Решение № 5831 от 3.6.2025 г. на ВАС по адм. д. № 2898/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на М. П. срещу Решение 2231/21.01.2025 г. на Административен съд София-град (АССГ), постановено по адм. дело 5284/2021 г. С обжалваното решение е отхвърлен иска с правно основание чл. 82, §1 от Регламент (ЕС) 2016/679 във вр. с чл. 39 от Закона за защита на личните данни (ЗЗЛД) и чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) на М. П. срещу Национална агенция за приходите (НАП) с искане за заплащате на обезщетение за претърпени неимуществени вреди в размер на 1000 лева от незаконосъобразно бездействие и М. П. е осъдена да заплати разноски по делото. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че съдът неправилно е приел, че не са налице втората и третата предпоставка за уважаване на предявения иск претърпени от ищцата неимуществени вреди и причинна връзка между вредите и незаконосъобразното бездействие на НАП. Оспорва изводите на съда, че не е несъмнено установено по отношение на ищцата да е имало изтичане на лични данни в резултат на неоторизиран достъп. Твърди, че съдът не и е указал, доказателствената тежест която носи. Моли обжалваното решение да се отмени и се постанови ново, с което се уважи предявеният иск. Претендира разноски за двете съдебни инстанции, вкл. адвокатско възнаграждение по чл. 38, ал. 1, т. 3 от Закона за адвокатурата (ЗА). Представя списък на разноските. Касационният жалбоподател се представлява от адв. Юрукова. Ответникът по касация Национална агенция за приходите оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за настоящата инстанция. Ответникът по касация се представлява от юрк. Танев. Представителят на Върховната касационна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувано по предявен иск от М. П. срещу НАП за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода 15.07.2019 г.- 16.09.2019 г., в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), наричан по-нататък Регламент (ЕС) 2016/679 или ОРЗД , заедно със законната лихва върху тази сума, считано от 15.07.2019 г. (алтернативно от датата на завеждане на исковата молба - 16.09.2019 г.) до окончателното ѝ изплащане. Производството по адм. дело 5284/2021 г. по описа на АССГ се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното Решение 4046/21.07.2020 г. по адм. дело 11233/2019 г. на АССГ, с Решение 6271/26.05.2021 г. по адм. дело 10294/2020 г. на Върховния административен съд и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск, подлежащите на установяване факти и е дал задължителни указания до съда за конкретно разпределение на доказателствената тежест между страните. В изпълнение на дадените указания, при повторното разглеждане на спора АССГ с Определение 5771 от 21.05.2024 г, постановено в закрито заседание е разпределил доказателствената тежест между страните, като е дал указания, че в тежест на ищцата е да докаже настъпването на претендираните неимуществени вреди. Административният съд е дал указания на ответника НАП, че в негова тежест е да установи, че личните данни на ищцата са били обработвани при спазване на принципа за цялостност и поверителност , установен в чл. 5, б. е от Регламент (ЕС) 2016/679 - по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като са прилагани подходящи технически или организационни мерки и че той носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност са подходящи, отчитат естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. С оглед на така разпределената доказателствена тежест и дадените указания от съда страните не са ангажирали нови доказателства, извън събраните в проведеното производство по адм. дело 11233/2019г. на АССГ. Първоинстанционният съд е приел от фактическа страна, че между страните не е спорно, че поради нерегламентиран достъп, в следствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. От представената извадка от получен SMS от дата 27.07.2019 г., съдът е установил, че в същата е посочено, следното: НАП: По заявка номер 8314 ИМА неправомерно разкрити лични данни 11:54 . За установяване на факта, че НАП е предприела всички необходими мерки за защита на личните данни, ответникът е представил писмени доказателства подробно описани от съда. Въз основа на така установените факти съдът е приел, че искът е допустим, но неоснователен. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 ЗОДОВ, е посочил, че НАП, в качеството на администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, с оглед представените доказателства, не е изпълнил задълженията си, установени в чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 за прилагане на технически и организационни мерки за осигуряване на ниво на сигурност при обработване на личните данни съобразено с естеството, обхвата, контекста и целите на обработването и с идентифицираните рискове с различна вероятност. Приел е, че ищцата не е доказала твърдяното от нея наличие и настъпването на реална вреда с неимуществен характер, която да е пряка и непосредствена последица от бездействието на ответника. В тази връзка е изложил съображения, че е останал недоказан фактът лични данни на ищцата да са били неправомерно разкрити вследствие на осъществения неоторизиран достъп до информационната система на НАП, както и какъв е техният обем. Посочил е, че недоказано, включително и със събраните по делото гласни доказателства твърдението за преживени от ищцата негативни емоции, изразяващи се в опасения, че в бъдеще може да бъде злоупотребено с личните й данни. Съдът е достигнал до извод, че не може да бъде установена и причинно-следствената връзка между тревогите, които ищцата претендира да е изпитала и бездействието на ответника във връзка със задълженията му, вменени с нормите на чл.24 и чл.32 от Регламент (ЕС) 2016/679. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно. Предявеният иск е с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Членове 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, като тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия. Разпоредбата на чл. 82, параграф 3 от ОРЗД ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от съда, не доказват, приложените мерки да са подходящи за защита при обработване на личните данни. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези членове 24 и 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Правилно съдът е приел, че е в процесния случай не е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищцата е ангажирала гласни доказателствени средства за преживени негативни емоции, описани в исковата молба, но същата не е доказала и какви нейни лични данни са достъпени неправомерно. Свидетелката Р. П., която е в родствена връзка ищцата, единствено е посочила, че майка й станала сериозна и започнала повече да се притеснява от това, че някой може да се възползва от личните й данни като изтегли кредит на нейно име или пък да дойде на адреса на който живеят. Обосновани са изводите на първоинстанционния съд за неналичието на претърпени неимуществени вреди от ищцата. За доказване изтичането на лични данни ищцата е ангажирала, както е наименувано в исковата молба копие от потвърдителните СМС-и, справки от интернет портала на НАП и извадки от публично оповестени таблици с лични данни, с които сме уведомени, че по отношение на нас е налице неправомерно разкриване на личните ни данни . В кориците на адм. дело 11233/2019 г., на лист 25, се съдържа извадка, вероятно от потвърдителни SMS, в която е отразено: НАП: По заявка номер 8314 ИМА неправомерно разкрити лични данни (точен цитат). Няма никаква яснота кой е направил заявката и дали тя касае М. П., т.е. не е ясно, че са изтекли именно данните на ищцата. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищцата, както и че действително са претърпени неимуществени вреди имат за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по чл. 82 ОРЗД не са по-неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципа на равностойност и принципа на ефективност ще са спазени, като е необходимо ищцата да докаже, че именно нейни конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпяла и в какво точно се изразяват те. Тъй като трите елемента следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения настоящият съдебен състав приема, че при постановяване на обжалваното съдебно решение не са допуснати посочените от касатора нарушения по чл. 209, т. 3 от АПК, поради което същото следва да бъде оставено в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на юрисконсултско възнаграждение за настоящата инстанция, се явява основателна и следва да се уважи в размер на 100 лв. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо АПК, Върховният административен съд, пето отделение