Решение № 6135 от 20.5.2021 г. на ВАС по адм. д. № 1454/2021 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите срещу Решение 7217/11.12.2020 г. на Административен съд София-град (АССГ) постановено по адм. дело 11297/2019 г., в частта с която Националната агенция за приходите е осъдена да заплати на Я. В. от гр. Пловдив сумата от 500 (петстотин) лева, представляваща обезщетение за причинените му неимуществени вреди, ведно със законната лихва, считано от 16.09.19 г до окончателното изплащане на сумата и Национална агенция за приходите е осъдена да заплати разноски по делото и адвокатско възнаграждение по чл. 38, ал. 2 Закона за адвокатурата (ЗА). С обжалваното решение Националната агенция за приходите е осъдена да заплати на Я. В. от гр. Пловдив сумата от 500 (петстотин) лева, представляваща обезщетение за причинените му неимуществени вреди, ведно със законната лихва, считано от 16.09.19 г до окончателното изплащане на сумата по искова молба вх. 27810/16.09.2019 г. на Я. В. срещу Национална агенция за приходите по иск с правно основание чл. 39 от Закона за защита на личните данни (ЗЗЛД) и чл. 82, ал. 1 от Общия регламент за защита на личните данни; Националната агенция за приходите е осъдена да заплати на Я. В. разноски по делото и на адвокат С. С.-Ю. адвокатско възнаграждение по чл. 38, ал. 2 от ЗА; отхвърлен е предявеният от Я. В. иск в останалата му част над 500 лева. до предявения размер от 1000 лева; Я. В. е осъден да заплати разноски по делото. Решението на АССГ, в частта с която е отхвърлен предявеният от Я. В. иск и същият е осъден да заплати разноски по делото, като необжалвано е влязло в сила и не е предмет на касационната проверка. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост отменителни основания по чл. 209, т. 3 АПК. Счита, че съдът не е изследвал в цялост обстоятелствата и доказателствата по делото и не е отчел становищата и доказателствата, представени от ответника. Излага подробни съображения в подкрепа на становището си, че Националната агенция за приходите (НАП, Агенцията) не е бездействала, че ищецът е следвало да докаже твърдяното незаконосъобразно бездействие. Подобно описва предприетите от Агенцията действия след публичното разгласяване на данните, нормативната рамка относно обработването и защитата на личните данни, предприетите от НАП технически и организационни мерки. Излага становище, че НАП е пострадало лице (ощетеното юридическо лице) от неоторизирания достъп до личните данни, съхранявани от нея. Сочи, че съдът не е взел предвид, че пред Софийски районен съд има образувано наказателно дело по повод обжалване от страна на НАП на издаденото от Комисията за защита на личните данни (КЗЛД) наказателно постановление, във връзка с осъществения неоторизиран достъп до информационната система на НАП, по което дело към момента нямало влязло в сила съдебно решение подлежащо на изпълнение. Твърди, че неправилно съдът е приел, че са налице предпоставките на чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ), за да се ангажира отговорността му. Твърди, че настъпването на твърдените вреди, е останало недоказано, предвид това, че разпитаният по делото свидетел се явява заинтересована страна, както и че вредите са хипотетични и евентуални, а не реални. Сочи, че липсва и активно поведение от страна на ищеца, след като е установил, че личните му данни са изтекли, което внасяло съмнение в степента на тревожност и ангажираност, която е създадена у него. Моли решението, в обжалваната част, да се отмени и се постанови ново, с което се отхвърли иска на Я. В. срещу НАП. Претендира юрисконсултско възнаграждение. Касационният жалбоподател се представлява от юрк. Т.. Ответникът по касация Я. В. оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира разноски за настоящата инстанция. Ответникът по касация се представлява от адв. Ю.. Представителят на Върховната административна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения. Производството пред АССГ е образувано по предявен иск от Я. В. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в периода 15.07.2019 г. 16.09.2019 г., в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г. (алтернативно от датата на завеждане на исковата молба) до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните му, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните му данни. Първоинстанционният съд от фактическа страна е установил, че на 15.07.19г в медиите в Република България е публикувана информация, че чрез т. нар. хакерска атака от електронните масиви на НАП е изтеглена неправомерно голям обем информация, съдържаща личните данни на 6 074 140 физически лица, от които 4 104 786 живи български и чужди граждани и 1 959 598 починали физически лица. Изтеклите данни на физическите лица са имена, ЕГН, адреси, телефони, електронни адреси, данни от годишни данъчни декларации на физическите лица, данни от справките за изплатени доходи на физическите лица, данни от осигурителните декларации, данни за здравноосигурителни вноски, данни за издадени АУАН, данни за извършени плащания на данъци и осигурителни задължения през Български пощи ЕАД, данни за поискан и възстановен ДДС - платен в чужбина. На същата дата и НАП е научила за пробива. До момента не е известна датата, на която е станал пробива. На 25.07.19 г Я. В. е направил справка на специално разработеното за целта приложение от НАП, като от справката на 25.07.19г /по ЕГН/ научава, че са изтекли и негови лични данни. От представената от ответника справка, е установено, че изтеклите лични данни на Я. В. са: ЕГН и имена; данни от справки за изплатени доходи на физически лица - за 2017 г. и 2018 г. От НАП, в изпълнение указанията на съда, са представени доказателства за това, какви действия е предприела след 15.07.2019 г. подробно описани от съда, както и Методика за анонимизиране на индивидуални данни (версия 1, към м. 01.2017 г.). От председателя на КЗЛД, на НАП е издадено Наказателно постановление 004/28.08.19 г., за нарушение на чл. 32, параграф 1 б. б от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД), което е предмет на висящо съдебно производство пред Софийски районен съд. С Решение ППН-02-399/22.08.19 г КЗЛД дава на НАП разпореждане по чл. 58, параграф 2, б. г вр. чл. 57, параграф 1, б. а и чл. 83, параграф 2, б.а, б. в, б. г, б. е и б. ж от Регламент (ЕС) 2016/679 за предприемане на подходящи технически и организационни мерки за защита на личните данни. Решението е предмет на висящото адм. дело 10477/19 г. на АССГ. Установено е, че пред КЗЛД няма висящо или приключило производство по жалба на ищеца във връзка с чл. 37, ал. 4 от Закона за защита на личните данни (ЗЗЛД). В хода на съдебното следствие са събрани гласни доказателства показанията на свидетеля П. живееща на съпружески начала с ищеца. От показанията ѝ съдът е установил, че когато ищецът научил от получения в отговор на запитването му СМС от приложението на НАП, че и негови лични данни са изтекли, много се притеснил да не бъде изтеглен кредит на негово име или да не се разпореди някой с имотите му (вкл. жилището, в което живее семейството); често споменавал този проблем в разговори, които нямали никакво отношение към темата; тревожел се, че веднъж изтекли публично, дори да се изтрият впоследствие - данните му могат да бъдат използвани злоумишлено от всеки по всяко време. Въз основа на така установените факти съдът е приел, че искът е допустим, като в тази връзка се е позовал на Определение 2859/24.02.2020 г., постановено по адм. дело 1713/2020 г. по описа на ВАС. Посочил е, че твърдяното незаконосъобразно фактическо бездействие е на администратор на лични данни, който се явява адресат на посочените в исковата молба разпоредби на ЗЗЛД и на Регламент (ЕС) 2016/679. Посочил е, че между страните няма спор, че НАП е администратор на лични данни по смисъла на чл. 4, параграф 7 от Регламент (ЕС) 2016/679, че изтеклите данни относно ищеца са лични данни по смисъла на чл. 4, параграф 1 от Регламент (ЕС) 2016/679, че администраторът НАП обработва личните данни на ищеца по смисъла на чл. 4, параграф 2 от Регламент (ЕС) 2016/679, че е налице по смисъла на чл. 4, параграф 12 от Регламент (ЕС) 2016/679 нарушение сигурността на личните данни. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 ЗОДОВ, които съдът е приел, че следва да бъдат установени от него, е посочил, че по отношение на първата предпоставка е установил незаконосъобразно фактическо бездействие на НАП (в качеството му на администратор на лични данни) по чл. 24 и чл. 32 от Регламент 2016/679 и по чл. 45, ал.1, т. 6, чл. 59, ал. 1, чл. 64 и чл. 66, ал. 1 и ал. 2 ЗЗЛД, довело до нарушение на сигурността на личните данни по см. на параграф 1, т. 10 от Допълнителните разпоредби (ДР) на ЗЗЛД, вр. чл. 4, т. 12 от Регламент 2016/679. Изложил е съображения, че ангажираните от ответника доказателства, не доказвали, че НАП е изпълнил задълженията си на администратор по цитираните норми, които е съдът подробно е анализирал. По отношение на втората предпоставка е посочил, че кредитира показанията на свидетеля, въпреки връзката между свидетеля и ищеца, тъй като само член на най-близкия кръг на ищеца би имал детайлни наблюдения върху психическото и емоционалното му състояние. Посочил е, че намира притесненията на ищеца за напълно оправдани и реалистични, а твърдението на ответника за липсата до момента на случай на злоупотреба с изтекли лични данни при пробива е приел, освен за недоказано и за неоснователно. Отчел е факта, че за ищеца е изтекла и данъчна информация за период от две години, която информация давала възможност да се състави представа за финансовото му състояние, както и че към момента и за в бъдеще съществува напълно реален и обоснован риск за злоупотреба с личните данни. Приел е, че е доказано настъпването на неимуществените вреди (втората предпоставка), като те са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие. Приел, че е доказана и третата предпоставка за основателност на иска. Относно размера на вредите е посочил, че той следва да се определи по справедливост от съда, съгласно чл. 52 от Закона за задълженията и договорите (ЗЗД). Съобразявайки характера и степента на преживените страдания, обема на изтеклите данни, е приел, че справедливото обезщетение е в размер на 500 лв. Относно претендираните лихви е приел, че лихвата следва да се присъди от датата на предявяване на иска за вреди 16.09.2019 г. С оглед изхода на спора и предвид разпоредбата на чл. 10 от ЗОДОВ е присъдил разноски, съразмерно уважената/отхвърлената част от иска. Решението е правилно по следните съображения: Обжалваното решение е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Както правилно е отбелязал първоинстанционният съд, въпросът с допустимостта на иска е разрешен с Определение 2859/24.02.2020 г., постановено по адм. д. 1713/2020 г. по описа на ВАС. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В случая с оглед качеството на администратора на лични данни специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл. 2, ал. 1 ЗНАП), правото да се претендира обезщетение за причинените вреди, се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане за неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. Правилно решаващият съд е определил предпоставките, които следва да се установят, за да се приеме искът за основателен. В светлината на чл. 82 от ОРЗД предметът на доказване изисква: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. По делото са събрани доказателства за личните данни на ищеца, до които е имало неправомерен достъп. Следователно той е доказал твърдението си за наличието на нарушено негово право на защита на личните му данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството.