Решение № 9787 от 16.9.2024 г. на ВАС по адм. д. № 2203/2022 г.

Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на И. И. Г., чрез процесуалния представител адв. С. Юрукова, срещу Решение 7940 от 30.12.2021 г. на Административен съд София-град (АССГ), постановено по адм. дело 6457/2021 г. С обжалваното решение е отхвърлен иска на И. И. Г. срещу Национална агенция за приходите за присъждане на сума в размер на 1000 лева, представляваща обезщетение на ищцата за причинените неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните данни, станали достъпни вследствие т.нар. хакерска атака , при която от електронните масиви на Национална агенция за приходите неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение, за която е било публикувано от медиите на 15.07.2019 г., ведно с иска за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане. Касационният жалбоподател счита, че обжалваното решение е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила или необоснованост отменителни основания по чл. 209, т. 3 АПК. Излага съображения, че съдът неправилно е приел, че по делото не е установено по несъмнен начин претърпените от ищцата неимуществени вреди. Иска обжалваното решение да бъде отменено и вместо него да бъде постановено друго, с което да се уважи предявения иск. Представя писмена защита. Претендира присъждане на сторените разноски по представен списък. Ответникът по касация Национална агенция за приходите (НАП, Агенцията), чрез процесуален представител юрк. Иванова, оспорва касационната жалба по съображения изложени в писмен отговор и в открито заседание. Моли обжалваното решение да се остави в сила. Претендира юрисконсултско възнаграждение за настоящата инстанция. Представителят на Върховната прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подадена в законния срок, от надлежна страна и срещу подлежащ на оспорване съдебен акт. Разгледана по същество касационната жалба е неоснователна по следните съображения: Производството пред АССГ е образувани по предявен от И. И. Г. иск с правно основание чл. 82, пар. 1 вр. пар. 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните /Регламент (ЕС) 2016/679 /ОРЗД), за присъждане на обезщетение за неимуществени вреди, подробно описани в исковата молба, претърпени за периода 15.07.2019 г. - 16.09.2019 г., в резултат на неизпълнение в достатъчна степен от страна на НАП на задълженията по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679, заедно със законната лихва върху тази сума, считано от 15.07.2019 г. (алтернативно от датата на завеждане на исковата молба - 16.09.2019 г.) до окончателното изплащане. Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение 4376/03.08.2020 г. по адм. дело 11178/2019 г. на АССГ, с решение 7720/28.06.2021 г. по адм.дело 10801/2020 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищцата факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, пар.1 вр. пар. 2 от Регламента. Изложени са обвързващи мотиви за липса на относимост към спора на чл. 59 от ЗЗЛД, който се намира в Глава осма от ЗЗЛД относно правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, респективно неотносими към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните. С определение от закрито заседание, проведено на 27.07.2021 г., с оглед указанията на ВАС, първоинстанционният съд е разпределил доказателствената тежест и е дал е указания на страните. Изрично е указал на страните, че са необходими специални знания за изясняване на въпросите при какви конкретно обстоятелства е допуснато изтичането на данни, има ли нерегламентиран достъп, по какъв технически начин е осъществен и до какви конкретно устройства или системи, съхраняващи данни, изцяло на външна намеса ли се дължи достъпът и възможно ли е той да се дължи изцяло на външна намеса, какви технически мерки са предприети, за да предотвратят достъпа,достатъчни ли са те, предвид достиженията на техническия процес и различните рискове, технически възможно ли е било предотвратяването на изтичането на данни, какъв е техническия механизъм на неоторизирания достъп до лични данни, осъществен на 15.07.2019 г. По искане на НАП с определение от закрито заседание, проведено на 04.08.2021 г., съдът е допуснал съдебно-техническа експертиза, включваща описаните задачи. При новото разглеждане ищцата не е ангажирала нито писмени, нито гласни доказателства, въпреки дадените изрични указания. Ответникът НАП е направил искане да се приобщят към новото дело всички събрани писмените доказателства, представените от Агенцията по адм. д. 11178/2019 г. по описа на АССГ и адм. д. 10801/2020 г. по описа на ВАС. Агенцията е представила е допълнително следните нови писмени доказателства: Заповед на изпълнителния директор на НАП ЗЦУ-733 от 17.06.2016 г. за утвърждаване на процедури към отдел Превенция на финансовата и информационната сигурност в Инспекторат на НАП относно информационната сигурност, Вътрешни правила за мрежовата и информационната сигурност и Политика на информационната сигурност, версия 3.0, ведно с утвърдените вътрешнонормативни актове (правила и процедури); Писмо с рег. ДАЕУ-12375/12.12.2018 г. и Протокол от председателя на Държавна агенция Електронно управление (ДАЕУ) до изпълнителния директор на НАП, удостоверяващи извършен проверка в НАП, съгласно чл. 60 от Закона за електронното управление (ЗЕУ); Писмо ЕП-2339#1 от 19.12.2018 г. от изпълнителния директор на НАП до председателя на ДАЕУ, с което се изисква разяснение и конкретизиране на правените препоръки с писмото и протокола; Писмо с рег. ДАЕУ-393 от 04.01.2019 г. от председателя на ДАЕУ до изпълнителния директор на НАП, с което се предоставят изисканите разяснения. Заключението от съдебно-техническата експертиза е прието към делото с протоколно определение в открито заседание, проведено на 10.11.2021 г. Със писмено становище ответникът НАП е възразил срещу изводите на вещото лице по въпроси 6 и 7 с доводи, че Агенцията, в качеството си на администратор на лични данни, е приложила подходящи организационни и технически мерки при обработването на личните данни с оглед представените писмени доказателства, в съответствие с изискванията на националното законодателство, включително и с международните стандарти за управление на качеството ISO 9000, ISO 9001, както и за управление на сигурността ISO/IEC 27001:2006. Въз основа на така установените факти съдът е приел, че искът е допустим, но неоснователен. Първоинстанционният съд е приел от фактическа страна, че на 15.07.2019 г. неизвестно лице е осъществило нерегламентиран достъп в информационните масиви на НАП, станал известен като хакерска атака , вследствие на което е разпространена информация, съдържаща личните данни на множество физически лица. За да постанови сега атакуваното решение АССГ е приел от правна страна, че искът е с правно основание чл. 82, пар.1 вр. пар. 2 от ОРЗД, като НАП в качеството на администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищцата. Независимо от приемането вътрешни правила и политики НАП не е осигурила достатъчна надеждност на информационната си система. Приети и споделени от съда са изводите на вещото лице след извършената съдебното-техническата експертиза, съгласно които се потвърждава, че е осъществен нерегламентиран достъп до личните данни от електронните системи на НАП. Изводите на вещото лице са, че достъпът е осъществен изцяло чрез външна намеса през Системата за възстановяване на ДДС от друга държава-членка на ЕС (VATRefund), чрез която се заявяват услуги без да е необходима допълнителна идентификация чрез електронен подпис. Вещото лице твърди, че е било възможно неоторизирания достъп до електронните системи да бъде предотвратен в случай че НАП е разполагал с по-добра техническа инфраструктура, на която да се съхраняват и достъпват данните от външни източници. Посочената техническата уязвимост е довела до нерегламентирано разпространение на личните данни на ищцата и това е следствие от неприлагането от НАП на подходящи мерки за защита. От това съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. По отношение на втората предпоставка АССГ е приел, че не е установено по безсъмнен начин обстоятелството, че по отношение на ищцата има изтичане на лични данни в резултат на неоторизирания достъп, тъй като представената справка от официалната страница на НАП не може да се отнесе към ищцата по делото, предвид липса на идентификационни данни. Съдът е отчел свидетелските показания, събрани в открито заседание при първото разглеждане на делото (адм. д. 11178/2019 г. по описа на АССГ), с които се установява наличието на притеснения и стрес у ищцата. Ищцата не е ангажирала други доказателства, въпреки дадените изрични указания от съда. Поради това съдът е приел, че не налице втората предпоставка за ангажиране на отговорността на НАП, тъй като не са установени по категоричен и безспорен начин твърдените от ищцата претърпените неимуществени вреди. При недоказаност на твърдяното наличие на настъпили неимуществени вреди, първоинстанционният съд е приел, че е безпредметно обсъждането дали е налице причинна връзка между бездействието и причинената вреда. Съдът е приел, че исковата претенция е неоснователна и недоказана, поради което е отхвърлил предявения иск от ищцата И. Г.. Обжалваното решение е валидно и допустимо като постановено от надлежен съдебен състав, в писмен вид и подписано от разгледалия делото съдия, при наличие на положителните и липса на отрицателните предпоставки за упражняване на правото на иск. Решението е правилно като краен резултат и следва да бъде оставено в сила при следните коригиращи мотиви: Първоинстанционният съд правилно е приел, че е налице първата предпоставка за ангажиране отговорността на администратора на лични данни, а именно незаконосъобразното бездействие от странна на НАП по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, параграф 1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 ОРЗД. Чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 задължават администратора на лични данни (какъвто се явява НАП) да вземе подходящите технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и със закона. Същите не са конкретно посочени, защото подходът, който е възприет, е всеки администратор сам да определи кои да бъдат тези мерки. С оглед чл. 82, пар. 3 от ОРЗД предвиждащ, че администраторът или обработващият лични данни се освобождава от отговорност съгласно пар. 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата, тежестта да докаже, че са взети подходящите организационни и технически мерки, е на администратора/обработващия, а не на лицето, което твърди, че в резултат на липсата на такива мерки, е претърпяло вреда. Неправилно първоинстанционният съд е посочил, че доказателствената тежест за докаже незаконосъобразно бездействие от страна на администратора на лични данни се носи от ищеца. Изложените в тази връзка съображения в касационната жалба са основателни, но по изложените по-долу съображения, допуснатото нарушение на съдопроизводствените правила от съда при разпределяне на доказателствената тежест, въведено от касатора, не може да доведе до отмяна на решението и връщането му за ново разглеждане. В т. 3 от диспозитива Решение на СЕС от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, изрично е посочено, че принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. В процесния случай ответникът не е представил доказателства, от които да се установи, че същият е приложил подходящите мерки за сигурност. Представените писмени доказателства цитирани от съда, не доказват, приложените мерки са подходящи за защита при обработване на личните данни. В т. 1 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е прието, че чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са подходящи по смисъла на тези чл. 24 и чл. 32. В този смисъл правилно първоинстанционният съд е посочил, че разкриването на лични данни в резултат на т.нар. хакерска атака не презюмира противоправно поведение на ответника като администратор на лични данни да приложи подходящи технически и организационни мерки за осигуряване защитата на базата данни, така че срещу нея по никакъв начин, от никого и с никакви средства да не може да бъде достъпено. В т. 5 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е прието, че чл. 82, пар. 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, пар. 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Именно това обстоятелство е останало недоказано от ответника в производството, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен. Това е резултат от несправянето на ответника да докаже благоприятните факти, които са били в негова тежест. В съображение 74 от ОРЗД е предвидено, че администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица. А в съображение 146 е предвидено, че администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Ответникът не е ангажирал доказателства, за да докаже, че е приложил подходящи организационни и технически мерки за осигуряване на нивото на риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ответникът е следвало да докаже такова изградено ниво на сигурност, което свежда до минимум риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, но същият не се е справил с доказателствената тежест. Не е доказал, че по никакъв начин не е отговорен са събитието причинило вредата. Представените писмени доказателства не доказват прилагане на подходящи организационни и технически мерки за осигуряване защита на личните данни. Правилно съдът е приел, че в процесния случай не е налице втората предпоставка за основателност на исковата претенция. Ищцата твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на Решение на СЕС от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е посочено, че чл. 82, пар. 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищцата. На ищцата от първоинстанционния съд са дадени указания да докаже твърдените за претърпени неимуществени вреди. В Решение на СЕС от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е предвидено, че чл 82, пар1 от Регламент (ЕС) 2016/679 трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение (т. 1). Чл. 82, пар. 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (т. 2). Чл. 82 от Регламент 2016/679 трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза. В случая ищцата не е успяла да докаже преживените негативни емоции, подробно описани в исковата молба. При новото разглеждане ищцата не е правила доказателствени искания и не е ангажирала никакви доказателства по отношение на преживените неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможна злоупотреба с личните данни. Ищцата не е доказала и какви нейни лични данни са достъпени неправомерно. За доказване изтичането на лични данни ищцата е ангажирала само, както е наименувано в исковата молба копие от потвърдителните СМС-и, справки от интернет портала на НАП и извадки от публично оповестени таблици с лични данни, с които сме уведомени, че по отношение на нас е налице неправомерно разкриване на личните ни данни . В кориците на първото първоинстанционното дело, на лист 16 и лист 18, се съдържат идентични справки от официалната интернет страница на НАП, в които е отразено: За подадения идентификатор има разпространени данни. Разпространените данни включват: ЕГН и имена. (точен цитат). Няма никаква яснота кой е направил заявката и дали тя касае ищцата И. И. Г., т.е. не е ясно, че са изтекли именно данните на г-жа Г.. За да може да се приложи принципът на равностойност и ефективност, съобразно посоченото в цитираното Решение от 4 май 2023 г. по дело С-300/21 на СЕС, ищцата следва да посочи и докаже какви нейни лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение. Липсата на доказателства какви точно лични данни са изтекли и че изтеклите лични данни са именно на ищцата, както и че действително са претърпени неимуществени вреди, има за последица недоказаност на втория елемент от фактическия състав на отговорността. Правилата за доказателствената тежест на иск по чл. 82 ОРЗД не са по-неблагоприятни, от правилата, които уреждат подобни вътрешноправни положения за други искове. Правилото на чл. 154, ал. 1 ГПК изисква всяка страна да установи фактите, на които основава своите искания и възражения. Следователно принципът на равностойност и принципът на ефективност ще са спазени, като е необходимо ищцата да докаже, че именно нейни конкретни лични данни са изтекли, както и какви точно неимуществени вреди е претърпяла и в какво точно се изразяват те. Настоящата инстанция не споделя мотивите на първоинстанционния съд, основани на събраните гласни доказателства при първото разглеждане на спора в адм. д. 11178/2019 г. по описа на АССГ. Процесното решение е постановено по реда на 226, ал. 1 АПК след отмяна на първоначално постановеното решение 4376/03.08.2020 г. по адм. д. 11178/2019 г. на АССГ, с решение 7720/28.06.2021 г. по адм.д. 10801/2020 г. на Върховния административен съд, трето отделение, вследствие на установени съществени процесуални нарушения и необоснованост, поради което делото е върнато за ново разглеждане от друг състав. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В конкретния случай това незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест. Съгласно принципа за непосредственост при изслушването на гласни доказателства, залегнал в чл. 170-171 ГПК, свидетелските показания сами по себе си не съставляват доказателства, които могат да бъдат използвани в процес, различен от този, по който са дадени. Следователно събраните гласни доказателства по адм. д. 11178/2019 г. по описа на АССГ не могат да бъдат ценени при новото разглеждане на спора по адм. д. 6457/2021 г. по описа на АССГ, тъй като процесуалните действия на съда от първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Този порок на първоинстанционния съд не води до неправилност и не засяга крайния резултат на постановеното решение. Тъй като посочените по-горе предпоставки следва да са кумулативно налице, липсата на един от тях има за последица неоснователност на иска и не следва се обсъжда дали е налице и третата предпоставка за основателност на иска. По изложените съображения решението следва да бъде оставено в сила. С оглед изхода на спора, претенцията на ответника по касация за присъждане на юрисконсултско възнаграждение за настоящата инстанция, се явява основателна и следва да се уважи в размер на 100 лв.