Решение № 6544 от 29.5.2024 г. на ВАС по адм. д. № 972/2021 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на М. С. Х., чрез процесуален представител адв. С. Юрукова, срещу решение 6954 от 04.12.2020г., постановено по адм. дело 2060/2020 г. по описа на Административен съд София-град (АССГ), с което е отхвърлен предявения от нея иск против Национална агенция за приходите за заплащане на обезщетение за претърпени неимуществени вреди, в резултат на незаконосъобразно бездействие от страна на НАП, довело до неправомерно разкриване на личните й данни, в размер на 1 000 лева, ведно със законната лихва, считано от 15.07.2019г. до окончателно изплащане на задължението. Касационният жалбоподател поддържа, че оспореното решение е неправилно, поради нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост отменителни основания по чл. 209, т. 3 АПК. Оспорва изводите на АССГ за недоказаност на предпоставките за уважаване на предявения иск - претърпени неимуществени вреди и причинна връзка между вредите и незаконосъобразното бездействие на НАП. Поддържа, че по отношение на вредите следва да се приложи практиката на ВКС, която е в смисъл, че за обичайните неимуществени вреди, които не се описват в исковата молба, не са нужни формални, външни доказателства за установяване на тези обичайни вреди, "тъй като те настъпват винаги в резултат на наказателно производство" /решение по гр. д. 5124/2015 г., трето отделение на ГК/, а размерът се определя според стандарта на живот (гр. д. 288/2015 г. на ВКС, трето отд.). Иска оспореното решение да бъде отменено и се постанови ново, с което се уважи предявения иск в пълния му размер. Претендира и направените по делото разноски за двете съдебни инстанции, съгласно приложения списък на разноските по чл.80 ГПК вр. с чл.144 АПК. Ответната страна - Национална агенция за приходите, чрез процесуален представител юрк. Я. Младенов, в представен по делото писмен отговор и в съдебно заседание оспорва касационната жалба и излага подробни съображения за правилност на оспореното решение. Иска същото да бъде оставено в сила и претендира направените по делото разноски представляващи юрисконсултско възнаграждение. Прокурорът от Върховна прокуратура дава мотивирано, писмено заключение за основателност на касационната жалба. Върховният административен съд състав на Пето отделение, намира касационната жалба за процесуално допустима, като подадена в преклузивния 14-дневен срок по чл. 211, ал. 1 АПК, от страна с правен интерес по смисъла на чл. 210, ал. 1 АПК, за която решението е неблагоприятно, срещу подлежащ на касационно оспорване съдебен акт. Разгледана по същество на основанията посочени в нея и след проверка на решението за валидност, допустимост и съответствие с материалния закон, съгласно чл. 218, ал. 2 от АПК, касационната жалба е основателна. Производството пред административния съд е образувано по искова молба на М. Х. срещу Национална агенция за приходите с искане за присъждане на обезщетение за претърпени неимуществени вреди от неизпълнение в достатъчна степен на задължението по чл.59 ЗЗЛД и чл.24 и чл.32 от ОРЗД, довело до нерегламентирано разкриване или достъп до личните й данни, от което ищцата претърпяла неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможни злоупотреби с личните й данни, поради което е претендирала обезщетение на тези вреди в размер на 1000 лв., ведно със законната лихва, считано от датата на изтичане на личните данни 15.07.2019 г. до окончателното изплащане на обезщетението. За да се произнесе по спора, съдът е приел, че ищцата основава иска си на незаконосъобразно бездействие - нарушение на разпоредбите на чл.24 и чл.32 от ОРЗД и чл.59, чл. 45, ал.1, т.6, чл.64, чл.66, ал.1 и ал.2, чл.67 и чл.68 от ЗЗЛД - неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършването на оценка на въздействие на предвидените операции по обработване на личните данни върху тяхната защита. От представените по делото доказателства, съдът е стигнал до извод за наличие на първата предпоставка по чл.1, ал.1 от ЗОДОВ за ангажиране отговорността на НАП , а именно противоправно бездействие от страна на ответника да изпълни произтичащи от разпоредбите на ЗЗЛД и ОРЗД задължения, за да осигури достатъчна надеждност и сигурност на информационната си система, съответно да защити физическите лица във връзка с обработване на личните им данни. Първоинстанционният