Решение № 27931 от 20.12.2024 г. на Административен съд - София-град по дело № 5600/2024 г.

ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на З. А. В. от [населено място] сумата от 250, 00 лв., представляваща обезщетение за претърпени неимуществени вреди за периода от 06.08.2019 г. до 16.09.2019 г., вследствие на незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължение по по чл.24 и чл.32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 16.09.2019 г. до окончателното изплащане на сумата. ОТХВЪРЛЯ иска в останалата част за разликата до пълния претендиран размер от 1 000 лева. ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на З. А. В. от [населено място] сумата от 45 /четиридесет и пет/ лева., направени разноски за държавни такси. ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на адв. С. Ю. сумата от 300 /триста/ лева за оказана безплатна защита и съдействие на З. А. В. от [населено място], съобразно уважената част от иска, по настоящето дело, както и по адм.д. № 11260/2019 г. на АССГ и по адм.д. № 4248682/2021 г. на ВАС. ОСЪЖДА З. А. В. от [населено място] ДА ЗАПЛАТИ на Национална агенция за приходите разноски в размер на 225 /двеста двадесет и пет/ лева, съобразно отхвърлената част от иска. Решението подлежи на обжалване пред ВАС в 14-дневен срок от уведомяване на страните, на които на основание чл.138, ал.3 АПК да се изпрати препис от същото. СЪДИЯ: Производството по делото е образувано на основание Решение №5667/09.05.2024 г., постановено по адм д. №4248/2021 г. по описа на ВАС, с което е отменено Решение №1171 от 25.02.2021 г., постановено по адм. д. №11260/2019 г. по описа на Административен съд София - град и делото е върнато за ново разглеждане от друг състав на АССГ. С отмененото решение е бил отхвърлен изцяло предявения от З. А. В. осъдителен иск с правно основание чл. 1, ал. 1 от ЗОДОВ против Националната агенция за приходите за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв., ведно със законната лихва върху претендираното обезщетението, считано от 15.07.2019 г. до окончателното изплащане на вземанията. В отменителното решение е прието, че предявеният иск, макар, да следва да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правната му квалификация е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR) (наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. В исковата молба се твърди, че в следствие на неправомерно изтичане на лични данни от базата данни на НАП, сред които и такива на ищеца, e претърпял неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани. С главния иск е съединен иск за заплащане на законната лихва върху претендираното обезщетение, считано от 15.07.2019 г., евентуално от датата на предявяване на иска, до окончателното изплащане на вземанията. Претендират се и направените по делото съдебни разноски, както и адвокатско възнаграждение за процесуалния представител на ищцата по чл.38, ал.2, вр. с ал.1, т.3 от ЗАдв. Ответникът, Национална агенция за приходите, чрез процесуалния си представител в съдебно заседание юрисконсулт Л. Т. оспорва предявения иск като неоснователен и недоказан с твърдение, че от ищеца не са представени доказателства за вида и обема на изтеклите лични данни, което е равносилно на липса на заинтересованост на това лице. Предвид това счита, че вследствие на изтеклите лични данни няма настъпила вреда за него. Подробни съображения са изложени и в отговора на исковата молба и в касационната жалба до ВАС. Претендира присъждане на всички направени разноски по приложен списък. Представител на СГП изразява становище, че искът е недоказан по основание и размер, поради което следва да бъде отхвърлен. Счита, че по никакъв начин не е доказан емоционалния стрес и настъпилите вреди. По настоящото делото са приобщени събраните в хода адм. д. №11260/2019 г. по описа на АССГ писмени и гласни доказателства. В хода на настоящото производство по искане на ищеца от НАП е изискана и е постъпила справка за разпространени негови лични данни. Назначена е и е приета съдебно-техническа експертиза, заключението по която е оспорено от процесуалния представител на ответника. Съдът, като прецени събраните по делото доказателства, поотделно и в тяхната съвкупност, приема за установено от фактическа страна следното: Страните не спорят от фактическа страна, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. За установяване на трърдението, че личните му данни са били изтекли, с исковата молба е приложена снимка на електронно съобщение с дата 06.08.2019 г. със следния текст: „НАП: по заявка номер 3579 ИМА неправомерно разкрити лични данни“. Че такава справка е извършена от ищеца се установява от показанията на разпитания свидетел И. М.. В показанията си същата заявила, че тя е пуснала sms за проверка и от получения отговор ищецът и тя разбрали, че има изтичане