Решение № 9058 от 22.7.2024 г. на ВАС по адм. д. № 3214/2021 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Г. К. Г., подадена чрез процесуален представител, срещу решение 6896 от 03.12.2020 г., постановено по адм. д. 4525/2020 г. по описа на Административен съд София - град /АССг/. Касаторът обжалва съдебното решение като твърди, че е неправилно и незаконосъобразно, респ. иска същото да бъде отменено. Ответникът по касационната жалба - Национална агенция за приходите /НАП/ оспорва касационната жалба като неоснователна по съображения, изложени в писмен отговор и съдебно заседание. Претендира разноски за юрисконсултско възнаграждение. Прокурорът от Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд /ВАС/, състав на Пето отделение, при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема за установено следното: Производството пред административния съд е образувано по искова молба на Г. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от бездействия на НАП, довели до неправомерно придобиване и разпространение на личните му данни, от което ищцата е претърпяла неимуществени вреди, представляващи стрес, безпокойство, притеснение, опасения и други отрицателни емоции, поради което и претендира обезщетение на тези вреди, ведно със законната лихва от датата на изтичане на личните данни 15.07.2019 г. до датата на изплащане на обезщетението. За да постанови обжалваното решение, първоинстанционният съд приема, че искът е с правно основание чл. 1 от Закона за отговорност на държавата и общините за вреди (ЗОДОВ) за присъждане на обезщетение за претърпени неимуществени вреди вследствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се неизпълнение на задължения, произтичащи от чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламента (ЕС) 2016/679 на Европейския парламент и на Съвета от 26.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните/(ОРЗД; Регламента). Прието е за безспорно установено, че на 15.07.2019 г. е осъществен нерегламентиран достъп вследствие на умишлени престъпни действия от страна на неизвестно лице, в резултат на което е изтекла информация от информационните масиви на НАП. След извършен преглед на предприетите мерки за защита на сигурността на информацията в НАП, на база представените от ответника доказателства - заповеди на изпълнителния директор на НАП, Методика за оценка на риска Приложение 3 към процедура ПФИС 7, утвърдена политика по информационна сигурност, Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри АССг приема, че предвидените с Регламента задължения за осигуряване достатъчна надеждност и сигурност на информационната система, както и за защита на физическите лица във връзка с обработване на личните им данни от страна на НАП са изпълнени и не е налице незаконосъобразно бездействие. Прието е също, че по делото не е доказано ищецът реално да е претърпял твърдените неимуществени вреди, изразяващи се в чувство на стрес, безпокойство, притеснение и опасения от незаконосъобразното бездействие на ответника. Въз основа на тези фактически констатации първоинстанционният съд приема, че предявеният иск с правно основание чл. 1, ал. 1 от ЗОДОВ е неоснователен и отхвърля исковата претенция изцяло. Обжалваното решение е валидно и допустимо постановено е в предвидената от закона форма, от компетентния съд, след надлежно сезиране с искова молба от активно легитимирано лице. Разгледано по същество е неправилно. Решението на АССг е постановено при допуснати съществени нарушения на съдопроизводствените правила. С определение от 30.06.2020 г. първоинстанционният съд е дал указания на НАП, че следва да представи всички писмени доказателства, с които разполага, както и да посочи конкретните обстоятелства, заедно с доказателствата, които ги доказват. С определение от 12.08.2020 г., след посочване на предмета на делото на основание чл. 140 и чл. 154 от Гражданскопроцесуалния кодекс /ГПК/ са конституирани страните по делото и са им дадени указания по отношение на доказателствата, които следва да представят, като на ответника НАП е указано да представи справка за вида и обема на лични данни на Г., до които е осъществен нерегламентиран достъп, както и копия от самите документи до които е бил осъществен достъпът. Със същото определение е указано на ищеца да докаже наличие на незаконосъобразно бездействие на органа и настъпилите вследствие на него неимуществени вреди, както и доказателства за размера на претенцията. С оглед на така установеното, настоящия съдебен състав намира, че в случая доказателствената тежест между страните не е разпределена правилно от първоинстанционния съд. В съдебния процес всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. Ищецът следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Ответникът следва да докаже изпълнението на действията, дължими от него по силата на закона, което следва от изричната норма на чл. 82, § 3 ОРЗД, според която администраторът на лични данни следва да докаже, при условията на пълно и главно доказване, че е приел подходящи технически и организационни мерки в съответствие с Регламента, така че да изключи всяка своя отговорност за събитието, причинило вредата. Тук следва да се отбележи, че указания за доказване на предприети технически и организационни мерки в съответствие с Регламента са давани единствено на ищеца, с което на практика цялата доказателствена тежест е възложена върху него, без да се съобрази вида на нарушението. На ответника по иска не е указано, че в негова тежест е да установи, че съгласно чл. 24 § 2 и § 3 и чл. 32 ОРЗД е положил всички усилия и е осъществил всички подходящи политики, взел е всички подходящи мерки за защита на личните данни на всички физически и юридически лица , които притежава и обработва в служебно качество, както и че се придържа към одобрените кодекси за поведение или одобрени механизми за сертифициране, както и че прилага конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове. Освен това съдът не е съобразил и служебното начало в съдебния процес по административни дела, включително необходимостта от специални знания за изясняване на съществен въпрос по делото, а именно какъв е техническият механизъм на неоторизирания достъп до лични данни, осъществен на 15.07.2019г. Решението е и необосновано. При липса на дадени указания за доказателствената тежест и на събрани относими към спора доказателства, изводът на административния съд за неоснователност на иска е формиран при посочените по - горе съществени процесуални нарушения, които са довели и до необоснованост на съдебното решение. По делото не е установена причината, довела до нерегламентирано разкриване и разпространение личните данни на ищеца и не е осъществен контрол дали то не е в резултат на неприлагането на подходящи мерки за защита, като самото нарушението на Регламента, респективно липсата на такова е това, което следва да бъде установено в съдебния процес пред административния съд. Правото на обезщетение и отговорността за причинени вреди са предвидени в чл. 82, § 1 ОРЗД, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента. Съгласно § 6 от цитирания текст на ОРЗД, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата - членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в ОРЗД, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата им по този Регламент и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни - Глава единадесета Производство за обезщетения на Административнопроцесуалния кодекс. Съгласно разпоредбата на чл. 203, ал. 1 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на Глава единадесета. С оглед на изложеното следва извод, че всеки засегнат частноправен субект може да предяви иск за обезщетение, ако са нарушени правата му по този регламент и е налице пряка причинно-следствена връзка между нарушението и вредите. Предметът на доказване по чл. 82 ОРЗД изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на ОРЗД; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. В случая липсват доказателства по отношение на посочените елементи. Освен това неправилно в първоинстанционното решение е обсъждана разпоредбата на чл. 59 ЗЗЛД, която е неотносима в случая, тъй като систематичното ѝ място е в Глава осма от ЗЗЛД. Същата регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, каквито твърдения и обективни данни по делото липсват. От изложените съображения се налага извод, че първоинстанционното решението следва да бъде отменено като неправилно, а предвид установените нарушения на съдопроизводствените правила, делото следва бъде върнато за ново разглеждане от друг състав на същия съд. При новото разглеждане на делото първоинстанционният съдебен състав следва разпредели доказателствената тежест, като даде конкретни указания на страните при съобразяване и с решение Съда на Европейския съюз /СЕС/ от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, според което разпоредбата на чл. 82, пар. 1 от ОРЗД трябва да се тълкува в смисъла, че опасенията, които субект на данни изпитва, вследствие на потенциална злоупотреба с личните му данни от трето лице /трета страна по смисъла на чл. 4, т. 10 от ОРЗД/, могат сами по себе си да представляват нематериална вреда, която също подлежи на доказване. Администраторът на лични данни по смисъла на чл. 4, т. 7 от ОРЗД /какъвто безспорно е НАП в случая/ при обработването им следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5, пар. 1, б. а, както и по б. е от ОРЗД, поради което при указване на доказателствената тежест, съдът следва да съобрази посочената приложимата правна уредба и цитираното решение на СЕС, в което е тълкувана. При разглеждане на делото следва да бъде съобразено също, че дадената от ищеца правна квалификация не обвързва съда, като от значение за преценката му каква е тя, съдът е обвързан само от фактическите твърдения на ищеца, въз основа на които съдът е длъжен да определи вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от ищцата правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента, като въз основа на твърдяното им неизпълнение се претендира обезщетение по чл. 82 ОРЗД. Ето защо при формиране на изводите си за наличие или липса на нарушение на тези текстове, административният съд следва подробно да обсъди представените от НАП писмени доказателства, като съобрази разпоредбата на § 3 на чл. 24 ОРЗД, както и събраните в хода производството доказателства и постановеното в посоченото по - горе решение на СЕС, а именно, че неразрешеното разкриване на лични данни или неразрешен достъп до такива данни от трето лице по смисъла на чл. 4, т. 10 ОРЗД сами по себе си не са достатъчни, за да се приеме, че приложените от ответника технически и организационни мерки не са подходящи по смисъла на чл. 24 и 32 ОРЗД. Преценката в тази връзка следва да бъде направена като се вземат предвид рисковете, свързани с обработването, както и естеството, обхватът и приложението на съответните мерки, съобразно тези рискове, като следва да бъде и съобразено, че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 ОРЗД за обезщетяване на претърпените вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 ОРЗД. С оглед изхода на спора, по претенциите за разноски, направени от страните, включително за настоящата инстанция, следва да се произнесе първоинстанционния съд при новото разглеждане на делото съгласно чл. 226, ал. 3 АПК. Предвид изложеното и на основание чл. 222, ал. 2 АПК, Върховният административен съд, Пето отделение