Решение № 28087 от 22.12.2024 г. на Административен съд - София-град по дело № 5692/2024 г.

Производството е исково и е по реда на чл.226 и сл. от Административнопроцесуалния кодекс ( АПК ), вр.чл.203 и сл. АПК.

С Решение №2651/20.04.2021 година, постановено по адм.дело №11259/2019 година по описа на Административен съд [област] град, АССГ- Второ отделение, 35 състав е отхвърлил иска с правно основание чл.1, ал.1 ЗОДОВ, предявен от Б. И. Б. срещу Националната агенция за приходите за присъждане на сумата в размер на 1000 лева, представляваща обезщетение за причинените му неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните му данни, станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019г., ведно с иска за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане.

С Решение №6554/29.05.2024 година, постановено по адм.дело № 6490/2021 година по описа на Върховния административен съд, ВАС-Пето отделение е отменил първоинстанционното съдебно решение на АСС и е върнал делото за ново разглеждане от друг състав. Задължителните указания (чл.224 АПК), дадени с отменителното решение, са по приложението на процесуалния закон: да се разпредели доказателствената тежест в съответствие с чл.82 от Регламент 2016/679 (ОРДЗ) да се обсъдят представените от НАП писмени доказателства, при съобразяване на разпоредбата на § 3 на чл. 24 ОРДЗ при съобразяване с решение от 14.12.2023 г. по дело № С-340/2021 г. на Съда на Европейския съюз относно тълкуването на посочените разпоредби на ОРДЗ, а именно, че неразрешеното разкриване на лични данни или неразрешен достъп до такива данни от трето лице по смисъла на чл. 4, т.10 ОРДЗ сами по себе си не са достатъчни, за да се приеме, че приложените от ответника технически и организационни мерки не са подходящи по смисъла на чл. 24 и 32 ОРДЗ, а преценката следва да бъде направена като се вземат предвид рисковете, свързани със съответното обработване и естеството, обхватът и прилагането им, съобразно тези рискове, както и че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 ОРДЗ за обезщетяване на претърпените вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на личните му данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т.10 ОРДЗ, както и че изясняването на тези въпроси изисква специални знанияПри новото разглеждане, съдът следва да се произнесе по разноските, съгласно чл. 226, ал. 3 от АПК.

В съдебно заседание пред АССГ при новото разглеждане на делото, ищецът се представлява от адв.Ю., който моли за уважаването на иска и за присъждането на разноските, направени за всички съдебни инстанции до този момент.

Ответникът- Националната агенция по приходите (НАП) се представлява от юрк. И., която моли за отхвърлянето на иска, като неоснователен и недоказан. Поддържа, че извършването на пробив в информационната система на НАП не означавало, че приложените мерки не са съобразени с рисковете, свързани с обработката на информацията. Обратно, от събраните по делото доказателства се доказало, че НАП е предприела необходимите подходящи технически и организационни мерки за защита на личните данни. Заявява и искане за присъждането на юрисконсултско възнаграждение.

Участващият по делото прокурор от Софийската градска прокуратура дава заключение за основателност на предявения иск, но недоказаност на заявения му размер, поради което следвало да се уважи в занижен размер при съобразяване с принципа на справедливостта.

Административен съд-[област] град, след като обсъди доводите на страните, вкл.и като и прецени събраните при новото разглеждане на делото доказателства, в изпълнение на задължителните указания на ВАС по приложението на процесуалния закон, намира за установено следното:

От фактическа страна:

Ответникът НАП е специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл.2, ал.1 от ЗНАП) и администратор на лични данни по смисъла на чл.4, т.7 от Общия регламент относно защитата на личните данни.

Страните не спорят от фактическа страна, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица.

Ноторно известен е фактът, че след изтичането на лични данни от информационните масиви на НАП, последната е информирала за това Софийската градска прокуратура и Комисията за защита на личните данни.

По делото е представена и приета извадка от получен [Наименование], с посочен в него час-15.03, но без посочена дата, със следното съдържание: „НАП: По заявка номер 91058 ИМА неправомерно разкрити лични данни“. Не е посочен телефонният номер, на който е получен [Наименование]Макар и тези данни да са непълни, съпоставени с липсата на оспорване от страна на ответника, че сред изтеклата информация са и лични данни на ищеца, съдът приема този факт за установен.

Със Заповед № ЗЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с която е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3.0 от м. май 2016, както и Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал.2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения.

Със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС [Наименование]/[Наименование]: 2006 в НАП. Изработена е Методика за оценка на риска, версия 1, към м. декември 2013г.

Със Заповед № ЗЦУ-83/23.01.2013 г. на изпълнителния директор на НАП, са определени вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно-осигурителната сметка и сроковете за съхранение на архивираната информация.

Със Заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т.5 и т.7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. Между страните няма спор от фактическа страна, че пред КЗЛД, в качеството на постоянно действащ независим надзорен орган, осъществяващ защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на Регламент (ЕС) 2016/679 и на ЗЗЛД (чл.61 ал.1 ЗЗЛД), не е налице висящо или приключило производство, инициирано от ищеца.

От събраните по делото гласни доказателства при първоначалното разглеждане на делото чрез разпит на св. И. М. се установяват негативните изживявания на ищеца във връзка с неправомерно разкритите му лични данни, които са се възобновили през 2021 година по повод на посочено събитие. Свидетелят възпроизвежда свои преки и непосредствени възприятия. Сочи, че с ищеца са близки и са били заедно, когато за узнали за теча на лични данни през лятото на 2019 г. Ищецът е от провинцията и се притеснява от възможни бъдещи злоупотреби с изтеглянето на бърз кредит или прехвърляния на негови имоти, които не може да посещава често. Свидетелят сочи още, че също води аналогично дело срещу НАП.

Обстоятелството, че свидетелят също води аналогично дело за обезщетение срещу НАП не е достатъчно за изключване или некредитиране на показанията му, по следните съображения:

По действащото гражданскопроцесуално право и административнопроцесуално право не съществува ограничение по отношение на една или друга категория лица, които е допустимо да бъдат конституирани от съда и разпитани като свидетели, с изключение на тези, имащи качеството на страна в процеса, на съдия или на повереник на страната по същото дело. В този смисъл всяко лице, извън посочените, дори и да е заинтересовано от изхода на делото може да бъде свидетел.

Не съществува спор в съдебната практика и по въпроса, че заинтересовани са тези лица, които имат облага от решаване на делото в полза на страната, която ги е посочила за свидетел, като облагата следва да е непосредствена. Но дори и в тази хипотеза, съдът не може да игнорира допустимите и относими към факти от спорното право показания на свидетеля само на това основание, а е задължен да прецени достоверността им, чрез цялостна съпоставка на всички доказателства по делото.

В случая воденото от свидетеля друго дело не обуславя наличието на непосредствена облага за него от дадените по настоящото дело показания. Като съобразява логичността и последователността на дадените показания, обстоятелството, че свидетелят възпроизвежда свои преки и непосредствени впечатления, както и липсата на събрани по делото доказателства за обратното, съдът по вътрешно убеждение преценява дадените показания за достоверни и ги кредитира.

Вследствие разпределената между страните доказателствена тежест в изпълнение указанията на ВАС, направено с определението за насрочване на делото, по искане на ответника е допусната и извършена съдебно-техническа експертиза. Видно от приетото по нея и неоспорено от страните заключение и поясненията на вещото лице при изслушването му, към момента на теча на данни е била разработена и приета СУСИ базирана на международно приетият стандарт за Информационна сигурност - 180/1ЕС 27001: 2013 от 2014 г. и с последна ревизия към онзи момент от май 2016 г. Също така са били взети предвид и действащите към онзи момент Закон за електронно управление, Закон за защита на личните данни. Този извод ВЛ е направило на база проведен разговор и следните документи, част от делото и/или предоставени му при проведената среща при проведена среща с отговорни служители на НАП: Политика по информационната сигурност на НАП, Версия 3 от май 2016 г., дефинираща съвкупност от правила и средства за цялостна защита на информацията в НАП, като е създадена по структурата на стандарт БДС 18027001/2014. В т.2.2. политиката са описани основните принципи и положения на сигурността и защитата на информация, валидни в НАП. Съдържа и правила, касаещи работа с различни платформи и комуникационни мрежи, архивиране на данните, непрекъсваемост на процесите при обработка и съхранение на данните, но липсва конкретна информация за правила и начин на обработка на личните данни; Методика за оценка на риска, версия 1.1 от ноември 2015 г., представляща Приложение 3 към Процедура №ПФИС 7, Верия В – Оценка на риска за информационната сигурност, утвърдена от Б. А. - изпълнителен директор на НАП на 17.06.2016 г., съдържаща и 3 броя приложения: Приложение 1 - Опис на активите (празна бланка без посочени активи), Приложение 2 -Форма за оценка на риска (празна бланка без дефинирани рискове), Приложение 4 - План за третиране на риска (празна бланка); Инструкция №2/08.05/2019 г. относно мерките и средствата за защита на лични данни, обработвани в НАП и реда за движение на преписките при заявяване на регистри; Политика за защита на личните данни в НАП, утвърдена със Заповед ЗЦУ-746/25.05.2018 г. от изп. директор на НАП; Заповед ЗЦУ-586/30.04.2014 г. за внедряване на Система за Управление на Сигурността на Информацията (СУСИ) по стандарт БДС 18027001/2006; Указания за обозначаване и работа с информацията -версия 3.1 от 2018 г. След установяване на теча на информация през 2019 г. са били назначени три независими проверки- от ДАНС, ГДБОП и КЗЛД, като и до настоящия момент от никоя от тях в НАП не е получено официално заключение и/или протокол за установяването на конкретния тип атака, довела до теча на данни.

Като предполагаем източник на нерегламентиран достъп в доклада за дейността на временната анкетна комисия за изясняване на всички факти и обстоятелства около случая с източване на информация от електронната база данни на Националната агенция за приходите, приет от 44-тото Народно събрание (Обн.ДВ. бр. 17 от 25 Февруари 2020 г.), като най- вероятна е определена атака от тип „ [Наименование] “ срещу едно от програмните приложения на сайта на НАП – „ [Наименование] “, като чрез този тип атака, атакуващият се възползва от уязвимост в изходния код на конкретното уеб приложение и получава директен достъп до базата данни, което приложение използва, като предоставя административните данни за достъп до конкретната базата данни. По формата и структурирането на данни от въпросното изтичане, до които ВЛ е имало достъп, ВЛ също заключава, че най- вероятната използвана атака е именно от тип „ [Наименование] “. След като към 15.07.2019 г. в НАП са били утвърдени общи процедури и методика за оценка на риска за информационната сигурност, според ВЛ този тип атака е била идентифицирана и разглеждана общо като риск за информационната сигурност, но същевременно сочи, че не е установило изричен запис този тип атака да е идентифицирана като критична. ВЛ не е открило доказателства за извършвани тест за уязвимост или въобще да е правен отделен анализ на риска спрямо отделните процеси, системи, операции и информационни активи, чрез който да се изиска провеждане на тестове за уязвимост преди момента на теча на информация, установен на 15.07.2019 г. Такива тестове са правени едва след изменение и допълнение на Закона за електронното управление (ДВ, бр. 94 от 29.11.2019 г.), с който е създадено задължение за това-чл. 7ж, ал.6, в сила от 01.01.2021 г. Към 15.07.2019 г. НАП е разполагала със система за управление привилегиите на потребителите (Рrivilege [Наименование]), работеща в тестова среда, която няколко месеца след теча на лични данни е била напълно функционална. Като последващи мерки в НАП, след теча на лични данни, са внедрени следните системи за осигуряване на необходимото ниво на Киберсигурност: [Наименование]софтуер и хардуер за анализ и събиране на журнални събития; [Наименование]софтуер за предпазване от изтичане на данни; [Наименование]софтуер за управление на идентичността и достъпа. Провеждани са и периодични тестове за уязвимости, извършвани от външни организации.

Вещото лице е категорично, вкл. и въз основа на предприетите впоследствие коригиращи действия, че е било възможно да се предотврати изтичането на информация. Прилагането на тези мерки е било възможно и преди момента на теча, но на база на действащите нормативни и законови норми (национални, доколкото ВЛ се позовава само на ЗЗЛД и ЗЕУ, бел. на съдията ) към момента на пробива, както и поради факта, че уязвимост от предполагаемия тип атака не е била констатирана по същата или друга система на НАП, то не следвало мерките да бъдат предприети задължително. Същевременно обаче самото ВЛ сочи при изслушването му, че период от 5 години, от който е била известна заплахата „[Наименование]“, по принцип е достатъчно дълъг, за да може една такава заплаха бъде идентифицирана. ( „[Наименование]“ е идентифицирана като критична заплаха за сигурността минимум от 2007 година, когато излиза първата [Наименование] ). Не е ясно дали административната парола и юзернейм са били периодично сменяни или са били фабричните за този тип система, като администраторите, с които ВЛ е разговаряло при извършване на експертизата, са казали, че след теча на данни през 2019 г. са били сменени всички пароли и са демонстрирали на ВЛ, че сега всички пароли се сменят автоматично.

Въз основа на гореизложеното съдът обуславя категоричен извод, че приложените от ответника технически и организационни мерки към момента на теча на данни не са подходящи по смисъла на чл. 24 и 32 ОРДЗ, тъй като не са били съобразени с рисковете, свързани със съответното обработване и естеството, обхватът и прилагането им от най-голямата и най-добре обезпечената, вкл финансово (по естеството си) администрация в държавата-данъчната. Абсурдно е да трябва да бъде осъществен пробив в НАП, най-вероятно с атака от тип „ [Наименование] “, известна като критична години преди това, за да се предприемат коригиращите мерки, посочени от вещото лице за предприети след теча през 2019 година в заключението му.

От правна страна:

Искът е допустим-налице са положителните, съотв. липсват отрицателните условия, свързани със съществуването и упражняването правото на иск. Искът е предявен от процесуално правоспособна и дееспособна страна и срещу процесуално правоспособна страна (чл.205, ал.1 АП), като не е налице и пречката по чл.39, ал.4 от специалния ЗЗЛД.

Разгледан по същество, искът е частично основателен, по следните съображения:

1. Съдебното производство е образувано е по искова молба /ИМ/ вх.№27810/16.09.19 г. по регистъра на АССГ, след разделяне на производството по адм.д.№10466/19 г. с определение от 20.09.19 г., в частта, с която от Б. И. Б., чрез пълномощника й-адв.С. Ю., е предявен иск, който съдът [жк], с правно основание чл.79, параграф 1 и чл.82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните), по реда на чл.203 и сл. АПК и чл.1 и сл. от ЗОДОВ, за осъждане на ответника Националната агенция по приходите да заплати на ищеца обезщетение в размер на 1000 лева за неимуществени вреди, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните данни на ищцата.

2. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, параграф 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка (в резултат на) нарушение на задължения на ответника, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна [жк], §1 вр. § 2 от от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) 3.Релевантните факти по предявения иска са: а) Бездействие на ответника да изпълни задълженията си по произтичат от чл. 24 и чл. 32 от Регламента, при спазване на принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е" от същия, а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“) б) настъпването на заявените от ищеца неимуществени вреди; в) пряка причинно-следствена връзка между заявеното фактическо основание на предявения иск- а) и неимуществените вреди- б).

Проекто-докладът по делото, включващ и разпределението на доказателствената тежест, при точното изпълнение указанията от ВАС, е приет без възражения от страните. Ответникът не се справи с носената от него доказателствена тежест да докаже че не е отговорен за събитието, причинило вредата, тоест че липсва нарушение, в причинна връзка, с което са претърпени вредите. По делото се установи точно обратното.

Разпоредбата на чл. 24 „Отговорност на администратора“ предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствия с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: „Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, [Наименование], когато е целесъобразно: а) псевдонимизация и криптиране на личните данни; б) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването.

Администраторът на лични данни по см. на чл. 4 § 7 от ОРЗД и при обработване на личните данни, следва да спазва принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. "а", както и по б. "е", а именно: личните данни трябва да бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки („цялостност и поверителност“ ).

По делото се установи, вкл. от приетото и неоспорено от страните заключение на вещото лице, че приложените от ответника технически и организационни мерки към момента на теча на данни не са подходящи по смисъла на чл. 24 и 32 ОРДЗ, тъй като не са били съобразени с рисковете, свързани със съответното обработване и естеството, обхватът и прилагането им. Предприетите впоследствие коригиращи мерки са били технически възможни преди това и е следвало да бъдат въведени преди това. Още повече при наличието на по-рано известна (от години преди това), като критична, атака от тип „ [Наименование], с която най-вероятно пробивът в НАП е бил осъществен. При редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки е било технически възможно предотвратяването на изтичането на данни към 2019 година. Администраторът на лични данни по см. на чл. 4 § 7 от ОРЗД и при обработване на личните данни, не е спазил принципите за законосъобразност и добросъвестност, залегнали в чл. 5 § 1 б. „а“, както и по б. „е“ от Общия регламент, а именно не е гарантирал подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като не е приложил подходящи техническите и организационни мерки /“цялостност и поверителност“/.

Във връзка с доказване на твърдените вреди от ищеца са ангажирани, съотв. при първоначалното разглеждане на делото са събрани гласни доказателства, които запазват силата си, без да е необходимо повторното им събиране при новото разглеждане на делото.

Във връзка със заявените вреди, настоящият състав споделя разбирането, че в съответствие със съображения 1-во и 4-то за приемането на Общия регламент за защита на данните, защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз /„Хартата"/ и член 16, параграф 1 от Договора за функционирането на Европейския съюз /ДФЕС/ предвиждат, че всеки има право на защита на личните му данни. Обработването на лични данни следва да е предназначено да служи на човечеството.

След като е накърнено основно право на ищцата, като физическо лице при обработването на личните й данни от ответника като администратор-неприложени от администратора на лични данни подходящи технически и организационни мерки за осигуряване ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, което е направило възможно пробива в информационните масиви на НАП, нормално е да се приеме, че ищцата изпитва неудобство, чувства се притеснено и несигурно. Накърнени са легитимните й очаквания спрямо държавата за сигурност в личната и имуществената й сфера, предвид общодостъпната информация за възможни злоупотреби с личните й данни оттук нататък.

По тези съображения, при установяване на този вид обичайни неимуществени вреди не бива да се изхожда само от формалните, външни доказателства. Да се приеме обратното и да се изисква формално пълно доказване на причинените неимуществени вреди, изразяващи се притеснението от всевъзможни бъдещи евентуални злоупотреби с личните данни на ищцата, означава да се отрече необходимостта от защитата на обществените отношения, свързани с обработването на лични данни, дадена с Общия регламент и ЗЗЛД. В случая в подкрепа на тези обичайни вреди са и събраните по делото гласни доказателства. Възприетото в т. ІІ от ППВС № 4 от 23.12.1968 г. разрешение по въпроса за определянето на неимуществените вреди по справедливост не може да означава преценка по усмотрение на съда, която почива само на абстрактните представи на решаващия орган, тъй като тогава мотивите не биха могли да бъдат контролирани от по-горестоящата инстанция. Затова съдът трябва да посочи конкретни факти, които според него са установени по делото и обосновават размера на неимуществените вреди. Това не означава, че при спецификата на непозволеното увреждане по чл.1 от ЗОДОВ е необходимо ищецът да докаже всички факти и обстоятелства, отразяващи се на неимуществените вреди. Когато се твърди причиняване на болки и страдания над обичайните за такъв случай, то тогава тези болки и страдания трябва изрично да бъдат посочени в исковата молба и да бъдат доказани.

В случая, с ненадлежното изпълнение, представляващо бездействие да се изпълнят точно задълженията за защита на личните данни, довело „нарушение на сигурността на лични данни"-нарушение на сигурността, което води до „неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин“, неизменно се причиняват вреди, които се изразяват в емоционални и психически терзания на личността.

Течът на лични данни неизменно е създал риск от злоупотреби с тези данни. Обективното наличие на риск не произтича от медийното му отразяване-не то създава риска. Рискът сам по себе си е вреда, ако този риск в евентуален бъдещ момент се реализира, просто вредата ще бъде по-голяма.

Да се отрича наличието на вреда, означава да се отрече необходимостта от защита на личните данни и същите да се признаят за общодостъпни. Колко и кои точно лични данни на ищцата са изтекли, което не се доказа по делото, също не сочи на липса на вреда, след като безспорно лични данни на ищцата са изтекли в публичното пространство.

Въпросът дали това неразрешено разкриване е станало възможно от успешно проведената хакерска атака и дали тя осъществява състав на престъпление е ирелевантен по делото- съдът не приравнява априори настъпилия противоправен резултат на противоправно бездействие на ответника, а съобразява процесуалните последици от проведеното по делото доказване. Не е налице основанието по чл.82, § 2 –ищецът не доказа, че по никакъв начин не е отговорен за събитието, причинило вредата. За да се освободи от отговорност, ответникът следваше да докаже, а той не успя, че е гарантирал подходящо ниво на сигурност на личните данни, включително срещу неразрешено или незаконосъобразно обработване, каквото представлява хакерската атака, чрез подходящи технически или организационни мерки. Установи се по делото, че необходимите коригиращи мерки са били предприети едва след осъществения пробив, довел до теча на лични данни на 6 074 140 физически лица, с активна регистрация - 4 104 786 души, от които 24 507 чужденци и 4 057 328 души с активна регистрация и валидно ЕГН, сред които и ищеца.

