Решение № 4534 от 4.7.2022 г. на Административен съд - София-град по дело № 5183/2021 г.

Производството е исково и е по реда на чл.226 и сл. АПК, вр.чл.203 и сл. АПК. С Решение №4643/18.08.2020 година, постановено по адм.дело №11304/2019 година по описа на Административен съд София- град, АССГ, Второ отделение, 53 състав е отхвърлил иска с правно основание чл.1, ал.1 ЗОДОВ, предявен от М. К. С. срещу Национална агенция по приходите за осъждане на ответника да заплати на ищеца сумата от 1 000 лв., представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, за периода от 15.07.2019 г. до настоящия момент, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал.1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/, а именно да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване или достъп до личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата. С Решение №6083/19.05.2021 година, постановено по адм.дело №11509/2020 година по описа на Върховния административен съд, ВАС-Трето отделение е отменил първоинстанционното съдебно решение на АССГ и е върнал делото за ново разглеждане от друг състав. Задължителните указания /чл.224 АПК/, дадени с отменителното решение, са по приложението на процексуалния закон: При новото разглеждане в подробен доклад по делото съдът да посочи относимите към спора факти, като разграничи спорните от безспорните. След определяне на спорните факти, на страните да бъдат дадени подробни указания по тежестта на доказване, съобразени с техните конкретни твърдения и с нормата на чл.82, §3 от Регламента, включително, но не изчерпателно, за необходимостта от специалния знания за изясняване на въпросите при какви конкретни обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни, изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса, какви технически мерки са предприети, за да предотвратят достъпа, достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове, технически възможно ли е било предотвратяването на изтичането на данни. В съдебно заседание пред АССГ при новото разглеждане на делото, ищцата моли за уважаването на иска и за присъждането на разноските, направени до този момент. Ответникът-Национална агенция по приходите се представлява от юрк.Т., който моли искът да бъде отхвърлен. Заявява искане за присъждане на юрисконсултско възнаграждение. Участващият по делото прокурор от Софийска градска прокуратура дава заключение за недоказаност на предявения иск. Административен съд-София град, след като обсъди доводите на страните, вкл.и като и прецени събраните при новото разглеждане на делото доказателства, в изпълнение на задължителните указания на ВАС по приложението на процесуалния закон, намира за установено следното: От фактическа страна: Ответникът НАП е специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания /чл.2, ал.1 от ЗНАП/ и администратор на лични данни по смисъла на чл.4, т.7 от Общия регламент относно защитата на личните данни. Страните не спорят от фактическа страна, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. Ноторно известен е фактът, че след изтичането на лични данни от информационните масиви на НАП, последната е информирала за това С. градска прокуратура и Комисията за защита на личните данни. По делото се представи и прие извадка от получен SMS, с посочен в него час-16.37 ч, но без посочена дата, със следното съдържание: „НАП: По заявка номер 4038 ИМА неправомерно разкрити лични данни“. Не е посочен телефонният номер, на който е получен SMS. Макар и тези данни да са непълни, съпоставени с липсата на оспорване от страна на ответника, че сред изтеклата информация са и лични данни на ищцата, съдът приема този факт за установен. Със Заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3.0 от м. май 2016 г. Утвърдена е Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри С. по стандарт БДС ISO/IEC 27001: 2006 в НАП. В НАП е изработена Методика за оценка на риска, версия 1.1 ноември 2015 г. Със Заповед № ЗЦУ- 1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл.10, ал.1, т.5 и т.7 от ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и други. Видно от предоставена от Комисията за защита на личните данни / КЗЛД/ с нейно писмо изх.№ППН-02-33/2019 г.#151 от 29.07.2020 г. информация, пред КЗЛД като постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на ЗЗЛД /чл.61 ал.1 ЗЗЛД/, не е налице висящо или приключило производство, инициирано от ищцата. От събраните по делото гласни доказателства чрез разпит на св.Е. М. се установяват негативните изживявания на ищцата във връзка с неправомерно разкритите й лични данни, които са продължили 2-3 месеца. Обстоятелството, че свидетелката е сестра на ищцата не е достатъчно за некредитиране на показанията. Нормално и житейски обосновано и негативните изживявания и емоции да бъдат споделени от ищцата с близък за нея човек. По делото не са налице данни, които да компрометират достоверността на дадените показания. Вследствие разпределената между страните доказателствена тежест в изпълнение указанията на ВАС, направеното с определението от з.з. на 02.06.21 година, по искане на ответника е допусната и извършена съдебно- техническа експертиза. Видно от приетото по нея и неоспорено от страните заключение, изтичането на лични данни от сървъри на НАП е установено от НАП на 15.07.2019 г. след публикации в медиите, а реално кога е било осъществено не може да се установи еднозначно. Източването на целия обем от 10.7 Gb данни едва ли е осъществено еднократно, а най- вероятно се е случвало в продължителен период от врем, каквато е честата практика на хакерите, с цел да не натоварват излишно засегнатите системи, при което могат да бъдат евентуално открити. Използвана е атака от тип „S. injectoin“ срещу едно от програмните приложения на сайта на НАП - “VАТ refund“, като чрез този тип атака, атакуващият се възползва от уязвимост в изходния код на конкретното уеб приложение и получава директен достъп до базата данни, което приложението използва, като предоставя административните данни за достъп до базата данни. Всеки достъп до данни в информационни системи, по начин различен от предварително дефинираните администратори и/или потребители от страна на собственика на информационната система, следва да се разглежда като нерегламентиран. В конкретния случай чрез атака от тип „S. injectoin“срещу едно от програмните приложения на сайта на НАП - “VАТ refund“ е получен нерегламентиран достъп до данните на 6 074 140 физически лица, с активна регистрация - 4 104 786 души, от които 24 507 чужденци и 4 057 328 души с активна регистрация и валидно ЕГН. Системите, от които е извършено източване на данни, са сървъри с операционна система W. server 2008R2 и база данни O. 11.2.02. О. неоторизиран достъп е засегнал всички бази данни на O. сървъра, към който има връзка уеб приложението “VАТ refund“. Използваната в случая атака от тип „S. injectoin“ не предполага необходимост от вътрешна намеса. За извършване на нерегламентирания достъп се използват публично достъпните функции на приложение или страница, като чрез него се подава специална команда, връщаща адм инистративните данни за достъп до базата данни. След получаването на тези данни, атакуващият се свързва директно към съответната База Данни и получава достъп до наличната информация в нея. В конкретния случай действията се дължат изцяло на външна намеса. Когато се говори за осигуряване на защита на информацията, според ВЛ, не следва да се извършва позоваване единствено на техническите мерки, а следва да бъдат разглеждани комплексно с предприетите организационни такива. Всяка организация е необходимо да изгради собствена С., включваща политики, правила и конкретни инструкции за осигуряване на Информационната сигурност, базирано на Оценка на риска, направена на базата на конкретните процеси и информационни активи. Една такава С. следва да бъде непрекъснато обновявана и адаптирана към непрекъснато изникващите нови заплахи за информационната сигурност. Към момента на теча, НАП е бил разработила, внедрила и използвала С., изградена на основни правила, базирани на стандарта за информационна сигурност БДС 180/1ЕС 27001/2006 и в последствие актуализирана към по- новата версия БДС 180/1ЕС 27001/2014. На база на тази С. са били определени и изпълнени преценените към онзи момент необходими и достатъчни технически и организационни мерки за защита на информацията, но явно е пропуснато да бъде тествано конкретното приложение за атаки от типа на „S. injectoin“ при въвеждането му в експлоатация, както и не е бил извършван последващ контрол на сигурността на засегнатото W. приложение. Непосредствено след установяване на теча на данни, от страна на НАП са предприети незабавни коригиращи действия в наличните им технически и организационни мерки за защита на информацията, включващи: Създаден съвместен екип от експерти на НАП, ДАНС, ГДБОП и ДА „Електронно управление“ за установяване на причините за извършения нерегламентиран достъп до базите данни на НАП; Извършена е промяна/нулиране на паролите на потребителите за достъп до приложения и други активи. Преустановена е работата на следните приложни системи на НАП, по препоръка на представители на ДАНС и ГДБОП и след преглед от НАП: Система за възстановяване на ДДС от друга държава членка на “VАТ refund“; Бюлетин на издирваните от НАП лица (чл.32 от ДОПК/; Публичен бюлетин по чл.182, ал.З, т.2 във връзка с §5, ал.З от ДОПК - два списъка; Публично достъпните услуги за регистрация на S. карти и подаване на данни от ФУ/ИАСУТД към НАП /услугите, достъпни през мрежите на мобилни оператори са вече активни и работещи, Публично достъпните приложения за тестване на ФУ/ИАСУТД от Български институт по метрология и фирми /приложенията за тестване от БИМ са достъпни от 26.7.2019 г. от БИМ през нарочно изграден за целта защитен канал vpn/; -Публично достъпната услуга за регистрация и подаване на данни от организатори на хазартни игри от разстояние към НАП; Публично достъпните приложения за тестване на подаването на данни от организатори на хазартни игри от разстояние от Български институт по метрология {приложенията за тестване от БИМ са достъпни от 26.7.2019 г. от БИМ през нарочно изграден за целта защитен канал урп); Регистрацията на лица за извършване на резервации в почивните бази на НАП Възложен е и е извършен е пълен технически одит по сигурността от външен изпълнител, включващ преглед, анализ и препоръки за корекции на информационните системи на НАП и комуникационни и инфраструктурни елементи, с приоритет на достъпните извън вътрешната мрежа на НАП, за уязвимости. Извършена е корекция на програмните приложения, достъпни извън вътрешната мрежа на НАП, съгласно направени препоръки от представителите на ДАНС - поставяне на captcha защита. Изготвено е описание на неправомерно публикуваната информация на високо и по- детайлно ниво. Извършен е анализ на информацията, която неправомерно е публикувана, за наличие на идентификатори на физически лица с активна регистрация в регистъра на задължени лица в НАП с оглед изпълнение на задълженията по 33ЛД. Установено е наличието на 4 057 328 лица с ЕГН, 24 507 лица с ЛНЧ и 23 085 лица с сл.№ на НАП с активна регистрация. Разработено е и публикувано на 25.7.2019 г. за реално ползване на web-базирано приложение, достъпно през Интернет страницата на НАП за проверка на нарушена сигурността на личните данни, вследствие на осъществен неправомерен външен достъп до данни на Национална агенция за приходите. Въз основа на Доклада за дейността на Временната анкетна комисия за изясняване на всички факти и обстоятелства около случая с източване на информация от електронната база данни на Националната Агенция за Приходите към 44-тото НС и предоставените останали документи по делото и въпреки взетите организационни мерки от НАП се е стигнало до конкретното изтичане на данни. „S. injectoin“ е идентифицирана като критична