Решение № 5896 от 4.6.2025 г. на ВАС по адм. д. № 2642/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба на Национална агенция за приходите срещу Решение 4117/07.02.2025 г. на Административен съд София - град /АССГ/, постановено по адм. дело 9295/2024 г., в частта, в която Национална агенция за приходите/НАП/Агенцията/ е осъдена да заплати на Д. С. Д. сума в размер на 500 /петстотин/ лева, представляваща обезщетение за претърпени неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. както и разноски по делото в размер на 600 лв., представляващи адвокатско възнаграждение. Решението, в частта, в която е отхвърлен предявеният от Д. Д. иск в останалата му част, до пълния предявен размер от 1000 лв., както и в частта, с която същата е осъдена да заплати разноски на НАП, като необжалвано е влязло в сила и не е предмет на касационната проверка. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано отменителни основания по чл. 209, т. 3 от АПК. Според касатора неправилно АССГ е приел, че е доказано наличието на първия елемент за ангажиране отговорността на НАП - незаконосъобразно бездействие на орган или длъжностно лице на държавата, при или по повод изпълнение на административна дейност от състава на чл.1, ал.1 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/. Твърди, че не са изследвани предприетите от страна на НАП нормативно установени мерки, не било отчетено, че хакерската атака е престъпление, на което НАП е жертва. Подробно описва предприетите от Агенцията действия след публичното разгласяване на данните, нормативната рамка относно обработването и защитата на личните данни, предприетите от НАП технически и организационни мерки. Моли решението, в обжалваната част, да се отмени и се постанови ново, с което се отхвърли иска на Д. Д. срещу НАП. Претендира юрисконсултско възнаграждение за процесуално представителство пред Върховния административен съд/ВАС/. Касационният жалбоподател в съдебно заседание не се явява и не се представлява. Ответникът по касация Д. С. Д. оспорва касационната жалба в писмен отговор, депозиран чрез пълномощника адв. С. Юрукова. Моли обжалваното решение да се остави в сила. Претендира разноски за настоящата инстанция, за което прилага списък на същите. Ответникът по касация не се явява и не се представлява в съдебно заседание. Представителят на Върховната касационна прокуратура дава мотивирано заключение за допустимост и неоснователност на касационната жалба. Върховният административен съд, състав на Пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество, касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувано по предявен иск на Д. Д. срещу Национална агенция по приходите с искане да й бъде заплатена сумата в размер на 1 000 лева, представляваща обезщетение за претърпени неимуществени вреди, настъпили в резултат на неизпълнение в достатъчна степен от ответника на задължението по чл.59, ал.1 от Закона за защита на личните данни /ЗЗЛД/, чл.24 и чл.32 от Общия регламент относно защитата на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета /GDPR/, заедно със законната лихва върху тази сума. Първоинстанционният съд е приел за безспорно, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани общо 6 074 140 субекти на данни. От представената от ищцата Справка от НАП за неправомерно разпространени нейни лични данни, последните са уточнени - ЕГН и имена, данни от декларации, подадени от работодатели/осигурители за осигурените от тях лица, данни от справка за изплатени доходи на физически лица и данни, подадени от организатори на хазартни онлайн игри. Със Заповед ЗЦУ-586/30.04.2014 г. на Изпълнителния директор на НАП е наредено да се внедрят Системи за управление на сигурността на информацията по стандарт БДС ISO/IEC 27001:2006 в НАП. Със Заповед З-ЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 от ЗНАП , Указания за обозначаване и работа с информация , Указания за попълване на образци на процедура , Указания за попълване на образеца на инструкция и др. Съдебното производство е образувано след отмяната на Решение 5034 от 29.09.2020 г. постановено по адм. дело 11305/2019 г. по описа на Административен съд София- град с Решение 9693/09.09.2024 г. по адм. дело. 13605/2020 г. по описа на Върховния административен съд и връщането му за ново разглеждане от друг състав, съобразно дадените указания по тълкуването и прилагане на закона. Предвид задължителните указания, дадени с Решение 9693/09.09.2024 г. по адм. дело 13605/2020 г. на ВАС, с разпореждане 20510/18.10.2024 г. по адм. дело 9295/2024 г. съдът е указал доказателствената тежест на ответника, в т.ч. да се представят доказателства за изпълнение на задължението за спазване принципите за законосъобразност и добросъвестност, залегнали в чл. 5, § 1, б. а и б. е от ОРДЗ, както и обстоятелствата, че приложените от него мерки за сигурност по чл. 32 от ОРДЗ са подходящи. Със същото разпореждане е указана доказателствената тежест на ищцата да представи доказателства за твърдените нематериални вреди, поради опасенията, които е изпитала в следствие на нарушение на регламента от потенциалната злоупотреба с личните й данни. За доказване на претърпени неимуществени вреди по адм. дело 113056/2019 г. са събрани гласни доказателства, чрез разпит на свидетеля М. Б. Д. /син на ищцата/ които съдът е кредитирал доколкото възпроизвеждат лични впечатление на свидетеля от ищеца, независимо, че са в родство с ищцата. Същите са преценени от АССГ като логични и последователни и непротиворечиви. Посочил е ,че от друга страна по делото не са ангажирани доказателства, които да ги оборват. При повторното разглеждане на спора, освен събраните и приобщени по адм. дело 11305/2019 г. доказателства, не са представени и приети други писмени и гласни доказателства. Въз основа на така установените факти съдът е приел, че искът е допустим и частично основателен. След анализ на предпоставките за основателност на иска по чл. 1, ал. 1 от ЗОДОВ, е посочил, че в случая исковата претенция се основава на незаконосъобразно бездействие на администратора на лични данни, поради което незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение чл. 204, ал. 4 от АПК. Съдът е анализирал разпоредбите на чл. 203 от АПК, чл. 2в от ЗОДОВ и е приел подадените искове за допустими, поради което е пристъпил към разглеждането им по същество по реда на глава ХІ от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Съдът е намерил, че е налице първата предпоставка на визираната в чл. 1, ал.1 от ЗОДОВ хипотеза, а именно: незаконосъобразно бездействие на държавен орган да изпълни вменените му от чл. 59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. Посочил е, че съставомерно в този случай е липсата на активно поведение на компетентен орган да извърши конкретни фактически действия. Цитирал е Решение от 14.12.2023 г. на трети състав на СЕС по дело С-340/2021 г. съгласно което чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО /Общ регламент относно защитата на данните/ трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи . Чл. 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове . Принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение, администраторът носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 са подходящи . Следва да се има предвид и, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на член 4, точка 10 от посочения регламент . За безспорно по делото е прието от съда, изхождайки от твърденията в исковата молба, от събраните по делото доказателства и от изявлението на процесуалния представител на ответника по иска, че на 15.07.2019 г., вследствие нерегламентиран достъп от неизвестно лице, от електронните масиви на НАП, е изтекла информация, съдържаща лични данни на ищцата Д.. В резултат на неоторизирания достъп до сървъра на НАП, съдържащ информация относно личните данни на ищеца, у последната са възникнали притеснения и опасения да не бъде злоупотребено с тях. Разпоредбата на чл. 24 Отговорност на администратора от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, предвижда, че като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. В допълнение, в чл. 32 са предвидени конкретните мерки които следва да се предприемат, а именно: "Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, включително, inter alia, когато е целесъобразно: a.) псевдонимизация и криптиране на личните данни; б.) способност за гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; в.) способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент; г.) процес на редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването. Съдът е посочил, че с оглед дадените от СЕС по преюдициалното запитване разяснения, в тежест на ответника е било да установи липсата на нарушение по смисъла на Регламента и липсата на причинна връзка с твърдените вреди, както и че е приложил подходящи мерки за сигурност на личните данни. АССГ е приел, че ответникът не е доказал какви технически мерки са взети, за да се предотврати достъпа; достатъчни ли са те, предвид достиженията на техническия прогрес и различните рискове; технически възможно ли е било осуетяването на изтичането на данни. Правилно АССГ е посочил, че с оглед разпределената доказателствена тежест ответникът не е успял да докаже изпълнение на законовото си задължение, че е приложил подходящи мерки за сигурност на личните данни по чл. 32 от Регламента. В този смисъл съответен на доказателствата по делото е правният извод на АССГ за недоказаност на факта, че извършените от НАП действия са били подходящи технически и организационно за осигуряване на съобразено с риска ниво на сигурност на личните данни на ищеца. Правилна е констатацията на административния съд, че доказан се явява първият елемент от фактическия състав на предявения иск - бездействие за точно изпълнение на задължението по чл. 32 от ОРЗД, а именно: приложени от НАП подходящи организационни и технически мерки за осигуряване на ниво на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Прието е,че бездействието на НАП е незаконосъобразно, в противоречие на нормативните изисквания на чл.24 и чл.32 от ОРЗД. На следващо място АССГ е посочил, че е осъществена и втората предпоставка за ангажиране на отговорността на ответника, а именно: претърпяна вреда от Д. Д. от това незаконосъобразно бездействие, изразяваща се в преживян от същата стрес, безпокойство, притеснение да не бъде извършена злоупотреба с имуществото й, като за да достигне до този извод съдът е взел предвид посоченото в Решение от 14.12.2023 г. на трети състав на СЕС по дело С-340/2021 г. /т. 6/, че чл. 82, § 1 от Регламент 2016/679, съгласно което опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда и е кредитирал свидетелските показания от които се установява, че научавайки за изтичането на личните й данни, ищцата е започнала да изпитва силно безпокойство от възможността за неправомерната им употреба, както и че трето лице би могло да изтегли кредит от нейно име. С оглед на евентуалния характер на опасенията и липсата на вредоносен резултат, съдът е намерил, че обезщетението следва да бъде определено в размер на 500,00 лева, като за да определи този размер на неимуществените вреди съдът е взел предвид интензитета на вредите, продължителността на претърпяването им, възрастта и личността на ищеца. Касационната инстанция споделя направения извод на АССГ, че размерът на обезщетението за неимуществените вреди съответства на характера и тежестта на увреждането и неблагоприятното отражение в живота на ищцата, поради което правилно искът до пълния претендиран размер от 1 000 лева е отхвърлен като неоснователен и недоказан. На следващо място - правилно е прието от съда, че предвид основателността на главния иск, следва да се уважи и претенцията за заплащане на лихва за забава. С оглед изхода на спора и предвид разпоредбата на чл. 10 от ЗОДОВ съдът е присъдил разноски, съразмерно уважената/отхвърлената част от иска. Обжалваното решение е валидно и допустимо, като постановено от надлежен съдебен състав, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно и следва да бъде оставено в сила по следните съображения: Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, §1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 от ЗЗЛД, чл. 203 от АПК, вр. чл. 1, ал. 1 от ЗОДОВ. Правилно решаващият съд е посочил предпоставките, които следва да се установят, за да се приеме искът за основателен. Предвид чл. 82 от Регламент /ЕС/ 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент /ЕС/ 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено че от текста на член 82, §1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, §1 от Харта на основните права на Европейския съюз /ХОПЕС/ всеки има право на защита на неговите лични данни. Регламент /ЕС/ 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. По делото се установява чрез представената справка от НАП, че до личните данни на ищцата е имало неправомерен достъп. Следователно Д. е доказала твърдението си за наличието на нарушено нейно право на защита на личните й данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството. Разпоредбите на чл. 24 и 32 от Регламент /ЕС/ 2016/679 задължават администратора на лични данни / в случая НАП/ да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, §3 от ОРЗД, предвиждащ че администраторът или обработващият лични данни се освобождава от отговорност съгласно §2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в член 5, §2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи. В процесния случай от представените от ответника писмени доказателства не се установява, че същият е приложил подходящите мерки за сигурност, защото не е доказано как утвърдените правила и мерки са реално приложени и дали те осигуряват подходящото ниво на защита. Доказателствената тежест за установяване на този факт е била в тежест на НАП. Липсват доказателства, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент /ЕС/ 2016/679. Липсват и доказателства, за това какви конкретно технически мерки е взел ответникът, за да защити личните данни, които обработва, от неправомерен достъп, като този от който се претендират вредите. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Представените доказателства за предприети действия след изтичането на данните, не доказват, че взетите мерки са ефективни и подходящи. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието, причинило вредата. Правилно съдът е приел, че са налице втората и третата предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба и в уточняваща молба от 08.11.2019 г. Събраните по делото гласни доказателства установяват, че Д. действително е преживяла твърдените негативни емоции, които са резултат от нарушението на регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че член 82, §1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. В т. 3 от диспозитива на Решение от 4 май 2023 г. по дело С-300/21 на СЕС, е посочено, че член 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. Решаващият съд правилно е кредитирал показанията на свидетеля, които са преценени с оглед всички други данни по делото, в съответствие с чл. 172 от ГПК, вр. чл. 144 от АПК, а при определяне размера на обезщетението е съобразил характера и тежестта на претърпените от ищцата негативни емоции, тяхната продължителност, вида на неправомерно разкритите данни. Така определеният размер би довел до пълно репариране на претърпените от Д. вреди. Налице е причинна връзка между незаконосъобразното бездействие и причинената неимуществена вреда. Проявеното от ответника бездействие да изпълни по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица, е в пряка причинна връзка с негативните усещания на засегнатите лица, в конкретния случай на ищеца. Ако не беше допуснат неправомерния достъп до личните й данни, ищцата не би преживяла негативни емоции. В заключение първоинстанционният съд правилно е приел, че по делото са доказани всички необходими елементи за реализиране правото на обезщетение за причинени вреди на ищеца Д. Д.. При определяне размера на обезщетението АССГ е приложил нормата на чл. 52 от Закона за задълженията и договорите /ЗЗД/, съгласно която обезщетението за неимуществени вреди се присъжда по справедливост, като размерът му се определя с оглед характера на вредите, трайността на търпенето им, негативните преживявания и отражението върху общото психическо състояние на субекта. В този контекст, съдът обосновано е приел, че обезщетение в размер на 500 лв. е съразмерно на претърпените неимуществени вреди, отговаря на конкретните факти по делото и е в съответствие с обществените представи за справедливост, и че така определеният размер би довел до пълно репариране на претърпените от ищеца вреди. Касационната инстанция споделя направения извод на решаващия съд, че размерът на обезщетението за неимуществените вреди съответства на характера и тежестта на увреждането и неблагоприятното отражение в живота на ищцата, поради което правилно искът до пълния претендиран размер от 1000 лв. е отхвърлен като неоснователен и недоказан. С оглед на основателността на главния иск, правилен е изводът за уважаване на претендираната от ищцата лихва за забава. Предвид изложеното, решението като валидно, допустимо и правилно, постановено при липса сочените в касационни жалби основания за отмяна по чл. 209, т. 3 от АПК следва да бъде оставено в сила. С оглед изхода на спора претенцията на ответника по касация за присъждане на разноски за настоящата касационна инстанция се явява основателна и следва да се уважи, като се присъди възнаграждение в размер на 200 лв., представляващо част от уважената част на иска - 500 лв., съгласно чл. 38, ал.2 от Закона за адвокатурата, вр. с чл. 7, ал.2, т.1, вр. чл. 8, ал.1 от Наредбата 1 от 9 юли 2004 г. за възнаграждение за адвокатска работа. Воден от горното и на основание чл. 221, ал. 2, изр. първо, предл. първо от АПК, Върховният административен съд, Пето отделение