Решение № 10183 от 22.10.2025 г. на ВАС по адм. д. № 5745/2025 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по две касационни жалби, подадени от Национална агенция за приходите и от Ц. А. К., против решение 3603 от 24.09.2024 г., постановено по адм. дело 692/2024 г. по описа на Административен съд (АС) Пазарджик. Касационният жалбоподател - Национална агенция за приходите (НАП), чрез процесуален представител юрк. Недева, обжалва съдебното решение в частта, с която НАП е осъдена да заплати на Ц. А. К. сумата от 200 лв., представляваща обезщетение за неимуществени вреди, претърпени в резултат на незаконосъобразно бездействие на НАП, както и обезщетение за забавено плащане на същата парична сума съразмерно на законната лихва за периода от 15.07.2019 г. до окончателното изплащане, както и в частта, с която НАП е осъдена да заплати на Ц. А. К. сумата от 144,17 лв. разноски по делото, съобразно уважената част на иска. Развити са съображения за неправилност на съдебния акт в оспорената му част, поради допуснати съществени нарушения на съдопроизводствените правила, нарушение на материалния закон и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Твърди, че ищцата не е представила доказателства за настъпилите вреди, както и не е успяла до докаже какъв е обема на разкритите лични данни. Иска отмяна на решението в обжалваната част. Не претендира разноски. Ответникът по тази касационна жалба Ц. А. К. не изразява становище. Касационният жалбоподател - Ц. А. К., чрез процесуален представител адв. Павлов, обжалва съдебното решение в частта, в която е отхвърлен искът му срещу НАП за заплащане на обезщетение за неимуществени вреди за разликата над уважения размер от 200 лв. до пълния предявен размер от 1 200 лв., ведно със законната лихва, както и в частта му на съразмерно присъдените разноски. Счита, че решението в обжалваната му част е неправилно поради допуснати съществени нарушения на съдопроизводствените правила, нарушение на материалния закон и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Твърди, че претендираното обезщетение за неимуществени вреди следва да се уважи за причиненото състояние на безспокойство и притеснение в пълния му размер от 1200 лева. Иска отмяна на решението в обжалваната част. Не претендира разноски. Ответникът по тази касационна жалба НАП, в съдебно заседание изразява становище за нейната неоснователност. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за основателност на касационната жалба на НАП и за неоснователност на касационната жалба на Ц. А. К.. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационните жалби са процесуално допустими като подадени в законния срок, от надлежни страни и срещу подлежащ на оспорване съдебен акт. Разгледани по същество касационните жалби са неоснователни по следните съображения: Първоинстанционното производство е образувано по иск с правно основание чл. 82, пар. 1 вр. пар. 2 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/Регламент/ОРЗД), разгледан по реда на чл. 203 от АПК, вр. чл. 39, ал. 2 от Закона за защита на личните данни (ЗЗЛД). Ищцата Ц. К. претендира обезщетение за неимуществени вреди в размер на 1200 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин нейните данните, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните й данни. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 967/03.12.2020 г. по адм. дело 556/2020 г. на АС-Пазарджик, с решение 7236/12.06.2024 г. по адм.дело 2296/2021 г. на Върховния административен съд, пето отделение, и връщане на делото за ново разглеждане от друг състав. В решението, ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, пар.1 вр. пар. 2 от Регламента. Изложени са обвързващи мотиви за липса на относимост към спора на чл. 59 от ЗЗЛД, който се намира в Глава осма от ЗЗЛД относно правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, респективно неотносими към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. В изпълнение на дадените указания, при повторното разглеждане на спора АС-Пазарджик с определение 2459/24.06.2024 г., постановено в закрито заседание, изрично е посочил, че в тежест на ищцата е да докаже претърпяването на твърдените неимуществени вреди, изразяващи се в притеснения, произтичащи от основателни съмнения за възможни злоупотреби с лични данни; липса на официална информация в продължение на 10 дни относно това какви нейни лични данни не са били опазени въпреки достъпността им в интернет пространството; загубено време в промяна на пароли, пин кодове на дебитни и кредитни карти, консултации със специалисти в сферата на сигурността; притеснения, че неограничен и неизвестен брой трети лица имат достъп до нейни лични данни, в това число адрес и финансова информация, както и че тези вреди са пряка и непосредствена последица от действията или бездействията на ответника. Посочил е, че в тежест на ответника НАП е да докаже, че при обработването на данни към 16.07.2019 г. не е допуснал нарушения на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) и на Закона за защита на личните данни, както и че по никакъв начин не е виновен за събитието, причинило вредата, също, че нерегламентираният достъп не се дължи на нарушение по смисъла на Регламент (ЕС) 2016/679, включително, че такова нарушение липсва или че е направено всичко възможно за неговото предотвратяване, предвид достиженията на техническия прогрес и различните рискове, както и да посочи и удостовери, дали и кога са били разкрити, не по установения ред лични данни и какви, относно ищцата, както и да удостовери при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин и до какви конкретно устройства или системи, съхраняващи данни е осъществен, изцяло на външна намеса ли се дължи достъпът и възможно ли е това, какви технически мерки са предприети, за да бъде предотвратен такъв достъп, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, и технически възможно ли е било предотвратяването на изтичането на данни. В хода на съдебното следствие, проведено по адм. дело 556/2020 г. по описа на АС-Пазарджик, са събрани гласни доказателства показанията на свидетеля П. Г. К., които съдът е кредитирал и посочил какво е установил от тях. За да постанови обжалваното решение АС-Пазарджик е приел, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищцата от това незаконосъобразно бездействие и причинна връзка между тях, съдът е приел, че Ц. А. К. е доказала настъпването на неимуществени вреди, изразяващи се в стрес, безпокойство, притеснение, застрашаване да не се отчужди или открадне имуществото й. АС-Пазарджик приема, че е доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на ответника НАП. Решението е правилно по следните съображения: Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди, които са били нанесени, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Неправилно първоинстанционният съд е обсъждал нарушения от страна на НАП като администратор на лични данни на чл. 59, ал. 1 ЗЗЛД, съответно е приел за установено нарушение от страна на НАП за задължението по този законов текст. Член 59 ЗЗЛД е неотносим към задълженията на НАП като администратор на лични данни. Разпоредбата се намира в Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът НАП не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Правилно решаващият съд е приел, че доказателствената тежест за установяване на този факт е била в тежест на НАП и той не се е справил с нея. Правилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищецът е ангажирал доказателства за твърдените като преживени негативни емоции, свързани с потенциалната възможност за злоупотреба с неговите лични данни от трети лица. От показанията на разпитания по делото свидетел се установяват, както правилно е посочил решаващият съд, настъпването на неимуществените вреди. От справка от 27.10.2020 г., изискана от съда от НАП, е установено, че за лицето Ц. А. К. са разкрити лични данни, които включват ЕГН, данни от декларации, подадени от работодатели/осигурители за осигурените от тях лица. Предвид това съдът правилно приема, че е доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на ответника. Налага се извод, че при правилно установени факти по делото съдът е достигнал до правилен извод за частична основателност на предявения иск за обезщетение за причинени неимуществени вреди. Настоящият съдебен състав намира за справедлив определения размер на дължимото обезщетение, който е съобразен с характера и тежестта на претърпените вреди, тяхната продължителност и неблагоприятно отражение върху личната сфера на Ц. А. К., поради което за нея е възникнало право на обезщетение в обичайния размер за подобни случаи, определен съобразно възрастта на ищцата, жизнения стандарт в страната и размерът на минималната работна заплата към момента на узнаване на неправомерния достъп. В съдебната практика се приема, че справедливостта като критерий за определяне паричния еквивалент на моралните вреди включва винаги конкретни факти, относими към стойността, която засегнатите блага са имали за своя притежател. Предвид изложеното, решението като валидно, допустимо и правилно постановено при липса на сочените в касационните жалби основания за отмяна по чл. 209, т. 3 АПК следва да бъде оставено в сила. С оглед изходът на спора пред касационната инстанция, не се налага промяна на присъдените от първата инстанция разноски, а допълнителни разноски не следва да бъдат определяни. Воден от горното и на основание чл. 221, ал. 2 АПК, Върховният административен съд, пето отделение