Решение № 6223 от 25.05.2021 г. на ВАС по адм. д. № 4145/2021 г.

Решение № 6223 от 25.05.2021 г. на ВАС по адм. д. № 4145/2021 г., V о., докладчик съдията Емил Димитров Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на А. Н., чрез процесуален представител, против решение № 1367/05.03.2021 г. постановено по адм. дело № 11303/2019 г. на Административен съд София-град/АССГ/, с което в производство по чл. 203 АПК вр. чл. 1, ал. 1 ЗОДОВ, е отхвърлен иск на А. Н. от гр. София, против Национална агенция за приходите/НАП/ с искане за заплащане на обезщетение за претърпени неимуществени вреди през периода от 15.07.2019 г. до 16.09.2019 г., в размер на 1000 лв., вследствие на незаконосъобразно бездействие от страна на НАП, предявен на осн. чл. 203 АПК, вр. чл. 82, § 1 от Общ регламент за защита на личните данни/ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /ОРЗД, Регламента/, вр. чл. 39, ал. 2 ЗЗЛД, вр. чл. 1, ал. 1 ЗОДОВ, ведно с иска за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното изплащане на обезщетението, като неоснователен. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано – отменително основание съгласно чл. 209, т. 3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба. Претендира разноски. Ответникът- Национална агенция за приходите, чрез процесуален представител оспорва касационната жалба. Съображения излага в писмен отговор. Претендира разноски. Прокурорът от Върховна административна прокуратура дава становище за неоснователност на касационната жалба. Касационната жалба е подадена в срок и е допустима, а разгледана по същество е основателна. За да постанови обжалваното решение, АССГ в проведено производство по реда на чл. 203 и сл. АПК вр. чл. 1, ал. 1 ЗОДОВ, е приел, че се касае за иск по чл. 1, ал. 1 ЗОДОВ, с предмет на исковата претенция незаконосъобразно бездействие на НАП- нарушение разпоредбите на чл. 24 и чл. 32 ОРЗД и чл. 59, ал. 1 ЗЗЛД, чл. 45, ал. 1, т. 6 ЗЗЛД, чл. 64 ЗЗЛД, чл. 66, ал. 1 и ал. 2 ЗЗЛД, чл. 67 и чл. 68 ЗЗЛД, изразяващо се в неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. Съдът е приел за безспорно, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6074140 физически лица, от които 4104786 живи ФЛ, български и чужди граждани, и 1989598 починали ФЛ. По делото е представена извадка от получен SMS от дата 26.07.2019 г., със следното съдържание: "НАП: По заявка номер 6472 ИМА неправомерно разкрити лични данни". Не е посочен телефонния номер, на който е получен посоченият SMS, както и доказателства за кое лице се отнася. От изисканата в хода на съдебното производство по искане на ищеца справка на НАП от 14.07.2020 г. е видно, че за идентификатор [ЕГН] /ЕГН на ищцата А. Н. / са разкрити лични данни, които включват ЕГН и имена. АССГ е приел за установено, че с Решение на Управителния съвет на НАП е създадена Дирекция "Превенция на финансовата и информационна сигурност" в структурата на ЦУ на НАП за постигане и гарантиране на информационната сигурност на системите на НАП. В тази връзка по делото са представени: Предложение на изпълнителния директор до Управителния съвет на НАП; Решение на Управителния съвет на НАП РМФ № 56 от 28.09.2010 г. за създаване на дирекция "Превенция на финансовата и информационна сигурност", на пряко подчинение на изпълнителния директор на НАП и Процедура ПФИС 7, ВЕРСИЯ в "Оценка на риска за информационната сигурност.; Със Заповед на Изпълнителния директор на НАП №ЗЦУ-83/23.01.2013 г. е определен вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базата данни за задължените лица, формата и елементите на данъчно-осигурителната сметка и сроковете за съхранение на архивната информация. Представен е списък на видовете операции по обработване на лични данни, за които се изисква извършване на оценка на въздействието върху защитата на данните, съгласно чл. 35, пар. 4 от Регламент ЕС 2016/679.; Със Заповед № 3 ЦУ-586/30.04.2014 г. на Изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС IS0/IEC 27001: 2006 в НАП.; Със Заповед № 3 ЦУ-733/17.06.2016 г. на Изпълнителния директор на НАП са утвърдени "Процедури с приложения към тях на отдел "Превенция на финансовата и информационна система" в Инспекторат на НАП, "Вътрешни правила за мрежовата и информационна сигурност, а именно: Правила за ползване на електронна поща и Интернет в НАП, версия 3. 0; Правила за ползване на мрежови файлови ресурси в НАП, версия 2. 0; Правила за правата и задълженията на потребителите, ползващи информационни активи в НАП, версия 2. 0; Правила за работа от разстояние в НАП, версия 2. 0; Правила за работа с преносими информационни активи в НАП, версия 2. 0; Правила за управление на достъпа до информационни активи и услуги в НАП, версия 2. 0. Със същата заповед е утвърдена и "Политика по информационна сигурност на НАП", версия 3. 0.; Със Заповед № 31 ДУ-121/30.01.2017 г. е утвърдена Методика за анонимизиране на индивидуални данни 3. 0.; Със Заповед № 3 ЦУ-1596/29.11.2017 г. на Изпълнителния директор на НАП са утвърдени "Указания за унищожаване на информация и информационни носители в НАП, ведно с приложенията към него, както следва: Препоръчителен софтуер за изтриване на информация и верификационна проверка; Описание на методите и минимални препоръки за санитарна обработка на данни и софтуер и Образец на Протокол за унищожаване на информация и/или информационен носител.; Със Заповед № 3 ЦУ-1436/15.10.2018 г. на Изпълнителния директор на НАП са утвърдени "Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др.; Утвърдена е Политика по информационна сигурност на НАП.; В НАП е утвърдена Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения.; Със Заповед №з-ЦУ-1236/21.0.2019 г. на Изпълнителния директор на НАП е утвърдена процедура ИС17 Администриране на информационна система в НАП, версия В. Със Заповед №З. ЦУ-482/01.04.2019 г. на Изпълнителния директор на НАП са определени служители с администраторски достъп до информационните активи и услуги на НАП. Приел е за установено, че от страна на НАП са сезирани СГП и КЗЛД, като на НАП е издадено наказателно постановление, обжалвано пред СРС. На вътрешния за НАП електронен бюлетин "Посоки" са публикувани извадки от материали относно първоначалните мерки, предприети от НАП във връзка с неоторизирания достъп до информационните масиви на агенцията.; От Удостоверение на Изпълнителния директор на НАП, е видно, че във връзка с извършения неоторизиран достъп до информационната система на НАП и последвалото неправомерно разпространение на лични данни, в периода от 15.07.2019 г. до 09.07.2020 г. вкл., няма служители от дирекция "Информационни системи и моделиране на бизнес процеси" в ЦУ на НАП и от отдел "Информационни системи" в ТД на НАП, с наложено дисциплинарно наказание "Уволнение", на основание чл. 90, ал. 1, т. 5 от ЗДСл и чл. 188, т. 3 от КТ. По делото е разпитан свидетел, от показанията на който се установява, че след изтичане на личните й данни ищцата се е притеснила за къщата, за кредити, за всичко, преживяла е събитието много зле психически, което притеснение продължава и до момента. При тези факти АССГ е счел, че представените от страна на ответника документи за доказване изпълнение на задълженията си, произтичащи от регламента и закона, установяват реда по който е следвало да се обработват личните данни от ответника, но не и какъв контрол по отношение на спазването им е осъществен, и не се установява конкретния технически начин, по който са достъпени личните данни при хакерската атака, за да се направи извода дали това е станало вследствие на неприлагане на ефективни организационни и/или технически мерки за защита на данни или въпреки тях. АССГ е приел, че в случая е налице противоправно бездействие от страна на ответника да изпълни, произтичащи от посочените разпоредби задължения, за да осигури достатъчна надеждност и сигурност на информационната си система, съответно да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, вр. чл. 4, т. 2 от Регламента, в т. ч. правото на защита на личните им данни., което бездействие е довело до техническа уязвимост на системата, което в резултат е допринесло до нерегламентирано разкриване и разпространение личните данни на ищцата. Приел е за неоснователно възражението на ответника, че се касае до неоторизиран достъп в резултат на престъпление, поради което ответникът не може да носи отговорност по предявената претенция, тъй като ако е изпълнено по изискуемия ефективен начин задължението по предотвратяване изтичането на лични данни, то не би следвало да е възможно злоумишлено деяние, престъпно посегателство по смисъла на Наказателния кодекс и обратно, след като е налице деяние по смисъла на НК, то задачата по предотвратяване на престъплението и предотвратяване неправомерно достъпване до базата данни не е била изпълнена. Според АССГ обстоятелството, че е извършена хакерска атака, пробита е информационната система на НАП, е неоспоримо доказателство, че не са предприети подходящи технически и организационни мерки за защита обработване личните данни на ищеца, което е достатъчно да бъде направен извод за противоправност бездействието на НАП, при което ответника, в качеството си на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент ЕС 2016/679, при осъществяване дейността си е следвало ефективно да предприеме мерки за предотвратяване злоумишлен достъп до лични данни, включително тези на ищцата, и като не е изпълнил задължението си по предотвратяване на престъплението и опазване изтичането на лични данни от противоправното му бездействие следва претендирания от ищеца увреждащ резултат, и същото е незаконосъобразно-в противоречие с изискванията на чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Регламента. Съдът е направил заключение, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от ОРЗД задължения. По отношение втората според съда предпоставка за ангажиране на отговорността на НАП - наличие на претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие, АССГ е достигнал до извод, че притесненията на ищцата не са пряка и непосредствена последица от изтичането на личните й данни, а са обусловени от евентуално бъдещо извършване на злоупотреба, за чието настъпване освен изтеклите лични данни са необходими редица други документи. Т. е. притесненията на ищцата са били обективно неоснователни с оглед изключително слабата вероятност само на базата на изтеклите нейни лични данни да се извърши злоупотреба със средствата или имуществото й, при което макар да е установена настъпила вреда за ищцата, същата не е в пряка причинно- следствена връзка с установеното незаконосъобразно бездействие. Според съда, след като ищцата не е осъществила главно и пълно доказване на която и де е от кумулативно изискуемите предпоставки, то последица от това е отхвърляне на предявения от нея иск, и липсата на елемент от фактическия състав, в случая на причинна връзка между незаконосъобразните бездействия и настъпилия вредоносен резултат, е достатъчно основание искът да бъде отхвърлен. Решението е неправилно. АССГ неправилно е определил правното основание на предявения иск, в следствие на което при правилно разпределена доказателствената тежест между страните, е извел несъответни на установената фактическа обстановка заключения относно липсата на вреда и липса на причинна връзка между претърпяната вреда и нарушените разпоредби. В резултат решаващия съд е достигнал до незаконосъобразни правни изводи. Противно на възприетото от първостепенния съд, правното основание на предявения иск е чл. 82 ОРЗД "Право на обезщетение и отговорност за причинени вреди" ( виж посоченото от ищеца на стр. 14 от исковата молба), според който (чл. 82, § 1 ОРЗД) 1. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Съгласно чл. 82, § 2, 3, 4, 5, 6 ОРЗД: 2. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях.; 3. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата.; 4. Когато в една и съща операция по обработване участват повече от един администратор или обработващ лични данни или участват и администратор, и обработващ лични данни, и когато те са отговорни по параграфи 2 и 3 за вреда, причинена от обработването, всеки администратор или обработващ лични данни носи отговорност за цялата вреда, за да се гарантира действително обезщетение на субекта на данни.; 5. Когато администратор или обработващ лични данни е изплатил съгласно параграф 4 пълното обезщетение за причинената вреда, той има право да поиска от другите администратори или обработващи лични данни, участвали в същата операция по обработване на лични данни, да му възстановят част от платеното обезщетение, съответстваща на тяхната част от отговорността за причинената вреда в съответствие с условията по параграф 2.; 6. Съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2. С оглед посоченото правно основание, три са изискуемите компоненти, съдържими в предмета на доказване за реализиране правото на обезщетение и отговорност за причинени вреди по чл. 82 ОРЗД: претърпяна от лице материална или нематериална вреда; нарушение на Регламент (ЕС) 2016/679 извършено от администратор или обработващ лични данни/ по см. на чл. 4, § 7 и § 8 от Регламента/, доказано по съответния процесуален ред; причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. Доказателствената тежест в процесното съдебно исково (а не административно) производство, съгласно разпоредбата на чл. 82, § 3 ОРЗД, при възражение за освобождаване от отговорност за причинени вреди в резултат на нарушаване на Регламента, поради това, че администратор на лични данни не е осигурил и не е приложил подходящи технически и организационни мерки, е изцяло в тежест на администратора и обработващия лични данни–НАП, ответна по делото пред АССГ страна, който следва да докаже, че обработването на личните данни се извършва в съответствие с Регламента. Съответно доказателствената тежест за доказване на настъпилата неимуществена вреда е изцяло за ищеца. В този смисъл не се спори, че НАП има качеството на администратор на лични данни по см. на чл. 4, т. 7 от ОРЗД, като за доказване изпълнение задълженията си в това му качество, произтичащи от Регламента и ЗЗЛД, ответника е представил по делото посочените по-горе писмени доказателства за предприети мерки. В конкретния казус първоинстанционния съд съобразно установените факти по делото правилно е приел, че е налице нарушение на Регламента от Национална агенция за приходите в качеството й на администратор на лични данни, спрямо правата на ищцата, в качеството и на субект на лични данни, при тяхната обработка. Нарушението според настоящия състав, е осъществено чрез бездействие, което се изразява в неосигуряване(невъвеждане) на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата А. Н., и като последица неосигуряване подходящо ниво на сигурност на тези лични данни, което бездействие по същество представлява неточно изпълнение задълженията на администратора на лични данни -НАП по чл. 24 и чл. 32 от ОРЗД. Предвид твърденията на ищеца в исковата молба, при условията на пълно насрещно доказване ответника в процеса Национална агенция за приходи не е установила по делото факти, за доказването на които същата носи доказателствена тежест, а такива факти в случая следва да са мерки(различни по вид с организационен и технически характер), които да са предприети, но и не само-трябва да са осъществени, т. е. въведени по см. на Регламента и да са подходящи, водещи до еднозначен резултат-сигурна обработка на личните данни, което практически означава изградено ниво на сигурност, чиято степен минимизира риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. Ответната страна е проявила недостатъчна процесуална активност, представяйки пред първата инстанция единствено писмени доказателства, от прочита на които не може да се обоснове освобождаване от отговорност на администратора на лични данни по см. на чл. 82, § 3 ОРЗД, т. е. не е доказано в процеса, че администратора на лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Необоснован и противоречащ на приетите по делото доказателства е извода на първостепенния съд за липса на конкретни неимуществени вреди понесени от ищцата. Този извод категорично се опровергава от показанията на допуснатия и разпитан по делото свидетел Х. П. (майка на ищцата), според които ищцата се е притеснила за къщата, за кредити, за всичко, преживяла е събитието много зле психически. Противно на възприетото от АССГ, в случая предвид характера на събитието, не се касае за необходимост от предизвикване на някакви промени в качеството на живот на ищеца, които според съда са промени в поведението на ищцата- да направи всичко възможно за да установи какви точно данни са разкрити и какво би могла да направи за да промени това, което е разкрито. Цялостно нелогичен и несъответен на установените факти във вр. с казуса е извода на съда, че с пасивното си поведение ищцата била "допринесла" за настъпилата негативна промяна в поведението й. Касае се за защита на физически лица при обработване на лични данни- основно човешко право, защитено от Регламента и от хартата на основните права на ЕС(чл. 8, § 1 ХОПЕС). Не е необходимо и каквото и да е активно поведение на пострадалото лице. Обратният извод- за необходимост от някакви действия на субекта налични данни, противоречи на характера на обществените отношения по обработването на лични данни, динамиката на тези данни в обществото и със самия характер на личните данни като дълбоко свързани с персоналната идентичност на субекта, която свързаност е до степен, че дори вероятността за тяхното разкриване, възприета от личността, винаги има за резултат чувствително засягане психическото и емоционално състояние на субекта. Това засягане е с преимуществено негативен характер защото последицата от неправомерното обработване е засягане правата и свободите на личността. В този смисъл доказани от ищцата в случая са понесени от нея болки, страдания и неудобства от категорията на обичайната дистресова реакция, т. е. налице е негативно засягане на личността от неправомерното развитие на процесните обществени отношения. Неправилно е заключението на АССГ относно липсата на причина връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. Следва да се отбележи, че в производството по чл. 82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т. е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретиката на казуса поведението на ответника –бездействие(неизпълнение задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни(събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните болки и страдания, т. е. доказания в производството отрицателен резултат в сферата на ищцата. Казано по друг начин, неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т. е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни(съдържаща и лични данни) и проявеното бездействие, предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, води до повишаване този риск до ниво, което поддържа вероятността за настъпване събитие от изброените в чл. 32, § 2 от Регламента в достатъчно продължителен интервал от време над определена критична величина. В обобщение –по делото са доказани всички необходими елементи за реализиране правото на обезщетение и отговорност за причинени вреди по чл. 82 ОРЗД на ищцата А. Н.. При заявената от ищцата претенция за присъждане обезщетение в размер на 1000 лв. и предвид установения по делото интензитет на негативно увреждане(претърпените неимуществени вреди), подлежащи на обезщетяване, жизненият стандарт и инфлационните процеси в страната, настоящият съдебен състав приема, че справедливият размер на дължимото обезщетение е 500 лева. Решението на АССГ като неправилно-постановено при наличие на касационното основание по чл. 209, т. 3, предл. първо и трето, следва да се отмени, като вместо това се постанови друго по съществото на спора, с което Национална агенция за приходите, в качеството й на администратор на лични данни бъде осъдена на основание чл. 82, § 1 и § 2 от Регламент (ЕС) 2016/679, да заплати на А. Н. обезщетение за нанесени неимуществени вреди в размер на 500 лева. Исковата претенция за разликата над 500 лв. до пълния предявен размер от 1000 лв. следва да се отхвърли като неоснователна и недоказана. С оглед претендираната законна лихва върху размера на обезщетението, такава следва да се присъди от датата на завеждане на исковата молба-16.09.2019 г. до окончателното заплащане на обезщетението. При този изход на спора и направеното искане за присъждане на разноски на ищцата, и съдържащата се в искането претенция за присъждане адвокатско възнаграждение предвид представителството на същата от адвокат по реда на чл. 38, ал. 2 вр. ал. 1, т. 3 ЗА, в полза на адвокат С. Ю. от Софийска адвокатска колегия следва да определи възнаграждение съразмерно с уважената част на иска и съобразно чл. 8, ал. 1, т. 2 от Наредба № 1 от 09.07.2004 г. за минималните размери на адвокатските възнаграждения, в размер на 150 лв., платимо от администрацията на ответника, а Национална агенция за приходите бъде осъдена да заплати на А. Н. сума в размер на 15 лева- платена от ищцата държавна такса за две съдебни инстанции. Водим от горното и на основание чл. 221, ал. 2, изр. първо, предложение второ от АПК, Върховният административен съд, състав на Пето отделение