Решение № 5782 от 13.5.2024 г. на ВАС по адм. д. № 1455/2021 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на Националната агенция за приходите против решение 6973/ 07.12.2020 г. по адм. д. 11325/2019 г. по описа на Административен съд - София-град. Иска отмяна на решението като неправилно и отхвърляне на иска, защото са допуснати нарушения на материалния закон, съществено нарушение на съдопроизводствените правила и при необоснованост. Не е спазен принципа за разпределение на доказателствената тежест, ищецът не е установил противоправно обработване на лични данни от НАП, нито неподходящи организационни и технически мерки, а негативният резултат не презумира противоправно поведение на администратора на лични данни. Няма никакви доказателства за претърпени преки вреди, а свидетелката е заинтересована. Ищецът не е направил справка за вида на личните данни, които са изтекли, което внася съмнение за тревожността и ангажираността му към изтичането на данните му и означава липса на заинтересованост. Няма реално настъпили вреди, липсва и причинно-следствена връзка Претендира присъждане на юрисконсултско възнаграждение. Ответната страна С. Илиев, чрез адвокат С. Юрукова оспорва касационната жалба като неоснователна. Полученият СМС доказва изтичане на данни. Това, че по делото не е установено изтичането на всички лични данни, посочени в уточнителната молба не означава недоказаност на иска. Ищецът не е проявил интерес какви точно лични данни са му изтекли, за да си спести допълнителни притеснения, защото "незнанието пази". Претендира на разноски по чл. 38, ал. 2 от Закона за адвокатурата. Представителят на Върховната прокуратура намира касационната жалба за неоснователна, а решението за правилно. Върховният административен съд, пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от страна, за която съдебното решение е неблагоприятно, намира същата за допустима. Разгледана по същество е частично основателна по следните съображения: За да уважи иска на С. Илиев с правно основание чл.1, ал.1 от ЗОДОВ, чл. 39, ал. 2 от ЗЗЛД и чл. 82 от Регламент за защита на лични данни / ЕС/ 2016/679 съдът приема, че НАП като администратор на лични данни не е спазил чл. 24 и чл. 32 от Регламента и не е въвел подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с Регламента, като мерките е следвало да бъдат с ниво на сигурност, съобразено с рисковете. Развити са мотиви, че не са спазени чл. 45, ал.1, т. 6, чл. 59, ал. 1, чл. 64, чл. 66, ал.1 и ал. 2 от ЗЗЛД. Посочва, че самият факт на изтекли в публичното пространство лични данни обуславят настъпването на неимуществени вреди за субекта на данни, което се презумира. Дадена е вяра и на свидетелските показания на съпругата на ищеца, разпитана като свидетел на психическото и емоционално състояние на ищеца. Развити са съображения за наличието на причинно-следствена връзка с установено фактически бездействие на администратора. Относно размера на вредите е съобразено, че е изтекла данъчна информация за 11 години с имена и ЕГН, като по справедливост са присъдени 500 лв., а претенцията до пълния размер от 1000 лв. е отхвърлена като неоснователна. Присъдени са лихви, считано от датата на подаване на иска, като са присъдени и разноски в полза на С. 40 лв., а на адвокат С. Стоянова- 150 лв. по чл. 38, ал.2 от ЗА, съобразно уважената част на иска. Осъден е С. Илиев да заплати на НАП 50 лв., представляващи разноски по делото. Ищецът не е обжалвал решението в отхвърлителната и осъдителната част относно разноските. Решението е неправилно в частта, в която е присъдено обезщетение за претърпени неимуществени вреди над размера от 250 лв., до размера от 500 лв. Следва да се остави в сила в частта, в която НАП е осъдена да заплати обезщетение в размер на 250 лв., ведно със законната лихва, считано от момента на подаване на иска. Делото е спряно, а впоследствие възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. Следва да се вземат предвид мотивите на касационната инстанция. Правилното правно основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (виж Решение от 4 май 2023 г. по С-300/21 на СЕС). Следователно чл.1, ал.1 от ЗОДОВ не се прилага. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът на лични данни обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от Регламента. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от Регламента са подходящи (Решение от 14.12.2023 г. по С-340/21 на СЕС). Затова и предвид посоченото решение на СЕС, са неправилни правните изводи на съда, че достъпването на личните данни от трети лица е факт, който сам по себе си доказва, че техническите и организационни мерки за защита на личните данни са неподходящи и че настъпването на неимуществени вреди се презумира. В случая с определение от 18.05.2020 г. /л.97/ първоинстанционният съд правилно е разпределил тежестта на доказване, като е указал на ответника НАП да докаже в достатъчна степен изпълнение на задълженията си по чл. 24 и чл. 32 от Регламента. Указал му е да ангажира доказателства и за изпълнение на задължения по чл. 45, ал.1, т.6 , чл. 59, ал. 1, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67, чл. 68 и пар.1, т.10 от ДР на ЗЗЛД вр. с чл. 4, т.12 от Регламента. Неправилно на ответника по иска е дадено указание за представяне на доказателства за вида и обема на изтеклите лични данни, но НАП е изпълнил указанията и представил писмена справка за изтекли ЕГН, три имена и данни от годишни данъчни декларации на ищеца/ л.47/. На С. Илиев са дадени указания за представяне на доказателства за претърпените неимуществени вреди. Спорът по делото не е дали администраторът на лични данни е извършил действия или е бездействал при осъществяване защитата на личните данни, а дали избраните и приложени от него организационни и технически мерки, за които е представил писмени доказателства, са подходящи, за да препятстват неоторизиран достъп до лични данни и тяхното незаконно обработване от трети лица. Ответникът не е ангажирал доказателства, въпреки дадените му указания, с които да установи, че е спазил чл. 24 и чл. 32 от Регламента, поради което следва да се приеме за доказан първия елемент от фактическия състав на отговорността по чл. 82 от Регламента обработването на лични данни да е в нарушение на разпоредбите на този регламент. Неправилно съдът приема, че е извършено нарушение и на чл. 45, ал. 1, т. 6 , чл. 59, ал. 1, чл. 64, чл. 66, ал.1 и ал. 2 от ЗЗЛД и това е в причинно-следствена връзка с настъпилите неимуществени вреди, за което следва да бъде ангажирана имуществена отговорност. Тези разпоредби са неотносими към спора и неправилно са вписани в диспозитива на първоинстанционното решение като правно основание за ангажиране на отговорността. Посочените разпоредби не представляват правно основание за присъждане на обезщетение и неправилно са вписани в диспозитива на решението. Задълженията на НАП като администратор на лични данни не се намират в Глава осма от ЗЗЛД "Правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване", която транспонира изискванията на Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. И това е така, защото НАП не е от компетентните държавни органи по смисъла на чл. 42, ал. 4 от ЗЗЛД, които имат правомощия по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Относно вторият елемент от фактическия състав на отговорността за вреди по чл.82 от Регламента. Понятието "вреди" се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява напълно целите на Регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите. Пълното и действително обезщетение по съображение 146 от Регламента е цел на този правен институт, без да е необходимо изплащане на наказателно обезщетение. Опасенията, които субект на лични данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват "нематериална вреда" по смисъла на чл. 82 от Регламент 2016/679 /виж решение по С-340/21 на СЕС/. Тежестта на доказване е на ищеца, съгласно чл. 154, ал.1 от ГПК вр. с чл.144 от АПК. В Решение по дело С-340/21 е посочено, че опасенията, които субектът на данни изпитва, вследствие на нарушението на този регламент могат да бъдат сами по себе си нематериални вреди, но засегнатото лице е длъжно да ги докаже. В исковата молба ищецът посочва и впоследствие НАП е доказал, че лични данни на ищеца са изтекли в публичното пространство- имена, ЕГН, данни от годишни данъчни декларации за 2007-2018 г. по чл. 73 от ЗДДФЛ л. 54-л.65. Настоящата инстанция споделя правните изводи на съда за наличието на доказателства за втория елемент от фактическия състав на отговорността по чл. 82 от Регламента. За да може да се приложи принципа на равностойност и ефективност (виж решение по С-300/21) ищецът следва да посочи и докаже неимуществените вреди. Тези вреди не се презумират. Целта на доказването на претърпените вреди е да се ангажира отговорността на администратора на лични данни и да се определи адекватно парично обезщетение. Ищецът е проявил пасивност и не е представил доказателства за вида и обема на личните данни, които са изтекли в публичното пространство. До съдебното производство не му е било известно какви точно негови лични данни са достъпени неправомерно. Представил е само СМС, но видно от извадката от журнал log файл на приложението на НАП за проверка за осъществен неоторизиран достъп до лични данни за [ЕГН] е правена проверка от един и същ телефонен номер на 25.07.2019 г., 26.07.2019 г. и 3.09.2019 г., без да е ясно чий е той, кой е направил проверката и какъв е обема на изтеклите лични данни. Предвид принципа на процесуална автономия във вътрешния правов ред на всяка държава членка, настоящият състав приема, че правилата за доказателствена тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове и следователно е спазен принципа на равностойност. Правилото на чл. 154, ал.1 от ГПК, всяка страна да установява фактите, на които основава своите искания и възражения, не прави практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза и следователно е спазен принципа на ефективност. При определяне на размера на обезщетението съдът е допуснал нарушение на чл. 82, ал. 1 от Регламента. Както бе посочено по-горе обезщетението е определено и за допуснати нарушения на задължения по глава осма от ЗЗЛД, което е материално незаконосъобразно. Настоящият съдебен състав споделя правните изводи само за нарушение по чл. 24 и чл. 32 от Регламента и само за тези нарушения може да бъде ангажирана отговорността на НАП. Това обстоятелство има отношение към размера на обезщетението. Предвид пасивното поведение на ищеца и липсата на данни по делото да е търсил информация какви по вид и обем негови лични данни са изтекли в публичното пространство след хакерската атака от лица, които не са служители на НАП, се налага правен извод за завишен размер на присъденото обезщетение. Разпитаната свидетелка посочва, че ищецът бил тревожен и избухлив. Показанията й доказват обаче, че ищецът е знаел само за изтекли в пространството данни за неговото ЕГН, но не и за другите лични данни, които е навел с исковата молба- имена, документи за самоличност, телефонни номера, информация за доходи, адрес, на който живее. Следователно тревогата е била само за изтичането на онези лични данни, за които е знаел. Това е относимо към неимуществените вреди и размера на обезщетението. Настоящият съдебен състав намира за справедливо и законосъобразно присъждането на обезщетение в размер на 250 лв., като в останалата част до присъдения размер от 500 лв. искът е неоснователен и следва да бъде отхвърлен. В частта, в която е присъдено обезщетение от 250 лв., ведно със законната лихва от 16.09.2019 г. решението следва да се остави в сила, тъй като касационната жалба в тази част е неоснователна, като се вземат предвид мотивите на касационната инстанция. Предвид резултата по делото решението следва да бъде отменено в частта, в която в полза на адвокат С. Юрукова е присъдено адвокатско възнаграждение над размера от 75 лв. Съразмерно на отхвърлената част от касационната жалба на адвокат Юруков, който е представил писмена защита, но не се е явил в съдебно заседание, следва да се присъди адвокатско възнаграждение от 100 лв., предвид чл. 38, ал. 2 от ЗА вр. с чл. 7, ал. 2 от Наредбата за минималните размери на адвокатските възнаграждения. Основателно е искането на касатора за присъждане на разноски по делото. Предвид изхода на спора и съразмерно на уважената част от жалбата ответната страна дължи юрисконсултско възнаграждение, размерът на което, предвид чл.78, ал. 8 вр. с чл. 37 от ЗПП и чл. 25 от Наредбата за заплащане на правната помощ, правната и фактическа сложност на делото, представеният отговор и процесуално представителство в две съдебни заседания, настоящата съдебна инстанция определя на 150 лв. На основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение