Решение № 6411 от 27.5.2024 г. на Административен съд - София-град по дело № 9109/2021 г.

ОТХВЪРЛЯ предявения иск от Й. С. Г. от [населено място] против Национална агенция за приходите за заплащане на обезщетение за претърпени неимуществени вреди в размер на 200.00 лева вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал.1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/ да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване на личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на задължението. ОСЪЖДА Й. С. Г. от [населено място] да заплати на Национална агенция за приходите деловодни разноски в размер на 812, 50 лв. /осемстотин и дванадесет лева и 50 ст./. Решението подлежи на обжалване пред ВАС в 14-дневен срок от уведомяване на страните, на които на основание чл.138, ал.3 АПК да се изпрати препис от същото. СЪДИЯ: Производството по делото е образувано на основание Решение №9421/15.09.2021 г., постановено по адм д. №8825/2020 г. по описа на ВАС, с което е отменено е Решение № 2815/09.06.2020 г., постановено по адм. дело №11255/2019 г. по описа на Административен съд - София-град в обжалваната му част, а именно В ЧАСТТА, в която Националната агенция за приходите е осъдена да заплати на Й. С. Г., на основание чл.1 от Закона за отговорността на държавата и общините за вреди, обезщетение за причинени й неимуществени вреди в размер на 200.00 (двеста) лв., ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на обезщетението, както и в частта, в която агенцията е осъдена да заплати на Г., на основание чл. 10, ал. 3 ЗОДОВ деловодни разноски в размер на 110 лв. и делото е върнато за ново разглеждане в отменената част от друг състав на АССГ. В отменителното решение е прието, че предявеният иск, макар, да следва да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правната му квалификация е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR) (наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. В исковата молба се твърди, че ищцата е преживяла страдания, стрес, притеснения, отрицателни психически изживявания, чувства и опасения за възможно неправомерно използване на личните й данни, причинени от бездействието на ответника, изразяващо се в неизпълнение на произтичащи от чл.59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения, станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение за която е било публикувано от медиите на 15.07.2019 г. Обезвреда именно на тези вради се претендира с предявения иск за периода от 15.07.2019 г. до датата на предявяване на иска – 16.09.2019 г. С главния иск е съединен иск за заплащане на законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното изплащане на вземанията. Претендират се и направените по делото съдебни разноски, както и адвокатско възнаграждение за процесуалния представител на ищцата по чл.38, ал.2, вр. с ал.1, т.3 от ЗАдв. Ответникът, Национална агенция за приходите, чрез процесуалните си представители, в представен писмен отговор и в съдебно заседание оспорва предявения иск като неоснователен и недоказан с твърдение, че вследствие на изтеклите лични данни няма настъпила вреда за нея. Подробни съображения са изложени и в отговора на исконата молба и в касационната жалба до ВАС. Претендира присъждане на всички направени разноски по приложен списък. Представител на СГП не е участвал в хода на производството по настоящото дело. В хода на производството по адм. д. №11255/2019 г. е изразил становище за неоснователност на иска. По делото са събрани писмени и гласни доказателства. В хода на настоящото производство е назначена и приета съдебно-техническа експертиза, съобразно указанията на ВАС, дадени в отменителното решение. Заключението по същата е оспорено от процесуалния представител на ответника. Съдът, като прецени събраните по делото доказателства, поотделно и в тяхната съвкупност, приема за установено от фактическа страна следното: Страните не спорят от фактическа страна, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. По делото е представена извадка от получен SMS без дата със следното съдържание: „НАП: По заявка номер 6717 ИМА неправомерно разкрити лични данни“. Не е посочен телефонния номер, на който е получен посоченият SMS, както и доказателства за кое лице се отнася. Ищцата не е уточнила в хода на процеса какви точно нейни лични данни са изтекли, като доказателственото искане в тази насока за изискване на справка от НАП е оттеглено предвид изявлението на процесуалния представител на ответника в проведеното на 27.05.2020 г. открито съдебно заседание, че не оспорва факта, че някакви лични данни са изтекли. Съдът приема, че от това изявление на процесуалния представител на ответника не може да се изведе извод, че именно лични данни на ищацата са били неправомерно разпространени. Представената извадка от SMS не установява обстоятелството, че при изтичането на данни от масивите на НАП са изтекли лични данни именно на ищцата. В същата е посочено, че за подадения идентификатор има разпространени данни, но липсва информация кой е този идентификатор. Липсват имена или ЕГН, от които да може да бъде направен извод, че така декларираното обстоятелство удостоверява теч на данни именно на ищцата, а не се отнася за друго лице. Липсват и доказателства, а и не се твърди засегнатото лице да е потърсило информация от ответника по реда на чл. 37б от Закона за личните данни. От показанията на допуснатия до разпит свидетел П. А., които съдът кредитира като базиращи се на лични възприятия и непосредствени впечатления от осъществени в обективната действителност факти, се установява, че в резултат неоторизирания достъп до сървъра на НАП, съдържащ информация относно личните данни на ищцата, в нея се създали притеснения и опасения, да не бъде злоупотребено с тях. Свидетелят установява, че след тази случка е настъпила малка разлика в поведението на ищцата, която станала по-притеснителна и често споделя за този проблем. За да установи, че е предприел всички необходими мерки за защита на личните данни, ответникът е представил редица доказателства с касационната жалба и в хода на настоящото производство. Една част от тях обаче касаят предприетите след осъществения неоторизиран достъп на 15.07.2019 г. мерки, изразяващи се в уведомяване на прокуратурата, обжалване на издаденото от КЗЛД наказателно постановление и други описани мерки. Същите представляват мерки за преодоляване на последиците от нерегламентирания достъп и ограничаване на щетите от изтичане на данните. Представени са и доказателства, с които се цели установяване предприети от ответника мерки за защита на личните данни на лицата преди нерегламентирания достъп. Всички тези доказателства са анализирани от вещото лице по назначената и приета СТЕ. От заключението му се установява, че НАП има разработени на хартия редица правила и политики, касаещи мрежовата и информационна сигурност. Според вещото лице обаче информацията, до която е осъществен нерегламентирания достъп е била налична на сървър, който е бил с остаряла версия на операционната система W. 2008R2 и стара версия на СУБД Oracie 11.2.0.2. Системното и базово програмно осигуряване не е обновявано, защото приложените системи няма да работят с по-новите им версии и е трябвало да се модифицират. С оглед на това вещото лице е приело, че предвидените мерки са адекватни, но доколкото не са били изпълнени на практика, се явяват само на хартия и не могат да бъдет определени като достатъчни, за да се избегне нерегламентирания достъп. Според вещото лице за да се избегне нерегламентирания достъп до информацията е било необходимо да се спазват и изпълняват поне приетите от НАП вътрешни документи, касаещи сигурността на информацията. Следвало е агенцията да разполага с по-добра техническа инфраструктура, на която да се съхраняват и достъпват данните от външни източници, да се обновят операционните системи и системите от бази данни и да се използват най-новите им версии. Настоящият съдебен състав изцяло възприема заключението на вещото лице, като обективно и компетенто, изготвено на база представените по делото доказателства. В тази връзка неоснователни са доводите на ответника, относими към оспорването му. При така установената фактическа обстановка съдът прави следните правни изводи: Съдът приема, че исковата молба е ДОПУСТИМА като този въпрос е разрешен с Определение № 5163/29.04.2020 г., постановено по адм.д.№ 2648/2020 г. по описа на ВАС, което съгласно разпоредбата на чл.235, ал.2 АПК е задължително за настоящия състав. Разгледана по същество е НЕОСНОВАТЕЛНА. Съдебните производства във връзка с упражняването на правото на обезщетение за вреди, произтичащи пряко от член 82, §1 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR) се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2 от същия. На национално ниво, обществените отношения, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламента, намират уредбата си в ЗЗЛД. Последният, в своя чл. 39, ал. 1, препращайки към разпоредбите на АПК, дава процесуалния ред за реализиране на отговорността на всички администратори на лични данни, независимо от правосубектността им и притежаваните качества. Съгласно чл.203 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на Глава единадесета от АПК. Именно това е релевантният правен ред за разглеждане на исково производство с правно основание чл.82, §1 от Регламента. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, § 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка с (в резултат на) нарушение на регламента. В конкретния случай този фактически състав на практика съвпада с изискуемия за възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие (в случая), вреда и причинна връзка между тях. Това обаче не означава, че искът следва да се квалифицира като такъв с правно основание чл.1, ал.1 ЗОДОВ. Ответникът НАП е специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания /чл.2, ал.1 от ЗНАП/ и администратор на лични данни по смисъла на чл.4, т.7 от Общия регламент относно защитата на личните данни. Като такъв, същият е адресат на посочените за нарушени правни норми. Безспорно горните разпоредби въвеждат задължение за администратора на лични данни да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с разпоредбите на Общия регламент за защита на данните – чл.24, параграф 1 и чл.32 от него. Същият подход е възприет и в цитираните разпоредби от ЗЗЛД. За да се ангажира отговорността по отношение на ответника - Националната агенция за приходите на основание чл.82 от Общия Регламент, по делото следва да се установи кумулативното наличие на следните елементи от фактическия състав на цитираната разпоредба: наличие на материална или нематериална вреда; доказано нарушение на някое от задълженията на администратора на данни по Общия регламент; причинна връзка между претърпяната вреда и нарушението на Регламента. Съгласно чл.154, ал.1 ГПК, вр. чл.204, ал.5 АПК, всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. По отношение на първия елемент от фактическия състав на предявения иск - бездействие, което ищецът оспорва преюдициално в исковото производство, с твърдения за неговата незаконосъобразност, следва да се посочи, че той е в положението на ищец по отрицателен установителен иск. Ищецът следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Единствено ответникът ще е длъжен да доказва изпълнението на действията, дължими от него по силата на посочените от ищеца законови норми, обезпечаващи защитимото право на ищеца. Ищецът ще се задоволи само с възраженията си, че такова изпълнение не е осъществено /Тълкувателно решение № 8 от 27.11.2013 г. на ВКС по тълк. д. № 8/2012 г., ОСГТК/. Изпълнението на задълженията за опазване на личните данни предполага въвеждането на ефективни процедури и механизми, които да са насочени към онези видове операции по обработване, които има вероятност да доведат до висок риск за правата и свободите на физическите лица поради своето естество, обхват, контекст и цели. Предвид предмета на делото, първият спорен въпрос е дали са предприети цитираните или други подходящи мерки, които да доведат до подсигуряване на достатъчно ниво на защита. След като е налице задължение за администратора на лични данни да въведе подобни подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на личните данни се извършва при спазване на чл.24, § 1 §2 и чл.32 от Регламента, тежестта на доказване, че не е нарушил това свое задължение лежи именно върху него. Според чл.59 ал.1 ЗЗЛД администраторът на лични данни, случая НАП, като отчита естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този закон. При необходимост тези мерки се преразглеждат и актуализират. Същото задължение се съдържа и в чл.24 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, а в чл. 32 са предвидени конкретните мерки, които следва да се предприемат. Доколкото задължението да докаже, че обработването на личните данни се извършва в съответствие със ЗЗЛД е на администартора, обстоятелството, че е изтекла информация от сървърите на НАП вследствие неоторизиран достъп, който факт е безспорен по делото, според настоящият състав на съда сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на §1, т.4 от ДР на ЗЗЛД, вр. чл.4, т.2 от Регламент (ЕС) 2016/679, в т.ч. правото на защита на личните им данни. С решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г. на СЕС, съдът приема, че чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32.