Решение № 5408 от 23.5.2025 г. на ВАС по адм. д. № 2501/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Национална агенция за приходите (НАП), чрез юрк. Танев, против решение 24021/19.11.2024 г., постановено по адм. д. 3414/2024 г. по описа на Административен съд София-град (АССГ), в частта, с която НАП е осъдена да заплати на Е. И. Д. сумата от 500 лева, представляващи обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължението по чл. 32, т. 1, б. б от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до тези данни трите имена, ЕГН и годишна данъчна декларация на 2006 г., ведно със законната лихва върху тази сума, считано от 06.03.2020 г. до окончателното изплащане на сумата, като в останалата им част исковите претенции са били отхвърлени и решението е влязло в сила като необжалвано. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и е необосновано отменителни основания по чл. 209, т. 3 от АПК. Излага съображения, че съдът неправилно е приел, че е налице незаконосъобразно бездействие на НАП, без да изследва всестранно и пълно всички доказателства, представени по делото. Твърди, че неправилно съдът възприема и наличие на втората и третата предпоставка, тъй като липсват доказателства какви са конкретните вреди за ищеца, както и че съдът не е изследвал в цялост причинната връзка между състоянието, което се твърди и причината, която се сочи от ищеца. Иска решението да бъде отменено и да се постанови ново, с което се отхвърля иска срещу НАП като неоснователен и недоказан. Претендира разноски по представен списък. Ответникът по касация Е. И. Д., чрез процесуален представител адв. Хаджигенов, не е взела становище по касационната жалба. Представителят на Върховната касационна прокуратура дава заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е основателна по следните съображения: Производството пред АССГ е образувано по предявен от Е. И. Д. срещу НАП иск за присъждане на обезщетение за неимуществени вреди, в размер на 1000 лева, подробно описани в исковата молба, претърпени за периода от 15.07.2019 г., в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), член 24 и член 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД, заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане. Производството по адм. д. 3414/2024 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 6895/03.12.2020 г. по адм. дело 4507/2020 г. на АССГ, с решение 3874/02.04.2024 г. по адм. д. 2075/2021 г. на Върховния административен съд, пето отделение, и връщане на делото за ново разглеждане от друг състав. Делото е било спряно на основание чл. 229, ал. 1, т. 4 от ГПК вр. с чл. 144 от АПК, а впоследствие е възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС. За да постанови обжалваното в настоящето производство решение АССГ е приел, че е налице първата предпоставка на визираната в чл. 1, ал.1 от ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че Е. И. Д. е изпълнила дадените й указания да докаже претърпените от нея неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с нейните лични данни ще бъде злоупотребено, като е приел за безспорно обстоятелството, че по отношение на ищцата има изтичане на лични данни в резултат на неоторизирания достъп, като вредата е в пряка и непосредствена причинно-следствена връзка с незаконосъобразното фактическо бездействие на администратора. Решението е неправилно. Правното основание на иска е чл. 82, пар.1 и 2 от Регламент 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент 2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент, тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 4 май 2023 г. по С-300/21 на СЕС). Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Член 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент 2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от ОРЗД. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи. НАП не е ангажирала доказателства, за да докаже, че е приложила подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. НАП е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но агенцията не се е справила с доказателствената тежест. Не е доказала, че по никакъв начин не е отговорна за събитието, причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Неправилно първоинстанционният съд е приел, че са доказани вторият и третият елемент от фактическия състав на отговорността по чл. 82 от Регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. От първоинстанционния съд са дадени указания на ищцата да докаже твърдените от нея претърпени неимуществени вреди. Допуснат е свидетел при довеждане на Д., какъвто не се е явил за разпит по делото. Дори при повторното разглеждане на делото пред първата инстанция е било оттеглено искането за събиране на гласни доказателства. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. За доказване разкриването на лични данни ищцата Е. Д. е представила снимка на електронно съобщение от НАП със следното съдържание: НАП: по заявка номер 6119 ИМА неправомерно разкрити лични данни. От съдържанието на представената от НАП по-късно справка е видно, че това са трите имена, ЕГН и годишна данъчна декларация за 2006 година. Тоест представени са доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени, затова може да се направи извод за настъпили неимуществени вреди. Съдът неправилно обаче приема, че такива вреди са действително доказани. За доказване на претърпените от ищеца неимуществени вреди по делото не са събрани гласни доказателства. Липсва установяване какво е притеснило ищцата и в каква степен тя е била напрегната от факта на изтеклите й лични данни, обработвани от НАП. Следователно, в случая не се установяват факти, които да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно реално претърпени неимуществени вреди. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищецът следва да посочи и докаже не само какви негови лични данни са публично оповестени, а и степента на притеснението и страхът у него, за да се определи адекватно парично обезщетение за неимуществени вреди. Правилата за доказателствената тежест на иск по член 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 от ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищеца да докаже, че именно негови конкретни лични данни са изтекли (което е налице в случая), но освен това и какви неимуществени вреди е претърпял и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва да се обсъжда дали е налице и третата предпоставка за основателност на иска, а именно причинно-следствена връзка. По изложените съображения решението в обжалваната част като неправилно следва да се отмени и да се постанови ново, с което предявеният от Е. И. Д. иск в уважената му част от 500 лева да се отхвърли като недоказан по основание и размер, ведно с с присъдената законна лихва върху главницата. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП за присъждане на разноски, представляващи такива за държавна такса от 70 лв. и за юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да бъде определен в размер на 100 лева. По изложените съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение