Решение № 19021 от 7.10.2024 г. на Административен съд - София-град по дело № 5907/2024 г.

ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на М. С. Х., с ЕГН [ЕГН], от [населено място] сумата от 500, 00 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата, КАТО ОТХВЪРЛЯ иска за разликата до пълния претендиран размер от 1 000 лв. като неоснователен и недоказан. ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на М. С. Х., с ЕГН [ЕГН], от [населено място] сумата от 17, 50 лв., направени разноски за държавни такси, съобразно уважената част от иска. ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на адв. С. Ю. сумата от 600 лв. за оказана безплатна защита и съдействие на М. С. Х., съобразно уважената част от иска, по настоящето дело, както и по адм.д. № 2060/2020 г. на АССГ, по адм.д. № 972/2021 г. на ВАС, V отд. по касационна жалба. ОСЪЖДА М. С. Х., с ЕГН [ЕГН], от [населено място] ДА ЗАПЛАТИ на Национална агенция за приходите сумата от 50, 00 лв. разноски за юрисконсулт, съобразно отхвърлената част от иска. РЕШЕНИЕТО подлежи на обжалване, с касационна жалба, пред Върховния административен съд, в 14-дневен срок от съобщаването му. Препис от решението да се изпрати на страните по спора. СЪДИЯ: Производството по делото е по реда на чл. 203 от АПК, вр. чл. 1, ал. 2 от ЗОДОВ. Производството по делото е образувано във връзка с решение № 6544/29.05.2024 г., постановено по адм.д. № 972/2021 г. по описа на ВАС, V отд., с което е отменено решение № 6954/04.12.2020 г., постановено по адм.д. № 2060/2020 г. по описа на АССГ, с което е отхвърлен предявения от М. С. Х. от [населено място] иск срещу Националната агенция за приходите, с който се моли за присъждане на обезщетение за претърпени от ищцата неимуществени вреди в размер на 1000 /хиляда/ лева, ведно със законната лихва върху претендираното обезщетение за периода от 15.07.2019 г. до окончателното изплащане на вземанията, като са дадени задължителни указания при новото разглеждане на делото свързани с разпределяне на доказателствената тежест и фактическите установявания, следствие на разпределяне на доказателствената тежест. Образувано по подадена от М. С. Х., с ЕГН [ЕГН], от [населено място], чрез адв. Ю. искова молба срещу Национална агенция по приходите, с правно основание чл. 82, § 1 вр. § 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО, с която се моли за осъждане на ответника да заплати на ищеца сумата от 1 000 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал.1 от ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата. Претендира разноски. В исковата молба са изложени съображения за това, че в следствие на неправомерно изтичане на лични данни от базата данни на НАП, сред които и такива на ищеца, за него възникнали и той претърпял неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019 г. Отговорността на ответника НАП е ангажирана в качеството й на администратор на лични данни, с твърдение, че чрез бездействието си, е допуснала нарушения на чл. 24 и чл. 32 GDPR и чл. 59, ал. 1 от ЗЗЛД, нарушила е и разпоредбите на чл. 45, ал. 1, т. 6 ЗЗЛД, като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки; чл. 64 от ЗЗЛД, като намира, че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл. 66, ал. 1 и ал. 2 от ЗЗЛД; чл. 67 и чл. 68 от ЗЗЛД. Конкретно за претърпените от ищцата вреди посочва, че тя се е почувствала застрашена от неправомерното използване на личните данни за неправомерни цели, изпитала притеснение, страхува се, че с личните й данни ще бъде злоупотребено. Притеснява се да не бъде отчуждено имуществото й, да не бъде злоупотребено с банковите й сметки или да не бъдат изтеглени кредити от нейно име. Посочва, че в медиите е срещнала редица различни начини, как биха могли да бъдат използвани личните й данни, които са доста стресиращи. Всичко изложено изключително е стресирало ищцата, почувствала се възмутена от допуснатия голям пробив в информационната система на НАП. Това я е натоварило психически, откакто е разбрала, че и нейни лични данни са изтекли, живее в постоянен страх и притеснение, чувства се незащитена от държавата. Това повлияло на нормалния й ритъм на живот, на отношението с хората, на ежедневието й, затворила се в себе си, ограничила контактите си с хората. Чувства се изключително напрегната, стресирана и уплашена. Страхува се от физически нападения, заплахи, изнудвания, отвличания и др. В съдебно заседание не се явява и не се представлява. В молба, депозирана преди съдебното заседание, адв. Ю., като пълномощник на ищцата, заявява, че поддържа исковата молба и моли за осъждане на ответника да й заплати претендираната сума. Посочва, че бездействието на ответника се изразява в това, че не е предприел мерки да гарантира в достатъчна степен и достатъчно ниво на сигурност при обработването на нейните лични данни, което бездействие е довело до неразрешено разкриване или достъп до личните данни на ищцата. В срока по чл. 131 ГПК е постъпил отговор от ответната Национална агенция за приходите, като е оспорила исковата молба като недопустима, а евентуално неоснователна. За недопустимост на иска сочи, че ЗОДОВ е приложим само за имуществени вреди, а с исковата молба се претендират неимуществени. Също така, счита, че докато не се разреши въпроса относно издаденото срещу НАП НП № 004/28.08.2019 г., искът не може да се разглежда. Излага съображения за неоснователност на предявения иск, както по основание, така и по размер, тъй като не е ясно от кой конкретно акт на НАП или на нейни органи са настъпили вредите. Счита за неоснователното възражение за неполагане на достатъчна грижа от страна на НАП за защита сигурността на данните. Твърди, че нерегламентираният достъп до информационната система на НАП е в следствие на престъпление. Веднага след узнаването за този нерегламентиран достъп, НАП е предприела незабавни мерки за сигурност и преустановяването му. Счита, че не са налице данни да се приеме, че този неоторизиран достъп е резултат от действия или бездействия на НАП или нейни органи/служители. Счита за неоснователни твърденията на ищцата за претърпени от нея неимуществени вреди, изразяващи се в страх и притеснение. Посочва, че са информирани гражданите, които са с най-голям обем на достъпена информация, независимо, че тази информация е частична и за да се използва злонамерено е необходимо допълнително да бъде обработена. Моли за отхвърляне на иска. Претендира присъждане на юрисконсултско възнаграждение. В съдебно заседание не се представлява. Административен съд София-град, в настоящия съдебен състав, след като обсъди доводите на страните и прецени по реда на чл. 235, ал. 2 от ГПК, във вр. с чл. 144 от АПК приетите по делото писмени доказателства, приема за установено от фактическа страна следното: Безспорно по делото е, че поради нерегламентиран достъп, в следствие на умишлени престъпни действия от страна на неизвестно лице, осъществен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. По делото се представи извадка от получен SMS, със следното съдържание: „НАП: По заявка номер 2537 ИМА неправомерно разкрити лични данни“. Установява се, че СМС е получен от телефонен номер 1917, но не е посочено лицето, за което е направена справката по посочената заявка. Ответникът не оспорва фактът, че по отношение на ищеца М. С. Х. са налице неправомерно разкрити лични данни. В хода на съдебното производство по искане на ищцата е представена справка от НАП от 14.07.2020 г. от която е видно, че за идентификатор [ЕГН] /ЕГН на ищцата М. С. Х./ са разкрити лични данни, които включват ЕГН и имена. Със Заповед №ЗЦУ-733/17.06.2016 г. на Изпълнителния директор на НАП са утвърдени „Процедури с приложения към тях на отдел „Превенция на финансовата и информационна система“ в Инспекторат на НАП, „Вътрешни правила за мрежовата и информационна сигурност, а именно: Правила за ползване на електронна поща и Интернет в НАП, версия 3.0; Правила за ползване на мрежови файлови ресурси в НАП, версия 2.0; Правила за правата и задълженията на потребителите, ползващи информационни активи в НАП, версия 2.0; Правила за работа от разстояние в НАП, версия 2.0; Правила за работа с преносими информационни активи в НАП, версия 2.0; Правила за управление на достъпа до информационни активи и услуги в НАП, версия 2.0. Със същата заповед е утвърдена и „Политика по информационна сигурност на НАП“, версия 3.0. Със Заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. Със Заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП е утвърдена Политика по защита на личните данни в НАП, както и е наредено на директора на Дирекция Комуникации и протокол да предприеме необходимите действия за популяризиране на политиката. Със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП. Утвърдена е Политика по информационна сигурност на НАП. Приета е Методика за оценка на риска, версия 1.1, към 11.2015 г., представляваща приложение № 3 към Процедура ПФИС 7. В НАП е утвърдена Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Представено е Удостоверение на Изпълнителния директор на НАП, видно от което е, че във връзка с извършения неоторизиран достъп до информационната система на НАП и последвалото неправомерно разпространение на лични данни, в периода от 15.07.2019 г. до 09.07.2020 г. включително, няма служители от дирекция „Информационни системи и моделиране на бизнес процеси“ в ЦУ на НАП и от отдел „Информационни системи“ в ТД на НАП с наложено дисциплинарно наказание „Уволнение“, на основание чл. 90, ал. 1, т. 5 от ЗДСл и чл. 188, т. 3 от КТ. Видно от предоставена от КЗЛД информация е, че в КЗЛД, към 09.10.2019 г. не е установено наличието на висящо или приключило производство пред комисията, инициирано от М. Х. срещу НАП. Също така, на съда е служебно известно, че в хода на извършена проверка от страна на КЗЛД е установено, че при осъществяване на дейността си, НАП в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. За това, председателят на КЗЛД е издал НП № 004/28.08.2019 г., издадено от председателя на Комисия за защита на личните данни на НАП за нарушение на чл. 32, §1, б. Б от регламент /ЕС/ 2016/679. НП не е влязло в сила, предвид оспорването му пред СРС. СРС се е произнесъл с решение от 26.10.2023 г., постановено по н.а.х.д. № 14811/2019 г. по описа на СРС, с което е потвърдил оспореното НП. С решение № 1247/26.02.2024 г., по адм.д. № 12334/2023 г. на АССГ, съдът е отменил решението и СРС и отменил НП, поради изтекла погасителна давност. Отделно от това, предвид констатирани нарушения с решение № ППН-02-399/22.08.2019 г. по описа на КЗЛД, на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки. Решението също е оспорено, пред АССГ. АССГ е постановил решение № 565/02.02.2023 г., по адм.д. № 10477/2019 г., с което е отменил решението на КЗЛД, в частта му относно Разпореждания № 7, 14, 15 изцяло, Разпореждане № 5 в частта му: "Да се предприемат небходимите действия за създаването на одитни записи на отделните събития и дневници /журнали/ за привилегированите потребители" и Разпореждане №16, в частта му относно "повторното използване на такива данни". Жалбата на НАП в останалата й част е отхвърлена. Решението на АССГ е оспорено пред ВАС от НАП в отхвърлителната му част, като ВАС с решение № 1398/07.02.2024 г., по адм.д. № 3781/2023 г. е отменил решението на АССГ в обжалваната му отхвърлителна част и е върнал делото за ново разглеждане от друг състав. Към момента новообразуваното дело № 1558/2024 г. по описа на АССГ е висящо. За доказване на претърпени неимуществени вреди от страна на Х., по делото са събрани и гласни доказателства, като в качеството й на свидетел е разпитана В. В. К. - Х. – снаха на ищцата. Свидетелят посочва, че след като разбрали за изтичането на личните данни, изпратили СМС и установили, че има изтичане на техни лични данни, на нея и на майка й. Свекърва й се притеснила да не вземат от нейно име кредит от банка и да не започне някой да я изнудва. Наложило се да приема медикаменти за намаляване на тревожността. Това продължило доста време, дори и понастоящем се сещала за това нещо и продължавала да го коментира. При така установените факти, АССГ е постановил решение № 6954/04.12.2020 г., постановено по адм.д. № 2060/2020 г. с което е отхвърлен предявения от М. С. Х. иск срещу Националната агенция за приходите, за присъждане на обезщетение за претърпени от ищцата неимуществени вреди в размер на 1000 /хиляда/ лева, ведно със законната лихва върху претендираното обезщетение за периода от 15.07.2019 г. до предявяването на исковата молба на 16.09.2019 г. След оспорване на решението във ВАС, съдът с решение № 6544/29.05.2024 г., постановено по адм.д. № 972/2021 г. по описа на ВАС, V отд., е отменил оспореното решение на АССГ, като са дадени задължителни указания при новото разглеждане на делото свързани с разпределяне на доказателствената тежест. Поради отправено преюдициално запитване от ВАС до СЕС и образувано там дело № С-340/2021 г., производството по адм.д. № 972/2021 г. по описа на ВАС, V отд. е било спряно. По приюдициалното запитване беше постановено решение от 14.12.2023 г. на трети състав на СЕС, след което производство пред ВАС е възобновено и постановено отменителното решение, в следствие на което е образувано настоящето дело. Пред настоящата инстанция, освен събраните и приобщени по адм.д. № 2060/2020 г. доказателства, не са представени и приети други писмени и гласни доказателства. При така установените факти, настоящия съдебен състав на АССГ, достигна до следните правни изводи: Предмет на разглеждане са обективно и субективно съединени искове /за главница и лихва/, предявени от М. С. Х., с които моли съда да осъди Национална агенция за приходите да заплати на ищеца сумата от 1 000 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, за периода от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал.1 от ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата. По допустимостта и процесуалния ред за разглеждане. Съдът намира подадената искова молба за допустима и като такава следва да бъде разгледана по същество. Същата касае твърдение за претърпени неимуществени вреди от незаконосъобразно бездействие от страна на ответника, довело до неимуществени вреди за ищеца. По отношение допустимостта и реда за разглеждане на предявените искове за обезщетение и лихва върху главницата, се е произнасял ВАС в константната си практика по повод многобройните дела по идентични казуси като е приел, че процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди, поради неправомерно обработване на личните му данни, е уреден в глава ХІ "Производство за обезщетения" от АПК. В зависимост от правната характеристика на източника, от който се претендират вреди – административен акт, действие или бездействие, в чл. 204, ал. 1 – 4 от АПК законодателят е предвидил различни процесуални възможности за реализиране на правото на обезщетение, а именно след отмяна на административния акт по съответния ред – чл. 204, ал. 1 от АПК; при предявяване на претенцията за обезщетение в производството по оспорване на административния акт – чл. 204, ал. 2 от АПК; при установяване на незаконосъобразността на акт, който е нищожен или оттеглен в производството по иска за обезщетение – чл. 204, ал. 3 от АПК и при установяване на незаконосъобразността на действието или бездействието от съда, пред който е предявен искът за обезщетението – чл. 203, ал. 4 от АПК. Освен това, в решение № 6544/29.05.2024 г., постановено по адм.д. № 972/2021 г. по описа на ВАС, V отд. се намират също мотиви за допустимост на исковата претенция и реда, по който същата следва да се разгледа. Тъй като в настоящия случай вредите се претендират от незаконосъобразно бездействие на администратора на лични данни, незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение – чл. 204, ал. 4 от АПК. Съгласно чл. 203, ал. 2 от АПК, за неуредените въпроси за имуществената отговорност по ал. 1 се прилагат разпоредбите на ЗОДОВ. В допълнение, в сила е чл. 203, ал. 3 (нова) АПК, ДВ, бр. 94 от 29.11.2019 г., съгласно която по реда на глава единадесета се разглеждат и исковете за обезщетения за вреди, причинени от достатъчно съществено нарушение на правото на Европейския съюз, като за имуществената отговорност и за допустимостта на иска се прилагат стандартите на извъндоговорната отговорност на държавата за нарушение на правото на Европейския съюз, а съгласно чл. 2в ЗОДОВ, ДВ, бр. 94 от 2019 г., когато вредите са причинени от достатъчно съществено нарушение на правото на Европейския