Решение № 7102 от 9.12.2020 г. на Административен съд - София-град по дело № 11316/2019 г.

Производството е по реда на чл.203 и сл. от Административно-процесуалния кодекс /АПК/ във вр. с чл.1, ал.2 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/. Образувано е по искова молба на Р. А. А. и молба - уточнение, подадени чрез адв.Ю., с които срещу Националната агенция за приходите / НАП/ е предявен иск, заявен с правно основание чл.203 от АПК, вр. чл.82, ал.1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ /GDPR/, вр. чл.39, ал.2 от ЗЗЛД, вр. чл.1, ал.1 от ЗОДОВ, за присъждане на сумата в размер на 1000, 00 лева, представляваща обезщетение на ищеца за причинените му неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, станали достъпни вследствие така наречената „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019г. Ищецът е застъпил становище, според което отговорността на НАП в качеството й на администратор на лични данни произтича от допуснати нарушения на чл.24 и чл.32 от GDPR, чл.59, ал.1 от ЗЗЛД и чл.45, ал.1, т.6 от ЗЗЛД, тъй като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки; чл.64 от ЗЗЛД; че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита; чл.66, ал.1 и, ал.2 от ЗЗЛД; чл.67 и чл.68 от ЗЗЛД. Претендира се и присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019г. до окончателното й изплащане. В съдебно заседание исковата молба се поддържа чрез адв.Ю., Претендират се разноски по представен списък. Ответникът чрез юрк.Т. в съдебно заседание, счита, че НАП като администратор на лични данни е предприел всички технически и организационни мерки за обработването на лични данни. Подчертава, че повече от една година след престъпното деяние срещу информационната система на НАП не е констатиран нито един случай на злоупотреба с лични данни, както и нито един случай на физически нападнат, заплашен или отвлечен гражданин, в следствие на неоторизирания достъп до данни на НАП. В тази връзка моли исковата претенция да бъде отхвърлена. Представен е и писмен отговор. Представителят на Софийска градска прокуратура - прокурор К. намира исковата молба за неоснователна. Изразява становище за липса на причинно-следствена връзка, за недоказаност на твърдяните вреди. Алтернативно, в случай че съдът приеме искът за основателен предлага завишената по размер претенция да бъде намалена до минимален размер. Съдът, като обсъди доводите на страните и прецени събраните по делото доказателства, прие за установено следното от фактическа и правна страна: Искът е допустим. Исковата молба отговаря на всички формални изисквания на чл.127 и чл.128 от ГПК. Правото на обезщетение се упражнява по правилата на чл.203 и сл. от АПК, и тъй като администраторът на лични данни е и административен орган и съобразно тези по ЗОДОВ. Разпоредбата на чл.39 от ЗЗЛД не създава специален начин на обезщетение по смисъла на чл. 8, ал.3 от ЗОДОВ. Разгледан по същество, искът е неоснователен. Разпоредбата на чл.1, ал.1 от ЗОДОВ предвижда, че държавата и общините отговарят за вреди, причинени от незаконосъобразни актове, действия или бездействия на техни органи и длъжностни лица при или по повод изпълнение на административна дейност. Отговорността на държавата по ЗОДОВ е специална деликтна отговорност спрямо общата деликтна отговорност, уредена в чл.45 и сл. от Закона за задълженията и договорите /ЗЗД/. Тази отговорност произтича от общото задължение на държавата/общините при осъществяване на правомощията им техните органи и длъжностни лица да спазват правата и не накърняват законните интереси на гражданите, респ. юридическите лица. За разлика от тази отговорност, деликтната отговорност, уредена в ЗЗД произтича от общото задължение да не се вреди другиму. В този смисъл отговорността по ЗОДОВ има обективен характер – възниква при наличие на изрично предвидените в закона предпоставки и не е обусловена от наличието на виновно поведение от страна на конкретно длъжностно лице, причинило с поведението си вредата – чл.4 от ЗОДОВ, докато деликтната отговорност по чл.45 и сл. от ЗЗД е обусловена от виновно поведение на причинителя на вредата, включително в хипотезата на обезпечителната отговорност по чл.49 от ЗЗД, като вината се предполага до доказване на противното. За да се реализира отговорността по чл.1, ал.1 от ЗОДОВ е необходимо кумулативно наличие на следните предпоставки: незаконосъобразен административен акт, действие или бездействие на административен орган или длъжностно лице по повод осъществяваната от него административна дейност; вреда – имуществена или неимуществена; пряка причинно-следствена връзка между незаконосъобразния акт/действие/бездействие. Предмет на настоящото дело е искова претенция основаваща се на незаконосъобразно бездействие – нарушение на разпоредбите на чл.24 и чл.32 от GDPR и чл.59, ал.1 от ЗЗЛД, чл.45, ал.1, т.6 от ЗЗЛД, чл.64 от ЗЗЛД, чл. 66, ал.1 и ал.2 от ЗЗЛД; чл.67 и чл.68 от ЗЗЛД – неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. Незаконосъобразното бездействие, съгласно разпоредбата на чл.1, ал. 1 от ЗОДОВ е незаконосъобразно фактическо бездействие по смисъла на чл.256 от АПК, или бездействието на административен орган по задължение, произтичащо пряко от нормативен акт или което той е длъжен да извърши по силата на закона. Цитираните от ищеца разпоредби въвеждат задължение за администратора на лични данни да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с разпоредбите на Общия регламент за защита на данните – чл.24, параграф 1 и чл.32 от него. Същият подход е възприет и в цитираните разпоредби от ЗЗЛД. Общоизвестен е фактът, че на 15.07.2019г. медиите оповестиха информация за така наречената „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани.Страните не спорят по този факт. Неоспорването на това обстоятелство следва и от писма на НАП до Софийска градска прокуратура и до КЗЛД, с които адресатите са уведомени, че на 15.07.2019г. е осъществен неоторизиран достъп до информационната система на НАП и е публикувана информация, съдържаща се в информационните бази данни на Агенцията, която представлява защитена със закони информация - лични данни и данъчна и осигурителна информация. Посочено е, че от нарушението са засегнати 3% от данните в НАП. Налице е противоправно деяние. Деянието може да се разглежда като нарушение или като престъпление. В случая не може да се направи извод, че това противоправното деяние е следствие от незаконосъобразното бездействие на ответника да изпълни произтичащи от посочените по-горе разпоредби на регламента и закона задължения да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица във връзка с обработването на личните им данни. С доказателствата по делото не се установяват твърдяните пропуски под формата на бездействие. НАП е предприела в тази насока всички необходими технически и организационни мерки, за да минимизира рисковете от поддържането на електронните услуги. Рисковете не могат да бъдат на 100 % процента избегнати, а задължението се свежда до предприемане на мерки за минимизацията им. Приложени са доказателства, че към 15. 07. 2019 г. в НАП са разработени и утвърдени документи, както следва: Издадена е Заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с което е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3.0 от м. май 2016, както и Инструкция № 2/08.05.2019г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП. Изработена е Методика за оценка на риска, версия 1, към м. декември 2015г. Със Заповед № ЗЦУ-1436/15.10.2018г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т. 5 и т.7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. Разработена е процедура за оценка на риска за информационната сигурност, утвърден е списък на видовете операции по обработване на лични данни, за които се изисква извършване на оценка на въздействието върху защитата на данните, съгласно чл.35, пар.4 от Регламент /ЕС/ 2016/679. След оповестяване и узнаване за неоторизирания достъп, на основание чл. 22 от Регламента, НАП незабавно е уведомила за случая КЗЛД с писмо. Уведомена е и С. градска прокуратура за наличие на данни за извършено престъпление чрез осъществен неоторизиран достъп до информационната система на НАП и разпространение на защитена информация на граждани, обработвани от Агенцията, с искане за незабавно образуване на наказателно производство по случая. Уведомени са специализираните звена при ГД „БОП“ - МВР и ДАНС. Предприети са мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и са предприети мерки за преустановяване на нерегламентирания достъп. Следователно са спазени разпоредбите на чл. 33 и чл.34 от Регламента, като е проведено предписаното в тях уведомяване. Налице е уведомяване както на компетентните органи – КЗЛД, Прокуратура и МВР, така и на обществеността. Съгласно разпоредбата на чл.59, ал.1 от ЗЗЛД администраторът на лични данни, като отчита естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този закон. При необходимост тези мерки се преразглеждат и актуализират. Това императивно предвидено негово задължение се съдържа и в нормата на чл. 24 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, а в чл.32 са предвидени конкретните мерки които следва да се предприемат. Тези разпоредби обаче не регламентират конкретни задължения, респ. действия на приходната агенция, свързани с опазване на личните данни, неизпълнението на които да съставлява незаконосъобразно бездействие. Следва да се има предвид, че когато става въпрос за незаконосъобразно бездействие, нормата на чл.1, ал.1 от ЗОДОВ има предвид незаконосъобразно фактическо бездействие по см. на чл.256 АПК, т.е. бездействието на административен орган по задължение, произтичащо пряко от нормативен акт или което той е длъжен да извърши по силата на закона. Задължението като дължими фактически действия на конкретния административен орган следва да не са абстрактно, а конкретно регламентирани в Конституцията, законовите и подзаконовите нормативни актове, за да е възможно да се отграничи кога тяхното неизпълнение има за последица реализирането на отговорността по чл. 1 от ЗОДОВ. С други думи следва да бъде установено конкретно деяние, което да представлява неправомерно бездействие от страна на НАП, и именното да е довело до нерегламентирания достъп, въз основа на който личните данни да бъдат разпространени. Така наведените доводи на ищеца за липса на подходящи и ефективни мерки организационни и технически мерки следва да бъдат безспорно установени и по категоричен начин да става ясно, че задълженията на администрацията са останали неизпълнени или лошо изпълнени и именно те да са причината за неправомерния резултат. Относно твърдението в исковата молба, че с бездействието НАП е допуснала нарушения на нормите на чл. 45, ал. 1, т. 6; чл. 64; чл. 66, ал. 1 и ал. 2; чл. 67 и чл. 68 от ЗЗЛД, съдът намира следното: Чл. 45, ал.1, т. 6 от ЗЗЛД предвижда, че личните данни следва да се обработват по начин, който гарантира подходящо ниво на сигурност, като се прилагат подходящи технологии и организационни мерки. В конкретния случай са установени множество организационни мерки за внедряване на съответни технологии от страна на НАП за поддържане на базата данни при същата, включително съдържаща и лични данни. Същевременно не се установи обратното – прилагане на неподходящи технологии или липса на организационни мерки. Осъщественият резултат – нерегламентиран достъп, не е еднозначно следствие и не доказва причината за неговото възникване. Чл. 64 от ЗЗЛД задължава администраторите на лични данни да извършват оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. С политика по информационна сигурност на НАП, версия 3.0 от май, 2016г. по делото/, такава оценка е въведена, както превантивно, така и с непрекъснат мониторинг и оценяване на процеса – т. 7 и т. 8 от Политиката. Чл. 66, ал. 1 и ал. 2 от ЗЗЛД възпроизвежда текста на чл.32 от Регламента. От посо