Решение № 431 от 16.1.2025 г. на ВАС по адм. д. № 6667/2024 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частите от решение 1418/05.03.2024 г. по адм. дело 5224/2021 г. на Административен съд - София - град (АССГ), с които е осъдена НАП, да заплати на Й. Д. К. от гр. София, сума в размер на 500 лева, представляваща обезщетение за неимуществени вреди за периода 15.07.2019 г. до настоящия момент, вследствие незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал. 1 от Закона за защита на личните данни и по чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ОРЗД), да гарантира достатъчно ниво на сигурност на обработваните от НАП лични данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното й изплащане; НАП е осъдена да заплати 22,50 лева разноски на ищеца и 800 лева адвокатско възнаграждение на адв. С. Юрукова. Касаторът поддържа в касационната жалба, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, отхвърляне на исковете за обезщетение и лихви, присъждане на юрисконсултско възнаграждение за касационното производство. Ответникът по касационната жалба - Й. Д. К., в писмен отговор и писмена защита, чрез процесуален представител, оспорва същата, като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира присъждане на разноски за касационната инстанция и присъждане на адвокатско възнаграждение на адв. Юрукова за оказана безплатна адвокатска помощ. Представителят на Върховна прокуратура изразява становище за неоснователност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С решение 6082/19.05.2021 г. по адм. дело 11034/2020 г. на Върховния административен съд, трето отделение е отменено решение 4694/24.08.2020 г. по адм. дело 11173/2019 г. на АССГ и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищеца правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. За да постанови обжалваната част от решението, АССГ е приел, че за да е реализирана отговорността на държавата по чл. 1, ал. 1 ЗОДОВ, следва да са налице кумулативно определени предпоставки: да има причинена вреда-имуществена или неимуществена; да съществува незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината; незаконосъобразният акт или бездействието да са при или по повод изпълнението на административна дейност; пряка и непосредствена причинна връзка между незаконосъобразният акт, действието или бездействието и настъпилата вреда. Изложил е доводи, че е налице първата предпоставка на визираната в чл. 1, ал.1 ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59 ЗЗЛД и чл. 24 и чл. 32 от ОРЗД задължения. Съдът е приел за безспорно, че НАП има качеството на администратор на лични данни по см. на чл.4, т.7 от ОРЗД, и че са изтекли лични данни, обработвани от НАП, което обстоятелство е установено и обявено на 15.07.2019г. Изложил е доводи, че с оглед разпределената доказателствена тежест, ответникът не е успял да докаже изпълнение на законовото си задължение, че приложените от него мерки за сигурност на личните данни по чл. 32 от Регламента са подходящи. Ето защо е останал недоказан фактът, че извършените от НАП действия, са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищцата. Ответникът не е доказал какви технически мерки са предприети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било осуетяването на изтичането на данни. НАП, в качеството си на администратор на лични данни при осъществяване на дейността си, е следвало да предприеме ефективни мерки за предотвратяване неразрешения достъп до личните данни на ищцата. В процесния случай това не е постигнато. Съдът е кредитирал показанията на разпитания по делото свидетел, от които е установено, че ищцата е преживяла безпокойство и притеснение, почувствала се е застрашена, че с нейните лични данни може да бъде злоупотребено, като може да бъдат изтеглени на нейно име, без знанието й кредити, да бъде регистрирано търговско дружество и т.н., поради което е приел, че е осъществена и втората предпоставка за ангажиране на отговорността на ответника, а именно: претърпяна вреда от Й. Д. К. от това незаконосъобразно бездействие При така установеното съдът е приел за доказано настъпването на неимуществени вреди, които са в пряка и непосредствена причинно-следствена връзка с установеното по-горе незаконосъобразно бездействие на администратора, т.е. доказана е и третата предпоставка за основателност на иска. При определяне на размера на неимуществените вреди съдът подробно е обсъдил относимите обстоятелства като интензитета на вредите, продължителността на претърпяването им, възрастта и личността на ищеца, както и продължителността им, като е приел, че искът е частично основателен. Решението е неправилно в частта, в която е посочен като правно основание на уважения иск чл. 59 ЗЗЛД в осъдителния диспозитив. Посочената разпоредба е неотносима към задълженията на НАП като администратор на лични данни, тъй като се намира в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това решението следва да бъде отменено в частта, сочеща за правно основание на уважената част от иска чл. 59 ЗЗЛД. Решението е правилно като краен резултат в останалата обжалвана част, независимо, че настоящият съдебен състав не споделя изложените мотиви относно материално - правното основание на иска по чл.1, ал.1 ЗОДОВ и чл.257 АПК. Видно от задължителните указания на първата касационна инстанция правната квалификация на иска е по чл. 82, пар. 1 във връзка с пар. 2 от Регламент (ЕС) 2016/679 (ОРЗД). АССГ е разпределил правилно тежестта на доказване в съответствие със задължителните указания на ВАС. Твърдяното от касатора качество на НАП на административен орган е неточно, доколкото НАП не е колективен административен орган, а е администрация към административни органи. Тези твърдения обаче са правно ирелевантни при преценка на отговорността на НАП като администратор на лични данни и материалноправните предпоставки по чл. 4 ЗОДОВ и чл. 256 АПК са неотносими към правен спор относно отговорността на администратор на лични данни по чл. 82, пар. 1 във връзка с пар. 2 от Регламент (ЕС) 2016/679 за допуснати от него нарушения по чл. 24 и 32 от същия Регламент. Чл. 24 , пар. 1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл. 32 от Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АССГ, съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С-340/21 НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищеца, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за доказано твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерагламентирания достъп до личните данни на ищеца и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на К. на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С -340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Решението като правилно като краен резултат в тази му част следва да бъде оставено в сила. Предвид изхода на делото пред втората първа инстанция са присъдени разноски на ищцата съобразно уважената част на иска и адвокатско възнаграждение на оказалия безплатна адвокатска помощ адвокат Юрукова съобразно уважената част на иска за трите инстанции, като с влязло в сила определение 4605/02.05.2024 г. е оставена без разглеждане молбата на НАП за изменение на решението в частта за разноските. Влизането в сила на това определение преклудира възможността за преразглеждане на дължимия размер разноски и адвокатско възнаграждение от НАП. С оглед изхода на делото пред ВАС, не следва да се присъжда юрисконсултско възнаграждение на касатора. Не е налице и правна възможност за присъждане на разноски за предходни съдебни инстанции на ответника по касация, който не е искал изменение на решението на втората първа инстанция, произнасяща се на основание чл. 226 ал. 3 АПК по разноските за предходните производство, в частта за разноските, нито го е обжалвал в тази му част. В настоящето производство ответникът по касация не е направил разноски и съответно касаторът няма да бъде осъден да заплати разноски, поради което липсва кумулативно необходима предпоставка за присъждане на адвокатско възнаграждение по чл. 38, ал. 2 Закона за адвокатурата на оказалата безплатна адвокатска помощ адв. Юрукова, независимо от изхода на делото.