Решение № 3273 от 15.07.2025, Административен съд - Пазарджик

РЕШЕНИЕ

№ 3273

Пазарджик, 15.07.2025 г.

В ИМЕТО НА НАРОДА

Административният съд - Пазарджик - XIV състав, в съдебно заседание на първи юли две хиляди двадесет и пета година в състав:

Съдия:

СНЕЖАНА СТОЯНОВА

При секретар ДЕСИСЛАВА АНГЕЛОВА и с участието на прокурора ГЕОРГИ ХРИСТОВ КАЦАРОВ като разгледа докладваното от съдия СНЕЖАНА СТОЯНОВА административно дело № 20247150700808 / 2024 г., за да се произнесе взе предвид следното:

Производството е по реда на чл. 39 от Закона за защита на личните данни ЗЗЛД) и е образувано по искова молба на Д. И. К. от [населено място] срещу Националната агенция за приходи (НАП) за присъждане на обезщетение за претърпени неимуществени вреди в размер на 2 000 лева, за периода от 16.07.2019 г. до 15.07.2024 г., които са следствие от неизпълнение от страна на НАП в достатъчна степен на задължението й, произтичащи пряко от чл. 24 и чл. 32 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета (GDPR).

В исковата молба и уточнението й по повод оставянето й без движение са изложени съображения за това, че ищецът е бил субект на обработка на лични данни от страна на ответника. Твърди се, че правото на иск за Д. К., в качеството му на физическо лице, чиито лични данни са станали известни и публично достъпни, вследствие от пробив в електронната система на НАП от 16.07.2019 г., възниква следствие от недостатъчна грижа и мерки за защита на сигурността на обработваните лични данни от ответника НАП, в качеството му на администратор на лични данни или нарушение на чл. 32 от Регламент /ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. Претърпените неимуществените вреди се изразяват в страх и притеснение от евентуална злоупотреба с тези данни, както и от физически нападения, заплахи, изнудвания, отвличания, притеснения, че неограничен и неизвестен брой трети лица имат достъп до негови лични данни, в това число адрес и финансова информация и други, които вреди са пряка и непосредствена последица от увреждането. Правното основание на предявения иск, посочено в исковата молба, е чл. 39, ал. 1 и ал. 2 от ЗЗЛД и чл. 82, § 1 от ОРЗД. С главния иск е съединен иск за заплащане на законната лихва върху претендираното обезщетение, считано от 15.07.2019 г. до окончателното изплащане. Моли за постановяване на осъдително решение. Претендира разноски.

В съдебно заседание ищецът се представлява от адв. А. П. от АК - Пазарджик, който поддържа исковата молба и предявените с нея претенции.

Ответникът - Национална агенция за приходите – София, чрез надлежно упълномощен юрисконсулт устно и в писмени бележки оспорва предявения иск. Твърди, че са предприети адекватни мерки за защита на личните данни на субектите. Излага съображения, че не са представени доказателства за претърпени вреди от страна на ищеца. Акцентира на постановеното окончателно съдебно решение на АССГ, XVI Касационен състав № 1247 от 26.02.2024 г., с което е отменено наказателно постановление, издадено от Председателя на Комисията за защита на личните данни, с което на НАП е наложена санкция за извършения неоторизиран достъп. Счита за неоснователно възражението за неполагане на достатъчна грижа от страна на НАП за защита сигурността на данните. Твърди, че нерегламентираният достъп до информационната система на НАП е в резултат от злоумишлени действия, обявени за престъпни. Веднага след узнаването за този нерегламентиран достъп, НАП е предприела незабавни мерки за сигурност и преустановяването му. Счита, че не са налице данни да се приеме, че този неоторизиран достъп е резултат от действия или бездействия на НАП или нейни органи/служители. По тези съображения моли за отхвърляне на исковите претенции. Претендира юрисконсултско възнаграждение.

