Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на петнадесети май две хиляди двадесет и четвърта година в състав: Председател: Д. Ч. Членове: Е. Д. Р. Й. при секретар М. В. и с участието на прокурора К. Ф. изслуша докладваното от председателя Д. Ч. по административно дело № 1963/2022 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано е по две касационни жалби, подадени от Б. Г. А. и Национална агенция за приходите (НАП/Агенцията) срещу решение № 7933/30.12.2021 г. постановено по адм. дело № 5267/2021 г. по описа на Административен съд - София-град (АССГ).

С касационната жалба на Б. Г. А. се обжалва съдебното решение в частта, с която е отхвърлен искът му срещу НАП за заплащане на обезщетение за неимуществени вреди за разликата над уважения размер от 100 лв. до пълния предявен размер от 1 000 лв., ведно със законната лихва, както и в частта му на съразмерно присъдените разноски, като твърди, че е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост касационни основания по смисъла на чл. 209, т. 3 от АПК. Иска да бъде отменена обжалваната от него част от съдебното решение. Подробни съображения в подкрепа на твърденията са изложени в подадената касационната жалба и в представена писмена защита. Претендира разноски.

Ответникът по тази касационна жалба НАП я оспорва по съображения в писмен отговор.

В другата касационна жалба НАП обжалва съдебното решение в частта, с която е осъдена да заплати обезщетение за неимуществени вреди в размер на 100 лв., ведно със законната лихва, считано от влизане на съдебното решение в сила до окончателното плащане на сумата и съответните разноски като твърди, че е неправилно поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необоснованост касационни основания по смисъла на чл. 209, т. 3 от АПК. Иска обжалваната от него част от съдебното решение да бъде отменена. Съображения в подкрепа на твърденията и исканията са изложени в касационната жалба. Претендира разноски за касационна инстанция.

Ответникът по тази касационна жалба Б. Г. А. я оспорва по съображения в писмен отговор.

Представителят на Върховната прокуратура заявява становище за основателност на касационната жалба на Б. Г. А. и за неоснователност на касационната жалба на НАП.

Върховният административен съд, пето отделение, намира, че касационните жалби като подадени от страни по делото, в срок са процесуално допустими като разгледани по същество касационната жалба на Б. Г. А. е неоснователна, а тази на НАП е основателна по следните съображения:

Първоинстанционното производство е образувано по иск с правно основание чл. 82, пар. 1 вр. пар. 2 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защита на данните/Регламент/ОРЗД), разгледан по реда на чл. 203 от АПК, вр. чл. 39, ал. 2 от Закона за защита на личните данни (ЗЗЛД). Ищецът Б. А. претендира обезщетение за неимуществени вреди в размер на 1000 лева, настъпили от неправомерното бездействие на НАП да изпълни задължението си да защити по сигурен начин данните на ищеца като гражданин, станало причина да бъде допуснат пробив в информационната система на НАП, довело до публичното разкриване на личните му данни.

Производството пред първоинстанционния съд се е развило при условията на чл. 226, ал. 1 от АПК, след отмяна на първоначално постановеното решение № 2816/09.06.2020 г. по адм. дело 11227/2019 г. на АССГ, с решение № 6350/27.05.2021 г. по адм. дело 8821/2020 г. на Върховния административен съд, трето отделение, и връщане на делото за ново разглеждане от друг състав. В решението на ВАС е определил правната квалификация на предявения иск по чл. 82 от ОРЗД и подлежащите на установяване факти: 1. наличие на материална или нематериална вреда; 2. нарушение на Регламент (ЕС) 2016/679; 3. причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, пар.1 вр. пар. 2 от Регламента. Изложени са обвързващи мотиви за липса на относимост към спора на чл. 59 от ЗЗЛД, който се намира в Глава осма от ЗЗЛД относно правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, респективно неотносими към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 от ОРЗД и е дал задължителни указания за конкретно разпределение на доказателствената тежест между страните.

В изпълнение на дадените указания, при повторното разглеждане на спора АССГ е изготвил подробен доклад по делото като с определение постановено в закрито заседание на 03.08.2021 г. изрично е посочил, че в тежест на ищеца е да докаже настъпването на претендираните вреди, а на ответника - че не е отговорен за събитието причинило вредата.

При новото разглеждане ответникът НАП е направил искане да бъдат приети представените писмени доказателства по адм. д. 11227/2019 г. по описа на АССГ и по адм. д. 8821/2020 г. по описа на ВАС и е представил допълнително следните нови писмени доказателства: Писмо и Протокол № ЕП-2339 от 12.12.2018 г. от председателя на Държавна агенция Електронно управление (ДАЕУ) до изпълнителния директор на НАП, удостоверяващи извършен проверка в НАП, съгласно чл. 60 от Закона за електронното управление (ЗЕУ); Писмо № ЕП-2339#1 от 19.12.2018 г. от изпълнителния директор на НАП до председателя на ДАЕУ, с което се изисква разяснение и конкретизиране на правените препоръки с писмото и протокола; Писмо № ЕП-43 от 04.01.2019 г. от председателя на ДАЕУ до изпълнителния директор на НАП, с което се предоставят изисканите разяснения; Пълномощно за представляване от юрисконсулт.

Ищецът не е ангажирал нито писмени, нито гласни доказателства, въпреки дадените му изрични указания.

В открито съдебно заседание на 13.10.2021 г. АССГ е приел представените доказателства от страна на НАП и е допуснал съдебно-техническа експертиза с оглед указанията на ВАС. Ответникът НАП е възразил срещу изводите на вещото лице по въпроси 5 и 6 в писмено становище с доводи, че НАП, в качеството си на администратор, е приложила подходящи организационни и технически мерки при обработването на личните данни с оглед представените писмени доказателства. В открито съдебно заседание на 10.11.2021 г. съдът е приел заключението на вещото лице.

За да постанови атакуваното пред настоящата инстанция решение, АССГ е приел от правна страна, че искът е с правно основание чл. 82, пар.1 вр. пар. 2 от ОРЗД, а НАП в качеството на администратор на лични данни по смисъла на пар. 1, т. 2 от ДР на ЗЗЛД, вр. чл. 4, т. 7 от ОРЗД, не е изпълнила задължението си да предприеме ефективни мерки за предотвратяване на злоумишлен достъп до личните данни на ищеца. Независимо от приемането вътрешни правила и политики НАП не е осигурила достатъчна надеждност на информационната си система. Приети и споделени от съда са изводите на вещото лице след извършената съдебното-техническата експертиза, съгласно които се потвърждава, че е осъществен нерегламентиран достъп до личните данни от електронните системи на НАП. Изводите на вещото лице са, че достъпът е осъществен изцяло чрез външна намеса през Системата за възстановяване на ДДС от друга държава-членка на ЕС (VATRefund), чрез която се заявяват услуги без да е необходима допълнителна идентификация чрез електронен подпис. Вещото лице заявява, че е било възможно неоторизирания достъп до електронните системи да бъде предотвратен в случай че НАП е разполагал с по-добра техническа инфраструктура, на която да се съхраняват и достъпват данните от външни източници. Посочената техническата уязвимост е довела до нерегламентирано разпространение на личните данни на ищеца и това е следствие от неприлагането от НАП на подходящи мерки за защита. От това съдът е направил извод, че ответникът в качеството му на администратор на лични данни, не е изпълнил задължението си по предотвратяване изтичането на лични данни, при което е налице първата предпоставка за ангажиране отговорността на НАП, представляваща незаконосъобразното бездействие по предприемане на необходимите и ефективни действия, произтичащи от чл. 24 и чл. 32 ОРЗД задължения.

По отношение другите предпоставки, които следва да са налице за ангажиране отговорността на НАП - претърпяна вреда от страна на ищеца от това незаконосъобразно бездействие и причинна връзка между тях, АССГ е приел, че Б. А. е изпълнил дадените му изрични указания да докаже претърпените от него негативни преживявания с оглед представените доказателства (гласни) при първото разглеждане на спора (адм. д. 11277/2019 г., по описа на АССГ), като е приел за безспорно обстоятелството, че по отношение на ищеца има изтичане на лични данни в резултат на неоторизирания достъп. По тези съображения съдът е осъдил НАП да плати на ищеца Б. А. сумата от 100 (сто) лева обезщетение за неимуществени вреди, ведно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното ѝ изплащане, както и за разноски по делото, и по отношение на адвокатското възнаграждение и възнаграждението за вещото лице.

Така постановеното съдебно решение е валидно и допустимо, но неправилно.

Неправилно съдът е приел, че е налице втората предпоставка за основателност на исковата претенция. Ищецът твърди причинена неимуществена вреда, подробно описана в исковата молба. В т. 6 от диспозитива на решение Съда на Европейския съюз (СЕС) от 14 декември 2023 г. по дело С-340/2021, VB, ECLI:EU:C:2023:986, е посочено, че член 82, пар. 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на тази разпоредба. Тежестта на доказване е на ищеца.

Връщането на делото за ново разглеждане от друг състав на първоинстанционния съд е в резултат на съществено процесуално нарушение при разглеждане и решаване на спора на първа инстанция, поради което процесуалните действия, извършвани пред съда при първото разглеждане, включително и разпита на свидетеля, се считат за опорочени. Съгласно чл. 226, ал. 1 и ал. 2 АПК, при новото разглеждане производството се провежда по общия ред и започва от първото незаконосъобразно процесуално действие, послужило като основание за връщане на делото, като се допускат само писмени доказателства, които не са могли да бъдат известни на страната, както и доказателства за новооткрити или новонастъпили обстоятелства. В случая такова незаконосъобразно процесуално действие е било неправилното разпределение на доказателствената тежест, поради което събраните във връзка с него гласни доказателства не могат да бъдат ценени. Въпреки дадените му изрични указания при новото разглеждане да докаже настъпването на претендираните вреди, ищецът не се е справил с възложената му доказателствената тежест и не е ангажирал нито писмени, нито гласни доказателства. Като е съобразил свидетелските показания, събрани при първоначалното разглеждане на спора, АССГ е допуснал процесуално нарушение и фактическите установявания въз основа на тях са необосновани. От допустимите доказателства не се установяват факти, което да обуславят наличие на втората предпоставка за възникване на правото на обезщетяване на вреди по чл. 82 от ОРЗД, а именно претърпени неимуществени вреди. Изрично трябва да бъде посочено, че за осъществяването на първата предпоставка АССГ е изложил изключително подробни и принципно обосновани изводи, но необосновано е приел за безспорно обстоятелството, че лични данни на Б. А. са разпространени от НАП. За установяване на този факт по делото е представено копие от екран на електронно устройство за извършвана справка от официалната страница на НАП, но без да са посочени имената и ЕГН на лицето, за което е правена проверката. В открито съдебно заседание от 27.05.2020 г. юрисконсулт Чилова е заявила, че не оспорва, че са изтекли лични данни, но не се ангажирала с позиция, че признава изтичането на личните данни конкретно на ищеца. Следователно и първата предпоставка за възникване правото на обезщетение, съобразно изричните указания на Върховния административен съд при първоначалното разглеждане на спора, не е установена по несъмнен начин.

Като е достигнал до противоположен правен извод и е определил по справедливост обезщетение за неимуществени вреди АССГ е постановил неправилно решение, което подлежи на отмяна в тази част, а вместо него трябва да бъде постановено друго, с което да бъде отхвърлен иска и за присъдените от първата инстанция 100 лв. Останалата част на съдебното решение, с която е отхвърлен иска до пълния предявен размер на претендираното обезщетение, се явява правилна като краен резултат и трябва да бъде оставена в сила, но поради изложение вече съображения относно недоказаност на правото на обезщетение, а не поради определянето на по-малък размер на обезщетение от претендираното. С оглед промяната в окончателния изход на спора обжалваното съдебно решение следва да бъде отменено и в частите относно присъдените на всяка от страните разноски по делото, а претендираните и направени от НАП разноски за всички инстанции, включително и за представителство от юрисконсулт, общо в размер на 582,50 лв. (82,50 лв. държавна такса, 100 лв. депозит за вещо лице и по 100 лв. за юрисконсултско възнаграждение за всяка една от съдебните инстанции) трябва да бъдат възложени изцяло в тежест на Б. А.. По делото няма данни НАП да е заплатила определената допълнително сума в размер на 485 лв. за възнаграждението за вещото лице, което е изготвило съдебна експертиза по поставени от тази страна въпроси, поради което не е налице основание те да й бъдат възстановявани, а в тази част съдебното решение представлява по своя характер правилно определение по хода на делото и също следва да бъде оставено в сила.

По тези съображения и на основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение,

РЕШИ:

ОТМЕНЯ решение № 7933/30.12.2021 г., постановено по адм. дело № 5267/2021 г. по описа на Административен съд - София-град в ЧАСТТА, с която на основание чл. 82, ал. 1 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО е осъдена Националната агенция за приходите да заплати на Б. Г. А., [населено място], [улица]обезщетение в размер на 100 лева за претърпени неимуществени вреди вследствие на незаконосъобразно бездействие на ответника, изразяващо се в неизпълнение в достатъчна степен на задълженията по чл. 24 и чл. 32 от Общия регламент за защита на данните, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата, както и в ЧАСТТА, с която са присъдени разноски в полза на Б. Г. А., адв. И. Ю. и Националната агенция по приходите и вместо него постановява:

ОТХВЪРЛЯ иска с правно основание чл. 82, ал. 1 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО, предявен от Б. Г. А., [населено място], [улица]против Национална агенция за приходите за присъждане на обезщетение в размер на 100 лева за претърпени неимуществени вреди вследствие на незаконосъобразно бездействие на ответника, изразяващо се в неизпълнение в достатъчна степен на задълженията по чл. 24 и чл. 32 от Общия регламент за защита на данните, ведно със законната лихва, считано от 15.07.2019 г. до окончателното изплащане на сумата.

ОСТАВЯ В СИЛА решение № 7933/30.12.2021 г., постановено по адм. дело № 5267/2021 г. по описа на Административен съд - София-град в останалата му обжалвана част.

ОСЪЖДА Б. Г. А., [населено място], [улица]да заплати на Национална агенция за приходите сумата 582,50 лв. (петстотин осемдесет и два лева и 50 стотинки), разноски за всички съдебни инстанции.

РЕШЕНИЕТО не подлежи на обжалване.

Вярно с оригинала,

Председател:

/п/ ДОНКА ЧАКЪРОВА

секретар:

Членове:

/п/ ЕМИЛ ДИМИТРОВ

/п/ РУМЕН ЙОСИФОВ