Решение № 9295 от 25.8.2021 г. на ВАС по адм. д. № 9872/2020 г.

А. Кръстева е подала касационна жалба против решение 4292/30.07.2020 г. по адм. дело 11283/2019 г. по описа на Административния съд-град София, с което е отхвърлен предявеният от нея против Националната агенция за приходите иск с правно основание чл. 1, ал. 1 ЗОДОВ за присъждане на обезщетение в размер на 1000 лева за неимуществени вреди, ведно със законната лихва от 15.07.2019 г. до окончателното изплащане. Направени са оплаквания за неправилност на решението поради съществени нарушения на съдопроизводствените правила, необоснованост и нарушение на материалния закон и е поискано да бъде отменено с постановяването на друго, с което искът да бъде изцяло уважен с присъждане на разноски. Националната агенция за приходите е поискала отхвърляне на жалбата и присъждане на разноски. Представителят на Върховната административна прокуратура е дал мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, като провери правилността на решението с оглед направените касационни оплаквания, прие следното: Административният съд е установил на основата на общоизвестни факти, че 15.07.2019г. е извършен пробив в електронната база данни на Националната агенция за приходите , при което неправомерно е придобита голям обем информация, съдържаща лични данни на български граждани. Според предоставените със писмо изх. ППН-01-1670/05.11.2019г. на Комисията за защита на личните данни сведения, неоторизираният достъп до базата данни на Националната агенция по приходите е имал за последица разкриване и разпространение на лични данни на физически лица: имена, ЕГН и адреси, телефони, електронни адреси и друга информация за контакт, данни от годишни данъчни декларации на физически лица, данни от справките за изплатени доходи на физически лица, данни от осигурителните декларации, данни за здравноосигурителни вноски, данни за издадени актове за административни нарушения и други. Фактът обаче не обосновавал извод, че разкриването на личните данни на физическите лица се дължи на незаконосъобразно бездействие на ответника. Осъществено било престъпно деяние, за разследването на което е образувано досъдебно производство. Бездействието на администратора на лични данни не можело да се допусне само поради това, че е бил осъществен нерегламентиран достъп. Административният съд подчертал, че не всяка институция, която е била обект на хакерска атака, следва да понесе отговорност за вреди въз основа единствено на допускане, че от нейна страна не са положени достатъчно грижи, които да предотвратят проникването в базата "данни". От Националната агенция по приходите били представени Политика по информационна сигурност - версия 3.0, май 2016г. ,Методика за оценка на риска приложение 3, версия 1.1, ноември 2015г., Инструкция 2/08.05.2019г. за мерките и средствата за защита на лични данни, обработвани в Националната агенция по приходите и реда за движение на преписки и заявяване на регистри, заповед З-ЦУ-1436/15.10.2018г. на изпълнителния директор на Националната агенция за приходите, с която са утвърдени указания за обработване и съхраняване на данни, заповед ЗЦУ-746/25.05.2018г. на изпълнителния директор на Националната агенция за приходите, с която е утвърдена политика за защита на личните данни, Процедура Оценка на риска за информационната сигурност- номер ПФИС 7, версия В, заповед ЗЦУ-586/30.04.2014г. на изпълнителния директор на Националната агенция за приходите за внедряване, считано от 01.05.2014г., на Система за управление на сигурността на информацията в Националната агенция за приходите. Тези документи не били оспорени от ищцата. Недоказано останало твърдението й, че от документите не се установява фактическото изпълнение на предписаните мерки. Въпреки дадените указания, ищцата не ангажирала доказателства за наличието на незаконно бездействие от страна на Националната агенция за приходите, поради което искът й следвало да се отхвърли. За пълнота на изложението съдът отбелязал, че ищцата не е доказала и настъпването на неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни, и причинно-следствената връзка между тях. Към исковата молба била приложена екранна снимка на текстово съобщение от 26.07.2019г., 08,46 часа, със следното съдържание: НАП: По заявка номер 8191 има неправомерно разкрити лични данни, от което не ставало ясно чии лични данни са разкрити и в какъв обем. Според показанията на свидетеля Е. Кръстев,баща на А. Кръстева, притесненията й са били свързани с това, че може да бъде извършена измама като се подправи личната й карта, да бъдат изтеглени кредити от нейно име, да бъде извършена измама с имуществото й или посегателство върху личността й, тъй като всеки знаел къде живее. Административният съд отбелязал, че изтичането на лични данни в публичното пространство можело да предизвика емоционален дискомфорт у всеки човек, но вредите трябвало да са реални, а не хипотетични. В случая не било доказано, че публичното оповестяване на лични данни имало негативни последици за ищцата, при което е довело до влошаване на самочувствието й, на самооценката й, на работата й и на отношенията й в семейството, с близките и приятелите й, на здравословното й състояние и други. Евентуалните вреди, настъпили за ищцата, били причинени по-скоро от публичното оповестяване в интернет пространството на неправомерно обявените нейни лични данни. Това обстоятелство изключвало пряката и непосредствена причинно-следствена връзка между деянието и вредите. С тези мотиви административният съд отхвърлил предявения иск. Касационната инстанция намира, че при разглеждането на делото са допуснати съществени нарушения на съдопроизводствените правила. Първоинстанционният съд е положил усилия, но не е изяснил всички относими факти. Основателно е оплакването по касационната жалба, че съдът не е разпределил правилно доказателствената тежест, тъй като ответникът, а не ищецът, носи доказателствената тежест да установи изпълнение на задълженията за защита на съхраняваните от него лични данни. Вярна е обаче констатацията на съда, че ответникът е представил писмени доказателства, от които може да се направи извод, че той не е бездействал, за да осигури защитата на обработваните от институцията лични данни. Следва да се сподели и преценката на съда, че самият факт на публично оповестяване на лични данни на физически лица в резултат на неправомерно проникване в системата на Националната агенция за приходите не може да се приравни на проявено от институцията незаконно бездействие. В този контекс следва да се отбележи, че ищцата има задължение да въведе с исковата молба конкретни, а не общи твърдения за незаконно бездействие на длъжностни лица на ответника, което, наред с престъпното деяние, е довело до настъпване на вредоносния резултат. Позоваването на нарушения на нормите на чл.59 ЗЗЛД, чл.24 и чл.32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО, само по себе си не е достатъчно, още повече че тези норми са бланкетни и твърдението, че са били нарушени, не дава посока на процеса на доказване. Първоинстанционният съд е отбелязал вярно, че ищцата не е доказала разкриването на личните й данни. След като е разпределил доказателствената тежест, съдът не е длъжен да указва на страната, че представените от нея доказателства не са достатъчни или че съдържанието им не е достатъчно пълно. Съгласно чл.4, т.2) от Регламент (ЕС) 2016/679 обработване означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване . Съдът е следвало да събере доказателства след съответни указания към страните по делото каква е формата на неизпълнение, в частност, кои организационни и/или технически изисквания по обработване на личните данни не са били изпълнени от ответника, поради което са станали причина за нерегламентирания достъп до обработваните от администратора лични данни. Необходимо е и да се направи разграничение между отговорността на администратора и на обработващия личните данни. Съгласно чл.82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или от обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. В нарушение на правилата на формалната логика административният съд е приел, че няма причинна връзка между бездействието на ответника и преживяванията на ищцата, когато узнала, че личните й данни са публично достъпни. Ако данните са разкрити по причина не само на престъпно деяние, извършено от проникналото в системата лице, а и на неизпълнение на изискванията за тяхната защита от страна на Националната агенция за приходите, то преживяванията на ищцата са тяхно пряко и непосредствено следствие. Тревогите и притесненията, изживени от нея, сами по себе си представляват морални вреди, без оглед на това дали реално ще последва злоупотреба с разкритите й лични данни. Отговорността на ответника не зависи от характера на вредите, а от факта на настъпването им. Видът и степента на засягане на личната сфера на лицето имат значение само за размера на обезщетението. С оглед констатираните касационни основания решението е неправилно и следва да се отмени с връщане на делото за ново разглеждане от друг състав. Тъй като разглеждането на делото продължава, разноски на страните не се присъждат. По изложените съображения и на основание чл. 222, ал. 2, т.1 АПК Върховният административен съд