съюз, исковете се разглеждат от съдилищата по реда на АПК за вреди по чл. 1, ал. 1 ЗОДОВ. Предвид изложеното, настоящият съдебен състав приема подадените искове за допустими и като такива следва да бъдат разгледани по същество и по реда на глава ХІ АПК, вр. чл. 1, ал. 1 от ЗОДОВ. По същество на исковата претенция. Както се посочи, съгласно разпоредбата на чл. 203 от АПК гражданите и юридическите лица могат да предявят искове за обезщетение за вреди, причинени им от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица. Идеята е неблагоприятните последици от евентуално положително за увредения решение, да бъдат понесени от бюджета на това учреждение, в чиито състав са причинителите на вредите. Съдът приема, че тъй като твърденията са за вреди, причинени от незаконосъобразно бездействие на служители на НАП, пасивно легитимиран по иска с правно основание чл. 1, ал. 1 от ЗОДОВ е именно Национална агенция за приходите. Отговорността по ЗОДОВ е деликтна, като се отличава от общата деликтна отговорност досежно деликвента, както и досежно спецификата на причинната връзка - вредите трябва да са причинени при или по повод упражняване на административна дейност. За противоправността, вината и вредите приложимият материален закон не установява отклонения от общия състав на деликтната отговорност. Ищцата претендира присъждане на обезщетение за претърпени от нея неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се неизпълнение на задължения, произтичащи от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. Основателността на иск с правно основание чл. 1, ал. 1 от ЗОДОВ, касаещ претенция от незаконосъобразно бездействие предполага установяването на кумулативното наличие на следните предпоставки: незаконосъобразно бездействие на орган или длъжностно лице на държавата, при или по повод изпълнение на административна дейност; вреда от такова бездействие и причинна връзка /пряка и непосредствена/ между незаконосъобразното бездействие и настъпилия вредоносен резултат. При липса на някой от елементите на посочения фактически състав не може да се реализира отговорността на държавата по посочения ред. Съгласно чл. 204, ал.4 АПК, незаконосъобразността на бездействието се установява от съда, пред който е предявен иска за обезщетение. Съдът намира, че е налице първата предпоставка на визираната в чл. 1, ал.1 от ЗОДОВ хипотеза, а именно налице е незаконосъобразно бездействие от страна на държавен орган да изпълни вменено му от чл. 59, ал.1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Легално определение на термина „бездействие“ липсва. Под „действие“, респективно „бездействие“, следва да се разбира всяко такова, извършено от държавен орган или длъжностно лице, което не е юридически акт, а тяхна физическа изява, но не произволна, а в изпълнение или съответно неизпълнение на определена нормативна разпоредба. Предмет на защита в производството по чл. 256 от АПК е бездействието на административния орган когато последният е задължен да извърши определени действия по силата на нормативен акт. Не всяко неизпълнение на задължение на административен орган представлява бездействие по смисъла на чл. 256, от АПК, а само неизвършването на фактически действия, при наличието на нормативно установено задължение за извършване на такива. Съставомерно в този случай е липсата на активно поведение /бездействие/ на компетентен орган да извърши конкретни фактически действия. Освен това, с решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г. на СЕС, съдът приема, че чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32. Чл. 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове. Принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. Следва да се има предвид и, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент. От твърденията в исковата молба, както и от събраните по делото доказателства, се установява, че конкретното бездействие, от което се твърди, че са претърпени вредите е изтеклата на 15.07.2019 г., вследствие нерегламентиран достъп и престъпно деяние от неизвестно лице, от електронните масиви на НАП, информация съдържаща лични данни на ищеца. В резултат на неоторизирания достъп до сървъра на НАП, съдържащ информация относно личните данни на ищеца, се създали притеснения и опасения у последния, да не бъде злоупотребено с тях. По факта, че на посочената дата, поради нерегламентиран достъп, е изтекла информация от информационните масиви на НАП, съдържаща лични данни на ищцата, по делото не се спори. По делото се представи извадка от получен SMS, със следното съдържание: „НАП: По заявка номер 2537 ИМА неправомерно разкрити лични данни“. Ответникът не оспорва фактът, че по отношение на ищцата М. Х. са налице неправомерно разкрити лични данни. От представената справка от НАП от 14.07.2020 г. е видно, че за идентификатор [ЕГН] /ЕГН на ищцата М. С. Х./ са разкрити лични данни, които включват ЕГН и имена, т.е. конкретния обем на достъпената информация. Т.е., безспорно се установява, че по отношение на ищцата има неправомерно достъпени лични данни. Според чл. 59 ал. 1 от ЗЗЛД, администраторът на лични данни, в случая НАП, като отчита естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този закон. При необходимост тези мерки се преразглеждат и актуализират. Същото задължение се съдържа и в чл. 24 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, а в чл. 32 са предвидени конкретните мерки които следва да се предприемат. Обстоятелството, че е изтекла информация от сървърите на НАП, който факт е безспорен по делото, вследствие неоторизиран достъп безспорно, според настоящият състав на съда сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по см. на § 1 т. 4 от ДР на ЗЗЛД, вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т.ч. правото на защита на личните им данни. С оглед дадените от СЕС по преюдициалното запитване и от ВАС с отменителното решение указания, както и с оглед законово дължимото поведение от ответника, настоящият съдебен състав е разпределил доказателствената тежест между страните с определението за насрочване на делото от 18.06.2024 г., като е изготвил проекто-доклад, който като неоспорен от страните, е обявен за окончателен. С този доклад е възложил в тежест на ответника да установи липсата на нарушение по смисъла на регламента и липсата на причинна връзка с твърдените вреди. В тежест на ответника е да установи, че е приложил мерки за сигурност на личните данни, както и че тези мерки за сигурност по чл. 32 от Регламента са подходящи. Също така, му е указал, че са необходими специални знания за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни; има ли нерегламентиран достъп; по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни; изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса; какви технически мерки са предприети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било предотвратяването на изтичането на данни. Тъй като, с оглед разпределената доказателствена тежест, ответникът не прояви активност да докаже изпълнение на законовото си задължение, че приложените от него мерки за сигурност на личните данни по чл. 32 от Регламента са подходящи, настоящият съдебен състав намира, че недоказан по делото остава фактът, че извършените от него действия, за които ангажира само писмени доказателства, са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищцата. Като последицата от това поведение на ответника следва да се приеме за установен по делото на първия елемент от фактическия състав на предявения иск бездействие за точно изпълнение на задължението по чл. 59 от ЗЗЛД и чл. 32 от Общия регламент относно защита на данните, а именно приложени от администратора на лични данни подходящи организационни и технически мерки за осигуряване на ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. НАП, в качеството си на администратор на лични данни по смисъла на чл. 4, т. 7 от Регламент ЕС 2016/679, при осъществяване на дейността си, е следвало да предприеме ефективни мерки за предотвратяване злоумишлен достъп до личните данни на ищеца. В процесния случай това не е постигнато. Ответникът не е изпълнил задължението си по предотвратяване на престъпление и опазване изтичането на лични данни, като от незаконосъобразното му бездействие следва твърдения от ищеца увреждащ резултат. Бездействието на НАП е незаконосъобразно, противоречи на нормативни изисквания на чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. В случая са ирелевантни доводите на ответника, че след 15.07.2019 г., когато е осъществен нерегламентирания достъп, НАП е предприела мерки за защита личните данни. Предвид изложеното, настоящия съдебен състав приема, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Втората предпоставка за ангажиране на отговорността на НАП е наличие на претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие. Ищцата твърди, че е преживяла стрес, безпокойство, притеснение, почувствала се е застрашена от изтегляне на кредит от нейно име и злоупотреба с имуществото й. За установяване на претърпяната вреда следва да се има предвид отново разписаното в решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г. на СЕС, където в т. 6 е посочено, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“ по смисъла на тази разпоредба. Уточнено е, че когато лице, което иска обезщетение на това основание, се позовава на опасенията, че в бъдеще с неговите лични данни ще бъде злоупотребено поради наличието на такова нарушение, сезираната национална юрисдикция трябва да провери дали тези опасения може да се считат за основателни с оглед на обстоятелствата в конкретния случай и на субекта на данни. Предвид направеното уточнение, съдът приема, че ищцата е доказала настъпването на неимуществени вреди, изразяващи се в претърпян страх и притеснения, че с нейните лични данни ще бъде злоупотребено, като може да бъде изтеглен кредит на нейно име, може да стане поръчител без да знае, както и че може да се злоупотреби с имуществото й. От свидетелските показания, които съдът кредитира, въпреки връзката между свидетеля и ищцата, тъй като само член на най-близкия кръг на ищцата би имал детайлни наблюдения върху психическото и емоционалното й състояние, се установява, че научавайки, че са изтекли и нейни лични данни, ищцата е започнала да изпитва силно притеснение. Нещо повече, ищцата е в напреднала възраст и съгласно показанията на снаха й, притеснението й я е довело до състояние, в което се наложило да взима лекарства. Освен това, не е изяснено и до момента дали изтеклите лични данни не са все още налични на определени места в мрежата, макар и по-трудно достъпни за обикновения потребител на интернет. Съдът намира, че и към момента, и за в бъдеще, ще съществува напълно реален и обоснован риск от злоупотреба с изтеклите данни. Поради което притесненията на ищцата в тази връзка са напълно обосновани. Също така, съдът намира, че самият факт на изтичане публично в интернет лични данни на ищцата, респ. станали потенциално обект на неконтролирана, по време, място и обем, злоупотреба с тях, обуславят настъпването на неимуществени вреди за субекта на данните. Поради това, съдът намира за доказано настъпването на неимуществени вреди, като те са в пряка и непосредствена причинно-следствена връзка с установеното по-горе незаконосъобразно фактическо бездействие на администратора. Т.е., доказана е и третата предпоставка за основателност на иска. В тази връзка и съдът счита, че искът е доказан на посоченото основание и затова и следва да бъде уважен. По отношение на размера на претърпените вреди, следва да се вземе предвид интензитета на вредите, които се установи, че са претърпени, продължителността на претърпяването им, възрастта и личността на ищеца. Съобразявайки тези факти, а именно ищцата е възрастна, около 75 годишна към датата на подаване на исковата молба, но пък продължителността е кратка, около два месеца от датата на узнаване до датата на подаване на исковата молба, съдът приема, че сумата от 500 лв. е справедлива, за да обезщети неимуществените вреди, които Х. е претърпяла от неправомерното разкриване на личните й данни. Претендираният размер от 1000 лв. е необосновано завишен, тъй като нито продължителността, нито интензитетът на вредите е бил в по-висока степен, за да обоснове обезщетение в размер на 1000 лв. Поради това, искът до пълния претендиран размер следва да бъде отхвърлен като неоснователен и недоказан. Предвид основателността на исковата претенция за претърпени неимуществени вреди, основателен е иска за заплащане на лихва за забава, считано от датата на увреждането, до окончателното изплащане на сумата. Лихвите се дължат върху размера на обезщетението, защото съгласно чл. 84, ал. 3 ЗЗД, деликвентът се счита в забава без покана, т.