Решение № 23745 от 17.11.2024 г. на Административен съд - София-град по дело № 7468/2024 г.

ОТХВЪРЛЯ иска на Л. С. П. ЕГН [ЕГН] от [населено място], [община] село, [община], срещу Национална агенция за приходите, за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1 000, 00 /хиляда/ лева, заедно със законната лихва, считано от 15.07.2019г. до окончателното изплащане на сумите. ОСЪЖДА Л. С. П. ЕГН [ЕГН] от [населено място], [община] село, [община] да заплати на Национална агенция за приходите сумата от 300, 00 /триста/ лева на основание чл.143, ал.3 от АПК. РЕШЕНИЕТО подлежи на обжалване, с касационна жалба, пред Върховния административен съд на Република България, в 14-дневен срок от получаване на съобщенията до страните за неговото постановяване. ПРЕПИС от решението да се изпрати на страните на основание чл.138 АПК. Съдия: Производството е по реда на чл. 203-чл.206 АПК. Предявен е осъдителен иск с правно основание чл.82, § 1 във вр. § 2 от ОРЗД. Образувано по искова молба на Л. С. П., срещу Национална агенция по приходите /НАП/, с искане да й бъде заплатена сумата в размер на 1 000.00 (хиляда) лева, представляваща обезщетение за претърпени неимуществени вреди за периода 15.07.2019г.-16.09.2019г., настъпили в резултат на неизпълнение в достатъчна степен от ответника на задължението по чл.59, ал.1 от Закона за защита на личните данни (ЗЗЛД), чл.24 и чл.32 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета (GDPR), заедно със законната лихва върху тази сума, считано от 15.07.2019г. до окончателното изплащане на вземанията. В обстоятелствената част на исковата молба са въведени твърдения, че поради неправомерно изтичане на лични данни от базата данни на НАП, за ищцата са възникнали и тя е претърпяла неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни. Нейните лични данни са станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани. Отговорността на НАП е ангажирана в качеството й на администратор на лични данни, с твърдение, че чрез бездействието си, е допуснала нарушения на чл.24 и чл.32 GDPR и чл.59, ал.1 ЗЗЛД, нарушила е и разпоредбите на чл.45, ал.1, т.6 ЗЗЛД, като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки; не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита- чл.64 ЗЗЛД; чл.66, ал.1 и ал.2 ЗЗЛД; чл.67 и чл.68 ЗЗЛД. Ищцата излага, че се е почувствала застрашена от неправомерното използване на личните данни, изпитала е притеснение, страхувала се, че с личните й данни ще бъде злоупотребено. Притесненията се базирали на вероятността да не бъде посегнато върху имуществото, банковите сметки или да не бъдат изтеглени кредити от нейно име. Това стресирало ищцата, натоварило я психически, след като е разбрала, че личните й данни са изтекли, живеела в постоянен страх и притеснение, чувствала се незащитена от държавата. Всичко това повлияло на нормалния й ритъм на живот, на отношението й с хората, на ежедневието й, затворила се в себе си, ограничила социалните си контакти. В проведеното открито заседание на 18.10.2024г. Л. С. П. не се явява и не се представлява. Депозирана е писмена молба на 16.10.2024г. от адв. И. Ю., който поддържа исковата претенция, а по същество на спора моли за нейното уважаване и присъждане на направените в процеса разноски. Ответникът-НАП, чрез процесуален представител юрк. Л. Т. е депозирал писмен отговор, в който оспорва исковата молба. Излага съображения за неоснователност на предявения иск, както по основание, така и по размер, тъй като не било ясно от кой конкретно акт на НАП или на нейни органи са настъпили вредите. Счита за неоснователно възражението за неполагане на достатъчна грижа от страна на НАП за защита сигурността на данните. Твърди, че нерегламентираният достъп до информационната система на НАП е в следствие на престъпление. Веднага след узнаването за този нерегламентиран достъп, НАП е предприела незабавни мерки за сигурност и преустановяването му. Твърди, че този неоторизиран достъп не е резултат от действия или бездействия на НАП или нейни органи/служители. Недоказани били твърденията на ищцата за претърпени от нея неимуществени вреди, изразяващи се в страх и притеснение. Посочва, че не е доказано от ищцата кои нейни лични данни са изтекли и не е била направена справка в НАП относно обема лични данни, изтекли в публичното пространство. Моли за отхвърляне на иска. Претендира присъждане на юрисконсултско възнаграждение. Представителят на СОФИЙСКА ГРАДСКА ПРОКУРАТУРА дава заключение за неоснователност на исковата претенция. Административен съд София-град, след като обсъди доводите на страните и прецени по реда на чл. 235, ал. 2 от ГПК, във вр. чл. 144 от АПК приетите по делото писмени доказателства, приема за установено от фактическа страна следното: Безспорно е установено в процеса, че на 15.07.2019 г., е изтекла информация от масивите