Решение № 1877 от 26.2.2025 г. на ВАС по адм. д. № 9463/2024 г.

Производството е по чл. 208 и сл. от АПК. Образувано е по касационната жалба на Национална агенция за приходите против решение 2593/ 18.04.2024 г. по адм.д. 6945/2021 г. описа на АС-София- град. Иска отмяна на решението с наведени оплаквания за допуснато съществено нарушение на съдопроизводствените правила, необоснованост и материална незаконосъобразност. Твърди, че са ангажирани доказателства, които доказват, че НАП не е бездействала, а е предприела необходимите технически и организационни мерки в изпълнение на задълженията си по Регламент 2016/679 от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни , за да минимилизира рисковете от поддържане на електронни услуги. Ищцата не е направила нищо, за да установи какви конкретно нейни лични данни са разкрити, което означава незаинтересованост. Дали ищцата е преживяла наистина силен стрес се установява само с действия от нейна страна, каквито не са предприети. Следователно няма реално притеснение, предвид т. 85 от решение по С-340/21 на СЕС. Затова емоционалните състояния на ищцата са в резултат на самосъздадена нереална представа, а не в резултат на обективна заплаха. Не е налице и непосредствена причинно-следствена връзка. Иска отмяна на решението и отхвърляне на иска, като претендира юрисконсултско възнаграждение за пред ВАС. Претендира присъждане на направените разноски по опис. По делото е подадена и частна жалба срещу определение 9301/ 19.06.2024 г., постановено по молба по чл. 248 от ГПК с искане за отмяна и присъждане на разноски. Ответната страна В. Т. Ц. чрез процесуален представител, оспорва касационната и частната жалби и иска остяване на съдебните актове в сила. Представителят на Върховната прокуратура намира касационната жалба за неоснователна, а частната жалба за основателна. Върховният административен съд, състав на пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от страна, за която решението е неблагоприятно, намира същата за допустима. Разгледана по същество е основателна по следните съображения: С оспореното решение 2593/ 18.04.2024 г. по адм.д. 6945/2021 г. описа на Административен съд - София - град е осъдена Националната агенция за приходите да заплати на В. Т. Ц. обезщетение за претърпени неимуществени вреди в размер на 500.00 лева, ведно със законната лихва от 15.07.2019 г., като е отхвърлен иска за разликата над този размер до претендирания размер от 1000 лв, присъдил на ищцата 7,50 лв. държавна такса по чл. 10, ал. 3 от ЗОДОВ, на адвокат С. Юрукува сумата от 600 лв. по чл. 38, ал. 2 от ЗА. Осъдил ищцата да заплати на НАП сумата от 50 лв. по чл. 10, ал. 4 от ЗОДОВ. За да постанови този резултат съдът е разгледал иск с правно основание чл. 82, пар. 3 от Регламент /ЕС/ 2016/679 на ЕП и Съвета /GDRP/. Приел, че НАП като администратор на лични данни не е изпълнила задължения по чл. 24, чл. 32 от Регламента и чл. 59, ал.1 от ЗЗЛД, поради което на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП и е разпространена защитена информация на граждани, обработвана от НАП. Ответникът по иска не се е справил с тежестта на доказване и не е ангажирал доказателства, за да установи, че е приложил мерки за сигурност на личните данни и че тези мерки са подходящи. Като резултат ищцата е претърпяла вреди, които се изразяват в преживяно безпокойство, притеснение, застрашеност, което е доказано със свидетелски показания. Неимуществените вреди са претърпени в продължения на около 2 месеца. Решението е постановено при спазване на съдопроизводствените правила и правилно разпределена доказателствена тежест в съответствие с решение по С-340/21. Същото обаче е необосновано и материално незаконосъобразно, касационни основания по чл. 209, т. 3 от АПК. Решението е постановено след отменително решение 8277/ 7.07.2021 г. по адм.д. 8961/2020 г. по описа на ВАС, трето отделение, с което делото е върнато за ново разглеждане от друг съдебен състав поради неправилно определено правно основание на предявения иск и са дадени указания, че спорът е по чл. 82, пар. 3 от Регламента, а не по чл. 1, ал. 1 от ЗОДОВ. С определение от 19.07.2021 г. на страните е съобщен изготвен доклад по делото, разпределена е доказателствената тежест, като на ищцата е указано, че следва да докаже настъпването на вредите, а на ответника е указано да докаже спазването на чл. 24 и чл. 32 от Регламента за приложени конкретни подходящи технически и организационни мерки, съобразени с рисковете. Въпреки дадените указания НАП не се е справила с доказателствената тежест и не е ангажирала релевантните за спора доказателства. Представенитие писмени доказателства като "Политика по защита на личните данни в НАП", указания за работа с информация, версия 3.0, съобразно Наредба за общите изисквания за мрежова и информационна сигурност, "Политика по информационна сигурност на НАП, версия 3.0 от 2016 г., Инструкция 2/ 8.05.3029 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри, Методика за оценка на риска и др., не установяват спазване на чл. 24, пар.1 и чл. 32 от Регламента, и че са въведени подходящи технически и организационни мерки, с които да се гарантира и администраторът на лични данни да е в състояние да докаже, че обработването се извършва в съответствие с настоящия Регламент и са взети предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ищцата обаче също не е ангажирала доказателства, с които да установи, че е претърпяла нематериална вреда по смисъла на чл. 82, пар.1 от Регламента. СЕС посочва в решението по С-340/21, че понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на практиката на Съда по начин, който да отрязава напълно целите на Регламента. Само опасенията, че в бъдеще с личните данни може да бъде злоупотребено от трета страна, могат сами по себе си да представляват "нематериални вреди", но сезираната национална юрисдикция трябва да провери дали тези опасения може да се считат за основателни с оглед обстоятелствата в конкретния случай и на субекта на лични данни. Представена е снимка от телефон за изпратени до НАП заявки номера 5731, 7260 и 2138, на които е отговорено, че има неправомерно разкрити лични данни. Нито е ясно от чий телефон е направена заявката, нито за кое лице. Въпреки дадената възможност от НАП да бъде направена конкретна справка по имена и ЕГН за вида на неправомерно достъпените лични данни, ищцата не е проявила активност, такава справка не е поискана и съответно пред съда не е представена. Поради това делото не е попълнено с релевантни за спора доказателства дали ищцата е сред засегнатите от хакерската атака лица и какви точно нейни лични данни са достъпени. Следователно не е доказано, че са налице основателни опасения от възможна злоупотреба с лични данни на В. Т. Ц.. Като е уважил иска и присъдил обезщетение за 500 лева, съдът е постановил неправилно осъдително решение, което следва да бъде отменено, а искът отхвърлен до уважения размер. Решението подлежи на отмяна и в частта относно присъдените в полза на ищцата и адвокат Юрукова такси и адвокатско възнаграждение. По същество предявеният иск следва да бъде отхвърлен като неоснователен, като в полза на касатора следва да бъдат присъдени направените в съдебното производство разноски, представляващи юрисконсултско възнаграждение за всички съдебни инстанции в размер на 400 лв. на основание чл.78, ал.8 ГПК вр. с чл. 24 от Наредбата за заплащането на правната помощ. Следва да бъде присъдена държавна такса за касационно производство в размер на 12,50 лв., предвид чл. 18, ал. 3, във вр. с чл. 2а, т. 2 от Тарифата за държаните такси, които се събират от съдилищата по Гражданския процесуален кодекс (ГПК). Допустима, но неоснователна се явява частната жалба срещу определение 9301/ 19.06.2024 г., с което е оставено без разглеждане искане с правно основание чл. 248 от ГПК поради непредставен списък за разноски по чл. 80 от ГПК вр. с чл.144 от АПК. Определението е правилно и следва да бъде оставено в сила, тъй като пред първата инстанция такъв списък не е представян. Предвид изложеното и на основание чл. 221, ал. 2 от АПК Върховният административен съд, състав на Пето отделение