Решение № 9317 от 27.8.2021 г. на ВАС по адм. д. № 1613/2021 г.

П. Христова е подала касационна жалба против решение 7418/21.12.2020 г. по адм. дело 6235/2020 г. по описа на Административния съд град София, с което е отхвърлен предявеният от нея срещу Националната агенция за приходите иск с правно основание чл. 1, ал. 1 ЗОДОВ за присъждане на обезщетение в размер на 1000 лева за неимуществени вреди, понесени от незаконосъобразно бездействие на Националната агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задълженията по чл.59 ЗЗЛД и задълженията по чл.24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), заедно със законната лихва от15.07.2019 г. до окончателното изплащане. Направени са оплаквания за неправилност на решението поради съществено нарушение на съдопроизводствените правила, необоснованост и нарушение на материалния закон и е поискано да бъде отменено с постановяването на друго, с което искът да бъде уважен, и се присъдят направените разноски. Националната агенция за приходите е поискала отхвърляне на жалбата и присъждане на разноски. Представителят на Върховната административна прокуратура е дал мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, като провери правилността на решението с оглед направените касационни оплаквания, прие следното: Производството пред административния съд е образувано по исковата молба на П. Христова, с която срещу Националнато агенция за приходите е предявен иск за присъждане на обезщетение в размер на 1000 лева за неимуществени вреди, причинени от бездействието на агенцията, довело до неправомерно придобиване и разпространение на личните ѝ данни притеснения, страх и опасения за възможни злоупотреби с данните, станали достъпни вследствие на хакерска атака. Върху главницата се претендира и законната лихва, считано от деня на изтичане на личните данни 15.07.2019 г., В мотивите си първоинстанционният съд посочил, че по делото е установена първата предпоставка за реализиране на имуществената отговорност на държавата по чл. 1, ал.1 ЗОДОВ - незаконно бездействие от страна на ответника. Съгласно чл.59, ал.1 от Закона за защита на личните данни администраторът бил длъжен да установи, че обработването на данните се извършва в съответствие със закона. По делото не били установени мерките за информационна сигурност, предприети от Националната агенция по приходите, но техническата уязвимост на информационната система, по отношение на която бил осъществен неоторизиран достъп, довела до публичното разкриване и разпространие на лични данни на ищцата. Въз основа на показанията на разпитан свидетел, административният съд приел, че ищцата е преживяла емоционално сътресение от разкриването на личните й данни, но негативните й преживявания не били следствие на изтичането на данните в интернет пространството, а били обусловени от евентуални бъдещи злоупотреби с тях. Поради отсъствието на пряка и непосредствена връзка между бездействието на ответника и притесненията, преживени от ищцата, административният съд отхвърлил като неоснователен предявения иск. Касационната инстанция намира, че при разглеждането на делото и постановяването на решението са допуснати съществени нарушения на съдопроизводствените правила. Административният съд не е изяснил, на първо място, налице ли е разкриване на личните данни на ищцата. Твърдението й е оспорено от ответника в отговора на исковата молба, което предполага доказването му от страната, която се ползва от този факт. На второ място, административният съд не е поискал ищцата да уточни и не е събирал доказателства кои конкретни задължения на Националната агенция за приходите не са изпълнени, в резултат на коeто е допуснато неправомерно разкриване на лични данни. Абстрактните твърдения на ищцата за нарушения на задълженията на ответника по чл.59 ЗЗЛД, по чл.24 и чл.32 от Общия регламент относно защита на данните, не позволяват конкретен отговор от страна на съда и затрудняват защитата на ответника. Административният съд също е направил изводи, основани на общи квалификации, преценявайки че ответникът не е изпълнил вменените му със закон задължения, без да посочи в какво точно се изразява неизпълнението, което не удовлетворява изискването за правилност на съдебния акт, основан на пълно и всестранно изследване на обстоятелствата по случая. Съгласно чл.4, т.2) от Регламент (ЕС) 2016/679 обработване означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване; По делото не е изяснено дали системата на Националната агенция по приходите се поддържа от нейни служители или се обслужва от външна организация, която обработва личните данни по възлагане от името на администратора. Съдът не е установил каква е формата на неизпълнение, в частност, кои организационни и/или технически изисквания по обработване на личните данни не са били изпълнени от ответника, поради което са станали причина за нерегламентирания достъп до обработваните от администратора лични данни. Не може да се сподели разсъждението на съда, че макар да не било установено какви са предприетите от Националната агенция за приходите технически мерки за защита и как са били преодолени от осъществилото неоторизиран достъп лице, те очевидно не са били достатъчни, щом са довели до негламентирано разкриване и разпространение на личните данни на ищцата. Подобно заключение противоречи на правилата на формалната логика, тъй като не отчита, че негативният резултат може да се дължи и на неподходящи мерки, което обаче не представлява бездействие, както и на това, че всяка система е подложена на рискове от неоторизиран достъп, независимо от предприетите от администратора мерки. И в случая са представени доказателства, че Националната агенция за приходите е разработила и прилага документи, назовани "Политика за защита на личните данни ", "Указания за обозначаване и работа с информацията", изготвена е Инструкция 2 от 8.05.2019 г. за мерките и средствата за защита на лични данни, обработвани от агенцията, издадени са съответни заповеди на изпълнителния директор на Националната агенция за приходите. Тези доказателства не са обсъдени от съда, а те сочат отсъствието на бездействие за предприемане на организационни мерки. Затова е необходимо цялостно изясняване на фактите, което би позволило да се направи почиващ на доказателства конкретен извод за не/съответствието на предприетите от Националната агенция за приходите мерки със стандартите за защита на личните данни по Регламент (ЕС) 2016/679 и по националния закон. Съгласно чл.82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. В нарушение на материалния закон административният съд е приел, че няма причинна връзка между бездействието на ответника и преживяванията на ищцата, когато узнала, че личните й данни са публично достъпни. Ако данните са разкрити по причина не само на престъпно дейние, извършено от проникналото в системата лице, а и на неизпълнение на изискванията за тяхната защита от страна на Националната агенция за приходите, то преживяванията на ищцата са тяхно пряко и непосредствено следствие. Тревогите и притесненията, изживени от нея, сами по себе си представляват морални вреди, без оглед на това дали реално ще последва злопотреба с разкритите й лични данни. С оглед допуснатите нарушения на съдопроизводствените правила, на правилата на формалната логика и на материалния закон, решението е неправилно и следва да се отмени с връщане на делото за ново разглеждане от друг състав. Тъй като разглеждането на делото продължава, разноски на страните не се присъждат. По изложените съображения и на основание чл. 222, ал. 2, т.1 АПК Върховният административен съд