Решение № 7118 от 11.06.2021 г. на ВАС по адм. д. № 3215/2021 г.

Решение № 7118 от 11.06.2021 г. на ВАС по адм. д. № 3215/2021 г., V о., докладчик председателят Галина Карагьозова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба, подадена от Р. Е., чрез пълномощника й адв. Н. Х., срещу решение № 7572 от 31.12.2020 г. на Административен съд - София-град (АССГ), Второ отделение, 35 състав, постановено по адм. дело № 4522/2020 г., с което е отхвърлен предявения от нея иск за сумата от 1 000 (хиляда) лева, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., срещу Национална агенция за приходите (НАП), представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължението му по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, Регламент (ЕС) 2016/679, ОРЗД). По развити в касационната жалба доводи за неправилност на решението на АССГ се иска неговата отмяна като незаконосъобразно и произнасяне на касационния съд по същество на спора, като се отмени обжалваното решение. Не се претендират разноски. Ответникът по касация – Националната агенция за приходите, чрез процесуалния си представител юрисконсулт Л. Т., оспорва касационната жалба по съображения, изложени в писмен отговор и в с. з. по същество. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за касационната инстанция. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувано по предявен иск от настоящата касаторка срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г., изразяващи се в притеснения, страх, срам и опасения за възможна злоупотреба с личните й данни, които неправомерно са разпространени, в резултат на неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните, станало причина за пробив в информационната система на НАП. Първоинстанционният съд от фактическа страна е установил, че на 15.07.2019 г. е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица - български и чужди граждани, и 1 989 598 починали физически лица, по което не се спори. По делото е представена е писмена декларация, подписана от Р. Е., с която същата е декларирала, че след направена проверка е установила, че личните й данни фигурират сред изтеклите от Национална агенция за приходите. Ответникът по иска е представил писмени доказателства в подкрепа на позицията си, че е предприел всички необходими мерки за защита, подробно описани от съда в решението. По делото е предоставена информация от КЗЛД, като постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на ЗЗЛД (чл. 61, ал. 1 ЗЗЛД) че същата е извършила проверка за изтеклата информация от информационните масиви на НАП, при която е установено, че при осъществяване на дейността си НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. За така установеното, председателят на КЗЛД е издал наказателно постановление против НАП за нарушение на член 32, параграф 1, б. "б" от Общия регламент относно защитата на личните данни. Наказателното постановление е обжалвано пред Софийския районен съд и не е влязло в сила. Отделно от това, предвид констатираните нарушения, с решение № ППН-02-399/22.08.2019 г. по описа на КЗЛД, на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки. Решението е оспорено пред АССГ, като е образувано адм. дело № 10477/2019 г., което е висящо и не е приключило с окончателен съдебен акт. За установяване на претърпените неимуществени вреди са допуснати гласни доказателства по искане на ищцата, но свидетел не е доведен от ищцата, не е разпитан, съответно с определение на съда, същият е заличен. При така установените факти, съдът е приел от правна страна, че предявеният иск е неоснователен. Съдът правилно е определил приложимия процесуален ред за разглеждане на иска - съгласно чл. 203, ал. 1 от АПК, исковете за обезщетение за вреди, причинени на граждани и юридически лица от незаконосъобразни актове, действия и бездействия на административни органи и длъжностни лица се разглеждате по реда на глава единадесета на АПК, като съгласно чл. 203, ал. 2 от АПК за неуредените въпроси по отношение имуществената отговорност се прилагат разпоредбите на ЗОДОВ. Приел е, че в случая липсват предпоставки за ангажирането на отговорността на държавата по смисъла на чл. 1, ал. 1 от ЗОДОВ, изискващ да са налице в кумулация три предпоставки: 1. незаконосъобразен административен акт, отменен по съответния ред, незаконосъобразно действие или бездействие на орган или длъжностно лице на държавата или община, установено в хода на производството за обезщетение, при или по повод изпълнение на административна дейност; 2. вреда от отменения административен акт, съответно от незаконосъобразното действие или бездействие; 3. причинна връзка между постановения незаконосъобразен акт и/или незаконосъобразните действие или бездействие и настъпилия вредоносен резултат. По отношение на първата предпоставка за уважаване на предявения иск по чл. 1, ал. 1 от ЗОДОВ, съдът е приел, че същата е налице, тъй като е установено бездействие на ответника, в качеството на държавен орган, да изпълни вменените му от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и ч. 32 от ОРЗД задължения за предприемане на подходящи и ефективни мерки за защита на личните данни. По отношение на втората предпоставка за ангажиране на отговорността на ответника, първоинстанционният съд е приел, че ищцата, чрез процесуалния си представител, единствено е изтъкнала опасения за евентуална злоупотреба, поради изтичане на лични данни, но по делото не са ангажирани доказателства, от които да се установи по несъмнен начин настъпването на вредоносен резултат. Посочил е, че преживеният стрес, безпокойство и притеснение, следва да са от такова естество, че да доведат до промяна в качеството на живот и поведение на ищцата. В случая по делото не е установено настъпване на конкретни неимуществени вреди, в контекста на пасивното поведение на ищцата – за установяване на така посочените неимуществени вреди в процеса не са събрани и приети никакви писмени и/или гласни доказателства