Решение № 6147 от 20.5.2021 г. на ВАС по адм. д. № 1160/2021 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на М. М. срещу Решение 6952/04.12.2020 г. на Административен съд София-град (АССГ) постановено по адм. дело 11275/2019 г. С обжалваното решение е отхвърлен предявеният иск от М. М. от гр. София против Национална агенция за приходите (НАП) за заплащане на обезщетение за претърпени неимуществени вреди в периода от 15.07.2019 г. до предявяването на исковата молба на 16.09.2019 г. в размер на 1000.00 лева вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД) да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване на личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на задължението. С решението М. М. е осъдена да заплати на НАП разноски по делото. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Сочи, че съдът неправилно е приел исковата молба за недоказана. За правилни счита изводите на решаващия съд, че е налице първата предпоставка на предявения иск по чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) незаконосъобразно бездействие от страна на НАП, в качеството на държавен орган, да изпълни вменените му от чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 задължения. Оспорва изводите на съда, че не са били доказани останалите предпоставки за уважаване на предявения иск претърпени от ищеца неимуществени вреди и причинна връзка между вредите и незаконосъобразното бездействие на НАП. Сочи, че съдът неправилно не е кредитирал показанията на разпитания свидетел и неправилно е приел, че липсата на активно поведение от страна на ищцата, противоречало на описаното от свидетеля поведение. Оспорва извода на съда за липсата на непосредствена причинно следствена връзка между вредите с изтичането на данни, тъй като евентуалните вреди били опосредени от нейната работа. Позовавайки се на съдебна практика по приложението на чл. 2, ал. 2 ЗОДОВ излага съображения, че когато се претендира обезщетение за обичайните неимуществени вреди, не са нужни формални, външни доказателства за тези обичайни вреди. Моли обжалваното решение да се отмени и вместо него да се постанови друго, с което се уважи предявеният иск. Претендира разноски за двете съдебни инстанции. Представя Списък на разноските. Касационният жалбоподател се представлява от адв. Ю.. Ответникът по касация Националната агенция за приходите оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение. Ответникът по касация се представлява от юрк. Г.-Ч. и юрк. Т.. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е частично основателна по следните съображения. Производството пред АССГ е образувано по предявен иск от М. М. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в периода 15.07.2019 г. 16.09.2019 г., в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г. до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните ѝ данни, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните ѝ, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните ѝ данни. Първоинстанционният съд от фактическа страна е установил, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. По делото е представена извадка от получен SMS от дата 04.08.2019 г., със следното съдържание: НАП: По заявка номер 3539 ИМА неправомерно разкрити лични данни. Посочен е телефонния номер, на който е получен посоченият SMS, както и името М.. От изисканата в хода на съдебното производство, по искане на ищеца, справка на НАП от 14.07.2020 г., е установено, че за идентификатор [ЕГН] (ЕГН на ищцата М. М.) са разкрити лични данни, които включват ЕГН, както и данни от декларации, подадени от работодател/осигурител за осигурените от тях лица за 2008 г. От ответника по иска, за установяване, че е предприел всички необходими мерки за защита, са представени писмени доказателства, подробно описани от съда. В хода на съдебното следствие са събрани гласни доказателства показанията на свидетеля М. - съпруг на ищцата. От същите е установено, че след като разбрала, че личните ѝ данни са изтекли неправомерно от НАП, ищцата се притеснила малко. Притеснявала се за това, че може на нейно име да бъде изтеглен кредит или, че може да се окаже собственик на фалирала фирма. Вследствие на притесненията състоянието на ищцата се влошило, като получила кашлица, която получавала, когато има нервни събития, станала по-нервна и притеснена от обичайното. Това ѝ състояние продължило около един месец, след което се успокоила и нещата отминали. Свидетелят е посочил и, че съпругата му няма никаква собственост. Въз основа на така установените факти съдът е приел, че искът е допустим, като в тази връзка се е позовал на Определение 2824/21.02.2020 г., постановено по адм. дело 1628/2020 г. по описа на ВАС, но неоснователен. Изложил е съображения, че е налице противоправно бездействие от страна на ответника да изпълни произтичащи от разпоредбите на чл. 59, ал. 1 ЗЗЛД и чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 задължения, за да осигури достатъчна надеждност и сигурност на информационната си система, съответно да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, във връзка с чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т. ч. правото на защита на личните им данни. За неоснователно е прието възражението на ответника, че се касае до неоторизиран достъп, в резултат на престъпление, поради което той не може да носи отговорност по предявената претенция. Извел е извод, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Регламент (ЕС) 2016/679. По отношение на втората предпоставка е изложил съображения, че информацията, че е установен неоторизиран достъп до информационните масиви на НАП, съдържащи лични данни на голям брой лица, е нормално да предизвика емоционален дискомфорт у всеки човек. Посочил е, че от показанията на разпитания по делото свидетел се установявало, че преживените от ищцата безпокойство и притеснение са довели до негативна промяна в нейното поведение. Посочил е, че свидетелят е установил от какво се е притеснявала ищцата, но по делото не било установено, че след като е разбрала за извършения неоторизиран достъп, същата да е извършила проверка кои конкретно нейни лични данни са били обект на посегателство. Поради това ищцата, с пасивното си поведение е допринесла за настъпилата негативна промяна в поведението ѝ, а от друга страна притесненията ѝ не са пряка последица от изтеклите данни, а от евентуално бъдещо извършване на злоупотреба вследствие на изтеклите лични данни. Извел е извод, че притесненията на ищцата не са пряка и непосредствена последица от изтичането на личните ѝ данни, а са обусловени от евентуално бъдещо извършване на злоупотреба, за чието настъпване, освен изтеклите лични данни, са необходими редица други документи. Решението е частично неправилно по следните съображения: Обжалваното решение е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Въпросът с допустимостта на иска е разрешен с Определение 2993/25.02.2020 г., постановено по адм. дело 2107/2020 г. по описа на ВАС. Следва да се отбележи, че решаващият съд неправилно се е позовал на Определение 2824/21.02.2020 г., постановено по адм. дело 1628/2020 г. по описа на ВАС, но това не променя извода за допустимост на иска. Макар и да не е обсъдено от съда, по делото са представени доказателства за липсата на висящо или приключило производство, иницирано от ищцата, което е условие за допустимост на иска, съгласно чл. 39, ал. 4 ЗЗЛД. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В случая с оглед качеството на администратора на лични данни специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл. 2, ал. 1 ЗНАП), правото да се претендира обезщетение за причинените вреди, се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане за неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. Правилно решаващият съд е посочил, че за да възникне право на иск за обезщетение, е необходимо да са налице няколко кумулативни предпоставки, а именно: 1. незаконосъобразен административен акт, отменен по съответния ред, или незаконосъобразно действие или бездействие на орган или длъжностно лице на държавата или общината, установено в хода на производство за обезщетение, при или по повод изпълнение на административна дейност; 2. вреда от отменен административен акт, респективно от незаконосъобразно действие или бездействие и 3. причинна връзка между постановения незаконосъобразен акт и/или незаконосъобразните действия или бездействия и настъпилия вредоносен резултат. В светлината на чл. 82 от ОРЗД предметът на доказване изисква: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. По делото са събрани доказателства за личните данни на ищцата, до които е имало неправомерен достъп. Следователно ищцата е доказала твърдението си за наличието на нарушено нейно право на защита на личните ѝ данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството.