Решение № 4117 от 7.2.2025 г. на Административен съд - София-град по дело № 9295/2024 г.

Производство е по реда на чл. 1, ал.1 от ЗОДОВ във връзка с чл. 203 - 207 от АПК и чл. 82 ал.1 от Общия регламент за защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.16г. Делото е образувано след отмяната на решение № 5034 от 29.09.2020 г. постановено по адм. д. № 11305/2019 г. по описа на Административен съд София- град с решение № 9693/09.09.2024г. по адм. д. № 13605/2020г. по описа на Върховния административен съд и връщането му за ново разглеждане от друг състав, съобразно дадените указания по тълкуването и прилагане на закона. Първоначалното производството е образувано по исковата молба на Д. С. Д., с [ЕГН] /№ 54 от обща искова молба/, подадена чрез адв.Ю., с която се иска да бъде осъдена Националната агенция за приходите /НАП/ да й заплати обезщетение в размер на 1000 лева за причинените й неимуществени вреди в периода от 15.07.2019г. до предявяването на исковата молба на 16.09.2019г., изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни, станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019г. Счита, че НАП, в качеството й на администратор на лични данни, е допуснала нарушения на чл.24 и чл.32 GDPR и чл.59, ал.1 ЗЗЛД, нарушила е и разпоредбите на чл.45, ал.1, т.6 ЗЗЛД като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки; както и на чл.64 ЗЗЛД, като не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл.66, ал.1 и, ал.2 ЗЗЛД; чл.67 и чл.68 ЗЗЛД. Претендира се и законната лихва върху сумата на обезщетението, считано от 15.07.2019г. до окончателното й изплащане. Ищцата претендира направените по делото съдебни разноски, както и адвокатско възнаграждение за процесуален представител по чл.38, ал.2 във вр. с ал.1, т.3 от ЗАдв. В съдебно заседание ищцата Д. С. Д., не се явява. Чрез пълномощниците си адв.Ю. и адв.Ю., поддържа исковата молба. Ответникът НАП, в представен по делото отговор на исковата молба и в съд.з. чрез юрк. М., оспорва исковата молба като неоснователна и недоказана. Претендира за юрисконсултско възнаграждение. Прокурорът от Софийска градска прокуратура дава заключение по делото, че исковата молба е неоснователна и недоказана. Административен съд София-град, след като обсъди доводите на страните и прецени по реда на чл. 235, ал. 2 от ГПК във връзка с чл. 144 от АПК приетите по делото писмени доказателства, приема за установено от фактическа страна следното: Искът е допустим. Исковата молба отговаря на всички формални изисквания на чл.127 и чл.128 от ГПК. Правото на обезщетение се упражнява по правилата на чл.203 и сл. от АПК, и тъй като администраторът на лични данни е и административен орган и съобразно тези по ЗОДОВ. Разпоредбата на чл.39 от ЗЗЛД не създава специален начин на обезщетение по смисъла на чл.8, ал.3 от ЗОДОВ. Предявеният иск е с правно основание чл.79, ал.1, чл.82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл.39 от ЗЗЛД, чл.203 от АПК, във вр. чл.1, ал.1 от ЗОДОВ. Предвид качеството на администратора на лични данни – специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания /чл.2, ал.1 от ЗНАП/, правото да се претендира обезщетение за причинените вреди, се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане за неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. За да е основателен предявеният иск за обезщетение предвид разпоредбата на чл.82 от ОРЗД следва да са налице следните предпоставки: 1.нарушаване на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2.причинена материална или нематериална вреда; 3.причинна връзка между нарушението на правата по регламента и причинената вреда. При съобразяване на решение от 14.12.2023 г. по дело № С-340/2021 г. на Съда на Европейския съюз, че разпоредбата на чл. 82, § 1 от ОРДЗ, трябва да се тълкува в смисъл че опасенията, които субект на данни изпитва, в следствие на нарушение на този регламент от потенциална злоупотреба личните му данни от трето лице (трета страна по смисъла на чл. 4, т.10 ) ОРДЗ, могат сами по себе си да представляват нематериална вреда, като следва да бъдат представени доказателства за твърдените настъпили нематериални вреди. Видно от Решение на Съда на Европейския съюз по дело С-340/21 от 14 декември 2023 година Съгласно Решение от 14.12.2023г. по дело на СЕС № С-340/2021г. следва: 1)Членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна" по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи" по смисъла на тези членове 24 и 32. 2) Член 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове. 3) Принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. 4) Член 32 от Регламент 2016/679 и принципът на ефективност на правото на Съюза трябва да се тълкуват в смисъл, че за да се прецени дали са подходящи мерките за сигурност, приложени от администратора на основание на този член, назначаването на съдебна експертиза не може да представлява доказателствено средство, което системно е необходимо и достатъчно. 5) Член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна" по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. 6) Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда" по смисъла на тази разпоредба. С решение от 14.12.2023 г., Трети състав на СЕС се е произнесъл по отправеното преюдициално запитване, като е дал отговор на поставените му въпроси. С решението, освен отговор на въпроси касаещи спора, съдът на ЕС е внесъл яснота и по предмета на доказване, което също следва да се отрази на настоящето производство. Съгласно чл.8, §1 от Хартата на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. С разпоредбите на Регламент (ЕС) 2016/679 са предвидени задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от ОРЗД. Чл. 24 и 32 от Регламент (ЕС) 2016/679, и чл. 59 от ЗЗЛД задължават администратора на лични данни, в случая НАП, да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Според чл.82, параграф 3 от ОРЗД администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Администраторът/обработващият следва да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с този регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 от ОРЗД е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Предвид задължителните указания, дадени с решение № 9693/09.09.2024г. по адм. д. № 13605/2020г. на ВАС, с разпореждане № 20510/18.10.2024г. по адм. д. № 9295/2024г. съдът е указал доказателствената тежест на ответника, в т.ч. да се представят доказателства за изпълнение на задължението за спазване принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. „а“ и б. „е“ от ОРДЗ, както и обстоятелствата, че приложените от него мерки за сигурност по чл. 32 ОРДЗ са подходящи. Със същото разпореждане е указана доказателствената тежест на ищецът да представи доказателства за твърдените нематериални вреди, поради опасенията, които е изпитал в следствие на нарушение на регламента от потенциалната злоупотреба с личните му данни. Не се спори, а и е общоизвестен е фактът, че на 15.07.2019г. медиите оповестиха информация за т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. От предоставената от Комисията за защита на личните данни /КЗЛД/ информация се установява, че е осъществен неоторизиран достъп до базата данни на НАП, неразрешено разкриване и разпространение на следните категории лични данни на физически лица: имена, ЕГН и адреси на български граждани, телефони, електронни адреси и друга информация за контакт, данни от годишни данъчни декларации на физически лица, данни от справките за изплатени доходи на физически лица, данни от осигурителните декларации, данни за здравноосигурителни вноски, данни за издадени актове за административни нарушения и пр. В неправомерно достъпената и разпространена в интернет пространството информация, според КЗЛД, се съдържат лични данни на общо 6 074 140 физически лица, което включва 4 104 786 живи физически лица, български и чужди граждани, и 1 959 598 починали физически лица. След оповестяване и узнаване за неоторизирания достъп, на основание чл.22 от Регламента, НАП незабавно е уведомила за случая КЗЛД с писмо. Страните не спорят, че са предприети мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и са предприети мерки за преустановяване на нерегламентирания достъп. Следователно са спазени разпоредбите на чл. 33 и чл.34 от Регламента, като е проведено предписаното в тях уведомяване. Налице е уведомяване както на компетентните органи – КЗЛД, Прокуратура и МВР, така и на обществеността. По делото от ищеца е представена справка от НАП за неправомерно разпространени негови лични данни. Уточнени са и данните, които се твърди, че са „изтекли“ за лицето – ЕГН и имена, данни от декларации, подадени от работодатели/осигурители за осигурените от тях лица, данни от справка за изплатени доходи на физически лица и данни, подадени от организатори на хазартни онлайн игри. Изложеното обосновава извод, че ищецът доказва наличието на нарушено негово право – на защита на личните му данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до същите и разпространяването им в интернет пространството. Приложени са доказателства, че към 15.07.2019г. в НАП са разработени и утвърдени документи, както следва: Издадена е Заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с което е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3.0 от м. май 2016, както и Инструкция № 2/08.05.2019г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП. Изработена е Методика за оценка на риска, версия 1, към м. декември 2015г. Със Заповед № ЗЦУ-1436/15.10.2018г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т.5 и т.7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. Разработена е процедура за оценка на риска за информационната сигурност, утвърден е списък на видовете операции по обработване на лични данни, за които се изисква извършване на оценка на въздействието върху защитата на данните, съгласно чл.35, § 4 от Регламент /ЕС/ 2016/679. Докладвано е и на Секретариата на Глобалния форум за прозрачност и обмен на информация за данъчни цели / Глобален форум/ към Организацията за икономическо сътрудническо и развитие. Незабавно са предприети мерки за справяне с нарушения на сигурността на данните с действително или потенциално въздействие върху данните, обменяни с международни партньори за обмен на информация за данъчни цели. На 28-30.08.2019г. екип от експерти от Глобалния форум е извършил проверка относно установения нерегламентиран достъп, при която е установено, че всички информационни системи на НАП, вкл. услугите, предоставяни на клиенти, са прегледани за уязвимост; всички услуги онлайн и съответните приложения са проверени за уязвимост и тези с потенциална такава са били спрени; извършена е проверка на изходния код на всички приложения, които са разработени или вътрешно от НАП, или от външни изпълнители; конфигурацията на мрежите и приложните сървъри е проверена и актуализирана; правата на достъп до схемите в базата данни са преразгледани и актуализирани и т.н. Представените писмени доказателства доказват вземането на организационни мерки от страна на НАП, назад във времето. Същевременно липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните, както и че същите са актуализирани. С наличните доказателства не може да се установи, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. Ответникът не сочи и взетите конкретни технически мерки за защита на личните данни, които обработва, от неправомерен достъп. НАП е разбрала за неправомерния достъп от публикации в медиите, поради което следва логичния извод, че взетите мерки, установени с представените писмени доказателства не гарантират, че администраторът следи за неправомерен достъп и при наличието на такъв, разбира своевременно за това. Следователно мерките са недостатъчни и неподходящи. Предприетите от ответника действия след „изтичането“ на данните също не доказват ефективност на взетите мерки. Действително която й да е информационна система не може да бъде напълно защитена от хакерски атаки, но в случая администраторът на лични данни не сочи взети подходящи мерки за защита на личните данни, които обработва. Предвид установеното накърнено право на ищеца от неправомерния достъп до личните му данни и разпространяването им в интернет пространството и липсата на доказателства, установяващи, че ответникът по никакъв начин не е отговорен за вредите, следва да се приеме, че първата предпоставка за уважаване на иска за обезщетение е налице. По адм. д. № 11305/2029г. на АССГ в качеството на свидетел е разпитан М. Б. Д., син на ищцата. Според св. Дишлийски ищцата се притеснила, че имала кредит и можело да бъде изтеглен друг кредит на нейно име. Сочи, че за дълго време била притеснена, вдигнала кръвно и се наложило да приема медикаменти няколко дни. Свидетелските показания съдът кредитира с доверие, доколкото възпроизвеждат лични впечатление на свидетеля от ищеца, независимо, че са в родство с ищцата. Същите са логични и последователни, не са вътрешно противоречиви. От друга страна по делото не са ангажирани доказателства, които да ги оборват. При повторното разглеждане на спора, освен събраните и приобщени по адм.д. № 11305/2019 г. доказателства, не са представени и приети други писмени и гласни доказателства. Въз основа на така установеното от фактическа страна настоящият съдебен състав обосновава следните правни изводи: Предмет на разглеждане са обективно и субективно съединени искове /за главница и лихва/, предявени от Д. С. Д., за осъждане на Национална агенция за приходите да заплати сумата от 1 000 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно: да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищцата, довело до неразрешено разкриване или достъп до личните данни на ищцата, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата. В настоящия случай ищецът претендира настъпването на вреди в своя патримониум в резултат на незаконосъобразно бездействие на администратора на лични данни, поради което незаконосъобразността на бездействието следва да се установи от съда, пред който е предявен искът за обезщетение – чл. 204, ал. 4 АПК. Съгласно чл. 203, ал. 2 АПК, за неуредените въпроси за имуществената отговорност се прилагат разпоредбите на ЗОДОВ. В допълнение, в сила е чл. 203, ал. 3 (нова) АПК, ДВ, бр. 94 от 29.11.2019 г., съгласно която по реда на глава единадесета се разглеждат и исковете за обезщетения за вреди, причинени от достатъчно съществено нарушение на правото на Европейския съюз, като за имуществената отговорност и за допустимостта на иска се прилагат стандартите на извъндоговорната отговорност на държавата за нарушение на правото на Европейския съюз, а съгласно чл. 2в от ЗОДОВ, ДВ, бр. 94 от 2019 г., когато вредите са причинени от достатъчно съществено нарушение на правото на Европейския съюз, исковете се разглеждат от съдилищата по реда на АПК. Предвид изложеното, настоящият съдебен състав приема подадените искове за допустими и като такива следва да бъдат разгледани по същество и по реда на глава ХІ от АПК във връзка с чл. 1, ал. 1 от ЗОДОВ. Ищецът твърди, че незаконосъобразното бездействие на служители на НАП се изразява в неизпълнение на задължения, произтичащи от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. Основателността на иск с правно основание чл. 1, ал. 1 ЗОДОВ, предполага установяването на кумулативното наличие на следните предпоставки: незаконосъобразно бездействие на орган или длъжностно лице на държавата, при или по повод изпълнение на административна дейност; вреда от такова бездействие и причинна връзка /пряка и непосредствена/ между незаконосъобразното бездействие и настъпилия вредоносен резултат. При липса на някой от елементите на посочения фактически състав не може да се реализира отговорността на държавата по посочения ред. Както вече се изложи по-горе, незаконосъобразността на бездействието се установява от съда, пред който е предявен иска за обезщетение. Съдът намира, че е налице първата предпоставка на визираната в чл. 1, ал.1 ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Под „действие“, респективно „бездействие“, следва да се разбира всяко такова, извършено от държавен орган или длъжностно лице, което не е юридически акт, а тяхна физическа изява, но не произволна, а в изпълнение или съответно неизпълнение на определена нормативна разпоредба. Предмет на защита в производството по чл. 256 от АПК е бездействието на административния орган когато последният е задължен да извърши определени действия по силата на нормативен акт. Не всяко неизпълнение на задължение на административен орган представлява бездействие по смисъла на чл. 256 от АПК, а само неизвършването на фактически действия, при наличието на нормативно установено задължение за това. Съставомерно в този случай е липсата на активно поведение на компетентен орган да извърши конкретни фактически действия. Освен това, с решение от 14.12.2023 г. на Трети състав на СЕС по дело № С-340/2021 г., се приема, че чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че „неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“. Чл. 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че „преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове“. Принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че „в исково производство за обезщетение, администраторът носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 са подходящи“. Следва да се има предвид и, че „администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент“. От твърденията в исковата молба, както и от събраните по делото доказателства, се установява, че конкретното бездействие, от което се твърди, че са претърпени вредите е изтеклата на 15.07.2019 г., вследствие нерегламентиран достъп и престъпно деяние от неизвестно лице, от електронните масиви на НАП, информация съдържаща лични данни на ищцата. По факта, че на посочената дата, поради нерегламентиран достъп, е изтекла информация от информационните масиви на НАП, съдържаща лични данни на ищцата, по делото не се спори. Представена е извадка от получен на 29.07.2019 г. SMS, със следното съдържание: „НАП: По заявка номер 8375ИМА неправомерно разкрити лични данни“. Установява се, че sms е получен от [тел. номер], но не е посочено лицето, за което е направена справката по посочената заявка. Ответникът обаче не оспорва фактът, че по отношение на ищцата Д. Д. са налице неправомерно разкрити лични данни. Не се представиха доказателства за установяване на обстоятелството кои конкретно лични данни са достъпени, т.е. конкретния обем на достъпената информация. Тези обстоятелства останаха единствено в твърденията на ищцата и същите не се доказаха. Т.е., безспорно се установява, че по отношение на ищцата има неправомерно достъпени лични данни, но техния обем остана недоказан. Разпоредбата на чл. 24 „Отговорност на администратора“ от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a.) псевдонимизация и криптиране на личните данни; б.) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в.) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г.) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. С оглед дадените от СЕС по преюдициалното запитване разяснения, в тежест на ответника е да установи липсата на нарушение по смисъла на Регламента и липсата на причинна връзка с твърдените вреди. В тежест на ответника е да установи, че е приложил мерки за сигурност на личните данни, както и че тези мерки са били подходящи. Ответникът не установи какви технически мерки са предприети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било осуетяването на изтичането на данни. С оглед разпределената доказателствена тежест, ответникът не успя да докаже изпълнение на законовото си задължение, че приложените от него мерки за сигурност на личните данни по чл. 32 от Регламента са подходящи. Ето защо, недоказан остава фактът, че извършените от НАП действия, са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищеца. По тази причина, доказан се явява първия елемент от фактическия състав на предявения иск- бездействие за точно изпълнение на задължението по чл. 32 от ОРЗД, а именно: приложени от НАП подходящи организационни и технически мерки за осигуряване на ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. НАП, в качеството си на администратор на лични данни при осъществяване на дейността си, е следвало да предприеме ефективни мерки за предотвратяване неразрешения достъп до личните данни на ищеца. В процесния случай това не е постигнато. Бездействието на НАП е незаконосъобразно, противоречи на нормативните изисквания на чл. 24 и чл. 32 от ОРЗД. Ирелевантни са доводите на ответника, че след 15.07.2019г., когато е осъществен нерегламентирания достъп, НАП е предприела мерки за защита личните данни. При формиране на този извод, съдът съобразява тълкуването на нормата на чл. 82, §3 от Регламента / т.5 от Решение № С-340/2023г. на СЕС/, а именно: „Администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент, като той трябва да докаже, че причинилият съответните вреди факт, не може по никакъв начин да му бъде вменен“. Допускането на изтичане на данни само по себе си доказва недостатъчната степен на съхранението им, съгласно изискването на Регламента. Предвид изложеното, настоящия съдебен състав приема, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите и ефективни действия, произтичащи от задълженията по чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. Осъществена е и втората предпоставка за ангажиране на отговорността на ответника, а именно: претърпяна вреда Д. С. Д. от това незаконосъобразно бездействие. Ищцата твърди, че е преживяла безпокойство, притеснение, почувствала се е застрашена да не се извърши злоупотреба с личните данни и имуществото ѝ. За установяване на вредата следва да се има предвид отново разписаното в решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г. /т. 6/, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че „опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“. Уточнено е, че когато лице, което иска обезщетение на това основание, се позовава на опасенията, че в бъдеще с неговите лични данни ще бъде злоупотребено поради наличието на такова нарушение, сезираната национална юрисдикция трябва да провери дали тези опасения може да се считат за основателни с оглед на обстоятелствата в конкретния случай и на субекта на данни. Предвид направеното уточнение, съдът приема, че ищцата е доказала настъпването на неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с нейните лични данни ще бъде злоупотребено, като може да бъдат изтеглени кредити на нейно име. От свидетелските показания, които съдът кредитира, се установява, че научавайки, че са изтекли лични данни, ищцата е започнала да изпитва силно притеснение, вдигнала кръвно и приемала медикаменти. Поради това, съдът намира за доказано настъпването на неимуществени вреди, като те са в пряка и непосредствена причинно-следствена връзка с установеното по-горе незаконосъобразно фактическо бездействие на администратора. Т.е., доказана е и третата предпоставка за основателност на иска. При определяне на размера на неимуществените вреди, следва да се оценят обстоятелства, като интензитета на вредите, продължителността на претърпяването им, възрастта и личността на ищеца. Продължителността е кратка, няколко дена (съобразно показанията на свидетеля) от датата на узнаване до датата на подаване на исковата молба, поради което съдът приема, че сумата от 500, 00 лв. е справедлива, за да обезщети Д. С. Д. за неправомерното разкриване на личните и данни. Този размер съответства на характера и тежестта на увреждането и неблагоприятното отражение в живота на ищеца. Поради това, искът до пълния претендиран размер от 1 000 лева следва да бъде отхвърлен като неоснователен и недоказан. Предвид основателността на главния иск, следва да се уважи и претенцията за заплащане на лихва за забава, считано от датата на увреждането до окончателното изплащане на сумата. Лихвите се дължат върху размера на обезщетението, защото съгласно чл. 84, ал. 3 от ЗЗД, деликвентът се счита в забава без покана, т.е. от 15.07.2019 г. При този изход на спора, на ищеца се дължат разноски, съобразно уважената част от иска. Ищцата претендира разноски за държавни такси и адвокатско възнаграждение, определено по реда на чл. 38, ал.2 във връзка с ал. 1, т. 3 от Закона за адвокатурата. Тъй като делото е било два пъти на инстанционен контрол, се дължат държавните такси за този контрол, а именно: 10 лв. за разглеждане на исковата молба, 5 лв. държавна такса в касационното производство, т. е общо 15 лв. Съобразно уважената част от иска този размер е 7.50 лв. В тези производства ищецът е представляван от адвокат по оказана безплатна правна помощ. На основание чл. 38, ал. 2 от ЗА разноски за адвокат се дължат за оказаната безплатна помощ при осъществено процесуално представителство, като размера се определя съобразно Наредбата № 1 от 9 юли 2004 г. за минималните размери на адвокатските възнаграждения и по-конкретно чл. 7, ал. 1, т. 1, вр. чл. 8, ал.1 и същия е 400 лв. за първото разглеждане на исковата молба, 400 лв. в производството по адм. д. № 13605/2020 г. по описа на Върховния административен съд, 400 лв. за настоящата инстанция, т.е., общият размер на възнаграждението е 1 200 лв. Съобразно уважената част на иска дължимият размер на адвокатското възнаграждение е 600 /шестстотин/ лева, които следва да се присъдят на процесуалния представител адв. Ю.. Националната агенция за приходите следва да заплати на Д. С. Д. [ЕГН] сумата от 7.50 лв. на основание чл. 10, ал. 3 от ЗОДОВ, съразмерно на уважения иск. Ответникът е направил искане за присъждане на разноски за юрисконсултско възнаграждение, като с оглед изхода на делото и предвид разпоредбата на чл. 10, ал. 4 ЗОДОВ, на него също се дължат такива. При съобразяване на фактическата и правна сложност на спора, процесуалната активност на пълномощника, обема и качеството на осъществената процесуална дейност, в полза на ответника следва да се определи юрисконсултско възнаграждение в размер на 100 /сто/ лева, а съобразно отхвърлената част от иска, следва да му се присъдят разноски в размер на 50 /петдесет/ лева. По компенсация като се приспадне дължимата сума на ищцата, същата следва да се осъди да заплати 42.50 лева. С оглед на изложените мотиви Административен съд София – град, 33-ти състав