Решение № 1148 от 11.2.2025 г. на ВАС по адм. д. № 7860/2024 г.

Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс /АПК/. Образувано е по касационна жалба, подадена от НАП чрез процесуален представител, срещу частите от решение 959/08.05.2024 г. по адм. дело 456/2021 г. на Административен съд - Добрич (АС - Добрич), с които е осъдена НАП, да заплати на С. Н. К. от гр. Добрич, сума в размер на 200 лева, представляваща обезщетение за неимуществени вреди вследствие незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ОРЗД), ведно със законната лихва върху тази сума, считано от датата на влизане в сила на решението до окончателното й изплащане и НАП е осъдена да заплати 10 лева разноски за държавна такса и 120 лева разноски за адвокатски възнаграждения на ищцата. Касаторът поддържа в касационната жалба и в писмено становище чрез процесуален представител, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост, иска отмяната му, присъждане на юрисконсултско възнаграждение и разноски на НАП. Ответникът по касационната жалба - С. Н. К. от гр. Добрич, не взима становище. С решение 9420/15.09.2021 г. по адм. дело 10793/2020 г. на Върховния административен съд, трето отделение е отменено решение 239/03.08.2020 г. по адм. дело 32/2020 г. на АС Добрич в обжалваната част и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищцата правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. АС - Добрич при новото разглеждане на делото е изпълнил указанията относно разпределението на тежестта на доказване. За да постанови обжалваните части от решението, АС е изложил доводи, че предявеният иск е с правно основание чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679. съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и разпространяването на личните данни на ищеца, видно от представената справка от НАП след направена проверка с ПИК. Според нея са разпространени трите й имена и ЕГН. АС е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи и достатъчни, за да гарантират защита на данните. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АС е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 и чл.59 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона . Ищцата е преживяла негативни емоции, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АС на основание чл.52 от Закона за задълженията и договорите е определил обезщетение по справедливост в размер на 200 лева, като е отчел продължителността и интензитета на изпитаните негативни емоции при узнаване за разпространението на личните й данни. Решението е правилно обжалваната част. Правилна и в съответствие със задължителните указания на първата касационна инстанция е преценката на АССГ за правна квалификация на иска по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679, както и за предмета на доказване. Чл.24, пар.1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл.32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АС, съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С -340/21 НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищцата, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АС е приел за доказано твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищцата и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на ищцата на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АС за наличието на претърпени неимуществени вреди от ищцата, които според решение на СЕС от 14.12.2023 г. по дело С -340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Правилно АС е присъдил разноски на ищцата в съответствие с чл.10, ал.3 ЗОДОВ. Решението като правилно в обжалваната част следва да бъде оставено в сила. С оглед изхода на делото пред ВАС не могат да се присъждат разноски и юрисконсултско възнаграждение на касатора.