Решение № 967 от 03.12.2020, Административен съд - Пазарджик

Р

Е Ш Е Н И Е

№

967/3.12.2020г. гр.

Пазарджик,

В И

М Е Т О Н А Н А Р О Д А

АДМИНИСТРАТИВЕН СЪД ПАЗАРДЖИК, VІІI състав, в открито съдебно заседание на пети ноември две хиляди и двадесета година в състав:

ПРЕДСЕДАТЕЛ: СВЕТОМИР БАБАКОВ при секретаря Я. В. и с участието на прокурора , като разгледа докладваното от съдия Бабаков адм. дело № 556 по описа на съда за 2020 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 203- чл. 207 от Административно-процесуалния Кодекс (АПК), във връзка с чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ).

Образувано е по искова молба на Ц.А.К. с ЕГН ********** ***, чез адв. А.П. с искане да бъде установено противоправно и виновно поведение на ответника НАП в периода до 16.07.2019 г. от което ищцата като физическо лице от определяем кръг лица, български граждани, чиито данни се намират в останалите общодостъпни файлове, изтекли от НАП е претърпяла неимуществени вреди и да бъде осъдена Националната агенция за приходите да заплати на ищцата обезщетение в размер на 1200 /хиляда и двеста/ лева за претърпените от нея неимуществени вреди за периода от 15.07.2019- 27.05.2020 г. от неизпълнение от страна на НАП на задължението й по чл. 59, ал. 1 от Закона за защита на личните данни /ЗЗЛД/ и чл. 32 от Общия регламент относно защитата на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета /GDPR/. Ищцата се позовава на 80 ал.2 от ОРЗД вр чл. 39 ал.1 и ал. 2 от ЗЗЛД. С главния иск за обезщетение е съединен иск за заплащане на законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното изплащане на вземанията.

В исковата молба са наведени доводи, че вследствие на неправомерно изтичане на лични данни, сред които и такива на ищеца, за него са възникнали неимуществени вреди, изразяващи се в психическо натоварване, притеснения и опасения от всевъзможни злоупотреби с личните данни на ищеца, загубено време за промени на пароли, консултации със специалисти в сферата на сигурността и т.н станали достъпни вследствие на т.нар. хакерска атака, при която от масивите на НАП неправомерно е била изтеглена информация в голям обем, съдържаща данни на български граждани, публично оповестени на 16.07.2019 г. Иска да се установи, че НАП в качеството си на администратор на лични данни, чрез бездействие е допуснала нарушения на разпоредбите на чл. 24 и чл.32 от GDPR и чл. 59 ал.1 от ЗЗЛД, нарушила е разпоредбите на чл. 45 ал.1 т.6 от ЗЗЛД, като не е обработила личните данни по начин по който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки, чл. 64 от ЗЗЛД, като намира, че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обрабтване на личните данни върху тяхната защита, чл. 66 ал.1 и ал.2 ЗЗЛД, чл. 67 и 68 от ЗЗЛД в периода от влизане на сила на Общия регламент относно защитата на личните данни /ЕС/ 2016/679 на Европейския парламент и на Съвета /GDPR/ до 16.07.2019 г., датата на публичното оповестяване на данните.

В исковата молба се излагат обстоятелства, че на 16.07.2019 г. по медиите станало известно, че при т. нар. "хакерска атака" от електронните масиви на НАП неправомерно била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. При справка в електронната система на НАП ищцата установила, че попада сред лицата, чиито лични данни са били разкрити, вследствие на което претърпяла неимуществени вреди. Личните данни, които били разкрити, съгласно молба- уточнение от 16.06.2020 г. били ЕГН, име, данни от декларации, подадени от работодател/осигурител за осигурените от тях лица. Неимуществените вреди се изразявали в страх и притеснение от злоупотреба с личните данни на ищеца за неопределен период от време, включително и страх от физически нападения, заплахи, изнудвания, отвличания, притеснения, че неопределен брой трети лица имат достъп до личните данни в това число и адрес и финансова информация, липса на официална информация в продължение на 10 дни какви лични данни не са опазени въпреки достъпността им в интернет пространството, загубено време в промяна на пароли, пин кодове на дебитни и кредитни карти, консултции със специалисти в областта на сигурността.

Твърди се, че НАП не е изпълнила задълженията си по чл. 24 и чл. 32 от GDPR и чл. 59, ал. 1 от ЗЗЛД да осигури ефективни мерки за защита на личните данни, с което е допуснала пробив в информационната си система, причинил публичното разкриване и разпространение на лични данни на много лица, в т. ч. и на ищеца. С неправомерното си бездействие тя е нарушила и разпоредбите на чл. 45, ал. 1, т.

6, чл. 64, чл. 66, чл. 67 и чл. 68 от ЗЗЛД, което е довело до т. нар.

"нарушение на сигурността на лични данни", регламентирано в § 1, т.

10 от ДР на ЗЗЛД, във вр. чл. 4, т. 12 от GDPR. Всички тези нарушения са в пряка причинна връзка с претърпените от ищеца неимуществени вреди, което е основание за обезщетяването им от ответника съгласно чл. 82, ал. 1 от GDPR, във вр. чл. 1, ал. 1 от ЗОДОВ.

В съдебно заседание ищцата се преставлява от процесуален представител- адв.

