Решение № 4468 от 29.4.2025 г. на ВАС по адм. д. № 9876/2024 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу решение 1567/05.08.2024 г. по адм. дело 249/2021 г. на Административен съд - Добрич (АС - Добрич), с което е осъдена НАП, да заплати на Т. В. Б. от гр. Добрич, сума в размер на 200 лева, представляваща обезщетение за неимуществени вреди вследствие незаконосъобразно бездействие от страна на НАП, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 24 и чл. 32 от Общия регламент относно защитата на данните (ОРЗД), довело до неправомерно разкриване и разпространение на лични данни на ищцата, ведно със законната лихва върху тази сума, считано от датата на влизане в сила на решението до окончателното й изплащане и НАП е осъдена да заплати 290 лева разноски на ищцата. Касаторът поддържа в касационната жалба и в писмено становище чрез процесуален представител, че решението в обжалваните части е неправилно - поради нарушение на материалния закон, навежда доводи и за необоснованост, иска отмяната му, в условията на евентуалност присъждане на обезщетение в по - нисък размер , присъждане на юрисконсултско възнаграждение и разноски на НАП. Ответникът по касационната жалба - Т. (В.) от гр. Добрич, в писмен отговор чрез процесуален представител, иска оставяне в сила на решението, присъждане на разноски за касационната инстанция. Представителят на Върховна прокуратура изразява становище за основателност на касационната жалба. Върховният административен съд, пето отделение, като прецени допустимостта на касационната жалба и наведените в нея отменителни касационни основания, съгласно чл. 209 от АПК, приема касационната жалба за процесуално допустима, като подадена в срок и от надлежна страна. За да се произнесе по същество, съдът взе предвид следното: С решение 6499/31.05.2021 г. по адм. дело 10795/2020 г. на Върховния административен съд, трето отделение е отменено решение 241/03.08.2020 г. по адм. дело 118/2020 г. на АС - Добрич в обжалваната част и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Касационният съд е посочил, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, §1 вр. §2 от Регламента. Посочил е, че дадените от ищцата правни квалификации не обвързват съда. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните. АС - Добрич при новото разглеждане на делото е изпълнил указанията относно разпределението на тежестта на доказване. За да постанови обжалваните части от решението, АС е изложил доводи, че предявеният иск е с правно основание чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679. Посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и и разпространяването на личните данни на ищцата, видно от представената справка, издадена от НАП. Според нея са разпространени имената й и ЕГН и са данни от годишна данъчна декларация по чл.41 ЗОДФЛ. АС е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи и достатъчни, за да гарантират защита на данните. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните й от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АС е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл.24 и 32 от Регламент (ЕС) 2016/679 за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона . Ищцата е преживяла негативни емоции, подробно описани в мотивите, установени чрез свидетелски показания пред втория първоинстанционен съд, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. Правилна и в съответствие със задължителните указания на първата касационна инстанция е преценката на АССГ за правна квалификация на иска по чл.82, пар.1 във връзка с пар.2 от Регламент (ЕС) 2016/679, както и за предмета на доказване. Чл.24 , пар.1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл.32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АС, съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С -340/21 НАП не е доказала техническите мерки, които е взела преди нерегламентирания достъп до личните данни на ищцата, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АС е приел за доказано твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на ищцата и останалите физически лица. Извършените от НАП действия след неправомерния достъп до личните данни на ищцата на 15.09.2023 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АССГ за наличието на претърпени неимуществени вреди от ищцата, които според решение на СЕС от 14.12.2023 г. по дело С -340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните й данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679. Решението като правилно следва да бъде оставено в сила. С оглед изхода на делото пред ВАС не могат да се присъждат разноски и юрисконсултско възнаграждение на касатора. На ответника по касация следва да се присъдят направените в касационното производство разноски за адвокатско възнаграждение, както са вписани словом в договора за правна помощ, като заплатени в брой 200 (двеста) лева, платими от НАП.