Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на девети май две хиляди двадесет и четвърта година в състав: Председател: А. Д. Членове: И. С. Н. Д. при секретар М. Д. и с участието на прокурора В. Н. изслуша докладваното от съдията И. С. по административно дело № 1451/2021 г.

Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).

Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу решение №7215 от 11.12.2020 г. по адм. дело № 11228/2019 г. на Административен съд - София - град (АССг) в частта му, с която НАП е осъдена да заплати на И. Г. П. обезщетение за причинените ѝ неимуществени вреди в размер на 500 лева, ведно със законна лихва, считано от 16.09.2019 г. до окончателното плащане на сумата, както и деловодни разноски в размер на 40 лева съдебни разноски по това дело и по адм. дело № 1627/2020 г на ВАС, както и сумата от 150 лева за адвокатско възнаграждение и отхвърляне на иска срещу НАП. Претендира присъждане на юрисконсултско възнаграждение за касационното производство.

Ответникът по касационна жалба И. Г. П., в писмен отговор чрез процесуален представител, оспорва жалбата и моли решението в обжалваната му част да бъде оставено в сила. Претендира присъждане на адвокатско възнаграждение на адв. Ю. на основание чл. 38 от Закона за адвокатурата.

Прокурорът от Върховната прокуратура дава мотивирано заключение за основателност на касационната жалба.

Върховният административен съд (ВАС), състав на Пето отделение, при извършената служебно проверка на атакуваното решение по реда на чл. 218, ал. 2 АПК и предвид наведените в касационната жалба доводи, приема за установено следното:

Обжалваното решение е валидно и допустимо постановено е от компетентен съд, след надлежно сезиране. Касационната жалба е неоснователна по следните съображения:

С определение № 3010/26.02.2020 г. по адм. дело №1627/2020 г. на Върховния административен съд, пето отделение е отменено определение № 9959/19.12.2019 г. по адм. дело №11228/2019 г. на АССг и делото е върнато за ново разглеждане на друг състав на същия съд със задължителни указания по тълкуване и прилагане на закона. Посочил е, че предметът на доказване по чл. 82 от Общия регламент изисква следните задължителни елементи: 1. Наличие на материална или нематериална вреда; 2. Доказано нарушение на Регламент (ЕС) 2016/679; 3. Причинна връзка между претърпяната вреда и нарушението на Регламента. Изложените от ищеца факти, изрично сочещи на допуснати от администратора на лични данни нарушения на задължения, които произтичат от чл. 24 и чл. 32 от Регламента за защита на данни, обуславят правна квалификация на иска по чл. 82, 1 вр. 2 от Регламента. Разяснил е, нормата на чл. 59 ЗЗЛД е неправилно обсъждана от първоинстанционния съд, тъй като се намира в Глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, и поради това е неотносима към настоящия правен спор. ВАС е посочил, че НАП има качество на администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД, дал е указания и за правилно разпределение на доказателствената тежест между страните и в частност какво следва да бъде указано на ответника и как да бъдат преценени негативните преживявания на ищеца.

С обжалваното пред настоящата съдебна инстанция решение, постановено във второто първоинстанционно производство по делото, АССг е осъдил НАП да заплати на И. Г. П. от [населено място] сумата от 500 лева, представляваща обезщетение за причинените ѝ неимуществени вреди, ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата по искова молба с посочен входящ номер и посочени правни и фактически основания по молбата, осъдила е НАП да заплати на И. Г. П. 40 лева разноски, както и на адвокат С. Ю. 150 лева адвокатски възнаграждения по чл. 38, ал. 2 съобразно уважената част от иска, отхвърля предявения иск в останалата му част над 500 лева до предявения размер от 1000 лева.

Решението е правилно като краен резултат в частта, с която е осъдена НАП да заплати обезщетение за неимуществени вреди в размер на 500 лева на П., ведно със законната лихва, считано от 16.09.2019 г. до окончателното изплащане на сумата и са присъдени разноски и адвокатско възнаграждение.

АССг е посочил е, че след неоторизирания достъп до базата с лични данни на НАП, станал обществено известен от медиите на 15.07.2019 г. е установено и разпространяването на личните данни на ищцата, видно от представената справка, издадена от НАП, която П. прави на 26.07.2019 г. Според нея са разпространени имената ѝ, ЕГН и данни от справка за изплатени доходи на ФЛ за 2008 г.; данни за изплатени доходи на ФЛ за 2007г. и 2008 г. АССг е обсъдил представените от НАП доказателства за взети организационни мерки преди установения неправомерен достъп до личните данни на ищеца и множество други физически лица, но е приел, че липсват доказателства, от които да се направи извод, че тези организационни мерки са подходящи, за да гарантират защита на данните и че същите са актуализирани. С тези доказателства не може да се установи, че предприетите организационни мерки, са били до такава степен подходящи и ефективни, че да гарантират обработването на личните данни в съответствие с изискванията на Регламент (ЕС) 2016/679. НАП не е посочила и взетите конкретни технически мерки за защита на личните данни, които обработва, като е разбрала за неправомерния достъп до данните ѝ от медиите, тоест администраторът на личните данни не е следил за неправомерен достъп и не го е установил посредством техническите си мерки. АССг е приел, че са налице и трите предпоставки за уважаване на иска - нарушение на администратора на лични данни на задължението му по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и чл. 45, ал. 1, т. 6 ЗЗЛД, чл. 59 ЗЗЛД, чл. 64 ЗЗЛД и чл. 66, ал.1 и ал. 2 ЗЗЛД за вземане на подходящи технически и организационни мерки от администратора на лични данни, за да гарантира обработване на данните в съответствие с регламент и закона чрез възможността за достъп без оторизация с електронен подпис и предоставен линк за изтегляне на документ при този достъп. Ищцата е преживяла негативни емоции, представляващи неимуществени вреди и е налице причинна връзка между тях и незаконосъобразното бездействие на ответника по иска за вземане на подходящи технически и организационни мерки. АССг на основание чл.52 от Закона за задълженията и договорите е определил обезщетение по справедливост в размер на 500 лева, като е отчел характера и степента на преживените вътрешни душевни страдания.

Настоящата съдебна инстанция не споделя изложените мотиви за нарушение от НАП на чл. 45, ал. 1, т. 6 ЗЛД, чл. 59 ЗЗЛД, чл. 64 ЗЗЛД и чл. 66, ал. 1 и ал. 2 ЗЗЛД. Както е указала и първата касационна инстанция, тези разпоредби са неотносими към задълженията на НАП като администратор на лични данни, тъй като се намират в глава 8 ЗЗЛД, която регламентира правилата за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване.

Правната квалификация на иска е по чл. 82, 1 във връзка с 2 от Регламент (ЕС) 2016/679 и е за нарушения по чл. 24 и 32 от Регламент (ЕС) 2016/679 от НАП, които АССг правилно е приел за установени. Твърдяното от касатора качество на НАП на административен орган е неточно, доколкото НАП не е колективен административен орган, а е администрация към административни органи. Тези твърдения обаче са правно ирелевантни при преценка на отговорността на НАП като администратор на лични данни и материалноправните предпоставки по чл. 4 ЗОДОВ и чл. 256 АПК са неотносими към правен спор относно отговорността на администратор на лични данни по чл. 82, 1 във връзка с 2 от Регламент (ЕС) 2016/679 за допуснати от него нарушения по чл. 24 и 32 от същия Регламент. Чл. 24, 1 от Регламент (ЕС) 2016/679 изисква администраторът на лични данни да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Чл. 32 Регламент (ЕС) 2016/679 изисква тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването. Независимо от правилно разпределената тежест на доказване от АССг, съответстваща и на приетото впоследствие с решение на СЕС от 14.12.2023 г. по дело С-340/21 и ангажираната компютърно - техническа експертиза НАП не е доказал техническите мерки, които е взел преди нерегламентирания достъп до личните данни на ищцата, нито че те са достатъчни съобразно рисковете в Интернет от обработването на личните данни. При условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССг е приел за доказано твърдението на ищцата за бездействие от страна на НАП. В случая са установени и конкретни недостатъци на взетите технически мерки, способствали неоторизирания достъп на трето лице до личните данни на ищеца. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата, независимо, че се позовава на образуваното наказателно производство срещу третите лица, които са осъществили нерегламентирания достъп до личните данни на П. и останалите физически лица.

Извършените от НАП действия след неправомерния достъп до личните данни на П. на 15.07.2019 г. в изпълнение на изискванията на Регламент (ЕС) 2016/679 не санират предходното бездействие и не водят до освобождаване от отговорност за неимуществени вреди. Обосновани са изводите на АССг за наличието на претърпени неимуществени вреди от ищеца, които според решение на СЕС от 14.12.2023 г. по дело С-340/21 могат да бъдат и само опасения за потенциална злоупотреба с личните му данни, и причинната връзка между тях и допуснатото от администратора на лични данни нарушение на Регламент (ЕС) 2016/679.

Решението като правилно като краен резултат в посочените по горе части следва да бъде оставено в сила.

Решението в частта, в която в диспозитива му са описани входящ номер на искова молба и правни и фактически основания, твърдени в исковата молба, противоречи на субсидиарно приложимата разпоредба на чл. 236, ал. 1 ГПК вр. 144 АПК относно съдържанието на решението по осъдителните искове, тъй като същите кореспондират с установените от съда основания за присъждане на обезщетението, посочени по-горе, поради което същото следва да бъде отменено в тази част.

С оглед изхода на делото пред ВАС не може да се присъди юрисконсултско възнаграждение на касатора. В настоящето производство ответникът по касация не е направил разноски и съответно касаторът няма да бъде осъден да заплати разноски, поради което липсва кумулативно необходима предпоставка за присъждане на адвокатско възнаграждение по чл. 38, ал. 2 ЗЗД на оказалата безплатна адвокатска помощ адв. Ю., независимо от изхода на делото.

Предвид изложеното и на основание чл. 221, ал. 2 АПК Върховният административен съд, Пето отделение

РЕШИ:

ОСТАВЯ В СИЛА решение № 7215 от 11.12.2020 г. по адм. дело №11228/2019 г. на Административен съд - София град в частите, с които е осъдена Национална агенция за приходите да заплати на И. Г. П. обезщетение за причинените ѝ неимуществени вреди в размер на 500 лева, ведно със законна лихва, считано от 16.09.2019 г. до окончателното плащане на сумата, осъдена е Национална агенция за приходите да заплати на И. Г. П. сума от 40 лева съдебни разноски и на адвокат С. Ю. сумата от 150 лева за адвокатско възнаграждение по чл. 38, ал. 2 ЗЗД за съдебните производства по делото.

ОТМЕНЯ решението в останалата част.

Решението е окончателно и не подлежи на обжалване.

Вярно с оригинала,

Председател:

/п/ АННА ДИМИТРОВА

секретар:

Членове:

/п/ ИЛИАНА СЛАВОВСКА

/п/ НЕЛИ ДОНЧЕВА