Решение № 11282 от 11.11.2025 г. на ВАС по адм. д. № 7442/2025 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационни жалби на Национална агенция за приходите (НАП) и Х. Х. Ц. чрез процесуални представители срещу решение 14219/24.04.2025 г. по адм. дело 7178/2024 г. на Административен съд - София - град. Касационният жалбоподател - НАП, обжалва решението в частите му, с които НАП е осъдена да заплати на Х. Х. Ц. сумата от 700 лева, представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година, ведно със законната лихва върху уважената част от иска, считано от 15.07.2019 г. до окончателното изплащане на сумата и НАП е осъдена заплати 46 лева адвокатско възнаграждение. НАП поддържа в касационната жалба и писмена молба чрез процесуален представител, че решението е неправилно поради нарушение на материалния закон, необоснованост и съществено нарушение на съдопроизводствените правила, иска отмяната му в тези части, отхвърляне на иска на Х. Х. Ц. срещу НАП, присъждане на НАП на юрисконсултско възнаграждение за процесуално представителство пред ВАС. НАП не взима становище по касационната жалба на другата страна. Касационният жалбоподател - Х. Х. Ц., с адрес в гр. София, чрез процесуален представител, обжалва решението в частта, с която е отхвърлен иска му срещу НАП до пълния предявен размер от 7000 лева и в частта за разноските, като твърди в касационната жалба и в съдебно заседание чрез процесуален представител, че решението в тези части е неправилно - материалноправно незаконосъобразно и в нарушение на съдопроизводствените правила, навежда и доводи за необоснованост, иска отмяната му и уважаване на исковата претенция в пълен размер. В писмен отговор и в съдебно заседание Ц. чрез процесуалния си представител иска отхвърляне на касационната жалба на НАП и претендира присъждане на адвокатско възнаграждение на оказалия безплатна адвокатска помощ адв. Живков, както съобразно отхвърлената касационна жалба на НАП, така и съобразно уважената част от касационната жалба на Ц.. Върховният административен съд, пето отделение, като прецени допустимостта на касационните жалби и наведените в тях отменителни касационни основания, съгласно чл. 209 от АПК, приема касационните жалба за процесуално допустими, като подадени в срок и от надлежни страни. Касационната жалба на НАП, разгледана по същество е частично основателна. За да постанови обжалваните части от решението, АССГ е изложил доводи, че предявеният иск е с правно основание чл.1,ал.1 ЗОДОВ. Посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и и разпространяването на личните данни на ищеца, видно от представената справка, издадена от НАП. Според нея са разпространени имената му и ЕГН и са посочените. данните от кои негови декларации, справки за изплатени доходи. АС е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи и достатъчни, за да гарантират защита на данните. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АССГ е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 и чл.59 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона . Ищецът е преживял негативни емоции - безпокойство и страх от злоупотреба с личните му данни и имуществото му, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АССГ на основание чл.52 от Закона за задълженията и договорите е определил обезщетение по справедливост в размер на 700 лева, като е отчел продължителността и интензитета на изпитаните негативни емоции при узнаване за разпространението на личните му данни. Настоящият съдебен състав намира, че правното основание на иска е по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679, тъй като същият е предявен от физическо лице срещу администратор на лични данни за неимуществени вреди в резултат на нарушение на регламента. Трите предпоставки за ангажиране на отговорността на администратора са определени в съответствие с директно приложимата материалноправна норма на чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679. Единствено процедурата следва правилата на ЗОДОВ, доколкото не е уредена от Общностното право и чл.39 ЗЗЛД препраща към АПК, а чл. 203, ал.2 АПК към ЗОДОВ. Решението е неправилно в частта, в която в диспозитива му е посочен като правно основание на уважения иск чл.59 ЗЗЛД. Разпоредбата на чл.59 ЗЗЛД е неотносима към задълженията на НАП като администратор на лични данни, тъй като се намира в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това решението следва да бъде отменено в частта, сочеща за правно основание на уважената част от иска чл.59 ЗЗЛД. Решението е правилно като краен резултат в останалата обжалвана от НАП част. Чл.24 , пар.1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл.32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АС, съответстваща на решение на СЕС от 14.12.2023 г. по дело С -340/21.НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищеца, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АС е приел за доказано твърдението на ищеца за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищеца и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на ищеца на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АС за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С -340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Решението като правилно като краен резултат в тази му част следва да бъде оставено в сила. Касационната жалба на Ц., разгледана по същество е основателна. В съответствие с относимите доказателства - свидетелските показания е определен обема и интензитета на претърпените неимуществени вреди. Неоснователни са доводите за неправилно неотчитане на доказателствата, свързани със заболяванията на ищеца. Видно от епикризата на л.31 същият е претърпял през 2020 г. [заличен текст], като е съобщил за скорошна травма на [заличен текст]. Етапните епикризи на л.34 - л. 38. също са за травма и симптоми вследствие [заличен текст]. Тоест доказаните му медицински проблеми нямат причинна връзка с нарушението на администратора на лични данни, поради което правилно не са взети предвид при определяне размер на обезщетението, което е съобразено с критерия за справедливост съобразно чл.52 ЗЗД. Решението е правилно и в тази му част и следва да бъде оставено в сила. Предвид изхода на делото по двете касационни жалби на касаторите не се следват разноски, юрисконсултско възнаграждение и адвокатско възнаграждение на оказалия безплатна адвокатска помощ адвокат Живков. На последния не може да се присъди адвокатско възнаграждение по чл.38, ал.2 ЗА и като представляващ Ц. като ответник по касационната жалба на НАП, независимо от изхода на делото по тази касационна жалба, тъй като Ц. не е направил разноски в качеството си на ответник по касация и следователно НАП няма да бъде осъден за разноски, което е кумулативно необходима предпоставка НАП да бъде осъден да заплати и адвокатско възнаграждение на адв. Живков според чл.38, ал.2 от Закона за адвокатурата.