Решение № 6146 от 20.05.2021 г. на ВАС по адм. д. № 2102/2021 г.

Решение № 6146 от 20.05.2021 г. на ВАС по адм. д. № 2102/2021 г., V о., докладчик съдията Мария Николова Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Е. А. срещу Решение № 7106/09.12.2020 г. на Административен съд София-град (АССГ) постановено по адм. дело № 11248/2019 г. С обжалваното решение е отхвърлен предявеният от Е. А. иск срещу Националната агенция за приходите (НАП) за присъждане на сума в размер на 1000, 00 лева, представляваща обезщетение на ищцата за причинените й неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни, станали достъпни вследствие така наречената "хакерска атака", при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019 г., ведно с иска за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане. С отделен диспозитив Е. А. е осъдена да заплати на НАП съдебни разноски в размер на 100 лева. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост. Сочи, че съдът е изпълнил неправилно задължението си за разпределяне на доказателствената тежест в процеса, като е указал, че в тежест на ищцата е да докаже незаконосъобразното бездействие на ответника. Излага подробни съображения в подкрепа на становището си, че доказателствената тежест е на ответника, тъй като наличието на бездействие представлява отрицателен факт. Сочи, че от страна на ищцата (сега касационен жалбоподател) не е било възможно да опише конкретни задължения на служителите на НАП, които да не са били изпълнени, тъй като в случая са налице законово регламентирани задължения на ответника за прилагането на "ефективни мерки", което понятие само по себе си предполага оперативна самостоятелност на задължения държавен орган. Поради това счита, че доказателствената тежест е на ответника, който е следвало да посочи кои са били тези подходящи и ефективни организационни и технически мерки, които е решил да приложи в случая, за да защити личните данни на ищцата и да докаже тяхното прилагане на практика и тяхната ефективност. Оспорва и извода на съда, че след като достъпът до данните и бил осъществен посредством противоправно посегателство от трети лица, НАП като "пострадало лице" не следвало да носи отговорност. Сочи, че съдът не е отчел, че отговорността по Закона за отговорността на държавата и общините за вреди (ЗОДОВ). Оспорва изводите на съда, че от страна на НАП е доказана ефективността на мерките, като твърди, че съдът не притежава специални знания, за да извърши тази преценка. По делото не е приемана съдебна експертиза в тази връзка. Отделно от това, представените от ответника документи са цитирани в обжалваното решение, но не са обсъдени. Оспорва и изводите на съда относно недоказването от страна на ищцата на твърдяната вреда. Моли обжалваното решение да се отмени и вместо него да се постанови друго, с което се уважи предявеният иск. Претендира разноски за двете съдебни инстанции. Представя Списък на разноските. Касационният жалбоподател се представлява от адв. Ю.. Ответникът по касация – Националната агенция за приходите оспорва касационната жалба по съображения изложени в писмен отговор. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение. Ответникът по касация се представлява от юрк. Т.. Представителят на Върховната административна прокуратура дава мотивирано заключение за основателност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е частично основателна по следните съображения. Производството пред АССГ е образувано по предявен иск от Е. А. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в периода 15.07.2019 г. – 16.09.2019 г., в размер на 1000 лв., ведно със законната лихва от 15.07.2019 г. (алтернативно от 16.09.2019 г.) до окончателното изплащане на сумата. Неимуществените вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните й данни, се претендират като настъпили от неправомерно бездействие на НАП да изпълни задължението си да защити по сигурен начин данните й, което е станало причина да бъде допуснат пробив в информационната система на НАП и е довело до публично разкриване на личните й данни. За да отхвърли предявеният иск първоинстанционният съд е квалифицирал същия, като такъв с правно основание чл. 203 АПК вр. чл. 82, ал. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (Регламент (ЕС) 2016/679, ОРЗД), вр. чл. 39, ал. 2 от Закона за защита на личните данни (ЗЗЛД), вр. чл. 1, ал. 1 ЗОДОВ. Приел е, че искът е допустим, но неоснователен. Посочил е, че предмет на делото е искова претенция основаваща се на незаконосъобразно бездействие - нарушение на разпоредбите на чл. 24 и чл. 32 от ОРЗД и чл. 59, ал. 1, чл. 45, ал. 1, т. 6, чл. 64, чл. 66, ал. 1 и ал. 2; чл. 67 и чл. 68 ЗЗЛД – неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. Посочил е, че е общоизвестен факт, че на 15.07.2019 г. медиите са оповестили информация за така наречената "хакерска атака", при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. Изтеглянето на информацията се установявало и от писмата на НАП до Софийска градска прокуратура и до КЗЛД, с които адресатите са уведомени, че на 15.07.2019 г. е осъществен неоторизиран достъп до информационната система на НАП и е публикувана информация, съдържаща се в информационните бази данни на Агенцията, която представлява защитена със закони информация - лични данни и данъчна и осигурителна информация. Съдът е приел, че е налице противоправно деяние, което може да се разглежда като престъпление или като нарушение. Извел е извод, че в случая не може да се направи извод, че това противоправното деяние, е следствие от незаконосъобразното бездействие на ответника да изпълни произтичащи от посочените по-горе разпоредби на регламента и закона, задължения да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица, във връзка с обработването на личните им данни. Изложил е съображения, че от доказателствата по делото не се установяват твърдените пропуски под формата на бездействие. Националната агенция за приходите е предприела в тази насока всички необходими технически и организационни мерки, за да минимизира рисковете от поддържането на електронните услуги. Рисковете не могат да бъдат на 100 % процента избегнати, а задължението се свежда до предприемане на мерки за минимизацията им. За този си извод е посочил, че по делото са приложени доказателства, подробно описани от съда, че към 15.07.2019 г. в НАП са разработени и утвърдени документи. След оповестяване и узнаване за неоторизирания достъп, на основание чл. 22 от Регламента, НАП незабавно е уведомила за случая КЗЛД с писмо. Уведомена е и Софийска градска прокуратура за наличие на данни за извършено престъпление, чрез осъществен неоторизиран достъп до информационната система на НАП и разпространение на защитена информация на граждани, обработвани от Агенцията, с искане за незабавно образуване на наказателно производство по случая. Уведомени са специализираните звена при ГД "БОП" - МВР и ДАНС. Предприети са мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и са предприети мерки за преустановяване на нерегламентирания достъп. Поради това е приел, че са спазени разпоредбите на чл. 33 и чл. 34 от Регламента, като е проведено предписаното в тях уведомяване. Приел е, че разпоредбите на чл. 59, ал. 1 ЗЗЛД и чл. 24 и 32 от Регламент (ЕС) 2016/679 не регламентират конкретни задължения, респ. действия на приходната агенция, свързани с опазване на личните данни, неизпълнението на които да съставлява незаконосъобразно бездействие. Задължението като дължими фактически действия на конкретния административен орган следвало да не са абстрактно, а конкретно регламентирани в Конституцията, законовите и подзаконовите нормативни актове, за да е възможно да се отграничи кога тяхното неизпълнение има за последица реализирането на отговорността по чл. 1 от ЗОДОВ. Изложил е и съображения, че органът не е допуснал нарушение на нормите на чл. 45, ал. 1, т. 6; чл. 64; чл. 66, ал. 1 и ал. 2. Приел е, че не е доказано по безспорен начин твърдяното незаконосъобразно бездействие на НАП, което да обоснове наличието на първата предпоставка за възникване на правото на обезщетение в хипотезата на чл. 1, ал. 1 ЗОДОВ. От друга страна не можело да се изключи възможността резултатът да е настъпил като следствие от престъпно деяние по смисъла на Наказателния кодекс, въпреки положените усилия за предотвратяването му. Приел е, че тъй като не се е доказало твърдяното от ищцата незаконосъобразно бездействие, следва да се приеме, че не е налице и пряка причинно-следствена връзка между него и настъпилите неимуществени вреди. Алтернативно е приел, че дори и да се приеме, че е доказано по безсъмнен начин незаконосъобразно бездействие от страна на ответника, то не е доказана причинно-следствена връзка между него и настъпилите неимуществени вреди. В тази връзка е изложил съображения, че към исковата молба е приложена снимка на електронно съобщение със следния текст: "НАП: По заявка номер 9117 ИМА неправомерно разкрити лични данни". От приложеното доказателство не ставало ясно за кого се отнасят личните данни и в какъв обем са разкрити. Разпитаната по делото свидетел – живеещ на семейни начала с ищцата посочвал, че след като установила изтичането на личните й данни ищцата започнала да се държи