Решение № 7715 от 28.06.2021 г. на ВАС по адм. д. № 11506/2020 г.

Решение № 7715 от 28.06.2021 г. на ВАС по адм. д. № 11506/2020 г., III о., докладчик председателят Таня Куцарова Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс и е образувано по касационната жалба на адвокат С. Юрукова като пълномощник на Б. П. от град София против решение № 4645 от 18.08.2020 г., постановено по адм. д. № 11314 по описа за 2019 г. на Административен съд София град. Релевира оплаквания за неговата неправилност, поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - касационни отменителни основания по чл. 209, т. 3 от Административнопроцесуалния кодекс. Моли за отмяна на решението. Ответникът по касационната жалба -Национална агенция за приходите оспорва основателността на същата. Моли решението на Административен съд София-град да се остави в сила. Представителят на Върховната административна прокуратура дава мотивирано становище за неоснователност на касационната жалба и правилност на обжалваното съдебно решение. Касационната жалба е подадена в срока по чл. 211 от АПК от надлежна страна, за която съдебният акт е неблагоприятен, поради което е допустима за разглеждане по същество. Разгледана по същество същата е основателна. С Обжалваното решение Административен съд София-град е разгледал по същество иска на Б. П. срещу Националната агенция за приходите с правно основание чл. 203 АПК и с материалноправна квалификация, дадена от съда- чл. 82, алинея първа от Регламент 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 ЕС регламент относно защита на данните. Съдът е приел, че исковата претенция за присъждане на обезщетение за причинени на ищеца неимуществени вреди, изразяващи се в притеснения, спрях и опасения за възможна злоупотреба с лични данни, станали достъпни вследствие на хакерска атака, при която от електронните масиви на Националната агенция за приходите неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, включително и такива на ищеца, се явява неоснователна и недоказана. Съдът е приел, че не са доказани по делото настъпилите твърдени от ищеца неимуществени вреди. Ангажираните от ищеца доказателства според съда не установяват реално настъпване на конкретни неимуществени вреди. Съдът е приел, също така, че не е налице незаконосъобразно бездействие от ответника направения извод, че поради липса на установено незаконосъобразно бездействие на ответника, както и настъпили вреди за ищеца, не следва да установява наличие причинна връзка между тези две обстоятелства. Посочено е че евентуалните вреди за ищеца са причинени по-скоро не от твърдяното бездействие на Националната агенция за приходите, а от публичното оповестяване в интернет пространството на личните данни на ищеца, което действие опосредява настъпването на крайния резултат. Съдът е приел, че доказателствената тежест за установяване на предпоставките по чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди, се носи от ищеца, търсещ присъждане на обезщетение за понесени вреди. В тежест на ищеца е доказването на всеки елемент от фактическия състав отговорността по чл. 1 от ЗОДОВ. Така постановеното решение е валидно и допустимо, но е неправилно поради съществено нарушение на съдопроизводствените правила и материалния закон. Съдът е направил правилна правна квалификация на исковата претенция като такава, намираща правното си основание в член 82 от Регламент 2016/679 на Европейския парламент и на Съвета от 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и свободното движение на такива данни. Съгласно цитираната разпоредба на член 82, наименована Право на обезщетение и отговорност за причинени вреди, всяко лице което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни нанесените вреди. Параграф втори от член 82 от Регламента администраторът, участващ обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Администраторът на лични данни се освобождава от отговорност, ако докаже по никакъв начин не е отговорен за събитието, причинило вредата. Съдържанието на разпоредбата на член 82 на Регламента е, че правото на обезщетение при обработване на лични данни включително и при тяхното съхранение в полза на всяко лице, предоставило за обработване личните си данни, възниква в случаите материални или нематериални вреди, които са резултат на нарушение нормите на Регламента. В обжалваното решение не е бил осъден фактическия състав на приложимата материалноправна норма на чл. 82 от Регламента, уреждаща правото на обезщетение за вреди лицата, предоставили за обработка личните си данни от една страна, друга обхвата условията за реализиране на отговорността от страна на администратора на лични данни. за да отхвърли исковата претенция, неправилно съдът се позовава недоказаност на незаконосъобразно бездействие от страна на Националната агенция за приходите при обработването на лични данни на ищеца. Незаконосъобразното бездействие е елемент от фактическия състав на отговорността на държавата, респективно на общините за вреди, причинени в резултат на административна дейност незаконосъобразен характер. Разпоредбата на член 82 от Регламента, която е приложимото материалноправно основание за отговорност за вреди, не съдържа във фактическия си състав изискване действията или бездействията на администратора на лични данни във връзка с обработването им да имат незаконосъобразен характер. В решението си административният съд не е приложил приложимата материалноправна разпоредба на член 82 от Регламента, не е изследвал елементите от нейния фактически състав за възникване правото на обезщетение за вреди на засегнатите от регламента лица при обработването на личните им данни. Не е обсъдено и основанието за възникване, на правото на обезщетение на засегнатите граждани, респективно - основанието за освобождаване от отговорност на администратора на лични данни. Съдът не е съобразил, че доказателствената тежест при установяване на нарушения на Регламента е различна от тази при прилагане на ал. 1 от чл. 1, вр. чл. 1 ЗОДОВ, вр. чл. 203 АПК. Поради допуснато от съда нарушение на приложимия материален закон, съдът е достигнал до необоснован извод за неоснователност на исковата претенция. Решението на административния съд следва да се отмени да се върне за ново разглеждане от друг състав на Административен съд в София-град при спазване на дадените указания по прилагане на материалния закон. Водим от изложеното, Върховният административен съд