Решение № 5836 от 14.05.2021 г. на ВАС по адм. д. № 12932/2020 г.

Решение № 5836 от 14.05.2021 г. на ВАС по адм. д. № 12932/2020 г., V о., докладчик председателят Анна Димитрова Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частта от решение № 4980/25.09.2020 г. по адм. дело № 11273/2019 г. на Административен съд - София - град, с което е осъдена НАП, по иска с правно основание по чл. 79, пар. 1 и чл. 82, пар. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 ЕО (ОРЗД) да заплати на Е. С. с ЕГН [ЕГН] сумата в размер на 500 (петстотин) лева, представляваща обезщетение за неимуществени вреди, настъпили от неправомерното бездействие на ответника да изпълни задължението си да защити по сигурен начин данните на ищеца като физическо лице, позволило неоторизиран достъп и разкриване на личните данни на ищеца, оповестено публично на 15.07.2019 г., заедно със законната лихва върху тази сума, считано от 16.09.2019 г. до окончателното плащане. Касаторът поддържа в касационната жалба, в съдебно заседание и в писмени бележки, че решението в обжалваната част е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необснованост, иска отмяната му, отхвърляне на исковете за обезщетение и лихви, присъждане на юрисконсултско възнаграждение за двете съдебни инстанции. Ответникът по касационна жалба - Е. С., чрез процесуален представител, в писмен отговор и писмена молба, иска оставяне на обжалваната част от решението в сила, присъждане на разноски, а процесуалният му представител - адв. Ю. претендира присъждане на адвокатско възнаграждение за оказана безплатна адвокатска помощ. Представителят на Върховна административна прокуратура изразява становище за основателност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна, а разгледана по същество за неоснователна. За да постанови обжалваната част от решението, АССГ, е изложил мотиви, че НАП е администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД и между страните няма спор, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали лица, между които и личните данни на ищеца, включващи ЕГН, три имена и идентификационни данни за лице в качеството на представляващ юридическо лице по годишна данъчна декларация по чл. 92 ЗКПО за 2014 г. От разпита на свидетеля е установено изпитано притеснение и безпокойство на ищеца за изтеклите му лични данни, довело до обмисляне на евентуална подмяна на лични документи. АССГ е разпределил тежестта на доказване, указал е на ответника, че в негова тежест е установяване на изпълнение на задълженията му по чл. 24 и 32 ОРЗД и е допуснал служебно съдебно - техническа експертиза в областта на кибер сигурността, но ответникът с изрична молба е отказал да постави задачи на вещото лице (л. 128), тъй като според него тежестта на доказване в тази насока е на ищеца (л. 128), поради което съдът е отменил определението си за допускане на експертиза. Като последица от разпределение на тежестта на доказване и отказът на ответника да постави задачи на вещо лице и придвид чл. 154 ГПК вр. чл. 205, ал. 1 АПК съдът е приел за установено, че НАП е бездействала за точно изпълнение на задължението по чл. 59 от закона защита на личните данни (ЗЗЛД) и чл. 32 ОРЗД, а именно да приложи подходящи технически мерки за осигуряване на нивото на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ненадлежното изпълнение, представляващо бездействие е довело до нарушение на сигурността на личните данни, довело до неразрешено разкриване и достъп до личните данни на ищеца, и е в пряка причинна връзка с емоционалните и психическите му терзания. Размерът на обезщетението е определен според стандарта на живат и като се вземе предвид, че ищецът не е доказал вреди над обичайните и в съответствие с чл. 52 ЗЗД. Решението е правилно в обжалваната му част. Неоснователно е твърдението на касатора за неправилно разпределение на тежестта на доказване от АССГ. Според чл. 154 от ГПК всяка страна е длъжна да установи фактите, на които основава своите искания или възражения, като на основание чл. 153 и чл. 155 от ГПК на доказване подлежат спорните факти от значение за решаване на делото и връзките между тях, но не общоизвестните и служебно известните на съда факти, за които съдът е длъжен да съобщи на страните. Въз основа на тези доказателствени правила АССГ дава указания на НАП, че в негова тежест е да бъде установено, че мерките, които са предприети са в съответствие със задълженията на администратор на лични данни, произтичащи от Общия регламент за защита на данните и ЗЗЛД. Изрично, въпреки липсата на задължение за нарочни указания относно вида на допустимите доказателствени средства, в указанията първоинстанционният съд посочва, че спецификата на подлежащите на доказване обстоятелства изискват специални знания, с които съдът не разполага, но процесуалният представител на НАП отказва да постави задачи на служебно назначената съдебна експертиза. По принцип съдът не дължи указания на страните при разпределение на доказателствената тежест в процеса, че ангажираните от тях доказателства не са достатъчни за установяване на фактите, за които тя се носи от тях. Въпреки това, в случая АССГ, с извършените процесуални действия, на практика насочва НАП, че писмените доказателства, които са представени по делото за установяване на предприетите от администратора на лични данни действия по законосъобразното им събиране, обработване и съхраняване не са достатъчни, за да се приеме изпълнение на законовите изисквания към тази дейност. Независимо от положените усилия от решаващия съд за изясняване на делото от фактическа страна, по делото не са събрани доказателства, от които да се установява, че предприетите от НАП мерки са подходящите технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, които чл. 24, § 1 от Общия регламент за защита на данните задължава всеки администратор на лични данни да въведе, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. Изрично следва да бъде посочено, че допълнително представените с касационната жалба писмени доказателства относно предприетите от НАП организационни мерки не обуславят по смисъла на чл. 219, ал. 1 от АПК наличието на касационни основания за отмяна на съдебното решение, а само съществуването на още документи, които не са представени своевременно пред първата инстанция. Какви са използваните от НАП технически мерки в изпълнение на задълженията му на администратор на лични данни и дали са подходящи, т. е. извършено ли е законосъобразно действие по изпълнение на законово задължение, тежестта на доказване е на НАП и в този смисъл ответната страна в исковото производство трябва да опровергае твърдението на ищеца, че е налице незаконосъобразно бездействие. Изрично трябва да бъде посочено, че съгласно чл. 24, § 1 от Общия регламент за защита на данните администраторът на лични данни трябва да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. При необходимост от съпоставяне и оценка на множество специфични обстоятелства обосновано АССГ приема, че за доказването са необходими специални знания и умения, а на основание чл. 195, ал. 1 от ГПК в тези случаи се назначава вещо лице, защото не е възможно да се очаква от съдът да разполага и ползва свободно всички достижения на науката, изкуството, занаятите и други (особено в толкова високотехнологична дейност като информационната сигурност). Следователно при условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ приема за доказано твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата. По изложените съображения са неоснователни и съображенията в касационната жалба за липса на доказателства за причината за нерегламентирания достъп до личните данни на ищеца, доколкото този факт е извън фактите, които са в тежест на доказване на ищеца. Установяването на причината за нерегламентирания достъп представлява обстоятелство, на което администраторът на лични данни има възможност да се позове, за да се освободи от имуществена отговорност спрямо физическото лице като докаже, че взетите подходящи мерки не са били в състояния да я предотвратят, или да потърси регресна отговорност спрямо лицето, което е осъществило нерегламентирания достъп. В този смисъл неустановяването на причината за нерегламентирания достъп до личните данни на ищеца не представлява неизясняване на спора от фактическа страна поради допуснато процесуално нарушение, респективно основание за отмяна на съдебното решение, а неустановяване на факт, освобождаващи от отговорност администратора на личните й данни. В съответствие със събраните по делото доказателства и логическите връзки между тях е приетото за установено от АССГ наличие на пряка причинна връзка между невземането на подходящи мерки от страна НАП за защита на личните данни на ищеца и изпитаните от него притеснение и безпокойство. Медийното оповестяване на изтичането на информация от базите данни на НАП, съдържаща и лични данни на физически лица, не прекъсва причинната връзка между бездействието и настъпилите неимуществени вреди, доколкото на практика представлява средството за разбиране, че е извършено непозволено увреждане. Изрично следва да бъде посочено, че освен разпространяването на тази информация в публичното пространство на 15.07.2019 г. ищецът е уведомен лично чрез SМS и писмена справка за това точно кои негови лични данни са неправомерно са разпространени като част от базата данни на НАП. Обосновано и в съответствие с трайната съдебна практика в областта на непозволеното увреждане, АССГ приема, че изпитването на притеснения, тревога и безпокойство представляват неимуществени вреди, които подлежат на обезщетение. Не е възможно да бъде споделено обратното становище, че изпитването само на неприятни емоции от описания вид не е достатъчно, за да бъдат определени като неимуществени вреди, ако не са свързани с реален страх от реална заплаха от увреждане на имущество или не са довели до продължително психично разстройство (дълбока депресия). Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз (Хартата/ХОПЕС) и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно — с правото на защита на личните им данни. В този смисъл всяко нарушение спрямо основно право трябва да се разглежда като особено съществено. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо (личните данни) е достатъчно, за да се ангажира отговорност на лицето, което има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основани права. Настоящият съдебен състав намира, че при правилно приложение на чл. 52 ЗЗД е определен размера на дължимото обезщетение, който е съобразен с обстоятелството на изпитания от ищеца стрес, който не е над обичайния размер и съобразен със стандарта на живот в страната. По изложените съображения и на основание чл. 221, ал. 2, изречение второ от АПК, настоящият съдебен състав приема, че обжалваното решение на АССГ е валидно, допустимо и правилно като не са налице наведените в касационната жалба основания, поради което следва да бъде оставено в сила. По водене на делото пред касационната инстанция С. не е направил разноски, но е представлявана от адвокат при условията на чл. 38, ал. 2 във връзка с ал. 1, т. 3 от Закона за адвокатурата, поради което с оглед изхода на спора в полза на процесуалния представител трябва да бъдат определени разноски в размер на 300 лв. на основание чл. 8, ал. 1, т. 1 от Наредбата за минималните размери на адвокатските възнаграждения. Другите разноски, описани в списъка по чл. 80 от ГПК, приложен към писмения отговор на касационната жалба, са присъдени от първата инстанция, поради което искането на адв. С. Ю. за присъждане на още едно адвокатско възнаграждение и държавна такса се явява неоснователно. По тези съображения, Върховният административен съд, пето отделение,