Решение № 13080 от 21.12.2021 г. на ВАС по адм. д. № 2572/2021 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба от Национална агенция за приходите (НАП), чрез процесуален представител ст. юрисконсулт И. Иванов, против Решение 385 от 22.12.2020 г. постановено по адм. дело 141/2020 г. по описа на Административен съд Добрич, в осъдителната му част, с която НАП е осъдена да заплати на С. Стоянов обезщетение в размер от 200 лв. за претърпени неимуществени вреди от незаконосъобразно бездействие на длъжностни лица на агенцията, ведно със законната лихва, считано от датата на влизане в сила решението до окончателното изплащане на сумата, както и сумата от 30 лв., представляваща разноски по делото. В касационната жалба са изложени доводи за неправилност на решението поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Иска отмяна на решението в оспорената част и постановяване на друго по съществото на спора, с което да се отхвърли предявения иск. Прилага писмени доказателства. Претендира юрисконсултско възнаграждение. Ответникът С. Стоянов, в писмен отговор чрез адв. Х. Христов, излага становище за неоснователност и необоснованост на касационната жалба. Представителят на Върховна административна прокуратура дава заключение, че касационната жалба е допустима и неоснователна. Касационната жалба е подадена в срока по чл. 211 АПК, от надлежна страна, за която съдебният акт е неблагоприятен, поради което е процесуално допустима. Разгледана по същество, касационната жалба е основателна. Производството пред Административен съд Добрич се е развило по искова молба на С. Стоянов срещу Национална агенция по приходите с искане на бъде осъдена агенцията да му заплати обезщетение в размер на 1 000 лв. за претърпени неимуществени вреди вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, ведно със законната лихва върху тази сума, считано от датата на завеждане на исковата молба, или алтернативно от датата на изтичане на личните данни - 15.07.2019 г., до окончателното изплащане на сумата. Съдът е приел за безспорно установено от фактическа страна, че поради нерегламентиран достъп, вследствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019 г. е изтекла информация от информационните масиви на НАП, съдържаща лични данни на ищеца. Това обстоятелство само по себе си сочи, че ответникът не е предприел необходимите мерки, за да защити тези данни, т.е. налице е противоправно бездействие на НАП да изпълни, произтичащи от чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г., задължения. Събрани са свидетелски показания във връзка с доказване на твърдяните неимуществени вреди. Въз основа на това от правна страна е прието, че искът е с правно основание чл. 1 ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се в неизпълнение на задължения, произтичащи от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ и този иск е доказан по основание. Изхождайки от характера на претърпените вреди, трайността на търпенето им, доказаните душевни страдания и общото психическо състояние на ищеца съдът е счел, че справедливият размер на дължимото обезщетение за неимуществени вреди възлиза на 200 лв. по смисъла на чл. 52 от ЗЗД, вр. чл. 4 ЗОДОВ. Върху тази сума е присъдена законната лихва, считано от датата на влизане в сила на решението до окончателното изплащане на сумата. Исковата претенция до пълния предявен размер е отхвърлена, в която част решението е влязло в сила. Решението е неправилно. Административният съд не е дал подробни и конкретни указания по доказателствената тежест, съответно не е установил относими към спора факти и е изложил необосновани изводи за наличието на предпоставките на деликтната отговорност. Неправилно съдът приема, че пред него са доказани предпоставките за присъждане на обезщетение за причинените на ищеца неимуществени вреди. Правилно искът е разгледан по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, макар че дадената правна квалификация не е точната. Съгласно чл. 4, ал. 3 от Конституцията, Република България участва в изграждането и развитието на Европейски съюз, а по силата на чл. 5, ал. 4 от Конституцията, международните договори, ратифицирани по конституционен ред, обнародвани и влезли в сила за Република България, са част от вътрешното право на страната. Те имат предимство пред тези норми на вътрешното законодателство, които им противоречат. С оглед на това разпоредбите в Договора за Европейския съюз и в Договора за функциониране на Европейския съюз /ДФЕС/, регламентиращи права на правните субекти имат предимство пред нормите на вътрешното право, които им противоречат. Същото важи и за Хартата на основните права на Европейския съюз (Хартата, ХОПЕС), която по силата на член 6, параграф 1 ДФЕС има същата юридическа сила като договорите. Член 8, параграф 1 от Хартата и член 16, параграф 1 от ДФЕС предвиждат, че всеки има право на защита на личните му данни. Защитата на физическите лица във връзка с обработването на лични данни е основно право. Правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и защитата на основни права и свободи на физическите лица и по-специално тяхното право на защита на личните данни, са определени в Регламент (ЕС) 2016/679. На основание член 288, параграф 2 ДФЕС регламентът е акт с общо приложение, който е задължителен в своята цялост и се прилага пряко във всяка една държава членка. В решение на СЕС от 29 юли 2019 година по дело С-40/17 година и цитираната в него практика, с предмет преюдициално запитване по тълкуване на разпоредби от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободно движение на тези данни, която е отменена и заменена, считано от 25 май 2018 г. с Регламент /ЕС/2016/679, изрично се посочва, че: " една от заложените в Директива 95/46 цели е да се осигури ефикасна и пълна защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот при обработването на лични данни (така и решенията по делата Google Spain и Google, Puskar). В съображение 10 от нея се уточнява, че сближаването на приложимите в тази област национални законодателства не трябва да доведе до намаляване степента на защита, която те осигуряват, а обратно да има за цел гарантиране на висока степен на защита в Съюза. Същевременно Съдът е уточнил, че Директива 95/46 съдържа правила, които са относително общи, тъй като трябва да се прилага за голям брой много различни случаи. Тези правила се характеризират с известна гъвкавост и в много случаи оставят на държавите членки грижата за приемане на подробна уредба или за избор на някоя от възможностите, така че държавите членки в много отношения имат свобода на действие при транспонирането на посочената директива (вж. в този смисъл решения от 6 ноември 2003 г., Lindqvist, C-101/01, , т. 83, 84 и 97 и от 24 ноември 2011 г., Asociacion Nacional de Establecimientos Financieros de Credito, C-468/10 и C-469/10, т. 35). Правото на ефективна съдебна защита срещу администратор или обработващ лични данни е уредено в член 79, параграф 1 от Общия регламент, който предвижда, че без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно член 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по регламента са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване - член 79, параграф 2. Правото на обезщетение и отговорността за причинени вреди са предвидени в чл. 82, § 1 от Общия регламент, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава регламента. Съгласно член 82, параграф 6, съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни, съгласно правото на държавата членка, посочена в член 79, параграф 2. Националната нормативна уредба за защита правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/79, се съдържа в Закона за защита на личните данни - чл. 1, ал. 1 ЗЗЛД. Съгласно чл. 39, ал. 1 ЗЗЛД, при нарушаване на правата му по Регламент (ЕС) 2016/679 и по закона субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни - чл. 39, ал. 2 ЗЗЛД. В чл. 39, ал. 1 ЗЗЛД не се съдържа специална процесуална уредба относно реда за упражняване на правото на субекта да сезира съда за нарушените му права при обработване на личните му данни, а се препраща към общия административнопроцесуален закон за търсене на отговорност на всички администратори на лични данни, независимо от тяхната правосубектност и притежавани качества (публични органи или частноправни субекти), по аргумент от § 1, т. 1 АПК. Процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни, е уреден в глава единадесета "Производство за обезщетения" на Административнопроцесуалния кодекс. Съгласно разпоредбата на чл. 203, ал. 1 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на глава единадесета. Както вече се посочи, по силата на член 82, параграф 1 от Общия регламент относно защитата на личните данни, всеки засегнат частноправен субект може да предяви иск за обезщетение ако са нарушени правата му по този регламент и е налице пряка причинно-следствена връзка между нарушението и вредите. Материалноправните предпоставки на отговорността на държавата за вреди, причинени от нарушение на правото на ЕС, произтичат директно от наднационалния правен ред. Член 203, ал. 1 АПК, в редакцията ДВ, бр. 77 от 2018 г. определя подсъдност на спора на административния съд, когато вредите имат за причина нарушение на правото на ЕС с акт, действие или бездействие на административен орган или на длъжностно лице от неговата администрация. Съгласно чл. 203, ал. 2 АПК, за неуредените въпроси за имуществената отговорност по ал. 1 се прилагат разпоредбите на Закона за отговорността на държавата и общините за вреди. Предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент /ЕС/ 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, § 1 вр. § 2 от Регламента. Следва изрично да се посочи, че дадените от ищеца правни квалификации не обвързват съда. От значение са само фактическите твърдения на ищеца, въз основа на които съдът дава вярната правна квалификация на иска, съобразявайки от кой нормативен акт произтичат претендираните от ищеца правни последици и какво е мястото му в йерархията на източниците на правото. В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента. Разпоредбата на чл. 24 Отговорност на администратора от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 (GDPR), предвижда, чe като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Във връзка с горното неправилно първоинстанционният съд е обсъждал разпоредбата на чл. 59 ЗЗЛД, тъй като тази норма се намира в Глава осма от закона, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това е неотносима към настоящия правен спор. Извън съмнение е, че касаторът е администратор на лични данни по см. на чл. 4 § 7 от ОРЗД и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е", а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки ("цялостност и поверителност"). При тези правни квалификации, съдът е следвало да съобрази и нормата на чл. 82, § 3 от Регламента, съгласно която администраторът или обработващият лични данни се освобождава от отговорност съгласно § 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Посочената разпоредба очертава границите на отговорността на администратора. Разсъждавайки върху елементите на възникване на отговорността на държавата, съдът следва да има предвид, че изразът нарушение на настоящия регламент има широко съдържание и нарушението на сигурността на личните данни е само едно негово проявление, но не го изчерпва. Понятието нарушение на настоящия регламент обхваща всяко отклонение от неговите изисквания, а не се свързва само с разпоредбите, които визират конкретни задължения на администратора или обработващия при нарушение на сигурността на личните данни. Тълкуването на чл. 82, пар. 1 от Регламент (ЕС) 2016/679 дава основание отговорността на администратора или обработващия да се ангажира за по-широк кръг нарушения, обхващащ всяко неизпълнение на изисквания, произтичащи от Регламент (ЕС) 2016/679. В тази връзка нарушението на Регламент (ЕС) 2016/679 може да се извърши с акт, действие или бездействие на администратора.