Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на шестнадесети май две хиляди двадесет и четвърта година в състав: Председател: Й. Д. Членове: АННА Д. Д. при секретар М. Д. и с участието на прокурора М. Т. изслуша докладваното от председателя Й. Д. по административно дело № 4239/2021 г. Производството е по реда на чл. 208 и сл. от АПК.
Образувано е по касационната жалба на А. П. М. против решение № 7523/23.12.2020 г. по адм. д. № 4773/2020 г. по описа на Административен съд - София-град (АССГ). Иска отмяна на решението като неправилно, поради допуснато съществено нарушение на съдопроизводствените правила, противоречие с материалния закон и необоснованост. Твърди, че съдът неправилно е разпределил доказателствената тежест по делото, като е дал указания на ищеца да докаже незаконосъобразно бездействие на ответника и какви конкретни задължения от страна на служители на Н. А. по Приходите (НАП) не са изпълнени. Оспорва изводите на АССГ, че след като достъпът до данните е бил осъществен посредством противоправно посегателство от трети лица, НАП не следва да носи отговорност. Счита, че представените от ответника писмени доказателства като указания, вътрешни правила, методики, политики, инструкции не доказват изпълнение на предписаните мерки, още по - малко тяхната ефективност. Твърди, че съдът не е изпълнил задължението си по чл. 146, ал. 2 ГПК, приложим на осн. чл.144 от АПК да укаже на ищеца за кои от твърдените факти не сочи доказателства. Иска отмяна на оспореното решение и постановяване на решение по същество на спора, с което да се уважи изцяло иска за присъждане на обезщетение за неимуществени вреди в размер на 1000 лв., предявен на основание чл. 203 АПК вр., чл. 1, ал. 1 ЗОДОВ.
Ответната страна Национална агенция по приходите, чрез процесуален представител, в представен по делото писмен отговор и в съдебно заседание оспорва касационната жалба. Иска оставяне в сила на решението. Претендира присъждане на юрисконсултско възнаграждение.
Представителят на Върховна прокуратура дава мотивирано писмено заключение за основателност на касационната жалба.
Върховният административен съд, пето отделение, като взе предвид, че касационната жалба е подадена в срока по чл. 211 от АПК, намира същата за допустима. Разгледана по същество е основателна по следните съображения:
Решението е неправилно и следва да бъде отменено по следните съображения:
Производството пред административния съд е образувано по иска на А. П. М. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от бездействия на НАП, довели до неправомерно разпространение на личните му данни. Наведени са твърдения за претърпени неимуществени вреди, представляващи чувство на безспокойство, паника, тревожност и психически дискомфорт. С обжалваното съдебно решение АССГ е отхвърлил като неоснователен предявеният иск срещу НАП с определено правно основание чл.1, ал.1 от ЗОДОВ. За да постанови този резултат съдът приема, че ищецът не е доказал, че НАП не е приложила подходящи и ефективни мерки за защита на личните данни на ищеца, поради което не може да се приеме, че не е предотвратила или че допринесла за реализиране на противоправно поведение от трети лица с достъпване на лични данни. Не са излагани мотиви по останалите две условия за ангажиране на отговорността по чл. 82 от Регламента. Изложени са мотиви за липсата на нарушение по чл. 45, ал. 1, т. 6 , чл. 59, ал. 1, чл. 64, чл. 66, ал.1 и ал. 2 от ЗЗЛД.
С определение от 17.06.2021 г. делото е спряно по чл. 229, ал. 1, т. 4 от ГПК, а впоследствие е възобновено след постановяване на Решение от 14.12.2023 г. по дело С-340/21 г. на СЕС.
Правилното правно основание на иска е чл. 82, пар.1 и 2 от Регламент №2016/679 / Регламента/. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображение 146 от Регламента е видно, че чл. 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, пар. 2 от Регламента са посочени трите необходими условия, за да възникне право на обезщетение, а именно: 1. обработване на лични данни в нарушение на разпоредбите на този регламент, 2. вреди, нанесени на субекта на данните и 3.причинно-следствена връзка между това незаконосъобразно обработване и вредите. Регламент №2016/679 не препраща към правото на държавите членки относно смисъла на понятията "материални и нематериални вреди", "обезщетение за нанесени вреди" и за целите на прилагането на посочения регламент тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които да се тълкуват еднакво във всички държави членки (виж Решение от 4 май 2023 г. по С-300/21 на СЕС). Следователно чл.1, ал.1 от ЗОДОВ не се прилага, поради което правното основание, което е определил първоинстанционния съд не е правилно и решението е материално незаконосъобразно.
Спорът по делото не е дали администраторът на лични данни е извършил действия или е бездействал при осъществяване защитата на личните данни, а дали избраните и приложени от него организационни и технически мерки, са подходящи, за да препятстват неоторизиран достъп до лични данни и тяхното незаконно обработване от трети лица. С Решение от 14.12.2023 г. по С-340/21 на СЕС е прието, че самото нарушение на разпоредбите на Регламент №2016/679 не е достатъчно, за да се приеме, че технически и организационни мерки, които е приложил администратора на лични данни не са подходящи по смисъла на членове 24 и 32, за да бъде присъдено обезщетение. Това означава, че изтичането на лични данни в публичното пространство в резултат на неправомерно поведение на трети лица не създава презумпция, че приложените технически и организационни мерки за защита на лични данни по членове 24 и 32 от Регламента са неподходящи, в какъвто смисъл са и мотивите на първоинстанционния съд. Третите лица са различни от тези, които имат право да обработват лични данни под прякото ръководство на администратора или обработващия лични данни. Администраторът на лични данни обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от "трета страна" по смисъла на чл. 4, т. 10 от Регламента. Принципът на отчетност на администратора, закрепен в чл. 5, пар. 2 и конкретизиран в чл. 24 от Регламента, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от Регламента са подходящи (Решение от 14.12.2023 г. по С-340/21 на СЕС). Указания до ответника по чл.146, ал.2 от ГПК за ангажиране на доказателства относно подходящността на техническите и организационни мерки не са давани. Съдът е приел, че тежестта на доказване е на ищеца, което е неправилно и съществено нарушава посочената процесуална разпоредба.
В исковата молба ищецът посочва, а впоследствие НАП /а не ищеца, чиято е тежестта на доказване/ е доказал, че лични данни на ищеца са изтекли в публичното пространство. Ищецът е ангажирал гласни доказателства в о. с. з. на 19.10.2020 г. Няма никакви мотиви на съда дали доказателствата по делото доказват претърпени неимуществени вреди. Тези вреди не се презумират. Целта на доказването на претърпените вреди е да се ангажира отговорността на администратора на лични данни и да се определи адекватно парично обезщетение. Дали представените доказателства доказват твърдението на ищеца за претърпени неимуществени вреди в размер, който е претендирал е въпрос, на който съдът не е отговорил, което представлява съществено нарушение на съдопроизводствените правила.
Съдът неправилно е излагал мотиви дали има нарушения по чл. 45, ал.1, т.6, чл. 59, ал.1, чл. 64, чл. 66, ал.1 и ал. 2 и 67 от ЗЗЛД. Задълженията на НАП като администратор на лични данни не се намират в Глава осма от ЗЗЛД "Правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване", която транспонира изискванията на Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. И това е така, защото НАП не е от компетентните държавни органи по смисъла на чл. 42, ал. 4 от ЗЗЛД, които имат правомощия по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Като е обсъждал посочените разпоредби, съдът е изложил мотиви за нарушения на разпоредби, които не са относими към предмета на спора.
С решения по дела С-340/21 и С-300/21 на СЕС са дадени разяснения по прилагането на чл. 82 от Регламент /ЕС/ 2016/679 вр. с членове 24 и 32 от Регламент (ЕС) 2016/679, както и на тежестта на доказване.
При неправилно разпределена тежест на доказване и липсата на мотиви относно всички елементи на отговорността по чл. 82 от Регламента, съдът е допуснал съществени нарушения на съдопроизводствените правила на чл.146, ал. 2 и чл.154, ал.1 от ГПК вр. с чл.144 от АПК и на чл.172а, ал. 2 от АПК, което представлява касационно основание по чл. 209, т. 3 от АПК.
Предвид изложеното решението следва да бъде отменено, а делото върнато за ново разглеждане от друг съдебен състав на същия съд, който да разпредели правилно доказателствената тежест с цел установяване на релевантни за спора факти по чл. 82 от Регламента и да изложи мотиви при спазване на чл.172а, ал. 2 от АПК и при съобразяване на практиката на СЕС, цитирана по-горе.
По претенциите за разноски ще се произнесе съдът по съществото на спора, съгласно чл. 226, ал. 3 АПК.
На основание чл. 221, ал. 2 от АПК Върховният административен съд, пето отделение
РЕШИ:
ОТМЕНЯ решение № 7523/ 23.12.2020 г. по адм. д.№ 4773/2020 г. по описа на Административен съд - София - град.
ВРЪЩА делото на същия съд за ново разглеждане от друг съдебен състав на същия съд, при спазване на дадените указания.
Решението е окончателно.
Вярно с оригинала,
Председател:
/п/ ЙОВКА ДРАЖЕВА
секретар:
Членове:
/п/ А. Д. п/ НЕЛИ ДОНЧЕВА