Решение № 2443 от 12.4.2024 г. на Административен съд - София-град по дело № 4804/2021 г.

Производството е по реда на чл. 203-чл.206 АПК. Предявен е осъдителен иск с правно основание чл.1, ал.1 от ЗОДОВ. Образувано по искова молба на Д. М. Р., срещу Национална агенция по приходите /НАП/, с искане да му бъде заплатена сумата в размер на 1 000.00 (хиляда) лева, представляваща обезщетение за претърпени неимуществени вреди за периода 15.07.2019г.-16.09.2019г., настъпили в резултат на неизпълнение в достатъчна степен от ответника на задължението по чл.59, ал. 1 от Закона за защита на личните данни (ЗЗЛД), чл.24 и чл.32 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета (GDPR), заедно със законната лихва върху тази сума, считано от 15.07.2019г. до окончателното изплащане на вземанията. В обстоятелствената част на исковата молба са въведени твърдения, че поради неправомерно изтичане на лични данни от базата данни на НАП, за него са възникнали и той е претърпял неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни. Неговите лични данни са станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани. Отговорността на НАП е ангажирана в качеството й на администратор на лични данни, с твърдение, че чрез бездействието си, е допуснала нарушения на чл.24 и чл.32 GDPR и чл.59, ал.1 ЗЗЛД, нарушила е и разпоредбите на чл.45, ал.1, т.6 ЗЗЛД, като не е обработила личните данни по начин, който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки; не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита- чл.64 ЗЗЛД; чл.66, ал.1 и ал.2 ЗЗЛД; чл.67 и чл.68 ЗЗЛД. Ищцата излага, че се е почувствала застрашена от неправомерното използване на личните данни, изпитала е притеснение, страхувала се, че с личните й данни ще бъде злоупотребено. Притесненията се базирали на вероятността да не бъде посегнато върху имуществото й, на банковите й сметки или да не бъдат изтеглени кредити от нейно име. Това стресирало ищцата, натоварило я психически, след като е разбрала, че личните й данни са изтекли, живее в постоянен страх и притеснение, чувства се незащитена от държавата. Всичко това повлияло на нормалния ритъм на живот, на отношението й с хората, на ежедневието й, затворила се в себе си, ограничила е социалните си контакти. В проведеното открито заседание на 29.03.2024г. Д. М. Р. се представлява от адв. И. Ю., който поддържа исковата претенция, а по същество на спора моли за нейното уважаване и присъждане на направените в процеса разноски. Ответникът-НАП, чрез процесуален представител юрк. Р. М. е депозирал на 19.12.2019г. по дело № 11266/2019г. по описа на АССГ, 68 състав писмен отговор, в който оспорва исковата молба. Излага съображения за неоснователност на предявения иск, както по основание, така и по размер, тъй като не било ясно от кой конкретно акт на НАП или на нейни органи са настъпили вредите. Счита за неоснователно възражението за неполагане на достатъчна грижа от страна на НАП за защита сигурността на данните. Твърди, че нерегламентираният достъп до информационната система на НАП е в следствие на престъпление. Веднага след узнаването за този нерегламентиран достъп, НАП е предприела незабавни мерки за сигурност и преустановяването му. Твърди, че този неоторизиран достъп не е резултат от действия или бездействия на НАП или нейни органи/ служители. Недоказани били твърденията на ищеца за претърпени от него неимуществени вреди, изразяващи се в страх и притеснение. Моли за отхвърляне на иска. Претендира присъждане на юрисконсултско възнаграждение. Представителят на СОФИЙСКА ГРАДСКА ПРОКУРАТУРА дава заключение за неоснователност на исковата претенция. Административен съд София-град, след като обсъди доводите на страните и прецени по реда на чл. 235, ал. 2 от ГПК, във вр. чл. 144 от АПК приетите по делото писмени доказателства, приема за установено от фактическа страна следното: Безспорно е установено в процеса, че на 15.07.2019 г., е изтекла информация от масивите на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. По делото е представена извадка от получен SMS, със следното съдържание: „НАП: По заявка номер 2964 ИМА неправомерно разкрити лични данни“, от 06.08.2019 г. Със заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т. 5 и т.7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. Със заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП е утвърдена Политика по защита на личните данни в НАП, както и е наредено на директора на Дирекция „Комуникации и протокол“ да предприеме необходимите действия за популяризиране на политиката. Със заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри С. по стандарт БДС ISO/IEC 27001: 2006 в НАП. Утвърдена е Политика по информационна сигурност на НАП. Приета е Методика за оценка на риска, версия 1.1, към 11.2015 г., представляваща приложение № 3 към Процедура ПФИС 7. В НАП е утвърдена Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. През 2018г. е била извършена проверка в НАП от Държавна агенция „Електронно управление“, съгласно изискванията на чл.60 ЗЕУ относно информационните ресурси, свързани с всички регистри, бази данни и системи, поддържани и администрирани от НАП. Направени са следните препоръки: 1. Да се актуализира целия пакет на документи за сертифициране на С.; 2. Да се планира и направи оценка на риска на активите на НАП, а след това да се предприемат мерки за предотвратяване на рисковете с висока стойност; 3. Да се предприемат необходимите действия за цялостно изпълнение на ЗЕУ и НОИМИС и свързаните с тях вътрешни правила и процедури относно спазване изискванията на МИС, с цел недопускане на инциденти и срив на поддържаните информационни системи. Извършена е била проверка и от КЗЛД, в хода на която е установено, че при осъществяване на дейността си, НАП в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица, в различен обем. Издадено е било НП № 004/28.08.2019 г., от председателя на Комисия за защита на личните данни. НП № 004/28.08.2019г. е било обжалвано, като с решение от 26.10.2023 г., постановено по нахд № 14811/2019 г. по описа на СРС, е потвърден този наказателен акт. С решение № 1247/26.02.2024 г., постановено по адм.дело № 12334/2023 г. на АССГ, е отменено решението и СРС, както и издаденото НП, поради изтекла погасителна давност. С решение № ППН-02-399/22.08.2019 г. на КЗЛД, на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки. Актът е оспорен, като е постановено решение № 565/02.02.2023 г. по адм.дело № 10477/2019 г. на АССГ, с което е отменено решението на КЗЛД, в частта му относно Разпореждания № 7, 14, 15 изцяло, Разпореждане № 5 в частта му: "Да се предприемат необходимите действия за създаването на одитни записи на отделните събития и дневници /журнали/ за привилегированите потребители" и Разпореждане №16, в частта му относно "повторното използване на такива данни". Жалбата на НАП в останалата й част е отхвърлена. Решението на АССГ е оспорено пред ВАС на РБ от НАП, като с решение № 1398/07.02.2024 г. по адм.дело № 3781/2023 г. е отменено решението на АССГ в обжалваната му отхвърлителна част и делото е върнато за ново разглеждане от друг състав. Към настоящия момент няма постановен и влязъл в сила съдебен акт. За доказване на претърпени неимуществени вреди по адм. дело № 11266/2019г. са събрани и гласни доказателства, чрез разпит на свидетеля Р. К. Х.. Свидетелят посочва, че е запознат със случая от ищцата, която му споделила, че има проблем с изтичане на личните й данни в интернет пространството. Това е накарало майка му да изпита силно притеснение дали няма да се случи нещо с имуществото му. С решение № 2813/09.06.2020г. по адм.дело № 11266/2019г. на АССГ, 68 състав, исковата претенция е частично уважена до размера на сумата от 200.00 /двеста/ лева. С реше ние № 5705/12.05.2021г. по адм.дело № 8822/2020г. на ВАС на РБ, ІІІ- то отделение, съдебният акт на първоинстанционния съд е отменен. Делото е върнато за ново разглеждане, което се осъществява в настоящото производство. По отправено преюдициално запитване по дело № С-340/2021 г. беше постановено решение от 14.12.2023 г. на трети състав на СЕС. При така установените факти, Административен съд София-град, достигна до следните правни изводи: В настоящия случай ищецът претендира настъпването на вреди в своя патримониум в резултат на незаконосъобразно бездействие на администратора на лични данни, поради което незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение – чл. 204, ал. 4 АПК. Съгласно чл. 203, ал. 2 АПК, за неуредените въпроси за имуществената отговорност се прилагат разпоредбите на ЗОДОВ. В допълнение, в сила е чл. 203, ал. 3 (нова) АПК, ДВ, бр. 94 от 29.11.2019 г., съгласно която по реда на глава единадесета се разглеждат и исковете за обезщетения за вреди, причинени от достатъчно съществено нарушение на правото на Европейския съюз, като за имуществената отговорност и за допустимостта на иска се прилагат стандартите на извъндоговорната отговорност на държавата за нарушение на правото на Европейския съюз, а съгласно чл. 2в ЗОДОВ, ДВ, бр. 94 от 2019 г., когато вредите са причинени от достатъчно съществено нарушение на правото на Европейския съюз, исковете се разглеждат от съдилищата по реда на АПК. Предвид изложеното, настоящият съдебен състав приема подадените искове за допустими и като такива следва да бъдат разгледани по същество и по реда на глава ХІ АПК, вр. чл. 1, ал. 1 ЗОДОВ. Ищецът твърди, че незаконосъобразното бездействие на служители на НАП се изразява в неизпълнение на задължения, произтичащи от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита