Решение № 18842 от 4.10.2024 г. на Административен съд - София-град по дело № 6192/2024 г.

ОТХВЪРЛЯ предявения от Г. К. Г., с адрес в [населено място] срещу Националната агенция за приходите иск, с правно основание чл.82, § 1 и § 2 от Общия регламент относно защитата на данните за сума в размер на 1000, 00 лева, представляваща обезщетение за неимуществени вреди, настъпили в резултат на незаконосъобразно бездействие от страна на Национална агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задължения по чл.24 и чл.32 от Общия регламент относно защитата на данните, да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на Г. К. Г., ведно с претенцията за законната лихва върху тази сума, считано от 15.07.2019г., като неоснователни. ОСЪЖДА Г. К. Г., с ЕГН [ЕГН], с адрес в [населено място], да заплати на Националната агенция за приходите сумата 320, 00 лева, разноски по делото. Решението може да се обжалва с касационна жалба пред Върховния административен съд в 14-дневен срок от съобщаването му на страните. СЪДИЯ: Образувано е въз основа на Решение № 7240 от 12.06.2024г., постановено по адм. дело № 2209/2021г. по описа на Върховен административен съд, с което e отменено Решение № 7278 от 15.12.2020г., постановено по адм. дело № 11277/2019г. по описа на Административен съд София-град /АССГ/ и делото е върнато за ново разглеждане от друг състав на същия съд, със задължителни указания по събиране на доказателства, тълкуване и прилагане на закона. Производството е образувано по искова молба на Г. К. Г., с адрес в [населено място] и молба - уточнение, подадени чрез адв.Ю., с които срещу Националната агенция за приходите /НАП/ е предявен иск, заявен с правно основание чл.203 от АПК, вр. чл.82, ал.1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ /GDPR/, вр. чл.39, ал.2 от ЗЗЛД, вр. чл.1, ал.1 от ЗОДОВ, за присъждане на сума в размер на 1000, 00 лева, представляваща обезщетение на ищеца за причинените му неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, станали достъпни вследствие така наречената „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019г. Ищецът е застъпил становище, според което отговорността на НАП в качеството й на администратор на лични данни произтича от допуснати нарушения на чл.24 и чл.32 от GDPR, чл.59, ал.1 от ЗЗЛД и чл.45, ал.1, т.6 от ЗЗЛД, тъй като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки; чл.64 от ЗЗЛД; че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл.66, ал.1 и, ал.2 от ЗЗЛД; чл.67 и чл.68 от ЗЗЛД. Претендира се и присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019г. или алтернативно от завеждане на исковата молба, до окончателното й изплащане.Направено е и искане за присъждане на разноски, включително адвокатско възнаграждение на процесуалния представител по чл.38, ал.2 във вр. с ал.1, т.3 от Закона за адвокатурата /ЗА/. В съдебно заседание ищецът не се явява.С молба, постъпила в АССГ на 26.09.2024г. адв. Ю. сочи, че поддържа исковата молба и че няма доказателствени искания. Изразява становище за основателност на исковата претенция. Ответникът чрез юрк.Т. в съдебно заседание, пледира, че ищецът не сочи доказателства, че опасенията му в следствие на неоторизирания достъп до информационните системи на НАП могат да се считат за основателни, както и че макар да е разбрал, че е налице неправомерно разкриване на лични данни не е направил справка, за да установи вида и обема на изтеклите лични данни чрез разработено от НАП достъпно електронно приложение или чрез посещение на място във всички офиси на НАП. В тази връзка моли исковата претенция да бъде отхвърлена. Претендира присъждане на юрисконсултско възнаграждение съгласно представен списък на разноските. Представителят на Софийска градска прокуратура намира исковата молба за неоснователна и недоказана и моли искът да бъде отхвърлен. Съдът, като обсъди доводите на страните и прецени събраните по делото доказателства, прие за установено следното от фактическа и правна страна: Искът е допустим. Исковата молба отговаря на всички формални изисквания на чл.127 и чл.128 от ГПК. Правото на обезщетение се упражнява по правилата на чл.203 и сл. от АПК, и тъй като администраторът на лични данни е и административен орган и съобразно тези по ЗОДОВ. Разпоредбата на чл.39 от ЗЗЛД не създава специален начин на обезщетение по смисъла на чл.8, ал.3 от ЗОДОВ. Разгледан по същество, искът за обезщетение е неоснователен. Предвид твърденията за нарушения на задължения, произтичащи пряко от чл.24 и чл.32 от Регламента, правното основание на предявения иск е чл.82, § 1 и § 2 от Регламент № 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО /Общ регламент относно защитата на данните /ОРЗД//, според който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на посочения регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Съгласно съображения 146 на Регламента, чл.82 въвежда собствен режим на отговорност в областта на защитата на личните данни. Необходими са три кумулативно дадени предпоставки, за възникване на правото на обезщетение, както следва: обработването на личните данни да е извършено в нарушение на разпоредбите на регламента; да са причинени вреди на субекта на данните и да е налице причинно-следствена връзка между незаконосъобразното обработване на данните и вредите /чл. 82, § 2 от ОРЗД/. Понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" за целите на прилагането на посочения регламент следва да се разглеждат като самостоятелни понятия на правото на Съюза, и да се тълкуват еднакво във всички държави членки /Решение от 04.05.2023г. по дело С-300/21 на СЕС и съображение 146 от Регламента/. Предмет на проверка е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. Чл.24 и чл.32 от Регламент (ЕС) 2016/679, и чл.59 от ЗЗЛД задължават администратора на лични данни, в случая НАП, да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Според чл.82, §3 от ОРЗД администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата. Тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда.Администраторът/обработващият следва да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с този регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 от ОРЗД е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. След оповестяване и узнаване за неоторизирания достъп НАП незабавно е уведомила за случая КЗЛД с писмо. Страните не спорят, че са предприети мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и са предприети мерки за преустановяване на нерегламентирания достъп. Следователно са спазени разпоредбите на чл.33 и чл.34 от Регламента, като е проведено предписаното в тях уведомяване. Налице е уведомяване както на компетентните органи – КЗЛД, Прокуратура и МВР, така и на обществеността. Приложени са доказателства, че към 15.07.2019г. в НАП са разработени, утвърдени и действащи документи, както следва: Издадена е Заповед № ЗЦУ-746/25.05.2018г. на изпълнителния директор на НАП, с която е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3.0 от м. май 2016. Изготвени са методика за оценка на риска, версия 1.1, м. ноември 2015г. както и Инструкция № 2/08.05.2019г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл.24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП. Изготвени са Указания за обозначаване и работа с информацията, версия 3.1. Разработена е процедура за оценка на риска за информационната сигурност. Със заповед № З-ЦУ-1436/15.10.2018г. на изпълнителния директор на НАП са утвърдени: указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл.10, ал.1, т.5 и т.7 от ЗНАП, използвани в изпълнение на действащите процедури и инструкции; указания за обозначаване и работа с информацията; указания за попълване на образеца на процедура, версия К; указания за попълване на образеца на инструкция, версия К и други. Посочените писмени доказателства доказват вземането на организационни мерки от страна на НАП, назад във времето. Същевременно липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните, както и че същите са актуализирани. С тези доказателства не може да се установи, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. Ответникът не сочи и взетите конкретни технически мерки за защита на личните данни, които обработва, от неправомерен достъп. НАП е разбрала за неправомерния достъп от публикации в медиите, поради което следва логичния извод, че взетите мерки, установени с представените писмени доказателства не гарантират, че администраторът следи за неправомерен достъп и при наличието на такъв, разбира своевременно за това. Следователно мерките са недостатъчни и неподходящи. Именно бездействието на НАП да изпълни задълженията си по ОРЗД е довело да неразрешено разкриване и достъп до съхранените лични данни. С определение от 28.06.2024г. съдът е указал доказателствената тежест на ответника и необходимостта от ангажирането на специални знания за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни, изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса, какви технически мерки са предприети, за да предотвратят достъпа, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, технически възможно ли е било предотвратяването на изтичането на данни. Ответникът не ангажира доказателства в тази насока. Предприетите от ответника действия след „изтичането“ на данните следва да се приемат за задоволителни. Действително която й да е информационна система не може да бъде напълно защитена от хакерски атаки, но в случая администраторът на лични данни към момента на приключване на съдебното следствие не сочи разработването на други подходящи мерки или осъвременяването на съществуващите за защита на личните данни, които обработва. Предвид установеното следва да се приеме, че първата предпоставка за уважаване на иска за обезщетение е налице. Съгласно чл.8, §1 от Хартата на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. С разпоредбите на Регламент (ЕС) 2016/679 са предвидени задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите, определени в чл.5 от ОРЗД. Ищецът не е представил справка от НАП за неправомерно разпространени негови лични данни. Със събраните при предходното разглеждане на делото гласни доказателства се установява, че Г. Г. не е направил проверка кои негови лични данни са „изтекли“ в публичното пространство. Според свидетелските показания ищецът се отказал да провери изтекли ли са негови лични данни защото изпаднал в нервна криза. Следователно в конкретния случай ищецът не е представил доказателства за обема и вида /имена, ЕГН и др./на изтеклите негови лични данни. Изложеното обосновава извод, че ищецът не доказва наличието на нарушено негово право – на защита на личните му данни от администратора на тези лични данни, което право да е накърнено от неправомерния достъп до същите и разпространяването им в интернет пространството. В решение по дело С-300/21 на СЕС е застъпен принципът на равностойност и ефективност. От тази гледна точка ищецът следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение.Свидетелят Ю. свидетелствал, че в работата ищецът станал неконцентриран, затворен в себе си, без чувство за хумор, притеснен да не се злоупотреби с личните му данни. Показанията на свидетеля са последователни и ясни. Отразяват лични и непосредствени възприятия за поведението на ищеца и следва да се кредитират. Но тези показания не доказват твърдението на ищеца за „изтекли“ негови лични данни в интернет в резултат на пробива в системата на НАП, станал известен чрез медиите на 15.07.2019г..Респ. негативните му емоции не са пряка последица от нерегламентиран достъп до негови лични данни. Въпреки указаното от съда, с разпореждане от 28.06.2024г., ищецът не ангажира никакви доказателства /писмени или гласни/ за установяване на нарушено негово право. При тези данни съдът приема, че вторият елемент от фактическия състав на отговорността не е доказан. Тъй като трите елемента са кумулативно дадени в чл.82 от ОРЗД, липсата на доказаност на втория елемент води до неоснователност на предявения иск. Поради неоснователността на предявения иск неоснователни са и претенциите за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019г. или алтернативно от завеждане на исковата молба, до окончателното й изплащане и за присъждане на разноски, включително за адвокатско възнаграждение на процесуалния представител по чл.38, ал.2 във вр. с ал.1, т.3 от ЗА. С оглед изхода на спора основателна е претенцията на ответника за присъждане на разноски за възнаграждение за осъществената юрисконсултска защита. Предвид разпоредбата на чл.24 от Наредбата за заплащането на правната помощ, при съобразяване на фактическата и правна сложност на делото, това възнаграждение следва да бъде определено в размер на 120, 00 лв. за производството по адм.д. №11277/2019г. по описа на АССГ, и в размер на по 100, 00 лв. за производството по адм.д. № 2209/2021г. по описа на ВАС и адм.д. № 6192/2024г. по описа на АССГ или общо 320, 00 лв. Така мотивиран, СЪДЪТ Р Е Ш И: ОТХВЪРЛЯ предявения от Г. К. Г., с адрес в [населено място] срещу Националната агенция за приходите иск, с правно основание чл.82, § 1 и § 2 от Общия регламент относно защитата на данните за сума в размер на 1000, 00 лева, представляваща обезщетение за неимуществени вреди, настъпили в резултат на незаконосъобразно бездействие от страна на Национална агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задължения по чл.24 и чл.32 от Общия регламент относно защитата на данните, да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на Г. К. Г., ведно с претенцията за законната лихва върху тази сума, считано от 15.07.2019г., като неоснователни. ОСЪЖДА Г. К. Г., с ЕГН [ЕГН], с адрес в [населено място], да заплати на Националната агенция за приходите сумата 320, 00 лева, разноски по делото. Решението може да се обжалва с касационна жалба пред Върховния административен съд в 14-дневен срок от съобщаването му на страните. СЪДИЯ: Р Е Ш И: