Решение № 255 от 17.08.2020, Административен съд - Добрич

Р Е Ш Е Н И Е

№ 255 /17.08.2020 г., гр.Добрич

В ИМЕТО НА НАРОДА

ДОБРИЧКИЯТ АДМИНИСТРАТИВЕН СЪД, в открито съдебно заседание на двадесет и втори юли през две хиляди и двадесета година в състав:

ПРЕДСЕДАТЕЛ : СИЛВИЯ САНДЕВА

При секретаря МАРИЯ МИХАЛЕВА и участието на прокурора МИЛЕНА ЛЮБЕНОВА, разгледа докладваното от председателя адм.д. № 139/2020 г. по описа на АдмС - Добрич и за да се произнесе, взе предвид следното:

Производството по делото е по чл.203, ал.1 от АПК, във вр. чл.1, ал.1 от ЗОДОВ и е образувано по искова молба (неправилно именувана „жалба“) на Д.И.Д. с ЕГН ********** ***, уточнена в съдебно заседание, проведено на 22.07.2020 г., с която срещу НАП – София е предявен иск за присъждане на обезщетение за неимуществени вреди в размер на 1000 лева, представляващи претърпени от ищеца стрес, психическо напрежение, страх, притеснение, негативни преживявания и емоции вследствие от незаконосъобразното бездействие на ответника, изразяващо се в неизпълнение на задълженията му, произтичащи от чл.59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни (ЕС) 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 (GDPR), ведно със законната лихва, считано от датата на завеждане на исковата молба или алтернативно от датата на изтичане на личните данни - 15.07.2019 г., до окончателното изплащане на сумата. Налице е и искане за присъждане на сторените разноски по делото, в т.ч. и на платено адвокатско възнаграждение.

В исковата молба се излагат обстоятелства, че на 15.07.2019 г. по медиите станало известно, че при т.нар. “хакерска атака” от електронните масиви на НАП неправомерно била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. При справка от интернет портала на НАП ищецът бил уведомен, че попада сред лицата, чиито лични данни са били разкрити, което изключително много го притеснило. Опасявал се, че с неговите лични данни може да бъде злоупотребено, да бъде отчуждено имуществото му, да бъдат изтеглени влоговете му или да бъдат изтеглени кредити от негово име, да бъде открадната самоличността му и да бъде използвана по всевъзможни начини, които биха му навредили. Притеснявал се и от физически нападения, заплахи, изнудвания, отвличания и т.н. Всичко това изключително много го натоварило психически, живеел в постоянен страх, стрес и напрежение, което повлияло негативно на нормалния ритъм на живота му, на отношенията му с хората, на ежедневието му. Твърди се, че НАП не е изпълнила задълженията си по чл. 24 и чл.32 от GDPR и чл.59, ал.1 от ЗЗЛД да осигури ефективни мерки за защита на личните данни, с което е допуснала пробив в информационната си система, причинил публичното разкриване и разпространение на лични данни на много лица, в т.ч. и на ищеца. С неправомерното си бездействие тя е нарушила и разпоредбите на чл.45, ал.1, т.6, чл.64, чл.66, чл.67 и чл.68 от ЗЗЛД, което е довело до т. нар. „нарушение на сигурността на лични данни“, регламентирано в §1, т.10 от ДР на ЗЗЛД, във вр. чл.4, т.12 от GDPR. Всички тези нарушения са в пряка причинна връзка с претърпените от ищеца неимуществени вреди, което е основание за обезщетяването им от ответника съгласно чл.82, ал.1 от GDPR, във вр. чл.1, ал.1 от ЗОДОВ.

Ответникът – НАП -

София, чрез процесуалния си представител, оспорва допустимостта на иска с твърдения, основани на разпоредбата на чл.39, ал.2 от ЗЗЛД. В условията на евентуалност оспорва основателността на иска по съображения, че е изпълнил в най-добра степен задължението си да защити по сигурен начин личните данни, като е предприел необходимите технически и организационни мерки за това. Сочи, че неправомерното разкриване на лични данни е резултат от престъпно деяние по смисъла на НК, а не неправомерно бездействие на негови органи или служители, поради което не следва да носи отговорност за вреди. Възразява срещу твърденията в исковата молба за неполагане на достатъчно грижа и неприлагане на ефективни мерки за защита на сигурността на личните данни, защото и към настоящия момент липсва акт, в който да е описано и доказано в какво се състои техническата уязвимост на информационната система на НАП и как тази уязвимост е предпоставила и улеснила извършването на неоторизирания достъп в условията на причинно – следствена връзка. Сочи, че разкритата информация е частична и не може да се използва злонамерено без допълнителна обработка, като НАП е оповестила публично, че няма непосредствена опасност за възможни злоупотреби с личните данни и имуществото на засегнатите лица, поради което не е имало причини за основателни съмнения и страхове у ищеца. Претендира юрисконсултско възнаграждение.

Представителят на ОП

- Добрич изразява становище за неоснователност и недоказаност на исковата претенция и иска тя да бъде отхвърлена.

Добричкият административен съд, като взе предвид доводите на страните и прецени доказателствата по делото, приема за установено от фактическа и правна страна следното:

По делото е безспорно, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани (над 6 000 000 субекти на данни). От приложената към исковата молба и неоспорена от ответника справка се установява, че разкритите данни за ищеца включват ЕГН и данни от годишна данъчна декларация по чл.41 от ЗОДФЛ за 2003 г. и 2004 г.

Съгласно представените по делото доказателства със заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001:2006 в НАП. Със заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал.1, т.5 и т.7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др. Със заповед № ЗЦУ-733/17.06.2016 г. на изпълнителния директор на НАП са утвърдени процедура и вътрешни правила за мрежовата и информационната сигурност. Със заповед № ЗЦУ-1236/21.08.2019 г. на изпълнителния директор на НАП е утвърдена процедура ИС17 „Администриране на информационна система в НАП“, версия В. Със заповед №ЗЦУ-482/01.04.2019 г. на изпълнителния директор на НАП са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП. Със заповед № ЗЦУ-83/23.01.2013 г. на изпълнителния директор на НАП са определени вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно–осигурителната сметка и сроковете за съхранение на архивираната информация.

Със заповед № ЗЦУ-1596/29.11.2017 г. на изпълнителния директор на НАП са утвърдени „Указания за унищожаване на информация и информационни системи в НАП“. Със заповед № ЗЦУ-535/11.05.2016 г. на изпълнителния директор на НАП са утвърдени вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП. В НАП е изработена Методика за анонимизиране на индивидуални данни, версия 1, към м. януари 2017 г. Утвърдена е политика по информационна сигурност на НАП. Утвърдена е и Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1 към чл. 24, ал.2 от Инструкцията служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения.

Видно от предоставена от КЗЛД информация е, че в КЗЛД не е установено наличието на висящо или приключило производство пред комисията, инициирано от Д.И.Д. срещу НАП. Също така в хода на извършена проверка от страна на КЗЛД е установено, че при осъществяване на дейността си НАП, в качеството си на администратор на лични данни, не е приложила подходящи технически и организационни мерки, в резултат на което е осъществен неоторизиран достъп, неразрешено разкриване и разпространение на лични данни на физически лица в различен обем. Въз основа на тези констатации председателят на КЗЛД е издал НП на НАП за нарушение на чл.

32, §1, б. „б“ от регламент (ЕС) 2016/679. С решение

№ ППН-02-399/22.08.2019 г. по описа на КЗЛД на НАП е издадено и разпореждане за предприемане на подходящи технически и организационни мерки за целта. НП и решението са обжалвани пред съда и не са влезли в сила.

За доказване на претърпените от ищеца неимуществени вреди по делото са събрани гласни доказателства чрез разпита на свидетелите Д.И.С.и Г.М.Р.. От неоспорените от ответника показания на двамата свидетели се установява единодушно, че след като разбрал за разкриването на личните му данни, Д. силно се притеснил и разтревожил. Много се променил, вече не бил същият човек. Станал изключително неспокоен. Чувствал несигурност и страх да не му вземат пенсията и имота. Само за това говорел. Често се оплаквал на близки и приятели, като св. С. все се опитвал да го успокои. Тормозел се психически. Изтеглял пенсията си от банкомата веднага щом му я преведат. И сега продължавал да се чувства притеснен и да се оплаква. И двамата свидетели са близки приятели и познати на ищеца, често се срещат или чуват по телефона с него, поради което имат лични и непосредствени впечатления и наблюдения от поведението му и от емоционалното и психическото му състояние през този период. Показанията им са последователни, логични и безпротиворечиви и не са оспорени от ответника, поради което съдът ги кредитира като обективни и достоверни.

Съответстващи на показанията на свидетелите са и неопорените от страна на ответника обяснения на ищеца, дадени в съдебно заседание, съгласно които той продължавал да е притеснен и да се тормози. Дори един лев не оставял от пенсията си в банката. Веднага я теглел цялата, след като му я преведат, защото не знаел какво може да стане. Често ходел в съда и в Агенцията по вписванията да проверява дали апартаментът му не е продаден. Не можел да живее спокойно. Загубил вярата си в институциите и държавата. В началото, когато разбрал, получил продължително главоболие и пиел хапчета за успокоение. Все бил неспокоен и се страхувал някой да не злоупотреби с личните му данни, да не изтеглят кредит на негово име или да му „пишат някоя фирма за милиони“.

При така установената фактическа обстановка съдът намира от правна страна следното :

Предявеният иск е процесуално допустим и черпи правното си основание от разпоредбите на чл.203, ал.1 и чл.204, ал.4 от АПК, във вр. чл.1, ал.1 от ЗОДОВ и чл.82 от GDPR.

По отношение на възраженията на ответника за недопустимост на иска е налице произнасяне с протоколно определение на съда, но следва да се подчертае, че съгласно последната съдебна практика на ВАС по идентични казуси процесуалният ред, по който засегнатият субект може да търси обезщетение за вреди от неправомерно обработване на личните му данни, е уреден в Глава ХІ “Производство за обезщетения” на АПК. В зависимост от правната характеристика на източника, от който се претендират вредите, в чл. 204, ал. 1 – 4 АПК са предвидени различни процесуални възможности за реализиране на правото на обезщетение. В случаите, в които се търси обезщетение за вреди от бездействие на администратора на лични данни, незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение, на основание чл. 204, ал. 4 АПК.

Предявеният иск е и частично основателен по размер.

Във фактическия състав на отговорността за вреди по чл.1, ал.1 от ЗОДОВ се включват следните елементи – незаконосъобразен акт, действие или бездействие на орган или длъжностно лице на държавата или общината при или по повод изпълнение на административна дейност, отменени по съответния ред, вреда от такъв административен акт, действие или бездействие и причинна връзка между постановения незаконосъобразен акт, действие или бездействие и настъпилия вредоносен резултат. При липсата на който и да е от елементите на този фактически състав не може да се реализира отговорността на държавата или общината по реда на чл.1, ал.1 от ЗОДОВ.