Участващият в делото прокурор изразява становище за неоснователност на исковите претенции. Обосновава становището си с факта, че в исковата молба не е посочен периода на твърдените претърпени неимуществени вреди, без да държи сметка, че това е сторено с уточняваща молба в изпълнение на указанията на съда, дадени в разпореждане № 3153 от 12.08.2024 г. за оставяне на исковата молба без движение.

Административен съд - Пазарджик, като прецени събраните по делото доказателства в тяхната съвкупност и обсъди доводите на страните, приема за установено следното:

С оглед изложените твърдения в исковата молба и отговора на исковата молба, съдът намира, че е сезиран с иск с правно основание чл. 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните - ОРЗД), във връзка с чл. 39 от ЗЗЛД.

По делото е безспорно, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани (над 6 000 000 субекти на данни). От представеното Удостоверение изх. № 54-13-1927/20.05.2025 г. (л.240 в делото) се установява, че на ищеца са разкрити лични данни, съставляващи ЕГН и имена, данни за изплатени доходи за 2007 г. и 2008 г., данни от ГДД по чл. 41 от ЗОДФЛ за 2003 г., 2004 г., 2006 г., данни от ГДД по чл. 50 от ЗДДФЛ за 2010 г., данни от справка за изплатени доходи по чл.73 от ЗДДФЛ за 2008 г., 2010 г., 2014 г. и 2017 г., данни от финансови отчети за 2008 г., идентификационни данни в качеството на представляващ юридическо лице от подадена ГДД за данъчния финансов резултат и дължимия годишен корпоративен данък по чл.92 от ЗКПО за 2014г., 2017 г. и 2018 г. и идентификационни данни в качеството на представляващ юридическо лице от подадена декларация по чл.51 от ЗКПО за 2006 г.

Съгласно представените по делото доказателства, със Заповед № ЗЦУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП.

Със Заповед № ЗЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП“, „Указания за обозначаване и работа с информация“, „Указания за попълване на образци на процедура“, „Указания за попълване на образеца на инструкция“ и др.

Със Заповед № ЗЦУ-733/17.06.2016 г. на изпълнителния директор на НАП са утвърдени процедура и вътрешни правила за мрежовата и информационната сигурност.

Със Заповед № ЗЦУ-1236/21.08.2019 г. на изпълнителния директор на НАП е утвърдена процедура ИС17 „Администриране на информационна система в НАП“, версия В. Със Заповед № ЗЦУ-482/01.04.2019 г. на изпълнителния директор на НАП са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП.

Със Заповед № ЗЦУ-83/23.01.2013 г. на изпълнителния директор на НАП са определени вида, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно-осигурителната сметка и сроковете за съхранение на архивираната информация.

Със Заповед № ЗЦУ-1596/29.11.2017 г. на изпълнителния директор на НАП са утвърдени „Указания за унищожаване на информация и информационни системи в НАП“.

Със Заповед № ЗЦУ-535/11.05.2016 г. на изпълнителния директор на НАП са утвърдени вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП. Утвърдена е политика по информационна сигурност на НАП, Версия 3.0, действаща към май 2016 г.

Не са представени доказателства, а и не се твърди да е висящо дело между ищеца Д. К. и НАП пред КЗЛД.

В хода на делото е разпитан като свидетел К. К., чиито показания съдът кредитира в пълна степен като ясни, точни, безпротиворечиви и дадени от лице, което не е заинтересовано от крайния изход на делото.

Св.К. твърди, че познава ищеца от 1997г. – 1998 г. Виждали се всеки ден, тъй като офисите им били близко един до друг. Известно му било, че през 2019 г. - 2020 г. К. имал големи притеснения от това, че са му изтекли данните от НАП. Чувствал се много зле. Притеснявал се дали няма да му бъдат откраднати клиентите и имотите. Страхувал се да не загуби бизнеса си. Вследствие на притесненията, които изпитвал, отслабнал физически.

Въз основа на тези факти, съдът счита предявения иск за допустим.

Разгледан по същество искът е частично основателен.

Предявеният иск е с правно основание чл. 82, § 1 от Регламент (ЕС) 2016/679, във връзка с чл. 39 ЗЗЛД вр. с чл. 203 АПК.

Предвид чл. 82 от Регламент (ЕС) 2016/679 предметът на доказване изисква установяване на: 1. нарушение на правата на субекта на данни по Регламент (ЕС) 2016/679 в резултат на обработване на личните му данни, което не е в съответствие с регламента; 2. причинена материална или нематериална вреда; 3. причинна връзка между нарушението на правата по регламента и причинената вреда. При липсата на който и да е от елементите на този фактически състав не може да се реализира отговорността.

В случая исковата претенция се основава на незаконосъобразно бездействие - неполагане на достатъчно грижа и неприлагане на ефективни мерки за защитата на сигурността на данните, с което са нарушени разпоредбите на чл. 24 и чл. 32 от ОРЗД. Следователно предпоставка за ангажиране на отговорността на ответника е установяване на незаконосъобразността на твърдяното от ищеца бездействие.

На първо място следва да се посочи, че НАП притежава качество на администратор на лични данни по смисъла чл. 4, т. 7 от ОРЗД, както и че осъществява дейности по обработване на лични данни по смисъла на чл. 4, т. 2 от ОРЗД. С оглед на това качество НАП има задължение да прилага подходящи технически и организационни мерки с цел гарантиране, че обработването е в съответствие с чл. 24 и чл. 32 от ОРЗД.

Отговорността на ответника НАП произтича от специфичния характер на дейността му по обработване на лични данни, включваща създаване, поддържане и актуализация на регистъра и базата данни, както и архивиране и съхраняване на съдържащата се в тях информация и контролирания достъп до нея. Неоторизираният достъп е причината за неправомерно разкриване и разпространение на лични данни, като самото осъществяване на неоторизирания достъп категорично сочи, че е вследствие на противоправно бездействие (пропуски) на ответника да изпълни произтичащи от нормативната рамка задължения да обезпечи достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по смисъла на § 1, т. 4 от ДР на ЗЗЛД, във вр. чл. 4, т. 2 от Регламент (ЕС) 2016/679.

В съображение 36 на Решение от 14 декември 2023 г. по дело С-340/2021 на СЕС, VB, ECLI:EU:C:2023:986, е посочено че от текста на член 82, § 1 от ОРЗД ясно следва, че наличието на „вреди“, които са били „нанесени“, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни.

Налице е първата предпоставка за ангажиране отговорността на администратора на лични данни. Защитата на физическите лица във връзка с обработването на личните им данни е основно право. Съгласно чл. 8, §1 от Харта на основните права на Европейския съюз (ХОПЕС) всеки има право на защита на неговите лични данни. Регламент (ЕС) 2016/679 предвижда задължения за администраторите на лични данни и обработващите лични данни да осигурят необходимата защита на тези данни, така че да се гарантира тяхното законосъобразно обработване, в съответствие с принципите определени в чл. 5 от ОРЗД. По делото не се оспорва от процесуалния представител на ответната страна, че до личните данни на ищцата е имало неправомерен достъп. Точно обратното, посредством нарочно издадено удостоверение изх. № 54-13-1927/20.05.2025 г. (л.240 в делото) се установява, че до лични данни на ищеца - ЕГН и имена, данни за изплатени доходи за 2007 г. и 2008 г., данни от ГДД по чл. 41 от ЗОДФЛ за 2003 г., 2004 г., 2006 г., данни от ГДД по чл. 50 от ЗДДФЛ за 2010 г., данни от справка за изплатени доходи по чл.73 от ЗДДФЛ за 2008 г., 2010 г., 2014 г. и 2017 г., данни от финансови отчети за 2008 г., идентификационни данни в качеството на представляващ юридическо лице от подадена декларация по чл.51 от ЗКПО за 2006 г. и ГДД за данъчния финансов резултат и дължимия годишен корпоративен данък по чл.92 от ЗКПО за 2014г., 2017 г. и 2018 г., е осъществен нерегламентиран достъп.