съд е обосновал извода за липсата на останалите две кумулативни предпоставки за уважаване на иска, а именно претърпени неимуществени вреди, както и неизвършена проверка от ищцата какви конкретно лични данни са били обект на посегателство, както и причинна връзка между изтеклите данни и твърдяните вреди. Предвид липсата на кумулативно изискуемите предпоставки за ангажиране отговорността на ответника по реда на чл.1, ал.1 от ЗОДОВ, първоинстанционният съд е отхвърлил иска като неоснователен. Решението е неправилно като постановено при допуснати съществени нарушения на съдопроизводствените правила. С определение от 05.03.2020 г. са дадени указания на НАП, че следва да подаде писмен отговор в 14 - дневен срок и да посочи доказателствата към него. Указано на ищеца, че носи доказателствена тежест за установяване наличието на незаконосъобразно бездействие на органа, изразяващо се в неполагане на необходимата грижа по опазване на личните данни конкретно на ищеца, на орган или на длъжностно лице на държавата, при или по повод изпълнение на административна дейност; настъпването на неимуществени вреди от незаконосъобразното бездействие на ответника и причинна връзка между незаконосъобразните бездействия и настъпилия вредоносен резултат, както и да докаже претенцията си по размер. С оглед на така установеното, настоящата касационна инстанция намира, че неправилно е разпределена доказателствената тежест между страните. В съдебния процес всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. Ищецът следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Ответникът следва да докаже изпълнението на действията, дължими от него по силата на закона, което следва от изричната норма на чл. 82, §3 ОРЗД, според която администраторът на лични данни следва да докаже, при условията на пълно и главно доказване, че е приел подходящи технически и организационни мерки в съответствие с регламента, така че да изключи всяка своя отговорност за събитието, причинило вредата. В процеса пред първоинстанционния съд, за тези обстоятелства са давани указания единствено на ищеца, с което на практика цялата доказателствена тежест е възложена върху него, без да се съобрази вида на нарушението. На ответника по иска не е указано, че в негова тежест е да установи, че съгласно чл. 24 § 2 и § 3 и чл. 32 ОРДЗ е положил всички усилия и е осъществил всички подходящи политики, взел е всички подходящи мерки за защита на личните данни на всички физически и юридически лица , които притежава и обработва в служебно качество, както и че се придържа към одобрените кодекси за поведение или одобрени механизми за сертифициране, както и че прилага конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. Освен това съдът не е съобразил и служебното начало в съдебния процес по административни дела, включително необходимостта от специални знания за изясняване на съществен въпрос по делото, а именно какъв е техническият механизъм на неоторизирания достъп до лични данни, осъществен на 15.07.2019г. Решението е и необосновано. При липса на дадени указания за доказателствената тежест и на събрани относими към спора доказателства, изводът на административния съд за неоснователност на иска е формиран при посочените по-горе съществени процесуални нарушения, които са довели и до необоснованост на съдебното решение. По делото не е установена причината, довела до нерегламентирано разкриване и разпространение личните данни на ищеца и не е осъществен контрол дали то не е следствие от неприлагането на подходящи мерки за защита. Нарушението на Регламента, респективно липсата на такова нарушение е това, което следва да бъде установено в съдебния процес пред административния съд, като самият факт, че е общоизвестен факт, че случая достъпът до лични данни, съхранявани от ответника от широк кръг от лица не води автоматично до извод, че е установено нарушение на правилата, въведени за защита на личните данни. Неразрешеното разкриване и достъп може да е следствие от нарушението, но това следствие, както и самото нарушение, респективно тяхната липса, трябва да бъдат доказани и това изисква използване на специални знания. Правото на обезщетение и отговорността за причинени вреди са предвидени в чл. 82, § 1 ОРДЗ, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Съгласно § 6 от цитирания текст на ОРДЗ, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата - членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в ОРДЗ, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата им по този Регламент и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни- Глава единадесета "Производство за обезщетения" на Административнопроцесуалния кодекс. Съгласно разпоредбата на чл. 203, ал. 1 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на Глава единадесета. С оглед на изложеното следва извод, че всеки засегнат частноправен субект може да предяви иск за обезщетение, ако са нарушени правата му по този регламент и е налице пряка причинно-следствена връзка между нарушението и вредите. Предметът на доказване по чл. 82 ОРДЗ изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на ОРДЗ; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. В случая липсват доказателства по отношение на посочените елементи. Предвид изложеното настоящия състав намира, че решението следва да бъде отменено като неправилно, а предвид установените нарушения на съдопроизводствените правила следва бъде върнато за ново разглеждане от друг състав на същия съд, който следва да се произнесе и по направените искания за присъждане на деловодни разноски, съобразно изхода на делото.. При новото разглеждане на делото, съдът следва да разпредели доказателствената тежест, като даде конкретни указания за доказателствата, която всяка от страните следва да представи. С оглед фактите, които твърди ищеца и при съобразяване на постановеното решение от 14.12.2023 г. по дело С-340/2021 г. на Съда на Европейския съюз, че разпоредбата на чл. 82, § 1 от ОРДЗ, трябва да се тълкува в смисъл че опасенията, които субект на данни изпитва, в следствие на нарушение на този регламент от потенциална злоупотреба личните му данни от трето лице (трета страна по смисъла на чл. 4, т.10 ) ОРДЗ, могат сами по себе си да представляват нематериална вреда, като следва да бъдат представени доказателства за твърдените настъпили нематериални вреди. По отношение на ответника, за който не е спорно, че е администратор на лични данни по смисъла на чл. 4 § 7 от ОРЗД и при обработването им следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е" ОРДЗ, при указване на доказателствената тежест съдът следва да съобрази приложимата правна уредба, предвид изложеното по-горе, както и постановеното в посоченото решение на СЕС, че принципът на отчетност на администратора по чл. 5, § 7, конкретизиран в член 24 ОРДЗ трябва да се тълкува в смисъл, че в исковото производство по чл. 82 от този регламент, администраторът носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 ОРДЗ са подходящи. При разглеждане на делото, следва да бъде съобразено, че дадената от ищеца правна квалификация не обвързва съда, като от значение за преценката му каква е тя, съдът е обвързан само фактическите твърдения на ищеца, въз основа на които съдът е длъжен да определи вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от ищеца правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента, като въз основа на това се претендира обезщетение по чл. 82 ОРДЗ. Ето защо при формиране на изводите си за наличие или липса на нарушение по тези текстове, съдът следва подробно да обсъди представените от НАП писмени доказателства, при съобразяване на разпоредбата на § 3 на чл. 24 ОРДЗ, а освен това следва да съобрази освен събраните в хода производството доказателства и постановеното в посоченото по-горе решение на СЕС, относно тълкуването на посочените разпоредби на ОРДЗ, а именно, че неразрешеното разкриване на лични данни или неразрешен достъп до такива данни от трето лице по смисъла на чл. 4, т.10 ОРДЗ сами по себе си не са достатъчни, за да се приеме, че приложените от ответника технически и организационни мерки не са подходящи по смисъла на чл. 24 и 32 ОРДЗ, а преценката следва да бъде направена като се вземат предвид рисковете, свързани със съответното обработване и естеството, обхватът и прилагането им, съобразно тези рискове, както и че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 ОРДЗ за обезщетяване на претърпените вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на личните му данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т.10 ОРДЗ. При новото разглеждане на делото, съдът следва да се произнесе по отношение на разноските, съгласно чл.226, ал.3 АПК. На основание чл. 222, ал. 2 от АПК Върховният административен съд, пето отделение