Решение № 6350 от 27.05.2021 г. на ВАС по адм. д. № 8821/2020 г.

Решение № 6350 от 27.05.2021 г. на ВАС по адм. д. № 8821/2020 г., III о., докладчик съдията Албена Радославова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по две касационни жалби срещу Решение № 2816 от 09.06.2020 г., постановено по адм. д. № 11227/2019 г. по описа на Административен съд – София град. Б. А. чрез адв. С. Ю. обжалва решението в частта, в която е отхвърлен иска му по чл. 1, ал. 1 от ЗОДОВ за сумата над присъдените му 200 лв до пълния предявен размер от 1000 лв. с доводи за нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост - касационни основания по чл. 209, т. 3 АПК. Моли решението да бъде отменено в тази част и, вместо него, ВАС да постанови друго по съществото на спора, с което да уважи изцяло предявения срещу Национална агенция за приходите иск за присъждане на обезщетение за неимуществени вреди в пълния му предявен размер. Претендира разноски за настоящото производство. Вторият касационен жалбоподател, Национална агенция за приходите, обжалва съдебното решение в осъдителния му диспозитив. Твърди неправилност на решението в тази част като постановено в нарушение на материалния закон, при съществени нарушения на съдопроизводствените правила и необоснованост - касационни основания по чл. 209, т. 3 АПК. Моли решението да бъде отменено и, вместо него, ВАС да постанови друго по съществото на спора, с което да отхвърли изцяло предявения от Б. А. срещу НАП иск за присъждане на обезщетение за неимуществени вреди. Претендира разноски и за двете съдебни инстанции. Редовно призован за съдебно заседание, касационният жалбоподател, Б. А., не се явява и не се представлява. В депозиран по делото писмен отговор изразява становище за неоснователност на касационната жалба на НАП, съответно – за правилност на първоинстанционното съдебно решение в обжалваната от този касатор част и неправилност на същото в отхвърлителния му диспозитив. Редовно призован за съдебно заседание, касационният жалбоподател, Национална агенция за приходите, се представлява от юриск. Ч., която поддържа касационната жалба, оспорва касационната жалба на Б. А., а по същество твърди неправилност на съдебното решение в атакуваната от доверителя й част, съответно – за правилност на същото в отхвърлителния му диспозитив. Претендира юрисконсултско възнаграждение. Представителят на Върховната административна прокуратура дава заключение за неоснователност на касационните жалби. Върховният административен съд, трето отделение, като взе предвид становищата на страните, извърши проверка на обжалваното решение на наведените в касационните жалби основания и извърши вменената му от разпоредбата на чл. 218, ал. 2 от АПК служебна проверка за валидност, допустимост и правилност на съдебния акт с оглед съответствието му на материалния закон, приема следното: Касационните жалби са процесуално допустими като подадени от надлежни страни, за които обжалваното решение е неблагоприятно и в срока по чл. 211, ал. 1 АПК. Разгледани по същество, същите са основателни. Производството пред административния съд е образувано по искова молба на Б. А. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от бездействия на НАП, довело до неправомерно придобиване и разпространение на личните му данни, от което ищецът претърпял неимуществени вреди, представляващи психически страдания, страх и други отрицателни емоции, поради което и претендира обезвредата им, ведно със законната лихва върху главницата от датата на изтичане на личните данни – 15.07.2019 г. С обжалваното съдебно решение АССГ е осъдил Национална агенция по приходите да заплати на Б. А., на основание чл. 1 от ЗОДОВ, обезщетение за причинените му неимуществени вреди в размер на 200 лева, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата, като е отхвърлил иска до пълния предявен размер от 1000 лв. Наред с това е осъдил НАП да заплати на Б. А. на осн. чл. 10, ал. 3 от ЗОДОВ сумата от 110 лв. разноски и е осъдил Б. А. да заплати на НАП юрисконсултско възнаграждение в размер на 100 лв. За да стигне до този правен резултат, административният съд е приел, че искът е с правно основание чл. 1 от ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди вследствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се в неизпълнение на задължения, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. Установил е, че безспорно на 15.07.2019 г. е осъществен нерегламентиран достъп чрез умишлени престъпни действия от страна на неизвестно лице, в резултат на което е изтекла информация от информационните масиви на НАП. Въз основа на извършения от АССГ преглед на доказателствата по делото, административният съд е приел, че е доказана първата предпоставка за ангажиране отговорността на НАП за вреди по реда на чл. 1, ал. 1 от ЗОДОВ – налице е незаконосъобразно бездействие от страна на държавен орган да изпълни вменени му от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. АССГ е стигнал до извода, че ответникът не е изпълнил задълженията си по предотвратяване на престъпление и опазване изтичането на лични данни, като именно от противоправното му бездействие - неприлагането на подходящи технически и организационни мерки, осигуряващи невъзможност една хакерска атака да пробие системата от лични данни, е настъпил увреждащия за ищеца резултат. АССГ е приел, че ищецът е претърпял в резултат на това незаконосъобразно бездействие твърдените от него неимуществени вреди - изживени стрес, безпокойство, тревожност, психически дискомфорт и негативни емоции, които се доказват от събраните по делото свидетелски показания. Въз основа на така установената фактическа обстановка, административният съд е заключил, че е осъществен фактическия състав на отговорността по чл. 1 от ЗОДОВ, като е приел, че справедливият размер на дължимото обезщетение за неимуществени вреди възлиза на 200 лв. по смисъла на чл. 52 от ЗЗД, вр. чл. 4 от ЗОДОВ. Решението е постановено при съществени процесуални нарушения и е необосновано. Относимите към спора факти не са изяснени, което е пречка за надлежна проверка за правилно приложение на материалния закон. Административният съд не е дал подробни и конкретни указания по доказателствената тежест, съответно не е установил относими към спора факти и е изложил необосновани изводи за наличието на предпоставките на деликтната отговорност. Неправилно съдът приема, че пред него са доказани предпоставките за присъждане на обезщетение за причинените на ищеца неимуществени вреди. Правилно искът е разгледан по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, макар че дадената правна квалификация не е точната. Съгласно чл. 4, ал. 3 от Конституцията, Република България участва в изграждането и развитието на Европейски съюз, а по силата на чл. 5, ал. 4 от Конституцията, международните договори, ратифицирани по конституционен ред, обнародвани и влезли в сила за Република България, са част от вътрешното право на страната. Те имат предимство пред тези норми на вътрешното законодателство, които им противоречат. С оглед на това разпоредбите в Договора за Европейския съюз и в Договора за функциониране на Европейския съюз /ДФЕС/, регламентиращи права на правните субекти имат предимство пред норми на вътрешното право, които им противоречат. Същото важи и за Хартата на основните права на Европейския съюз (Хартата, ХОПЕС), която по силата на член 6, параграф 1 ДФЕС има същата юридическа сила като договорите. Член 8, параграф 1 от Хартата и член 16, параграф 1 от ДФЕС предвиждат, че всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право. Правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и защитата на основни права и свободи на физическите лица и по-специално тяхното право на защита на личните данни, са определени в Регламент (ЕС) 2016/679. На основание член 288, параграф 2 ДФЕС регламентът е акт с общо приложение, който е задължителен в своята цялост и се прилага пряко във всяка една държава членка. В решение на СЕС от 29 юли 2019 година по дело С-40/17 година и цитираната в него практика, с предмет преюдициално запитване по тълкуване на разпоредби от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободно движение на тези данни, която е отменена и заменена, считано от 25 май 2018 г. с Регламент /ЕС/2016/679, изрично се посочва, че: " една от заложените в Директива 95/46 цели е да се осигури ефикасна и пълна защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот при обработването на лични данни (така и решенията по делата Google Spain и Google, Puskar). В съображение 10 от нея се уточнява, че сближаването на приложимите в тази област национални законодателства не трябва да доведе до намаляване степента на защита, която те осигуряват, а обратно — да има за цел гарантиране на висока степен на защита в Съюза. Правото на ефективна съдебна защита срещу администратор или обработващ лични данни е уредено в член 79, параграф 1 от Общия регламент, който предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно член 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване - член 79, параграф 2. Правото на обезщетение и отговорността за причинени вреди е предвидено в член 82, параграф 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Съгласно член 82, параграф 6, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/679, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност и притежавани качества (публични органи или частноправни субекти), по аргумент от § 1, т. 1 АПК. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета "Производство за обезщетения" на Административнопроцесуалния кодекс. Съгласно разпоредбата на чл. 203, ал. 1 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на глава единадесета. Както вече се посочи, по силата на член 82 от Общия регламент относно защитата на личните данни, всеки засегнат частноправен субект може да предяви иск за обезщетение, ако са нарушени правата му по този регламент и е налице пряка причинно-следствена връзка между нарушението и вредите. Материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. Член 203, ал. 1 АПК, в редакцията ДВ, бр. 77 от 2018 г. определя подсъдност на спора на административния съд, когато вредите имат за причина нарушение на правото на ЕС с акт, действие или бездействие на административен орган или на длъжностно лице от неговата администрация. Съгласно чл. 203, ал. 2 АПК, за неуредените въпроси за имуществената отговорност по ал. 1 се прилагат разпоредбите на Закона за отговорността на държавата и общините за вреди. Предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679. 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, параграф 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка /в резултат на/ нарушение на регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 вр. § 2 от Регламента. Следва изрично да се посочи, че дадените от ищеца правни квалификации, било то под формата на сочени от него правни разпоредби или под формата на правните термини / например действие и бездействие по смисъла на закона/ не обвързват съда. От значение са само фактическите твърдения на ищеца, въз основа на които съдът дава вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от ищеца правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента и именно тези нарушения следва да бъдат разгледани от съда. След като правната квалификация на иска не е чл. 1 ЗОДОВ, безпредметно е съдът да обсъжда наличието на бездействие по смисъла на чл. 1 ЗОДОВ. Разпоредбата на чл. 24 "Отговорност на администратора" от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствия с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Неправилно първоинстанционният съд е обсъждал разпоредбата на чл. 59 ЗЗЛД, тъй като тази норма се намира в Глава осма от закона, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това са неотносими към настоящия правен спор. Извън съмнение е, че НАП е администратор на лични данни по см. на чл. 4, § 7 от ОРЗД и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. "а", както и по б. "е", а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки ("цялостност и поверителност"). При тези правни квалификации, съдът е следвало да съобрази и нормата на чл. 82, § 3 от Регламента, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба очертава границите на отговорността на администратора. Разсъждавайки върху елементите на възникване на отговорността на държавата, съдът следва да има предвид, че изразът "нарушение на настоящия регламент" има широко съдържание и нарушението на сигурността на личните данни е само едно негово проявление, но не го изчерпва. Понятието "нарушение на настоящия регламент" обхваща всяко отклонение от неговите изисквания, а не се свързва само с разпоредбите, които визират конкретни задължения на администратора или обработващия при нарушение на сигурността на личните данни. Тълкуването на чл. 82, пар. 1 от Регламент (ЕС) 2016/679 дава основание отговорността на администратора или обработващия да се ангажира за по-широк кръг нарушения, обхващащ всяко неизпълнение на изисквания, произтичащи от Регламент (ЕС) 2016/679. Първоинстанционният съд не е обосновал наличието и на трите елемента, обуславящи възникване отговорност на държавата. Доказателствената тежест между страните не е разпределена, съобразно разпоредбата на чл. 154, ал. 1 ГПК, вр. чл. 204, ал. 5 АПК. В съдебния процес всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. Ищецът следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Ответникът следва да докаже изпълнението на действията, дължими от него по силата на закона. Предвид изричната норма на чл. 82, § 3 от Регламента, администраторът на лични данни следва да докаже, при условията на пълно и главно доказване, че е приел подходящи технически и организационни мерки в съответствие с регламента, така че да изключи всяка своя отговорност за събитието, причинило вредата. В процеса пред първоинстанционния съд са давани указания по тежестта на доказване единствено с определение от 09.01.2020 г., като доказателствената тежест е неправилно разпределена. На ответника по иска не е указано, че в негова тежест е да установи, че не е отговорен за събитието, причинило вредата, тоест, че липсва нарушение, в причинна връзка с което са претърпени вредите, като, съгласно чл. 24, § 2 и § 3 и чл. 32 администраторът на лични данни докаже наличието на подходящи политики за защита на данните и придържането към одобрени кодекси за поведение или одобрени механизми за сертифициране, както и прилагането на конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. Съдът не е съобразил и служебното начало в съдебния процес по административни дела, включително необходимостта от специални знания за изясняване на съществен въпрос по делото, а именно какъв е техническият механизъм на неоторизирания достъп до лични данни, осъществен на 15.07.2019 г. При липса на правилно дадени указания по доказателствената тежест и на събрани относими към спора доказателства, изводът на административния съд, че неоторизираният достъп " безспорно сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна техническа надеждност и сигурност на информационната си система, за да защити физическите лица във връзка с обработването на личните им данни" е формиран при съществени процесуални нарушения и е необоснован. Противно на възприетото от съда, по делото не е установено дали именно техническата уязвимост на информационната система е довела до нерегламентирано разкриване и разпространение на личните данни на ищеца и че то е следствие от неприлагането на подходящи мерки за защита. Напълно необоснован, неподкрепен с никакви доказателства по делото, а и неотносим към спора е изводът, че има достатъчно данни, че е извършено престъпно деяние по НК, от което само по себе си следвало, че касаторът не е изпълнил по изискуемия ефективен начин задължението по предотвратяване изтичането на лични данни. Не е необходимо нарушението, пораждащо отговорността по чл. 82 от Регламента, да съставлява престъпление, а и изводът за наличие на престъпно деяние е изцяло извън компетентността на административния съд. Нарушението на регламента, респективно липсата на такова нарушение е това, което следва да бъде установено в съдебния процес пред административния съд. Нарушението не може да се презюмира въз основа на други данни, по-конкретно въз основа на това, че има неразрешено разкриване или достъп до лични данни. Неразрешеното разкриване и достъп може да е следствие от нарушението, но това следствие, както и самото нарушение, респективно тяхната липса, трябва да бъдат доказани и това изисква използване на специални знания. По изложените съображения обжалваното решение следва да бъде отменено, а делото – върнато на друг състав на административния съд за ново разглеждане. При новото разглеждане в подробен доклад по делото съдът следва да посочи относимите към спора факти, като отсее спорните от безспорните. След определяне на спорните факти, на страните следва да бъдат дадени подробни указания по тежестта на доказване, съобразени с техните конкретни твърдения и с нормата на чл. 82, § 3 от Регламента, включително, но не изчерпателно, за необходимостта от специалния знания за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни, изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса, какви технически мерки са предприети, за да предотвратят достъпа, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, технически възможно ли е било предотвратяването на изтичането на данни. Следва да се укаже на ответника по иска, че негова е тежестта да докаже с всички допустими доказателствени средства, че нерегламентираният достъп не се дължи на нарушение по смисъла на регламента, включително, че такова нарушение липсва, тъй като всички негови задължения по регламента са изпълнени, респективно, че е направил всичко възможно да предотврати нарушението, предвид достиженията на техническия прогрес и различните рискове. Съдът следва да изложи и изрични мотиви по въпроса за определянето на неимуществените вреди по справедливост. В случая не се касае за преценка по усмотрение на съда, която почива само на абстрактните представи на решаващия орган, тъй като тогава мотивите не биха могли да бъдат контролирани от по-горестоящата инстанция. Затова съдът трябва да посочи конкретни факти, които според него са установени по делото и обосновават интензитета на неимуществените вреди и размера на обезщетението. При новото разглеждане съдът следва да се произнесе по разноските, съгласно чл. 226, ал. 3 АПК Водим от горното и на основание чл. 222, ал. 2 АПК, Върховният административен съд, трето отделение,