на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. По делото е представена извадка от получен SMS, със следното съдържание: „НАП: По заявка номер 8799 ИМА неправомерно разкрити лични данни“, от 25.08.2019 г., 17, 56 ч. Със заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т.5 и т.7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. Със заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП е утвърдена Политика по защита на личните данни в НАП, както и е наредено на директора на Дирекция „Комуникации и протокол“ да предприеме необходимите действия за популяризиране на политиката. Със заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП. Утвърдена е Политика по информационна сигурност на НАП. Приета е Методика за оценка на риска, версия 1.1, към 11.2015 г., представляваща приложение № 3 към Процедура ПФИС 7. В НАП е утвърдена Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. През 2018г. е била извършена проверка в НАП от Държавна агенция „Електронно управление“, съгласно изискванията на чл.60 ЗЕУ относно информационните ресурси, свързани с всички регистри, бази данни и системи, поддържани и администрирани от НАП. Направени са следните препоръки: 1. Да се актуализира целия пакет на документи за сертифициране на СУСИ; 2. Да се планира и направи оценка на риска на активите на НАП, а след това да се предприемат мерки за предотвратяване на рисковете с висока стойност; 3. Да се предприемат необходимите действия за цялостно изпълнение на ЗЕУ и НОИМИС и свързаните с тях вътрешни правила и процедури относно спазване изискванията на МИС, с цел недопускане на инциденти и срив на поддържаните информационни системи. Извършена е била проверка и от КЗЛД, в хода на която е установено, че при осъществяване на дейността си, НАП в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. Издадено е било НП № 004/28.08.2019 г., от председателя на Комисия за защита на личните данни. НП № 004/28.08.2019г. е било обжалвано, като с решение от 26.10.2023 г., постановено по нахд № 14811/2019 г. по описа на СРС, е потвърден този наказателен акт. С решение № 1247/26.02.2024 г., постановено по дело № 12334/2023 г. на АССГ, е отменено решението и СРС, както и издаденото НП, поради изтекла погасителна давност. С решение № ППН-02-399/22.08.2019 г. на КЗЛД, на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки. Актът е оспорен, като е постановено решение № 565/02.02.2023 г. по дело № 10477/2019 г. на АССГ, с което е отменено решението на КЗЛД, в частта му относно Разпореждания № 7, 14, 15 изцяло, Разпореждане № 5 в частта му: "Да се предприемат необходимите действия за създаването на одитни записи на отделните събития и дневници /журнали/ за привилегированите потребители" и Разпореждане №16, в частта му относно "повторното използване на такива данни". Жалбата на НАП в останалата й част е отхвърлена. Решението на АССГ е оспорено пред ВАС на РБ от НАП, като с решение № 1398/07.02.2024 г. по дело № 3781/2023 г. е отменено решението на АССГ в обжалваната му отхвърлителна част и делото е върнато за ново разглеждане от друг състав. Към настоящия момент няма влязъл в сила съдебен акт. С решение № 2594/19.04.2021г. по дело № 3456/2020г. на АССГ, 56 състав, исковата претенция е отхвърлена. С решение № 7896/26.06.2024г. по дело № 6020/2021г. на ВАС на РБ, V-то отделение, съдебният акт на първоинстанционния съд е отменен. Делото е върнато за ново разглеждане, което се осъществява в настоящото производство. По отправено преюдициално запитване по дело № С-340/2021 г. беше постановено решение от 14.12.2023 г. на трети състав на СЕС. При така установените факти, Административен съд София-град, достигна до следните правни изводи: В настоящия случай, Л. С. П. претендира настъпването на вреди в своя патримониум в резултат на незаконосъобразно бездействие на администратора на лични данни, поради което незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение – чл. 204, ал. 4 АПК. Съгласно чл. 203, ал. 2 АПК, за неуредените въпроси за имуществената отговорност се прилагат разпоредбите на ЗОДОВ. В допълнение, в сила е чл. 203, ал. 3 (нова) АПК, ДВ, бр. 94 от 29.11.2019 г., съгласно който по реда на глава единадесета се разглеждат и исковете за обезщетения за вреди, причинени от достатъчно съществено нарушение на правото на Европейския съюз, като за имуществената отговорност и за допустимостта на иска се прилагат стандартите на извъндоговорната отговорност на държавата за нарушение на правото на Европейския съюз, а съгласно чл. 2в ЗОДОВ, ДВ, бр. 94 от 2019 г., когато вредите са причинени от достатъчно съществено нарушение на правото на Европейския съюз, исковете се разглеждат от съдилищата по реда на АПК. Предвид изложеното, настоящият съдебен състав приема предявеният иск за допустим и като такъв следва да бъде разгледан по същество и по реда на глава