Решение № 13218 от 18.12.2025 г. на ВАС по адм. д. № 8642/2025 г.

Производството по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по две касационни жалби, подадени съответно от Национална агенция за приходите и от Д. И. К., против решение 3273/15.07.2025 г., постановено по адм. д. 808/2024 г. по описа на Административен съд Пазарджик ( АС Пазарджик). В касационната жалба на Национална агенция за приходите ( НАП) се твърди, че обжалваното съдебно решение е неправилно и незаконосъобразно касационно основание по чл. 209 т. 3 от АПК. Касационният жалбоподател иска да бъде отменено съдебното решение на АС Пазарджик и вместо него се постанови решение, с което се отхвърли предявения иск от Д. И. К. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 2 000 лева, за периода от 16.07.2019 г. до 15.07.2024 г., които са следствие от неизпълнение от страна на НАП в достатъчна степен на задължението й, произтичащи пряко от чл. 24 и чл. 32 от Общия регламент относно защитата на личните данни (ЕС) 2016/679. Подробни съображения в подкрепа на касационните основания са изложени в касационната жалба и се поддържат в позиция по същество от процесуалния представител - юрк.Иванова. Претендира се присъждане на юрисконсултско възнаграждение. В касационната жалба на Д. И. К., подадена чрез пълномощник, се твърди, че съдебното решение на АС Пазарджик е неправилно, постановено при съществени нарушения на съдопроизводствените правила и необосновано - касационно основание по чл. 209, т. 3 от АПК, поради което се иска да бъде отменено. След възпроизвеждане в жалбата на на части от обжалваното съдебно решение се възразява срещу размера на обезщетението за неимуществени вреди и на присъдените разноски и се иска уважаване на исковата претенция в пълния предявен размер от 2 000 лв. и присъждане в цялост на претендираните разноски. Прокурорът от Върховна касационна прокуратура дава мотивирано заключение за неоснователност на касационните жалби. Върховният административен съд, пето отделение, намира, че касационните жалби са подадени от надлежни страни, в срок и са процесуално допустими, а разгледани по същество са неоснователни, по следните съображения: Производството по адм. дело 808/2024 г. по описа на АС Пазарджик е образувано по предявен от Д. И. К. иск срещу НАП, за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба и в уточнението към нея, в размер на 2000 лв., претърпени за периода от 16.07.2019 г. до 15.07.2024 г., които са следствие от пробив в електронната система на НАП от 16.07.2019 г. и неизпълнение от страна на НАП в достатъчна степен на задълженията й, произтичащи пряко от чл. 24 и чл. 32 от Общия регламент относно защитата на личните данни, в качеството на администратор на лични данни. С главния иск е съединен иск за заплащане на законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното изплащане на сумата. Първоинстанционният съд е приел за безспорно, че вследствие на неоторизиран достъп на 15.07.2019 г. до информационните масиви на НАП, неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани (над 6 000 000 субекти на данни). От представеното Удостоверение изх. 54-13-1927/20.05.2025 г. съдът приел за установено, че на ищеца са разкрити лични данни, съставляващи ЕГН и имена, данни за изплатени доходи за 2007 г. и 2008 г., данни от ГДД по чл. 41 от ЗОДФЛ за 2003 г., 2004 г., 2006 г., данни от ГДД по чл. 50 от ЗДДФЛ за 2010 г., данни от справка за изплатени доходи по чл.73 от ЗДДФЛ за 2008 г., 2010 г., 2014 г. и 2017 г., данни от финансови отчети за 2008 г., идентификационни данни в качеството на представляващ юридическо лице от подадена ГДД за данъчния финансов резултат и дължимия годишен корпоративен данък по чл.92 от ЗКПО за 2014г., 2017 г. и 2018 г. и идентификационни данни в качеството на представляващ юридическо лице от подадена декларация по чл.51 от ЗКПО за 2006 г. Съдът е анализирал представените писмени доказателства от страна на НАП за изпълнение на задълженията й като администратор, относно защитата на личните данни, както и показанията на разпитан свидетел, за установяването на претърпените от ищеца неимуществени вреди. Въз основа на установените фактически обстоятелства, от правна страна първоинстанционният съд е приел, че предявеният иск е с правно основание чл. 82, пар. 1 Регламент (ЕС) 2016/679 във връзка с чл. 39 ЗЗЛД вр. с чл. 203 АПК, като НАП, в качеството на администратор на лични данни, не е изпълнила задълженията си, произтичащи от нормативната рамка, да обезпечи достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, във вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД. По отношение на втората и третата предпоставка съдът е приел, че е налице твърдяната от ищеца претърпяна вреда и причинно следствената връзка между вредата и неправомерното бездействие. Съдът се е позовал на справката от НАП относно обема на неправомерно разпространените лични данни за ищеца. Съдът е приел за доказани, съгласно дадените свидетелски показания, претърпените от Д. К. неимуществени вреди, обосновани подробно в обжалваното решение и наличието на причинно следствена връзка между незаконосъобразното бездействие на НАП и вредите. При така установено от правна и фактическа страна съдът е приел исковата претенция за частично основателна, като е определил по справедливост обезщетение на ищеца в размер на 300 лв. Поради основателността на главния иск е уважил и акцесорния иск за лихва върху обезщетението. Определил е разноски на страните, съразмерно на уважената част на исковата претенция. Обжалваното решение е валидно и допустимо, като постановено от надлежен съдебен състав, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно и следва да бъде оставено в сила по следните съображения: Предявеният иск е с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид член 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. АС Пазарджик правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от страна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. В съответствие с чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл. 5 ОРЗД. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни, какъвто в случая е НАП, да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Видът и обема на тези мерки не е конкретно посочен, защото всеки администратор следва сам да определи кои да бъдат тези мерки. С оглед член 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност, съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да се докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Поради това, правилно първоинстанционният съд е разпределил доказателствената тежест между страните, като е указал на НАП да докаже, че е предприела всички технически и организационни мерки за защита на личните данни на физическите лица от неразрешен достъп, с която доказателствена задача ответникът в първоинстанционното производство не се е справил. В производството, в което е постановено обжалваното решение, ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност, както правилно е преценил първоинстанционния съд. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Разкриването на лични данни в резултат на неоторизирания достъп не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Последното обстоятелство, а именно, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен, е останало недоказано от ответника в производството. Това е резултат от несправянето на ответникът с доказателствената задача да установи благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Правилно съдът е приел, че в процесния случай е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба и уточнението на исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. На същият, от първоинстанционния съд са дадени указания да докаже твърдените за претърпени неимуществени вреди и той се е справил с възложената му тежест на доказване. Обоснован и съответен на приетите по делото доказателства е извода на първостепенния съд, че ищецът е претърпял неимуществени вреди притеснения от бъдещи злоупотреби с личните му данни. Налице е и справка от НАП, от която са видни видът и обема на изтеклите лични данни на Д. К.. Правилно е заключението на АС Пазарджик относно наличието на причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл.82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т.е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретния случай поведението на ответника бездействие (неизпълнение на задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни (събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните опасения и притеснения, т.е. доказания в производството отрицателен резултат в сферата на ищеца. Следователно, изпитаните негативни емоции от страна на ищеца са вследствие от неправомерното бездействие на НАП, поради което правилно АС Пазарджик е извел извод за наличие на третата предпоставка от фактическия състав по чл. 81, пар. 1 от Регламент (ЕС) 2016/679. Законосъобразен и е извода на първоинстанционния съд за частична основателност на претендираното обезщетение за вреди. Обезщетението за неимуществени вреди се присъжда по справедливост, съгласно чл. 52 ЗЗД. Размера на обезщетението за неимуществени вреди се определя с оглед характера на същите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние като следствие от тях. Съдът обосновано е приел, че обезщетение в размер на 300 лв. е съразмерно на претърпените неимуществени вреди, отговаря на конкретните данни по делото и е в съответствие с обществените представи за справедливост. Предвид изложеното, обжалваното решение е правилно и обосновано, не са налице сочените касационни основания за отмяната му, поради което следва да се остави в сила. С оглед изхода на спора разноски на страните за касационното производство не следва да бъдат присъждани. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, Пето отделение