Решение № 11153 от 4.11.2021 г. на ВАС по адм. д. № 9207/2020 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс/АПК/. Образувано е по касационна жалба, подадена от Национална агенция за приходите чрез процесуален представител юрисконсулт Л. Танев, против решение 2820/09.06.2020 г., постановено по адм. дело 11197/2019 г. на Административен съд София-град в частта, с която НАП е осъдена да заплати на М. Шимои, на основание чл. 1, ал. 1 ЗОДОВ, обезщетение в размер от 200 лв. за претърпени неимуществени вреди от незаконосъобразно бездействие на длъжностни лица на агенцията, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане. Решението се обжалва и в частта, с която в полза на ищцата са присъдени разноски в размер на 10 лв., а на адвокат С. СтояноваЮрукова - сумата от 100 лв. адвокатско възнаграждение. Излагат се доводи за неправилност на обжалваното решение поради съществени нарушения на съдопроизводствените правила, необоснованост и нарушение на материалния закон касационни основания по чл. 209, т. 3 АПК. Посочено е, че административният съд неправилно е приел както наличие на бездействие за изпълнение на задължения, предвидени в закон, тъй като агенцията е предприела множество технически и организационни мерки за осигуряване ефективна защита на данните, съдържащи се в информационните масиви на НАП, така и наличие на претърпени неимуществени вреди в причинна връзка с твърдяното незаконосъобразно бездействие. Иска се обжалваното решение да бъде отменено, а исковата претенция изцяло отхвърлена. Направено е искане за присъждане на юрисконсултско възнаграждение. Ответната страна М. Шимои, редовно призована, не се явява и не се представлява. В писмено становище оспорва касационната жалба и моли обжалваното решение да бъде оставено в сила. Направено е искане за присъждане на разноски. Представителят на Върховна административна прокуратура дава заключение, че по същество касационната жалба е основателна. Ищецът не е доказал по безспорен и категоричен начин, че са налице елементите на фактическия състав на чл. 1 от ЗОДОВ. В случая не се установява незаконосъобразно бездействие от страна на длъжностните лица на НАП. Спазени са разпоредбите на чл. 33 и чл. 34 от Общия регламент за защита на личните данни/ЕС/2016/679 на Европейския парламент. Не се установи по делото прилагане на неподходящи технологии или липса на организационни мерки. Вредите, твърдени от ищеца, не са доказани. Решението на първоинстанционният съд е неправилно и следва да се отмени. Върховният административен съд, трето отделение, в настоящия състав, намира, че касационната жалба е подадена в срока по чл. 211, ал. 1 от АПК и е процесуално допустима. Производството пред административния съд е образувано по искова молба на М. Шимои срещу НАП за присъждане на обезщетение в размер на 1000 лв. за неимуществени вреди, представляващи страдания, стрес, притеснения, отрицателни психически изживявания и чувства, причинени от бездействието на ответника изразяващо се в неизпълнение на произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, ведно със законната лихва считано от 15.07.2019 г. до окончателното й изплащане. Административен съд София-град е осъдил Национална агенция по приходите/НАП/ да заплати на М. Шимои на основание чл. 1 от ЗОДОВ обезщетение за причинените й неимуществени вреди в размер на 200 лв., ведно със законната лихва считано от 15.07.2019 г. до окончателното изплащане на сумата, като е отхвърлил иска до пълния предявен размер от 1 000 лв. Осъдил е НАП да заплати на М. Шимои сумата от 10 лв. разноски и на адвокат С. Стоянова-Юрукова сумата от 100 лв. адвокатско възнаграждение на основание чл. 38, ал. 2 от ЗА. Осъдил е М. Шимои да заплати на Национална агенция по приходите/НАП / юрисконсултско възнаграждение в размер на 100 лв. Изложил е мотиви, че поради неоторизирания достъп до сървъра на НАП на 15.07.2019 г. е изтекла информация от информационните масиви на НАП, съдържаща лични данни на ищцата. Приел е, че след като е изтекла информация от сървърите на НАП, вследствие неоторизиран достъп, безспорно е налице противоправно бездействие на ответника да изпълни задължението си да осигури достатъчна надеждност и сигурност на информационната си система. Според съда, бездействието на НАП е незаконосъобразно, противоречи на нормативни изисквания на чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни/ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016/GDPR. Съдът е приел за неотносими доводите на ответника, че след 15.07.2019 г., когато е осъществен нерегламентирания достъп, НАП е предприела мерки за защита личните данни. Решението е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Относимите към спора факти не са изяснени, което е пречка за надлежна проверка за правилно приложение на материалния закон. Настоящият състав счита, че административният съд не е дал подробни и конкретни указания по доказателствената тежест, поради което е изложил необосновани изводи за наличието на предпоставките на отговорността по чл. 1, ал. 1 ЗОДОВ. Неправилно съдът приема, че пред него са доказани предпоставките за присъждане на обезщетение за причинените на ищцата неимуществени вреди. Неправилно е определена правната квалификация на предявения иск. Съгласно чл. 4, ал. 3 от Конституцията, Република България участва в изграждането и развитието на Европейски съюз, а по силата на чл. 5, ал. 4 от Конституцията, международните договори, ратифицирани по конституционен ред, обнародвани и влезли в сила за Република България, са част от вътрешното право на страната. Те имат предимство пред тези норми на вътрешното законодателство, които им противоречат. С оглед на това разпоредбите в Договора за Европейския съюз и в Договора за функциониране на Европейския съюз/ДФЕС/, регламентиращи права на правните субекти имат предимство пред норми на вътрешното право, които им противоречат. Същото важи и за Хартата на основните права на Европейския съюз (Хартата, ХОПЕС), която по силата на член 6, параграф 1 ДФЕС има същата юридическа сила като договорите. Член 8, параграф 1 от Хартата и член 16, параграф 1 от ДФЕС предвиждат, че всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право. Правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и защитата на основни права и свободи на физическите лица и по-специално тяхното право на защита на личните данни, са определени в Регламент (ЕС) 2016/679. На основание член 288, параграф 2 ДФЕС, регламентът е акт с общо приложение, който е задължителен в своята цялост и се прилага пряко във всяка една държава членка. Правото на обезщетение и отговорността за причинени вреди е уредено в член 82, параграф 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Съгласно член 82, параграф 6, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност и притежавани качества. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета Производство за обезщетения на Административнопроцесуалния кодекс. Както вече се посочи, по силата на член 82 от Общия регламент относно защитата на личните данни, всеки засегнат частноправен субект може да предяви иск за обезщетение ако са нарушени правата му по този регламент и е налице пряка причинно-следствена връзка между нарушението и вредите. Материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. Предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда ; 2. Доказано нарушение на Регламент/ЕС/ 2016/679. 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, параграф 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка/в резултат на/ нарушение на регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Следва да се посочи, че дадените от М. Шимои правни квалификации, било то под формата на сочени от нея правни разпоредби или под формата на правните термини/например действие и бездействие по смисъла на закона/ не обвързват съда. От значение са само фактическите твърдения на ищцата, въз основа на които съдът дава вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от нея правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента и именно тези нарушения следва да бъдат разгледани от съда. След като правната квалификация на иска не е чл. 1 ЗОДОВ, безпредметно е съдът да обсъжда наличието на бездействие по смисъла на чл. 1 ЗОДОВ. В случая се претендира, че вредите са претърпени в резултат на нарушение на Регламента, поради което това нарушение следва да се индивидуализира като една от операциите във връзка с обработването на лични данни, дефинирани в чл. 4, т. 2 Регламента, или от нарушаване на личните данни, съгласно определението в чл. 4, т. 12 от Регламента. Разпоредбата на чл. 24 Отговорност на администратора от Общия регламент относно защита на личните данни/ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016/GDPR/, предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствия с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Неправилно АССГ е обсъждал разпоредбата на чл. 59 ЗЗЛД, тъй като тази норма се намира в Глава осма от закона, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това са неотносими към настоящия правен спор. Действително, касационният жалбоподател е администратор на лични данни по см. на чл. 4 §7 от ОРЗД и при обработването на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5 §1 б. а, както и по б. е, а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки (цялостност и поверителност). При тези правни квалификации, съдът е следвало да съобрази и нормата на чл. 82, §3 от Регламента, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно §2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба очертава границите на отговорността на администратора. Разсъждавайки върху елементите на възникване на отговорността на държавата, съдът следва да има предвид, че изразът нарушение на настоящия регламент има широко съдържание и нарушението на сигурността на личните данни е само едно негово проявление, но не го изчерпва. Понятието нарушение на настоящия регламент обхваща всяко отклонение от неговите изисквания, а не се свързва само с разпоредбите, които визират конкретни задължения на администратора или обработващия при нарушение на сигурността на личните данни. Тълкуването на чл. 82, §1 от Регламент (ЕС) 2016/679 дава основание отговорността на администратора или обработващия да се ангажира за по-широк кръг нарушения, обхващащ всяко неизпълнение на изисквания, произтичащи от Регламент (ЕС) 2016/679. Настоящият състав счита, че при постановяване на решението първоинстанционият съд не е обосновал наличието и на трите елемента, обуславящи възникване отговорност на държавата. Доказателствената тежест между страните не е разпределена, съобразно разпоредбата на чл. 154, ал. 1 ГПК, вр. чл. 204, ал. 5 АПК, а в съдебния процес всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. В случая ищцата следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича, а НАП следва да докаже изпълнението на действията, дължими от него по силата на закона. Предвид изричната норма на чл. 82, §3 от Регламента, администраторът на лични данни следва да докаже, при условията на пълно и главно доказване, че е приел подходящи технически и организационни мерки в съответствие с регламента, така че да изключи всяка своя отговорност за събитието, причинило вредата.