Решение № 9862 от 19.9.2024 г. на ВАС по адм. д. № 12913/2020 г.

Производството е образувано по чл. 208 и следв. от Административно процесуалния кодекс. Образувано е по касационна жалба на Националната агенция за приходите (НАП), подадена чрез пълномощника гл. юрисконсулт Р. Димитрова , срещу решение 4976 от 25.09.2020 г., постановено по адм. дело 11321/2019 г. по описа на Административен съд София - град (АССГ), в частта му с която НАП е осъдена да заплати на В. А. К. от гр. София сумата от 500 лева, представляваща обезщетение за причинени й неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата, по предявен иск с правно основание по чл.79, параграф 1 и чл.82, параграф 1 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, като неоснователен. В тази част то не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът счита по отношение вмененото му незаконосъобразно фактическо бездействие, че цитираните от него приложими норми на ОРЗД, ЗЗЛД и Закона за отговорността на държавата и общините за вреди (ЗОДОВ) има предвид такова по чл. 256 АПК и очертания от не го предмет на доказване. Твърди се също така от касатора, че НАП е предприела редица технически и организационни мерки за защита при обработването на лични данни, за което е представила доказателства, поради което необосновано АССГ е приел, че е налице твърдяното незаконосъобразно бездействие на Агенцията. Заявява, че съдът не е взел предвид образуваното пред Софийски районен съд административно наказателно дело 14811/2019 г. по повод обжалването от НАП на наказателно постановление 004 от 28.08.2019 г., издадено от председателя на Комисията за защита на лични данни (КЗЛД) във връзка с осъществен неоторизиран достъп до информационната система на НАП, което към тогавашния момент не е било приключило с влязъл в сила съдебен акт. Счита, че не е установено какви лични данни са изтекли по отношение на ищеца и действията които той е предприел в тази насока. Оспорва приетите като претърпени неимуществени вреди от ищеца под формата на стрес, безпокойство и притеснение, които съответно да са в причинна връзка с твърдяното неправомерно бездействие на администратора на лични данни. Също така съдът не е обсъдил становището на участвалия по делото прокурор, чиято категорична позиция е за неоснователност и недоказаност на ищцовата претенция. Въз основа на изложените оплаквания иска отмяна на атакуваното съдебно решение и постановяване на друго, с което предявеният иск бъде отхвърлен изцяло. Претендира юрисконсултско възнаграждение. Ответникът по касация В. А. К. чрез адвокат С. Юрукова, в представени писмен отговор, молба и писмена защита, оспорва жалбата и моли съда да постанови решение, с което да я остави без уважение. Иска присъждане на съдебно-деловодни разноски, съгласно приложен списък по чл. 80 от Гражданския процесуален кодекс (ГПК). Представителят на Върховна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е основателна. Предмет на разглеждане пред АССГ е предявен иск с правно основание чл. 82, § 1 от ОРЗД, разгледан по реда на чл. 203 АПК, вр. чл. 39, ал. 2 ЗЗЛД, като се претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на В. К. като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване нейни лични данни. С молби от 22.10.2019 г. и 15.11.2019 г. ищецът е уточнил периода на претенцията и е конкретизирал, че оспорва бездействието на НАП да защити личните му данни, като едновременно с това предявява иск за обезщетение на причинените от това бездействие и предизвикано от ответника разпространение на личните му данни неимуществени вреди. От фактическа страна е прието, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на около 5 000 000 български граждани. Въз основа на извършена справка в специално разработено от НАП приложение /по ЕГН/ - на 02.07.2019г. ищеца разбира, че са изтекли нейни лични данни- ЕГН и имена; данни от справка за изплатени доходи на ФЛ за няколко конкретни календарни години. По делото са приети писмени доказателства, от които се установява, че след изтичането на лични данни от информационните масиви на НАП, последната е информирала за това Софийска градска прокуратура и КЗЛД. Във връзка с предприети мерки за правомерно обработване и съхранение на личните данни от НАП са представени доказателства относно предприетите мерки във връзка с неправомерния достъп до информационните й масиви. От КЗЛД е предоставена информация, че е извършила проверка за изтеклата информация от информационните масиви на НАП, при която е установено, че при осъществяване на дейността си НАП не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. За така установеното, председателят на КЗЛД е издал наказателно постановление против НАП за нарушение на чл. 32, § 1, б. б от ОРЗД. Наказателното постановление е обжалвано пред Софийския районен съд и не е влязло в сила. Събрани са гласни доказателства, чрез разпит на свидетеля И. Ю., приятел на ищеца. Според показанията му Е. И. е изпитвал притеснения когато научил за изтеклите му лични данни, да не бъде изтеглен кредит на негово име или да не се разпореди някой с негово движимо и недвижимо имущество. Поведението му се рязко променило с непрестанни мрачни мисли за злоупотреба с него. При тези така установената фактическа обстановка АССГ е приел предявеният иск за допустим и частично основателен, като го е уважил за сумата от 500 лева. Решението е неправилно. Съгласно чл. 82, § 6 от Регламент (ЕС) 2016/679, съдебните производства във връзка с упражняването на правото на обезщетение при нарушаване на правата на субекта на лични данни, произтичащи от Регламента, се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в чл. 79, § 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на АПК. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност - публични органи или частноправни субекти. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора на лични данни е съответно на ОРЗД. Незаконосъобразността на същите, което е в пряка причинна връзка с претендираната вреда е основание за ангажиране на отговорността на извършителя и в този контекст чл. 39, ал. 2 ЗЗЛД дава правна възможност на субекта на данни да предяви и претенцията за обезщетение, която да бъде разгледана в същото производство. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета Производство за обезщетения на АПК. Следователно, правото да се претендира обезщетение за вреди, причинени от администратор на лични данни при или по повод обработване на лични данни на засегнатия субект се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК с препращане за неуредените въпроси към ЗОДОВ и ГПК. В случая правилно АССГ е съобразил, че правната квалификация на иска е в съответствие с подробно сочена съдебна практика на ВАС по идентични дела, подробно описани, а именно : чл. 79, § 1 и чл. 82, § 1 от ОРЗД. Първата от тези разпоредби предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно чл. 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване чл. 79, § 2. Правото на обезщетение и отговорност за причинени вреди е предвидено в чл. 82, § 1, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Не може да бъде възприето възражението на касационния жалбоподател, че не е установено по отношение на ищеца да са разкрити лични данни, тъй като справката за това какви данни са изтекли за ищеца изхожда от НАП и тя правилно е била възприета от АССГ като установяваща наличието на този факт. От значение за разрешаването на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., като производството по настоящото дело беше спряно до постановяването му. Съгласно това решение чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Предвид дадените указания от СЕС, при правилност на определеното от АССГ правно основание на предявения иск - чл. 82 ОРЗД и разпределение на доказателствената тежест, решаващият съд е достигнал до незаконосъобразни правни изводи. От доказателствата по делото може да се направи категоричен извод за наличие трите предпоставки за основателност на иска по чл. 82 ОРЗД - допуснато от администратора на данни нарушение на Регламент (ЕС) 2016/679, наличие на материална или нематериална вреда и причинна връзка между претърпяната вреда и нарушението на Регламента. Първоинстанционният съд обосновано на установените факти по делото е приел, че е налице първата предпоставка - нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни спрямо правата на ищеца, в качеството му на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, § 3 ОРЗД, НАП не доказва в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да минимизира риска от нерегламентиран достъп на трети лица. Независимо от правилно разпределената тежест на доказване от АССГ, Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищеца са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищеца за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищеца и останалите физически лица. По изложените съображения касационният състав намира за правилен извода на АССГ, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Обосновано на доказателствата по делото съдът е намерил, че са налице също втората и третата предпоставка за основателност на исковата претенция. Защитата на физическите лица във връзка с обработването на лични данни е основно право. Чл. 8, § 1 от Хартата на основните права на Европейския съюз и чл. 16, § 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. В случая действително е накърнено основно право на ищеца - физическо лице, от ответника като администратор на лични данни поради извършеното обработване на личните му данни, което нарушава Регламент (ЕС) 2016/679. Следва да се споделят съображенията, че ищецът може да претендира обезщетение за неимуществените вреди от бездействието на ответника да изпълни задължението си да защити по сигурен начин данните му като физическо лице. Нематериалните вреди настъпват в резултат от нарушаването сигурността на данните, като в съображения 146 от Регламента е посочено, че понятието вреда следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. Настоящата инстанция обаче не споделя изводите на първоинстанционния съд относно доказаност на претърпените от ищеца неимуществени вреди - втория елемент от фактическия състав на отговорността по чл. 82 от ОРЗД. Съдът правилно е разпределил доказателствената тежест и е указал на ищеца, че следва да установи видът и обема на претърпените от него вреди. Ценейки събраните по делото гласни доказателства, съдът формира извод, че само въз основа на тях не може да се извлече наличие на вреди. Не може да бъде споделен изводът на първоинстанционния съд, че настъпването на вредите въпреки това следва да се презумира единствено с факта на изтичане на данни, без да са нужни формални външни доказателства за установяване на обичайни вреди- същите според съда винаги настъпват в резултат от нарушаването сигурността на данните. За да може да се приложи принципа на равностойност и ефективност, съгласно решение по дело С-300/21 на СЕС, ищеца следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства в посочения смисъл имат за правна последица недоказаност на втория елемент от фактическия състав на отговорността. Тъй като трите елемента са кумулативно дадени в чл.82 от ОРЗД, липсата на доказаност на който и да е от тях води до неоснователност на иска, в какъвто смисъл е решението на съда. Следва да се посочи, че вредите не се презумират и съдебната практика на ВКС е не относима към спора. Предвид принципа на процесуална автономия във вътрешния правов ред на всяка държава членка, настоящият състав приема, че правилата за доказателствена тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове и следователно е спазен принципа на равностойност. Освен това правилото на чл.154, ал.1 от ГПК, всяка страна да установява фактите, на които основава своите искания и възражения, не прави практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза и следователно е спазен принципа на ефективност. Предвид на изложените съображения настоящият касационен състав приема, че обжалваното решение в оспорената част е неправилно, поради което то следва да бъде отменено и вместо него постановено друго по същество на спора, с което предявеният иск на В. К. бъде изцяло отхвърлен като неоснователен .