П. който поддържа исковата молба. Моли претенцията да бъде уважена изцяло. Счита, че от всички представени по делото писмени доказателства не се установява НАП да е предприела адекватни мерки за защита на личните данни на ищеца. Претендира разноски по представен списък.

Ответникът в съдебно заседание е депозирал писмено становище, с което оспорва исковата молба като недопустима, а евентуално неоснователна и представя доказателства.

За недопустимост на иска сочи, че той не е съединен с жалба против увреждащото според ищеца дейстие на администатора на лични данни, както и че са налице висящи производства за същото нарушение, посочено в исковата молба. Излага съображения за неоснователност на предявения иск, както по основание, така и по размер, тъй като не е ясно от кой конкретно акт на НАП или на нейни органи са настъпили вредите и каква е причинно-следствената връзка между тях и съответния акт. Счита за неоснователно възражението за неполагане на достатъчна грижа и неприлагане на ефективни мерки за сигурността на данните от страна на НАП. Твърди, че нерегламентираният достъп до информационната система на НАП е в следствие на злоумишлено посегателство, като след узнаването за този неоторизиран достъп Агенцията е предприела необходимите технически и организационни мерки за сигурност и защита на личните данни. Счита, че не са налице основания да се твърди, че този неоторизиран достъп е резултат от действия или бездействия на НАП или нейни органи/служители, като и че не ставало ясно с кое конкретно свое действие/бездействие НАП е довела до описаното психическо и емоционално състояние на ищеца. Поради изложеното намира за недоказано твърдението за претърпени от Цветана К. неимуществени вреди. Моли за отхвърляне на иска. Претендира присъждане на юрисконсултско възнаграждение.

В съдебно заседание ответникът се представлява от юрк. Н., която оспорва исковата молба. Счита, че ищцата не е успяла да докаже наличието на претърпени вреди. Допълнителни съображения излага в представени писмени бележки.

Представителят на Окръжна прокуратура Пазарджик излага становище за неоснователност на исковата претенция и моли съда да я отхвърли изцяло.

Административен съд

- Пазарджик, като взе предвид изложеното в исковата молба и представените по делото писмени доказателства, приема за установено от фактическа страна следното:

По делото е безспорно, че на 15.07.2019 г. неизвестно лице е осъществило нерегламентиран достъп до информационната система на НАП, станал известен като "хакерска атака", вследствие на което е разпространена информация, съдържаща личните данни на множество българи .

По делото е представена извадка от електронната система на НАП, със следното съдържание: "За подадения идентификатор има разпространени данни, които включват трите имена, ЕГН, както и данни, подадени от работодателите/оигурителите и на осигурените от тях лица за период 2008 г. Ответникът не оспорва фактът, че по отношение на ищцата Ц. Костадинова са налице неправомерно разкрити посочените лични данни.

Съгласно представените по делото доказателства със заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП. Със заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени "Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др. Със заповед № ЗЦУ-733/17.06.2016 г. на изпълнителния директор на НАП са утвърдени процедура и вътрешни правила за мрежовата и информационната сигурност. Със заповед № ЗЦУ-1236/21.08.2019 г. на изпълнителния директор на НАП е утвърдена процедура ИС17 "Администриране на информационна система в НАП", версия В. Със заповед №ЗЦУ-482/01.04.2019 г. на изпълнителния директор на НАП са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП. Със заповед № ЗЦУ-83/23.01.2013 г. на изпълнителния директор на НАП са определени вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно–осигурителната сметка и сроковете за съхранение на архивираната информация. Със заповед № ЗЦУ-1596/29.11.2017 г. на изпълнителния директор на НАП са утвърдени "Указания за унищожаване на информация и информационни системи в НАП". Със заповед № ЗЦУ-535/11.05.2016 г. на изпълнителния директор на НАП са утвърдени вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП. В НАП е изработена Методика за анонимизиране на индивидуални данни, версия 1, към м. януари 2017 г. Утвърдена е политика по информационна сигурност на НАП. Утвърдена е и Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1 към чл. 24, ал. 2 от Инструкцията служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения.

Не са представени доказателства да е висящо дело между ищеца Ц.К. и НАП пред КЗЛД.

Също така в хода на извършена проверка от страна на КЗЛД е установено, че при осъществяване на дейността си НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица в различен обем. Въз основа на тези констатации председателят на КЗЛД е издал НП на НАП за нарушение на чл.

32, § 1, б. "б" от регламент (ЕС) 2016/679. С решение № ППН-02-399/22.08.2019 г. по описа на КЗЛД на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки за целта. НП и решението са обжалвани пред съда и не са влезли в сила.

За доказване на претърпени неимуществени вреди от страна на ищцата К., по делото се събраха и гласни доказателства, като в качеството на свидетел беше разпитан съпругът на ищцата св. П.К.. Свидетелят псочва, че двамата със съпругата му се почувствали неприятно, след като научили, че личните им данни са изтекли. Опасява се, че ако се изтегли още един заем на негово име или на името на съпугата му, двамата се връщат в първи клас. В ежедневието им нищо не се променило, но отношенията им малко се влошили, тъй като и двамата бил иизнервени и най- малкото нещо ги дразнело. Първоначално не разбрали, че личните им данни са изтекли, но след като разбрали, че доста хора са пострадали, решили да си вземат ПИК. Към момента, съпругата му не работела.

Разпечатката съдържа 32 от 72 абзаца. Пълният текст: https://pravoto.app/praktika/8e78e3ec-0f04-4e1a-821b-4344c2190965