Решение № 1541 от 01.08.2024, Административен съд - Добрич

РЕШЕНИЕ

№ 1541

Добрич, 01.08.2024 г.

В ИМЕТО НА НАРОДА

Административният съд - Добрич - I състав, в съдебно заседание на четвърти юли две хиляди двадесет и четвърта година в състав:

Съдия:

СТОЯН КОЛЕВ

При секретар МАРИЯ МИХАЛЕВА и с участието на прокурора ДИМИТЪР ТОДОРОВ ДИМИТРОВ като разгледа докладваното от съдия СТОЯН КОЛЕВ административно дело № 227 / 2021 г., за да се произнесе взе предвид следното:

Производството е по чл. 203, ал. 1 от Административно-процесуалния кодекс (АПК), във вр. чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ) във вр. с чл. 82, § 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (наричан по-нататък Общ регламент относно защитата на данните или OPЗД) и чл. 39, ал. 2 от Закона за защита на личните данни (ЗЗЛД).

Образувано е във връзка с Решение № 6085 от 19.05.2021 г, постановено по адм. дело № 11014 по описа на ВАС за 2020 г, с което е отменено решение № 255/17.08.2020г. по АД № 139/2020г. по описа на АС Добрич и делото е върнато за ново разглеждане от друг съдебен състав с указания за приложение на закона.

Производството по настоящото дело е било спряно с Определение № 153/26.05.2021 г. на основание чл. 229, ал. 1, т. 4 ГПК, вр. чл. 144 АПК, поради отправено по адм. дело № 1037/2021 г. по описа на Върховен административен съд, V отд., преюдициално запитване до Съда на Европейския съюз по рева на чл. 267, § 1, б. "б" от Договора за функционирането на Европейския съюз за тълкуване на разпоредбите на чл. 24 и чл. 32 от Общия регламент относно защита на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 (ОРЗД), във връзка образувано пред ВАС идентично производство с настоящото. След постановяване на Решение на Съда (трети състав) от 14 декември 2023 по дело С-340/21, с Определение № 572/20.12.2023 г. производството е възобновено и делото е насрочено за разглеждане в публично съдебно заседание, за което страните са били редовно призовани.

Предмет на разглеждане е предявен от Д. И. Д. с [ЕГН] от [населено място], [жк], [адрес] иск по чл. 1, ал. 1 ЗОДОВ срещу НАП – София, за присъждане на обезщетение за неимуществени вреди в размер на 1000 лева, представляващи претърпени от ищеца стрес, психическо напрежение, страх, притеснение, негативни преживявания и емоции вследствие от незаконосъобразното бездействие на ответника, изразяващо се в неизпълнение на задълженията му, произтичащи от чл. 59, ал. 1 ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни (ЕС) 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 (GDPR/ОРЗД), ведно със законната лихва, считано от датата на завеждане на исковата молба евентуално от датата на изтичане на личните данни - 15.07.2019 г., до окончателното изплащане на сумата. Претендира разноски.

В исковата молба се твърди, че на 15.07.2019 г. по медиите станало известно, че при т.нар. “хакерска атака” от електронните масиви на НАП неправомерно била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. При справка от интернет портала на НАП ищецът бил уведомен, че попада сред лицата, чиито лични данни са били разкрити, което изключително много го притеснило. Опасявал се, че с неговите лични данни може да бъде злоупотребено, да бъде отчуждено имуществото му, да бъдат изтеглени влоговете му или да бъдат изтеглени кредити от негово име, да бъде открадната самоличността му и да бъде използвана по всевъзможни начини, които биха му навредили. Притеснявал се и от физически нападения, заплахи, изнудвания, отвличания и т.н. Всичко това изключително много го натоварило психически, живеел в постоянен страх, стрес и напрежение, което повлияло негативно на нормалния ритъм на живота му, на отношенията му с хората, на ежедневието му. Твърди се, че ответната агенция не е изпълнила задълженията си по чл. 24 и чл. 32 ОРЗД и чл. 59, ал. 1 ЗЗЛД да осигури ефективни мерки за защита на личните данни, с което е допуснала пробив в информационната си система, причинил публичното разкриване и разпространение на лични данни на много лица, в т.ч. и на ищеца. Поддържа се, че с неправомерното си бездействие тя е нарушила и разпоредбите на чл. 45, ал. 1, т. 6, чл. 64, чл. 66, чл. 67 и чл. 68 ЗЗЛД, което е довело до т. нар. „нарушение на сигурността на лични данни“, регламентирано в §1, т. 10 ДР на ЗЗЛД, във вр. чл. 4, т. 12 ОРЗД. Всички тези нарушения са в пряка причинна връзка с претърпените от ищеца неимуществени вреди, което е основание за обезщетяването им от ответника съгласно чл. 82, ал. 1 ОРЗД, вр. чл. 1, ал. 1 ЗОДОВ.

Ответникът – НАП - София, чрез процесуалния си представител, оспорва допустимостта на иска с твърдения, основани на разпоредбата на чл. 39, ал. 2 ЗЗЛД. В условията на евентуалност оспорва основателността на иска по съображения, че е изпълнил в най-добра степен задължението си да защити по сигурен начин личните данни, като е предприел необходимите технически и организационни мерки за това. Сочи, че неправомерното разкриване на лични данни е резултат от престъпно деяние по смисъла на НК, а не неправомерно бездействие на негови органи или служители, поради което не следва да носи отговорност за вреди. Възразява срещу твърденията в исковата молба за неполагане на достатъчно грижа и неприлагане на ефективни мерки за защита на сигурността на личните данни, защото и към настоящия момент липсва акт, в който да е описано и доказано в какво се състои техническата уязвимост на информационната система на НАП и как тази уязвимост е предпоставила и улеснила извършването на неоторизирания достъп в условията на причинно – следствена връзка. Сочи, че разкритата информация е частична и не може да се използва злонамерено без допълнителна обработка, като НАП е оповестила публично, че няма непосредствена опасност за възможни злоупотреби с личните данни и имуществото на засегнатите лица, поради което не е имало причини за основателни съмнения и страхове у ищеца.

