Решение № 5719 от 12.05.2021 г. на ВАС по адм. д. № 12380/2020 г.

Решение № 5719 от 12.05.2021 г. на ВАС по адм. д. № 12380/2020 г., V о., докладчик председателят Анна Димитрова Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационни жалби на Национална агенция за приходите (НАП), чрез процесуален представител, и М. Д., с адрес в гр. София, срещу решение № 4431/4.08.2020 г. по адм. дело № 8770/2019 г. на Административен съд - София - град, с което НАП е осъдена да заплати на М. Д., обезщетение в размер на 60 (шестдесет лева) за претърпени неимуществени вреди в периода 26.07.2019 г. - 30.07.2019 г., вследствие на незаконосъобразно бездействие от страна на ответника в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни и е отхвърлен е иска на М. Д. срещу НАП за разликата над 60 лева до 25 000 лева. Касаторът - НАП обжалва решението в частта му, с която НАП е осъдена да заплати на М. Д. 60 лева обезщетение и 10 лева съдебни разноски. Касаторът поддържа в касационната жалба, в съдебно заседание и в писмени бележки, чрез процесуален представител, че обжалваната от него част от решението е неправилна - необоснована, постановена при съществени съдопроизводствени нарушения, иска отмяната й, отхвърляне на уважената част от иска, ведно с всички законни последици и присъждане на юрисконсултско възнаграждение. В писмен отговор и в съдебно заседание иска отхвърляне на касационната жалба на другата страна. Касаторът - М. Д., чрез адвокат, назначен по реда на Закона за правната помощ, обжалва решението, в частта, с която е отхвърлен иска до пълния предявен размер. Касаторката поддържа в касационната жалба, в съдебно заседание и в писмени бележки чрез процесуалния си представител, че обжалваната част от решението е неправилна поради нарушение на материалния закон, навежда и твърдения за необоснованост, иска отмяната й и присъждане на справедлив размер обезщетение, присъждане на разноски и адвокатско възнаграждение. Представителят на Върховна административна прокуратура изразява становище за неоснователност на касационните жалби. Върховният административен съд, пето отделение, като прецени допустимостта на касационните жалби и наведените в тях отменителни касационни основания, съгласно чл. 209 от АПК, приема касационните жалби за процесуално допустими, като подадени в срок и от надлежни страни. Разгледана по същество, касационната жалба на НАП е неоснователна. За да постанови обжалваната от НАП част от решението, АССГ е изложил мотиви, че е налице твърдяното от ищцата незаконосъобразно бездействие от ответника - НАП по предприемане на необходимите и ефективни действия, произтичащи от разпоредбите на чл. 59, ал. 1 от ЗЗЛД и чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 ЕО (ОРЗД). Цитираните разпоредби изискват от администратора на лични данни, какъвто е НАП по смисъла на чл. 4, т. 7 от ОРЗД, да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на личните данни се извършва в съответствие с разпоредбите на ОРЗД, като аналогични разпоредби се съдържат и в Закона за защита на личните данни. При общоизвестната "хакерска атака" на 15.07.2019 г. неправомерно е била изтеглена, разкрита и разпространена информация с голям обем, съдържаща лични данни на множество български граждани, като за ищцата са разпространени лични данни, включващи ЕГН и три имена, данни от годишна данъчна декларация по чл. 41 30 ДФЛ за 2006 г., данни от годишна данъчна декларация по чл. 50 ЗДДФЛ за 2010 г., данни от декларации, подадени от работодателите/ осигурителите за осигурени от тях лица за 2008 г., данни от справки за изплатени доходи на физически лица за 2008 г. и 2009 г., идентификационни данни за лице, в качеството на представляващ лице в административно - наказателно производство. НАП е представила доказателства за предприети организационни мерки при обработване на данните, но не и за технически такива. Предвид тежестта на доказване, установена в чл. 59, ал. 1 ЗЗЛД - а именно задължението на администратора на лични данни да докаже, че обработването на личните данни е в съответствие с приложимото материално право и безспорният факт на неправомерно разпространение на личните данни на ищцата вследствие неоторизиран достъп до сайта на НАП, следва извод за противоправно бездействие на НАП да изпълни произтичащи от посочените разпоредби задължения за осигуряване на достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на чл. 4, т. 2 ОРЗД. Причинната връзка между непредприемането на необходимите технически мерки за защита и техническата уязвимост на информационната система и разкриването на личните данни на ищцата е пряка, вследствие разпространението на личните данни ищцата е претърпяла неимуществени вреди, установени с разпит на свидетел - преживяла е притеснение и страхове, дори е говорила насън, че от нейно име могат да се подпишат договори като едноличен търговец, притеснявала се за разпространените и декларации, в които се съдържат лични данни и на други лица, с които тя е работила като преводач, развила е страх от поемане на отговорност, загубила е инициативност, затормозени са и семейните й отношения. АССГ е приел, че отрицателните субективни изживявания на ищцата, свързани със стреса от загубата на контрол върху информацията за личността й, са в пряка и непосредствена връзка с бездействието на ответника и предвид продължителността на периода на страданията от научаването за изтичането на данните й до завеждане на исковата молба й е присъдил обезщетение в размер на 60 лева. Решението е правилно като краен резултат в тази му част. Правното основание на иска е чл. 82, пар. 1 ОРЗД, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди, а процесуалният ред за разглеждането му е чл. 203 и сл. АПК. Неоснователни са доводите на касатора за постановено решение при непълнота на доказателствата. Следва да се отбележи, че в чл. 209 АПК липсва подобно касационно основание - непълнота на доказателства. Доказателствената тежест е разпределена от съда на 18.05.2020 г. (л. 96), като на ответника изрично е указано, че е в негова тежест да установи взетите от НАП мерки за защита на личните данни към момента на изтичането им. В съответствие с чл. 154 ГПК е изводът на АССГ, че при твърдения в исковата молба за нарушение, извършено чрез бездействие, в тежест на ответника е да докаже какви активни действия в изпълнение на задълженията си по ОРЗД е предприел и като не го е доказал, не е налице хипотезата разпоредбата чл. 82, пар. 3 ОРЗД, според която администраторът на лични данни се освобождава от отговорност за вреди, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Неоснователен е доводът на НАП за липса на мотиви, кое задължение по ОРЗД не е изпълнила НАП. Както е посочено по-горе, съдът е изложил мотиви за недоказване от страна на НАП да е въвел подходящи технически мерки по смисъла на чл. 24 и чл. 32 ОРЗД, които съгласно чл. 32, ал. 2 ОРЗД трябва да осигурят подходящо ниво на сигурност на обработваните лични данни, което да препятства неправомерното им разкриване или достъп до тях. Деянието на лицето, проникнало в информационната система на НАП, не освобождава ответника от отговорност за вреди, доколкото както бе посочено по - горе не е ангажирал доказателства, че е взел изискуемите от ОРЗД технически мерки, които да гарантират сигурността на съдържащите се в информационната му система лични данни. Всички представени от НАП и цитирани в касационната му жалба доказателства са свързани единствено с предприети организационни мерки и липсват такива относно предприети от него технически мерки за защита на личните данни. При наличните доказателства и правилно разпределена доказателствена тежест обоснован е изводът на АССГ за неизпълнение на зъдължения по чл. 24 и чл. 32 ОРЗД чрез бездействие от страна на НАП като администратор на лични данни. Неоснователни са оплакванията на касатора за недоказаност на претърпените неимуществени вреди от ищцата - болки и страдания, които са в пряка причинна връзка с бездействието на касатора. Свидетелските показания сочат на реално претърпени болки и страдания, свързани с реален страх от реална заплаха за увреждане на имущество. Касационната жалба на М. Д. е частично основателна. За да постанови обжалвана от нея отхвърлителна част на решението АССГ е приел, че периодът на болки и страдания е кратък, в разпространените лични данни на ищцата няма нищо злепоставящо и справедливото обезщетение по чл. 52 ЗЗД е 60 лева, а в останалата част искът е неоснователен. Неправилна е преценката на съда относно интензитета на преживените болки и страдания, който е значително над обичайния размер от подобен вид противоправно бездействие, ищцата е доказала значителен преживян стрес с отражение в семейните й отношения и разстройство на съня, поради което настоящият съдебен състав намира, че справедливият размер на обезщетение е 1000 лева. Предвид изложеното решението следва да се отмени като неправилно - материално правно незаконосъобразно - противоречащо на разпоредбата на чл. 52 ЗЗД, в частта, с която е отхвърлен иска за размера от 60 лева до 1000 лева и вместо него да се постанови ново, с което на ищцата се присъждат още 940 лева обезщетение за претърпени неимуществени вреди от незаконосъобразно бездействие на НАП на основание чл. 82, пар. 1 ОРЗД. Решението следва да бъде отменено частично и относно присъденото юрисконсултско възнаграждение на НАП за първата съдебна инстанция за разликата над 30 лева до присъдения размер от 100 лева, поради промяна на съотношението между уважена и отхвърлена част от иска и на основание чл. 203, ал. 2 АПК вр. чл. 10, ал. 4 ЗОДОВ. В останалата част решението следва да бъде оставено в сила. С оглед изхода на делото пред касационната инстанция няма възможност за присъждане на претендираното от НАП юрисконсултско възнаграждение. На Д. следва да се присъдят 5 лева разноски за настоящата инстанция, като предвид обстоятелството, че същата е представлявана от адвокат, назначен по реда на ЗПП, същата не е направила разноски за адвокатско възнаграждение и такива не могат да и бъдат присъдени. Воден от горното и на основание чл. 221, ал. 2 и чл. 222, ал. 1 АПК Върховният административен съд, пето отделение