Решение № 7442 от 17.6.2024 г. на ВАС по адм. д. № 9906/2022 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба от Национална агенция за приходите, чрез юрисконсулт Танев, против Решение 4534 от 04.07.2022 г. постановено по адм. дело 5183/2021 г. по описа на Административен съд София-град в частта му, с която е уважен предявения против нея иск за обезщетяване на причинени неимуществени вреди. Счита същото за неправилно, като постановено в нарушение на материалния закон и допуснато съществено нарушение на съдопроизводствените правила касационни основания по чл. 209, т. 3 АПК. Иска отмяна на решението в тази част и постановяване на друго по съществото на спора, с което да се отхвърли предявения иск. Претендира юрисконсултско възнаграждение. Ответникът М. К. С., в писмен отговор чрез адвокат Юрукова взема становище за неоснователност на касационната жалба и правилност на обжалваното решение. Иска присъждане на направените по делото разноски. Представителят на Върховна прокуратура дава заключение, че касационната жалба е допустима и неоснователна. Касационната жалба е подадена в срока по чл. 211 АПК, от надлежна страна, за която съдебният акт е неблагоприятен, поради което е процесуално допустима. Производството пред Административен съд София-град се е развило по искова молба на М. К. С. срещу Национална агенция по приходите (НАП) за присъждане на обезщетение в размер на 1000 лева за претърпени неимуществени вреди от неизпълнение от страна на ответника в достатъчна степен на задължението му по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и чл. 24 и чл. 32 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета (GDPR). Искът се основава на твърдяното, че в следствие на неправомерно изтичане на лични данни на ищцата от базата данни на НАП същата е претърпяла неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба тъй като са станали достъпни вследствие т.нар. хакерска атака , при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение за която е било публикувано от медиите на 15.07.2019 г., ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на главницата. С Решение 4643/18.08.2020 г., постановено по адм. д. 11304/2019 г. по описа на Административен съд София-град предявеният иск е отхвърлен като неоснователен. Това решение е отменено с Решение 6083/19.05.2021 г., постановено по адм. д. 10509/2020 г. по описа на Върховния административен съд, като делото е върнато за ново разглеждане от друг състав на съда. Прието е от касационната инстанция, че са допуснати съществени процесуални нарушения при разглеждане на делото, изразяващи се в неизясняване на относимите към спора факти и обстоятелства. При новото разглеждане на делото от съда е дадена възможност да се ангажират доказателства от страните, събрани са посочените такива. С обжалваното решение административният съд е уважил частично, като основателен и доказан предявеният от М. К. С. против Национална агенция за приходите иск за сума в размер на 600 лева, представляваща обезвреда за причинени неимуществени вреди, ведно със законната лихва върху сумата, считано от датата на увреждането до окончателното и изплащане. В останалата му част до претендирания размер от 1000 лева предявения иск е отхвърлен. При този резултат на ищцата са присъдени заплатените разноски за държавна такса, а на адвокат Юрукова е присъдено адвокатско възнаграждение за оказаната безплатна правна помощ. Със същото решение М. К. С. е осъдена да заплати и разноски на ответника за юрисконсултско възнаграждение. Решението е обжалвано в частта относно присъденото обезщетение в размер на 600 лева за претърпените неимуществени вреди, като в останалата част, като необжалвано е влязло в сила. Решението в обжалваната му част е валидно, допустимо и правилно. Решаващият съд е изяснил фактическата обстановка по делото, събрал е относимите за правилното решаване на спора доказателства, обсъдил ги е в тяхната взаимна връзка и във връзка с възраженията на страните и въз основа на това е направил верни правни изводи, които се споделят от настоящия съдебен състав. Правилно и в съответствие със задължителните указания дадени с отменителното решение на Върховния административен съд е прието от административният съд, че предявеният иск е с правно основание по чл. 82, § 1 във връзка с § 2 от Регламент (ЕС) 2016/679 и съответно е определен предметът на доказване. Твърдяното от касационния жалбоподател качество на НАП на административен орган е неточно, доколкото НАП не е колективен административен орган, а администрация, специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания. Тези твърдения обаче са ирелевантни при преценка на отговорността на НАП като администратор на лични данни, съответно и материалноправните предпоставки по чл. 4 ЗОДОВ и чл. 256 АПК са неотносими към конкретния правен спор относно отговорността на агенцията по чл. 82, § 1 във връзка с § 2 от Регламент (ЕС) 2016/679 за допуснати нарушения по чл. 24 и чл. 32 от същия Регламент. Съгласно чл. 24 , § 1 от Регламент (ЕС) 2016/679 администраторът на лични данни трябва да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл. 32 от Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Обосновано административният съд е приел за доказано твърдението на ищцата за наличие на бездействие от страна на НАП, при неустановяване на факта, който е в нейна тежест на доказване, а именно, че взетите от агенцията мерки са подходящи и осигуряващи дължимата се защита. По делото не се доказва да са взети от ответника технически мерки преди нерегламентирания достъп до личните данни на ищцата, които да са достатъчни съобразно рисковете в Интернет от обработването на личните данни. В случая са установени и конкретни недостатъци на взетите технически мерки, способствали неоторизирания достъп на трето лице до личните данни на С. от заключението на назначената по делото експертиза. При установеното по делото администраторът не може да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, осъществили нерагламентирания достъп до личните данни на ищеца и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на С. на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С-340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Размерът на обезщетението правилно е определен съобразно въздействието върху ищцата в изведения в исковата молба период. Предвид изложеното настоящата инстанция намира, че решението в обжалваната му част е правилно и следва да бъде оставено в сила. При този изход на спора искането на процесуалния представител на ответника за присъждане на разноски по делото е основателно и следва да бъде уважено, като на адвокат С. Юрукова бъде присъдено адвокатско възнаграждение за осъществена безплатна правна помощ при условията на чл. 38, ал. 1, т. 3 от Закона за адвокатурата пред касационната инстанция в размер на 400 лева.