Решение № 625 от 21.01.2026 г. на ВАС по адм. д. № 7238/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Националната агенция по приходите (НАП/Агенцията), чрез процесуален представител, срещу решение № 3088 от 30.01.2025 г., постановено по адм. д. № 1558/2024 г. на Административен съд София-град (АССГ). Касаторът иска отмяна на съдебното решение като неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменително основание по чл. 209, т. 3 АПК. Подробни съображения в подкрепа на касационното основание излага в касационната жалба и в открито съдебно заседание. Претендира разноски. Ответната страна Комисията за защита на личните данни (КЗЛД), чрез процесуален представител оспорва касационната жалба по съображения, изложени в писмени бележки. Моли обжалваното съдебно решение да бъде потвърдено. Претендира разноски. Представителят на Върховна касационна прокуратура дава заключение за неоснователност на касационната жалба. Настоящият състав на Върховния административен съд, пето отделение приема, че касационната жалба е подадена в срока по чл. 211, ал. 1 АПК и от страна, за която съдебният акт е неблагоприятен, поради което е допустима. Разгледана по същество, касационната жалба е неоснователна. Предмет на контрол за законосъобразност пред първоинстанционния съд е Решение № ППН-02-399 от 22.08.2019 г. на Комисията за защита на личните данни, в частта, с която на основание чл. 58, § 2, буква „г“ във връзка с чл. 57, § 1, буква „а“ и чл. 83, § 2, букви „а“, „в“, „г“, „е“ и „ж“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните/ Регламент (ЕС) 2016/679) на НАП са издадени разпореждания №№ 1, 2, 3, 4, 5 в частта му „Да внедри Система за управление на привилегиите на потребителите (Privileged Access Management, PAM) и Система за управление и анализ на събитията, отразени в дневниците (Security information and event management, SIEM)”, 6, 8, 9, 10, 11, 12, 13, 16 в частта му „Да изготви политики и процедури за обработка на лични данни на деца, проследяващи механизми и Cookies (бисквитки), определяне срока за съхранение и задържане на данните”, 17, 18, 19 и 20, с които Агенцията като администратор на лични данни следва да съобрази операциите по обработването на лични данни и които следва да бъдат изпълнени в шестмесечен срок, считано от датата на получаването на акта. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение № 565 от 02.02.2023 г. по адм. дело № 10477/2019 г. на АССГ, с решение № 1398 от 07.02.2024 г. по адм. дело № 3781/2023 г. на Върховния административен съд (ВАС), Пето отделение, и връщане на делото за ново разглеждане от друг състав, поради неправилно приобщени и ценени по делото доказателства- експертно заключение, дадено по назначена по друго дело експертиза. Касационната инстанция е посочила, че в съденото решение първоинстанционният съд неколкократно се е позовал при установяването на фактите по делото на това заключение, посочено в съдебния акт като „трета СТЕ по делото“. По тези съображения касационната инстанция е приела, че е налице съществено нарушение на съдопроизводствените правила и е отменила като неправилно постановеното съдебно решение по адм. дело № 10477/2019 г. на АССГ в оспорените части. Решение № 565 от 02.02.2023 г. по адм. дело № 10477/2019 г. на АССГ в частта, с която са отменени като незаконосъобразни разпореждания №№ 7, 14 и 15 изцяло, разпореждане № 5 в частта „Да се предприемат необходимите действия за създаването на одитни записи на отделните събития и дневници (журнали) за привилегированите потребители“ и разпореждане № 16 в частта относно „повторното използване на такива данни“ е влязло в сила. За да постанови обжалваното решение административният съд е приел, че АА е издаден от компетентен орган, при спазване на законовата форма и без да са допуснати съществени нарушения на административнопроизводствените правила. По приложение на материалния закон първоинстанционният съд е разгледал поотделно, макар и групирани на различен признак, всяко едно от оспорените разпореждания като е изложил доводи, че към датата на издаване на оспорения административен акт разпорежданията са в съответствие с материалноправните разпоредби. Решението е правилно. Неоснователни са оплакванията на касационния жалбоподател за нарушено право на защита в производството пред КЗЛД, поради липсата на обоснованост на разпорежданията в оспорения административен акт. В случая се касае за упражнени корективни правомощия на надзорния орган по чл.58, §2, б.“г“ ОРЗД- да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок. Диспозитивът на акта на надзорния орган е основан на установени факти, съдържащи се в доказателства, събрани в хода на проведеното административно производство пред надзорния орган по реда на чл.33 вр. чл.57, §1, б.