е. от датата на увреждането. В този случай присъждането на законната лихва е последица от уважаването на главния иск за обезщетението. Поради това, основателен е иска за присъждане на законната лихва върху уважената част от исковата претенция в размер на 500 лева, считано от 15.07.2019 г. до окончателното изплащане на вземането. По разноските: Предвид изхода на спора, на ищецът се дължат разноски, съобразно уважената част от иска. Ищцата претендира разноски за държавни такси и адвокатско възнаграждение, определено по реда на чл. 38, ал. 2, вр. ал. 1, т. 3 от ЗА. Тъй като делото е било два пъти на инстанционен контрол, се дължат държавните такси за този контрол, а именно 10 лв. за разглеждане на исковата молба и 5 лв. по касационна жалба срещу първото решение, както и 20 лв. депозит за свидетел, т.е. 35 лв., но съобразно уважената част от иска, а именно в размер на 17, 50 лв. В тези производства ищцата е представлявана от адвокат по оказана безплатна правна помощ. На основание чл. 38, ал. 2 от ЗА разноски за адвокат се дължат за оказаната безплатна помощ при осъществено процесуално представителство, като размера се определя съобразно Наредбата № 1 от 9 юли 2004 г. за минималните размери на адвокатските възнаграждения и по-конкретно чл. 7, ал. 1, т. 1, вр. чл. 8, ал. 1 и същия е 400 лв. за първото разглеждане на исковата молба, 400 лв. за настоящата инстанция и 400 лв. за производството по касационната жалба. Т.е., общият размер на възнаграждението е 1200 лв., а съобразно уважената част от иска е 600 лв., които следва да се присъдят на процесуалния представител адв. Ю.. Ответният орган е направил искане за присъждане на разноски за юрисконсултско възнаграждение, като с оглед изхода на делото и предвид разпоредбата на чл. 10, ал. 4 от ЗОДОВ, на ответника също следва да се присъдят разноски за юрисконсулт. При определяне размера на възнаграждението за юрисконсулта, съдът съобрази разпоредбите на чл. 10, ал.4 ЗОДОВ, вр. чл. 37 от Закона за правната помощ и чл. 24 от Наредба за заплащането на правната помощ. В тази връзка, като съобрази фактическа и правна сложност на делото, процесуалната активност на пълномощника-юрисконсулт, обема и качеството на осъществената процесуална дейност, в полза на ответника следва да се определи юрисконсултско възнаграждение в размер на 100, 00 лв., а съобразно отхвърлената част от иска, следва да му се присъдят разноски в размер на 50, 00 лв. Така мотивиран и на основание чл. 203, Административен съд, София град, ІІ отд., 59 състав Р Е Ш И: ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на М. С. Х., с ЕГН [ЕГН], от [населено място] сумата от 500, 00 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на НАП, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на сумата, КАТО ОТХВЪРЛЯ иска за разликата до пълния претендиран размер от 1 000 лв. като неоснователен и недоказан. ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на М. С. Х., с ЕГН [ЕГН], от [населено място] сумата от 17, 50 лв., направени разноски за държавни такси, съобразно уважената част от иска. ОСЪЖДА Национална агенция за приходите ДА ЗАПЛАТИ на адв. С. Ю. сумата от 600 лв. за оказана безплатна защита и съдействие на М. С. Х., съобразно уважената част от иска, по настоящето дело, както и по адм.д. № 2060/2020 г. на АССГ, по адм.д. № 972/2021 г. на ВАС, V отд. по касационна жалба. ОСЪЖДА М. С. Х., с ЕГН [ЕГН], от [населено място] ДА ЗАПЛАТИ на Национална агенция за приходите сумата от 50, 00 лв. разноски за юрисконсулт, съобразно отхвърлената част от иска. РЕШЕНИЕТО подлежи на обжалване, с касационна жалба, пред Върховния административен съд, в 14-дневен срок от съобщаването му. Препис от решението да се изпрати на страните по спора. СЪДИЯ: Р Е Ш И: