Решение № 12407 от 3.12.2025 г. на ВАС по адм. д. № 6584/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу решение 6242 от 22.02.2025г. по адм. дело 4311/2022г. на Административен съд София град, в частта му, с които НАП е осъдена по иск с правно основание чл.79, параграф 1 и чл.82, параграф 1 от Общия регламент относно защитата на данните (ОРЗД) да заплати на Р. В. В. сума в размер на 500 лева, представляваща обезщетение за неимуществени вреди, претърпени в резултат на нарушение на сигурността на лични данни, ведно с лихва за забава в размер на 8.89лв. за периода от 15.07.2019г. до предявяване на исковата молба и законната лихва от предявяване на иска до окончателното изплащане на задължението. Касационният жалбоподател поддържа в касационната жалба, че обжалваната част от решението е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, отхвърляне на предявения иск, присъждане на юрисконсултско възнаграждение. Ответникът по касационна жалба - Р. В. В., чрез процесуален представител адв. Юрукова в писмен отговор оспорва касационната жалба и моли решението като правилно да бъде оставено в сила. Претендира присъждане на разноски за производството пред ВАС, съгласно списък и за адвокатско възнаграждение по чл.38, ал.2 от Закона за адвокатурата на адв. С. Юрукова. Представителят на Върховна касационна прокуратура дава мотивирано, писмено заключение за основателност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. Разгледана по същество същата е неоснователна. С решение 4245 от 05.05.2022 г. по адм. дело 11030/2020 г. на Върховния административен съд, трето отделение е отменено решение 4691/24.08.2020 г. по адм. дело 11318/2019 г. на АССГ и делото е върнато за ново разглеждане от друг състав на същия съд. Посочил е, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. ВАС е дал е указания и за правилно разпределение на доказателствената тежест между страните в съответствие с чл. 154, ал.1 ГПК. За да постанови обжалваната част от решението, АССГ е изложил доводи, че предявеният иск е с правно основание чл.79, ал.1, чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679. Посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и и разпространяването на личните данни на ищеца, видно от представената справка ЕГН и имена, данни, подадени от организатори на хазартни онлайн игри, включващи и данни от лична карта. АССГ е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните и че същите са актуализирани. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. От показанията на разпитания по делото свидетел, съдът е приел за доказано настъпването на неимуществени вреди, изразяващи се в страх, притеснения, че може да бъде злоупотребено с личните му данни като от негово име бъдат изтеглени кредити или отчуждено негово имущество и наличие на причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АССГ е определил обезщетение по справедливост в размер на 500 лева, както и лихва за забава, считано от датата на увреждането - 15.07.2019г. до датата на завеждане на исковата молба и законната лихва, считано от датата на подаване на исковата молба -16.09.2019 г. до окончателното изплащане на сумата. Решението е правилно в обжалваната част. Правилна и в съответствие със задължителните указания на първата касационна инстанция е преценката на АССГ за правна квалификация на иска по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679, както и за предмета на доказване.Чл.24 , пар.1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл.32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АССГ, съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С -340/21, НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищеца, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ е приел за доказано твърдението на ищеца за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерагламентирания достъп до личните данни на ищцата и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на ищеца в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С -340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Решението като правилно в обжалваната част следва да бъде оставено в сила. С оглед изхода на делото пред ВАС не се дължи юрисконсултско възнаграждение на касатора. Претендираните от ответника разноски, съгласно списък по чл.80 ГПК за държавни такси и адвокатски възнаграждение за всички съдебни инстанции са присъдени с определение 17194 от 20.05.2025г. по настоящото дело, което не е обжалвано и е влязло в законна сила. В настоящето касационно производство ответникът по касация не е направил разноски, следователно касаторът няма да бъде осъден да заплати разноски, поради което липсва кумулативно необходима предпоставка за присъждане на адвокатско възнаграждение по чл.38, ал.2 ЗА на оказалата безплатна адвокатска помощ адв. Юрукова, независимо от изхода на делото.