на негови лични данни. Доколкото от същата не става ясно, че се отнася именно за З. В., с оглед указанията, дадени в настоящото производство, и направеното в тази връзка доказателствено искане, от ответника е представена справка за изтеклите лични данни на ищеца. От същата се установява, че по отношение на същия има изтекли лични данни, които включват: данни от данъчна декларация за облагане с патентен данък за 2001 г.; данни от данъчна декларация за облагане с патентен данък за 2003 г. и данни от декларации, подадени от работодател/осигурител за осигуряваните от тях лица за периода 2008 г. Въз основа на събраните в тази насока доказателства съдът приема за установено, че при нерегламентирания достъп до масивите на НАП на 15.07.2019 г. е изтекла информация, касателно личните данни на ищеца, съдържащите се в тези документи, като за това, че негови лични данни са разкрити, ищецат е узнал на 06.08.2019 г., без да е разбрал тогава и впоследствие какви точно негови лични данни са нерагламентирано разпростванени. Липсват и доказателства, а и не се твърди засегнатото лице да е потърсило информация от ответника по реда на чл. 37б от Закона за личните данни. Относно твърдението, че вследствие на нерегламентирания достъп до личните му данни ищецът е претърпял вреди, по делото е разпитан един свидетел. В показанията си същата е заявила, че когато разбрал за изтеклите лични данни, ищецът се притеснил и изразил опасения, че нещо може да му бъде отчуждено или откраднато. Опасенията му, че може да пострада поради изтеклите лични данни продължили и след това. За да установи, че е предприел всички необходими мерки за защита на личните данни, ответникът е представил редица доказателства. От същите се установява следното за организацията на опериране с базите данни от страна на НАП: По отношение функционирането на електронните услуги на НАП, са разработени и осигурени технически процедури по идентификация на потребителите с електронен подпис, персонален идентификационен код, издаван от НАП, както и САРТСНА /тест за сигурност за разграничаване на компютри от хора/. В НАП има действаща процедура ИС 17, версия В, „Администриране на информационната система в НАП“, утвърдена със Заповед №ЗЦУ-1236/21.08.2019г. на Изпълнителния директор на НАП, с която е отменена действащата до този момент Процедура ИС17, утвърдена със Заповед №ЗЦУ-1767/29.12.2017 г. на Изпълнителния директор на НАП. Същата е съобразена във всичките й версии с изискванията, регламентирани в Наредба за общите изисквания за оперативна съвместимост и информационна сигурност и Наредба за минималните изисквания за мрежова и информационна сигурност /ДВ, бр. 59 от 26.07.2019г./ В изпълнение на цитираните нормативни актове, е извършено тестване със специализирано техническо средство Q., предназначено за мониторинг и идентифициране на уязвимости в информационните активи. НАП има най – голям брой електронни услуги в цялата администрация – 138 броя, които са създадени и поддържани в изпълнение на държавната политика за намаляване на административната тежест и предоставяне на качествени, ефективни и леснодостъпни онлайн услуги за гражданите и бизнеса. Целите на електронното управление, определени в Стратегията за развитие на електронно управление в Република България 2014 г. – 2020 г., както и действащата нормативна рамка, са насочени към внедряването, развитието и употребата на електронни административни услуги. НАП е предприела в тази насока всички необходими технически и организационни мерки, за да минимизира рисковете от поддържането на такъв голям обем електронни услуги. Рисковете не могат да бъдат на 100% процента избегнати, а задължението се свежда до предприемане на мерки за минимизацията им. В тази връзка отстрана на пълномощникът на ответника по делото са приложени доказателства, че в края на 2018г. е извършена проверка на НАП от Държавна агенция „Електронно управление“ с обхват изпълнение на изискванията, предвидени в Закона за електронно управление, Наредбата за общите изисквания към информационните системи, регистрите и електронните административни услуги и Наредбата за общите изисквания за мрежова информационна сигурност. Проверката не е констатирала нарушения и/ или неизпълнение на нормативни задължения, предвидени в цитираните нормативни актове. Приложени са и доказателства, че в НАП са разработени и утвърдени: Политика по защита на личните данни, утвърдена със Заповед № ЗЦУ-746 от 25.05.2018г. на Изпълнителния директор на НАП; Заповед № ЗЦУ-1595/29.11.2017г. на Изпълнителния директор на НАП за утвърждаване на указания за обозначаване и работа с информацията, ведно с Указания и обозначаване за работа с информацията, версия 3.0; Политика по информационната сигурност на НАП, версия 3.0, май 2016г.; Инструкция №2/08.05.2019 г. за мерките и средствата за защита на лични данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри, ведно с Декларация за опазване на лични данни, която се подписва от всички служители на НАП; Заповед № 586 от 30.04.2014 г. за внедряване на система за управление на сигурността на информацията; Методика за оценка на риска, версия 1, декември, 2013г. След оповестяване и узнаване за неоторизирания достъп, на основание чл.22 от Регламента, НАП незабавно уведомява за случая КЗЛД с писмо, изх. № ЕП-37-00-137 от 16.07.2019г, . приложено по делото. Уведомена е и С. градска прокуратура (писмо изх. № 11-02-231/17.07.2019г.) за наличие на данни за извършено престъпление чрез осъществен неоторизиран достъп до информационната система на НАП и разпространение на защитена информация на граждани, обработвани от Агенцията, с искане за незабавно образуване на наказателно производство по случая. Уведомени са специализираните звена при ГД „Б.“- МВР и ДАНС. Предприети са мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и са предприети мерки за преустановяване на нерегламентирания достъп. Докладвано е и на Секретариата на Глобалния форум за прозрачност и обмен на информация за данъчни цели /Глобален форум/ към Организацията за икономическо сътрудническо и развитие. Незабавно са предприети мерки за справяне с нарушения на сигурността на данните с действително или потенциално въздействие върху данните, обменяни с международни партньори за обмен на информация за данъчни цели. На 28-30.08.2019г. екип от експерти от Глобалния форум извършва проверка относно установения нерегламентиран достъп и установява, че всички информационни системи на НАП, вкл. услугите, предоставяни на клиенти, са прегледани за уязвимост; всички услуги онлайн и съответните приложения са проверени за уязвимост и тези с потенциална такава са били спрени; извършена е проверка на изходния код на всички приложения, които са разработени или вътрешно от НАП, или от външни изпълнители; конфигурацията на мрежите и приложните сървъри е проверена и актуализирана; правата на достъп до схемите в базата данни са преразгледани и актуализирани и т.н. Независимо от извършеното уведомяване, от страна на НАП са предприети и редица конкретни мерки имащи за цел защита на личните данни, а именно: установени са по-конкретни и стриктни правила за достъп; стартира процес по конфигуриране на приложна защитна стена, която да идентифицира и блокира опити за експлоатиране на уязвимости на приложения на НАП; реализиран е допълнителен защитен слой на публичният сайт на НАП, чрез конфигурирането му по начин, позволяващ да използва анти-DDOS доставчик C.. През този канал минава единствено и изцяло публична информация, начална на Интернет страницата на НАП, тъй като продължават атаките срещу публичните ресурси на НАП и т.н. Съдът приема, че тази част от доказателствата, които касаят предприетите след осъществения неоторизиран достъп на 15.07.2019 г. мерки, изразяващи се в уведомяване на прокуратурата, обжалване на издаденото от КЗЛД наказателно постановление и други описани мерки, представляват мерки за преодоляване на последиците от нерегламентирания достъп и ограничаване на щетите от изтичане на данните и са неотносими към предмета на спора. Всички представени от НАП доказателства са анализирани от вещото лице по назначената и приета СТЕ. От заключението му се установява, че НАП има разработени на хартия редица правила и политики, касаещи мрежовата и информационна сигурност. Според вещото лице обаче информацията, до която е осъществен нерегламентирания достъп е била налична на сървър, който е бил с остаряла версия на операционната система W. 2008R2 и стара версия на СУБД O. 11.2.0.2. Системното и базово програмно осигуряване не е обновявано, защото приложените системи няма да работят с по-новите им версии и е трябвало да се модифицират. С оглед на това вещото лице е приело, че предвидените мерки са адекватни, но доколкото не са били изпълнени на практика, се явяват само на хартия и не могат да бъдет определени като достатъчни, за да се избегне нерегламентирания достъп. Според вещото лице за да се избегне нерегламентирания достъп до информацията е било необходимо да се спазват и изпълняват поне приетите от НАП вътрешни документи, касаещи сигурността на информацията. Следвало е агенцията да разполага с по-добра техническа инфраструктура, на която да се съхраняват и достъпват данните от външни източници, да се обновят операционните системи и системите от бази данни и да се използват най-новите им версии. Настоящият съдебен състав изцяло възприема заключението на вещото лице, като обективно и компетентно, изготвено на база представените по делото доказателства. В тази връзка неоснователни са доводите на ответника, относими към оспорването му. При така установената фактическа обстановка съдът прави следните правни изводи: Съдът приема, че предявения иск е ДОПУСТИМ, като този въпрос е разрешен с Определение № 5323/05.05.2020 г., постановено по адм.д.№ 1719/2020 г. по описа на ВАС, което съгласно разпоредбата на чл.235, ал.2 АПК е задължително за настоящия състав. Разгледан по същество е частично ОСНОВАТЕЛЕН. Както е прието в мотивите на отменителното решение, съдебните производства във връзка с упражняването на правото на обезщетение за вреди, произтичащи пряко от чл. 82, §1 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR) се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в чл. 79, параграф 2 от същия. На национално ниво, обществените отношения, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламента, намират уредбата си в ЗЗЛД. Последният, в своя чл. 39, ал. 1, препращайки към разпоредбите на АПК, дава процесуалния ред за реализиране на отговорността на всички администратори на лични данни, независимо от правосубектността им и притежаваните качества. Съгласно чл.203 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на Глава единадесета от АПК. Съгласно чл.203, ал.2 АПК, за неуредените въпроси за имуществената отговорност по ал.1 се прилагат разпоредбите на Закона за отговорността на държавата и общините за вреди. Следователно именно това е релевантният правен ред за разглеждане на исково производство с правно основание чл.82, §1 от Регламента. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, § 1 от Общия регламент, включва следните задължителни елементи: 1. Доказано нарушение на Регламент /ЕС/ 2016/679; 2.Наличие на материална или нематериална вреда; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Ищецът е изложил факти, сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл.24 и чл.32 от Регламента за защита на данни. Ответникът НАП е специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания /чл.2, ал.1 от ЗНАП/ и администратор на лични данни по смисъла на чл.4, т.7 от Общия регламент относно защитата на личните данни. Като такъв, същият е адресат на посочените за нарушени правни норми. Безспорно горните разпоредби въвеждат задължение за администратора на лични данни да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с разпоредбите на Общия регламент за защита на данните – чл.24, параграф 1 и чл.32 от него. Същият подход е възприет и в цитираните разпоредби от ЗЗЛД. Съгласно чл.154, ал.1 ГПК, вр. чл.204, ал.5 АПК, всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. По отношение на първия елемент от фактическия състав на предявения иск - бездействие, което ищецът оспорва преюдициално в исковото производство, с твърдения за неговата незаконосъобразност, следва да се посочи, че той е в положението на ищец по отрицателен установителен иск. Ищецът следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Ответникът е длъжен да доказва изпълнението на действията, дължими от него по силата на посочените от ищеца законови норми, обезпечаващи защитимото право на ищеца. Ищецът ще се задоволи само с възраженията си, че такова изпълнение не е осъществено /Тълкувателно решение № 8 от 27.11.2013 г. на ВКС по тълк. д. № 8/2012 г., ОСГТК/. Изпълнението на задълженията за опазване на личните данни предполага въвеждането на ефективни процедури и механизми, които да са насочени към онези видове операции по обработване, които има вероятност да доведат до висок риск за правата и свободите на физическите лица поради своето естество, обхват, контекст и цели. Предвид предмета на делото, първият спорен въпрос е дали са предприети цитираните или други подходящи мерки, които да доведат до подсигуряване на достатъчно ниво на защита. След като е налице задължение за администратора на лични данни да въведе подобни подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на личните данни се извършва при спазване на чл.24, § 1 §2 и чл.32 от Регламента, тежестта на доказване, че не е нарушил това свое задължение лежи именно върху него. Според чл.24 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ администраторът на лични данни, случая НАП, като взема предвид естеството, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящия регламент. Тези мерки се преразглеждат и при необходимост се актуализират. А в чл. 32 са предвидени конкретните мерки, които следва да се предприемат. Доколкото задължението да докаже, че обработването на личните данни се извършва в съответствие със ЗЗЛД е на администратора, обстоятелството, че е изтекла информация от сървърите на НАП вследствие неоторизиран достъп, който факт е безспорен по делото, според настоящият състав на съда сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на §1, т.4 от ДР на ЗЗЛД, вр. чл.4, т.2 от Регламент (ЕС) 2016/679, в т.ч. правото на защита на личните им данни. С решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г. на СЕС, съдът приема, че чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32.