Р Е Ш Е Н И Е
№250/14.08.2020 г., град
Добрич
В ИМЕТО НА НАРОДА
АДМИНИСТРАТИВЕН СЪД - ДОБРИЧ, в открито съдебно
заседание на двадесети юли през две хиляди и двадесета година, І състав:
ПРЕДСЕДАТЕЛ: КРАСИМИРА ИВАНОВА
при
участието на секретаря ВЕСЕЛИНА САНДЕВА и прокурора СВИЛЕНА КОСТОВА разгледа докладваното от председателя адм. дело № 23/ 2020
г. по описа на АдмС - Добрич и за да се произнесе, взе предвид следното:
Производството е по чл. 203 от АПК във връзка
с чл. 1 и чл. 4 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ).
Производството е образувано по Искова молба на
В.Б. ***, подадена чрез адв. Х.Х., ДАК, срещу Национална агенция по приходите (НАП)
за обезщетение за нанесени неимуществени вреди на ищеца в размер на 1000 лв., предявена
на основание чл. 203 АПК във връзка с чл. 82, ал. 1 от Общия регламент за защита
на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.16
г. (GDPR), във връзка с чл. 39, ал. 2 от ЗЗЛД във връзка с чл. 1, ал. 1 от ЗОДОВ,
уточнена с молба вх. № 160/ 20.01.2020 г. и молба вх. № 188/ 21.01.2020 г.
Ответникът – Национална агенция по приходите представя
писмен отговор, с който настоява, че исковата молба е недопустима, а в условията
на евентуалност – неоснователна и недоказана. Твърди, че е изпълнил в най - добра
степен задължението си да защити по сигурен начин личните данни. Сочи, че разкритите
данни са резултат от престъпно деяние по смисъла на НК, а не неправомерно бездействие.
НАП, като обект на злоумишлено посегателство, не била отговорна за събитието, поради
което не може да ѝ бъде вменена отговорност за вреди, още повече, че била
предприела необходимите технически и организационни мерки за защита на личните данни.
Претендира съдебно – деловодни разноски за юрисконсултско възнаграждение.
Представителят на Окръжна прокуратура –
Добрич изразява становище за неоснователност и недоказаност на исковата претенция.
Административен съд - Добрич, като взе предвид
доводите на страните и прецени доказателствата по делото, приема за установено от
фактическа и правна страна следното:
На първо място, независимо от изложеното в
уточнителните молби, именоването на исковата молба като жалба по чл. 39 от ЗЗЛД,
съответно с искане за обезщетение по чл. 39, ал. 3 от ЗЗЛД, то следва да се има
предвид, че ВАС е константен в практиката си по повод многобройните дела по идентични
казуси, че в случая процесуалният ред, по който засегнатият субект може да търси
обезщетение и отговорност за причинените вреди поради неправомерно обработване на
личните му данни, е уреден в глава единадесета "Производство за обезщетения"
на Административно-процесуалния кодекс. В зависимост от правната характеристика
на източника, от който се претендират вреди - административен акт, действие или
бездействие, в чл. 204, ал. 1 - 4 АПК законодателят е предвидил различни процесуални
възможности за реализиране на правото на обезщетение: след отмяна на административния
акт по съответния ред - чл. 204, ал. 1 АПК; при предявяване на претенцията за обезщетение
в производството по оспорване на административния акт - чл. 204, ал. 2 АПК; при
установяване на незаконосъобразността на акт, който е нищожен или оттеглен в производството
по иска за обезщетение - чл. 204, ал. 3 АПК и при установяване на незаконосъобразността
на действието или бездействието от съда, пред който е предявен искът за обезщетението
- чл. 203, ал. 4 АПК.
В случая сме изправени пред хипотезата на претендиране
на вреди от бездействие на администратора на лични данни, при което незаконосъобразността
на бездействието се установява от съда, пред който е предявен искът за обезщетение
по аргумент от чл. 204, ал. 4 АПК. Съгласно чл. 203, ал. 2 АПК за неуредените въпроси
за имуществената отговорност по ал. 1 се прилагат разпоредбите на Закона за отговорността
на държавата и общините за вреди. Съгласно чл. 203, ал. 3 АПК по реда на глава единадесета
се разглеждат и исковете за обезщетения за вреди, причинени от достатъчно съществено
нарушение на правото на Европейския съюз, като за имуществената отговорност и за
допустимостта на иска се прилагат стандартите на извъндоговорната отговорност на
държавата за нарушение на правото на Европейския съюз, а съгласно чл. 2в ЗОДОВ,
когато вредите са причинени от достатъчно съществено нарушение на правото на Европейския
съюз, исковете се разглеждат от съдилищата по реда на Административнопроцесуалния
кодекс за вреди по чл. 1, ал. 1 ЗОДОВ, като приложение намират и правилата на Закона
за отговорността на държавата. В този смисъл са Определенията на ВАС, които са
еднопосочни, а именно: Определение № 5702 от 18.05.2020 г. на ВАС по адм. д. №
3950/2020 г., V отд., Определение № 5327 от 5.05.2020 г. на ВАС по адм. д. №
2805/2020 г., V отд., Определение № 5325 от 5.05.2020 г. на ВАС по адм. д. №
2178/2020 г., V отд., Определение № 5321 от 5.05.2020 г. на ВАС по адм. д. №
1631/2020 г., V о., Определение № 5318 от 5.05.2020 г. на ВАС по адм. д. №
1290/2020 г., V отд. и други.
Няма спор по делото и, че между ищеца и НАП
не е налице висящо или приключило производство пред КЗЛД, което да е инициирано
от същия. В този смисъл е и писмо на Председателя на КЗЛД от 29.05.2020 г. (л.
70)
С оглед горното неоснователно е възражението
на ответника за недопустимост на исковата молба. Налага се изводът, че тя отговаря
на всички формални изисквания на чл. 127 и чл. 128 от ГПК и претенцията следва
да бъде разгледана по същество.
В случая ищецът претендира да му се изплати обезщетение
за причинените му неимуществени вреди в резултат незаконосъобразно бездействие на
ответника - НАП да изпълни произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32
от Общия регламент относно защита на личните данни (ЕС) 2016/ 679 на Европейския
парламент и на Съвета от 27.04.2016 (GDPR), по - надолу в текста (Регламента) задължения.
По делото са представени доказателства от
ответника в Молба от 09.07.2020 г. (л. 71 – 206), подробно изброени под опис
към същата, за предприетите от НАП организационни и технически мерки, за които се
твърди, че гарантират постоянна поверителност, цялостност, наличност и
устойчивост на системите и услугите за обработване в НАП, като с тях обосновава
съответно неоснователност на претенцията.
В същата молба е заявено, че за ищеца са
изтекли лични данни в публичното пространство, като е представена 1 бр. Справка
и извадка от системния журнал. От Справката (л. 73) се установява, че за ищеца
има разпространени лични данни, вкл. ЕГН и имена, данни от годишни данъчни
декларации, от Справки за изплатени доходи на физически лица.
В.Б.Б. е получил справка за изтекли данни на
26.07.2019 г.
В съдебно заседание на 18.05.2020 г. са
разпитани свидетели, чиито показания съдът кредитира като базиращи се на лични възприятия
и непосредствени впечатления от осъществени в обективната действителност факти.
Св. Георгиев споделя, като фармацевт и близък приятел на ищеца, че последният е
възприел изключително емоционално факта, че са изтекли негови лични данни, бил
е разстроен и е изпитвал притеснение да не би някой да осъществи достъп до банковите
му сметки и карти. Добавя, че притеснението му е било обусловено от знанието
как може да се използва тази информация, доколкото е инженер и работи като
лице, поддържащо компютърните системи в конкретна фабрика. Няколко месеца са
продължили притесненията му, закупувал е от свидетеля успокоителни лекарства за
подпомагане на съня. Св. Жеков, също приятел на ищеца, твърди, че ищецът е бил
стресиран след научаване на факта за итичане на личните му данни в публичното
пространство. Бил е нервен, само за това е говорел, пиел е хапчета за
успокоение на нервите и за подобряване качеството на съня. Притеснявал се е да
не би информацията да бъде използвана и да бъдат продадени имотите му,
съответно да бъде осъществено разпореждане с личната му фирма.
Както беше посочено, по делото е прието като
доказателство и Писмо на Председателя на КЗЛД (л. 70), в което освен справката
за липсващо дело между ищеца и ответника пред Комисията, съдът бива информиран,
че в хода на извършена от страна на КЗЛД проверка на НАП е установено, че при
осъществяване на дейността си Агенцията, в качеството ѝ
на администратор на лични данни, не е приложила подходящи технически и
организационни мерки, в резултат на което е осъществен неоторизиран достъп,
неразрешено разкриване и разпространение на различни видове категории лични
данни на физически лица.
При така установената фактическа обстановка
се налагат следните изводи:
Основателността на исковата претенция с правно
основание чл. 1, ал. 1 от ЗОДОВ, съответно ангажирането на отговорността на Държавата,
предполага установяването на кумулативното наличие на следните предпоставки: 1)
незаконосъобразно бездействие на ответника 2) претърпяна вреда - неимуществена
3) вредата да е настъпила в резултат на незаконосъобразното бездействие; 4) причинна
връзка - пряка и непосредствена такава между незаконосъобразното бездействие с вредоносния
резултат. При така разписаните предпоставки следва да се има предвид следното:
По аргумент от чл. 204, ал. 4 от АПК първата предпоставка
за ангажиране отговорността на ответника е наличие на бездействие и незаконосъобразност
на бездействието, която следва да бъде установена от съда, пред който е предявен
искът за обезщетение. Легално определение на термина „бездействие" липсва.
Под „действие", респ. „бездействие", следва да се разбира всяко такова,
извършено от държавен орган или длъжностно лице, което не е юридически акт, а тяхна
физическа изява, но не произволна, а в изпълнение или съответно неизпълнение на
определена нормативна разпоредба. Не всяко неизпълнение на задължение на административен
орган представлява бездействие по смисъла на чл. 256 от АПК, а само неизвършването
на фактически действия при наличието на нормативно установено задължение за извършване
на такива.
С оглед разпоредбата на чл. 172 от ГПК във връзка
с чл. 144 АПК релевантна за спора е изтеклата на 15.07.2019 г. вследствие нерегламентиран
достъп до електронните масиви на НАП информация, съдържаща лични данни на ищеца.
В резултат на това са възникнали притеснения и опасения у последния да не бъде злоупотребено
с тези данни. По факта, че на посочената дата е изтекла информация от информационните
масиви на НАП, съдържаща лични данни на ищеца, не се спори. Според чл. 59, ал. 1
от ЗЗЛД администраторът на лични данни (НАП), като отчита естеството, обхвата, контекста
и целите на обработването, както и рисковете за правата и свободите на физическите
лица, прилага подходящи технически и организационни мерки, за да гарантира и да
е в състояние да докаже, че обработването се извършва в съответствие с този закон.
При необходимост тези мерки се преразглеждат и актуализират. Същото задължение се
съдържа и в чл. 24 от Регламента, а в чл. 32 са предвидени конкретните мерки, които
следва да се предприемат. Обстоятелството, че е изтекла информация от сървърите
на НАП, сочи, че предприетите мерки са били недостатъчни. Неоснователно е
възражението на ответника, сторено чрез юрисконсулт Иванов, в Молба от
09.07.2020 г. (л. 71), че нерегламентиран достъп е осъществен до база данни на
Агенцията, но не и до конкретни документи на граждани. Съответно че данните,
обект на нерегламентиран достъп, се съдържат в софтуерни продукти, не са били
разкрити в четим формат, а са необходими допълнителна обработка и специфични
компютърни знания, за да бъде възстановен наборът от данни, наличен за даден
данъкоплатец. С § 26 от Преамбюла на Регламента изрично е разписано, че принципите
за защита на данните следва да се прилагат по отношение на всяка информация,
отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано.
Личните данни, които са били подложени на псевдонимизация, които могат да бъдат
свързани с дадено физическо лице чрез използването на допълнителна информация, следва
да се считат за информация, отнасяща се до физическо лице, което може да бъде идентифицирано.
В този смисъл очевидно е налице противоправно бездействие от страна на ответника
да изпълни, произтичащи от посочените разпоредби задължения, за да осигури достатъчна
надеждност и сигурност на информационната си система, съответно да защити физическите
лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР
на ЗЗЛД във връзка с чл. 4, т. 2 от Регламента, в т.ч. правото на защита на личните
им данни. Бездействието е довело до техническа уяизвимост на системата, което в
резултат е допринесло до нерегламентирано разкриване и разпространение личните данни
на ищеца. Както сочи процесуалният му представител, ако системата беше ефективно
и надеждно защитена, не би се стигнало до пробива ѝ, съответно до разкриване
личните данни на ищеца. Неоснователно е възражението, че се касае до
неоторизиран достъп в резултат на престъпление, поради което ответникът не може
да носи отговорност по предявената претенция. Това е така, защото изпълнението на
задачата, задължението по прилагане подходящи технически и организационни мерки,
е обвързано с изпълнение на задачата по предотвратяване на престъплението. Ако
е изпълнено по изискуемия ефективен начин задължението по предотвратяване изтичането
на лични данни, то не би следвало да е възможно злоумишлено деяние, престъпно посегателство
по смисъла на Наказателния кодекс и обратно, след като е налице деяние по смисъла
на НК, то задачата по предотвратяване на престъплението и предотвратяване неправомерно
достъпване до базата данни не е била изпълнена. НАП е следвало да извърши анализ
на обективните факти, да съобрази поведението си с тях, за да гарантира запазване
и предотвратяване изтичането на личните данни на ищеца. Обстоятелството, че е извършена
хакерска атака, пробита е информационната система на НАП, е неоспоримо доказателство,
че не са предприети подходящи технически и организационни мерки за защита обработване
личните данни на ищеца, което е достатъчно да бъде направен извод за противоправност
бездействието на НАП. Агенцията в качеството си на администратор на лични данни
по смисъла на чл. 4, т. 7 от Регламент ЕС 2016/679 при осъществяване дейността си
е следвало ефективно да предприеме мерки за предотвратяване злоумишлен достъп до
лични данни, вкл. тези на ищеца. Ответникът не е изпълнил задължението си по предотвратяване
престъпление и опазване изтичането на лични данни, като от противоправното му бездействие
следва претендирания от ищеца увреждащ резултат. Бездействието на НАП е незаконосъобразно.
То се явява в противоречие с изискванията на чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл.
32 от Регламента.
Според настоящия състав стореният анализ
установява наличието на първата предпоставка - незаконосъобразно бездействие,
необходима за ангажиране отговорността на ответника.
На следващо място, от събраните гласни
доказателства чрез разпита на близки приятели на ищеца, служебна справка в ТР
за наличие на фирма на същия, както твърди единият от свидетелите, се налага
изводът, че в резултат незаконосъобразното бездействие на ответника, В.Б. е изживял
стрес, безпокойство, тревожност, което е наложило включително прием на
лекарства. Безспорно изтичането на лични данни на ищеца е повлияло негативно на
психоемоционалното му състояние, още повече, като се има предвид упражняваната
от него дейност и съзнанието за възможностите на достъп до компютърните системи.
Това състояние е траяло няколко месеца, както твърдят свидетелите, след
установяването на 26.07.2019 г., че е засегнат от изтичането. То е в резултат
събитието на 15.07.2019 г., което означава, че е в причинно - следствена връзка
с изтичането на лични данни в публичното пространство в Р България на тази дата
и сочи, че за ищеца са настъпили неимуществени вреди, изрязаващи се в болки и
страдания, представляващи негативни емоционални проблеми.
С оглед събраните доказателства настоящият
състав намира за установен фактът на тези вреди и пряката причинно - следствена
връзка между настъпването им и незаконосъобразното бездействие на ответника. За
да прецени основателността на претенцията, съдът съобрази събраните доказателства за душевното
състояние на ищеца след установянето, че и негови лични данни са изтекли в
публичното пространство. Справедливостта налага неимуществените вреди да бъдат възмездени.
В правната теория е прието, че обезщетението за неимуществени вреди е с компенсаторна
функция, доколкото е възможно да бъдат компенсирани вредите в техния паричен еквивалент.
Тъй като няма утвърдена формула за тяхното пресмятане, размерът на обезщетението
за неимуществени вреди се определя от съда по справедливост при съобразяване на
всички конкретни, обективно съществуващи обстоятелства и практиката на съдилищата.
Съгласно чл. 52 ЗЗД, обезщетение за неимуществени вреди се определя от съда по справедливост.
Понятието "справедливост" не е абстрактно понятие, а е свързано именно
с преценката на тези конкретни, обективно съществуващи обстоятелства, имащи значение
за правилното определяне на размера на обезщетението. Законът е категоричен, че
размерът на обезщетението за неимуществени вреди се формира по справедливост по
реда на чл. 52 от ЗЗД в зависимост от степента и характера на преживените болки
и страдания от ищеца. В тази връзка съдът приема, че претендираната от ищеца сума
от 1 000 лв.(хиляда лева) е прекомерно завишена. Справедливият размер на обезвредата
следва да почива на обективни критерии и да бъде адекватен на претърпените вреди.
Обезщетението трябва да е съразмерно с вредите и да отговаря, както на конкретните
данни по делото, така и на обществените представи за справедливост. С оглед характера
на претърпените вреди, продължителността на търпенето им, доказаните душевни страдания
и общото психическо състояние на ищеца като резултат от противоправното
бездействие на ответника, съдът намира, че справедливият размер на дължимото обезщетение
за неимуществени вреди следва да бъде определен на 150 лв. (сто и петдесет
лева) по смисъла на чл. 52 от ЗЗД във връзка с чл. 4 от ЗОДОВ за причиненото състояние
на безпокойство и притеснение. Над този размер претенцията следва да бъде
отхвърлена.
Уважаването на основния иск изисква уважаване
и на акцесорния. Претенцията на ищеца е да му бъде присъдена законна лихва върху
присъдената сума, считано или от подаване на исковата молба, или алтернативно от
15.07.2019 г. - датата на увреждането, до окончателното изплащане на сумата.
Относно началната дата на присъждане на законната лихва съдът съобрази следното:
ЗОДОВ определя специален ред и условия за обезщетяване на
пострадалите лица. За неуредените в закона случаи се прилагат общите разпоредби
на ЗЗД. Съгласно ТР № 3/ 2004 г. по тълк. дело № 3/ 2004 г. на ОСГК на ВКС в практиката
съществуват две становища относно началния момент на забавата, съответно дължимостта
на законната лихва и началния момент на погасителната давност на иска за обезщетение:
Според първото становище вземането на пострадалото
лице за обезщетяване на вреди възниква от момента на издаване на акта, от извършване
на действието или бездействието на държавния орган, без да е установена тяхната
незаконност. Приложима е разпоредбата на чл. 84, ал. 3 ЗЗД, според която длъжникът
се смята в забава и без покана от деня на увреждането, а според второто становище,
вземането за обезщетяване на вреди възниква след признаване по законен ред незаконността
на акта, действието или бездействието на държавния орган. При постановяване
на ТР е прието, че е правилно второто становище, т.е. когато вредите произтичат
от фактически действия или бездействия на администрацията, обезщетението за тях
може да се иска след признаването им за незаконни, което се установява в производството
по обезщетяването. От така определените моменти на изискуемост, започва да тече
погасителната давност и се дължи мораторна лихва. С оглед на това претенцията
за законна лихва следва да бъде уважена, считано от влизане на съдебното
решение в сила.
Предвид изложеното фактическият състав на отговорността
по чл. 203 АПК, във връзка с чл. 1 ЗОДОВ е осъществен. Налице е незаконосъобразно
бездействие, реално увреждане на ищеца и пряка причинна връзка между увреждането
и бездействието, поради което и при условията на чл. 52 ЗЗД, съдът следва да овъзмезди
по справедливост неимуществените вреди на ищеца.
При този изход на спора и съобразно нормата
на чл. 10, ал. 3 ЗОДОВ, съгласно която, ако искът бъде уважен изцяло или частично,
съдът осъжда ответника да заплати разноските по производството, както и да заплати
на ищеца внесената държавна такса, съответно да заплати на ищеца и възнаграждение
за един адвокат или юрисконсулт, ако е имал такъв, съразмерно с уважената част от
иска, то на ищеца следва да бъдат присъдени съдебно – деловодни разноски, както
следва:
Държавна такса, която е в размер на 10 лв. и
с оглед горецитираната разпоредба се дължи на ищеца в пълен размер дори и при частично
уважаване на исковата претенция.
Видно от договора за правна помощ и
съдействие (л. 7), ищецът е заплатил адвокатско възнаграждение в размер на 300
лв. (триста лева). Съобразно уважената част от иска, присъденото адвокатско
възнаграждение следва да е в размер на 45 лв.
С оглед отхвърлената част от иска и направеното
искане на процесуалния представител на ответника за присъждане на юрисконсултско
възнаграждение съдът, като съобрази текста на чл. 10, ал. 4 от ЗОДОВ, приема,
че следва да осъди ищеца да заплати на ответника разноски за юрисконсултско възнаграждение
в минимален размер от 100 лв., определен съгласно чл. 37, ал.1 от Закона за правната
помощ и чл. 25 ал. 1 от Наредбата за заплащането на правната помощ, който,
изчислен съразмерно на отхвърлената част от иска, е от 85 лв. (осемдесет и пет
лева).
Водим от горното и на основание чл. 203 и сл.
от АПК, чл. 1, ал. 1 от ЗОДОВ, Административен съд – Добрич, І състав,
РЕШИ:
ОСЪЖДА Национална агенция по приходите да заплати
на В.Б. ***, обезщетение за причинените му неимуществени вреди в размер на 150 лв.
(сто и петдесет лева), ведно със законната лихва, считано от влизане на
съдебното решение в сила, до окончателното изплащане на сумата, като ОТХВЪРЛЯ иска
до пълния предявен размер от 1 000 лв. (хиляда лева).
ОСЪЖДА Национална агенция по приходите да заплати
на В.Б. ***, сумата от 10 лв. (десет лева) за заплатената по делото държавна
такса.
ОСЪЖДА Национална агенция по приходите да заплати
на В.Б. ***, съразмерно с уважената част от иска сумата от 45 лв. (четиридесет
и пет лева) за заплатено адвокатско възнаграждение.
ОСЪЖДА В.Б. ***, да заплати на Национална агенция
по приходите юрисконсултско възнаграждение съразмерно на отхвърлената част от иска
в размер на 85 лв.(осемдесет и пет лева).
Решението подлежи на касационно обжалване в
14 - дневен срок от съобщаването му пред Върховния административен съд.
СЪДИЯ: