Решение № 2602 от 11.9.2024 г. на Административен съд - Русе по дело № 321/2021 г.

Производството е по реда на Глава единадесета „Производство за обезщетения“ от АПК във връзка с чл. 82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (ОРЗД; General Data Protection Regulation - GDPR) Производството е образувано по искова молба на С. Р. М., [ЕГН], с адрес гр. Русе, [улица], вх. 1, ет. 3, ап. 1 против Националната агенция за приходите (НАП), представлявана от изпълнителния директор, с адрес гр. София, [улица], с посочено правно основание от ищеца „чл.203, ал.(1) АПК вр. чл.1, ал.(1) от ЗОДОВ вр. чл. 39 от ЗЗЛД вр. чл.79 и чл.82 от РЕГЛАМЕНТ (ЕС) 2016/679 на ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА“ и цена на иска 1, 00 (един) лев. Иска се от съда да осъди НАП в качеството му на администратор на лични данни да заплати на М. сума в размер на един лев, представляваща „ обезщетение за претърпените от ищеца неимуществени вреди - унижение, срам, безпокойство и притеснения, поради неприложени от НАП подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп и неразрешено разкриване и разпространение на личните данни на ищеца С. Р. М., ведно със законната лихва върху тази сума, считано от датата на предявяване на иска до нейното окончателно изплащане.“. В съдебно заседание исковата молба се поддържа от адв. О.Басарболиев, АК Русе, като са ангажирани гласни доказателства и съдебно-психиатрична експертиза, претендират се разноски по представен списък.

Ответникът – Национална агенция по приходите (НАП) се представлява в съдебно заседание от главен юрисконсулт Б. Г., която прави изявление, че искът е допустим, но неоснователен по размер. Ангажира писмени доказателства и претендира разноски. Представя писмени бележки.

Процесуалният представител на Окръжна прокуратура – Русе изразява становище, че предявения иск е основателен и доказан по основание и размер.

От фактическа страна по делото се установява следното:

Предявената искова молба е свързана с ноторния факт, че вследствие нерегламентиран достъп, осъществен от неизвестни лица, на 15.07.2019 г. e установено, че от информационните масиви на НАП е изтекла информация за личните данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица.

Впоследствие, НАП е активирала интернет сайт [интернет адрес], на който всяко лице може да провери по параметър ЕГН дали има неправомерно разпространени лични данни, но не и какви точно са тези данни. Със заявление с вх. № 18923/14.08.2019 г. до директора на ТД на НАП Варна, ищецът е направил искане, да му се предостави следната информация: „ Какви точно лични данни на С. Р. М. са разпространени в следствие на неоторизирания достъп от базите данни на НАП? Моля да ми предоставите и копие от данните, които сте допуснали да бъдат разпространени!“ По подаденото заявление до директора на ТД на НАП Варна, с вх. № 18923/14.08.2019г., е изготвена справка, която е приложена на л. 10 от адм. д. № 115/2020 г., в която са отразени личните данни на ищеца, допуснати да бъдат разпространени, в резултат на неоторизирания достъп от базите данни на НАП.

С. Р. М. е предявил иск с вх. № 717/14.02.2020 г. против НАП, представлявана от изпълнителния директор, с посочено правно основание от ищеца „чл.203, ал.(1) АПК вр. чл.1, ал.(1) от ЗОДОВ вр. чл. 39 от ЗЗЛД вр. чл.79 и чл.82 от РЕГЛАМЕНТ (ЕС) 2016/679 на ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА“ и цена на иска 1, 00 (един) лев. Иска се от съда да осъди НАП в качеството му на администратор на лични данни да заплати на М. сума в размер на един лев, представляваща „ обезщетение за претърпените от ищеца неимуществени вреди - унижение, срам, безпокойство и притеснения, поради неприложени от НАП подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп и неразрешено разкриване и разпространение на личните данни на ищеца С. Р. М., ведно със законната лихва върху тази сума, считано от датата на предявяване на иска до нейното окончателно изплащане.“ В исковата молба се сочи, че М. е собственик на девет търговски дружества, участва в управлението (като представляващ) на десет търговски дружества, две сдружения и една фондация. Същият е публична личност и се ползва със сериозен авторитет и реноме сред обществеността на град Русе. В периода 16.07.2019 г. – края на юли 2019 г. М. е установил (на база публикации в медиите, а впоследствие и на https: //check.nra.bg/ ), че негови лични данни са били неправомерно разпространени, но е липсвала информация какви са точно тези данни. След поискана информация по надлежен ред, в края на септември 2019 г. на интернет адрес https: //check.nra.bg/check/ е било възможно да се направи проверка конкретно какви точно лични данни са били разпространени. За М. е установено, че са били огласени и разпространени в интернет следните му лични данни: ЕГН и имена; данни от годишна данъчна декларация (чл. 41 от ЗОДФЛ) за 2003 г., 2004 г. и 2006 г.; данни от декларации, подадени от работодатели/ осигурители за осигурените от тях лица (декларация обр. №1 от Наредба Н-8) за период 2008 г.; данни от финансови отчети за 2006 г., 2007 г. и 2008 г.; идентификационни данни за лице, в качеството на представляващ, от подадена декларация за промяна/първоначално деклариране на авансови вноски (чл. 88/чл. чл. 87а, ал. 2 и 3 от ЗКПО) 2016 г., 2017 г. и 2018 г. В исковата молба е описано подробно психологическото състояние на М. след узнаване на тези факти. Посочени са проявленията в психичното състояние на М.; действията, които е бил принуден да предприеме за личната си защита, за защита на собствеността си и за защита на посочените юридически лица, в които той има участие в различно качество. Сочи се още, че чрез бездействие НАП, като администратор на лични данни, не е положила достатъчно грижа и не е приложила ефективни мерки за защита на сигурността на данните, в резултат на което са разкрити лични данни на ищеца, накърнена е неприкосновеността на личните данни на М. и са му причинени неимуществени вреди, изразяващи се в унижение, срам, безпокойство и притеснения. Според исковата молба, ОРЗД поставя в задължение на администраторите, какъвто администратор е и НАП, да въведат и прилагат подходящи технически и организационни мерки за защита на личните данни, които са съобразени с естеството, обхвата и контекста на обработването на лични данни и най-вече с рисковете за правата на субектите на данни. М. счита, че в настоящото производство ответника следва да докаже, че преди инцидента е взел всички необходими и адекватни мерки за сигурност на данните, като докаже и механизма, по който ги е взел, включително анализи, оценки на риска и оценки на въздействието. Сочи се още, че в процесния случай е налице кумулативна съвкупност от предпоставки за ангажиране отговорността на ответника НАП, а именно:

1. Незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата – като аргумент се сочи незаконосъобразно бездействие и допускане изтичането на личните данни на огромен брой лица (в т.ч. и личните данни на ищеца), за което спрямо НАП е ангажирана административно наказателна отговорност от страна на КЗЛД за нарушение на чл. 32, § 1, буква „б" от ОРЗД и с наказателно постановление на ответника е наложена имуществена санкция в размер на 5 100 000 лева.

2. Незаконосъобразният административен акт, респ. действие или бездействие да е при или по повод изпълнение на административна дейност - относно тази предпоставка се сочи, че значение имат мотивите към Постановление № 9/28.12.1966г. на Пленума на Върховния съд. "При изпълнение" означава, че вредите трябва да са причинени през времето, когато се извършва дейност в изпълнение на административни правомощия. Твърди се, че в случая незаконосъобразното бездействие е при и по повод изпълнение на административна дейност на НАП в качеството му на администратор на лични данни поради неприложени подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп и неразрешено разкриване и разпространение на личните данни на огромен брой лица, в т.ч. и на ищеца С. М.. 3. Реално претърпяна вреда (имуществена и/или неимуществена) – реално претърпените неимуществени вреди от ищеца се изразяват в унижение, срам, безпокойство и притеснения.

4. Причинна връзка между постановения незаконосъобразен акт, действие или бездействия и настъпилия вредоносен резултат – сочи се, че такава се установява между незаконосъобразното бездействие на ответника и настъпилия вредоносен резултат за ищеца.

Към исковата молба са приложени следните доказателства като надлежно заверени копия:

По подадената искова молба с вх. № 717/14.02.2020 г. първоначално е образувано адм. д. № 115/ 2020 г. по описа на Административен съд – Русе.

По посоченото дело ответникът е представил отговор на искова молба с вх. № 1201/30.03.2020 г. чрез надлежно упълномощен процесуален представител. Посочено е, че искът е недопустим на основание чл. 39, ал.4 от ЗЗЛД, защото субектът на данни не може да сезира съда, когато има висящо производство пред КЗЛД за същото нарушение или нейното решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. Посочено е, че пред Софийски районен съд е висящо производство по обжалване на издаденото от КЗЛД наказателно постановление. При условия на евентуалност се иска от съда да приеме, че предявеният иск е неоснователен като се излагат изключително подробни доводи в тази насока относно огромния обем обработвана информация от НАП; подписването на специални декларации от служителите на НАП за неразгласяване на лични данни; сочи се на престъпление срещу агенцията; твърди се липса на непосредствена опасност за имуществото на гражданите; своевременно са уведомени всички компетентни органи за осъщественият неоторизиран достъп; предоставена е възможност на засегнатите лица да установят какви лични данни са били публикувани и др. Към отговора са приложени, както следва:

1. Писмо с изх. № ЕП-37-00-137/16.07.2019 г., с което на основание чл. 33 от ОРЗД изпълнителният директор на НАП е информирал председателя на Комисията за защита на личните данни (КЗЛД) за това, че на 15.07.2019 г. е установено, че реализиран неоторизиран достъп и е публикувана информация съдържаща се в базите данни на НАП, като са засегнати 3% от всички данни. Посочено е още в писмото, че са уведомени всички компетентни органи, като продължава работата за установяване на причините за уязвимостта.

2. Писмо с изх. № 11-02-213/17.07.2019 г., с което изпълнителният директор на НАП е уведомил Градския прокурор при Софийска градска прокуратура за установения неоторизиран достъп, като е посочено, че са налице данни за извършено престъпление по смисъла на чл. 319а и следващите от Глава Девета „А“ „Компютърни престъпления“ от Наказателния кодекс и се иска предприемане на незабавни действия за образуване на наказателно производство по случая 3. Множество публикации в печатни и интернет медии от 26-27.09.2019 г. относно изтичането на данни от НАП (л. 65 – л. 71 от адм. д. № 115/2020 г. по описа на Административен съд – Русе).

4. Жалба изх. № ЕП-37-00-137/20.04.2019 г. срещу Наказателно постановление № 004/28.08.2019 г. на председателя на КЗЛД.

В проведеното на 15.06.2020 г. съдебно заседание по адм. д. № 115/2020 г. на Административен съд – Русе, процесуалният представител на ищеца е ангажирал като доказателство Информационен бюлетин, бр. 5(80), септември 2019 г., издаван от КЗЛД, в който на стр. 3 е изложена информация относно извършена от КЗЛД проверка на НАП във връзка с нарушаване сигурността на личните данни. В защита на своята теза, ищецът е представил още копие на Решение рег. № ППН-02-399/22.08.2019 г. на КЗЛД, с което в общо 20 различни разпореждания, адресирани до изпълнителния директор на НАП предписва мерки, които агенцията следва да предприеме, за да гарантира сигурността на информацията. Ищецът се е снабдил с решението чрез трето лице, получило същото по реда на Закона за достъп до обществена информация (л. 71 от адм. д. № 115/2020 г.). Към момента на подаване на исковата молба това решение е обжалвано по съдебен ред пред Административен съд – София град и не е влязло в сила. Също така е представено и Наказателно постановление № 004/28.08.2019 г., издадено от председателя на КЗЛД, с което за нарушение на чл. 32, § 1, буква 4б“ от ОРЗД, на основание чл. 58, § 2, буква „и“ във връзка с чл. 83, § 4, буква „а“ от ОРЗД и чл. 87, ал. 1 и ал. 3 от ЗЗЛД на НАП, в качеството на администратор на лични данни, е наложена имуществена санкция в размер на 5 100 000 лева. Към момента на подаване на исковата молба това наказателно постановление е обжалвано по съдебен ред пред Софийски районен съд и не е влязло в сила.

С цел изясняване организацията на работа на НАП, процесуален представител на ответника, с молба с вх. № 2242/08.07.2020 г. от по адм.д. № 115/2020 г. на Административен съд – Русе е представил писмени доказателства, представляващи различни по своя характер актове относно достъпа до информационните масиви на НАП и осигуряване на сигурността на съхраняваните данни е регламентирана чрез различни актове, както следва:

1. Издадени/одобрени/утвърдени от изпълнителния директор на НАП:

1.1. Заповед № 309/83/23.01.2013 г. за определяне на вида, съдържанието, реда за създаване поддържане и достъп до регистъра на НАП и базата данни за задължените лица, формата и елементите на данъчно-осигурителната сметка и сроковете за съхранение на архивираната информация.

1.2. Заповед № ЗЦУ-586/30.04.2014 г., с която е наредено да се внедри Система за управление на сигурността на информацията (СУСИ) в НАП.

1.3. Заповед № ЗЦУ-535/11.05.2016 г., с която са утвърдени Вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП.

1.4. Заповед № ЗЦУ-733/17.06.2016 г., с която в т. 2 са утвърдени вътрешни правила за мрежовата и информационната сигурност.

1.5. Заповед № ЗЦУ-1596/29.11.2017 г., с която са утвърдени Указания за унищожаване на информация и информационни системи в НАП.

1.6. Заповед № ЗЦУ-1436/15.10.2018 г., с която утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от ЗНАП", „Указания за обозначаване и работа с информация", „Указания за попълване на образци на процедура", „Указания за попълване на образеца на инструкция" и др. 1.7. Заповед № ЗЦУ-482/01.04.2019 г., с която са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП.

1.8. Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри.

1.9. Заповед № ЗЦУ-1236/21.08.2019 г., с която е утвърдена Процедура ИС17 „Администриране на информационна система в НАП“ версия В.

2. Други:

2.1. Методика за анонимизиране на индивидуални данни, версия 1, януари 2017 г. 2.2. Политика по информационна сигурност на НАП.

Посоченото дело № 115/2020 г. е приключило с Решение № 24/20.08.2020 г., с което НАП е осъдена да заплати на М. исканото от него обезщетение в размер на 1, 00 лев за „претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на Националната агенция за приходите, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал.1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни, довело до неразрешено разкриване и достъп до личните данни на С. Р. М., ведно със законната лихва върху тази сума, считано от 14.02.2020г. до окончателното изплащане на сумата, както и сумата от 840.00лв., представляваща разноски по делото.“.

След проведен инстанционен контрол, с Решение № 5900/17.05.2021 г., постановено по адм. д. № 11267/2020 г. по описа на ВАС, състав на Трето отделение е отменил обжалваното от НАП първоинстанционно решение и е постановил връщане на делото за ново разглеждане от друг състав, съобразно дадените изключително подробни указания по тълкуване и прилагане на закона.

В тази връзка е образувано настоящото адм. д. № 321/2021 г., по което първоначалният съдия с определение от закрито заседание от 07.09.2021 г. е разпоредил спиране производството по делото на основание чл. 229, ал. 1, т. 4 от ГПК във връзка с чл. 144 от АПК до произнасяне на окончателен акт на Съда на Европейския съюз (СЕС) по дело С-340/2021 г. Във връзка със Заповед № РД-06-72/15.02.2022 г., с Разпореждане № 134/ 15.02.2022 г. на председателя на Административен съд – Русе, делото е преразпределено на настоящия съдия докладчик.

След служебна проверка съдът установи, че с Решение на Съда (трети състав) от 14 декември 2023 г., СЕС се е произнесъл по поставените въпроси с преюдициално запитване, отправено на основание чл. 267 от ДФЕС от Върховен административен съд (България) с акт от 14 май 2021 г., постъпил в Съда на 2 юни 2021 г., в рамките на производство по дело VB срещу Национална агенция за приходите.

С Определение № 25/03.01.2024 г. съдът е възобновил производството по делото.

Предвид задължителността на указанията на Върховния административен съд по смисъла на чл. 224 от АПК, дадени с Решение № 5900/17.05.2021 г., постановено по адм. д. № 11267/2020 г. по описа на ВАС, състав на Трето отделение, съдът приема следното:

М. е предявил иск, който съдът квалифицира като иск с правно основание чл. 79, § 1 и чл. 82, § 1 от ОРЗД, по реда на чл. 203 и следващите от АПК и чл. 1 и следващите от ЗОДОВ, за осъждане на НАП да заплати на М. обезщетение в размер на 1, 00 лев за неимуществени вреди, настъпили от неправомерното бездействие на НАП да гарантира достатъчно ниво на сигурност на обработваните от него лични данни, довело до неразрешено разкриване и достъп до личните данни на М.. Претендира се и законната лихва от датата на подаване на иска - 14.02.2020 г. до окончателното изплащане на търсеното обезщетение.

С молба с вх. № 117/08.01.2024 г. процесуалният представител на ищеца е заявил, че поддържа подадената искова молба с вх. № 717/14.02.2020 г. с цена на иска 1, 00 (един) лев.

С писмо с изх. № 83/22.01.2024 г. съдът е отправил запитване до трето неучастващо лице – КЗЛД дали пред комисията е налично висящо или приключило производство, инициирано от ищеца М. срещу Национална агенция за приходите. С писмо с вх. № 939/12.02.2024 г. председателят на КЗЛД е дал отрицателен отговор – М. не е инициирал административно производство пред КЗЛД.

С Определение № 239/22.01.2024 г. съдът е разпределил тежестта на доказване между страните.

С молба с вх. № 959/13.02.2024 г. ответникът, чрез процесуален представител е направил изявление, че поддържа отговора на исковата молба, представен по многократно цитираното адм. д. № 115/2020 г. В съдебно заседание на 13.02.2024 г., по искане на ищеца до разпит е допуснат свидетеля В. Н. Р., който посочва, че работи като касиер-счетоводител в „Нетуоркс България“, дружество, което е било собственост на ищеца С. М., но от август 2023 г. вече не е негова собственост. Р. посочва, че работи в дружеството от 2017 г., като ежедневно е комуникирал с М.. Във връзка с изтичането на лични данни от НАП, свидетелят посочва, че първоначално всички били притеснени, защото е било масова истерия. След това излязъл вариант всеки да провери за себе си дали има теч на лични данни. М. помолил да направят такава справка двамата, тъй като той има електронен подпис и имало опция да се провери от сайта на НАП, имало публикуван линк. Р. си спомня, че проверката е правена на неговия компютър и имало положителен резултат, в смисъл, че са изтекли данни за М., но вече не помни какви. След това бил помолен от ищеца да разпечата справката. След около 2-3 часа бил извикан при него с молба за проверка на всички фирми в Търговския регистър, собственост на М.. Р. следвало да провери дали в банкиранията има нерегламентирани движения, нещо, което не е свързано с фирмите, защото явно М. се притеснил от това, което се случва с теча на лични данни. Такива проверки Р. правил периодично по указание на М., доста често, няколко пъти на ден. В началото, в период от 3, 4, 5 месеца, започнал да се разрежда искането от М. за проверка, но в общи линии докъм края на 2019 г. правили проверки един или два пъти в седмицата. М. бил доста раздразнителен, свидетелят не можел да комуникира особено много във връзка с работата; правил непрестанно справки. Свидетелят посочва, че в края на 2019 г., месец ноември ищецът си сменил личната карта и може би шофьорската книжка и тогава малко се поуталожили нещата.

В изпълнение указанията на съда, с молба с вх. № 1084/19.02.2024 г. ответникът представи Справка за разпространените данни на ищеца, от която се установява, че това са данни за:

По искането за представяне на копия от документите, ответникът със същата молба е предоставил информация от сектор „Деловодство и архив“, обективирана в Служебна бележка с изх. № 1297/19.02.2024 г. от ТД на НАП Варна, офис Русе, както следва:

Във връзка с Искане за ползване на документ/досие от Архив вх. № 3710/16.02.2024 г. относно предоставяне на заверени копия на С. Р. М. с [ЕГН], Ви уведомявам, както следва:

1. Съгласно Номенклатурата на делата, образувани от дейността на ЦУ на НАП и нейните териториални дирекции със срокове за съхранение, срокът за съхранение на Годишни данъчни декларации по ЗДДФЛ - чл. 41 от ЗДДФЛ (чл. 50 от ЗОДФЛ) е 10 години:

1.1. ГДД чл. 41 от ЗОДФЛ за период 2003 г. е унищожена с Акт за унищожаване на неценни документи с изтекъл срок на съхранение, утвърден от Директора на ТД на НАП Варна на 29.01.2014 г. 1.2. ГДД чл. 41 от ЗОДФЛ за период 2004 г. е унищожена с Акт за унищожаване на неценни документи с изтекъл срок на съхранение, утвърден от Директора на ТД на НАП Варна на 19.01.2015 г. 1.3. ГДД чл. 41 от ЗОДФЛ за период 2006 г. ведно с финансовите отчети, като неразделна част от ГДД, са унищожени с Акт за унищожаване на неценни документи с изтекъл срок на съхранение, утвърден от Директора на ТД на НАП Варна на 07.04.2017 г. 1.4. ГДД чл. 50 от ЗДДФЛ за период 2007 г. ведно с финансовите отчети, като неразделна част от ГДД, е унищожена с Акт за унищожаване на неценни документи с изтекъл срок на съхранение, утвърден от Директора на ТД на НАП Варна на 06.03.2018 г. 1.5. ГДД чл. 50 от ЗДДФЛ за период 2008 г. ведно с финансовите отчети, като неразделна част от ГДД, е унищожена с Акт за унищожаване на неценни документи с изтекъл срок на съхранение, утвърден от Директора на ТД на НАП Варна на „ 21.10.2016 г.“.

2. Съгласно Номенклатурата на делата, образувани от дейността на ЦУ на НАП и нейните териториални дирекции със срокове за съхранение, срокът за съхранение на Декларации образец № 1 данни за осигуреното лице, е 10 години, като Декларации образец № 1 данни за осигуреното лице за период 2008 г. са унищожени с Акт за унищожаване на неценни документи с изтекъл срок на съхранение, утвърден от Директора на ТД на НАП Варна на 21.10.2016 г. 3. Декларациите за промяна/първоначално деклариране на авансови вноски 2016 г., 2017 г., 2018 г., към 19.02.2024 г., не са предадени за съхранение в архив, ИРМ Русе.

Във връзка с установени неточности, съдът с Определение № 2297/26.07.2024 г. е задължил ответника да отстрани същите. Представено е писмо с вх. № 3773/05.08.2024 г., заедно със заверено копие на Акт за унищожаване на неценни документи с изтекъл срок за съхранение утвърден на 21.10.2019 г. На ред 3 от Акта са посочени годишни данъчни декларации то чл. 50 от ЗДДФЛ с крайна дата 2008 г., а на ред 16 са посочени декларации образец №1 данни за осигуреното лице. В предоставената служебна бележка вх.№1297/19.02.2024 г. погрешно е изписана 2016 г. вместо правилната 2019 г. Относно Декларациите за промяна/първоначално деклариране на авансови вноски 2016 г., 2017 г., 2018 г. е посочено, че тези декларации се подават от юридическите лица и с тях се декларира видът и размерът на авансовите вноски за текущата година и се извършват промени (увеличение и намаление) на размера на декларираните авансови вноски. След справка в Търговския регистър се установява, че ищецът е вписан като управител, едноличен собственик, съдружник или член на орган на управление на множество юридически лица. Не може да бъде определено от декларацията на кое от юридическите лица има изтичане на информация. Посочено е още, че в процесния случай не е необходимо да се изяснят цифрите и текста съдържащ се в декларациите, а същността на информацията, която може да бъде извлечена от всяка декларация и доколко тя има характер на лични данни. По тази причина е приложена образец на Декларациите за промяна/първоначално деклариране на авансови вноски.

Във връзка с доказване на претърпените неимуществени вреди по искане на ищеца съдът е допуснал съдебно-психологическа експертиза. В представеното заключение с вх. № 1639/20.03.2024 г., вещото лице посочва, че са съществували достатъчно клинични доказателства в подкрепа на хипотезата, че узнаването за изтекли лични данни от оспорващия, представлява стресогенен фактор, който е довел до увеличена тревожност у ищеца. След узнаването за събитието, оспорващият е преживял състояние, суспектно за невротично с повишени нива на тревожност, страхова зареденост, безпокойство, натрапливи мисли, емоционален дисбаланс, което се е манифестирало чрез неговото поведение и е повлияло в негативен аспект психологичното му състояние. Посочва се още в заключението, че понятията „авторитет” и „морални страдания” не са в понятийната система на клиничната и съдебна психология и могат да бъдат приравнени към понятията „социално експлориране на личността” и „емоционални страдания”. При съобразяване на тези обяснения, експертът посочва, че събитието е повлияло негативно върху социалното експлориране на личността на оспорващия, както и е причинило емоционални страдания, които са манифестирани чрез неговото поведение видно от делото и експертната оценка на 24.06.2020 г. и 14.03.2024 г. Според вещото лице доц. д-р пс. С. К., стресът е оказал влияние върху психологичното му състояние, като е довел до състояние на дистрес, тъй като събитието е имало стресогенен характер и е създал емоционален дисбаланс - затвореност, неконтактност спрямо обичайното му поведение. Ако се разгледат клиничните маркери - повишената тревожност, повишените нива на безпокойство, натрапливите мисли й социалното дистанциране като симптоми на наличие на депресивен фон счита, че е съществувала възможност за преживяване на състояние на лека депресивна форма като реакция на личността към стресогенното събитие.

В съдебно заседание на 27.03.2024 г., при изслушване на експертизата, на въпрос на процесуалния представител на ищеца, доц. К. посочва, че към момента на узнаването М. е бил състояние на дистрес, това е състояние, което вече е клиничен маркер, че някакво събитие се отразява стресогенно върху лицето, защото стрес ние преживяваме ежеминутно в нашето ежедневие, имаме нужда от стрес, така както имаме нужда от въздух и вода. Но при състояние на дистрес, дадено събитие се отразява вече стресогенно и в големи граници патологично, т.е. повишени нива на тревожност, безпокойство, прекалена ангажираност със събитието, вегетативна симптоматика като безсъние. М. имал свързан страх, че нещо ще се случи на него и на детето му, на близките и на семейството му, което вече е клиничен маркер, че даденият субект не функционира в нормален режим. Към настоящия момент ищецът е ситуативно ангажиран, защото пак се възобновява това дело, той отново разказва нещата, които е преживял, нивата на тревожност пак са повишени, защото стои му онова преживяване, че във връзка с изтичане на тези данни може да се случи нещо на неговото дете, което той сподели на клиничното интервю. Вещото лице посочва още, че „ Самото му поведение може да се изиграе, но трудно би заблудило експерт с моя опит, така че самото му поведение беше реципрочно, съзвучно на това, което споделя, защото в много случаи ние експертите наблюдаваме поведението на хората, които изследваме и след това слушаме какво ни казват.“ Продължителността на състоянието на дистрес зависи от личността, от начина на живот, какво прави за себе си, може да продължи от 6 месеца до 2 години и вече да се превърне в трайно разстройство на адаптацията, което не е установено при сегашната експертна оценка, но си стои, все още е актуално това преживяване. Вещото лице посочва, че преживяването на М. е ситуативно и той се страхува от отвличане на детето му.

На въпрос на процесуалния представител на ответника доколко може да бъде повлияно върху това му състояние фактът, че в предходен период преди изтичането на данните същото лице е преживяло много по-голям стрес, вещото лице посочва, че при конкретна експертна оценка за дадено стресогенно събитие не се включват други преживявания, които е имало лицето преди това. Посочва още, че конкретно това събитие, което е свързано с изтичане на лични данни, е преживяно като стресогенно събитие, други събития не са изследвани.

На въпроси на съда, доц. К. посочва, че е допуснала техническа грешка във връзка с изписването на настоящото дело като ДП-досъдебно производство; под съкращението ЧМТ следва да се разбира черепно-мозъчна травма; съкращението ВПД е означение на възприятно - представна дейност. Във връзка с твърдението на процесуалния представител на ответника, че депресията като болестно състояние следва да се диагностицира само от лекар със съответната специалност, експертът посочи, че депресивният фон се установява също от клиничния психолог, тъй като не се описва медикаментозно лечение. В биологичната психиатрия не съществува голям избор от параклиника, т.е. примерно неврологът или вътрешният лекар могат да назначат всякакви кръвни изследвания, ехографи, образна диагностика, докато в биологичната психиатрия инструментите на клиничната психология са параклиника плюс компютърна томография на главен мозък при тежки дегенеративни мозъчни увреди, така че един клиничен психолог има уменията да установи депресивен фон или наличие на клинична депресия във всичките й степени – лека, умерена и тежка. Клиничните психолози също работят с Международната класификация на болестите, 10-та ревизия, с която все още работи България, така че напълно е възможно да се установи това състояние.

В същото съдебно заседание на 27.03.2024 г., в изпълнение указанията на съда, ищецът М. се яви лично да отговори на въпроси на съда, като същият е уведомен за възможността, предвидена в чл. 176, ал. 3 от ГПК във връзка с чл. 144 от АПК, да откаже да отговаря на поставените въпроси. Съдът е посочил, че в исковата молба се твърди, че ищецът се е почувствал „ унизен и с накърнена чест и достойнство “ от изтичането на неговите лични данни. Съдът е обяснил на ищеца, че той следва да даде обяснение относно тези свои емоции, тъй като личните данни, които са изтекли, макар и защитени от закона, всъщност са стандартни данни, представяни пред различни административни органи, в конкретния случай пред НАП. М. в отговор посочва, че се занимава с частен бизнес от 25 години, отначало е бил техническо лице, не се е занимавал с големи парични потоци, но от 2014 г. управлява целия бизнес и всички парични потоци. Посочва още, че всички, които го познават, знаят много добре, че той не води луксозен живот, такива луксозни коли, къщи, почивки и т.н., той води нормален живот, такъв е неговия характер, не харесва такива луксозни неща. Когато от НАП изтекат лични данни, с огромни парични потоци и платени данъци и т.н., впечатлението, което остава във всички, които ще ги прочетат, а той се притеснява, че тези данни ще попаднат в недобросъвестни ръце. Дава пример 2013 г. „Наглите“ и това много го притеснява, че ще попадне информацията в грешните ръце той или неговото дете могат да станат жертви. Посочва още, че накърнената чест е в тази част, че когато хората видят такива огромни парични потоци, те остават с впечатление, че той, г-н М., е някакъв сив скрит кардинал, който води някакъв двоен луксозен живот, а това не е вярно. Той винаги се е приемал като нормален човек, нормален гражданин, живее нормален живот и когато излязат такива данни, съвсем нормално е някой като ги прочете, да каже, че М. се преструва, че се прави на такъв, какъвто не е. Когато някакви хора, които са негови приятели, негово обкръжение, той никога не е парадирал, тези хора нямат представа, че той разполага с такива пари и в един момент всичко това като лъсне, тези хора няма вече да го приемат като човека, който той е и казват: „ Абе тоя е от друга класа “, в смисъл, че е лицемерничил пред тях, представял се е по различен начин, докато е бил заедно с тях и в този смисъл ищецът чувства това унижение. Дава отговор, че смяната на личната карта е с цел да се предотврати изтеглянето на бързи кредити. Посочва още в отговор, че смяната на постоянния и настоящ адрес е по-скоро нещо като защитна реакция, защото прекалено много неща са се насъбрали, чиста физическа смяна на обитаване от едно в друго жилище. Това жилище не е специално купено, той го притежавал предварително и било готово за обитаване. Относно посочения от клиничния психолог установен страх за детето му, ищецът отговаря, че е живял заедно със съпругата си до 2018 г., когато тя била убита. След това само той се грижил за дъщеря си и към онзи момент той бил единственият човек, който се грижил за дъщеря му. Посочва, че само той гледа дъщеря си, кара я всяка сутрин на училище, притеснението му е именно затова, притеснява се някой да не я отвлече, защото ако някой си планира жертвите, той ще погледне точно този списък, като обяснява, че „ аз там ще светя може би в челните позиции “.

По искане на ответника съдът допусна съдебно-техническа експертиза, като с молба с вх. № 3432/09.07.2024 г. са представени като доказателства отговорите на НАП, на въпроси, отправени от вещото лице до ответника. Вещото лице проф. Н. Р. е представил заключение с вх. № 3564/18.07.2024 г. Във връзка с въпроса при какви конкретни обстоятелства е допуснато изтичането на данни в заключението е посочено, че това е станало възможно поради съвкупност от системни и организационни недостатъци. Основните обстоятелства включват, както следва:

Относно въпросът за наличие на нерегламентиран достъп вещото лице е категорично, че такъв е осъществен и този достъп е установен от служител на НАП. Във връзка с техническия начин по който е осъществен достъпа вещото лице посочва, че липсват обективни доказателства за конкретен метод; предполага се, че е осъществен чрез софтуера VAT REFUND без да има конкретно потвърждение в тази връзка. Също така по време на атаката НАП са използвали Qualys за управление на уязвимости, което е ограничило възможността за навременно откриване и реагиране на атаката.

Експертът е посочил конкретните системи и устройства, към които е била насочена атаката, както следва:

Посочено е още в заключението, че достъпът до данните се дължи основно на външна намеса, но вътрешните фактори също играят значителна роля в успешността на атаката. Основните аспекти включват:

Външна намеса: Атаката е извършена от външни хакери, които са използвали съвременни техники и инструменти за проникване в системите на НАП като са се възползвали от слабостите в системите и липсата на адекватни мерки за защита.

Вътрешни пропуски като липса на редовни актуализации на софтуера, неадекватни мерки за контрол на достъпа и недостатъчно обучение на персонала, са улеснили успешното проникване на хакерите. Личните и чувствителни данни в базата данни не са били криптирани, което е увеличило риска от изтичане.

В заключение, въз основа на анализа на лотовете и публично достъпната информация, вещото лице е достигнало до извод, че атаката вероятно е осъществена през системата VAT REFUND, въпреки че липсват конкретни доказателства, твърденията за SQL инжекция като основен метод на атака не се подкрепят от наличните лотове. Вероятно хакерите са използвали други методи, като социално инженерство, директен достъп до базата данни чрез уязвими портове или технологии като Firedac и Indy. Пропуските в сигурността, като липса на тестове за проникване, ограничени възможности за мониторинг и неадекватна защита на данните, са допринесли за успешното проникване на хакерите.

В последното по делото съдебно заседание вещото лице проф. Р. в отговор на въпрос на процесуалния представител на ответника посочва, че е провел онлайн среща с технически лица от НАП, при което се установява, че чувствителните лични данни не са криптирани, а само паролите са били криптирани. Това означава, че ако останалите лични данни като имена, адреси, ЕГН, са били криптирани, тогава това затруднява изключително много атакуващата страна да декриптира данните, дори може да е невъзможно да ги декриптира, но те са били в чист текст, всички данни, освен паролите, което като мерки за сигурност не е най-високият стандарт за мерки за сигурност. Според системата GDАС се изисква всички чувствителни данни да бъдат криптирани, като чувствителни данни са имена, адрес, лична карта, ЕГН, телефон. Посочва, че не може да отговори на въпроса дали към 2019 г. НАП е имала законово изискване да криптира данните. На въпроси на съда вещото лице посочва, че форматът, в който личните данни са публикувани в интернет, една база данни има функционалност за експорт на цялата база данни с всички таблици и точно в такъв формат са публикувани в интернет, в който, ако се направи експорт на цялата база данни, в същия формат се ескортират данните, в който са били публикувани в интернет, което означава, че е придобит пълен достъп до базата данни. Експертът посочва, че с представените от НАП заповеди, методики, инструкции и други, категорично не може да се отговори за степен на защита, защото за защита са използват различни софтуерни продукти, като най-често продукти се използват за мониторинг, където се записва всичко, което се случва в системите и съответно това е първата система за регистриране на логове, а втората е за засичане на атаки. От там нататък има различни вендове, доставчици на такъв софтуер за сигурност, като към онзи момент към 2019 г. са използвали Qualys, един софтуер, който не е в топ 10 на софтуерите за осигуряване на киберсигурност като веднага след атаката са заменени с едни от най-добрите системи за защита в света. Когато се следи цялата инфраструктура, всеки един момент се генерират хиляди събития, това е от различни потребители, заявки и една система за осигуряване на киберсигурност има хиляди правила, които правила следят за определени модели на атаки и засичат автоматично, т.е. ако няма такава система, за човек физически е невъзможно той да анализира хиляди авенти за атака във всяка секунда, които се случват, като единственото, което може да се подобри и което НАП са подобрили след атаката, е да се закупи по-добър софтуер за осигуряване на сигурност. Новият софтуер има 5 000 вградени правила, засича 5 000 атаки и се предприемат действия на секундата. Към момента на атаката софтуерът не е бил толкова добър, колкото след атаката тези, които са закупили. Категорично заявява, че на 100 % не биха могли да бъдат защитени, дори в САЩ, където се инвестират големи суми за киберзащита, има изтичане на данни. Има ли включен интернет, винаги съществува такъв риск. Страните са изразили съгласие за приемане на заключението.

С писмо вх. № 3773/05.08.2024 г., в изпълнение указания на съда, дадени с Определение № 2297/26.07.2024 г., ответникът е представил информация относно съдебните процеси, свързани с обжалването на актовете издадени срещу НАП, както следва:

По делото са постъпили писмени бележки с вх. № 3982/26.08.2024 г. от ответника чрез процесуалния му представител. Изложени са доводи, свързани с наличието на всяка от предпоставките, които в съвкупност водят до ангажиране на отговорността на ответника. Относно наличието на незаконосъобразно бездействие от страна на НАП, е направено позоваване на нормите на Закона за киберсигурност. Сочи се, че ответникът не е конкретизирал по силата на кой нормативен акт НАП не е изпълнил определено задължение, а това неизпълнение се възприема от ищеца като бездействие. Разгледано е приложението на чл. 3, ал. 4 от Закона за киберсигурност, съгласно който Субектите по чл. 4, ал. 1, т. 1 и 2 поддържат система за управление на сигурността на информацията, която включва следните минимални организационни мерки: 1. разпределение на отговорностите за мрежовата и информационната сигурност; 2. прилагане на политика за мрежовата и информационната сигурност; 3. управление на: а) риска; б) информационните активи, включително човешките ресурси; в) инцидентите; г) достъпите (физически и логически); д) измененията; е) непрекъснатостта на дейността и/или услугите (съществени, цифрови); ж) взаимодействията с трети страни. По всяка от така посочените части от правната норма са изложени подробни разсъждения. Относно твърденията на ищеца за претърпени от него неимуществени вреди, са изложени разсъждения във връзка с посочените отрицателни емоции – срам, унижение, безпокойство, притеснение. Оспорват се твърденията на ищеца, че претърпените неимуществени вреди се дължат именно на изтичането на личните му данни в публичното пространство. Иска се от съда да остави без уважение предявения иск като неоснователен и се претендира юрисконсултско възнаграждение.

При така изложената фактическа обстановка, съдът формира следните правни изводи:

По допустимостта на иска:

Искът е предявен от лице, разполагащо с правен интерес. Активната легитимация на ищеца в конкретния случай произтича пряко от норми на правото на Европейския съюз, приложими в страната като държава членка на последния. Съгласно чл. 16, § 1 от Договора за функционирането на Европейския съюз (ДФЕС) Всеки има право на защита на личните му данни. Точно същото е и съдържанието на чл. 8, § 1 от Хартата на основните права на Европейския съюз (ХОПЕС), която има същата юридическа сила като договорите. Правото на защита на личните данни, като основно право, е регламентирано в ОРЗД, който на основание чл. 288, § 2 от ДФЕС е акт с общо приложение, задължителен e в своята цялост и се прилага пряко във всяка една държава членка.

Правото на ефективна съдебна защита срещу администратор или обработващ лични данни е уредено в член 79 от ОРЗД. Съгласно § 1 Без да се засягат които и да било налични административни или несъдебни средства за защита, включително правото на подаване на жалба до надзорен орган съгласно член 77, всеки субект на данни има право на ефективна съдебна защита, когато счита, че правата му по настоящия регламент са били нарушени в резултат на обработване на личните му данни, което не е в съответствие с настоящия регламент. Съгласно § 2, изречение първо Производствата срещу даден администратор или обработващ лични данни се образуват пред съдилищата на държавата членка, в която администраторът или обработващият лични данни има място на установяване.

Искът е насочен срещу пасивно процесуално легитимиран ответник, разполагащ с правосубектност като юридическо лице, съгласно в чл. 2, ал. 2 от Закона за Националната агенция за приходите.

По отношение на допустимостта и процесуалния ред за разглеждане на предявения иск за обезщетение и лихва върху главницата, ВАС се е произнесъл с Решение № 5900/17.05.2021 г., постановено по адм. д. № 11267/2020 г. Правото на обезщетение и отговорността за причинени вреди са уредени в чл. 82 от ОРЗД, като съгласно § 1 Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Според § 2 Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Разпоредбата на § 6 посочва, че Съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2.

На национално ниво правната уредба на защитата на личните данни се регламентира чрез Закона за защита на личните данни (ЗЗЛД), като нормата на чл. 1, ал. 1 посочва, че Този закон урежда обществените отношения, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ, L 119/1 от 4 май 2016 г.), наричан по-нататък "Регламент (ЕС) 2016/679".

За производствата по обезщетение на вреди (имуществени и неимуществени) разпоредбата на чл. 39, ал.1 предвижда, че При нарушаване на правата му по Регламент (ЕС) 2016/679 и по този закон субектът на данни може да обжалва действия и актове на администратора и на обработващия лични данни пред съда по реда на Административнопроцесуалния кодекс. Съгласно ал. 2 В производството по ал. 1 субектът на данни може да иска обезщетение за претърпените от него вреди вследствие на неправомерно обработване на лични данни от страна на администратора или на обработващия лични данни. В алинея четвърта е визирано ограничение на това право - Субектът на данни не може да сезира съда, когато има висящо производство пред комисията за същото нарушение или нейно решение относно същото нарушение е обжалвано и няма влязло в сила решение на съда. По искане на субекта на данни или на съда комисията удостоверява липсата на висящо производство пред нея по същия спор. В конкретния случай, по искане на съда, КЗЛД е удостоверила липсата на висящо или приключило производство по иск на ищеца М. срещу НАП.

Независимо от факта, че правото на обезщетение е регламентирано от специалния закон – чл. 39 от ЗЗЛД, в него не е посочен процесуалният ред, по който това право може да се реализира. Използван е механизма на препращане към Административнопроцесуалния кодекс (АПК), като се има предвид реда, , предвиден в Глава единадесета "Производство за обезщетения". Според чл. 203, ал. 1 от АПК Исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на тази глава, а според ал. 2 За неуредените въпроси за имуществената отговорност по ал. 1 се прилагат разпоредбите на Закона за отговорността на държавата и общините за вреди или на Закона за изпълнение на наказанията и задържането под стража.

Предвид изложеното, настоящият съдебен състав приема, че предявения осъдителен иск е допустим и следва да бъде разгледан по същество по реда на Глава единадесета „Производство за обезщетения“ от АПК.

По основателността на иска:

Правото на защита на личните данни е основно право, регламентирано като съдържание и като защита както от норми на правото на Европейския съюз, така и от разпоредби на българското законодателство. Нарушението на правото на защита на личните данни е нарушение на лично субективно право.

Легалното определение на понятието лични данни се съдържа в чл. 4, т. 1 от ОРЗД, според което лични данни означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

Съдът посочва, че във връзка с неоторизирания достъп до лични данни на милиони български граждани, съхранявани в базите данни на НАП, Върховният административен съд на Република България е отправил преюдициално запитване до Съда на Европейския съюз като последния се е произнесъл с Решение от 14.12.2023 г. по образуваното пред него дело С-340/21. С решението е прието следното:

1) Членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32.

2) Член 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове.

3) Принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи.

4) Член 32 от Регламент 2016/679 и принципът на ефективност на правото на Съюза трябва да се тълкуват в смисъл, че за да се прецени дали са подходящи мерките за сигурност, приложени от администратора на основание на този член, назначаването на съдебна експертиза не може да представлява доказателствено средство, което системно е необходимо и достатъчно.

5) Член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен.

6) Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“ по смисъла на тази разпоредба.

Безспорно е, че ответникът е администратор на лични данни съгласно чл. 4, § 7 от ОРЗД, според който Администратор означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. В това си качество НАП следва задължително да спазва принципите, обективирани в чл. 5, § 1, букви „а“ до „е“. Необходимо е да се посочи, че принципа на цялостност и поверителност (буква „е“) изисква личните данни да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки.

С Определение № 239/22.01.2024 г., фактите, които съдът възприема за релевантни по делото, са:

При съобразяване на проведеното съдебното дирене и практиката на ВАС след постановяване на Решение на СЕС по дело С-340/21, съдът посочва, че от значение за установяване на бездействието на ответника са само нормите на чл. 24 и чл. 32 от ОРЗД, тъй като сочените в т. 1 норми от националното законодателство всъщност са позиционирани в Глава осма „Правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване“, поради което са неотносими към конкретния казус. Ищецът в своята искова молба се е позовал на извършено обработване на личните му данни от ответника НАП, което обработване не е било според него в съответствие с изискването на чл. 32, § 1, буква „б“ от ОРЗД.

Съгласно чл. 24, § 1 от ОРЗД Като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящия регламент. Тези мерки се преразглеждат и при необходимост се актуализират. Конкретизацията на тези мерки е доразвита в чл. 32, § 1 от ОРЗД, съгласно който Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: а) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването.

Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от чл. 82, § 1 от ОРЗД, т.е. при който ще бъде уважен искът на М. във връзка с твърдяното нарушение на посочените норми на чл. 24, § 1 и на чл. 32, § 1 от ОРЗД, включва претърпени материални или нематериални вреди настъпили в причинна връзка с нарушение на Регламента. В конкретния случай посоченият фактически състав действително съвпада с този по възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие, вреда и причинна връзка между но това не води до квалификация на иска като такъв с правно основание чл. 1, ал. 1 от ЗОДОВ. Следователно, съдът следва да изложи мотиви дали са налични в условията на кумулативност следните елементи: доказано нарушение на ОРЗД; настъпването на имуществена и/или неимуществена вреда и причинна връзка между настъпилата вреда в патримониума на ищеца и нарушението, като се съобрази с решението на СЕС по дело С-340/21.

Относно наличие на нарушение на ОРЗД от ответника В исковата молба се сочи като нарушена нормата на чл. чл. 32, § 1, буква „б“ от ОРЗД, която следва да се разглежда във връзка с чл. 24, § 1 от ОРЗД.

Спорът по делото не е дали администраторът на лични данни е извършил действия или е бездействал при осъществяване защитата на личните данни, а дали избраните и приложени от него организационни и технически мерки са подходящи, за да препятстват неоторизиран достъп до лични данни и тяхното незаконно обработване (така Решение № 5009/22.04.2024 г. по адм. д. 1037/2021 г. на ВАС).

В съображение 74 от ОРЗД е предвидено, че администраторът е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с този регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. В съображение 146 от ОРЗД е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите.

След оповестяване и узнаване за неоторизирания достъп, на основание чл. 22 от ОРЗД, НАП незабавно е уведомила за случая КЗЛД с писмо. Страните не спорят, че са предприети мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и са предприети мерки за преустановяване на нерегламентирания достъп. Следователно са спазени разпоредбите на чл. 33 и чл. 34 от ОРЗД, като е проведено предписаното в тях уведомяване. както на компетентните органи – КЗЛД, Прокуратура и МВР, така и на обществеността, за което по делото са налични доказателства.

На първо място трябва да се посочи, че съобразно Решение по дело С-3340/21 на СЕС (т. 1) неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32. Следователно, не е налице презумпция, че само поради осъществяване на хакерска атака, в резултат на която има нерегламентиран достъп, мерките са неподходящи.

Представените от ответника писмени доказателства (посочени от съда при изясняване на фактическата обстановка), представляващи различни по своя характер актове относно достъпа до информационните масиви на НАП и осигуряване на сигурността на съхраняваните доказват вземането на организационни мерки от страна на НАП, назад във времето. Същевременно липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните, както и че същите са актуализирани. С наличните доказателства не може да се установи, че предприетите организационни мерки са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на ОРЗД. Ответникът не сочи и взетите конкретни технически мерки за защита на личните данни, които обработва, от неправомерен достъп.

Необходима е конкретна преценка дали приложените мерки са подходящи (т. 2 от Решение по дело С-340/21 на СЕС), като един от способите за реализация на тази преценка е чрез съдебно-техническа експертиза. От заключението на вещото лице, може да се направи извод, че прилаганите мерки към момента на нерегламентирания достъп (установен на 15.07.2019 г.) не могат да се приемат като такива, които гарантират спазването на изискването на чл. 32, § 1, буква „б“ от ОРЗД относно способността на ответника за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване. Според заключението на вещото лице, което съдът цени като обективно и професионално изготвено и което е прието от страните без оспорване, процесният нерегламентиран достъп се дължи както на външна намеса, така и на вътрешните пропуски в сигурността, като липса на редовни актуализации на софтуера; неадекватни мерки за контрол на достъпа и недостатъчно обучение на персонала. Вещото лице е достигнало до извод, че личните и чувствителни данни в базата данни не са били криптирани, което е увеличило риска от изтичане, т.е. частично не е изпълнено изискването и на чл. 32, § 1, буква „а“ от ОРЗД.

В изпълнение на указанията на ВАС, дадени в Решение № 5900/17.05.2021 г. по адм. д. № 11267/2020г. по описа на ВАС, съдът е изготвил доклад по делото, обективиран в Определение № 239/22.01.2024 г. като е разпределил доказателствената тежест между страните съобразно указанията на касационната инстанция. С цитираното определение съдът е указания на ответника, а именно „Тежестта на опровергаване на твърденията в исковата молба за незаконосъобразно бездействие по т. 1 е за ответника, който е длъжен да докаже отричаното от ищеца надлежното изпълнение на задълженията. Ответникът следва да установи липса на нарушение, т.е. че не е отговорен за събитието, причинило вредата, както и че съгласно чл. 24, ал. 2 и ал. 3 от ОРЗД е предприел подходящи политики за защита данните и придържането към одобрени кодекси за поведение или одобрени механизми за сертифициране и прилагането на конкретни подходящи технически и организационни мерки, съобразени с конкретните рискове.“ При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по тази причина следва да се приеме за установено твърдението на ищеца за бездействие от страна на НАП.

Липсата на мерки е довело до техническа уязвимост на системата, което в резултат е допринесло до нерегламентирано разкриване и разпространение на личните данни на ищеца. Ако системата е била ефективно и надеждно защитена, не би се стигнало до пробива, съответно до разкриване на личните данни на ищеца. Агенцията, в качеството си на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД, при осъществяване дейността си е следвало ефективно да предприеме мерки за предотвратяване злоумишлен достъп до лични данни, включително тези на ищеца. Ответникът не е изпълнил задължението си по предотвратяване на престъплението и опазване изтичането на лични данни, като от противоправното му бездействие следва претендирания от ищеца увреждащ резултат. Поведението на НАП относно липсата на мерки е незаконосъобразно и е в противоречие с изискванията на чл. 24 и чл. 32 от ОРЗД.

Според съда независимо от приемането вътрешни правила и политики НАП не е осигурила достатъчна надеждност на информационната си система.

Вещото лице посочва, че не са открити никакви артефакти, които да доказват как и кога е била извършена атаката, но на 15.07.2019 г. това е установено от служител на агенцията, поради което следва логичния извод, че взетите мерки, установени с представените писмени доказателства за приети вътрешни правила и политики и след извършената проверка от вещото лице не гарантират, че администраторът следи за неправомерен достъп и при наличието на такъв, разбира своевременно за това. Следователно мерките са недостатъчни и неподходящи. Предприетите от ответника действия след "изтичането" на данните също не доказват ефективност на взетите мерки. Действително, която и да е информационна система не може да бъде напълно защитена от хакерски атаки, но в случая администраторът на лични данни не сочи взети подходящи мерки за защита на личните данни, които обработва.

Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 ОРЗД, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищцата и останалите физически лица. Неоснователни са доводите на ответника във връзка с производството пред Софийския районен съд по обжалване на наказателното постановление, издадено от председателя на КЗЛД, за нарушение на чл. 32, § 1, б. "б" от ОРЗД. Към настоящия момент същото е отменено с влязло в сила Решение № 1247/26.02.2024 г. по дело № 12334/2023 г. по описа на АССГ, но отмяната не е поради липса или недоказаност на нарушението, а на основание изтекла абсолютна погасителна давност.

По изложените причини съдът достига до извод, че НАП не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца, като по този начин е доказано наличието на първото изискване за уважаване на иска за обезщетение – нарушение на ОРЗД.

Относно наличие на претърпяна вреда от ищеца За да възникне правото на обезщетение по смисъла на чл. 82, § 1 от ОРЗД, ищецът следва да докаже настъпили вреди в неговия патримониум. В изпълнение на указанията на ВАС, дадени в Решение № 5900/17.05.2021 г. по адм. д. № 11267/2020г. по описа на ВАС, съдът е изготвил доклад по делото, обективиран в Определение № 239/22.01.2024 г. като е разпределил доказателствената тежест между страните съобразно указанията на касационната инстанция. С цитираното определение съдът е указания на ищеца да докаже наличието на настъпилите неимуществени вреди за него, за които претендира да бъдат репарирани от ответника. Тези вреди не се презумират. Целта на доказването на претърпените вреди е да се ангажира отговорността на администратора на лични данни и да се определи адекватно парично обезщетение.

Обезщетенията за неимуществени вреди се присъждат за конкретно претърпени физически и психически болки, страдания и неудобства, които са пряка и непосредствена последица от незаконосъобразен акт, действие или бездействие на административния орган, отменени по съответния ред. Поради характера на неимуществените вреди те могат да се търпят само от физическо лице, чиято психика и здраве са засегнати неблагоприятно от административна дейност. В случая засягането на ищеца в гореописания аспект е доказано, което обосновава основателност на претенцията за обезщетение. В исковия процес върху ищеца лежи доказателствената тежест, т. е. той трябва с допустимите доказателства и доказателствени средства да докаже претърпени неимуществени вреди, като докаже, че те са пряка и непосредствена последица от извършеното нарушение, в конкретния случай нарушение на ОРЗД. Неимуществените вреди във всички случаи трябва да са действително настъпили и да са установени с конкретни доказателства по делото, а не с общи твърдения и квалификации, тъй като за всеки отделен човек те са индивидуално определяеми и съдът не може да предполага тяхното настъпване. Болките и страданията са строго индивидуални и зависят от субективното отношение на всяко лице към определено поведение, като е необходимо то да е конкретно установено. В случая, преживените неимуществени вреди не могат да се предполагат, а още по малко - да се приемат за доказани, само на база обстоятелството, че тези вреди настъпват в резултат на неправомерния достъп до лични данни, поради твърдяното бездействие на администратора за предприемането на подходящите и ефективни организационни и технически мерки. В тежест на ищеца е да докаже дали са настъпили и в какво се изразяват негативните му преживявания, за да се приеме за основателна и доказана претенцията за обезщетение за причинени неимуществени вреди.

С Решение по дело С-300/21, СЕС приема следното:

1. Член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение.

2. Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост.

3. Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза.

За да може да се приложи принципа на равностойност и ефективност ищецът следва да посочи и докаже неимуществените вреди.

ОРЗД не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82 от ОРЗД, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение № 5009/22.04.2024 г. по адм. д. № 1037/2021 г. на ВАС).

По делото са събрани гласни доказателства, от които безспорно се установява, че след узнаване за изтичане на негови лични данни е настъпила значителна промяна в поведението на ищеца М. – свидетелят, като служител в едно от дружествата на ищеца, следвало да проверява дали в банкиранията има нерегламентирани движения, данни за дружествата на М. и други, като проверките са правени по указания на ищеца по няколко пъти на ден, а впоследствие след около от 3, 4, 5 месеца започна да се разрежда като искане, но в общи линии докъм края на 2019 г. правили проверки един или два пъти в седмицата. Свидетелят посочва още, че в началото М. бил доста раздразнителен, свидетелят не можел да комуникира особено много във връзка с работата; правил непрестанно справки. Съдът намира, че показанията са последователни и ясни като отразяват лични и непосредствени възприятия на свидетеля за поведението на ищеца.

За доказване на настъпилите неимуществени вреди, ищецът се е подложил на съдебно-психологична експертиза, извършена от вещо лице, доктор по психология, специалист по клинична и съдебна психология към Центъра за психично здраве Русе. Доц. К. е категорична и в заключението си, и при отговорите на въпроси в съдебно заседание, че стресът е оказал влияние върху психологичното състояние на ищеца, като е довел до състояние на дистрес, тъй като събитието е имало стресогенен характер и е създал емоционален дисбаланс - затвореност, неконтактност спрямо обичайното му поведение. Вещото лице посочва, че при разглеждане на клиничните маркери - повишената тревожност, повишените нива на безпокойство, натрапливите мисли й социалното дистанциране като симптоми на наличие на депресивен фон счита, че е съществувала възможност за преживяване на състояние на лека депресивна форма като реакция на личността към стресогенното събитие.

При съобразяване показанията на вещото лице по съдебно-психологическата експертиза, съдът кредитира показанията на свидетеля като достоверни, защото същите сочат за отрицателни преживявания и негативно емоционално състояние на ищеца, което е провокирано от нарушението на ОРЗД при обработване на личните му данни от ответника, в качеството му на администратор на лични данни.

Задължително следва да се посочат и обясненията, които самият ищец даде в съдебно заседание относно преживяните от него отрицателни емоции във връзка с изтичането на личните му данни, като следва да се наблегне на факта (доказан и от съдебно-психологическата експертиза), че най-големите страхове са свързани с възможността на база изтеклата финансова информация да се стигне до отвличане на ищеца и/или детето му.

Съгласно т. 6 от Решение по дело С-340/21 на СЕС, Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“ по смисъла на тази разпоредба.

При съобразяване с така посоченото решение на СЕС се достига до извод, че страхът, изпитван от субект на данни по отношение на възможна злоупотреба с неговите лични данни от трети лица в резултат на нарушение на ОРЗД, може да се квалифицира като неимуществена вреда, без да е необходимо каквото и да е активно поведение на пострадалото лице, нито доказване, че притежава някакво имущество, заради възможността от възлагане на чужди задължения. В случая следва да се отчетат характера на обществените отношения по обработването на лични данни, динамиката на тези данни в обществото и със самия характер на личните данни като дълбоко свързани с персоналната идентичност на субекта, която свързаност е до степен, че дори вероятността за тяхното разкриване винаги има за резултат чувствително засягане психическото и емоционално състояние на субекта. Това засягане има негативен характер, защото последицата от неправомерното обработване е засягане правата и свободите на личността. Нематериалните вреди настъпват в резултат от нарушаването сигурността на данните, като в съображения 146 от Регламента е посочено, че понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. Нематериални вреди са налице и при преживени отрицателни, негативни състояния, свързани с притеснения от допуснатия пробив в сигурността на обработване на личните данни, като същите не са хипотетични и евентуални, както поддържа НАП, нито е необходимо да бъде доказан реален страх от реална съществуваща заплаха от увреждане на имущество или претърпяна реална вреда. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо - личните данни, е достатъчно, за да се ангажира отговорност на администратора на лични данни, който има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основни права (Решение № 5915 от 15.05.2024 г. на ВАС по адм. д. № 4321/2021 г.; Решение № 6444 от 27.05.2024 г. на ВАС по адм. д. № 4676/2021 г.; Решение № 6839 от 05.06.2024 г. на ВАС по адм. д. № 12914/2020 г. и др.) В този смисъл следва да се приемат за доказани претърпените от ищеца болки и страдания от категорията на обичайната реакция на страх, т. е. налице е негативно засягане на личността от неправомерното развитие на процесните обществени отношения. С оглед спецификата на непозволеното увреждане в резултат на неправомерно обработване на лични данни на засегнатия субект, следва да се обезщетят причинените неимуществени вреди, изразяващи се в притеснението от бъдещи евентуални злоупотреби с личните данни на ищеца.

Тук е мястото да се разгледа възражението на ответника, че личните данни на М. са били известни, защото същите са вписани по партиди на различни търговски дружества, които са негови собствени/управлява или по друга причина, поради което не следва да се приеме, че той е изпитвал притеснения и опасения. Съдът не е съгласен с това твърдение по причина, че освен данни за ЕГН и имената на ищеца, нерегламентиран достъп е имало до различна данъчна информация в широк обхват от 2003 г. до 2018 г., която не е била публично достъпна и именно от която според собствените на ищеца обяснения в съдебно заседание той се притеснява.

Друго възражение на ответника е, че не е било необходимо смяна на личната карта на ищеца и преместването му на друг адрес, тъй като такива данни не са изтекли. Съдът не е съгласен с това твърдение. Съгласно чл. 11, ал. 1 от Закона за гражданската регистрация Единният граждански номер (ЕГН) е административен идентификатор на подлежащите на регистрация физически лица съгласно чл. 3, ал. 2. Това е уникален номер, чрез който физическите лица се определят еднозначно. Следователно, дори само изтичане на ЕГН на едно физическо лице е достатъчно нарушаване на неговите лични данни, тъй като то може повсеместно да бъде идентифицирано. Отделно от това, с издаването на нова лична карта и преместването на друг адрес ищецът е проявил активност в защита на собствените си права, която не би се наложило да прояви, ако не бяха изтекли негови лични данни. Евентуалното предприемане на активно поведение е средство за предотвратяване на евентуални неблагоприятни последици за лицето от неправомерния достъп до личните му данни. Но липсата на такова не води до извод за липса на действително преживени негативни емоции. Дори само вероятността от злоупотреба с разкритите данни има за резултат чувствително засягане психическото и емоционално състояние на субекта на данните.

Предвид изложеното съдът приема, че е налице и втората предпоставка за уважаване на предявения иск - ищецът при условията на пълно и главно доказване е обосновал настъпването на неимуществените вреди, които твърди в исковата молба, че е преживял.

Относно наличие на причинна връзка.

Установява се наличието и на третия елемент - причинна връзка между незаконосъобразното нарушаване на ОРЗД и причинената неимуществена вреда. Ответникът чрез бездействие за внедряване на подходящи технически и организационни мерки не е изпълнил по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица, което е нарушение на чл. 32, § 1 от ОРЗД и това е в пряка причинна връзка с негативните преживявания на ищеца. Ако ответникът не беше допуснал неправомерния достъп до личните данни, ищецът не би преживял негативните емоции. Пряката причинна връзка между противоправното бездействие на ответника и настъпилата за ищеца вреда не се прекъсва от начина, по който той е узнал за неправомерния достъп.

Относно претендираното от ищеца обезщетение От събраните по делото доказателства може да се направи категоричен извод за наличие трите предпоставки за основателност на иска по чл. 82 от ОРЗД - допуснато от администратора на данни нарушение на ОРЗД, наличие на нематериална вреда и причинна връзка между претърпяната вреда и нарушението на ОРЗД.

Съгласно т. 3 от Решение по дело С-300/21 на СЕС, Член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В националното законодателство този въпрос е регламентиран от нормата на чл. 52 от Закона за задълженията и договорите, съгласно който Обезщетение за неимуществени вреди се определя от съда по справедливост. Ищецът е заявил претенция ответникът да бъде осъден да му плати обезщетение в размер на 1, 00 (един лев), заедно със законната лихва от датата на предявяване на иска до окончателното изплащане на обезщетението.

Съдът счита, че така претендирания размер на обезщетението е определен от ищеца съобразно собственото му чувство за справедливост, поради което следва да присъди претендираното обезщетение в пълен размер.

При уважаване на главния иск, следва да се уважи и акцесорния иск за присъждане на лихва върху размера на присъденото определение. Ищецът е поискал присъждане на лихва от датата на предявяване на иска - 14.02.2020 г., което искане също следва да бъде уважено.

В този смисъл е константната практика на ВАС, като например Решение № 3871/02.04.2024 г. на ВАС по адм. д. № 4889/2023 г.; Решение № 3874 /02.04.2024 г. на ВАС по адм. д. № 2075/2021 г.; Решение № 5001/ 19.04.2024 г. на ВАС по адм. д. № 2816/2021 г., Решение № 5006/22.04.2024 г. на ВАС по адм. д. № 13701/2020 г.; Решение № 5009/22.04.2024 г. на ВАС по адм. д. № 1037/2021 г.; Решение № 5374/30.04.2024 г. на ВАС по адм. д. № 4598/2021 г.; Решение № 5561/08.05.2024 г. на ВАС по адм. д. № 5576/2022 г.; Решение № 5605/08.05.2024 г. на ВАС по адм. д. № 10860/2021 г.; Решение № 5672/ 09.05.2024 г. на ВАС по адм. д. № 2895/2021 г.; Решение № 5667/09.05.2024 г. на ВАС по адм. д. № 4248/2021 г.; Решение № 5782/13.05.2024 г. на ВАС по адм. д. № 1455/2021 г.; Решение № 5915/15.05.2024 г. на ВАС по адм. д. № 4321/2021 г.; Решение № 6436/27.05.2024 г. на ВАС по адм. д. № 10069/2021 г.; Решение № 6444/27.05.2024 г. на ВАС по адм. д. № 4676/2021 г.; Решение № 6684/ 03.06.2024 г. на ВАС по адм. д. № 6491/2021 г.; Решение № 6750/04.06.2024 г. на ВАС по адм. д. № 973/2021 г., Решение № 6757/04.06.2024 г. на ВАС по адм. д. № 974/2021 г.; Решение № 6761/04.06.2024 г. на ВАС по адм. д. № 2161/2021 г.; Решение № 6813/04.06.2024 г. на ВАС по адм. д. № 12800/2020 г., Решение № 6839/05.06.2024 г. на ВАС по адм. д. № 12914/2020 г.; Решение № 6844/ 05.06.2024 г. на ВАС по адм. д. № 1970/2021 г.; Решение № 6849/05.06.2024 г. на ВАС по адм. д. № 1688/2022 г.; Решение № 6852/05.06.2024 г. на ВАС по адм. д. № 4672/2021 г.; Решение № 7002/07.06.2024 г. на ВАС по адм. д. № 4239/2021 г.; Решение № 7183/11.06.2024 г. на ВАС по адм. д. № 1963/2022 г.; Решение № 7236/12.06.2024 г. на ВАС по адм. д. № 2296/2021 г., Решение № 7240/12.06.2024 г. на ВАС по адм. д. № 2209/2021 г.; Решение № 7241/12.06.2024 г. на ВАС по адм. д. № 1735/2022 г.; Решение № 7258/12.06.2024 г. на ВАС по адм. д. № 4931/2021 г.; Решение № 7388/14.06.2024 г. на ВАС по адм. д. № 2532/2021 г.; Решение № 7442/17.06.2024 г. на ВАС по адм. д. № 9906/2022 г.; Решение № 7490/18.06.2024 г. на ВАС по адм. д. № 2212/2021 г.; Решение № 7500/18.06.2024 г. на ВАС по адм. д. № 6376/2021 г.; Решение № 7567/19.06.2024 г. на ВАС по адм. д. № 11006/2021 г.; Решение № 7775/24.06.2024 г. на ВАС по адм. д. № 5521/2021 г.; Решение № 781625.06.2024 г. на ВАС по адм. д. № 2822/2021 г.; Решение № 7896/26.06.2024 г. на ВАС по адм. д. № 6020/2021 г.; Решение № 7900/26.06.2024 г. на ВАС по адм. д. № 913/2021 г.; Решение № 7912/ 26.06.2024 г. на ВАС по адм. д. № 1736/2022 г. и др. При така изложените мотиви, настоящият съдебен състав намира, че исковата претенция е напълно доказана по основание и размер, поради което следва да се уважи иска относно сума в размер 1, 00 лева заедно със законна лихва, считано от 14.02.2020 г. до окончателното изплащане на обезщетението.

По делото искане за присъждане на разноски е направено от двете страни.

Относно разноските на ищеца съдът намира следното: Процесуалният представител на ищеца претендира присъждане на разноски по представен списък, в който са включени възнаграждение за един адвокат по настоящото дело в размер на 800, 00 лева по сключен Договор за правна защита и съдействие от 06.03.2024 г. Предвид изхода на спора и на основание чл. 10, ал. 3, изречение второ от ЗОДОВ съдът следва да осъди ответника да заплати на М. сторените разноски. В представения списък за разноски е заявен е претенция за присъждане на адвокатско възнаграждение в размер на 840, 00 лева за разглеждане на делото по адм. д. № 115/2020 г. Съгласно чл. 226, ал. 3 от АПК Съдът се произнася и по разноските за водене на делото във Върховния административен съд. Съдът намира искането за основателно и следва да осъди ответника за сумата от 1 640 лева.

Заявеното искане от ответника за присъждане на юрисконсултско възнаграждение следва да бъде оставено без уважение предвид изхода на спора.

Мотивиран от изложеното и на основание чл. 203 и сл. от АПК, Административен съд - Русе, четвърти състав,