Решение № 2653 от 20.4.2021 г. на Административен съд - София-град по дело № 11272/2019 г.

Производството е по реда на чл.203 и сл. от Административнопроцесуалния кодекс /АПК/ във вр. с чл. 128, ал. 1, т.6 и чл.1, ал.1 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/ и чл. 39, ал. 2 от Закона за защита а личните данни /ЗЗЛД/. Образувано е по искова молба на А. Ц. Ц., подадена чрез пълномощник адв. Ю., с която срещу Националната агенция за приходите /НАП/ е предявен иск, заявен с правно основание чл.203 АПК, вр. чл.82, ал.1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ /GDPR/, вр. чл.39, ал.2 ЗЗЛД, вр. чл.1, ал.1 ЗОДОВ, за присъждане на сумата в размер на 1000 лева, представляваща обезщетение на ищеца за причинените му неимуществени вреди, претърпени в резултат на неизпълнение в достатъчна степен от страна на ответника на задължението по чл.24 и чл.32 GDPR и чл. 59, ал.1 ЗЗЛД, нарушила е и разпоредбите на чл.45, ал.1, т.6 ЗЗЛД като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки; чл. 64 ЗЗЛД, като намира, че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл.66, ал.1 и, ал.2 ЗЗЛД; чл.67 и чл.68 ЗЗЛД. Претендира се и законната лихва върху сумата на обезщетението, считано от 15.07.2019г. до окончателното й изплащане. В съдебно заседание исковата претенция се поддържа чрез адв. Ю., която моли за уважаване на претенцията на доверителя й в пълен размер. Претендира присъждането на направените по производството разноски съобразно представен списък. Ответникът, в писмен отговор на исковата молба, оспорва основателността на предявения иск. В съдебно заседание чрез юрк. Т. моли искът да бъде отхвърлен като неоснователен и недоказан, тъй като в хода на производството ищецът не доказал настъпването на каквито и да е било вреди, както и не се доказало наличието на елементите от фактическият състав по чл.1, ал.1 ЗОДОВ, а напротив - доказало се безспорно от приетите по делото писмени доказателства, че НАП е предприела достатъчно и ефективни технически и организационни мерки за защита на личните данни на лицата в това число и на ищеца. Претендира присъждането на юрисконсултско възнаграждение. Представителят на Софийската градска прокуратура изразява становище за неоснователност и недоказаност на исковата претенция. Административен съд София-град, като обсъди доводите на страните и прецени събраните по делото доказателства, приема за установено следното от ФАКТИЧЕСКА СТРАНА: На 15.07.2019г. неизвестно лице е осъществило нерегламентиран достъп в информационните масиви на НАП, станал известен като „хакерска атака“, вследствие на което е разпространена информация, съдържаща личните данни на над 6 000 000 физически лица. За извършеното деяние агенцията е уведомила Софийска градска прокуратура и Комисията за защита на личните данни. По делото са представени: Заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с която е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3.0 от м. май 2016, както и Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП. Изработена е Методика за оценка на риска, версия 1, към м. декември 2013г. Със Заповед № ЗЦУ-83/23.01.2013 г. на изпълнителния директор на НАП, са определени вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно-осигурителната сметка и сроковете за съхранение на архивираната информация. Със Заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т. 5 и т.7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. При така установената фактическа обстановка, съдът прие следните ПРАВНИ ИЗВОДИ: Искът е ПРОЦЕСУАЛНО ДОПУСТИМ. Въпросът е разрешен с Определение № 11176/20.08.2020г., постановено по адм. д. № 7423/2020г. по описа на ВАС, което съгласно разпоредбата на чл. 235, ал.2 АПК е задължително за настоящия състав. Разгледан по същество, искът е НЕОСНОВАТЕЛЕН. Съгласно чл. 203, ал. 1 от Глава единадесета на АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица се разглеждат по реда на тази глава. Съгласно чл. 203, ал. 2 от АПК, за неуредените въпроси за имуществената отговорност се прилагат разпоредбите на ЗОДОВ. Според разпоредбата на чл.1, ал.1 ЗОДОВ предвижда, че държавата и общините отговарят за вреди, причинени от незаконосъобразни актове, действия или бездействия на техни органи и длъжностни лица при или по повод изпълнение на административна дейност. Отговорността на държавата по ЗОДОВ е специална деликтна отговорност спрямо общата деликтна отговорност, уредена в чл.45 и сл. от Закона за задълженията и договорите /ЗЗД/. Тази отговорност произтича от общото задължение на държавата/общините при осъществяване на правомощията им техните органи и длъжностни лица да спазват правата и не накърняват законните интереси на гражданите, респ. юридическите лица. За разлика от тази отговорност, деликтната отговорност, уредена в ЗЗД произтича от общото задължение да не се вреди другиму. В този смисъл отговорността по ЗОДОВ има обективен характер – възниква при наличие на изрично предвидените в закона предпоставки и не е обусловена от наличието на виновно поведение от страна на конкретно длъжностно лице, причинило с поведението си вредата – чл.4 ЗОДОВ, докато деликтната отговорност по чл. 45 и сл. ЗЗД е обусловена от виновно поведение на причинителя на вредата, вкл. в хипотезата на обезпечителната отговорност по чл.49 ЗЗД, като вината се предполага до доказване на противното. Предпоставките, които следва да са кумулативно налице, за да се реализира отговорността по чл.1, ал.1 ЗОДОВ са: незаконосъобразен административен акт, действие или бездействие на административен орган или длъжностно лице по повод осъществяваната от него административна дейност; вреда – имуществена или неимуществена; пряка причинно-следствена връзка между незаконосъобразния акт/действие/бездействие. В конкретния случай исковата претенция се основава на незаконосъобразно бездействие – нарушение на разпоредбите на чл.24 и чл.32 GDPR и чл.59, ал. 1 ЗЗЛД, чл.45, ал.1, т.6 ЗЗЛД, чл.64 ЗЗЛД, чл.66, ал.1 и ал.2 ЗЗЛД; чл.67 и чл.68 ЗЗЛД – неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. Следва да се отбележи, че когато визира незаконосъобразно бездействие, разпоредбата на чл.1, ал.1 ЗОДОВ има предвид незаконосъобразно фактическо бездействие по см. на чл.256 АПК, т.е. бездействието на административен орган по задължение, произтичащо пряко от нормативен акт или което той е длъжен да извърши по силата на закона. Безспорно цитираните от ищеца разпоредби въвеждат задължение за администратора на лични данни да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с разпоредбите на Общия регламент за защита на данните – чл.24, параграф 1 и чл.32 от него. Същият подход е възприет и в цитираните разпоредби от ЗЗЛД. Общоизвестен е фактът, че на 15.07.2019г. медиите оповестиха информация за т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на множество български и чуждестранни физически и юридически лица - имена, ЕГН и адреси на български граждани, телефони, електронни адреси и друга информация за контакт, данни от годишни данъчни декларации на физически лица, данни от с правките за изплатени доходи на физически лица, данни от осигурителните декларации, данни за здравноосигурителни вноски, данни за издадени актове за административни нарушения и пр. Следователно е налице противоправно деяние. Това противоправно деяние, обаче, само по себе си не обосновава извод, че е следствие от незаконосъобразното бездействие на ответника да изпълни произтичащи от посочените по-горе разпоредби на регламента и закона задължения да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица във връзка с обработването на личните им данни и че не е резултат от престъпно деяние по см. на Наказателния кодекс, и който резултат е настъпил въпреки положените усилия за предотвратяването му. Общоизвестно е обстоятелството, че за т.нар. „хакерска атака“ е образувано досъдебно производство за компютърно престъпление, за което към момента на устните състезания няма данни да е приключило. Касае се за противоправно поведение от страна на трети лица, довело до негативния резултат – неоторизиран достъп до базата данни на НАП. Обратно на възприетата от ищцовата страна теза, този негативен резултат не презюмира противоправно поведение на администратора на лични данни, изразяващо се в бездействие на последния да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни така, че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. Възприемането на тази теза би означавало, че всеки, който е станал обект на каквото и да било посегателство, следва да понесе отговорност, че е допуснал извършването на същото, тъй като не е положил достатъчно грижи за предотвратяването му. За доказване изпълнение на задълженията си, произтичащи от регламента и закона, ответникът е представил по делото Политика по защита на личните данни в НАП, утвърдена със Заповед № ЗЦУ-746/25.05.2018г. на изпълнителния директор на НАП; Заповед № З-ЦУ-1436/15.10.2018г. на изпълнителния директор на НАП, с която са утвърдени указания за обработване и съхраняване на данни; Указания за обозначаване и работа с информацията Версия 3.1; Политика по информационна сигурност на НАП, Версия 3.0, май 2016г.; Инструкция № 2/08.05.2019г. за мерките и средствата за защита на лични данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри с приложения – декларация Приложение № 1, съгласно която служителите декларират, че ще пазят в тайна личните данни на трети лица, станали им известни по повод изпълнение на служебните задължения, както и че ще спазват установените правила в тази насока; Заповед № ЗЦУ-586/30.04.2014г. на изпълнителния директор на НАП за внедряване считано от 01.05.2014г. на Система за управление на сигурността на информацията в НАП; Заповед № ЗЦУ-121/30.11.2017г. на изпълнителния директор на НАП, с която е утвърдена Методика за анонимизиране на индивидуални данни, както и самата методика. Посочените документи са приети като доказателства по делото и не са оспорени от ищеца. Изложеното до тук води до извода за недоказаност на исковата претенция, относно наличието на незаконосъобразен акт, действия или бездействия на административни органи и длъжностни лица, което достатъчно основание за нейното отхвърляне. Въпреки това съдът намира за необходимо да изложи мотиви и по отношение на твърденията в исковата молба за настъпване на вреда. Обратно на твърденията на ищеца, направени в съдебно заседание на 20.01.2020г. чрез процесуалния, му представител, вредите не се считат за доказани. Според съда „изтичането“ на лични данни в публичното пространство е нормално да предизвика емоционален дискомфорт у всеки човек. Възприето е в съдебната практика обаче, че настъпилите неимуществени вреди следва да не са хипотетични и евентуални, а реални. А именно доколко фактът на неправомерен достъп до базата съхранявани от НАП лични данни и публичното им оповестяване се е отразил върху живота на ищеца – дали и как това е довело до влошаване на самочувствието му, самооценката му, работата му, отношенията му в семейството, с близките и приятелите му, здравословното му състояние и пр. В тежест на ищцовата страна е да докаже тяхното настъпване и в какво конкретно се изразяват. От доказателствата по делото не се установи реално настъпване на конкретни неимуществени вреди. Доказателствата по делото сочат на пасивно поведение от негова страна – въпреки че се е притеснявал няма доказателства да е предприел действия по установяване на конкретните засегнати /разкрити/ данни и действия за предотвратяване на евентуална злоупотреба с тях. Доколкото в настоящото производство по реда на чл.204, ал.4 АПК не бе установено незаконосъобразно бездействие на ответника, както и настъпили вреди, причинна връзка е безпредметно да бъде обсъждана и следва да се приеме, че също не е налице. Следва да бъде отбелязано, че съгласно чл.4 ЗОДОВ, държавата дължи обезщетение за всички имуществени и неимуществени вреди, които са пряка и непосредствена последица от увреждането. В случая евентуалните вреди за ищеца са причинени по-скоро не от твърдяното бездействие на НАП, а от публичното оповестяване в интернет пространството на достъпените по неправомерен начин негови лични данни, което представлява действие, опосредяващо настъпването на крайния резултат. Следователн