Решение № 3294 от 28.3.2025 г. на ВАС по адм. д. № 12017/2024 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП) против решение 20843/22.10.2024 г. постановено по адм. д. 5879/2024 г. по описа на Административен съд София-град (АССГ), в частта с която НАП е осъдена да заплати на А. П. М. сумата от 200 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/Регламент/ОРЗД) и в частта с присъдените разноски. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания съгласно чл. 209, т. 3 АПК. Иска решението да бъде отменено. Подробни съображения в подкрепа на доводите излага касационната жалба и в открито заседание. Претендира разноски по представен списък. Ответникът А. П. М., редовно призован за открито съдебно заседание, не се е явил, не е изпратил представител и не е изразил становище по касационната жалба. Представителят на Върховната касационна прокуратура заявява становище за основателност на касационната жалба. Върховният административен съд, Пето отделение, намира, че касационната жалба е подадена от надлежна страна, в срок и е процесуално допустима. Разгледана по същество е основателна по следните съображения: Производството по адм. д. 5879/2024 г. по описа на АССГ е образувано по реда на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 7523/23.12.2020 г. по адм. дело 4773/2020 г. на АССГ, с решение 7002/07.06.2024 г. по адм. дело 4239/2021 г. на Върховния административен съд, Пето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента, и е дал задължителни указания до съда за конкретно разпределение на доказателствената тежест между страните. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 вр. § 2 от Регламента. Изложени са обвързващи мотиви за липса на относимост към спора на чл. 45, ал. 1, т. 6, чл. 59, ал. 1, чл. 64, чл. 66, ал. 1 и ал. 2 и чл. 67 от Закона за защита на личните данни (ЗЗЛД), който се намира в Глава осма от ЗЗЛД относно правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, респективно неотносими към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. Първоинстанционното производство е образувано по иск с правно основание чл. 82, § 1 вр. § 2 от Регламент (ЕС) 2016/679, разгледан по реда на чл. 203 от АПК, вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ). А. М. претендира обезщетение за неимуществени вреди в размер на 200 лева, настъпили вследствие на незаконосъобразно бездействие от страна на НАП да изпълни задължението си да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни. В изпълнение на дадените указания, при повторното разглеждане на спора АССГ с протоколно определение от 21.09.2021 г. е разпределил доказателствената тежест между страните като е дал указания, че в тежест на ищеца е да докаже, че е налице обработване на неговите лични данни в нарушение на разпоредбите на Регламент (ЕС) 2016/679, реално претърпените вреди и причинно-следствената връзка между претърпените вреди и незаконосъобразното обработване на личните му данни. На ответника е указано, че е в негова тежест да докаже, че е приложил подходящи технически и организационни мерки за сигурност, произтичащи от задължения по Регламент (ЕС) 2016/679. С оглед на така разпределената доказателствена тежест и ищецът и ответникът не са ангажирали нито писмени, нито гласни доказателства, въпреки дадените изрични указания от съда. За да постанови атакуваното пред настоящата инстанция решение, АССГ е приел, че ответникът НАП, в качеството му на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, предвид представените доказателства, не е изпълнил задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Съдът е достигнал до извод, че ответникът НАП, в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения и вменените му по чл. 59, ал. 1 ЗЗЛД. По отношение на втората предпоставка претърпени неимуществени вреди от А. М., АССГ е приел, че такива са налице и същите са доказани с оглед събраните гласни доказателства по адм. д. 4773/2020 г. по описа на АССГ. Относно наличието на третата предпоставка причинно-следствена връзка между вредите и противоправното бездействие, съдът е приел, че такава е налице поради доказаните претърпени неимуществени вреди, вследствие на установеното незаконосъобразно фактическо бездействие на администратора. По тези съображения съдът е осъдил НАП да плати на ищеца А. М. сумата от 200 лв., представляващи обезщетение за претърпени неимуществени вреди, както и за разноски по делото за държавни такси и адвокатско възнаграждение. Така постановеното съдебно решение е валидно и допустимо, но неправилно. Правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, & 1 от Регламент (ЕС) 2016/679, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента § 2, чл. 82. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от чл. 82, § 1 от ОРЗД, включва претърпени материални или нематериални вреди настъпили в причинна връзка с нарушение на Регламент (ЕС) 2016/679. За реализиране на отговорността е необходимо да са налице всички предпоставки от фактическия състав, поради което съдът е длъжен да се произнесе за наличието/липсата на всяка една от тях. От значение са само фактическите й твърдения, въз основа на които съдът следва да даде вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от нея правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. Следва да се отбележи, че неправилно първоинстанционният съд е обсъждал твърдените от ищеца нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, § 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Правилно първоинстанционният съд е разпределил доказателствената тежест между страните, като е указал на НАП да докаже, че е предприела всички технически и организационни мерки за защита на личните данни на физическите лица от неразрешен достъп. Разпоредбата на чл. 82, § 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент (ЕС) 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност, както правилно е преценил първоинстанционния съд. Представените писмени доказателства по адм. дело 4773/2020 г. по описа на АССГ не доказват, че приложените мерки са подходящи за защита на личните данни. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. Разкриването на лични данни в резултат на неоторизирания достъп не презумира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/21, VB, ECLI:EU:C:2023:986, е прието, че чл. 82, § 3 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен за събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Неправилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищеца твърди причинена неимуществена вреда, подробно описана в исковата молба и уточнителна молба. В т. 6 от диспозитива на решение Съда на Европейския съюз (СЕС) от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е посочено, че чл. 82, § 1 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. Връщането на делото за ново разглеждане от друг състав на първоинстанционния съд е в резултат на съществено процесуално нарушение при разглеждане и решаване на спора на първа инстанция, поради което процесуалните действия, извършвани пред съда при първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените му изрични указания при новото разглеждане да докаже настъпването на претендираните вреди, ищеца не се е справил с възложената му доказателствената тежест и не е ангажирала нито писмени, нито гласни доказателства. От ангажираните писмени доказателства от първоначалното разглеждане на спора пред съда справка от НАП със съдържание За [идентификатор] има разпространени данни, които включват: ЕГН и имена и идентификационни за лице, в качеството на представляващ юридическо лице, от подадена годишна данъчна декларация за данъчния финансов резултат и дължимия годишен корпоративен данък (чл. 92 ЗКПО) за 2018 г.., се доказва нерегламентираното разпространение на личните данни на ищеца, както и техния обем. Съобразявайки свидетелските показания, събрани при първоначалното разглеждане на спора, АССГ е допуснал процесуално нарушение и фактическите установявания въз основа на тях са необосновани. Следователно от допустимите доказателства не се установяват факти, които да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. Като е достигнал до противоположен правен извод и е определил по справедливост обезщетение за неимуществени вреди АССГ е постановил неправилно решение, което подлежи на отмяна в тази част, а вместо него трябва да бъде постановено друго, с което да бъде отхвърлен иска. С оглед промяната в окончателния изход на спора обжалваното съдебно решение следва да бъде отменено и в частите относно присъдените на всяка от страните разноски по делото, а претендираните и направени от НАП разноски за всички инстанции за представителство от юрисконсулт и държавна такса за касационно обжалване, общо в размер на 470 лв. (по 100 лв. за юрисконсултско възнаграждение за всяка една от съдебните инстанции и 70 лв. държавна такса за касационна инстанция) трябва да бъдат възложени изцяло в тежест на А. М.. По изложените съображения и на основание чл. 221, ал. 2 АПК, Върховният административен съд, Пето отделение