Решение № 7059 от 10.06.2021 г. на ВАС по адм. д. № 3150/2021 г.

Решение № 7059 от 10.06.2021 г. на ВАС по адм. д. № 3150/2021 г., V о., докладчик съдията Юлия Ковачева Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на С. Д. срещу решение № 7279 от 15.12.2020 г. по адм. дело № 11176/2019 г. на Административен съд София – град. С обжалваното решение е отхвърлен предявеният иск от С. Д. против Национална агенция за приходите (НАП) за заплащане на обезщетение за претърпени неимуществени вреди в периода от 15.07.2019 г. до предявяването на исковата молба на 16.09.2019 г. в размер на 1000 лева вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД) да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване на личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на задължението. Съдът е осъдил С. Д. да заплати на НАП разноски в размер на 100 лева, представляващи юрисконсултско възнаграждение. Касационният жалбоподател поддържа, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Сочи, че съдът неправилно е приел исковата молба за недоказана и неоснователна. За правилни счита изводите на решаващия съд, че е налице първата предпоставка на предявения иск по чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) – незаконосъобразно бездействие от страна на НАП, в качеството на държавен орган, да изпълни вменените му от чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 задължения. Оспорва изводите на съда, че не са били доказани останалите предпоставки за уважаване на предявения иск – претърпени от ищеца неимуществени вреди и причинна връзка между вредите и незаконосъобразното бездействие на НАП. Сочи, че съдът неправилно не е кредитирал показанията на разпитания свидетел и неправилно е приел, че липсата на активно поведение от страна на ищцата, противоречало на описаното от свидетеля поведение. При тези съображения касационният жалбоподател иска да се отмени обжалваното решение и вместо него да се постанови друго, с което се уважи предявеният иск. Претендира присъждане на разноски за двете съдебни инстанции. Ответната страна – Националната агенция за приходите, чрез процесуалния си представител изразява становище в писмен отговор и пледоария по същество, че обжалваното решение е правилно и не са налице касационни основания за отмяната му. Претендира присъждане на юрисконсултско възнаграждение. Прокурорът от Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени доказателствения материал по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок и от надлежна страна. Разгледана по същество е частично основателна, по следните съображения: Производството пред АССГ е образувано по предявен иск от С. Д. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в периода 15.07.2019 г. – 16.09.2019 г., в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г. до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните му, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните му данни. Първоинстанционният съд от фактическа страна е установил, че на 15.07.19 г. в медиите в Република България е публикувана информация, че чрез т. нар. "хакерска атака" от електронните масиви на НАП е изтеглена неправомерно голям обем информация, съдържаща личните данни на 6 074 140 физически лица, от които 4 104 786 живи български и чужди граждани и 1 959 598 починали физически лица. Изтеклите данни на физическите лица са имена, ЕГН, адреси на български граждани, телефони, електронни адреси и друга информация за контакти, данни от годишни данъчни декларации на физическите лица, данни от справките за изплатени доходи на физическите лица, данни от осигурителните декларации, данни за здравноосигурителни вноски, данни за издадени АУАН и пр. По делото е представена извадка от получен SMS без номер, на който е изпратен, със следното съдържание: "НАП: По заявка номер 3465 ИМА неправомерно разкрити лични данни". Ответникът по иск е представил писмени доказателства в подкрепа на позицията си, че е предприел всички необходими мерки за защита, подробно описани от съда в решението. В хода на съдебното следствие са събрани гласни доказателства – показанията на свидетеля М. Б. – майка на близка приятелка, живееща на съпружески начала с ищеца. От същите е установено, че след като разбрал, че личните му данни са изтекли неправомерно от НАП, ищецът е споделил с нея притесненията си да не бъдат изтеглени на негово име бързи или ипотечни кредити, да не се разпореди някой с имуществото му или без негово знание да бъде прехвърлена фирма на негово име. Свидетелят е посочил, че в началото, след узнаването на неправомерното изтичане на личните му данни, Д. бил много стреснат, живеел в страх, което повлияло на кръвното му налягане, същият започнал да приема успокоителни и се чувствал изтощен. Въз основа на така установените факти съдът е приел, че искът е неоснователен. В тази връзка е изложил съображения, че е налице противоправно бездействие от страна на ответника да изпълни произтичащи от разпоредбите на чл. 59, ал. 1 ЗЗЛД и чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 задължения, за да осигури достатъчна надеждност и сигурност на информационната си система, съответно да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, във връзка с чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т. ч. правото на защита на личните им данни. Приел е за неоснователно възражението на ответника, че се касае до неоторизиран достъп, в резултат на престъпление, поради което той не може да носи отговорност по предявената претенция. Извел е извод, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. По отношение на втората предпоставка – претърпени неимуществени вреди от ищеца в резултат на допуснатото нарушение от ответника, съдът е изложил съображения, че в случая ищецът е преживял единствено безпокойство от бъдещо несигурно събитие, но не и реално претърпяна вреда, като твърдените емоционални сътресения, не представляват неимуществени вреди, тъй като са обусловени от евентуално бъдещо извършване на злоупотреба, която е слабо вероятна, доколкото за вземане на кредит, освен ЕГН и трите имена на лицето са необходими и редица други документи, и данни за прехвърлителя, като лична карта и лично явяване на лицето за сделката или упълномощаване на трето лице. Счел е, че от значение за установяване на наличието на действителна, реално претърпяна вреда от силен емоционален стрес е наличието на активно поведение на пострадалото лице да установи кои негови данни са разкрити, за да може да предприеме мерки, с които до известна степен да се защити, като в случая ищецът единствено е проверил, чрез SMS изтекли ли са негови лични данни. Посочил е, че по делото не било установено, че след като е разбрал за извършения неоторизиран достъп, същият да е извършил проверка кои конкретно негови лични данни са били обект на посегателство. В заключение съдът е приел, че не е доказана причинно-следствена връзка между незаконосъобразно бездействие и настъпилите неимуществени вреди. Решението е валидно и допустимо, но е частично неправилно по следните съображения: Първоинстанционният съд правилно е квалифицирал предявения иск като такъв с правно основание чл. 203 от АПК, във вр. с чл. 82, ал. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, Регламент (ЕС) 2016/679, ОРЗД), във вр. с чл. 39, ал. 2 от Закона за защита на личните данни (ЗЗЛД), във вр. с чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Правилно решаващият съд е посочил, че за да възникне право на иск за обезщетение, е необходимо да са налице следните кумулативни предпоставки, а именно: 1. незаконосъобразен административен акт, отменен по съответния ред, или незаконосъобразно действие или бездействие на орган или длъжностно лице на държавата или общината, установено в хода на производство за обезщетение, при или по повод изпълнение на административна дейност; 2. вреда от отменен административен акт, респективно от незаконосъобразно действие или бездействие и 3. причинна връзка между постановения незаконосъобразен акт и/или незаконосъобразните действия или бездействия и настъпилия вредоносен резултат. Тук трябва да се посочи, че материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. В светлината на чл. 82 от ОРЗД предметът на доказване изисква: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. По делото са събрани доказателства за личните данни на ищеца, до които е имало неправомерен достъп. Следователно ищецът е доказал твърдението си за наличието на нарушено негово право – на защита на личните му данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството. Чл. 24 и 32 от Регламент (ЕС) 2016/679, и чл. 59 ЗЗЛД задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД, предвиждащ че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В своя защита срещу предявения иск, ответникът е представил само писмени доказателства. Те доказват вземането на организационни мерки от страна на НАП, назад във времето, но липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните, че същите са актуализирани. Липсват доказателства, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. Липсват и доказателства, за това какви технически мерки е взел ответникът, за да защити личните данни, които обработва, от неправомерен достъп. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Не е представил и доказателства, че утвърдените процедури и методики, за които е представил писмени доказателства, са изпълнявани. Тук следва да се отбележи, че не НАП е установил неправомерния достъп, а е разбрал за него от публикации в медиите, което означава, че взетите организационни мерки не гарантират, че администраторът следи за неправомерен достъп и при наличието на такъв, разбира своевременно за това. Представянето на писмени доказателства за наличието на организационни мерки е недостатъчно, за да се приеме, че предприетите от администратора мерки са подходящи. Твърденията и представените доказателства за предприетите от ответника действия след "изтичането" на данните, са част от задълженията му по регламента и закона, но не доказват, че взетите от него мерки са ефективни и подходящи. Настоящата инстанция не споделя довода на решаващия съд, че обстоятелството, че е извършена хакерска атака, пробита е информационната система на НАП, е неоспоримо доказателство, че не са предприети подходящи технически и организационни мерки за защита обработване личните данни на ищеца, което е достатъчно да бъде направен извод за противоправност на бездействието на НАП. По делото не е доказано, че са взети подходящи и ефективни организационни и технически мерки и въпреки тях се е стигнало до пробив в информационната система на НАП. Житейски нелогично е, с оглед техническото развитие, една информационна система да бъде на 100 % защитена от хакерски атаки, но администраторът на лични данни следва да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни. В случая това не е сторено, в каквато насока е крайният извод на решаващия съд. По отношение на втория елемент - причинена материална или нематериална вреда. В случая ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба и в уточняваща молба от 22.10.2019 г. Събраните по делото гласни доказателства установяват, че ищецът действително е преживял твърдените от него негативни емоции, които са резултат от нарушението на регламента. Показанията на свидетеля са ясни, безпротиворечиви и отразяват собствените му възприятия относно поведението на Д., след като е научил, че неговите лични данни са неправомерно разкрити. Съдът неправилно е приел, че непредприемането на активно поведение от страна на ищеца, за да установи конкретно кои негови лични данни са били обект на посегателство, води до извода за липса на сериозно притеснение за същия. Болките и страданията са строго индивидуални и зависят от субективното отношение на всяко лице към определено противоправно поведение. Индивидуални са също и мерките, които всяко лице предприема, за да се справи с негативните емоции, които едно противоправно поведение може да предизвика у него. Липсата на активност да установи какви точно данни са разпространени за него, не означава липса на заинтересованост на лицето, както и че същото не е преживяло негативни емоции. Същите са пряка последица от нерегламентирания достъп до данните и са в резултат от нарушаването сигурността на данните. В съображение 146 ОРЗД е предвидено, че администраторът или обработващият лични данни следва да обезщетят всички вреди, които дадено лице може да претърпи в резултат на обработване на данни, което нарушава настоящия регламент. Администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. Причиняването на усещане за тревога от нарушената сигурност на личните данни, за което по делото са събрани доказателства, е достатъчно, за да се ангажира отговорността на администратора на лични данни. Не е необходимо каквото и да е активно поведение на пострадалото лице, за да се приеме, че то действително е претърпяло негативни емоции. Евентуалното предприемане на активно поведение е средство за предотвратяване на евентуални неблагоприятни последици за лицето от неправомерния достъп до личните му данни. Липсата на такова не води до извод за липса на действително преживени негативни емоции. С оглед психологичната индивидуалност на всеки човек, отсъствието или наличието на активно поведение, е начин за справяне с преживения стрес, но не и доказателство за липсата на такъв. Дори вероятността от злоупотреба с разкритите данни има за резултат чувствително засягане психическото и емоционално състояние на субекта на данните. Неправилно съдът е приел, че не е налице и третата предпоставка за ангажиране отговорността на ответника – причинна връзка между незаконосъобразното бездействие и причинената неимуществена вреда. Проявеното от ответника бездействие да изпълни по подходящ начина задължението си да гарантира сигурността на личните данни на физическите лица е в пряка причинна връзка с негативните усещания на засегнатите лица, в конкретния случай на ищеца. Ако не беше допуснат неправомерният достъп до личните данни, ищецът не би преживял негативните емоции. Пряката причинна връзка между противоправното бездействие на ответника и настъпилата за ищеца вреда не се прекъсва от начина, по който той е разбрал за неправомерния достъп или от това, че се опасява от бъдещи злоупотреби с личните му данни. Негативните емоции са пряк резултат от неправомерното разкриване на лични данни, в резултат на недоказаното от ответника взимане на подходящите технически и организационни мерки. При заявената от ищеца претенция за присъждане на обезщетение в размер на 1000 лв., за определяне размера на претенцията за обезщетяване на неимуществените вреди, следва да се съобрази разпоредбата на чл. 52 от Закона за задълженията и договорите (ЗЗД), като размерът на обезщетението се определи по справедливост. В случая с оглед характера и тежестта на претърпените от ищеца негативни емоции, тяхната продължителност – около месец и неблагоприятното им отражение в личната сфера на ищеца, неговата възраст, стандартът на живот в страната, размерът на минималната работна заплата за 2019 г. към момента на узнаване за неправомерния достъп до личните данни – 15.07.2019 г., съдът намира, че справедливият размер на обезщетението е в размер на 300 лв. Този размер на обезщетението би довел до пълно репариране на претърпените от ищеца вреди. Предвид изложеното решението следва да се отмени като неправилно – като постановено в нарушение на материалния закон, в частта, с която е отхвърлен иска за размера до 300 лв. и вместо него да се постанови ново, с което на ищеца да се присъди обезщетение за претърпени неимуществени вреди от незаконосъобразно бездействие на НАП в размер на 300 лв. Решението следва да бъде отменено частично и относно присъденото юрисконсултско възнаграждение на НАП за първата съдебна инстанция за разликата над 70 лв. до присъдения размер от 100 лв., предвид частичното уважаване на иска, на основание чл. 10, ал. 4 ЗОДОВ. В останалата част, вкл. относно претендираната лихва за периода от 15.07.2019 г. до 16.09.2019 г. решението следва да бъде оставено в сила. С оглед изхода на спора следва да се уважи направеното от касационния жалбоподател искане за присъждане на разноски за двете съдебни инстанции, като на основание чл. 10, ал. 3 ЗОДОВ ответникът следва да бъде осъден да заплати на С. Д. заплатените държавни такси за двете съдебни инстанции в общ размер 15 лв. Доказателства за направени други разноски (извън заплатените държавни такси) не са представени, поради което такива не се присъждат. Предвид представените доказателства за осъществена правна помощ при условията на чл. 38 от Закона за адвокатурата (ЗА) и заявената претенция за заплащане на адвокатско възнаграждение на адвоката осъществил безплатна правна помощ, на адв. Ю. ще следва да се заплати адвокатско възнаграждение. На основание чл. 10, ал. 3 ЗОДОВ същото следва да се определи съразмерно с уважената част на иска, а именно в размер на 90 лв. за всяка съдебна инстанция. С оглед изхода на спора, на ответника по касация, за настоящата инстанция, ще следва да се присъди, на основание чл. 10, ал. 4 ЗОДОВ, юрисконсултско възнаграждение съразмерно с отхвърлената част от иска, а именно 70 лв. С оглед присъждането на разноски за касационната инстанция и на двете страни, следва да се извърши компенсация и С. Д. да се осъди да заплати на НАП сума в размер на 55 лв. разноски по компенсация за настоящата инстанция.