Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на десети април две хиляди двадесет и четвърта година в състав: Председател: Й. Д. Членове: В. Г. М. Н. при секретар Н. А. и с участието на прокурора К. Х. изслуша докладваното от председателя Й. Д. по административно дело № 13701/2020 г. Производството е по чл.208 и сл. от АПК.
Образувано е по касационната жалба на А. П. против решение № 788/ 14.10.2020 г. по адм. д.№ 511/2020 г. по описа на Административен съд - Пазарджик. Иска отмяна на решението като неправилно, защото е претърпял неимуществени вреди от публично оповестяване на негови лични данни, които се изразяват в постоянен стрес, притеснения и опасения от възможни злоупотреби с личните му данни. Твърди, че тези неимуществени вреди се презумират и не е необходимо да се доказват със свидетелски показания. Самият факт на изтекли в публичното пространство лични данни, станали обект на неконтролирана злоупотреба с тях, обуславя настъпването на неимуществените вреди. Иска отмяна на решението и уважаване на иска в размер на 2000 лв. за периода след 15.07.2019 г. Счита, че е доказано настъпването на неимуществените вреди.
Ответната страна Националната агенция за приходите оспорва касационната жалба като неоснователна. Настъпването на неимуществени вреди не се презумира и следва да се докаже. В случая въпреки разпределената доказателствена тежест ищецът не е доказал такива. Претендира присъждане на разноски по делото, представляващи юрисконсултско възнаграждение.
Представителят на Върховната прокуратура намира касационната жалба за основателна, а решението за правилно, защото не било необходимо да се събират гласни доказателства за настъпването на неимуществени вреди.
Върховният административен съд, пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК от страна, за която съдебното решение е неблагоприятно, намира същата за допустима. Разгледана по същество е неоснователна по следните съображения:
За да отхвърли иска на А. П. против НАП с правно основание чл. 82, ал.1 от Регламент /ЕО/ 2016/679 /за краткост Регламента/ вр. с чл. 39, ал.1 и 2 от ЗЗЛД, вр. с чл. 1 от ЗОДОВ вр. с чл. 203, ал.1 и чл. 204, ал.4 от АПК за неполагане на достатъчна грижа и неприлагане на ефективни мерки за защита на сигурността на лични данни, нарушение на чл. 24 и чл. 32 от Регламент /ЕС/ 2016/679, чл.45, ал.1, т.6 , чл. 59, ал. 1 от ЗЗЛД, чл. 64, чл. 66, ал.1 и ал. 2, и чл. 68 от ЗЗЛД с цена 2000 лв. за претърпени неимуществени вреди, изразяващи се в стрес, безпокойство, притеснение, чувство на застрашеност от физическо посегателство, изнудвания, злоупотреби, съдът излага следните съображения:
1. Осъщественият пробив в системата на НАП, който е станал причина за неправомерно разкриване и разпространение на лични данни на ищеца доказва неправомерно бездействие/ пропуски на ответника да изпълни произтичащи от ЗЗЛД и Регламент /ЕО/ 2016/679 / задължения да обезпечи достатъчна и ефективна надеждност и сигурност на информационната система, да защити личните данни на физически лица при тяхната обработка. Техническата уязвимост на системата на НАП е довела до нерегламентиран достъп на информация и това е в резултат на неприлагане на подходящи технологии и мерки за защита. Бездействието на НАП нарушава е чл. 24, чл. 32, т. 2 и чл. 59, ал.1 от Регламента при оценката на подходящото ниво на сигурност
2. Доказани са видът и обема на на личните данни на ищеца, които са изтекли - имена, ЕГН, данни от декларации по чл. 41 от ЗОДФЛ, които са достатъчни за идентифициране. Няма доказателства, които да изключват отговорността на НАП по чл. 82, пар. 3 от Регламента. Не са доказани обаче неимуществените вреди, които се твърдят в исковата молба. Няма ангажирани нито гласни, нито писмени доказателства. С тези правни изводи съдът отхвърля иска на ищеца като неоснователен.
Решението е правилно, следва да се остави в сила като част от мотивите следва да бъдат коригирани.
Делото е възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС.
Правното основание на иска е чл. 82, пар.1 и 2 от Регламент №2016/679. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента става ясно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение: обработване на лични данни в нарушение на разпоредбите на този регламент, вреди, нанесени на субекта на данните и причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент №2016/679 не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82, по-специално до понятията материални и нематериални вреди, обезщетение за нанесени вреди и за целите на прилагането на посочения регламент тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (виж Решение от 4 май 2023 г. по С-300/21 на СЕС).
С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент №2016/679 не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна по смисъла на чл. 4, т. 10 от ОРЗД. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи (Решение от 14.12.2023 г. по С-340/21 на СЕС). Затова и предвид посоченото решение на СЕС, са неправилни правните изводи на съда, че достъпването на личните данни от трети лица е факт, който сам по себе си доказва, че техническите и организационни мерки за защита на личните данни са неподходящи.
В случая с определение от 14.09.2020 г. първоинстанционният съд дори неправилно е разпределил тежестта на доказване относно първия елемент от фактическия състав за ангажиране отговорността на администратора на лични данни, като е указал на субекта на лични данни да представи доказателства за бездействието от страна на орган или длъжностно лице. Спорът по делото не е дали администраторът на лични данни е извършил действия или е бездействал при осъществяване защитата на личните данни, а дали избраните и приложени от него организационни и технически мерки, за които е представил писмени доказателства са подходящи, за да препятстват неоторизиран достъп до лични данни и тяхното незаконно обработване. По настоящото дело обаче допуснатото нарушение на съдопроизводствените правила не се отразява на резултата.
Не е доказан вторият елемент от фактическия състав на отговорността. Понятието вреди се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява напълно целите на Регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите. Пълното и действително обезщетение по съображение 146 от Регламента е цел на този правен институт, без да е необходимо изплащане на наказателно обезщетение. Опасенията, които субект на лични данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на чл. 82 от Регламент 2016/679 / виж решение по С-340/21 на СЕС/. Тежестта на доказване обаче е на ищцата, съгласно чл. 154, ал.1 от ГПК вр. с чл.144 от АПК. В Решение по дело С-340/21 е посочено, че опасенията, които субектът на данни изпитва, вследствие на нарушението на този регламент могат да бъдат сами по себе си нематериални вреди, но засегнатото лице е длъжно да ги докаже.
В исковата молба ищецът посочва и впоследствие доказва със справка от НАП /л.21/ кои негови лични данни са изтекли в публичното пространство - имена, ЕГН, данни за глоби по ЗДвП, данни от годишна данъчна декларация по чл. 41 от ЗОДФЛ от 2003 г., 2004 г., 2010 г. и 2014 г. С определението от 14.09.2020 г. съдът е указал на ищеца да докаже настъпилите неимуществени вреди и размера на същите /л.31 от делото/, с което е изпълнил задължението си да разпредели правилно доказателствената тежест по отношение на втория елемент от фактическия състав.
Настоящата инстанция споделя правните изводи на съда относно недоказаност на втория елемент от фактическия състав на отговорността по чл. 82 от Регламента. За да може да се приложи принципа на равностойност и ефективност (виж решение по С-300/21) ищецът следва да посочи и докаже неимуществените вреди. Неимуществените вреди не се презумират. Целта на доказването на претърпените вреди е да се ангажира отговорността на администратора на лични данни и да се определи адекватно парично обезщетение. Няма ангажирани доказателства от ищеца, такива не са представени и с касационната жалба. В открито съдебно заседание ищецът не се е явил и не е направил доказателствени искания. Липсата на доказателства в посочения смисъл, които касационният жалбоподател признава, че не е ангажирал, имат за правна последица недоказаност на втория елемент от фактическия състав на отговорността. Трите елемента са кумулативно дадени в чл. 82 от ОРЗД, липсата на доказаност на който и да е от тях има за правна последица неоснователност на иска, в какъвто смисъл е решението на съда. Първоинстанционният съд не е допуснал съществено нарушение на съдопроизводствените правила спрямо ищцата, защото тежестта на доказване е разпределена правилно и дадените й указания по отношение на втория елемент от фактическия състав са правилни. Вредите не се презумират и съдебната практика на ВКС е неотносима към спора. Предвид принципа на процесуална автономия във вътрешния правов ред на всяка държава членка, настоящият състав приема, че правилата за доказателствена тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове и следователно е спазен принципа на равностойност. Освен това правилото на чл. 154, ал.1 от ГПК, всяка страна да установява фактите, на които основава своите искания и възражения, не прави практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза и следователно е спазен принципа на ефективност.
Правилно е отхвърлен предявеният иск с правно основание чл. 59, ал.1 от ЗЗЛД. Тази правна норма, както и чл. 45, чл. чл. 64, чл. 66, ал.1 и ал. 2, и чл. 68 от ЗЗЛД, на които се позовава първоинстанционния съд, са неотносими към спора. Задълженията на НАП като администратор на лични данни не се намират в Глава осма от ЗЗЛД Правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, която транспонира изискванията на Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. И това е така, защото НАП не е от компетентните държавни органи по смисъла на чл. 42, ал. 4 от ЗЗЛД, които имат правомощия по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване.
Решението следва да се остави в сила, като се вземат предвид мотивите в настоящото съдебно решение. Предвид изхода на спора е основателна претенцията на процесуалния представител на НАП да бъде присъдено юрисконсултско възнаграждение. Размерът на възнаграждението с правно основание чл. 78, ал. 8 вр. с чл. 37 от ЗПП и чл. 24 от Наредбата за заплащане на правната помощ, предвид правната и фактическа сложност на делото, представеният подробен отговор на касационна жалба и процесуално представителство в две съдебни заседания, следва да се бъде определена в размер на 200 лв.
На основание чл. 221, ал. 2 от АПК, Върховният административен съд, пето отделение
РЕШИ:
ОСТАВЯ В СИЛА решение № 788/ 14.10.2020 г. по адм. д. № 511/2020 г. по описа на Административен съд - Пазарджик.
ОСЪЖДА А. ПАВЛОВ, гр. Пазарджик,[ адрес], да заплати на НАЦИОНАЛНАТА АГЕНЦИЯ ЗЗД ПРИХОДИТЕ, гр. София, юрисконсултско възнаграждение за процесуално представителство в размер на 200 (двеста) лв.
Решението е окончателно.
Вярно с оригинала,
Председател:
/п/ ЙОВКА ДРАЖЕВА
секретар:
Членове:
/п/ ВИОЛЕТА ГЛАВИНОВА
/п/ МАРИЯ НИКОЛОВА