Решение № 8277 от 7.7.2021 г. на ВАС по адм. д. № 8961/2020 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба от В. Цекова чрез процесуален представител против решение 3779/10.07.2020г. по адм. д. 11216/2019г. на Административен съд София-град, с което е оставен без уважение предявеният против Национална агенция за приходите иск с правно основание чл.1, ал.1 ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв., ведно със законната лихва от 15.07.2019 до окончателното изплащане. Сочи нарушение на материалния закон касационно основание по чл. 209, т.3 АПК. Подържа, че доказателствената тежест не е правилно разпределена от съда, като на ищеца са дадени указания да докаже всички елементи на фактическия състав на отговорността на държавата, включително наличието на незаконосъобразно бездействие, представляващо отрицателен факт. Изтъква се, че ответникът не е изпълнил задължения, предвидени в закон, като именно той следва да доказва изпълнението на тези задължения. Като неправилна се оспорва преценката на съда за предприети технически и организационни мерки за осигуряване ефективна защита на данните, съдържащи се в информационните масиви на НАП. Неправилна била и констатацията на съда за липса на претърпени неимуществени вреди в причинна връзка с твърдяното незаконосъобразно бездействие. Касаторът моли да бъде отменено решението и предявеният иск да бъде уважен. Претендира заплащане на разноските по делото за две инстанции. Ответникът Национална агенция за приходите /НАП, агенцията/ оспорва касационната жалба. Претендира разноски. Представителят на Върховна административна прокуратура дава заключение, че касационната жалба е допустима и неоснователна. Върховният административен съд, трето отделение, като взе предвид становището на страните и извърши проверка на обжалваното решение на посочените касационни основания, съгласно разпоредбата на чл. 218, ал. 1 АПК, и след служебна проверка за допустимостта, валидността и съответствието на решението с материалния закон по реда на чл. 218, ал. 2 АПК, намира за установено от фактическа и правна страна следното: Производството пред административния съд е образувано по искова молба на В. Цекова срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от бездействия на НАП, довело до неправомерно придобиване и разпространение на личните ѝ данни, от което ищцата претърпяла неимуществени вреди, представляващи психически страдания, страх и други отрицателни емоции, поради което и претендира обезщетение на тези вреди, ведно със законната лихва от датата на изтичане на личните данни 15.07.2019 г. Административен съд София-град е приел за установено от фактическа и правна страна, че нито един от елементите на фактическия състав на отговорността по чл. 1 ЗОДОВ не е налице. Приел е за осъществен нерегламентиран достъп, вследствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019г., в резултат на което е изтекла информация от информационните масиви на НАП. Според съда обаче този резултат не презумира противоправно поведение на органи и длъжностни лица на НАП, нито такова е било доказано от ищцата. Съдът е извършил преглед на предприетите мерки за защита на сигурността на информацията в НАП, на база представените от касатора заповеди на изпълнителния директор на НАП, методика за анонимизиране на индивидуални данни, утвърдена политика по информационна сигурност, Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Липсва висящо или приключило производство пред Комисията за защита на личните данни по искане на ищеца срещу НАП. На агенцията е издадено наказателно постановление от страна на КЗЛД, за нарушение на чл. 32, §1, б. Б от регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните, което не е влязло в сила. С решение ППН-02-399/22.08.2019 г. по описа на КЗЛД, на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки. Решението също е оспорено пред АССГ и не е влязло в сила. От правна страна е прието, че искът е с правно основание чл.1 ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди, в следствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се неизпълнение на задължения, произтичащи от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. За нереализирана е счетена първата предпоставка на отговорността на държавата, като е прието, че липсва незаконосъобразно бездействие от страна на държавен орган да изпълни вменени му от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения, довело до изтеклата на 15.07.2019 г., вследствие нерегламентиран достъп и престъпно деяние от неизвестно лице, от електронните масиви на НАП, информация, съдържаща лични данни на ищцата. Самото обстоятелство, че е изтекла информация от сървърите на НАП - безспорен факт по делото, не е прието за противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни, в т.ч. правото на защита на личните им данни. Не е установено и ищцата да е изживяла, в резултат на такова незаконосъобразн бездействие, стрес, безпокойство, тревожност. По тези съображения искът е изцяло отхвърлен. Касационната жалба е валидна, допустима и основателна. Съдът е обсъдил наличието на елементите от фактическия състав на иска по чл. 1 ЗОДОВ и е достигнал до извод за липса на елементите от състава на отговорността на държавата за вреди Така постановеното решение е валидно и допустимо, поради допуснати съществени нарушения на съдопроизводствените правилна, нарушение на материалния закон и необоснованост - касационни отменителни основания по чл. 209 г.3 АПК. Правилно искът е разгледан по процесуалния ред, предвиден в националното право за реализиране отговорността на държавата за причинени вреди - чл. 203 е сл. АПК, но дадената правна квалификация не е точна.Правото на обезщетение и отговорността за причинени вреди са предвидени в чл. 82, § 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Съгласно член 82, параграф 6, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност и притежавани качества (публични органи или частноправни субекти), по аргумент от § 1, т. 1 АПК. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета "Производство за обезщетения" на Административнопроцесуалния кодекс. Съгласно разпоредбата на чл. 203, ал. 1 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на глава единадесета. Както вече се посочи, по силата на член 82, параграф 1 от Общия регламент относно защитата на личните данни, всеки засегнат частноправен субект може да предяви иск за обезщетение ако са нарушени правата му по този регламент и е налице пряка причинно-следствена връзка между нарушението и вредите. Материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. Член 203, ал. 1 АПК, в редакцията ДВ, бр. 77 от 2018 г. определя подсъдност на спора на административния съд, когато вредите имат за причина нарушение на правото на ЕС с акт, действие или бездействие на административен орган или на длъжностно лице от неговата администрация. Предметът на доказване по чл.82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент /ЕС/ 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл.24 и чл.32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Следва изрично да се посочи, че дадените от ищеца правни квалификации не обвързват съда. От значение са само фактическите твърдения на ищцата, въз основа на които съдът дава вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от ищеца правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл.24 и чл.32 от Регламента. Разпоредбата на чл. 24 Отговорност на администратора от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, предвижда, ча като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Ответникът по иска е администратор на лични данни по см. на чл. 4 § 7 от ОРЗД и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е", а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки ("цялостност и поверителност"). При тези правни квалификации, съдът е следвало да съобрази и нормата на чл.82, §3 от Регламента, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно §2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба очертава границите на отговорността на администратора. Разсъждавайки върху елементите на възникване на отговорността на държавата, съдът следва да има предвид, че изразът нарушение на настоящия регламент има широко съдържание и нарушението на сигурността на личните данни е само едно негово проявление, но не го изчерпва. Понятието нарушение на настоящия регламент обхваща всяко отклонение от неговите изисквания, а не се свързва само с разпоредбите, които визират конкретни задължения на администратора или обработващия при нарушение на сигурността на личните данни. Тълкуването на чл. 82, пар. 1 от Регламент (ЕС) 2016/679 дава основание отговорността на администратора или обработващия да се ангажира за по-широк кръг нарушения, обхващащ всяко неизпълнение на изисквания, произтичащи от Регламент (ЕС) 2016/679. В тази връзка нарушението на Регламент (ЕС) 2016/679 може да се извърши с акт, действие или бездействие на администратора. Предвид изричната норма на чл. 82, §3 от Регламента, администраторът на лични данни следва да докаже, при условията на пълно и главно доказване, че е приел подходящи технически и организационни мерки в съответствие с регламента, така че да изключи всяка своя отговорност за събитието, причинило вредата. В контекста на приложимото материално право следва да се направят и изводите за понесени вреди - техния характер и квалификация и начин да установяване и доказване. Настоящята инстанция намира за неправилни правните изводи на административния съд за недоказаност на неимуществените вреди и липса на пряка причинно-следствена вразка между тях и противоправното бездействие на ответника по съображенията, изложени в мотивите на решението. Пряката причинно следствена връзка следва да се преценява като съществуващата и доказана или недоказана само в контекста на приложимата материалноправна норма и и елементите от фактическия състав на същата.