Решение № 6761 от 4.6.2024 г. на ВАС по адм. д. № 2161/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП/Агенцията) срещу решение 1940 от 14.12.2020 г. постановено по адм. дело 632/2020 г. по описа на Административен съд - Благоевград. Касационният жалбоподател обжалва съдебното решение като твърди, че е постановено при нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК, поради което иска да бъде отменено, а вместо него да бъде постановено друго, с което да бъде отхвърлен предявения иск за обезщетение. Претендира разноски за двете инстанции. Ответникът Е. И. М. оспорва касационната жалба по съображения в писмен отговор. Претендира разноски за касационна инстанция. Представителят на Върховната прокуратура заявява становище за частична основателност на касационната жалба. Върховният административен съд, пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима, а разгледана по същество е основателна по следните съображения: С обжалваното решение 1940 от 14.12.2020 г. постановено по адм. дело 632/2020 г. по описа на Административен съд Благоевград НАП е осъдена да заплати на Е. И. М. обезщетение в размер на 500 лв., ведно със законната лихва върху обезщетението, считано от датата на влизане в сила на решението до окончателното изплащане, за претърпени неимуществени вреди за периода 15.07.2019 г. 15.07.2020 г., настъпили в резултат на незаконосъобразно бездействие от страна на Национална агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/Регламент/ОРЗД). При разглеждане на предявения иск административният съд не е приел за основателни доводите на ответника НАП, че неоторизираният достъп, осъществен от трета страна по смисъла на чл. 4, т. 10 от ОРЗД, сам по себе си не е достатъчен, за да се приеме, че предприетите от страна на администратора технически и организационни мерки са подходящи, а е приел, че самият неоторизиран достъп до електронните системи на НАП е станал възможен поради техническата уязвимост на системите на НАП, която е вследствие от неизпълнение на задълженията по Регламента и закона. Допълнително съдът е приел за безспорно доказателство самото обстоятелство за осъществения неоторизиран достъп, че от страна на НАП не е извършена оценка на подходящото ниво на сигурност и не са взети подходящите технически и организационни мерки. На тази основа е обоснован извод за наличието на първия елемент от фактическия състав за ангажиране на отговорността на НАП извършено нарушение на ОРЗД, изразено в противоправно бездействие от страна на администратора на лични данни по предприемане на необходими мерки и ефективни средства на защита на обработваните данни, с оглед задълженията му по чл. 59, ал. 1 от ЗЗЛД и по чл. 24 и чл. 32 от ОРЗД. С оглед представените в доказателства по делото (писмени и гласни) първоинстанционният съд е приел за доказани твърдените от ищцата Е. М. неимуществени вреди (негативни емоции и психически дискомфорт). Съдът е приел, че претърпените вреди от ищцата Е. М. са пряка и непосредствена последица от разкриването на личните ѝ данни. Въз основа на така установената фактическа обстановка, административният съд е заключил, че са налице и трите елемента от фактическия състав за реализиране на отговорност на администратора на лични данни (НАП), вследствие на което частично е уважил предявения иск като е определил по справедливост дължимото обезщетение, с оглед естеството, продължителността и интензитета на преживените неудобства и притеснения и ефект им върху психическото и емоционално здраве на ищцата Е. М., ведно със законната лихва от датата на влизане в сила на решението. Така постановеното съдебно решение е валидно и допустимо, но неправилно. Първоинстанционният съд е осъществил служебна проверка относно редовността на исковата молба и е приел, че е сезиран с иск за обезщетение за неимуществени вреди, причинени от неизпълнение в достатъчна степен на задължения на администратор на лични данни, което е довело до неправомерно разпространяване на личните данни на физическо лице, причинило му неимуществени вреди. Съдебното решение е постановено в законен състав след сезиране от заинтересовано лице с претенция за заплащане на парична сума, а искът е подсъден на административните съдилища с оглед произхода на твърдяното за съществуващо вземане на ищеца. Касационното оплакване за допуснати съществени нарушения на съдопроизводствените правила е основателно. С разпореждане от 03.08.2020 г. административния съд определя предмета на делото, конституира страните както следва: ищец Е. М. и ответник НАП, дава указания да се изпатят преписи от исковата молба на ответника и на съответната окръжна прокуратура и дава указание на ответника да представи поисканата от ищеца справка за вида и обема на личните му данни до които е осъществен неоторизиран достъп, както и документите до които е бил осъществен нерегламентирания достъп. По делото няма данни административния съд въобще да е разпределил доказателствената тежест в процеса. В съдебния процес всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. Ищецът следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Ответникът следва да докаже изпълнението на действията, дължими от него по силата на закона, което следва от изричната норма на чл. 82, §3 ОРЗД, според която администраторът на лични данни следва да докаже, при условията на пълно и главно доказване, че е приел подходящи технически и организационни мерки в съответствие с регламента, така че да изключи всяка своя отговорност за събитието, причинило вредата. В процеса пред първоинстанционния съд, за тези обстоятелства не са давани указания. На НАП не е указано, че в негова тежест е да установи, че съгласно чл. 24 § 2 и § 3 и чл. 32 ОРДЗ е положил всички усилия и е осъществил всички подходящи политики, взел е всички подходящи мерки за защита на личните данни на всички физически и юридически лица , които притежава и обработва в служебно качество, както и че се придържа към одобрените кодекси за поведение или одобрени механизми за сертифициране, както и че прилага конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. Необосновано решаващият съд е обосновал извод, че липсата на мерки са логическа последица от самото осъществяване на неоторизиран достъп и не е дали никакви указания относно разпределението на доказателствената тежест между страните по делото. Поради неразпределянето на доказателствената тежест от страна на административния съд фактическата обстановка се явява неизяснена, а приетите факти необосновани в резултат от допуснатото процесуално нарушение. Липсата на правилно установена фактическа обстановка по спора е пречка за проверка приложението на материалния закон от касационната инстанция (чл. 220 от АПК). По изложените съображения касационната инстанция намира за основателно оплакването в касационната жалба за допуснато съществено процесуално нарушение, което обуславя необходимостта от отмяна на постановеното първоинстанционно решение без обсъжда на останалите касационни оплаквания и връщане на делото за ново разглеждане от друг състав с указания относно правилното приложение на материалния закон. При новото разглеждане на делото съдебния състав следва да разпредели доказателствената тежест, като даде конкретни указания на страните при съобразяване и с решение Съда на Европейския съюз (СЕС) от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, според което разпоредбата на чл. 82, пар.1 от ОРДЗ трябва да се тълкува в смисъла, че опасенията, които субект на данни изпитва, в следствие на нарушение на този регламент от потенциална злоупотреба личните му данни от трето лице (трета страна по смисъла на чл. 4, т.10 от ОРДЗ), могат сами по себе си да представляват нематериална вреда, които също подлежат на доказване. Администраторът на лични данни по смисъла на чл. 4, т. 7 от ОРЗД при обработването им следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, пар. 1, б. а, както и по б. е от ОРДЗ, поради което при указване на доказателствената тежест, съдът трябва да съобрази посочената приложимата правна уредба и цитираното решение на СЕС, в което е тълкувана. С оглед изхода на спора разноски от касационната инстанция не следва да бъдат определяни, а направените трябва да бъдат съобразени при условията на чл. 226, ал.3 от АПК. По изложените съображения и на основание чл. 222, ал. 2 от АПК, Върховният административен съд, пето отделение,