С оглед на изложеното, съдът приема, че ищецът може да претендира обезщетение за обичайните неимуществени вреди от бездействието на ответника да изпълни задължението си да защити по сигурен начин данните й като физическо лице, без да са нужни формални, външни доказателства за установяване на тези обичайни вреди, тъй като те настъпват винаги в резултат от нарушаването сигурността на данните, което обективно създава риск за злоупотреба с тях и е нормално лицето с нарушено права на защита да изпитва неудобство, несигурност и притеснение от този факт. В този случай размерът на обезщетението следва да се определи според стандарта на живот, за да не се превърне в източник на неоснователно обогатяване за пострадалия. Когато ищецът претендира вреди над обичайните, които са обусловени от конкретни, специфични обстоятелства, следва да ги посочи в исковата молба и безспорно да ги докаже. В случая ищецът не доказа вреди над обичайните, включително и с показанията на посочения от него свидетел.

При съобразяване с естеството на увреждането и стандарта на живот ( вкл. минимално установената работна заплата за страната за 2019 г.-560 лева), съдът намира, че справедливото обезщетение за причинените обичайни вреди, които е търпял ищецът е в размер на 600 лева (чл.52 ЗЗД) и уважава иска до този размер. В останалата му част- до пълния му предявен размер от 1000 лева-искът се отхвърля.

По отношение на искането за присъждането на законна лихва, съдът излага следното:

Законната лихва върху дължимото обезщетение има обезщетителен характер, но тя не е обезщетение за вредите от деликта, а обезщетение за забавено изпълнение на парично задължение /Решение №153 от 2.06.2015 г. по гр.д. №6735/14 г., ІV г.о.

Деликвентът дължи обезщетение на пострадалото лице в размер на доказаните имуществени и неимуществени вреди, както и законна лихва от датата на увреждането/ чл. 84, ал. 3 ЗЗД/. Лихвите се дължат върху размера на обезщетението, защото съгласно цитираната разпоредба, деликвентът се счита в забава без покана, т.е. от датата на увреждането. В този случай присъждането на законната лихва е последица от уважаването на главния иск - за обезщетението и тъй като не се предявява като самостоятелен иск не се дължи държавна такса. Силата на присъдено нещо се разпростира върху главния иск, но не и върху размера на законната лихва. Размерът на законната лихва ще подлежи на установяване в изпълнителното производство. Не съществува пречка ищецът да предяви като самостоятелен иск обезщетение в размер на законната лихва по чл. 86 ЗЗД. В този случай ще се дължи заплащането на държавна такса на основание чл. 72, ал. 1 ГПК - съдът ще бъде сезиран с два обективно съединени иска и ще дължи произнасяне по всеки един от тях с решението, като силата на присъдено нещо ще се разпростира и върху притезанието по двата иска. / Определение 406/15.07.2009 г. на ВКС, Първо ТО по ч. т. д. 300/2009 г./ В случая, ищецът е избрал да не предяви самостоятелен иск за обезщетение за забава в размер на законната лихва от датата на увреждането до датата на подаване на исковата молба и предявеният иск е само един.В съответствие с приетото за установено от фактическа страна, съдът присъжда законната лихва върху уважената част от исковата претенция-600 лева от 15.07.2019 г. При този изход на спора и на основание чл.10, ал.3 ЗОДОВ съдът присъжда разноски за първоинстаницонното съдебно производство, в размер общо на 40 лева-заплатени държавни такси. На процесуалния представител на жалбоподателя-С. Ц. С.-Ю., осъществила процесуалното представителство на основание чл.38, ал.1, т.3 ЗА, ответникът следва на основание чл.38, ал.2 ЗА да заплати възнаграждение за всички съдебни инстанции дотук (чл.226, ал.3 АПК), което съдът определя в размер общо на 600 лева-чл.8, ал.1, т.1 от Наредба №1от 9.07.2004 г. за минималните размери на адвокатските възнаграждения.

Правото на разноски е възникнало и за ответника, съразмерно на отхвърлената част от иска, за защитата му осъществена от юрисконсулт пред всички съдебни инстанции дотук. Предвид обема и качеството на осъществената реално защита и броя на проведените заседания, съдът определя в размер на 300 лева общо за всички съдебни инстанции дотук- чл. 37, ал.1 от Закона за правната помощ, във връзка с чл.25, ал.1 от Наредбата за заплащането на правната помощ, като съразмерно на уважената част от иска-чл.10, ал.4 ЗОДОВ, присъжда 120 лева.

Воден от гореизложеното, АССГ- ІІ о., 23-ти състав