Решение № 5561 от 8.5.2024 г. на ВАС по адм. д. № 5576/2022 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу решение 2283/06.04.2022 г. по адм.дело 4861/2021 г. на Административен съд - София - град (АССГ). Касаторът поддържа в касационната жалба и в съдебно заседание чрез процесуален представител, че решението е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, отхвърляне на иска срещу НАП, присъждане на юрисконсултско възнаграждение за касационното производство. Ответникът по касационна жалба - М. Зарева, в писмена молба и писмена защита чрез процесуален представител, иска оставяне на решението в сила, присъждане на адвокатско възнаграждение на адв. Юрукова на основание чл.38 от Закона за адвокатурата. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С решение 5743/12.05.2021 г. по адм.дело 11031/2020 г. на Върховния административен съд, трето отделение е отменено решение 4695/24.08.2020 г. по адм. дело 11182/2019 г. на АССГ и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Посочил е, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Разяснил е, нормата на чл.59 ЗЗЛД е неправилно обсъждана от първоинстанционния съд, тъй като се намира в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това е неотносима към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл.4, т.7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните и в частност какво следва да бъде указано на ответника и как да бъдат преценени негативните преживявания на ищеца. С обжалваното пред настоящата съдебна инстанция решение, постановено във второто първоинстанционно производство по делото, АССГ е осъдил НАП да заплати на М. Зарева от гр. София сумата от 1000 лева, представляваща обезщетение за причинените й неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата по искова молба с посочен входящ номер и посочени правни основания по молбата, осъдила е НАП да заплати на М. Зарева 45 лева разноски и на адвокат С. Юрукова 1200 лева адвокатски възнаграждения по чл.38, ал.2 за трите съдебни производства по делото. Решението е правилно като краен резултат в частта, с която е осъдена НАП да заплати обезщетение за неимуществени вреди в размер на 1000 лева на Зарева, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата и са присъдени разноски и адвокатско възнаграждение. АССГ е посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и и разпространяването на личните данни на ищцата, видно от представената справка, издадена от НАП. Според нея са разпространени имената й, ЕГН и данни от изброени нейни декларации. АССГ е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните и че същите са актуализирани. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. Съдът се е позовал на изслушаната по делото компютърно - техническа експертиза и е приел за установено, че достъпът до личните данни е осъществен през вътрешната система VATREFUND за възстановяване на ДДС от друга държава членка на ЕС, която система комуникира с други вътрешни системи на НАП, от които са извлечени данните. VATREFUND не изисква оторизация с електронен подпис и неоторизираният достъп е осъществен чрез предоставен от системата на НАП линк за изтегляне на изискан документ от трето лице. Според заключението при подходящо техническо, софтуерно и кадрово обезпечение е възможно рискът от нерегламентиран достъп да бъде сведен до минимум. Отделно от това е липсвал технически контрол за оценка на риска и е била внедрена несертифицирана Система за управление на сигурността на информацията. АССГ се е позовал на събраните в първата първа инстанция гласни доказателства, според които ищцата е изживял много тежко разкриването на личните й данни, здравословното й състояние се е влошило и е постъпила на лечение, като са приети и представените от нея медицински документи. АССГ е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 и чл.45, ал.1, т.6 ЗЛД,чл.59 ЗЗЛД, чл.64 ЗЗЛД и чл.66, ал.1 и ал.2 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона чрез възможността за достъп без оторизация с електронен подпис и предоставен линк за изтегляне на документ при този достъп. Ищцата е преживяла негативни емоции, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АССГ на основание чл.52 от Закона за задълженията и договорите е определил обезщетение по справедливост в размер на 1000 лева, като е отчел характера и степента на преживените вътрешни душевни страдания. Настоящата съдебна инстанция не споделя изложените мотиви за нарушение от НАП на чл.45, ал.1, т.6 ЗЛД,чл.59 ЗЗЛД, чл.64 ЗЗЛД и чл.66, ал.1 и ал.2 ЗЗЛД . Както е указала и първата касационна инстанция тези разпоредби са неотносими към задълженията на НАП като администратор на лични данни, тъй като се намират в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване. Правната квалификация на иска е по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679 и е за нарушения по по чл.24 и 32 от Регламент (ЕС) 2016/679 от НАП, които АССГ правилно е приел за установени. Твърдяното от касатора качество на НАП на административен орган е неточно, доколкото НАП не е колективен административен орган, а е администрация към административни органи. Тези твърдения обаче са правно ирелевантни при преценка на отговорността на НАП като администратор на лични данни и материалноправните предпоставки по чл.4 ЗОДВ и чл.256 АПК са неотносими към правен спор относно отговорността на администратор на лични данни по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679 за допуснати от него нарушения по л.24 и 32 от същия Регламент. Чл.24 , пар.1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл.32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АССГ, съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С -340/21 и ангажираната компютърно - техническа експертиза НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищцата, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за доказано твърдението на ищцата за бездействие от страна на НАП. В случая са установени и конкретни недостатъци на взетите технически мерки, способствали неоторизирания достъп на трето лице до личните данни на ищеца. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищеца и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на Зарева на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С -340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Решението като правилно като краен резултат в посочените по - горе части следва да бъде оставено в сила. Решението в частта, в която в диспозитива му са описани входящ номер на искова молба и правни и фактически основания, твърдени в исковата молба, противоречи на субсидиарно приложимата разпоредба на чл.236, ал.1 ГПК вр. чл.144 АПК относно съдържанието на решението по осъдителни искове, тъй като същите не кореспондират с установените от съда основания за присъждане на обезщетението, посочени по - горе, поради което същото следва да бъде отменено в тази си част. С оглед изхода на делото пред ВАС не може да се присъди юрисконсултско възнаграждение на касатора. В настоящето производство ответникът по касация не е направил разноски и съответно касаторът няма да бъде осъден да заплати разноски, поради което липсва кумулативно необходима предпоставка за присъждане на адвокатско възнаграждение по чл.38, ал.2 ЗА на оказалата безплатна адвокатска помощ адв. Юрукова, независимо от изхода на делото.