Решение № 4468 от 29.4.2025 г. на ВАС по адм. д. № 9876/2024 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу решение 1567/05.08.2024 г. по адм. дело 249/2021 г. на Административен съд - Добрич (АС - Добрич), с което е осъдена НАП, да заплати на Т. В. Б. от гр. Добрич, сума в размер на 200 лева, представляваща обезщетение за неимуществени вреди вследствие незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ОРЗД), довело до неправомерно разкриване и разпространение на лични данни на ищцата, ведно със законната лихва върху тази сума, считано от датата на влизане в сила на решението до окончателното й изплащане и НАП е осъдена да заплати 290 лева разноски на ищцата. Касаторът поддържа в касационната жалба и в писмено становище чрез процесуален представител, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, навежда доводи и за необоснованост, иска отмяната му, в условията на евентуалност присъждане на обезщетение в по - нисък размер , присъждане на юрисконсултско възнаграждение и разноски на НАП. Ответникът по касационната жалба - Т. (В.) от гр. Добрич, в писмен отговор чрез процесуален представител, иска оставяне в сила на решението, присъждане на разноски за касационната инстанция. Представителят на Върховна прокуратура изразява становище за основателност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С решение 6499/31.05.2021 г. по адм. дело 10795/2020 г. на Върховния административен съд, трето отделение е отменено решение 241/03.08.2020 г. по адм. дело 118/2020 г. на АС - Добрич в обжалваната част и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищцата правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. АС - Добрич при новото разглеждане на делото е изпълнил указанията относно разпределението на тежестта на доказване. За да постанови обжалваните части от решението, АС е изложил доводи, че предявеният иск е с правно основание чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679. Посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и и разпространяването на личните данни на ищцата, видно от представената справка, издадена от НАП. Според нея са разпространени имената й и ЕГН и са данни от годишна данъчна декларация по чл.41 ЗОДФЛ. АС е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи и достатъчни, за да гарантират защита на данните. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АС е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона . Ищцата е преживяла негативни емоции, подробно описани в мотивите, установени чрез свидетелски показания пред втория първоинстанционен съд, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. Правилна и в съответствие със задължителните указания на първата касационна инстанция е преценката на АССГ за правна квалификация на иска по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679, както и за предмета на доказване.