Решение № 4245 от 5.05.2022 г. на ВАС по адм. д. № 11030/2020 г.

Решение № 4245 от 5.05.2022 г. на ВАС по адм. д. № 11030/2020 г., III о., докладчик председателят Жанета Петрова Р. В. е подал касационна жалба против решение № 4691/24.08.2020 г. по адм. дело № 11318/2019 г. по описа на Административния съд София-град, с което е отхвърлен предявеният от него срещу Националната агенция за приходите иск с правно основание чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди за присъждане на обезщетение в размер на 1 000 лева за неимуществени вреди, претърпени в периода 15.07.2019 г. - 16.09.2019 г., в резултат на неправомерно бездействие на служители на Националната агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задълженията по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) като администратор на лични данни и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на личните данни/Регламент/а), ведно със законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане. Направени са оплаквания за неправилност на решението поради съществени нарушения на съдопроизводствените правила, необоснованост и нарушение на материалния закон и е поискано да бъде отменено с постановяването на друго, с което искът да бъде уважен изцяло с присъждане на направените разноски. Националната агенция за приходите е поискала отхвърляне на касационната жалба и присъждане на юрисконсултско възнаграждение Представителят на Върховната административна прокуратура е дал заключение, че решението е неправилно и следва да бъде отменено с постановяването на друго, с което искът да бъде уважен. Върховният административен съд, като провери правилността на решението с оглед направените касационни оплаквания, прие следното: Производството пред административния съд е образувано по исковата молба на Р. В., с която срещу Националната агенция за приходите е предявен иск за заплащане на обезщетение в размер на 1000 лева за неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, причинени от незаконно бездействие на служители на Националната агенция за приходите в нарушение на чл. 24 и чл. 32 от Общия регламент относно защитата на личните данни и на чл. 45, ал. 1, т. 6, чл. 59, ал. 1, чл. 64, чл. 66, ал. 1 и ал. 2, чл. 67 и чл. 68 ЗЗЛД, при което личните данни на ищеца не са били обработени по начин, който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки, и не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на лични данни върху тяхната защита. От фактическа страна първоинстанционният съд установил, че на 15.07.2019 г., чрез медиите, е разпространена информация за установен неоторизиран достъп до поддържаната от Националната агенция за приходите бази данни, съдържаща лични данни. Неоторизираният достъп бил следствие на "хакерска атака", извършена от трети неустановени лица. След оповестяване и узнаване за неоторизирания достъп Националната агенция за приходите незабавно е уведомила Комисията за защита на личните данни, Софийската градска прокуратура, специализираните звена при Главна дирекция "Борба с организираната престъпност" и Държавна агенция "Национална сигурност", а така също и обществеността. По случая било образувано досъдебно производство за кибер престъпление, за което няма данни да е приключило към момента на приключване на първоинстанционното производство. От правна страна съдът приел, че искът е неоснователен, тъй като не била налице нито една от предпоставките за ангажиране на отговорността на държавата по чл. 1, ал. 1 ЗОДОВ. Не било установено неправомерно бездействие от страна на длъжностни лица на Националната агенция за приходите, довело до нерегламентирания достъп до личните данни на ищеца. Наведените от ищеца доводи за липса на подходящи и ефективни организационни и технически мерки за защитата на личните данни останали недоказани. Те следвало да бъдат безспорно установени. Сам по себе си вредоносният резултат (неоторизираният достъп до лични данни) не обосновавал извод, че се дължи на незаконосъобразното бездействие на ответника да изпълни нормативно предвидените със Закона за защита на личните данни и Общия регламент задължения за осигуряване на достатъчна надеждност и сигурност на информационната си система и да защити физическите лица при обработването на личните им данни. Рисковете не биха могли да бъдат изцяло избегнати, а задължението на ответната страна се свеждали до предприемане на мерки намаляването им, каквито доказателства ответникът представил. По делото не било установено и настъпването на неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните данни на ищеца, както и причинно-следствената връзка между тях и твърдяното незаконосъобразно бездействие. Към исковата молба била приложена екранна снимка на текстово съобщение от 26.07.2019 г., 19, 16 часа, със следното съдържание: "НАП: По заявка номер 469 има неправомерно разкрити лични данни", от което не ставало ясно чии лични данни са разкрити, тъй като липсвала индивидуализация на търсещия информация. Според показанията на свидетелката М. В., майка на ищеца, притесненията му били свързани с това, че можело да се извърши злоупотреба с личните му данни, като се изтегли заем от негово име или се продаде негово собствено жилище. Тя посочила, че синът й не спял нощем, събуждал се с главоболие и се наложило да отиде на невролог, който му изписал лекарства. Последните не помогнали, започнал да вдига кръвно. Съдът не дал вяра на тези показания като отбелязал, че не били представени медицински документи за влошаване на здравословното състояние на ищеца, а и липсвало активно поведение на ищеца, което да подкрепи твърденията му, че действително е преживял сериозни притеснения. Макар да разбрал, че е налице неправомерно разкриване на личните му данни, той не предприел нищо. Нормалното поведение на човек, преживяващ силен емоционален стрес, е да направи всичко зависещо от него, за да установи какво е разкрито и какво би могло да се предприеме, че да се предотврати евентуално злонамерено действие. Не били представени доказателства, че ищецът има имоти или налични банкови сметки, които биха могли да станат обект на престъпно отчуждаване или злоупотреба. С тези мотиви административният съд отхвърлил предявения иск. Касационната инстанция намира, че при разглеждането на делото и постановяването на обжалваното съдебно решение са допуснати съществени нарушения на съдопроизводствените правила. Първоинстанционният съд е положил усилия, но не е изяснил всички относими факти. За правилното решаване на спора първоинстанционният съд е следвало да даде указания на ищеца въвеждането на твърдения за проявните форми на неизпълнение на задълженията от страна на ответника, имащи за резултат постигането на мрежова и информационна сигурност. Общо формулираните изявления на ищеца, че били нарушени чл. 59 ЗЗЛД и чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, не дават насока на доказването и възпрепятстват защитата на ответника. Необходимо е цялостно изясняване на фактите, което би позволило да се направи почиващ на доказателства, убедителен извод за не/съответствието на предприетите от Националната агенция за приходите мерки със стандартите за защита на личните данни по Регламент (ЕС) 2016/679 и по националния закон. Неизясняването на фактическата обстановка по делото се дължи и на липсата на конкретни указания за разпределение на доказателствената тежест в съответствие с чл. 154, ал. 1 ГПК. Нарушенията на правилата за обработването на лични данни, допуснати от ответника, не могат да бъдат обект на предположения, а следва да бъдат доказани от ищеца. Само фактът, че лични данни на ищеца са станали публично известни, не може да се приравни на проявено от Националната агенция за приходите незаконно бездействие. В този контекст следва да се отбележи, че ищецът има задължение да въведе с исковата молба конкретни, а не общи твърдения за незаконно бездействие на длъжностни лица на ответника. Съдът е следвало да събере доказателства каква е формата на твърдяното неизпълнение, в частност, кои организационни и/или технически изисквания по обработване на личните данни не са били изпълнени от ответника, поради което са станали причина за нерегламентирания достъп до обработваните от администратора лични данни. Необходимо е и да се направи разграничение между отговорността на администратора и на обработващия личните данни. Съгласно чл. 82 от Регламента всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушението му, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по Регламента, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях. Администраторът или обработващият лични данни се освобождава от отговорност, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Необоснован е изводът на първоинстанционния съд, че не е достатъчно ищецът да е преживял стрес, безпокойство и притеснение, а тези негативни емоционални сътресения следва да са такива, че да са довели до промяна в неговото поведение. Всеки човек има различен емоционален отговор на конкретна негативна ситуация, поради което липсата или наличието на активно поведение от ищеца за установяване на изтеклите конкретно за него лични данни не може да е сигурна индикация за наличието на понесени от него морални вреди. Отговорността на ответника не зависи от характера на вредите, а от факта на тяхното настъпване. Ако данните са разкрити по причина не само на престъпно деяние, извършено от проникнало в информационната система на Националната агенция за приходите трето лице, а и поради неизпълнение на изискванията за тяхната защита от длъжностни лица на ответника, то преживяванията на ищеца са тяхно пряко и непосредствено следствие. Тревогите и притесненията, изживени от него, сами по себе представляват морални вреди, без оглед на това дали реално ще последва злоупотреба с разкритите му лични данни. С оглед констатираните касационни основания решението е неправилно и следва да се отмени с връщане на делото за ново разглеждане от друг състав. Тъй като разглеждането на делото продължава, разноски на страните не се присъждат. По изложените съображения и на основание чл. 222, ал. 2, т. 1 АПК Върховният административен съд