Решение № 6411 от 27.5.2024 г. на Административен съд - София-град по дело № 9109/2021 г.

ОТХВЪРЛЯ предявения иск от Й. С. Г. от [населено място] против Национална агенция за приходите за заплащане на обезщетение за претърпени неимуществени вреди в размер на 200.00 лева вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал.1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/ да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване на личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на задължението. ОСЪЖДА Й. С. Г. от [населено място] да заплати на Национална агенция за приходите деловодни разноски в размер на 812, 50 лв. /осемстотин и дванадесет лева и 50 ст./. Решението подлежи на обжалване пред ВАС в 14-дневен срок от уведомяване на страните, на които на основание чл.138, ал.3 АПК да се изпрати препис от същото. СЪДИЯ: Производството по делото е образувано на основание Решение №9421/15.09.2021 г., постановено по адм д. №8825/2020 г. по описа на ВАС, с което е отменено е Решение № 2815/09.06.2020 г., постановено по адм. дело №11255/2019 г. по описа на Административен съд - София-град в обжалваната му част, а именно В ЧАСТТА, в която Националната агенция за приходите е осъдена да заплати на Й. С. Г., на основание чл.1 от Закона за отговорността на държавата и общините за вреди, обезщетение за причинени й неимуществени вреди в размер на 200.00 (двеста) лв., ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на обезщетението, както и в частта, в която агенцията е осъдена да заплати на Г., на основание чл. 10, ал. 3 ЗОДОВ деловодни разноски в размер на 110 лв. и делото е върнато за ново разглеждане в отменената част от друг състав на АССГ. В отменителното решение е прието, че предявеният иск, макар, да следва да се разгледа по реда, предвиден в националното право за реализиране отговорността на държавата за причинени вреди, правната му квалификация е различна от тази по чл.1 ЗОДОВ. От обстоятелствата в исковата молба става ясно, че се твърди допуснати нарушения от страна на НАП за изпълнение на задължения, произтичащи от разпоредби от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR) (наричан за краткост по-долу Регламента). Съгласно чл.82, параграф 1 от Регламента всяко лице, което е претърпяло материални или нематериални вреди, в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Следователно, правната квалификация на предявения иск следва да е именно чл.82, параграф 1 от Регламента. В исковата молба се твърди, че ищцата е преживяла страдания, стрес, притеснения, отрицателни психически изживявания, чувства и опасения за възможно неправомерно използване на личните й данни, причинени от бездействието на ответника, изразяващо се в неизпълнение на произтичащи от чл.59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения, станали достъпни вследствие т.нар. „хакерска атака“, при която от електронните масиви на НАП неправомерно е била изтеглена информация в голям обем, съдържаща множество лични данни на български граждани, съобщение за която е било публикувано от медиите на 15.07.2019 г. Обезвреда именно на тези вради се претендира с предявения иск за периода от 15.07.2019 г. до датата на предявяване на иска – 16.09.2019 г. С главния иск е съединен иск за заплащане на законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното изплащане на вземанията. Претендират се и направените по делото съдебни разноски, както и адвокатско възнаграждение за процесуалния представител на ищцата по чл.38, ал.2, вр. с ал.1, т.3 от ЗАдв. Ответникът, Национална агенция за приходите, чрез процесуалните си представители, в представен писмен отговор и в съдебно заседание оспорва предявения иск като неоснователен и недоказан с твърдение, че вследствие на изтеклите лични данни няма настъпила вреда за нея. Подробни съображения са изложени и в отговора на исконата молба и в касационната жалба до ВАС. Претендира присъждане на всички направени разноски по приложен списък. Представител на СГП не е участвал в хода на производството по настоящото дело. В хода на производството по адм. д. №11255/2019 г. е изразил становище за неоснователност на иска. По делото са събрани писмени и гласни доказателства. В хода на настоящото производство е назначена и приета съдебно-техническа експертиза, съобразно указанията на ВАС, дадени в отменителното решение. Заключението по същата е оспорено от процесуалния представител на ответника. Съдът, като прецени събраните по делото доказателства, поотделно и в тяхната съвкупност, приема за установено от фактическа страна следното: Страните не спорят от фактическа страна, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали физически лица. По делото е представена извадка от получен SMS без дата със следното съдържание: „НАП: По заявка номер 6717 ИМА неправомерно разкрити лични данни“. Не е посочен телефонния номер, на който е получен посоченият SMS, както и доказателства за кое лице се отнася. Ищцата не е уточнила в хода на процеса какви точно нейни лични данни са изтекли, като доказателственото искане в тази насока за изискване на справка от НАП е оттеглено предвид изявлението на процесуалния представител на ответника в проведеното на 27.05.2020 г. открито съдебно заседание, че не оспорва факта, че някакви лични данни са изтекли. Съдът приема, че от това изявление на процесуалния представител на ответника не може да се изведе извод, че именно лични данни на ищацата са били неправомерно разпространени. Представената извадка от SMS не установява обстоятелството, че при изтичането на данни от масивите на НАП са изтекли лични данни именно на ищцата. В същата е посочено, че за подадения идентификатор има разпространени данни, но липсва информация кой е този идентификатор. Липсват имена или ЕГН, от които да може да бъде направен извод, че така декларираното обстоятелство удостоверява теч на данни именно на ищцата, а не се отнася за друго лице. Липсват и доказателства, а и не се твърди засегнатото лице да е потърсило информация от ответника по реда на чл. 37б от Закона за личните данни. От показанията на допуснатия до разпит свидетел П. А., които съдът кредитира като базиращи се на лични възприятия и непосредствени впечатления от осъществени в обективната действителност факти, се установява, че в резултат неоторизирания достъп до сървъра на НАП, съдържащ информация относно личните данни на ищцата, в нея се създали притеснения и опасения, да не бъде злоупотребено с тях. Свидетелят установява, че след тази случка е настъпила малка разлика в поведението на ищцата, която станала по-притеснителна и често споделя за този проблем. За да установи, че е предприел всички необходими мерки за защита на личните данни, ответникът е представил редица доказателства с касационната жалба и в хода на настоящото производство. Една част от тях обаче касаят предприетите след осъществения неоторизиран достъп на 15.07.2019 г. мерки, изразяващи се в уведомяване на прокуратурата, обжалване на издаденото от КЗЛД наказателно постановление и други описани мерки. Същите представляват мерки за преодоляване на последиците от нерегламентирания достъп и ограничаване на щетите от изтичане на данните. Представени са и доказателства, с които се цели установяване предприети от ответника мерки за защита на личните данни на лицата преди нерегламентирания достъп. Всички тези доказателства са анализирани от вещото лице по назначената и приета СТЕ. От заключението му се установява, че НАП има разработени на хартия редица правила и политики, касаещи мрежовата и информационна сигурност. Според вещото лице обаче информацията, до която е осъществен нерегламентирания достъп е била налична на сървър, който е бил с остаряла версия на операционната система W. 2008R2 и стара версия на СУБД Oracie 11.2.0.2. Системното и базово програмно осигуряване не е обновявано, защото приложените системи няма да работят с по-новите им версии и е трябвало да се модифицират. С оглед на това вещото лице е приело, че предвидените мерки са адекватни, но доколкото не са били изпълнени на практика, се явяват само на хартия и не могат да бъдет определени като достатъчни, за да се избегне нерегламентирания достъп. Според вещото лице за да се избегне нерегламентирания достъп до информацията е било необходимо да се спазват и изпълняват поне приетите от НАП вътрешни документи, касаещи сигурността на информацията. Следвало е агенцията да разполага с по-добра техническа инфраструктура, на която да се съхраняват и достъпват данните от външни източници, да се обновят операционните системи и системите от бази данни и да се използват най-новите им версии. Настоящият съдебен състав изцяло възприема заключението на вещото лице, като обективно и компетенто, изготвено на база представените по делото доказателства. В тази връзка неоснователни са доводите на ответника, относими към оспорването му. При така установената фактическа обстановка съдът прави следните правни изводи: Съдът приема, че исковата молба е ДОПУСТИМА като този въпрос е разрешен с Определение № 5163/29.04.2020 г., постановено по адм.д.№ 2648/2020 г. по описа на ВАС, което съгласно разпоредбата на чл.235, ал.2 АПК е задължително за настоящия състав. Разгледана по същество е НЕОСНОВАТЕЛНА. Съдебните производства във връзка с упражняването на правото на обезщетение за вреди, произтичащи пряко от член 82, §1 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. (GDPR) се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2 от същия. На национално ниво, обществените отношения, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в Регламента, намират уредбата си в ЗЗЛД. Последният, в своя чл. 39, ал. 1, препращайки към разпоредбите на АПК, дава процесуалния ред за реализиране на отговорността на всички администратори на лични данни, независимо от правосубектността им и притежаваните качества. Съгласно чл.203 АПК, исковете за обезщетения за вреди, причинени на граждани или юридически лица от незаконосъобразни актове, действия или бездействия на административни органи и длъжностни лица, се разглеждат по реда на Глава единадесета от АПК. Именно това е релевантният правен ред за разглеждане на исково производство с правно основание чл.82, §1 от Регламента. Фактическият състав, при осъществяването на който възниква правото на обезщетение за вреди, произтичащо пряко от член 82, § 1 от Общия регламент, включва претърпени материални или нематериални вреди настъпили в причинна връзка с (в резултат на) нарушение на регламента. В конкретния случай този фактически състав на практика съвпада с изискуемия за възникване право на обезщетение по чл. 1 ЗОДОВ - незаконосъобразно бездействие (в случая), вреда и причинна връзка между тях. Това обаче не означава, че искът следва да се квалифицира като такъв с правно основание чл.1, ал.1 ЗОДОВ. Ответникът НАП е специализиран държавен орган към министъра на финансите за установяване, обезпечаване и събиране на публични вземания и определени със закон частни държавни вземания /чл.2, ал.1 от ЗНАП/ и администратор на лични данни по смисъла на чл.4, т.7 от Общия регламент относно защитата на личните данни. Като такъв, същият е адресат на посочените за нарушени правни норми. Безспорно горните разпоредби въвеждат задължение за администратора на лични данни да въведе подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с разпоредбите на Общия регламент за защита на данните – чл.24, параграф 1 и чл.32 от него. Същият подход е възприет и в цитираните разпоредби от ЗЗЛД. За да се ангажира отговорността по отношение на ответника - Националната агенция за приходите на основание чл.82 от Общия Регламент, по делото следва да се установи кумулативното наличие на следните елементи от фактическия състав на цитираната разпоредба: наличие на материална или нематериална вреда; доказано нарушение на някое от задълженията на администратора на данни по Общия регламент; причинна връзка между претърпяната вреда и нарушението на Регламента. Съгласно чл.154, ал.1 ГПК, вр. чл.204, ал.5 АПК, всяка страна е длъжна да установи фактите, на които основава своите искания или възражения. По отношение на първия елемент от фактическия състав на предявения иск - бездействие, което ищецът оспорва преюдициално в исковото производство, с твърдения за неговата незаконосъобразност, следва да се посочи, че той е в положението на ищец по отрицателен установителен иск. Ищецът следва да установи наличието на свое защитимо право, засегнато от правния спор, като докаже фактите, от които то произтича. Единствено ответникът ще е длъжен да доказва изпълнението на действията, дължими от него по силата на посочените от ищеца законови норми, обезпечаващи защитимото право на ищеца. Ищецът ще се задоволи само с възраженията си, че такова изпълнение не е осъществено /Тълкувателно решение № 8 от 27.11.2013 г. на ВКС по тълк. д. № 8/2012 г., ОСГТК/. Изпълнението на задълженията за опазване на личните данни предполага въвеждането на ефективни процедури и механизми, които да са насочени към онези видове операции по обработване, които има вероятност да доведат до висок риск за правата и свободите на физическите лица поради своето естество, обхват, контекст и цели. Предвид предмета на делото, първият спорен въпрос е дали са предприети цитираните или други подходящи мерки, които да доведат до подсигуряване на достатъчно ниво на защита. След като е налице задължение за администратора на лични данни да въведе подобни подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването на личните данни се извършва при спазване на чл.24, § 1 §2 и чл.32 от Регламента, тежестта на доказване, че не е нарушил това свое задължение лежи именно върху него. Според чл.59 ал.1 ЗЗЛД администраторът на лични данни, случая НАП, като отчита естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този закон. При необходимост тези мерки се преразглеждат и актуализират. Същото задължение се съдържа и в чл.24 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, а в чл. 32 са предвидени конкретните мерки, които следва да се предприемат. Доколкото задължението да докаже, че обработването на личните данни се извършва в съответствие със ЗЗЛД е на администартора, обстоятелството, че е изтекла информация от сървърите на НАП вследствие неоторизиран достъп, който факт е безспорен по делото, според настоящият състав на съда сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на §1, т.4 от ДР на ЗЗЛД, вр. чл.4, т.2 от Регламент (ЕС) 2016/679, в т.ч. правото на защита на личните им данни. С решение от 14.12.2023 г. на трети състав на СЕС по дело № С-340/2021 г. на СЕС, съдът приема, че чл. 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32. Чл. 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове. Принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл.82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи. Следва да се има предвид и, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент. В хода на процеса от заключението на вещото лице се установи, че НАП има разработени редица правила и политики, касаещи мрежовата и информационна сигурност, които мерки са адекватни, но доколкото не са били изпълнени на практика, се явяват само на хартия и не могат да бъдет определени като достатъчни, за да се избегне нерегламентирания достъп. Предвид това съдът приема, че е налице противоправно бездействие от страна на ответника да изпълни произтичащи от посочените разпоредби задължения, за да осигури достатъчна надеждност и сигурност на информационната си система, съответно да защити физическите лица във връзка с обработването на личните им данни по смисъла на §1, т.4 от ДР на ЗЗЛД във връзка с чл.4, т.2 от Регламента, в т. ч. правото на защита на личните им данни. Бездействието е довело до техническа уяизвимост на системата, което в резултат е допринесло до нерегламентирано разкриване и разпространение личните данни. Ако системата беше ефективно и надеждно защитена, не би се стигнало до пробива, съответно до разкриване личните данни на множество лица. Неоснователно е възражението, че се касае до неоторизиран достъп в резултат на престъпление, поради което ответникът не може да носи отговорност по предявената претенция. Това е така, защото изпълнението на задължението по прилагане подходящи технически и организационни мерки е обвързано с изпълнение на задачата по предотвратяване на престъплението. Ако е изпълнено по изискуемия ефективен начин задължението по предотвратяване изтичането на лични данни, то не би следвало да е възможно злоумишлено деяние, престъпно посегателство по смисъла на Наказателния кодекс и обратно, след като е налице деяние по смисъла на НК, то задачата по предотвратяване на престъплението и предотвратяване неправомерно достъпване до базата данни не е била изпълнена. НАП е следвало да извърши анализ на обективните факти, да съобрази поведението си с тях, за да гарантира запазване и предотвратяване изтичането на личните данни на лицата. Обстоятелството, че е извършена хакерска атака, пробита е информационната система на НАП, е неоспоримо доказателство, че не са предприети подходящи технически и организационни мерки за защита обработване личните данни, което е достатъчно да бъде направен извод за противоправност на бездействието на НАП. Агенцията, в качеството си на администратор на лични данни по смисъла на чл.4, т.7 от Регламент ЕС 2016/679, при осъществяване дейността си е следвало ефективно да предприеме мерки за предотвратяване злоумишлен достъп до лични данни. Ответникът не е изпълнил задължението си по предотвратяване на престъплението и опазване изтичането на лични данни. Бездействието на НАП е незаконосъобразно, защото се явява в противоречие с изискванията на чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Регламента. Предвид изложеното настоящият съдебен състав приема, че е налице първата предпоставка за ангажиране на отговорността на НАП, представляваща незаконосъобразното бездействие по ефективно прилагане на приетите правила и политики, касаещи мрежовата и информационна сигурност. Втората предпоставка за ангажиране на отговорността на НАП е наличие на претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие. От събраните по делото доказателства съдът прие, че в хода на процеса не се установи, че личните данни на ищцата са изтекли. Установяването на този факт е именно в нейна тежест, като от същата не са представени никакви доказателства, които да го установява. Както се каза по-горе, приложената разпечатка не е достатъчна, за да установи, че се отнася до лични данни на ищцата. Други доказателства в тази насока не са представени и не е поискано събирането им. Това обстоятелството не може да се доказва със свидетелски показания, а и от събраните такива не би могло да се направи категоричен извод, доколкото самия свидетел заявява, че не знае за какви точно лични данни ищацата се притеснява. Освен това доказателствата по делото сочат на пасивно поведение от страна на ищцата – въпреки че се е притеснявала няма доказателства да е предприел действия по установяване на конкретните засегнати /разкрити/ данни и действия за предотвратяване на евентуална злоупотреба с тях. Предвид това следва да се приеме, че твърденията в исковата молба за увреда на ищцата са останали недоказани. В тежест на ищцата при условията на пълно и главно доказване е да установи по делото реалното изтичане на нейни лични данни при осъществения неправомерен достъп до информационната система на НАП, т.е. реалното настъпване на вредата, чиято обезвреда претендира, което същата не е сторила в хода на настоящото производство. Следователно, една от предпоставките за ангажиране отговорността на ответника не е доказана. Причинна връзка е безпредметно да бъде обсъждана и следва да се приеме, че също не е налице. Настоящото производство е исково и в тежест на ищеца е да докаже наличието на предпоставките за основателност на иска си. След като не е осъществил главно и пълно доказване на която и де е от кумулативно изискуемите предпоставки, то последица от това е отхвърляне на предявения от него иск. Липсата на който и да е от елементите от фактическия състав, в случая на доказана вреда и на причинна връзка между незаконосъобразните бездействия и настъпилия вредоносен резултат, е достатъчно основание искът да бъде отхвърлен. Изложените съображения мотивират съда да отхвърли предявения против НАП осъдителен иск. Неоснователността на главния иск води до неоснователност и на акцесорния такъв за присъждане на лихви. Предвид изхода на спора основателно се явява смоевременно направеното от пълномощника на ответника искане за присъждане на разноски. Ответникът е представляван от юрисконсулт, при което му се дължи юрисконсултско възнаграждение за всяка инстанция. Съгласно чл.37, ал.1 от Закона за правната помощ, вр. чл.24 от Наредбата за заплащането на правната помощ, за производството по настоящото дело разноските за юрисконсултско възнаграждение на ответника следва да бъдат определени в размер на по 100 лв., с оглед естеството на производство и реализираните процесуални действия по представителство на ответника по делото, или общо 300 лева. Ответникът е заплатил и възнаграждение на назначената и приета СТЕ в размер на 500 лева, както и държавна такса за касационното обжалване на предходното постановено решение, които също му се дължат от ищцата. Предвид това последвата следва да бъде осъдена да заплати на НАП деловодни разноски в общ размер от 812, 50 лева. Водим от гореизложеното Административен съд София-град, II отделение, 52-и състав, Р Е Ш И: ОТХВЪРЛЯ предявения иск от Й. С. Г. от [населено място] против Национална агенция за приходите за заплащане на обезщетение за претърпени неимуществени вреди в размер на 200.00 лева вследствие на незаконосъобразно бездействие от страна на ответника, изразяващо се в неизпълнение в достатъчна степен на задължения по чл. 59, ал.1 ЗЗЛД и по чл. 24 и чл. 32 от Общия регламент относно защитата на лични данни ЕС 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /GDPR/ да гарантира достатъчно ниво на сигурност на обработваните от него лични данни на ищеца, довело до неразрешено разкриване на личните данни на ищеца, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното изплащане на задължението. ОСЪЖДА Й. С. Г. от [населено място] да заплати на Национална агенция за приходите деловодни разноски в размер на 812, 50 лв. /осемстотин и дванадесет лева и 50 ст./. Решението подлежи на обжалване пред ВАС в 14-дневен срок от уведомяване на страните, на които на основание чл.138, ал.3 АПК да се изпрати препис от същото. СЪДИЯ: Р Е Ш И: