещу определение 9410/20.06.2024 г. по описа на АССГ, постановено по адм. дело 9359/2021 г., с което е отхвърлена молбата на НАП за изменение на решение 3018/08.05.2024 г. в частта за разноските. Частният жалбоподател иска отмяна на обжалваното определение и намаляване размера на присъденото адвокатско възнаграждение, съответно увеличаване на присъденото юрисконсултско възнаграждение. Ответникът по частната жалба - Б. Г. С., чрез процесуален представител оспорва същата и иска съдът да я остави без уважение. Представителят на Върховната касационна прокуратура заявява становище за неоснователност на касационната и частна жалба. Върховният административен съд, Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е основателна по следните съображения: Първоинстанционното производство е образувано по иск с правно основание чл. 82, § 1 вр. § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/ Регламент(ЕС) 2016/679/ ОРЗД), разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Б. Г. С. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили вследствие на незаконосъобразно бездействие от страна на НАП да изпълни задължението си да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 4770/02.09.2020 г. по адм. дело 11319/2019 г. на АССГ, с решение 9417/15.09.2021 г. по адм. дело 11283/2020 г. на Върховния административен съд, Трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 от Регламента. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, дал е задължителни указания за конкретно разпределение на доказателствената тежест между страните, посочил е дело С-340/2021 г. пред Съда на Европейския съюз, образувано по преюдициално запитване от ВАС по аналогичен спор. При повторното разглеждане на спора от АССГ производството по делото е спряно до постановяване на Решение от Съда на Европейския съюз по дело С-340/2021, образувано по отправено преюдициално запитване от Върховния административен съд по адм. д. 1037/2021 година. След постановяване на решението от 14.12.2023 г. на трети състав на СЕС производството по административното дело пред АССГ е възобновено. За да постанови обжалваното решение АССГ е приел, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че Б. С. е доказал настъпването на неимуществени вреди, изразяващи се в претърпян страх и притеснения да не се извърши злоупотреба с бизнеса и имуществото му. Поради това, АССГ приема за доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на администратора. Решението е неправилно. Правното основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно обаче АССГ е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от ОРЗД. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи (Решение от 14.12.2023 г. по С-340/21 на СЕС). Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не е доказал, че по никакъв начин не е отговорен за събитието, причинило вредата. Неправилно първоинстанционният съд е приел, че са доказани вторият и третият елемент от фактическия състав на отговорността по чл. 82 от Регламента. Връщането на делото за ново разглеждане от друг състав на първоинстанционния съд е в резултат на съществено процесуално нарушение при разглеждане и решаване на спора на първа инстанция, поради което процесуалните действия, извършвани пред съда при първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. АССГ не се е произнесъл с акт, съгласно дадените указания на ВАС, като по този начин е допуснал съществено нарушение на съдопроизводствените правила. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Ищецът не е ангажирал нито писмени, нито гласни доказателства. Като е съобразил свидетелските показания, събрани при първоначалното разглеждане на спора, АССГ е допуснал процесуално нарушение и фактическите установявания въз основа на тях са необосновани. За доказване разкриването на лични данни С. е представил снимка на електронно съобщение от НАП със следното съдържание: НАП: по заявка номер 8998 ИМА неправомерно разкрити лични данни. В съдържанието на представеното съобщение липсват идентификационни данни, отнасящи се към ищеца. Не са представени доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени. От допустимите доказателства не се установяват факти, които да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. Трите елемента са кумулативно дадени в чл. 82 от ОРЗД, липсата на доказаност на който и да е от тях има за правна последица неоснователност на иска. По изложените съображения решението в обжалваната част като неправилно следва да се отмени и се постанови ново, с което предявеният от Б. Г. С. иск като недоказан по основание и размер се отхвърли. С оглед окончателния изход на спора се оказва безпредметна частната жалба, подадена от НАП против определение 9410/20.06.2024 г., по адм. д. 9359/2021 г. на АССГ, постановено по реда на чл. 248 от ГПК, но за пълнота на изложението следва да се посочи, че в съответствие със задължителното тълкуване на закона, направено в Тълкувателно решение 6/20213 г. на Върховния касационен съд, представянето на списък по чл. 80 от ГПК е процесуална предпоставка за упражняване на правото по чл. 248 от ГПК за изменение на решението в частта от разноските. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да бъде определен в общ размер на размер на 200 лв. (по 100 лв. за юрисконсултско възнаграждение за всяка една от съдебните инстанции). По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение