Решение № 5559 от 28.5.2025 г. на ВАС по адм. д. № 1260/2025 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба, подадена от Национална агенция за приходите (НАП), чрез процесуален представител, срещу Решение 28101/22.12.2024 г. по адм. дело 7467/2024 г. на Административен съд - София - град (АССГ), с което е осъдена НАП, по иск с правно основание по чл. 79, пар. 1 и чл. 82, пар. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 26.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните; ОРЗД; Регламента/ да заплати на Г. Б. С., с адрес в гр. София, сума в размер на 600 (шестстотин) лева, представляваща обезщетение за неимуществени вреди за периода 15.07.2019 г. - 16.09.2019 г., настъпили от бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от ОРЗД, да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на С., ведно със законната лихва върху тази сума, считано от 16.09.2019 г. до окончателното й изплащане; НАП е осъдена да заплати 40 лева разноски на ищеца и 600 лева адвокатско възнаграждение на адв. Юрукова. С решението съдът е отхвърлил иска за разликата до пълния му предявен размер от 1000 лева, ведно със законната лихва, като неоснователен. В тази част съдебното решение не е обжалвано и е влязло в сила, съответно не е предмет на касационен контрол. Касационният жалбоподател обжалва съдебното решение като твърди, че е неправилно, постановено в нарушение на материалния закон, при съществено нарушение на съдопроизводствените правила и е необосновано - касационни основания за отмяна по смисъла на чл. 209, т. 3 от АПК. Иска отмяната му и отхвърляне на исковете за обезщетение и лихви. Претендира разноски за юрисконсултско възнаграждение. Ответникът по касационната жалба Г. Б. С., в писмен отговор и писмена защита, чрез процесуални представители, оспорва същата, като неоснователна. Иска обжалваното решение, като правилно и законосъобразно, да бъде оставено в сила. Претендира разноски за адвокатско възнаграждение. Прокурорът от Върховната касационна прокуратура дава мотивирано становище за основателност на касационната жалба. Върховният административен съд (ВАС), пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна, а разгледана по същество за неоснователна. С Решение 7900/26.06.2024 г. по адм. дело 913/2021 г. на Върховния административен съд, Пето отделение е отменено Решение 6953/04.12.2020 г. по адм. дело 11333/2019 г. на АССГ и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. С обжалваното пред настоящата съдебна инстанция решение, постановено във второто първоинстанционно производство по делото, АССГ е осъдил НАП да заплати на Г. Б. С. от гр. София сумата от 600 лева, представляваща обезщетение за причинените му неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата по искова молба с посочен входящ номер и посочени правни и фактически основания по молбата, осъдила е НАП да заплати на Г. Б. С. 40 лева разноски, както и на адвокат Юрукова 600 лева адвокатски възнаграждения по чл. 38, ал. 2 съобразно уважената част от иска, отхвърля предявения иск в останалата му част над 600 лева до предявения размер от 1000 лева. За да постанови горния резултат, първоинстанционният съд е приел от правна страна, че искът е с правно основание чл. 82, пар. 1 Регламент (ЕС) 2016/679 от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46(ЕО) (ОРЗД;Регламент (ЕС) 2016/679, като НАП в качеството на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на С.. Съдът е приел, че Агенцията не е успяла да докаже, че по никакъв начин не е отговорна за събитието, респ. последната, в качеството ѝ на администратор на лични данни, не е изпълнила задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Административният съд е приел, че са налице и останалите две предпоставки за възникване на правото на обезщетение, а именно налице е твърдяната от С. претърпяна вреда и причинно следствената връзка между нея и неправомерното бездействие от страна на НАП. При така установеното от правна и фактическа страна съдът е приел исковата претенция за частично основателна като е определил по справедливост обезщетение на Г. С. в размер на 600 лв., ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата. Така постановеното решение е правилно като краен резултат. Предявеният иск е с правно основание член 82, параграф 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ. Предвид член 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че от текста на чл. 82, параграф 1 от ОРЗД ясно следва, че наличието на вреди , които са били нанесени , е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни. Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Разпоредбите на чл. 24 и 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, параграф 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Разпоредбата ясно възлага тежестта на доказване върху администратора на лични данни, при възражение от негова страна за освобождаване от отговорност за причинени вреди в резултат на нарушаване на регламента, да установи по несъмнен начин, че е предприел подходящите и ефективни организационни и технически мерки, така че по никакъв начин не е отговорен за изтичането на личните данни на ищеца в интернет пространството, в резултат на извършения неправомерен пробив в информационната система на НАП. В т. 3 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, параграф 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В т. 1 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези чл. 24 и чл. 32. В т. 5 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е прието, че чл. 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това обстоятелство е останало недоказано от ответника в първоинстанционното производството, а именно, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. В съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Правилни са изводите на първоинстанционния съд за наличие и на останалите две предпоставки, обективиращи основателността на исковата претенция причинената вреда и причинната връзка между нея и нарушението на правата по регламента. В т. 6 от диспозитива на Решение от 14 декември 2023 г. по дело С-340/21 на СЕС е посочено, че чл. 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба, като тежестта на доказване е на ищеца. В Решение от 4 май 2023 г. по дело С-300/21 на СЕС е предвидено, че чл. 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Чл. 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Чл. 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В конкретния случай са ангажирани доказателства какви лични данни на С. са изтекли неправомерно, като от НАП при първото разглеждане на делото е представена справка от 14.07.2020 г., от която са видни видът и обемът им. В справката е посочено, че за идентификатор 6003046942 има разпространени данни, включващи ЕГН и имена, данни от справка за изплатени доходи на физически лица (чл.73 от ЗДДФЛ) за периода 2012 г. 2018 г., данни за изплатени доходи на физически лиза за 2008 г. и 2009 г., данни от годишна данъчна декларация (чл. 41 от ЗОДФЛС) за 2006 г., данни от годишна данъчна декларация за приходите на физически лица (чл. 50 от ЗДДФЛ) за 2010 г., данни от данъчна декларация за облагане с патентен данък (чл. 43 от ЗОДФЛ) за 2003 г. и 2007 г., както и данни, подадени от работодатели/осигурители за осигурените от тях лица (декларация образец 1 от Наредба Н 8) за период 2008 г. Правилно са кредитирани и показанията на допуснатия и разпитан при първото разглеждане на делото свидетел Б. Христов приятел на С., от чиито показания се установява, че последният бил много притеснен от факта, че личните му данни са изтекли от НАП, като се притеснявал от евентуална злоупотреба с негови парични средства, налични в банкова сметка, както и такава свързана с имотни измами с притежавани от него имоти. Във връзка с горното следва да се отбележи, че опасенията, които субект на лични данни изпитва, вследствие на нарушение на Регламента, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на чл. 82 от Регламент 2016/679 /виж решение по С-340/21 на СЕС/. В тази връзка са обосновани изводите на АССГ за наличие на претърпени неимуществени вреди от С., вследствие на допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679, като същите се изразяват основно в опасения и притеснения за потенциална злоупотреба с личните му данни и са подкрепени от допуснатият и изслушан в първоначалното производство свидетел. Правилно е заключението на АССГ относно наличието на причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679, като следва да се отбележи, че в производството по чл. 82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т.е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретния случай поведението на ответника бездействие (неизпълнение задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт - неразрешено разкриване и достъп до съхранени данни (събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните опасения и притеснения, т.е. доказания в производството отрицателен резултат в сферата на ищеца. Следователно изпитаните негативни емоции от страна на С. са вследствие от неправомерното бездействие на НАП, поради което правилно АССГ е извел, че е налице и третата предпоставка от фактическия състав по чл. 81, пар. 1 от Регламент (ЕС) 2016/679. Тук следва да се добави, че настоящият съдебен състав напълно споделя изводите на първоинстанционния такъв, относно определения размер на присъденото обезщетение. Последният, с оглед потенциалният характер на опасенията, както и естеството на увреждането и стандарта на живот (вкл. минимално установената работна заплата за страната за 2019 г. - 560 лева), правилно е определен от първоинстанционния съд в размер на 600 лева. Наведеният довод за допуснато съществено нарушение на съдопроизводствените правила е неоснователен. Вярно е, че съобразно нормата на чл. 16, ал. 1, т. 2 АПК прокурорът следи за спазване на законността в административния процес, като в предвидените в този кодекс или в друг закон случаи участва в административни дела. Такъв изрично предвиден случай за участие на прокурор е именно процесуалната по своя характер разпоредба на чл. 10, ал. 1 ЗОДОВ, която е с императивен характер и гласи, че делата по ЗОДОВ пред съда се разглеждат със задължително участие на прокурор. Правилото важи за всички дела по този закон. Съгласно приетото по Тълкувателно решение 7 от 25.11.2010 г. на Върховния административен съд по тълкувателно дело 3/2010 г., участието на прокурор в първоинстанционните съдебни производства по чл. 1 ЗОДОВ, които се разглеждат по реда, установен в АПК, е задължително. В случая макар производството да е с правно основание чл. 79, § 1 във вр. с чл. 82, § 1 ОРЗД, доколкото то е производство за обезщетение редът за разглеждането му е по чл. 203 и сл. АПК, при което за неуредените въпроси се прилага ЗОДОВ, като по силата на чл. 10 от с.з. участието на прокурор е задължително. Настоящият състав не споделя изложеното в мотивите на обжалваното пред него решение в частта му относно дадените тълкувания за участието на прокурора в тези дела. Съобразявайки конкретно по това дело следните обсотятелство: 1. наличие на забрана по чл. 227 АПК за връщане на делото за ново разглеждане от друг състав на същия съд, при което допуснатото нарушение би могло да бъде отстранено; 2. необходимостта от приключване на делото в разумен срок производството е образувано по искова молба, подадена на 16.09.2019 г.; 3. установеното при извършената проверка по повод касационната жалба, че по делото са събрани всички необходими доказателства (нови не се сочат от касационния жалбодател), както и, че правата на страните в процеса не са накърнени и 4. по делото са налични представени заключения от прокурор по настоящето дело и по адм. дело 11333/2019 г. по описа на АССг при първото разглеждане на делото от първоинстанционния съд, съставът счита, че допуснатото нарушение не е довело до ограничаване правата на страните в производството и защитата на обществения интерес не е накърнена. Въпреки изхода на делото и своевременното направено искане за присъждане на адвокатско възнаграждение на адвокат Юрукова за оказана правна помощ по реда на чл. 38, ал., 1, т. 3 от Закона за адвокатурата предвид липсата на предпоставките по ал. 2 от с.з. такова не следва да бъде присъдено.