В допълнително изявление вх. № 441/05.02.2024г. подадено чрез ю.к. И., ответникът поддържа, че не е доказано бездействие на НАП, понеже в приложените доказателства по делото имало не само разписани правила и предвидени мерки от администрацията на НАП, но и редица доказателства за незабавната реакция на агенцията след изтичане данните на лицата, за да минимизира риска от злоупотреби и да внесе яснота сред обществото какви точно данни и в какъв техничен вид са изтекли. Изтеклите данни били частични и нечетими от лица без специални знания и за да се използвали злонамерено, било необходимо да бъдат допълнително обработени. Позовава се на Решение от 14.12.2023 г. на Съда на Европейския съюз, по дело С-340/21 с предмет преюдициално запитване, отправено от ВАС, относно прилагането на чл. 82, § 2 и § 3 от ОРЗД, от който следва, че макар администратора на лични данни да носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава Регламента, той все пак се освобождава от отговорност, ако докаже че по никакъв начин не е отговорен за събитието, причинило вредата. Моли исковата претенция да бъде отхвърлена като неоснователна и претендира присъждане на разноски за юрисконсултско възнаграждение.

Представителят на ОП - Добрич изразява становище за основателност и доказаност на исковата претенция и пледира съдът да присъди обезщетение за претърпените от ищеца неимуществени вреди в размер, определен по справедливост.

Добричкият административен съд, като взе предвид доводите на страните и прецени доказателствата по делото, приема за установено от фактическа и правна страна следното:

Процесуалният ред, по който засегнатият субект може да търси обезщетение за вреди от неправомерно обработване на личните му данни, е уреден в Глава ХІ "Производство за обезщетения" на АПК. В зависимост от правната характеристика на източника, от който се претендират вредите, в чл. 204, ал. 1 – 4 АПК са предвидени различни процесуални възможности за реализиране на правото на обезщетение. В случаите, в които се търси обезщетение за вреди от бездействие на администратора на лични данни, незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение, на основание чл. 204, ал. 4 АПК. Затова съдът приема, че предявеният иск е процесуално допустим. Същият черпи правното си основание от разпоредбите на чл. 79, ал. 1, чл. 82, § 1 от ОРЗД във връзка с чл. 39 ЗЗЛД, чл. 203 АПК, вр. чл. 1, ал. 1 ЗОДОВ.

Между страните по делото няма спор, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани (над 6 000 000 субекти на данни). От приложената към исковата молба и неоспорена от ответника справка се установява, че разкритите данни за ищеца включват ЕГН и данни от годишна данъчна декларация по чл. 41 ЗОДФЛ за 2003 г. и 2004 г.

В изпълнение на указания, дадени и при първоначалното разглеждане на делото, ответникът е представил множество писмени доказателства, с които да докаже, че е предприел всички мерки за защита на личните данни. При повторното разглеждане на делото по исковата претенция, в изпълнение на дадените указания от Върховния административен съд, на ответната страна са дадени изрични указания с Определение № 572/20.12.2023 г., че носи тежестта да докаже, че в качеството си на администратор, обработващ лични данни, по никакъв начин не е отговорен за събитието, причинило вреди. Н. ответника бе указано също, че той носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от ОРЗД (Общия регламент за защита на данните) са подходящи.

Процесуалният представите на ответника в писмена молба с вх. № 1518/19.04.2024 г. представя допълнителни доказателства, извън събраните при първоначалното разглеждане на делото и моли за отхвърляне на иска.

Съгласно представените по настоящото дело и при предходното му разглеждане доказателства съдът прие за установено следното:

Със заповед № 3ЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС IS0/IEC 27001: 2006 в НАП. Със заповед № 3ЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени "Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др. Със заповед № 3ЦУ-733/17.06.2016 г. на изпълнителния директор на НАП са утвърдени процедура и вътрешни правила за мрежовата и информационната сигурност. Със заповед № 3ЦУ-1236/21.08.2019 г. на изпълнителния директор на НАП е утвърдена процедура ИС17 "Администриране на информационна система в НАП", версия В. Със заповед № 3ЦУ-482/01.04.2019 г. на изпълнителния директор на НАП са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП. Със заповед № 3ЦУ-83/23.01.2013 г. на изпълнителния директор на НАП са определени вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно–осигурителната сметка и сроковете за съхранение на архивираната информация. Със заповед № 3ЦУ-1596/29.11.2017 г. на изпълнителния директор на НАП са утвърдени "Указания за унищожаване на информация и информационни системи в НАП". Със заповед № 3ЦУ-535/11.05.2016 г. на изпълнителния директор на НАП са утвърдени вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП. В НАП е изработена Методика за анонимизиране на индивидуални данни, версия 1, към м. януари 2017 г.

По делото е представено Писмо с изх. № ППН-01-356/2020#1 от 28.05.2020 г. на Комисията за защита на личните данни (л. 39 и сл.), в уверение, че в хода на извършена проверка от страна на КЗЛД е установено, че при осъществяване на дейността си НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица в различен обем. Въз основа на тези констатации председателят на КЗЛД е издал наказателно постановление срещу НАП за нарушение на чл. 32, § 1, б. "б" от регламент (ЕС) 2016/679. С решение № ППН-02-399/22.08.2019 г. по описа на КЗЛД на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки за целта. Посочено е също, че пред КЗЛД няма висящо или приключило производство, инициирано от ищеца, В. Б. Б., срещу НАП.