Решение № 7241 от 12.6.2024 г. на ВАС по адм. д. № 1735/2022 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на В. Н. М., подадена чрез пълномощника адвокат С. Юрукова, срещу решение 221 от 13.01.2022 г., постановено по адм. дело 4880/2021 г. по описа на Административен съд София - град (АССГ), с което е отхвърлен предявеният от нея иск против Националната агенция за приходите (НАП), за присъждане на обезщетение в размер на 1000 лева за претърпени неимуществени вреди вследствие незаконосъобразно бездействие на ответника, изразяващо се в неизпълнение в достатъчна степен на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (33ЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Регламент (ЕС) 2016/679, Общ регламент относно защитата на данните, ОРЗД, Регламента), ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане. В касационната жалба са развити доводи за неправилност на атакуваното решение поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост - отменителни основания по чл. 209, т. 3 АПК. Касаторът изразява несъгласие с отказа на АССГ да кредитира показанията на свидетеля, дадени при предходното разглеждане на делото пред друг състав на съда, тъй като в производствата по АПК и Гражданския процесуален кодекс (ГПК), е неприложим принципът на непосредственост, за разлика от предвиждането по чл. 18 от Наказателно-процесуалния кодекс (НПК), което обаче се прилага само в наказателния процес. По отношение наличието на неимуществени вреди се позовава на съдебна практика на Върховния касационен съд. Въз основа на изложените оплаквания иска отмяна на атакуваното съдебно решение и постановяване на друго, с което предявеният иск бъде уважен. Претендира присъждане на съдебно-деловодни разноски за двете инстанции, съгласно приложен списък по чл. 80 ГПК. Ответникът по касация - НАП, чрез юрисконсулт Г. Иванова, в представен писмен отговор и в съдебно заседание, оспорва жалбата и моли съда да постанови решение, с което да я отхвърли като неоснователна и необоснована. Претендира присъждане на юрисконсултско възнаграждение. Представителят на Върховна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, след като прецени данните по делото и обсъди доводите на страните констатира, че касационната жалба е подадена от надлежна страна в срока по чл. 211, ал. 1 АПК, което я прави процесуално допустима. Разгледана по същество и с оглед разпоредбата на чл. 218, ал. 1 АПК, тя е неоснователна. Предмет на разглеждане пред АССГ е предявен иск с правно основание чл. 82, § 1 от ОРЗД, разгледан по реда на чл. 203 АПК, вр. чл. 39, ал. 2 ЗЗЛД, като се претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищцата като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните й данни. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 АПК, след отмяна на първоначално постановеното решение 4045 от 21.07.2020 г. по адм. дело 11218/2019 г. на АССГ, с решение 5927 от 18.05.2021 г. на ВАС, състав на трето отделение, постановено по адм. дело 10293/2020 г. и връщане на делото за ново разглеждане от друг състав. В решението на ВАС са дадени задължителни указания за конкретно разпределение на доказателствената тежест между страните. В изпълнение на дадените указания, при настоящото разглеждане АССГ е изготвил подробен доклад по делото, с разпореждане постановено в закрито заседание на 26.05.2021 г., в който изрично е посочил, че в тежест на ищцата е да докаже настъпването на претендираните вреди, а на ответника - че не е отговорен за събитието причинило вредата. При новото разглеждане ответникът е представил допълнителни писмени доказателства, а ищцата не е ангажирала гласни доказателства, въпреки дадените й изрични указания. От фактическа страна съдът е приел за безспорно, че на 15.07.2019 г., е изтекла информация от масивите на НАП, съдържаща лични данни на 6 074 140 физически лица, от които 4 104 786 живи лица - български и чужди граждани и 1 989 589 починали лица. По адм. дело 11218/2019 г. е приложена издадена от НАП справка за ищцата по нейния ЕГН, от която се установява, че изтеклата информация за нея е: ЕГН и имена, данни от декларации подадени от работодатели/осигурители за периода 2008 г. При първото и новото разглеждане на делото пред АССГ, по отношение предприетите мерки от ответника са представени: утвърдена Политика по защита на личните данни, утвърдена със заповед ЗЦУ-746/25.05.2018 г.; Указания за обозначаване и работа с информация, версия 3.1; утвърдена Политика по информационна сигурност на НАП, версия 3.0, май 2016 г.; утвърдена Инструкция 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения; заповед ЗЦУ-586/30.04.2014 г. за внедряване система за управление на сигурността на информацията; Методика за оценка на риска, версия 1.1., ноември 2015 г.; утвърдени процедури относно информационната сигурност със заповед ЗЦУ-733/17.06.2016 г.; Правила за ползване на електронната поща и интернет в НАП, версия 3.0; Правила за ползване на мрежови файлови структури в НАП, версия 2.0; Правила за правата и задълженията на потребителите ползващи информационните активи в НАП, версия 2.0; Правила за работа от разстояние в НАП, версия 2.0; Правила за работа с преносими информационни активи в НАП, версия 2.0; Правила за управление на достъпа до информационния активи и услуги в НАП, версия 2.0. По адм. дело 11326/2019 г. е разпитана като свидетел С. С., майка на ищцата, която е заявила, че във връзка с изтеклите й данни тя се е притеснила, тъй като има теглен кредит за жилище, а няколко месеца преди това са продали тяхното семейно жилище след развод и имали пари в сметки. Това много ги притеснило, че могат чрез данните им да бъдат изтеглени сумите или да се злоупотреби, като се изтегли кредит на тяхно име. Ищцата била нервна по повод случилото се. Няколко пъти е ходила да проверява сметката си, дали не е изтеглена сума от нея, което създало дискомфорт. За да постанови сега атакуваното решение, след преглед на приложимата правна уредба АССГ е приел от правна страна, че искът е с правно основание чл. 82, § 1 от ОРЗД, а НАП в качеството на администратор на лични данни по смисъла на § 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, § 7 ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Независимо от приемането на горе описаните документи, НАП не е осигурила достатъчна надеждност на информационната си система. Техническата уязвимост на тази система е довела до нерегламентирано разпространение на личните данни на ищцата и това е следствие от неприлагането от НАП на подходящи мерки за защита. От това съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищцата от това незаконосъобразно бездействие и причинна връзка между тях, АССГ е приел, че В. М. не е изпълнила дадените й изрични указания да докаже претърпените от нея негативни преживявания, като е недопустимо да бъдат кредитирани свидетелските показания дадени по адм. дело 11218/2019 г., заради нарушение на принципа на непосредственост. По тези съображения, съдът е отхвърлил предявения иск. Решението е правилно. От значение за разрешаването на правния спор е решението на Съда на европейския съюз (СЕС) по дело С-340/21 г., като производството по настоящото дело беше спряно до постановяването му. Съгласно това решение, издадено на 14.12.2023 г., чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Предприетите мерки от него трябва да бъдат оценявани за всеки конкретен случай, като се преценят рисковете свързани със съответното обработване, както и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. При предявен иск за обезщетение по чл. 82 ОРЗД, администраторът носи тежестта на доказване, че прилаганите от него мерки за сигурност са подходящи съгласно чл. 32 от Регламента. Той не може да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна, а трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети. Страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети страни в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда. Предвид дадените указания от СЕС, при правилност на определеното от АССГ правно основание на предявения иск - чл. 82 ОРЗД и разпределение на доказателствената тежест, решаващият съд е достигнал до законосъобразни правни изводи. От доказателствата по делото може да се направи категоричен извод за наличие само на първата предпоставка за основателност на иска по чл. 82 ОРЗД - нарушение на Регламент (ЕС) 2016/679, извършено от администратора на данни. Първоинстанционният съд обосновано на установените факти по делото е приел, че е налице нарушение на Регламент (ЕС) 2016/679 от НАП в качеството й на администратор на лични данни, спрямо правата на ищцата, в качеството й на субект на лични данни при тяхната обработка. Нарушението е осъществено чрез бездействие, изразяващо се в неприлагане на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищцата и като последица - неосигуряване подходящо ниво на сигурност на тези данни. С бездействието си НАП не е изпълнила в цялост задълженията си като администратор на лични данни по чл. 24 и чл. 32 ОРЗД. Неотносимо е позоваването в атакуваното съдебно решение на чл. 59, ал. 1 33ЛД, тъй като тази разпоредба се намира в глава 8 ЗЗЛД, регламентираща правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Тази неточност не променя същността на останалите правни изводи на АССГ. С оглед на очертаната в решението на СЕС по дело С-340/21 г. тежест на доказване, която следва пряко и от приложението на чл. 82, § 3 ОРЗД, НАП не доказва в хода на производството да е предприела подходящи мерки за сигурна обработка на личните данни, с което да минимизира риска от нерегламентиран достъп на трети лица. Независимо от правилно разпределената тежест на доказване от АССГ, Приходната агенция не е установила, че техническите мерки взети преди нерегламентирания достъп до личните данни на ищцата са били достатъчни съобразно рисковете в Интернет при обработването на лични данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за установено твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерагламентирания достъп до личните данни на ищцата и останалите физически лица. По изложените съображения касационният състав намира за правилен извода на АССГ, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Обосновани на ангажираните по делото доказателства са мотивите на първоинстанционния съд за неустановяване на конкретни неимуществени вреди претърпени от ищцата. Макар позоваването на принципа на непосредственост при събирането на гласни доказателства да е необосновано, след отмяната на решение 4045 от 21.07.2020 г. по адм. дело 11218/2019 г. на АССГ, с решение 5927 от 18.05.2021 г. по адм. дело 10293/2020 г.на ВАС, процесуалните действия на съда от първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените й изрични указания при новото разглеждане да докаже настъпването на претендираните вреди, ищцата не се е справила с възложената доказателствената тежест и не е ангажирала гласни доказателства, поради което правилно АССГ е приел, че не са били установени по надлежния ред претърпени от нея страх и негативни преживявания. Предвид на изложените съображения настоящият касационен състав приема, че обжалваното решение е правилно, не са налице касационни основания по чл. 209, т. 3 АПК, поради което то следва да бъде оставено в сила. При този изход на спора, при направеното нарочно искане, на основание чл. 143, ал. 3 АПК, вр. чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, в полза на НАП следва да бъде присъдена сумата 100 лева за юрисконсултско възнаграждение по производството пред настоящата инстанция. По изложените съображения и на основание чл. 221, ал. 2, АПК, Върховният административен съд, пето отделение