Решение № 959 от 08.05.2024, Административен съд - Добрич

РЕШЕНИЕ

№ 959

Добрич, 08.05.2024 г.

В ИМЕТО НА НАРОДА

Административният съд - Добрич - I състав, в съдебно заседание на двадесет и втори април две хиляди двадесет и четвърта година в състав:

Съдия:

КРАСИМИРА ИВАНОВА

При секретар ВЕСЕЛИНА САНДЕВА и с участието на прокурора ВЕСЕЛИН ВИЧЕВ като разгледа докладваното от съдия КРАСИМИРА ИВАНОВА административно дело № 456 / 2021 г., за да се произнесе взе предвид следното:

Производството е по чл. 203 от АПК, във връзка с чл. 1, ал. 1 от Закона за отговорността на държавата и общините за вреди (ЗОДОВ).

Образуването на делото е след връщането му за ново разглеждане от друг състав с Решение № 9420/ 15.09.2021 г. по административно дело № 10793/ 2020 г. по описа на Върховен административен съд, Трето отделение, с което е отменено постановеното при първоначалното разглеждане на делото Решение № 239 от 03.08.2020 г. по адм.д. № 32/ 2020 г. по описа на А. съд –Добрич.

Образувано е по искова молба на С. Н. К., от [населено място] срещу Национална агенция по приходите (НАП) – София, с която е предявен иск за присъждане на обезщетение за неимуществени вреди в размер на 1000 лева, представляващи претърпени от ищцата стрес, постоянен страх и безпокойство, възмущение, психическо напрежение, притеснение и свързаните с тях негативни преживявания и емоции вследствие от незаконосъобразното бездействие на ответника, изразяващо се в неизпълнение на задълженията му, произтичащи от чл. 59, ал. 1 от ЗЗЛД, чл. 24 и чл. 32 от Общия регламент относно защита на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 (GDPR), ведно със законната лихва, считано от датата на завеждане на исковата молба или алтернативно от датата на изтичане на личните данни - 15.07.2019 г., до окончателното изплащане на сумата.

В исковата молба се излагат обстоятелства, че на 15.07.2019 г. по медиите станало известно, че при т. нар. „хакерска атака" от електронните масиви на НАП неправомерно била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. При справка от интернет портала на НАП, извършена чрез ПИК, ищцата била уведомена, че попада сред лицата, чиито лични данни са били разкрити, което изключително много я притеснило. Имала опасения, че ще бъде злоупотребено с личните ѝ данни чрез отчуждаване на измуществото ѝ, теглене на кредити от нейно име, кражба на самоличността ѝ, промяна на гражданското ѝ състояние, съответно, че ще бъдат използвани тези данни по всевъзможни начини, които биха могли да ѝ навредят. Същевременно сочи, че в медиите срещнала множество плашещи материали за това как биха могли да се използват чужди лични данни, коакто и че специалисти определяли случаяя на изтичане на лични данни от регистрите на НАП като по – лош дори от аварията в Чернобил, тъй като не се знаело кога във времето и по какъв начин ще бъде злоупотребено с конкретните лични данни. Тези факти и обстоятелства натоварвали психически ищцата. Почувствала се възмутена от допуснатия пробив в информационната система на НАП. Живеела в постоянен страх и притеснения. Чувствала се назащитена от Държавата, като на показ били изложени нейните имена, ЕГН, документи за самоличност, телефонни номера, информация за доходите ѝ и адрес, на който живее семейството ѝ. Това повлияло в негативен аспект нормалния ритъм на живота ѝ, на отношенията ѝ с хората и на ежедневието ѝ като цяло. Чувствала се перманентно стресирана, напрегната, уплашена. Притеснявала се и от физически нападения, заплахи, изнудвания, отвличания.

Според ищцата НАП в качеството си на администратор на лични данни, чрез бездействие е допуснала нарушения на разпоредбите на чл. 24 и чл. 32 от GDPR и чл. 59, ал. 1 от ЗЗЛД, нарушила е разпоредбите на чл. 45, ал.1 т. 6 от ЗЗЛД, като не е обработила личните данни по начин, по който да гарантира подходящо ниво на сигурност, като се приложат подходящи технологии и организационни мерки, чл. 64 от ЗЗЛД. Счита, че не е изпълнено задължението за извършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита, чл. 66, ал. 1 и ал. 2 ЗЗЛД, чл. 67 и 68 от ЗЗЛД в периода от влизане на сила на Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета (GDPR/ОРЗД) до 15.07.2019 г., когато е настъпило публичното оповестяване на данните. Настоява, че НАП чрез своите действия и бездействия е допуснала неазконосъобразни действия от трети недобросъвестни лица.

Според ищцата всички тези нарушения са в пряка причинна връзка с претърпените от него неимуществени вреди, което е основание за обезщетяването им от ответника съгласно чл. 82, ал. 1 от GDPR, във връзка с чл. 1, ал. 1 от ЗОДОВ.

Ответникът – НАП - София, чрез процесуалния си представител, оспорва допустимостта на иска с твърдения, основани на разпоредбата на чл. 39, ал. 2 от ЗЗЛД. В условията на евентуалност оспорва основателността на иска по съображения, че е изпълнил в най-добра степен задължението си да защити по сигурен начин личните данни, като е предприел необходимите технически и организационни мерки за това. Сочи, че неправомерното разкриване на лични данни е резултат от престъпно деяние по смисъла на НК, а не неправомерно бездействие на негови органи или служители, поради което не следва да носи отговорност за вреди. Възразява срещу твърденията в исковата молба за неполагане на достатъчно грижа и неприлагане на ефективни мерки за защита на сигурността на личните данни. Претендира юрисконсултско възнаграждение.

Представителят на ОП - Добрич изразява становище за неоснователност и недоказаност на исковата претенция, като изтъква, че във връзка с теча на данни е образувано досъдебно производство, касае се за престъпление и ответникът не може да носи отговорност за това.

А. съд - Добрич, III състав, като взе предвид доводите на страните и прецени доказателствата по делото, приема за установено от фактическа и правна страна следното:

По делото е безспорно, че вследствие нерегламентиран достъп до информационните масиви на НАП, осъществен на 15.07.2019 г., неправомерно са разкрити и разпространени лични данни на множество физически лица, български и чужди граждани (над 6 000 000 субекти на данни). От приложената към исковата молба и неоспорена от ответника справка чрез ПИК (л. 6 – 7 от АД № 32/ 2020 г.) се установява, че разкритите данни за ищцата включват ЕГН и имена.

Видно от доказателствата по делото, описани в придружително писмо с вх. № 1610/ 10.07.2020 г., със Заповед № ЗЦУ-586/ 30.04.2014 г. на Изпълнителния директор на НАП (л. 71 от АД № 32/ 2020 г.) е наредено да се внедри СУСИ по стандарт БДС ISO/IEC 27001: 2006 в НАП.

Със Заповед № ЗЦУ-1436/ 15.10.2018 г. на Изпълнителния директор на НАП са утвърдени „Указания за разработване, попълване и/или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП“, "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др.

Със Заповед № ЗЦУ-733/ 17.06.2016 г. на Изпълнителния директор на НАП са утвърдени процедура и Вътрешни правила за мрежовата и информационната сигурност.

Със Заповед № ЗЦУ-1236/ 21.08.2019 г. на Изпълнителния директор на НАП е утвърдена процедура ИС17 "Администриране на информационна система в НАП", версия В.

Със Заповед № ЗЦУ-482/ 01.04.2019 г. на Изпълнителния директор на НАП са определени служители от НАП с администраторски достъп до информационните активи и услуги на НАП, като със Заповед № ЗЦУ-83/ 23.01.2013 г. на Изпълнителния директор на НАП са определени видът, съдържанието, реда за създаване, поддържане и достъп до регистъра на НАП и базите данни за задължените лица, формата и елементите на данъчно–осигурителната сметка и сроковете за съхранение на архивираната информация. "Указания за унищожаване на информация и информационни системи в НАП" са утвърдени със Заповед № ЗЦУ-1596/ 29.11.2017 г. на Изпълнителния директор на НАП, а със Заповед № ЗЦУ-535/ 11.05.2016 г. на Изпълнителния директор на НАП са утвърдени Вътрешни правила за оборот на електронни документи и документи на хартиен носител в НАП.

В Агенцията по приходите е изработена и Методика за анонимизиране на индивидуални данни, версия 1, към м. януари 2017 г., утвърдена е политика по информационна сигурност на НАП и Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1 към чл. 24, ал. 2 от Инструкцията служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения.

С писмо вх. № 660/ 04.03.2020 г. (л. 61 от АД № 32/ 2020 г.), Комисията за защита на личните данни (КЗЛД) уведомява съда, че след направена служебна справка е установила, че С. Н. К. няма образувано и висящо пред КЗЛД срещу НАП. Посочено е, че спрямо НАП е издадено Наказателно постановление № 004 от 28.08.2019 г., издадено от П. на КЗЛД, което е обжалвано пред СРС. С писмо вх. № 1215 от 28.03.2024 г. е уведомен съдът от КЗЛД, че с Решение № 1247 по адм. дело № 12334/ 2023 г. на А. е отменено решение на СРС от 26.10.2023 г. (л. 46), с което е потвърдено НП, като е приложено самото Решение на А., от което се установява, че НП е отменено и е прекратено административнонаказателното производство поради изтекла давност.

Настоящото производство е спряно до произнасяне на СЕС по преюдициално запитване по идентичен спор. На 14.12.2023 г. по дело С-340/ 21 г. на СЕС е постановено Решение на Съда (трети състав) от 14 декември 2023 г. (преюдициално запитване от Върховен административен съд — България) — VB/Национална агенция за приходите) (л. 14 – 20), с което СЕС приема, че чл. 24 и 32 от Регламента трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на чл. 4, т. 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32; чл. 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове; принципът на отчетност на администратора, закрепен в чл. 5, § 2 и конкретизиран в чл. 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по чл. 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по чл. 32 от посочения регламент са подходящи; чл. 32 от Регламент 2016/679 и принципът на ефективност на правото на Съюза трябва да се тълкуват в смисъл, че за да се прецени дали са подходящи мерките за сигурност, приложени от администратора на основание на този член, назначаването на съдебна експертиза не може да представлява доказателствено средство, което системно е необходимо и достатъчно; чл. 82, § 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по чл. 82, § 1 и § 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на чл. 4, т. 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен; чл. 82, § 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва вследствие на нарушение на този регламент от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“ по смисъла на тази разпоредба. С оглед произнасянето на СЕС е възобновено производството по делото.