странно. Семейството веднага инсталирало СОТ – 12 видеокамери, а ищцата изтеглила сметки и влогове. А. много се тормозила, защото не искала личният й живот да се огласява. Обмисляли да се махнат от България. Посочил е, че нямало данни А. да е извършила проверка кои конкретно нейни лични данни са изтекли. Това разколебавало твърденията за създадена тревожност у ищцата от изтичането на информацията. Посочил е, че от показанията на свидетеля и другите доказателства по делото не се установявало реално настъпване на конкретни неимуществени вреди. Би могло да се предположи, че евентуалните вреди за ищцата са причинени не от твърдяното бездействие на НАП, а от публичното оповестяване в интернет пространството на достъпените по неправомерен начин нейни лични данни, което представлявало действие опосредяващо настъпването на крайния резултат. Налице са опосредстващи факти, които изключват пряката причинна връзка между деянието и вредите. Приел е, че неоснователността на главния иск обуславя и неоснователност на свързания с него акцесорен иск за присъждане на лихва върху сумата на обезщетението. Решението е частично неправилно по следните съображения: Обжалваното решение е валидно като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия. Решението е допустимо, тъй като е постановено при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Макар и да не е обсъдено от съда, по делото са представени доказателства за липсата на висящо или приключило производство, иницирано от ищцата, което е условие за допустимост на иска, съгласно чл. 39, ал. 4 ЗЗЛД. Предявеният иск е с правно основание чл. 79, ал. 1, чл. 82, параграф 1 от Регламент (ЕС) 2016/679 във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. В случая с оглед качеството на администратора на лични данни – специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания (чл. 2, ал. 1 ЗНАП), правото да се претендира обезщетение за причинените вреди, се упражнява чрез предявяване на осъдителен иск, подлежащ на разглеждане от административните съдилища по реда на АПК, с препращане за неуредените въпроси към ЗОДОВ и ГПК. Предмет на проверка по съществото на спора е установяването дали актът, действието или бездействието на администратора, е съответно на Регламент (ЕС) 2016/679. Правилно решаващият съд е определил предпоставките, които следва да са налице, за да е основателен искът за обезщетение. В светлината на чл. 82 от ОРЗД предметът на доказване изисква: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. Първоинстанционният съд неправилно е приел, че не е налице първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. По делото от ищеца са представени доказателства – извадка от получен SMS за неправомерно разпространени негови лични данни. Уточнени са и данните, които се твърди, че са "изтекли" за лицето – три имена, ЕГН, номер на лична карта, данни за доходите на лицето. Направено е и доказателствено искане да се задължи ответникът да представи доказателства за вида и обема на изтеклите данни, по което искане съдът не се е произнесъл. Доколкото в касационната жалба липсват наведени доводи за допуснато съществено нарушение на съдопроизводствените правила в тази връзка, това не се отразява на крайния резултат по спора. С оглед събраните по делото доказателства, неоспорени от ответника, следва да се приеме, че ищцата е представила доказателства за наличието на нарушено негово право – на защита на личните й данни от администратора на тези лични данни, което право е накърнено от неправомерния достъп до тези данни и разпространяването им в интернет пространството. Чл. 24 и 32 от Регламент (ЕС) 2016/679, и чл. 59 ЗЗЛД задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. Поради това изводът на съда, че задължението като дължими фактически действия на конкретния административен орган следва да не са абстрактно, а конкретно регламентирани в Конституцията, законовите и подзаконовите нормативни актове, за да е възможно да се отграничи кога тяхното неизпълнение има за последица реализирането на отговорността по чл. 1 ЗОДОВ, е неправилен. С оглед чл. 82, параграф 3 от ОРЗД, предвиждащ че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди, в резултат на нарушаване на регламента. Същият следва да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищцата в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В своя защита срещу предявения иск, ответникът е представил само писмени доказателства. Основателно в касационната жалба се сочи, че съдът не е обсъдил същите, тъй като не притежава съответните технически знания. Видно от мотивите на решението съдът е приел, че представените писмени доказателства доказват, че задълженията предвидени в регламента са изпълнени. Не е посочил, защо приема, че това е така, т. е. не е обосновал този свой извод. Представените писмени доказателства доказват вземането на организационни мерки от страна на НАП, назад във времето, но липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните, както и че същите са актуализирани. Липсват доказателства, че предприетите организационни мерки, са били в такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. Липсват и доказателства, за това какви технически мерки е взел ответникът, за да защити личните данни, които обработва, от неправомерен достъп. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Не е представил и доказателства, че утвърдените процедури и методики, за които е представил писмени доказателства, са изпълнявани. Тук следва да се отбележи, че не НАП е установил неправомерния достъп, а е разбрал за него от публикации в медиите, което означава, че взетите организационни мерки не гарантират, че администраторът следи за неправомерен достъп и при наличието на такъв, разбира своевременно за това. Представянето на писмени доказателства за наличието на организационни мерки е недостатъчно, за да се приеме, че предприетите от администратора мерки са подходящи. Твърденията и представените доказателства за предприетите от ответника действия след "изтичането" на данните, са част от задълженията му по регламента и закона, но не доказват, че взетите от него мерки са ефективни и подходящи. Житейски нелогично е, с оглед техническото развитие, една информационна система да бъде на 100 % защитена от хакерски атаки. В тежест на администратора на лични данни е да докаже, че е взел подходящите мерки за защита на личните данни, които обработва. Ответникът следва да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни. При обсъждане основателността на иска, касационният състав намира, че съдът неправилно е обсъждал разпоредби от Глава осма на ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, т. к. те са неотносими към настоящия правен спор. Това обстоятелство не рефлектира върху правилността на решението, предвид правилно определеното правно основание на иска с относимите разпоредби на Европейското право. По отношение на втория елемент - причинена материална или нематериална вреда. В случая ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба и в уточняваща молба от 28.10.2019 г. Събраните по делото гласни доказателства установяват, че ищцата действително е преживяла твърдените от нея негативни емоции, които са резултат от нарушението на регламента. Показанията на свидетеля са ясни, безпротиворечиви и отразяват собствените му възприятия относно поведението на А., след като е научила, че нейни лични данни са неправомерно разкрити. Болките и страданията са строго индивидуални и зависят от субективното отношение на всяко лице към определено противоправно поведение. Строго индивидуални са и мерките, които всяко лице предприема, за да се справи с негативните емоции, които едно противоправно поведение може да предизвика у него. Липсата на активност да установи какви точно данни са разпространени за лицето, не разколебава извода за изпитани негативни емоции, както е приел решаващият съд. Последните са пряка последица от нерегламентирания достъп до данните и са в резултат от нарушаването сигурността на данните. В съображение 146 ОРЗД е предвидено, че администраторът или обработващият лични данни следва да обезщетят всички вреди, които дадено лице може да претърпи в резултат на обработване на данни, което нарушава настоящия регламент. Администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Понятието "вреда" следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. Причиняването на усещане за тревога от нарушената сигурност на личните данни, за което по делото са събрани доказателства, е достатъчно, за да се ангажира отговорността на администратора на лични данни. Не е необходимо каквото и да е активно поведение на пострадалото лице, за да се приеме, че то действително е изживяло негативни емоции. Евентуалното предприемане на активно поведение, е средство за предотвратяване на евентуални неблагоприятни последици за лицето, от неправомерния достъп до личните му данни. Липсата на такова не води до извод за липса на действително преживени негативни емоции. С оглед психологичната индивидуалност на всеки човек, липсата или наличието на активно поведение, е начин за справяне с преживения стрес, но не и доказателство за липсата на такъв. Дори вероятността от злоупотреба с разкритите данни има за резултат чувствително засягане психическото и емоционално състояние на субекта на данните. Неправилно съдът е приел, че не е налице и третата предпоставка за ангажиране отговорността на ответника – причинна връзка между незаконосъобразното бездействие и причинената неимуществена вреда. Проявеното от ответника бездействие да изпълни по подходящ начин задължението си да гарантира сигурността на личните данни на физическите лица, е в пряка причинна връзка с негативните усещания на засегнатите лица, в конкретния случай на ищцата. Ако не беше допуснат неправомерния достъп до личните данни, тя не би преживяла негативните емоции. Пряката причинна връзка между противоправното бездействие на ответника и настъпилата за ищцата вреда не се прекъсва от начина, по който тя е разбрала за неправомерния достъп. Негативните емоции са пряк резултат от неправомерното разкриване на лични данни, в резултат на недоказаното от ответника взимане на подходящите технически и организационни мерки. За пълнота следва да се отбележи, че противно на изложеното в касационната жалба, в процесния случай за доказването на претърпените вреди са нужни доказателства, тъй като вредите са обусловени от конкретно и специфично обстоятелство – допуснатия пробив в информационната система на НАП, което е довело до неправомерен достъп до лични данни, като е необходимо то да е конкретно установено. Преживените неимуществени вреди не могат да се предполагат, а още по малко - да се приемат за доказани само на база обстоятелството, че тези вреди настъпват в резултат на неправомерния достъп до лични данни, поради бездействието на администратора за предприемането на подходящите и ефективни организационни и технически мерки. При заявената от ищцата претенция за присъждане на обезщетение в размер на 1000 лв., за определяне размера на претенцията за обезщетяване на неимуществените вреди, следва да се съобрази разпоредбата на чл. 52 от Закона за задълженията и договорите (ЗЗД), като размерът на обезщетението се определи по справедливост. В случая с оглед характера и тежестта на претърпените негативни емоции, тяхната продължителност и неблагоприятното им отражение в личната сфера на лицето, неговата възраст, стандартът на живот в страната, размерът на минималната работна заплата за 2019 г. към момента на узнаване за неправомерния достъп до личните данни – 15.07.2019 г., съдът намира, че справедливият размер на обезщетението е в размер на 500 лв. Този размер на обезщетението би довел до пълно репариране на претърпените от ищеца вреди. Предвид изложеното решението следва да се отмени като неправилно – като постановено в нарушение на материалния закон, в частта, с която е отхвърлен иска за размера до 500 лв. и вместо него да се постанови ново, с което на ищцата да се присъди обезщетение за претърпени неимуществени вреди от незаконосъобразно бездействие на НАП в размер на 500 лв. Решението следва да бъде отменено частично и относно присъденото юрисконсултско възнаграждение на НАП за първата съдебна инстанция за разликата над 50 лв. до присъдения размер от 100 лв., предвид частичното уважаване на иска, на основание чл. 10, ал. 4 ЗОДОВ. В останалата част, вкл. относно претендирата лихва за периода от 15.07.2019 г. до 16.09.2019 г. решението следва да бъде оставено в сила. С оглед изхода на спора следва да се уважи направеното от касационния жалбоподател искане за присъждане на разноски за двете съдебни инстанции, като на основание чл. 10, ал. 3 ЗОДОВ ответникът следва да бъде осъден да заплати на Е. А. заплатените държавни такси за двете съдебни инстанции в общ размер 15 лв. Доказателства за направени други разноски (извън заплатените държавни такси) не са представени, поради което такива не се присъждат. Предвид представените доказателства за осъществена правна помощ при условията на чл. 38 от Закона за адвокатурата (ЗА) и заявената претенция за заплащане на адвокатско възнаграждение на адвоката осъществил безплатна правна помощ, на адв. Ю. ще следва да се заплати, адвокатско възнаграждение. На основание чл. 10, ал. 3 ЗОДОВ същото следва да се определи съразмерно с уважената част на иска, а именно в размер на 150 лв. за всяка съдебна инстанция. С оглед изхода на спора, на ответника по касация, за настоящата инстанция, ще следва да се присъди, на основание чл. 10, ал. 4 ЗОДОВ, юрисконсултско възнаграждение съразмерно с отхвърлената част от иска, а именно 50 лв. С оглед присъждането на разноски за касационната инстанция и на двете страни, следва да се извърши компенсация и Е. А. да се осъди да заплати на НАП сума в размер на 35 лв. разноски по компенсация за настоящата инстанция.