ХІ от АПК. Ищецът твърди, че незаконосъобразното бездействие на служители на НАП се изразява в неизпълнение на задължения, произтичащи от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. Основателността на предявения иск, предполага установяването на кумулативното наличие на следните предпоставки: незаконосъобразно бездействие на орган или длъжностно лице на държавата, при или по повод изпълнение на административна дейност; вреда от такова бездействие и причинна връзка /пряка и непосредствена/ между незаконосъобразното бездействие и настъпилия вредоносен резултат. При липса на някой от елементите на посочения фактически състав не може да се реализира отговорността на държавата по посочения ред. Както вече се изложи по-горе, незаконосъобразността на бездействието се установява от съда, пред който е предявен иска за обезщетение. Съдът намира, че е налице първата предпоставка, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Под „действие“, респективно „бездействие“, следва да се разбира всяко такова, извършено от държавен орган или длъжностно лице, което не е юридически акт, а тяхна физическа изява, но не произволна, а в изпълнение или съответно неизпълнение на определена нормативна разпоредба. Предмет на защита в производството по чл. 256 от АПК е бездействието на административния орган когато последният е задължен да извърши определени действия по силата на нормативен акт. Не всяко неизпълнение на задължение на административен орган представлява бездействие по смисъла на чл. 256 от АПК, а само неизвършването на фактически действия, при наличието на нормативно установено задължение за това. Съставомерно в този случай е липсата на активно поведение на компетентен орган да извърши конкретни фактически действия. Освен това, с решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г., се приема, че чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че „неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи “. Чл. 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че „преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове“. Принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че „в исково производство за обезщетение, администраторът носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 са подходящи“. Следва да се има предвид и, че „администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент“. Според твърденията в исковата молба, на 15.07.2019г., вследствие нерегламентиран достъп от неизвестно лице, от електронните масиви на НАП, е изтекла информация съдържаща лични данни на ищцата. Не се представиха в процеса доказателства за установяване на обстоятелството дали действително лични данни на Л. С. П. са достъпни. От текста на полученото съобщение „по заявка 8799 има неправомерно разкрити лични данни“ по никакъв начин не може да се установи, дали се касае именно до личните данни на ищцата и конкретно в какъв обем са разгласени същите. Това води до извода, че не е доказано безспорно по отношение на ищцата да е имало неправомерен достъп до лични данни. Разпоредбата на чл. 24 „Отговорност на администратора“ от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a.) псевдонимизация и криптиране на личните данни; б.) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в.) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г.) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. С оглед дадените от СЕС по преюдициалното запитване разяснения, в тежест на ответника е да установи липсата на нарушение по смисъла на Регламента и липсата на причинна връзка с твърдените вреди. В тежест на ответника е да установи, че е приложил мерки за сигурност на личните данни, както и че тези мерки са били подходящи. Ответникът не установи какви технически мерки са предприети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било осуетяването на изтичането на данни. С оглед разпределената доказателствена тежест с разпореждане № 16206/06.09.2024г. в изпълнение на указанията на касационната инстанция, ответникът не успя да докаже спазване на законовото си задължение, че приложените от него мерки за сигурност на личните данни по чл. 32 от Регламента са подходящи. Ето защо, недоказан остава фактът, че извършените от НАП действия, са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищеца. По тази причина, доказан се явява първия елемент от фактическия състав на предявения иск- бездействие за точно изпълнение на задължението по чл. 32 от ОРЗД, а именно: приложени от НАП подходящи организационни и технически мерки за осигуряване на ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. НАП, в качеството си на администратор на лични данни при осъществяване на дейността си, е следвало да предприеме ефективни мерки за предотвратяване неразрешения достъп до личните данни на ищеца. В процесния случай това не е постигнато. Бездействието на НАП е незаконосъобразно, противоречи на нормативните изисквания на чл.24 и чл.32 от ОРЗД. Ирелевантни са доводите на ответника, че след 15.07.2019г., когато е осъществен нерегламентирания достъп, НАП е предприела мерки за защита личните данни. При формиране на този извод, съдът съобразява тълкуването на нормата на чл. 82, §3 от Регламента / т.5 от Решение № С-340/2023г. на СЕС/, а именно: „Администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент, като той трябва да докаже, че причинилият съответните вреди факт, не може по никакъв начин да му бъде вменен“. Допускането на изтичане на данни само по себе си доказва недостатъчната степен на съхранението им, съгласно изискването на Регламента. Предвид изложеното, настоящия съдебен състав приема, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразно бездействие по предприемане на необходимите и ефективни действия, произтичащи от задълженията по чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/. Не е осъществена обаче втората предпоставка за ангажиране на отговорността на ответника, а именно: претърпяна вреда от Л. С. П. от това незаконосъобразно бездействие. Не се събраха и приеха писмени доказателства, че Л. С. П. е подала заявление до НАП по чл.37б от ЗЗЛД, като е поискала да й бъде предоставена информация относно наличието на неоторизиран достъп до личните й данни. Както вече се изложи по-горе, въобще не е доказано дали личните данни на Л. С. П. са станали обект на т.нар. „хакерска атака“ и кои точно нейни данни са били разгласени, напр. ЕГН, адрес или други по см. на чл.4, т.1 от ОРЗД. Ищцата твърди, че е преживяла стрес, безпокойство, притеснение, почувствала се е застрашена да не се извърши злоупотреба с имуществото й. За установяване на вредата следва да се има предвид отново разписаното в решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г. /т. 6/, че чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че „опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“. Уточнено е, че когато лице, което иска обезщетение на това основание, се позовава на опасенията, че в бъдеще с неговите лични данни ще бъде злоупотребено поради наличието на такова нарушение, сезираната национална юрисдикция трябва да провери дали тези опасения може да се считат за основателни с оглед на обстоятелствата в конкретния случай и на субекта на данни. Съдът приема, че ищцата не е доказала настъпването на неимуществени вреди, изразяващи се в безпокойство, че с нейни лични данни ще бъде злоупотребено, като се посегне и отчужди имуществото й. Нито при първоначалното разглеждане на спора по дело № 3456/2020г., нито в настоящия процес се събраха доказателства за установяване на характера и интензитета на претендираните вреди. Поради това, не може да се възприеме, че за Л. С. П. въобще са възникнали опасения за потенциална злоупотреба с нейни лични данни, нито че е настъпил вредоносен резултат. Не е доказано настъпването на неимуществени вреди, които да са в пряка и непосредствена причинно-следствена връзка с установеното незаконосъобразно фактическо бездействие на ответника. Поради това, искът за пълния предявен размер от 1 000, 00 (хиляда) лева следва да бъде отхвърлен като неоснователен и недоказан, както и акцесорното искане за присъждане на лихва за забавено плащане, считано от 15.07.2019г. Ответникът е направил искане за присъждане на разноски за юрисконсултско възнаграждение, като с оглед изхода на делото и предвид разпоредбата на чл. 143, ал.3 от АПК, на него се дължат такива. При съобразяване на фактическата и правна сложност на спора, процесуалната активност на пълномощника - юрк. Л. Т., обема и качеството на осъществената процесуална дейност по дело № 3456/2020г. по описа на АССГ, по дело № 6020/2021г. по описа на ВАС на РБ и по настоящото дело № 7468/2024г. в полза на ответника следва да се определи юрисконсултско възнаграждение в размер на 100, 00 /сто/ лева за всяка инстанция. Така мотивиран и на основание чл. 82, § 1 във вр. § 2 от ОРЗД, Административен съд София- град, ІІ -ро отд., 22 състав Р Е Ш И: ОТХВЪРЛЯ иска на Л. С. П. ЕГН [ЕГН] от [населено място], [община] село, [община], срещу Национална агенция за приходите, за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1 000, 00 /хиляда/ лева, заедно със законната лихва, считано от 15.07.2019г. до окончателното изплащане на сумите. ОСЪЖДА Л. С. П. ЕГН [ЕГН] от [населено място], [община] село, [община] да заплати на Национална агенция за приходите сумата от 300, 00 /триста/ лева на основание чл.143, ал.3 от АПК. РЕШЕНИЕТО подлежи на обжалване, с касационна жалба, пред Върховния административен съд на Република България, в 14-дневен срок от получаване на съобщенията до страните за неговото постановяване. ПРЕПИС от решението да се изпрати на страните на основание чл.138 АПК. Съдия: Р Е Ш И: