Върховният административен съд на Р. Б. - Пето отделение, в съдебно заседание на двадесет и първи март две хиляди двадесет и четвърта година в състав: Председател: А. Д. Членове: И. С. Н. Д. при секретар М. Д. и с участието на прокурора М. Т. изслуша докладваното от съдията Н. Д. по административно дело № 4599/2021 г.
Производството е по реда на чл. 208 - 228 от Административнопроцесуалния кодекс (АПК).
Образувано е по касационна жалба на С. С. К. от гр.Бургас, чрез процесуален представител адв. С. Ю., срещу решение № 1072 от 22.02.2021 г., постановено по адм. д. № 11282/2019 г. по описа на Административен съд-София-град (АССГ), с което е отхвърлен иска му срещу Национална агенция за приходите /НАП/ за заплащане на обезщетение за претърпени неимуществени вреди, в резултат на незаконосъобразно бездействие от страна на НАП, довело до неправомерно разкриване на личните му данни, в размер на 1 000 лева.
Касационният жалбоподател поддържа, че оспореното решение е неправилно, поради нарушение на материалния закон, съществени нарушения на съдопроизводствените правила и необоснованост отменителни основания по чл. 209, т. 3 АПК.
Твърди, че разпределението на доказателствената тежест е неправилно, защото ищецът не е длъжен да доказва незаконно бездействие от ответника, което представлява отрицателен факт. Позовава се на неизпълнение на чл. 59, ал. 1, чл.45, ал.1, т.6, чл. 64 и чл. 66, ал. 1 и ал. 2 от Закона за защита на личните данни (ЗЗЛД) от страна на НАП относно прилагане на подходящи технически и организационни мерки по чл. 24 и чл. 32 от Регламент (ЕО) 2016/679 /ОРЗД/, което е довело до нарушаване сигурността на личните данни по смисъла на пар. 1, т. 10 от ДР на ЗЗЛД. Посочва, че задължение на НАП е да докаже, че предприетите мерки са ефективни и са подходящи за защита на личните данни, което в случая не е било изпълнено, а съдът само формално е обсъдил представените в тази връзка доказателства.
Твърди, че притесненията от възможни злоупотреби не са хипотетични, а реални неимуществени вреди, като без правно значение за случая е какви точно лични данни са изтекли и счита, че ищецът не може да бъде отговорен за начина, по който ответникът предоставя възможност за проверка.
Поддържа, че по отношение на вредите следва да се приложи практиката на ВКС, която е в смисъл, че за обичайните неимуществени вреди, които не се описват в исковата молба, не са нужни формални, външни доказателства за установяване на тези обичайни вреди, тъй като те настъпват винаги в резултат на наказателно производство /решение по гр. д. № 5124/2015 г., трето отделение на ГК/, а размерът се определя според стандарта на живот (гр. д. № 288/2015 г. на ВКС, трето отд.).
Иска оспореното решение да бъде отменено и се постанови ново, с което се уважи предявения иск в пълния му размер. Претендира и направените по делото разноски за двете съдебни инстанции, съгласно приложения списък на разноските по чл.80 ГПК вр. с чл.144 АПК.
Ответната страна Национална агенция за приходите, чрез процесуалния си представител юрк. Т., с писмен отговор и в съдебно заседание оспорва касационната жалба и излага подробни съображения за правилност на оспореното решение.
Иска същото да бъде оставено в сила и претендира направените по делото разноски представляващи юрисконсултско възнаграждение.
Прокурорът от Върховна прокуратура заявява становище за основателност на касационната жалба.
Върховният административен съд състав на Пето отделение, намира касационната жалба за процесуално допустима, като подадена в преклузивния 14-дневен срок по чл. 211, ал. 1 АПК, от страна с правен интерес по смисъла на чл. 210, ал. 1 АПК, за която решението е неблагоприятно, срещу подлежащ на касационно оспорване съдебен акт.
Разгледана по същество на основанията посочени в нея и след проверка на решението за валидност, допустимост и съответствие с материалния закон, съгласно чл. 218, ал. 2 от АПК, касационната жалба е неоснователна.
Производството пред административния съд е образувано по искова молба на К. срещу НАП за присъждане на обезщетение за претърпени неимуществени вреди, в резултат на незаконосъобразно бездействие на НАП за периода от 15.07.2019 г. до предявяване на иска, изразяващо се в неизпълнение в достатъчна степен на задължение по чл.59, ал.1 от ЗЗЛД и чл.24 и чл.32 от ОРЗЛ, довело до нерегламентирано разкриване или достъп до личните му данни, от което ищецът е претърпял неимуществени вреди, изразяващи се в притеснения, страх и опасения за възможни злоупотреби с личните му данни, поради което е претендирал обезщетение на тези вреди в размер на 1000 лв., ведно със законната лихва, считано от датата на изтичане на личните данни 15.07.2019 г. до окончателното изплащане на обезщетението.
Първоинстанционният съд е приел за безспорно установено, че на 15.07.2019 г. е осъществен нерегламентиран достъп, вследствие на умишлени престъпни действия от страна на неизвестно лице, в резултат на което е изтекла информация от информационните масиви на НАП съдържаща лични данни на общо 6 074 140 физически лица; че от представените от НАП доказателства се установява, че предвидените с регламента задължения за осигуряване достатъчна надеждност и сигурност на информационната система, както и за защита на физическите лица във връзка с обработване на личните им данни от страна на НАП са изпълнени и не е налице незаконосъобразно бездействие. Първоинстанционният съд е обосновал извода, че по делото не е доказано ищецът реално да е претърпял твърдените неимуществени вреди, като не е установено категорично да е изживял стрес, притеснение, заплаха от незаконосъобразното бездействие на ответника, а и не е направил нищо, за да установи какви са конкретно личните му данни, които са били разкрити.
Предвид липсата на кумулативно изискуемите се предпоставки за ангажиране отговорността на ответника по реда на чл.1, ал.1 от ЗОДОВ, първоинстанционният съд е отхвърлил иска като неоснователен.
Решението е правилно като краен резултат, но по следните коригиращи мотиви.
В случая се твърдят нарушения на задължения, произтичащи пряко от чл. 24 и чл. 32 от Регламента, поради което правното основание на иска е чл.82, 1 и 2 от Регламент № 2016/679 /ОРЗД/, съгласно който всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на посочения регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. От съображения 146 на Регламента става ясно, че чл. 82 въвежда собствен режим на отговорност в областта на защитата на личните данни. В чл. 82, 2 от ОРЗД са посочени трите кумулативно необходими предпоставки, за да възникне правото на обезщетение, а именно: обработването на личните данни да е извършено в нарушение на разпоредбите на регламента; вреди, нанесени на субекта на данните и причинно-следствена връзка между незаконосъобразното обработване на данните и вредите.
ОРЗД не препраща към правото на държавите членки относно смисъла и понятията на термините, съдържащи се в чл. 82 от ОРЗД, по-специално до понятията материални и нематериални вреди, обезщетение за нанесени вреди и за целите на прилагането на посочения регламент тези термини следва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки (Решение от 04.05.2023 г. по дело С-300/21 на СЕС).
В решение от 14.12.2023 г. по дело № С-340/21 на СЕС е посочено, че самото нарушение на разпоредбите на ОЛЗД не е достатъчно, за да се приеме, че приложените технически и организационни мерки не са подходящи по смисъла на чл. 24 и чл. 32 от същия и да бъде присъдено право на обезщетение. Изтичането на лични данни в публичното пространство, в резултат на неправомерно поведение на трети лица /по смисъла на чл. 4, т.10 от ОРДЗ/, не презумира, че приложените технически и организационни мерки за защита на лични данни по чл. 24 и чл. 32 от ОРЗД са неподходящи. Администраторът обаче не се освобождава от отговорност само поради факта, че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от трета страна. Принципът на отчетност на администратора, закрепен в чл. 5, 2 и конкретизиран в чл. 24 от ОРЗД, следва да се тълкува в смисъл, че в исковото производство за обезщетение по чл. 82 от ОРЗД администраторът на лични данни носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурността по чл. 32 от посочения регламент са подходящи.
Съобразявайки горното, в случая първоинстанционният съд не е разпределил правилно тежестта на доказване относно първия елемент от фактическия състав за ангажиране отговорността на администратора на лични данни. Спорът по делото не е дали администраторът на лични данни е извършил действия или е бездействал при осъществяване защитата на личните данни, а дали избраните и приложени от него организационни и технически мерки са подходящи, за да препятстват неоторизиран достъп до лични данни и тяхното незаконно обработване. Така допуснатото от решаващия съд нарушение на съдопроизводствените правила обаче не се отразява на резултата по делото.
По делото не е доказан и вторият елемент от фактическия състав на отговорността. Понятието вреди се тълкува в по-широк смисъл в контекста на съдебната практика на СЕС по начин, който отразява напълно целите на регламента, поради което обезщетението за нематериални вреди не се поставя в зависимост от определен праг на значимост на вредите. Пълното и действително обезщетение по съображение 146 от ОРЗД е цел на този правен институт, без да е необходимо за целите на такова пълно обезщетяване да се налага изплащане на наказателно обезщетение. Опасенията, които субект на лични данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват нематериална вреда по смисъла на чл. 82 от Регламент 2016/679 / виж решение по дело С-340/21 на СЕС/, но тежестта на доказване е на ищеца, съгласно чл. 154, ал. 1 от ГПК във връзка с чл. 144 от АПК.
С. К. сочи в исковата молба, че вследствие на публично оповестените му лични данни е претърпял вреди, изразяващи се в притеснения, страх и опасения за възможни злоупотреби с тях.
Въпреки указаното от съда, с разпореждане от 04.06.2020 г., да представи доказателства за вредите, по отношение на които претендира обезщетение, по делото не са ангажирани никакви доказателства /писмени или гласни/ за установяване на същите. Представената с исковата молба снимка на SMS нито доказва заявителят до НАП, нито телефона, на който е получено съобщението, нито вида на разпространените лични данни.
Настоящата инстанция споделя изводите на първоинстанционния съд относно недоказаност на претърпените от ищеца неимуществени вреди - втория елемент от фактическия състав на отговорността по чл. 82 от ОРЗД.
За да може да се приложи принципа на равностойност и ефективност, съгласно решение по дело С-300/21 на СЕС, ищеца следва да посочи и докаже какви негови лични данни са публично оповестени, за да може да се прецени притеснението и страха като неимуществени вреди и да се определи адекватно парично обезщетение.
Липсата на доказателства в посочения смисъл, които касаторът признава, че не е ангажирал, имат за правна последица недоказаност на втория елемент от фактическия състав на отговорността. Тъй като трите елемента са кумулативно дадени в чл.82 от ОРЗД, липсата на доказаност на който и да е от тях води до неоснователност на иска, в какъвто смисъл е решението на съда.
Следва да се посочи, че вредите не се презумират и съдебната практика на ВКС е неотносима към спора. Предвид принципа на процесуална автономия във вътрешния правов ред на всяка държава членка, настоящият състав приема, че правилата за доказателствена тежест на иск по чл. 82 от ОРЗД не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения за други искове и следователно е спазен принципа на равностойност. Освен това правилото на чл.154, ал.1 от ГПК, всяка страна да установява фактите, на които основава своите искания и възражения, не прави практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза и следователно е спазен принципа на ефективност.
По изложените съображения и при липса на пороците сочени като касационни основания за отмяна, постановеното от първоинстанционния съд решение, като валидно, допустимо и правилно следва да бъде оставено в сила.
С оглед изхода на спора и предвид своевременно направеното искане от процесуалния представител на ответната страна за присъждане на юрисконсултско възнаграждение в касационното производство, касаторът следва да заплати на НАП направените по делото разноски, изразяващи се в юрисконсултско възнаграждение в размер на 100 лева, в съответствие с чл.288 във вр. с чл. 143 АПК и чл. 78, ал. 8 ГПК във вр. с чл. 144 АПК, чл. 37 от Закона за правната помощ и чл.24 от Наредбата за заплащането на правната помощ.
На основание чл. 221, ал. 2, изр. първо, предл. първо от АПК, Върховният административен съд, Пето отделение
РЕШИ:
ОСТАВЯ В СИЛА Решение № 1072 от 22.02.2021 г., постановено по адм. д. № 11282/2019 г. по описа на Административен съд-София-град.
ОСЪЖДА С. С. К. от гр.Бургас, с [ЕГН], да заплати на Национална агенция за приходите, гр.София, направените по делото разноски в размер на 100 (сто) лева, представляващи юрисконсултско възнаграждение.
Решението е окончателно.
Вярно с оригинала,
Председател:
/п/ АННА ДИМИТРОВА
секретар:
Членове:
/п/ ИЛИАНА СЛАВОВСКА
/п/ НЕЛИ ДОНЧЕВА