Решение № 9787 от 16.9.2024 г. на ВАС по адм. д. № 2203/2022 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на И. И. Г., чрез процесуалния представител адв. С. Юрукова, срещу Решение 7940 от 30.12.2021 г. на Административен съд София-град (АССГ), постановено по адм. дело 6457/2021 г. С обжалваното решение е отхвърлен иска на И. И. Г. срещу Национална агенция за приходите за присъждане на сума в размер на 1000 лева, представляваща обезщетение на ищцата за причинените неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните данни, станали достъпни вследствие т.нар. хакерска атака , при която от електронните масиви на Национална агенция за приходите неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019 г., ведно с иска за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила или необоснованост отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че съдът неправилно е приел, че по делото не е установено по несъмнен начин претърпените от ищцата неимуществени вреди. Иска обжалваното решение да бъде отменено и вместо него да бъде постановено друго, с което да се уважи предявения иск. Представя писмена защита. Претендира присъждане на сторените разноски по представен списък. Ответникът по касация Национална агенция за приходите (НАП, Агенцията), чрез процесуален представител юрк. Иванова, оспорва касационната жалба по съображения изложени в писмен отговор и в открито заседание. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за настоящата инстанция. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувани по предявен от И. И. Г. иск с правно основание чл. 82, пар. 1 вр. пар. 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните /Регламент (ЕС) 2016/679 /ОРЗД), за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода 15.07.2019 г. - 16.09.2019 г., в резултат на неизпълнение в достатъчна степен от страна на НАП на задълженията по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, заедно със законната лихва върху тази сума, считано от 15.07.2019 г. (алтернативно от датата на завеждане на исковата молба - 16.09.2019 г.) до окончателното изплащане. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 4376/03.08.2020 г. по адм. дело 11178/2019 г. на АССГ, с решение 7720/28.06.2021 г. по адм.дело 10801/2020 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, пар.1 вр. пар. 2 от Регламента. Изложени са обвързващи мотиви за липса на относимост към спора на чл. 59 от ЗЗЛД, който се намира в Глава осма от ЗЗЛД относно правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, респективно неотносими към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. С определение от закрито заседание, проведено на 27.07.2021 г., с оглед указанията на ВАС, първоинстанционният съд е разпределил доказателствената тежест и е дал е указания на страните. Изрично е указал на страните, че са необходими специални знания за изясняване на въпросите при какви конкретно обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни, изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса, какви технически мерки са предприети, за да предотвратят достъпа,достатъчни ли са те, предвид достиженията на техническия процес и различните рискове, технически възможно ли е било предотвратяването на изтичането на данни, какъв е техническия механизъм на неоторизирания достъп до лични данни, осъществен на 15.07.2019 г. По искане на НАП с определение от закрито заседание, проведено на 04.08.2021 г., съдът е допуснал съдебно-техническа експертиза, включваща описаните задачи. При новото разглеждане ищцата не е ангажирала нито писмени, нито гласни доказателства, въпреки дадените изрични указания. Ответникът НАП е направил искане да се приобщят към новото дело всички събрани писмените доказателства, представените от Агенцията по адм. д. 11178/2019 г. по описа на АССГ и адм. д. 10801/2020 г. по описа на ВАС. Агенцията е представила е допълнително следните нови писмени доказателства: Заповед на изпълнителния директор на НАП ЗЦУ-733 от 17.06.2016 г. за утвърждаване на процедури към отдел Превенция на финансовата и информационната сигурност в Инспекторат на НАП относно информационната сигурност, Вътрешни правила за мрежовата и информационната сигурност и Политика на информационната сигурност, версия 3.0, ведно с утвърдените вътрешнонормативни актове (правила и процедури); Писмо с рег. ДАЕУ-12375/12.12.2018 г. и Протокол от председателя на Държавна агенция Електронно управление (ДАЕУ) до изпълнителния директор на НАП, удостоверяващи извършен проверка в НАП, съгласно чл. 60 от Закона за електронното управление (ЗЕУ); Писмо ЕП-2339#1 от 19.12.2018 г. от изпълнителния директор на НАП до председателя на ДАЕУ, с което се изисква разяснение и конкретизиране на правените препоръки с писмото и протокола; Писмо с рег. ДАЕУ-393 от 04.01.2019 г. от председателя на ДАЕУ до изпълнителния директор на НАП, с което се предоставят изисканите разяснения. Заключението от съдебно-техническата експертиза е прието към делото с протоколно определение в открито заседание, проведено на 10.11.2021 г. Със писмено становище ответникът НАП е възразил срещу изводите на вещото лице по въпроси 6 и 7 с доводи, че Агенцията, в качеството си на администратор на лични данни, е приложила подходящи организационни и технически мерки при обработването на личните данни с оглед представените писмени доказателства, в съответствие с изискванията на националното законодателство, включително и с международните стандарти за управление на качеството ISO 9000, ISO 9001, както и за управление на сигурността ISO/IEC 27001:2006. Въз основа на така установените факти съдът е приел, че искът е допустим, но неоснователен. Първоинстанционният съд е приел от фактическа страна, че на 15.07.2019 г. неизвестно лице е осъществило нерегламентиран достъп в информационните масиви на НАП, станал известен като хакерска атака , вследствие на което е разпространена информация, съдържаща личните данни на множество физически лица. За да постанови сега атакуваното решение АССГ е приел от правна страна, че искът е с правно основание чл. 82, пар.1 вр. пар. 2 от ОРЗД, като НАП в качеството на администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Независимо от приемането вътрешни правила и политики НАП не е осигурила достатъчна надеждност на информационната си система. Приети и споделени от съда са изводите на вещото лице след извършената съдебното-техническата експертиза, съгласно които се потвърждава, че е осъществен нерегламентиран достъп до личните данни от електронните системи на НАП. Изводите на вещото лице са, че достъпът е осъществен изцяло чрез външна намеса през Системата за възстановяване на ДДС от друга държава-членка на ЕС (VATRefund), чрез която се заявяват услуги без да е необходима допълнителна идентификация чрез електронен подпис. Вещото лице твърди, че е било възможно неоторизирания достъп до електронните системи да бъде предотвратен в случай че НАП е разполагал с по-добра техническа инфраструктура, на която да се съхраняват и достъпват данните от външни източници. Посочената техническата уязвимост е довела до нерегламентирано разпространение на личните данни на ищцата и това е следствие от неприлагането от НАП на подходящи мерки за защита. От това съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на втората предпоставка АССГ е приел, че не е установено по безсъмнен начин обстоятелството, че по отношение на ищцата има изтичане на лични данни в резултат на неоторизирания достъп, тъй като представената справка от официалната страница на НАП не може да се отнесе към ищцата по делото, предвид липса на идентификационни данни. Съдът е отчел свидетелските показания, събрани в открито заседание при първото разглеждане на делото (адм. д. 11178/2019 г. по описа на АССГ), с които се установява наличието на притеснения и стрес у ищцата. Ищцата не е ангажирала други доказателства, въпреки дадените изрични указания от съда. Поради това съдът е приел, че не налице втората предпоставка за ангажиране на отговорността на НАП, тъй като не са установени по категоричен и безспорен начин твърдените от ищцата претърпените неимуществени вреди. При недоказаност на твърдяното наличие на настъпили неимуществени вреди, първоинстанционният съд е приел, че е безпредметно обсъждането дали е налице причинна връзка между бездействието и причинената вреда. Съдът е приел, че исковата претенция е неоснователна и недоказана, поради което е отхвърлил предявения иск от ищцата И. Г.. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно като краен резултат и следва да бъде оставено в сила при следните коригиращи мотиви: Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД.