Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на шестнадесети май две хиляди двадесет и четвърта година в състав: Председател: Е. М. Членове: ЮЛИЯ КОВА. Д. при секретар Н. А. и с участието на прокурора К. Н. изслуша докладваното от председателя Е. М. по административно дело № 2169/2021 г. Производството е по реда на чл. 208 и сл. от АПК.
Образувано е по касационната жалба на Н. В. Х. от [населено място],област Ямбол, чрез адв. С. Ю. против решение № 7522 от 23.12.2020 г. по адм. д. № 11194/2019 г. по описа на Административен съд София - град/АССГ/. Навеждат доводи за неправилност на решението, поради допуснато съществено нарушение на съдопроизводствените правила, противоречие с материалния закон и необоснованост.
Иска се отмяна на оспореното решение е постановяване на решение по същество на спора, с което се уважи изцяло предявения срещу НАП иск за присъждане на обезщетение за неимуществени вреди в размер на 1000лв., ведно със законната лихва. Претендира присъждане на разноски за двете съдебни инстанции, съгласно списък.
Ответната страна - Национална агенция по приходите/НАП/, чрез процесуален представител юрк. Н. А. в представен по делото писмен отговор и в съдебно заседание, оспорва касационната жалба. Иска решението като правилно да бъде оставено в сила. Претендира присъждане на юрисконсултско възнаграждение.
Представителят на Върховна прокуратура дава мотивирано, писмено заключение за неоснователност на касационната жалба. Предлага решението като правилно да остане в сила.
Върховният административен съд, пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК, намира същата за допустима. Разгледана по същество е неоснователна по следните съображения.
Производството пред административния съд е образувано по предявен иск от Н. В. Х. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от бездействия на националната агенция, довели до неправомерно разпространение на личните й данни, от което ищцата претърпяла неимуществени вреди, представляващи психически страдания, страх от злоупотреба с изтеклите данни, причиняване на финансови загуби и задлъжнялост.
С обжалваното съдебно решение АССГ е отхвърлил изцяло така предявения от Х. срещу НАП иск по чл.1, ал.1 от ЗОДОВ като неоснователен.
За да достигне до този правен резултат, съдът е приел, че искът е с правно основание чл. 1, ал.1 от ЗОДОВ за присъждане на обезщетение за претърпени неимуществени вреди, вследствие на незаконосъобразно бездействие от страна на служители на НАП, изразяващо се в неизпълнение на задължения, произтичащи от чл.59, ал.1 от ЗЗЛД, чл. 24 и 32 от Регламент 2016/679 и чл. 45, ал.1, т.6, чл. 59, ал.1, чл. 64, 66, ал.1 и ал. 2, чл. 67 и 68 от ЗЗЛД.
Приел е за безспорно, че на 15.07.2019г. е осъществен неоторизиран достъп до обработваните от НАП база данни с лични данни, вследствие на хакерска атака, за което е образувано и досъдебно производство и няма данни да е приключило, както и че се касае за противоправно поведение от страна на трети лица, което е довело до негативния резултат.
Според АССГ е налице противоправно бездействие от страна на ответника да изпълни произтичащи от конкретно посочени законови разпоредби задължения, за да осигури достатъчна надеждности сигурност на информационната си система, съответно да защити физическите лица във връзка с обработване на личните им данни по смисъла на 1,т.4 от ДР на ЗЗЛД . Изводът на съда е, че бездействието е довело до техническа уязвимост на системата, което в резултат е допринесло до нерегламентирано разкриване и разпространение на личните данни на ищцата.
При установено наличие на първата предпоставка за ангажиране отговорността на ответника - незаконосъобразно бездействие по предприемане на ефективни действия от страна на НАП , съдът при анализ на доказателственият материал по делото е приел, че не са установени и доказани последващите предпоставки - наличие на вреда и причинно – следствена връзка с незаконосъобразното бездействие от страна на НАП, поради което искът като неоснователен е отхвърлен.
Решението е правилно като краен резултат, при следните коригиращи мотиви.
В исковата молба се твърдят нарушения на задължения, произтичащи пряко от чл. 24 чл. 32 от Регламента, поради което правното основание на иска е чл.82, 1 и 2 от Регламент № 2016/679 /ОРЗД/, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на посочения регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображения 146 на Регламента става ясно, че чл. 82 въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, 2 от ОРЗД са посочени трите кумулативно необходими предпоставки, за да възникне правото на обезщетение, а именно: обработването на личните данни да е извършено в нарушение на разпоредбите на регламента; вреди, нанесени на субекта на данните и причинно-следствена връзка между незаконосъобразното обработване на данните и вредите.
ОРЗД не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82 от ОРЗД, по-специално до понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент тези термини следва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 04.05.2023 г. по дело С-300/21 на СЕС).
В решение от 14.12.2023 г. по дело № С-340/21 на СЕС е посочено, че самото нарушение на разпоредбите на ОЛЗД само по себе си не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на чл. 24 и чл. 32 от същия и да бъде присъдено право на обезщетение. Самото изтичане на лични данни в публичното пространство, в резултат на неправомерно поведение на трети лица, не презумира, че приложените технически и организационни мерки за защита на лични данни по чл. 24 и чл. 32 от ОРЗД са неподходящи. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна". Сочи се, че принципът на отчетност на администратора, закрепен в чл. 5, 2 и конкретизиран в чл. 24 от ОРЗД, следва да се тълкува в смисъл, че в исковото производство за обезщетение по чл. 82 от ОРЗД администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи.
По делото не е доказан и вторият елемент от фактическия състав на отговорността. Понятието "вреди" се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява напълно целите на регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите. Пълното и действително обезщетение по съображение 146 от ОРЗД е цел на този правен институт, без да е необходимо за целите на такова пълно обезщетяване да се налага изплащане на наказателно обезщетение. Опасенията, които субект на лични данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват "нематериална вреда" по смисъла на чл. 82 от Регламент 2016/679 / виж решение по дело С-340/21 на СЕС/, но тежестта на доказване е на ищеца, съгласно чл. 154, ал. 1 от ГПК във връзка с чл. 144 от АПК.
Н. Х. сочи в исковата молба, че вследствие на публично оповестените лични данни е претърпяла вреди, изразяващи се в притеснения, страх и опасения за възможни злоупотреби с тях.
С разпореждане от 22.05.2020 г. съдът е указал на ищцата да представи доказателства за вредите, по отношение на които претендира обезщетение .
Настоящата инстанция споделя изводите на първоинстанционния съд относно недоказаност на претърпените от ищеца неимуществени вреди - втория елемент от фактическия състав на отговорността по чл. 82 от ОРЗД. Обосновано, съдът не е ценил събраните по делото гласни доказателства. Както правилно приема първоинстанционния съд в случая не се свидетелства за преки впечатления и наблюдения, непосредствено възприемане на факти и обстоятелства, а за преразказ на чужди възприятия.
За да може да се приложи принципа на равностойност и ефективност, съгласно решение по дело С-300/21 на СЕС, ищеца следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение.
Липсата на доказателства в посочения смисъл имат за правна последица недоказаност на втория елемент от фактическия състав на отговорността. Тъй като трите елемента са кумулативно дадени в чл.82 от ОРЗД, липсата на доказаност на който и да е от тях води до неоснователност на иска, в какъвто смисъл е решението на съда.
Следва да се посочи, че вредите не се презумират и съдебната практика на ВКС е не относима към спора. Предвид принципа на процесуална автономия във вътрешния правов ред на всяка държава членка, настоящият състав приема, че правилата за доказателствена тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове и следователно е спазен принципа на равностойност. Освен това правилото на чл.154, ал.1 от ГПК, всяка страна да установява фактите, на които основава своите искания и възражения, не прави практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза и следователно е спазен принципа на ефективност.
По изложените съображения и при липса на пороците сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила.
С оглед изхода на спора и предвид своевременно направеното искане от процесуалния представител на ответната страна за присъждане на юрисконсултско възнаграждение в касационното производство, касаторът следва да заплати на НАП направените по делото разноски, изразяващи се в юрисконсултско възнаграждение в размер на 100 лева, в съответствие с чл.288 във вр. с чл. 143 АПК и чл. 78, ал. 8 ГПК във вр. с чл. 144 АПК, чл. 37 от Закона за правната помощ и чл.24 от Наредбата за заплащането на правната помощ.
На основание чл. 221, ал. 2, изр. първо, предл. първо от АПК, Върховният административен съд, Пето отделение
РЕШИ:
ОСТАВЯ В СИЛА решение № 7522 от 23.12.2020 г. по адм. д. № 11194/2019 г. по описа на Административен съд София - град .
ОСЪЖДА Н. В. Х. да заплати на Национална агенция за приходите, гр. София, направените по делото разноски в размер на 100 (сто) лева, представляващи юрисконсултско възнаграждение.
Решението е окончателно
Вярно с оригинала,
Председател:
/п/ ЕМАНОИЛ МИТЕВ
секретар:
Членове:
/п/ Ю. К. п/ ВЕРГИНИЯ ДИМИТРОВА