“а“ и чл.58 ОРЗД, които факти, описани в мотивите на акта и в документи- част от административната преписка по издаването му са ясни и непротиворечиви относно приложимото действащо законодателство, под нормите на което са подведени. Дали тези факти обосновават прилагане на корективните правомощия на надзорния орган по чл.58 §2 ОРЗД във вр. с установени нарушения на Регламента от администратора или обработващия лични данни е въпрос на материалната законосъобразност на акта. Както правилно е посочил решаващият съд разпоредбите на чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и чл. 24, § 1 от Регламент (ЕС) 2016/679 задължават администратора на лични данни не само да прилага подходящи технически и организационни мерки при обработването на лични данни, но и да е в състояние да докаже, че това обработване се извършва в съответствие със закона. Споделят се изводите на АССГ, че общото формулиране на разпорежданията предполага предоставяне на по-широка оперативна самостоятелност за въвеждането на подходящите правила и процедури за обработка на лични данни предвид спецификата на дейността на Агенцията, нейните правомощия и функции, но конкретният начин, средствата и методите на изпълнение на разпореждането от страна на администратора на лични данни не е предмет на настоящото производство. Неоснователни са доводите на касатора относно липсата на противоправното поведение на Агенцията в качеството ѝ на администратор на лични данни, довело до неоторизирания достъп до данни ѝ, както и доводите, че са приложени подходящи технически и организационни мерки. Както се отбеляза по-горе, административното производство пред КЗЛД е образувано във връзка с подадено уведомление вх. № ППН-02-399/17.07.2019 г. по чл.33 от Регламент (ЕС) 2016/679, с което НАП е уведомила надзорния орган за осъществения неоторизиран достъп до данните ѝ. Назначена е проверка от надзорния орган, констатациите от която са обективирани в констативен акт № ППН-02-462/20.08.2019 г. Съгласно съдържанието на посочения констативен акт проверяващият екип е констатирал, че в НАП не са предприети технически и организационни мерки за защита на данните - 20 точки, станали основание за издаването на двадесетте разпореждания от оспорения административен акт. Събраните доказателства в съдебното производство - в т.ч. и двете приети по делото заключения на експертите по назначените СТЕ, потвърждават констатациите, установени на етап административно производство. В тежест на администратора на лични данни, какъвто е НАП, е да установи по безспорен начин, че след преценка на естеството, обхвата, контекста и целите на обработването е идентифицирал всички рискове с различна вероятност и въз основа на това е въвел най-подходящите в конкретния случай и ефективни технически и организационни мерки за защита на личните данни. В съдебното производство не са представени други доказателства от жалбоподателя, които да обосноват извод, че е предприел подходящи технически и организационни мерки за защита на личните данни. Предприетите нови технически и организационни мерки, отговарящи на достиженията на техническия прогрес с цел повишаване на информационната сигурност на НАП, детайлно описани в касационната жалба спрямо посочено разпореждане от процесния административен акт, са последица от осъществения неоторизиран достъп до информационните масиви на НАП, извършени след издаване на процесния административен акт. Правилно решаващият съд е посочил, че законосъобразността на акта се преценява към момента на неговото издаване. По отношение конкретните възражения относно всяко от разпорежданията на надзорния орган, предмет на оспорване в настоящото производство, касационната инстанция на осн. на чл.221, ал.2, изр. второ АПК препраща към мотивите на първоинстанционния съд. Не се кредитират доводите на касатора, свързани с издаденото от председателя на КЗЛД Наказателно постановление № 004 от 28.08.2019 г., отменено с Решение № 1247 от 26.02.2024 г. по адм. дело № 12334/2023 г. по описа на АССГ, поради неотносимост на същото към настоящия спор. Визираното от касационния жалбоподател Решение от 19.01.2024 г. на Съда на Европейския съюз по дело C-340/21 не е от значение за решаване на настоящото дело, тъй като предмет на делото не е дължимо обезщетение на администратора на лични данни във връзка с осъществен неоторизиран достъп до информационни масиви на администратора, довел до нерегламентирано разкриване на лични данни на трети лица. Противно на възраженията на касатора обжалваното решение е постановено при спазване на съдопроизводствените правила. АССГ е изпълнил задължението си по чл.168 АПК като е извършил съдебен контрол на оспорения административен акт по критериите, посочени в чл.146 АПК и е установил релевантните за спора фактически обстоятелства. Съдът събрал по делото необходимите относими доказателства за изясняване спорния предмет, обсъдил е същите поотделно и в тяхната съвкупност, вкл. констатациите в приетите по делото заключения на ВЛ Кирков и Василев по допуснатите по делото СТЕ, като е предоставил на страните възможност да ангажират доказателства съобразно тяхната процесуална активност. Решението на първата инстанция е обосновано. Изводите на съдебния състав кореспондират със събраните по делото доказателства и са формирани след тяхната правилна преценка. На основание горното касационната жалба трябва да се отхвърли, а обжалваното решение да се остави в сила като постановено при липса на сочените от касатора основания за отмяна по чл. 209, т. 3 АПК. Предвид изхода на спора и съобразно претендираните и доказани разноски, с оглед факта, че ответната страна е представлявана от юрисконсулт в съдебното производство, на основание чл.143, ал. 3 от АПК, на ответника следва да се определи юрисконсултско възнаграждение в размер на 102.26 евро (200 лева). С оглед гореизложеното и на основание чл. 221, ал. 2 АПК, Върховният административен съд, пето отделение