с оглед липсата на активност от страна на ищцата, като съдът е допуснал разпит на искания от ищцата свидетел, но същият не е доведен в съда. По тези доводи съдът е приел, че не е установено настъпването на неимуществени вреди. Приел, че при липсата на установяване на която и да е от предпоставките на иска, същият следва да бъде отхвърлен като неоснователен и е постановил оспорения понастоящем резултат. Обжалваното решение е валидно - постановено от надлежен съдебен състав, в писмен вид, подписано, както и допустимо - постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. В случая с оглед качеството на администратора на лични данни – специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл. 2, ал. 1 ЗНАП) правото да се претендира обезщетение за причинените вреди се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане към неуредените въпроси към ЗОДОВ и ГПК. Правилно решаващият съд е посочил, че за да възникне право на иск за обезщетение е необходимо да са налице няколко кумулативни предпоставки, а именно - незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината, при или по повод изпълнението на административна дейност; вреда - имуществена или неимуществена; пряка и непосредствена причинна връзка между незаконосъобразния акт, действието или бездействието и настъпилата вреда. Правилно решаващият съд е приел, че ответникът като администратор на лични данни не е изпълнил задълженията си по член 24 от ОРЗД, съгласно който администраторът като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, следва да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящия регламент, които следва да се преразглеждат и при необходимост се актуализират, както и задължението си по член 32, параграф 1 от ОРЗД, съгласно който като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност (...). В параграф 2 на член 32 е посочено, че при оценката на подходящото ниво на сигурност се вземат предвид по-специално рисковете, които са свързани с обработването, по-специално от случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. В светлината на цитираните правила, правилно е прието от административния съд, че е установен първият елемент от фактическия състав на предявения иск - бездействие за точно изпълнение на задължението по член 32 от Общия регламент относно защита на личните данни. Представените по делото писмени доказателства от касационния ответник сочат на предприети организационни мерки, но не доказват по несъмнен начин, че същите са били в такава степен подходящи и ефективни, както и че са взети такива технически мерки, които са подходящи и ефективни по начин, който гарантира изискваното ниво на сигурност при обработването на личните данни в съответствие с Регламента. Съответно съдът правилно е приел, че събраният доказателствен материал по делото не обуславя извод, че са изпълнени изискванията на член 24 и член 32 от Регламента и не е налице основание администраторът на лични данни да бъде освободен от отговорност поради осъществяване на условието на член 82, параграф 3 от Общия регламент. Правилно също така съдът е приел, че в случая не е доказано наличието на втория елемент от фактическия състав на нормата на чл. 82, параграф 1 от ОРЗД - причинена материална или нематериална вреда. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба от 06.03.2020 г. Правилно решаващият съд е приел, че в случая твърдените неимуществени вреди не са доказани. Съдът е уважил доказателственото искане на ищцата и е допуснал събиране на гласни доказателства за установяване на твърдените стрес, притеснения, страх, срам, т. е. преживените негативни емоции и състояние, свързани с допуснатия пробив в информационната система на НАП и изтичането на личните й данни. Съдът е отменил разпореждането си от 05.08.2020 г. за допускане на свидетел, предвид липсата на активност от страна на ищцата и липсата на довеждане на свидетел, видно от отразеното в протокола от проведеното на 04.11.2020 г. съдебно заседание. Поради това следва да се приеме за правилен изводът на съда, че твърдението за причинените неимуществени вреди е останало недоказано, поради неизпълнение от страна на ищцата на задължението по чл. 154, ал. 1 от АПК по предявения осъдителен иск, доказателствената тежест за което е правилно разпределена от решаващия съд. Болките и страданията са строго индивидуални и зависят от субективното отношение на всяко лице към определено поведение, като е необходимо то да е конкретно установено. В случая, преживените неимуществени вреди не могат да се предполагат, а още по малко - да се приемат за доказани, само на база обстоятелството, че тези вреди настъпват в резултат на неправомерния достъп до лични данни, поради твърдяното бездействие на администратора за предприемането на подходящите и ефективни организационни и технически мерки. В тежест на ищцата е да докаже дали са настъпили и в какво се изразяват негативните й преживявания, за да се приеме за основателна и доказана претенцията за обезщетение за причинени неимуществени вреди. Предвид липсата на доказаност на втория елемент от фактическия състав на предявения иск, е безпредметно обсъждането на третия елемент - наличието на пряка причинна връзка между неправомерния достъп до личните данни на лицето и увреждането в негов резултат, като изводът за неоснователност на предявения иск е правилен. При липса на пороците, сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно, следва да бъде оставено в сила. При този изход на спора е основателна претенцията на ответника по касация за заплащане на юрисконсултско възнаграждение за настоящата инстанция, на основание чл. 10, ал. 4 от ЗОДОВ. С оглед действителната правна и фактическа сложност на делото и на основание чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, същото следва да се определи в размер на 100 лв. По изложените съображения и на основание чл. 221, ал. 2, предл. първо от АПК, Върховният административен съд, пето отделение,