Решение № 4117 от 7.2.2025 г. на Административен съд - София-град по дело № 9295/2024 г.

Производство е по реда на чл. 1, ал.1 от ЗОДОВ във връзка с чл. 203 - 207 от АПК и чл. 82 ал.1 от Общия регламент за защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.16г. Делото е образувано след отмяната на решение № 5034 от 29.09.2020 г. постановено по адм. д. № 11305/2019 г. по описа на Административен съд София- град с решение № 9693/09.09.2024г. по адм. д. № 13605/2020г. по описа на Върховния административен съд и връщането му за ново разглеждане от друг състав, съобразно дадените указания по тълкуването и прилагане на закона. Първоначалното производството е образувано по исковата молба на Д. С. Д., с [ЕГН] /№ 54 от обща искова молба/, подадена чрез адв.Ю., с която се иска да бъде осъдена Националната агенция за приходите /НАП/ да й заплати обезщетение в размер на 1000 лева за причинените й неимуществени вреди в периода от 15.07.2019г. до предявяването на исковата молба на 16.09.2019г., изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни, станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019г. Счита, че НАП, в качеството й на администратор на лични данни, е допуснала нарушения на чл.24 и чл.32 GDPR и чл.59, ал.1 ЗЗЛД, нарушила е и разпоредбите на чл.45, ал.1, т.6 ЗЗЛД като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки; както и на чл.64 ЗЗЛД, като не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл.66, ал.1 и, ал.2 ЗЗЛД; чл.67 и чл.68 ЗЗЛД. Претендира се и законната лихва върху сумата на обезщетението, считано от 15.07.2019г. до окончателното й изплащане. Ищцата претендира направените по делото съдебни разноски, както и адвокатско възнаграждение за процесуален представител по чл.38, ал.2 във вр. с ал.1, т.3 от ЗАдв. В съдебно заседание ищцата Д. С. Д., не се явява. Чрез пълномощниците си адв.Ю. и адв.Ю., поддържа исковата молба. Ответникът НАП, в представен по делото отговор на исковата молба и в съд.з. чрез юрк. М., оспорва исковата молба като неоснователна и недоказана. Претендира за юрисконсултско възнаграждение. Прокурорът от Софийска градска прокуратура дава заключение по делото, че исковата молба е неоснователна и недоказана. Административен съд София-град, след като обсъди доводите на страните и прецени по реда на чл. 235, ал. 2 от ГПК във връзка с чл. 144 от АПК приетите по делото писмени доказателства, приема за установено от фактическа страна следното: Искът е допустим. Исковата молба отговаря на всички формални изисквания на чл.127 и чл.128 от ГПК. Правото на обезщетение се упражнява по правилата на чл.203 и сл. от АПК, и тъй като администраторът на лични данни е и административен орган и съобразно тези по ЗОДОВ. Разпоредбата на чл.39 от ЗЗЛД не създава специален начин на обезщетение по смисъла на чл.8, ал.3 от ЗОДОВ. Предявеният иск е с правно основание чл.79, ал.1, чл.82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл.39 от ЗЗЛД, чл.203 от АПК, във вр. чл.1, ал.1 от ЗОДОВ. Предвид качеството на администратора на лични данни – специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания /чл.2, ал.1 от ЗНАП/, правото да се претендира обезщетение за причинените вреди, се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане за неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. За да е основателен предявеният иск за обезщетение предвид разпоредбата на чл.82 от ОРЗД следва да са налице следните предпоставки: 1.нарушаване на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2.причинена материална или нематериална вреда; 3.причинна връзка между нарушението на правата по регламента и причинената вреда. При съобразяване на решение от 14.12.2023 г. по дело № С-340/2021 г. на Съда на Европейския съюз, че разпоредбата на чл. 82, § 1 от ОРДЗ, трябва да се тълкува в смисъл че опасенията, които субект на данни изпитва, в следствие на нарушение на този регламент от потенциална злоупотреба личните му данни от трето лице (трета страна по смисъла на чл. 4, т.10 ) ОРДЗ, могат сами по себе си да представляват нематериална вреда, като следва да бъдат представени доказателства за твърдените настъпили нематериални вреди. Видно от Решение на Съда на Европейския съюз по дело С-340/21 от 14 декември 2023 година Съгласно Решение от 14.12.2023г. по дело на СЕС № С-340/2021г. следва: 1)Членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна" по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи" по смисъла на тези членове 24 и 32. 2) Член 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове. 3) Принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. 4) Член 32 от Регламент 2016/679 и принципът на ефективност на правото на Съюза трябва да се тълкуват в смисъл, че за да се прецени дали са подходящи мерките за сигурност, приложени от администратора на основание на този член, назначаването на съдебна експертиза не може да представлява доказателствено средство, което системно е необходимо и достатъчно. 5) Член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна" по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. 6) Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда" по смисъла на тази разпоредба. С решение от 14.12.2023 г., Трети състав на СЕС се е произнесъл по отправеното преюдициално запитване, като е дал отговор на поставените му въпроси. С решението, освен отговор на въпроси касаещи спора, съдът на ЕС е внесъл яснота и по предмета на доказване, което също следва да се отрази на настоящето производство. Съгласно чл.8, §1 от Хартата на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. С разпоредбите на Регламент (ЕС) 2016/679 са предвидени задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от ОРЗД.