Решение № 6054 от 19.05.2021 г. на ВАС по адм. д. № 634/2021 г.

Решение № 6054 от 19.05.2021 г. на ВАС по адм. д. № 634/2021 г., V о., докладчик съдията Мария Николова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на С. П. срещу Решение № 6463/17.11.2020 г. на Административен съд С.-град (АССГ) постановено по адм. дело № 11274/2019 г. В касационната жалба е допусната техническа грешка при изписване номера на обжалваното решение, но предвид изложеното в жалбата, волята на касационния жалбоподател, относно това кой е обжалваният съдебен акт, е ясна и недвусмислена. С обжалваното решение е отхвърлен предявеният от С. П. иск за сумата от 1 000 (хиляда) лева, ведно със законната лихва върху тази сума, считано от 15.07.2019 г., алтернативно от датата на подаване на исковата молба, до окончателното изплащане на сумата, срещу Национална агенция за приходите (НАП), представляваща обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължение по чл. 59, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД). Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Оспорва извода на съда, че след като достъпът до данните е бил осъществен посредством противоправно посегателство от трети лица, НАП като "пострадало лице" не следвало да носи отговорност. Сочи, че съдът не е отчел, че отговорността по Закона за отговорността на държавата и общините за вреди (ЗОДОВ) е обективна. Националната агенция за приходите, като администратор на лични данни, е имала основната задача да предпази съхраняваните и обработвани лични данни именно от противоправни посегателства на трети лица. Счита, че след като е бил налице пробив в системата, това означавало, че задачата не е била изпълнена и именно в резултата се състояла липсата на ефективност на мерките, прилагани от ответника за защита на съхраняваните и обработвани от него лични данни на ищеца. Сочи, че съдът без да притежава специални знания, е приел за основателни възраженията на ответника по иска, че предприетите от него мерки са ефективни. Твърди, че съдът е обсъдил представените в тази връзка от ответника писмени доказателства, но не ги е обсъдил, а единствено ги е цитирал в оспорваното решение. Неправилно е приел, само въз основа на тези писмени доказателства, че не е налице първият елемент от фактическия състав на отговорността по чл. 1, ал. 1 ЗОДОВ. Оспорва извода на съда, че неимуществените вреди следвало да не са хипотетични и евентуални, а реални. Излага твърдения, че притесненията на ищеца от възможни злоупотреби с личните му данни, са реални неимуществени вреди. Позовавайки се на съдебна практика по приложението на чл. 2, ал. 2 ЗОДОВ излага съображения, че когато се претендира обезщетение за обичайните неимуществени вреди, не са нужни формални, външни доказателства за тези обичайни вреди. Моли обжалваното решение да се отмени и вместо него да се постанови друго, с което се уважи предявеният иск. Претендира разноски за двете съдебни инстанции. Представя Списък на разноските. Касационният жалбоподател се представлява от адв. Ю.. Ответникът по касация – Националната агенция за приходите оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за двете съдебни инстанции. Ответникът по касация се представлява от юрк. Т.. Представителят на Върховната административна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения. Производството пред АССГ е образувано по предявен иск от С. П. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г. (алтернативно от дата на завеждане на исковата молба) до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните данни, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните й, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните й данни. Първоинстанционният съд от фактическа страна е установил, че на 15.07.2019 г. е изтекла информация от информационните масиви на НАП, съдържащ данни на над 5 мил. души. Посочил е, че е безспорно, че това изтичане е поради нерегламентиран достъп, в следствие на умишлени престъпни действия от страна на неизвестно/и лице/а. Посочил е, че не е налице необходимост да събира доказателства какви лични данни са изтекли, по причина, че правопораждащият факт е достатъчно известен, а при демографската обстановка било повече от сигурно, че ищцата е засегната от пробива в системата на НАП. Посочил е, че също не следва да обсъжда твърденията в исковата молба за преживени душевни несгоди, предвид неприключилите коментари за неоторизирания достъп до личните данни на ѕ от населението и нормалната човешка реакция при доказана липса на защита на лични данни; константната престъпност със злоупотреба с лични данни, телефонни, имотни, търговски и всякакъв вид измами, както и несигурната защита, при евентуална държавна намеса. По тези съображения е приел, че твърдението е за несъответна защита на лични данни от страна на НАП, като оператор с лични данни. Посочил е, че от ответника по иска са представени писмени доказателства - Заповед № 3 ЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с която е утвърдена политика по защита на личните данни в НАП, утвърдената Политика по информационна сигурност на НАП, версия 3. 0 от м. май 2016, Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения, Заповед № 3 ЦУ-586/30.04.2014 г. на изпълнителния директор на НАП, с която е наредено да се внедри СУСИ по стандарт БДС IS0/IEC 27001: 2006 в НАП, Методика за оценка на риска, версия 1. 1, към м. декември 2015 г., Заповед № 3 ЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП, с която са утвърдени "Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от Закона за Националната агенция за приходите (ЗНАП)", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др. Въз основа на така установените факти съдът е приел, че искът е неоснователен. В тази връзка е изложил съображения, че липсват предпоставки за ангажирането на отговорността на държавата по смисъла на ЗОДОВ. След анализ на разпоредбата на чл. 59, ал. 1 ЗЗЛД и чл. 24 и чл. 32 от ОРЗД, е посочил, че тези разпоредби не регламентират конкретни задължения, респ. действия на приходната агенция, свързани с опазването на личните данни, неизпълнението на които да съставлява незаконосъобразно бездействие. Изложил е съображения, че наведените доводи на ищцата за липса на подходящи и ефективни организационни и технически мерки следва да бъдат безспорно установени и по категоричен начин да става ясно, че задълженията на администрацията са останали неизпълнени или лошо изпълнени и именно те да са причината за неправомерния резултат. Посочил е, че няма спор, че е налице противоправно деяние, извършено от трети лица. Приел е, че то само по себе си не обосновава извод, че е следствие от незаконосъобразното бездействие на ответника, да изпълни нормативно предвидените с регламента и закона задължения, да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица, във връзка с обработването на личните им данни. Посочил е, че от страна на ответника са представени доказателства, от които става видно, че задълженията предвидени с регламента са изпълнени. По отношение на изложените в исковата молба твърдения за настъпилите вреди е посочил, че субективното изживяване е достатъчно лично, за да бъде обсъждано от съда. Приел е, че реални щети/вреди не са настъпили. Посочил е, че в исковата молба се сочи, че ищцата е преживяла стрес, безпокойство, притеснения и опасения за възможна злоупотреба с личните и данни. Изложил е съображения, че настъпилите неимуществени вреди следва да не са хипотетични и евентуални, а реални. Преживеният стрес, безпокойство и притеснение, следва да са такива, че да доведат до трайно изменение в ежедневно битовите навици и поведение на ищцата. Чувството на стрес и безпокойство трябва да са довели до реална промяна в поведението на ищцата. Житейски погледнато, в случай на такова нерегламентирано посегателство спрямо личните данни на човек, последният следва да предприеме всякакво активно поведение, с цел да защити своите интереси. Приел е, че такива доказателства не са ангажирани от ищцата. Предвид неустановяването на незаконосъобразно бездействие на ответника и настъпили вреди, е посочил, че е безпредметно да бъде обсъждана причинна връзка и следва да се приеме, че такава не е налице. Решението е правилно при следните съображения. Обжалваното решение е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Както правилно е отбелязал първоинстанционният съд, въпросът с допустимостта на иска е разрешен с Определение № 4958/28.04.2020 г., постановено по адм. дело № 1638/2020 г. по описа на ВАС. М. и да не е обсъдено от съда, по делото са представени доказателства за липсата на висящо или приключило производство, иницирано от ищцата, което е условие за допустимост на иска, съгласно чл. 39, ал. 4 ЗЗЛД. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В случая с оглед качеството на администратора на лични данни – специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл. 2, ал. 1 ЗНАП) правото да се претендира обезщетение за причинените вреди се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане към неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. Правилно решаващият съд е посочил, че за да възникне право на иск за обезщетение, е необходимо да са налице няколко кумулативни предпоставки, а именно: - незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината, при или по повод изпълнението на административна дейност; вреда - имуществена или неимуществена; пряка и непосредствена причинна връзка между незаконосъобразния акт, действието или бездействието и настъпилата вреда. В светлината на чл. 82 от ОРЗД предметът на доказване изисква: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Първоинстанционния съд неправилно е приел, че не е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Неправилно съдът е посочил, че не е налице необходимост да събира доказателства какви лични данни са изтекли, доколкото това е едно от обстоятелствата, които следва да бъдат установени. По делото от ищеца са представени доказателства – извадка от получен SMS, без дата и без номер на който е изпратен, неоспорена от ответника, със следното съдържание: "НАП: По заявка номер 5859 ИМА неправомерно разкрити лични данни". Направено е и доказателствено искане да се задължи ответникът да представи доказателства за вида и обема на изтеклите данни, по което искане съдът не се е произнесъл. Доколкото в касационната жалба липсват наведени доводи за допуснато съществено нарушение на съдопроизводствените правила в тази връзка, това не се отразява на крайния резултат по спора. В случая следва да се приеме, че ищецът е представил доказателства за наличието на нарушено негово право – на защита на личните му данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството. Чл. 24 и 32 от Регламент (ЕС) 2016/679, и чл. 59 ЗЗЛД задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. Поради това изводът на съда, че задължението като дължими фактически действия на конкретния административен орган следва да не са абстрактно, а конкретно регламентирани в Конституцията, законовите и подзаконовите нормативни актове, за да е възможно да се отграничи кога тяхното неизпълнение има за последица реализирането на отговорността по чл. 1 ЗОДОВ, е неправилен. С оглед чл. 82, параграф 3 от ОРЗД, предвиждащ че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. Следователно в тежест на ответника по иска е да установи, че е изпълнил задължението си да защити по сигурен начин данните на ищцата. В своя защита срещу предявения иск, ответникът е представил само писмени доказателства, описани от решаващия съд. Основателно в касационната жалба се сочи, че съдът не е обсъдил същите, тъй като не притежава съответните технически знания. Видно от мотивите на решението съдът е приел, че представените писмени доказателства доказват, че задълженията предвидени в регламента са изпълнени. Но не е посочил, защо приема, че това е така, т. е. не е обосновал този свой извод. Представените писмени доказателства доказват вземането на организационни мерки от страна на НАП, назад във времето, но липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните и, че същите са актуализирани. Липсват доказателства, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. Липсват и доказателства за това, какви технически мерки е взел ответникът, за да защити личните данни, които обработва, от неправомерен достъп. В съображение 24 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. В съображение 146 от ОРЗД е предвидено, че администраторът или обработващият лични данни следва да обезщетят всички вреди, които дадено лице може да претърпи в резултат на обработване на данни, което нарушава настоящия регламент. Администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи технически мерки за осигуряване на новото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Не е представил и доказателства, че утвърдените процедури и методики, за които е представил писмени доказателства, са изпълнявани. Тук следва да се отбележи, че не НАП е установил неправомерния достъп, а е разбрал за него от публикации в медиите, което означава, че взетите организационни мерки не гарантират, че администраторът следи за неправомерен достъп и при наличието на такъв, разбира своевременно за това. Представянето на писмени доказателства за наличието на организационни мерки е недостатъчно, за да се приеме, че предприетите от администратора мерки са подходящи. Твърденията и представените доказателства за предприетите от ответника действия след "изтичането" на данните са част от задълженията му по регламента и закона, но не доказват, че взетите от него мерки са ефективни и подходящи. С оглед изложеното, в случая не може да се направи извод, че ответникът е доказал по безспорен начин, че изпълнил задълженията си по чл. 24 и чл. 32 от ОРЗД и е налице основание да бъде освободен от отговорност, при условията на чл. 82, параграф 3 от ОРЗД. Противно на приетото от решаващия съд, по делото е установен първият елемент от фактическия състав на предявения иск – бездействие за точно изпълнение на задължението по чл. 32 ОРЗД. По отношение на втория елемент - причинена материална или нематериална вреда. В случая ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба и в уточняваща молба от 14.11.2019 г. Правилно решаващият съд е приел, че в случая твърдените неимуществени вреди не са доказани. Съдът е уважил доказателственото искане на ищцата и е допуснал събиране на гласни доказателства за установяване на твърдените от нея стрес, притеснения, страх, т. е. преживените отрицателни негативни състояния, свързани с допуснатия пробив на личните данни. Съдът е отменил определението за допускане на свидетел, доколкото ищцата се е отказала от това си искане, видно от отразеното в протокола от проведеното на 27.10.2020 г. съдебно заседание. Поради това следва да се приеме, че твърдението за причинените неимуществени вреди, е останало недоказано, поради неизпълнение от страна на ищцата на задължението й по чл. 154, ал. 1 АПК по предявения осъдителен иск. Противно на изложеното в касационната жалба, в процесния случай за доказването на претърпените вреди са нужни доказателства, тъй като вредите са обусловени от конкретно и специфично обстоятелство – допуснатия пробив в информационната система на НАП, което е довело до неправомерен достъп до лични данни. Болките и страданията са строго индивидуални и зависят от субективното отношение на всяко лице към определено противоправно поведение, като е необходимо то да е конкретно установено. В случая преживените неимуществени вреди не могат да се предполагат, а още по малко - да се приемат за доказани, само на база обстоятелството, че тези вреди настъпват в резултат на неправомерния достъп до лични данни, поради бездействието на администратора за предприемането на подходящите и ефективни организационни и технически мерки. В тежест на ищцата е било да докаже в какво се изразяват нейните негативни преживявания, за да се приеме за основателна и доказана претенцията й за обезщетение за причинените неимуществени вреди. Предвид липсата на доказаност на втория елемент от фактическия състав на предявения иск, е безпредметно обсъждането на третия, поради което крайният извод на решаващия съд в тази връзка е правилен. При липса на пороците сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно като резултат, следва да бъде оставено в сила. При този изход на спора ще следва да се уважи претенцията на ответника по касация за заплащане на юрисконсултско възнаграждение за настоящата инстанция, на основание чл. 10, ал. 4 ЗОДОВ. С оглед действителната правна и фактическа сложност на делото и на основание чл. 37 от Закона за правната помощ и чл. 24 от Наредбата за заплащането на правната помощ, същото следва да се определи в размер на 100 лв. Претенцията на ответника по касация за присъждане на разноски за производството пред първата инстанция, не следва да се уважава, предвид чл. 81 ГПК вр. чл. 144 АПК. Ответникът е имал възможност по реда на чл. 248 ГПК вр. чл. 144 АПК да поиска присъждането им от първата инстанция.