Решение № 1866 от 25.2.2025 г. на ВАС по адм. д. № 9639/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП) чрез процесуален представител, против решение 1541/01.08.2024 г., постановено по адм. д. 227/2021 г. по описа на Административен съд (АС) - Добрич, в частта, в която НАП е осъдена да заплати на Д. И. Д. сумата от 300 лева, представляващи претърпени от ищеца стрес, психическо напрежение, страх, безпокойство, притеснение, негативни преживявания и емоции вследствие от незаконосъобразното бездействие на ответника, изразяващо се в неизпълнение на задълженията му по чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни (ЕС) 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016, довело до неправомерното разкриване и разпространение на лични данни на ищеца, ведно със законната лихва, считано от датата на влизане в сила на решението по настоящото дело до окончателното изплащане, в частта, в която НАП е осъдена да заплати на Д. И. Д. сумата от 183 лева, представляващи сторени разноски по делото и по предходното му разглеждане. Касаторът навежда доводи за неправилност и незаконосъобразност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба и в писмено становище. Претендира разноски. Ответникът Д. И. Д., чрез процесуален представител, оспорва касационната жалба и моли за оставянето й без уважение. Съображения излага в молба и в писмена защита. Претендира разноски. Представителят на Върховната касационна прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е неоснователна. Пред АС - Добрич е предявен иск с правно основание чл. 79, ал. пар.1, вр. чл. 82, пар. 1 от Регламент (ЕС) 2016/679, разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Ищецът Д. Д. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП, в качеството му на администратор на лични данни по см. на чл. 4, т. 7 от Регламента, да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. Производството по адм. д. 227/2021 г. по описа на АС - Добрич се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 255/17.08.2020 г. по адм. дело 139/2020 г. на АС - Добрич, с решение 6085/19.05.2021 г. по адм.дело 11014/2020 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента, и е дал задължителни указания до съда за конкретно разпределение на доказателствената тежест между страните. В изпълнение на дадените указания, при повторното разглеждане на спора АС - Добрич с определение 572 от 20.12.2023 г, постановено в закрито заседание е разпределил доказателствената тежест между страните, като е дал указания, че в тежест на ищеца е да докаже извършено неразрешено разкриване на лични данни от НАП, което е в причинна връзка с претендираните имуществени вреди. Административният съд е дал указания на ответника НАП, че в негова тежест е да докаже, че в качеството си на администратор, обработващ лични данни, по никакъв начин не е отговорен за събитие, причинило вреда и че той носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от ОРЗД са подходящи. С протоколно определение от 20.02.2024 г. съдът е изготвил и съобщил на страните доклада по делото. С оглед на така разпределената доказателствена тежест и дадените указания от съда, ищецът е ангажирал гласни доказателства, като на допуснатия свидетел при режим на довеждане са зададени въпроси, изясняващи относими към спора факти, отговорите на които съдът правилно е кредитирал, с оглед изясняването на фактическата обстановка по делото. Въпреки непрецизните мотиви на АС Добрич относно правната квалификация на иска, безспорно предявеният осъдителен иск е с правно основание чл. 79, пар. 1, чл. 82, пар.1 от ОРЗД, във вр. с чл. 39 от ЗЗЛД, чл. 203 АПК, във вр. чл. 1, ал. 1 от ЗОДОВ, като ответникът НАП, в качеството му на администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, с оглед представените доказателства, не е приложила подходящи технологии и мерки за защита, затова системата не е била достатъчно защитена и нейната техническата уязвимост е довела до нерегламентирания достъп до личните данни на ищеца. АС - Добрич е приел, че НАП като субект, обработващ лични данни, е задълженото лице, носещо отговорност за тяхната защита. Наличието на одобрени процедури, правила, политики, инструкции, указания и методики не опровергава извода, че е била нарушена сигурността на обработваните данни, след като те са били публично разкрити. Съдът е достигнал до извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, АС - Добрич е приел, че Д. Д. е изпълнил дадените му указания да докаже претърпените от него неимуществени вреди, с оглед събраните гласни доказателства, изразяващи се в претърпян страх и притеснения, че с неговите лични данни ще бъде злоупотребено, като е приел за безспорно обстоятелството, че по отношение на ищеца има изтичане на лични данни в резултат на неоторизирания достъп. Решението е правилно. Първоинстанционният съд предвид установените факти по делото правилно е приел, че е налице нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни, спрямо правата на ищеца, в качеството му на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. Неотносимо е позоваването в атакуваното съдебно решение на чл. 59, ал. 1 33ЛД, тъй като тази разпоредба се намира в глава осма от ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Тази неточност не променя същността на останалите правни изводи на АС - Добрич. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, пар. 3 ОРЗД, НАП не е доказала в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да е минимизирала риска от нерегламентиран достъп на трети лица. Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищеца са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АС - Добрич е приел за установено твърдението на ищеца за бездействие от страна на НАП. Налага се извод, че администраторът на лични данни не се освобождава от отговорност по смисъла на чл. 82, пар. 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата. Обосновани са изводите на АС - Добрич за наличието на претърпени неимуществени вреди от ищеца, които според цитираното решение на СЕС могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Общия регламент относно защитата на данните. Посредством пълно и главно доказване ищецът е установил както вида и тежестта на вредите, така и техния интензитет и отражението им върху неговото здравословно състояние. Гласните доказателства установяват причиняването на неимуществени вреди на ищеца, както и че тези неимуществени вреди са пряка и непосредствена последица от разкриването на личните му данни. Налага се извод, че при правилно установени факти по делото съдът е достигнал до правилен извод за частична основателност на предявения иск за обезщетение за причинени неимуществени вреди. Настоящият съдебен състав намира за справедлив определения размер на дължимото обезщетение, който е съобразен с характера и тежестта на претърпените вреди, тяхната продължителност и неблагоприятно отражение върху личната сфера на Д. Д., поради което за него е възникнало право на обезщетение в обичайния размер за подобни случаи, определен съобразно възрастта на ищеца, жизнения стандарт в страната и размерът на минималната работна заплата към момента на узнаване на неправомерния достъп. На основание горното настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са допуснати посочените от касатора нарушения по чл. 209, т. 3 от АПК, поради което същото следва да бъде оставено в сила. Съобразно изхода на спора и предвид претендираните и доказани разноски, на ответника по касация следва да се присъдят разноски за касационната инстанция в размер на 200 (двеста) лева, заплатено адвокатско възнаграждение по договор за правна защита и съдействие от 27.01.2025 г. с адвокат Х. Христов. По тези съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение,