Решение № 13709 от 17.12.2024 г. на ВАС по адм. д. № 9675/2024 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Национална агенция за приходите/НАП/ срещу Решение 6041/22.05.2024 г. на Административен съд София - град /АССГ/, постановено по адм. дело 11251/2019 г., в частта, в която Национална агенция за приходите е осъдена да заплати на О. П. М. сумата от 500 /петстотин/ лева, представляващи обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата, както и разноски за държавна такса и адвокатско възнаграждение. Решението, в частта, в която е отхвърлен предявеният от О. М. срещу НАП иск за разликата до пълния претендиран размер от 1000 /хиляда/ лева, като необжалвано е влязло в сила и не е предмет на касационната проверка. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага подробни съображения в подкрепа на становището си, че не е налице бездействие от страна на НАП при неоторизирания достъп до личните данни. Счита, че съдът неправилно е приел, че в процесния случай е налице твърдяното незаконосъобразно бездействие на НАП, което да обоснове наличието на първата предпоставка за възникване на правото на обезщетение в хипотезата на чл. 1, ал. 1 от ЗОДОВ. Счита за неправилни и изводите на съда относно втората предпоставка за възникване на правото на обезщетение, а именно че негативните емоции са в следствие на неоторизирания достъп. Твърди, че не е доказал какви негови лични данни са разкрити. За установяване на това обстоятелство липсват каквито и да било доказателства, като дори допуснатият в съдебно заседание свидетел е бил заличен, поради неявяването му. Твърдените от лицето неимуществени вреди, изразяващи се негативни емоционални състояния като притеснения, опасения, страх от злонамерено посегателство върху личността и имуществото, стрес и др., са необосновани и недоказани. В този смисъл е даденото указание на Съда на ЕС по дело С-340/21 г., съгласно което лице, засегнато от нарушение на ОРЗД, което е имало отрицателни последици за него, е длъжно да докаже, че тези последици представляват нематериални вреди по смисъла на член 82 от този регламент, за да подлежат същите на обезщетяване. В хода на съдебното производство не е било установено наличие на третия задължителен елемент от фактическия състав, а именно - причинна връзка между оповестеното на 15.07.2019 г. събитие и настъпилите твърдени вреди от ищцата. Липсват доказателства, които да установяват настъпването на посочените от ищцата емоционални състояния. Няма доказателства, от които да е видна настъпила промяна в здравословното състояние на ищцата, в резултат на осъществения неоторизиран достъп до информационната система на НАП. Моли решението в обжалваната му част да се отмени и се постанови ново, с което се отхвърли изцяло иска на О. М.. Претендира юрисконсултско възнаграждение. Касационният жалбоподател в съдебно заседание се представлява от юриск. Маринова, която поддържа касационната жалба, няма доказателствени искания и моли съдът да я уважи по изложените в нея съображения. Ответникът по касация О. П. М., чрез процесуалния представител адв. С. Юрукова депозира отговор по касационната жалба. Претендира разноски по представен списък на същите. В съдебно заседания ответникът не се явява и не се представлява. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е основателна по следните съображения: Производството пред АССГ е образувано по предявен иск от О. М. срещу НАП за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни /ЗЗЛД/, чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/, наричан по-нататък Регламент /ЕС/ 2016/679 или ОРЗД заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на вземанията. Първоинстанционният съд е приел, че искът е допустим и частично основателен. Изложил е съображения, че основателността на иск с правно основание чл. 1, ал. 1 от ЗОДОВ предполага установяването на кумулативното наличие на следните предпоставки: незаконосъобразно бездействие на орган или длъжностно лице на държавата, при или по повод изпълнение на административна дейност; вреда от такова бездействие и причинна връзка /пряка и непосредствена/ между незаконосъобразното бездействие и настъпилия вредоносен резултат. При липса на някой от елементите на посочения фактически състав не може да се реализира отговорността на държавата по посочения ред. Незаконосъобразността на бездействието се установява от съда, пред който е предявен иска за обезщетение. АССГ е посочил, че е налице първата предпоставка на визираната в чл. 1, ал.1 от ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Първоинстанционният съд е приел, че за установено от събраните по делото доказателства, че конкретното бездействие, от което се твърди, че са претърпени вредите е изтеклата на 15.07.2019 г., вследствие нерегламентиран достъп и престъпно деяние от неизвестно лице, от електронните масиви на НАП, информация съдържаща лични данни на ищцата. По факта, че на посочената дата, поради нерегламентиран достъп, е изтекла информация от информационните масиви на НАП, съдържаща лични данни на ищцата, по делото не се спори. Представена е разпечатка за извършена проверка от сайта на НАП, която доказва неправомерно разкрити лични данни. Установено е точно кои лични данни са достъпени трите имена и ЕГН-то на ищцата, т.е. безспорно се установява, че по отношение на М. има неправомерно разкрити лични данни. На следващо място АССГ е посочил, че е осъществена и втората предпоставка за ангажиране на отговорността на ответника, а именно: претърпяна вреда от О. П. М. от това незаконосъобразно бездействие, изразяваща се преживяно безпокойство, притеснение да не се извърши злоупотреба с имуществото й. За установяване на вредата следва да се има предвид отново разписаното в решение от 14.12.2023 г. на Трети състав на СЕС по дело С-340/2021 г. /т. 6/, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда. Уточнено е, че когато лице, което иска обезщетение на това основание, се позовава на опасенията, че в бъдеще с неговите лични данни ще бъде злоупотребено поради наличието на такова нарушение, сезираната национална юрисдикция трябва да провери дали тези опасения може да се считат за основателни с оглед на обстоятелствата в конкретния случай и на субекта на данни. Съдът е приел, че ищцата е доказала настъпването на неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с нейните лични данни ще бъде злоупотребено, като може да бъдат изтеглени притежаваните от нея депозити, както и че може да се злоупотреби с недвижимото й имущество, поради което е намерил за доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно - следствена връзка с установеното по-горе незаконосъобразно фактическо бездействие на администратора. За да уважи иска АССГ е приел, че и трите предпоставки са налице. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е неправилно по следните съображения: Предявеният иск следва да се квалифицира като такъв с правно основание чл. 82, §1 от Регламент /ЕС/ 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Предвид чл. 82 от Регламент /ЕС/ 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент /ЕС/ 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, §1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, §1 от Харта на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. Регламент /ЕС/ 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. Членове 24 и 32 от Регламент /ЕС/ 2016/679 задължават администратора на лични данни /какъвто се явява НАП/ да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, §3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Неправилно съдът е приел, че са налице втората и третата предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, §1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В молба от 16.10.2020 г. процесуалния представител на ищцата е направил искане за допускане на един свидетел при режим на довеждане, който да установи вида и характера на причинените на М. неимуществени вреди, което искане е уважено от съда с протоколно определение от 21.10.2020 г. Изрично е предупредена ищцата, че при недовеждането на свидетел за датата на следващото съдебно заседание, същият ще бъде заличен. В проведеното на 10.03.2021 г. съдебно заседание съдът е заличил допуснатия свидетел, след като такъв не е бил доведен от ищцата. Процесуалният представител на ищцата е посочил, че няма доказателствени искания. С протоколно определение от 27.10.2021 г. производството по делото е спряно до постановяване на решение от СЕС по дело С-340/2021 г., образувано по преюдициално запитване, отправено от ВАС по адм. дело 1037/2021 г. С протоколно определение от 19.01.2024 г. делото е възобновено, насрочено е в открито съдебно заседание, като е направен доклад по делото и е разпределена доказателствената тежест между страните. С молба от 28.02.2024 г. процесуалният представител на М. е посочил, че няма доказателствени искания и счита делото за изяснено от фактическа страна. В проведеното след възобновяването на делото едно открито съдебно заседание ищцата не се е явила и не е била представлявана. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, §1 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение /т. 1/. Член 82, §1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост /т. 2/. Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищцата е ангажирала доказателства какви нейни лични данни са разкрити неправомерно. За доказване разкриването на лични данни М. е представила снимка на електронно съобщение от НАП, видно от която след направена проверка в сайта са били достъпени неправомерно трите й имена и ЕГН. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-340/21 на СЕС, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и безпокойството като неимуществени вреди и да се определи адекватно парично обезщетение. Правилата за доказателствената тежест на иск по чл. 82 ОРЗД не са по - неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 от ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищцата да докаже, че именно нейни конкретни лични данни са изтекли, като от разкриването на последните тя е претърпяла твърдените неимуществени вреди - страх, притеснения и безпокойство, че с данните й може да бъде злоупотребено, че могат да бъдат изтеглени притежаваните от нея депозити и да се злоупотреби с недвижимото й имущество. М. не е ангажирала никакви доказателства, с които да установи настъпването на неимуществени вреди, за които твърди в исковата си молба. Напротив, налице е процесуална пасивност на ищцата, която не е довела допуснатия й свидетел при режим на довеждане, въпреки изричните указания на съда, че при неосигуряването му за съдебното заседание, същият ще бъде заличен. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението в обжалваната част като неправилно ще следва да се отмени и се постанови ново, с което предявеният от О. М. иск се отхвърли и в останалата му част. Предвид изхода на спора основателна е претенцията на процесуалния представител на НАП да бъде присъдено юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8, вр. с чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, следва да се бъде определена в размер на 100 лв. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. второ АПК, Върховният административен съд, Пето отделение