Решение № 5559 от 28.5.2025 г. на ВАС по адм. д. № 1260/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба, подадена от Национална агенция за приходите (НАП), чрез процесуален представител, срещу Решение 28101/22.12.2024 г. по адм. дело 7467/2024 г. на Административен съд - София - град (АССГ), с което е осъдена НАП, по иск с правно основание по чл. 79, пар. 1 и чл. 82, пар. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 26.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните; ОРЗД; Регламента/ да заплати на Г. Б. С., с адрес в гр. София, сума в размер на 600 (шестстотин) лева, представляваща обезщетение за неимуществени вреди за периода 15.07.2019 г. - 16.09.2019 г., настъпили от бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от ОРЗД, да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на С., ведно със законната лихва върху тази сума, считано от 16.09.2019 г. до окончателното й изплащане; НАП е осъдена да заплати 40 лева разноски на ищеца и 600 лева адвокатско възнаграждение на адв. Юрукова. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, ведно със законната лихва, като неоснователен. В тази част съдебното решение не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. Касационният жалбоподател обжалва съдебното решение като твърди, че е неправилно, постановено в нарушение на материалния закон, при съществено нарушение на съдопроизводствените правила и е необосновано - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска отмяната му и отхвърляне на исковете за обезщетение и лихви. Претендира разноски за юрисконсултско възнаграждение. Ответникът по касационната жалба Г. Б. С., в писмен отговор и писмена защита, чрез процесуални представители, оспорва същата, като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира разноски за адвокатско възнаграждение. Прокурорът от Върховната касационна прокуратура дава мотивирано становище за основателност на касационната жалба. Върховният административен съд (ВАС), пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна, а разгледана по същество за неоснователна. С Решение 7900/26.06.2024 г. по адм. дело 913/2021 г. на Върховния административен съд, Пето отделение е отменено Решение 6953/04.12.2020 г. по адм. дело 11333/2019 г. на АССГ и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. С обжалваното пред настоящата съдебна инстанция решение, постановено във второто първоинстанционно производство по делото, АССГ е осъдил НАП да заплати на Г. Б. С. от гр. София сумата от 600 лева, представляваща обезщетение за причинените му неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата по искова молба с посочен входящ номер и посочени правни и фактически основания по молбата, осъдила е НАП да заплати на Г. Б. С. 40 лева разноски, както и на адвокат Юрукова 600 лева адвокатски възнаграждения по чл. 38, ал. 2 съобразно уважената част от иска, отхвърля предявения иск в останалата му част над 600 лева до предявения размер от 1000 лева. За да постанови горния резултат, първоинстанционният съд е приел от правна страна, че искът е с правно основание чл. 82, пар. 1 Регламент (ЕС) 2016/679 от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46(ЕО) (ОРЗД;Регламент (ЕС) 2016/679, като НАП в качеството на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на С.. Съдът е приел, че Агенцията не е успяла да докаже, че по никакъв начин не е отговорна за събитието, респ. последната, в качеството ѝ на администратор на лични данни, не е изпълнила задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Административният съд е приел, че са налице и останалите две предпоставки за възникване на правото на обезщетение, а именно налице е твърдяната от С. претърпяна вреда и причинно следствената връзка между нея и неправомерното бездействие от страна на НАП. При така установеното от правна и фактическа страна съдът е приел исковата претенция за частично основателна като е определил по справедливост обезщетение на Г. С. в размер на 600 лв., ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата. Така постановеното решение е правилно като краен резултат. Предявеният иск е с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид член 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на чл. 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Разпоредбите на чл. 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, параграф 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези чл. 24 и чл. 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че чл. 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това обстоятелство е останало недоказано от ответника в първоинстанционното производството, а именно, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. В съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Правилни са изводите на първоинстанционния съд за наличие и на останалите две предпоставки, обективиращи основателността на исковата претенция причинената вреда и причинната връзка между нея и нарушението на правата по регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че чл. 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба, като тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че чл. 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1).