Неделна разходка 28: Ето едно от решенията на съда по делата за неимуществени вреди от теча на лични данни от НАП

„Обстоятелството, че е изтекла информация от сървърите на НАП, вследствие неоторизиран достъп безспорно, според настоящият състав на съда сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по см. на § 1 т.4 от ДР на ЗЗЛД във връзка с чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т.ч. правото на защита на личните им данни“, пише в едно от съдебните решения.

„Обстоятелството, че е извършена хакерска атака, пробита е информационната система на НАП е неоспоримо доказателство, че не са предприети подходящи технически и организационни мерки за защита обработване личните данни на ищеца, което е достатъчно да бъде направен извод за противоправност бездействието на НАП. НАП в качеството си на администратор на лични данни по см. на чл.4 т.7 от Регламент ЕС 2016/679 при осъществяване дейността си е следвало ефективно да предприеме мерки за предотвратяване злоумишлен достъп по личните данни на ищеца. В процесният случай това не е постигнато. Ответникът не е изпълнил задължението си по предотвратяване престъпление и опазване изтичането на лични данни, като от противоправното му бездействие следва твърдения от ищеца увреждащ резултат.“ Това е друг цитат от едно от съдебните решения. Имаше ли смисъл от десетките дела за неимуществени вреди? Уважаваният  български съд смята, че справедливия размер на дължимото обезщетение за неимуществени вреди възлиза на 200 лв. по смисъла на чл. 52 от ЗЗД, вр. чл. 4 от ЗОДОВ за причиненото състояние на безпокойство и притеснение.

За унищожената хартия предупредих още преди година

Публикувам едно от съдебните решения, за да се види, че явно от десетките дела е имало смисъл само за адвоката.

Р Е Ш Е Н И Е
№ 2817
гр. София, 09.06.2020 г.
В ИМЕТО НА НАРОДА

АДМИНИСТРАТИВЕН СЪД – СОФИЯ-ГРАД, Второ отделение 68 състав, в публично заседание на 27.05.2020 г. в следния състав: СЪДИЯ: ВР
при участието на секретаря Е М С при участието на прокурора П С, като разгледа дело номер 11330 по описа за 2019 година докладвано от съдията, и за да се произнесе взе предвид следното:
Производството е по чл. 203 от АПК във връзка с чл. 1 и чл.4 от Закона за отговорността на държавата и общините за вреди /ЗОДОВ/.
Образувано е по искова молба, уточнена с молби от 1.11.2019г и от 11.11.2019г. подадена от Д. М. К. срещу НАП за обезвреда /обезщетение/ на неимуществени вреди, представляващи страдания, стрес, притеснения, отрицателни психически изживявания и чувства, причинени от бездействието на ответника изразяващо се в неизпълнение на произтичащи от чл.59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения, в размер на 1 000 лв., ведно със законната лихва считано от 15.07.2019г до окончателното й изплащане. Претендира разноски.
Ответникът НАП, чрез процесуалния си представител в с.з. и в писмен отговор прави възражения за недопустимост на исковата претенция, при условията на евентуалност поддържа неоснователност и недоказаност. Твърди, че е изпълнила в най-добра степен задължението си да защити по сигурен начин личните данни. Сочи, че разкритите данни са резултат от престъпно деяние по см. на НК, а не неправомерно бездействие. НАП като обект на злоумишлено посегателство не била отговорна за събитието , поради което не може да й бъде вменено отговорност за вреди, още повече, че била предприела необходимите технически и организационни мерки за защита на личните данни. Претендира юриск. възнаграждение.
Представителят на Софийска градска прокуратура, изразява становище за неоснователност и недоказаност на исковата претенция.
Административен съд София град, като взе предвид доводите на страните и прецени доказателствата по делото, приема за установено от фактическа и правна страна следното:
По характера на производството:
ВАС е константен в практиката си по повод многобройните дела по идентични казуси, че в случая процесуалният ред, по който засегнатият субект може да търси обезщетение и отговорност за причинените вреди поради неправомерно обработване на личните му данни е уреден в глава единадесета “Производство за обезщетения” на Административнопроцесуалния кодекс. В зависимост от правната характеристика на източника, от който се претендират вреди – административен акт, действие или бездействие, в чл. 204, ал. 1 – 4 АПК законодателят е предвидил различни процесуални възможности за реализиране на правото на обезщетение: след отмяна на административния акт по съответния ред – чл. 204, ал. 1 АПК; при предявяване на претенцията за обезщетение в производството по оспорване на административния акт – чл. 204, ал. 2 АПК; при установяване на незаконосъобразността на акт, който е нищожен или оттеглен в производството по иска за обезщетение – чл. 204, ал. 3 АПК и при установяване на незаконосъобразността на действието или бездействието от съда, пред който е предявен искът за обезщетението – чл. 203, ал. 4 АПК. В хипотезата на претендиране на вреди от бездействие на администратора на лични данни, към която следва да се подведе настоящият казус, незаконосъобразността на бездействието се установява от съда, пред който е предявен искът за обезщетение – чл. 204, ал. 4 АПК. В тази връзка и неоснователни са доводите на ответника, че претенцията за обезвреда не може да бъде предявена, тъй като не е налице влязъл в сила акт на компетентен орган с който да е доказана техническа уязвимост на информационната система на НАП. Съгласно чл. 203, ал. 2 АПК, за неуредените въпроси за имуществената отговорност по ал. 1 се прилагат разпоредбите на Закона за отговорността на държавата и общините за вреди. В допълнение в сила е чл. 203, ал. 3 (нова) АПК, ДВ, бр. 94 от 29.11.2019 г., съгласно която по реда на глава единадесета се разглеждат и исковете за обезщетения за вреди, причинени от достатъчно съществено нарушение на правото на Европейския съюз, като за имуществената отговорност и за допустимостта на иска се прилагат стандартите на извъндоговорната отговорност на държавата за нарушение на правото на Европейския съюз, а съгласно чл. 2в ЗОДОВ, ДВ, бр. 94 от 2019 г., когато вредите са причинени от достатъчно съществено нарушение на правото на Европейския съюз, исковете се разглеждат от съдилищата по реда на Административнопроцесуалния кодекс за вреди по чл. 1, ал. 1 ЗОДОВ, като приложение намират и правилата на Закона за отговорността на държавата. / В този смисъл Определение № 5702 от 18.05.2020 г. на ВАС по адм. д. № 3950/2020 г., V отд, Определение № 5327 от 5.05.2020 г. на ВАС по адм. д. № 2805/2020 г., V о., Определение № 5325 от 5.05.2020 г. на ВАС по адм. д. № 2178/2020 г., V о., Определение № 5323 от 5.05.2020 г. на ВАС по адм. д. № 1719/2020 г., V о. Определение № 5321 от 5.05.2020 г. на ВАС по адм. д. № 1631/2020 г., V о., Определение № 5318 от 5.05.2020 г. на ВАС по адм. д. № 1290/2020 г., V о.,Определение № 5277 от 4.05.2020 г. на ВАС по адм. д. № 3498/2020 г., V о., Определение № 5210 от 30.04.2020 г. на ВАС по адм. д. № 3499/2020 г., V о., Определение № 5209 от 30.04.2020 г. на ВАС по адм. д. № 3480/2020 г., V о., Определение № 5208 от 30.04.2020 г. на ВАС по адм. д. № 3479/2020 г., V о., Определение № 5193 от 30.04.2020 г. на ВАС по адм. д. № 3517/2020 г., V о., Определение № 5165 от 29.04.2020 г. на ВАС по адм. д. № 3496/2020 г., V о., Определение № 5163 от 29.04.2020 г. на ВАС по адм. д. № 2648/2020 г., V о., Определение № 5160 от 29.04.2020 г. на ВАС по адм. д. № 3113/2020 г., V о., и много други/
По основателност: В случая ищецът претендира да му се изплати обезщетение за причинени му неимуществени вреди, в резултат незаконосъобразно бездействие на ответника НАП да изпълни произтичащи от чл.59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ задължения. С оглед изложените по-горе съображения и по арг.от чл. 204, ал. 4 от АПК предпоставка за ангажиране на отговорността на ответника е незаконосъобразност на бездействието, която следва да бъде установена от съда, пред който е предявен иска за обезщетение. Легално определение на термина „бездействие“ липсва. Под „действие“, респ. „бездействие“, следва да се разбира всяко такова, извършено от държавен орган или длъжностно лице, което не е юридически акт, а тяхна физическа изява, но не произволна, а в изпълнение или съответно неизпълнение на определена нормативна разпоредба. Основателността на исковата претенция с правно основание чл. 1, ал. 1 от ЗОДОВ, съответно ангажирането на отговорността на държавата, предполага установяването на кумулативното наличие на следните предпоставки: 1) незаконосъобразно бездействие на ответника 2) претърпяна вреда – неимуществена 3) вредата да е настъпила в резултат на незаконосъобразното бездействие; 4) причинна връзка – пряка и непосредствена такава между незаконосъобразното бездействие с вредоносния резултат. По отношение наличието на незаконосъобразно бездействие в процесният случай следва да се има предвид, че предмет на защита в производството по чл. 256 от АПК е бездействието на административния орган когато последният е задължен да извърши определени действия по силата на нормативен акт. Не всяко неизпълнение на задължение на административен орган представлява бездействие по смисъла на чл. 256, от АПК, а само неизвършването на фактически действия, при наличието на нормативно установено задължение за извършване на такива. Съставомерно в този случай е липсата на активно поведение /бездействие/ на компетентен орган да извърши конкретни фактически действия.
От установената по делото фактическа обстановка, в т.ч. и от ангажираните гласни доказателства /показанията на свидетеля Г. Н./ които съдът кредитира като базиращи се на лични възприятия и непосредствени впечатления от осъществени в обективната действителност факти, и с оглед разпоредбата на чл.172 от ГПК във връзка с чл.144 АПК, то релевантна за спора е изтеклата на 15.07.2019г вследствие нерегламентиран достъп от електронните масиви на НАП, информация съдържаща лични данни на ищеца. В резултат неоторизирания достъп до сървъра на НАП, съдържащ информация относно личните данни на ищеца, се създали притеснения и опасения у последния, да не бъде злоупотребено с тях. По факта, че на посочената дата, поради нерегламентиран достъп е изтекла информация от информационните масиви на НАП, съдържаща лични данни на ищеца не се спори. Според чл.59 ал.1 от ЗЗЛД администраторът на лични данни /НАП/, като отчита естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този закон. При необходимост тези мерки се преразглеждат и актуализират. Същото задължение се съдържа и в чл.24 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/, а в чл.32 са предвидени конкретните мерки които следва да се предприемат. Обстоятелството, че е изтекла информация от сървърите на НАП, вследствие неоторизиран достъп безспорно, според настоящият състав на съда сочи на противоправно бездействие на ответника да изпълни произтичащи от посочените разпоредби задължения да осигури достатъчна надеждност и сигурност на информационната си система, да защити физическите лица във връзка с обработването на личните им данни по см. на § 1 т.4 от ДР на ЗЗЛД във връзка с чл. 4, т. 2 от Регламент (ЕС) 2016/679, в т.ч. правото на защита на личните им данни.
Именно техническата уязвимост на информационната система е довела до нерегламентирано разкриване и разпространение личните данни на ищеца, а тя е вследствие от неприлагането на подходящи мерки за защита. Ако системата беше ефективно и надеждно защитена, не би се стигнало до пробива й, довел до разкриване личните данни на ищеца. Немислимо е в процесният случай изпълнение на конкретната задача по прилагане подходящи технически и организационни мерки без изпълнение задачата по предотвратяване на престъплението, защото връзката между двете задачи е пряка и логична – бъде ли изпълнено по изискуемия се ефективен начин задължението по предотвратяване изтичането на лични данни, то не би следвало да е възможно злоумишлено деяние, престъпно посегателство по смисъла на Наказателния кодекс и обратно – щом като е налице деяние по см. на НК, това означава, че задачата по предотвратяване на престъплението и предотвратяване неправомерно достъпена база данни не е била изпълнена. В тази връзка доводите на ответника, че престъпното деяние не е обусловено , респ. само по себе си не поставя под съмнение мерките за сигурност са неоснователни. Именно НАП е следвало да извърши анализ на тези обективни факти, да съобрази поведението си с тях, за да гарантира запазване и предотвратяване изтичането на личните данни на ищеца. Обстоятелството, че е извършена хакерска атака, пробита е информационната система на НАП е неоспоримо доказателство, че не са предприети подходящи технически и организационни мерки за защита обработване личните данни на ищеца, което е достатъчно да бъде направен извод за противоправност бездействието на НАП. НАП в качеството си на администратор на лични данни по см. на чл.4 т.7 от Регламент ЕС 2016/679 при осъществяване дейността си е следвало ефективно да предприеме мерки за предотвратяване злоумишлен достъп по личните данни на ищеца. В процесният случай това не е постигнато. Ответникът не е изпълнил задължението си по предотвратяване престъпление и опазване изтичането на лични данни, като от противоправното му бездействие следва твърдения от ищеца увреждащ резултат. Бездействието на НАП е незаконосъобразно, противоречи /не съответства на нормативни изисквания на чл.59, ал.1 от ЗЗЛД, чл.24 и чл.32 от Общия регламент относно защита на личните данни /ЕС/ 2016/ 679 на Европейския парламент и на Съвета от 27.04.2016 /GDPR/ . Ирелевантни са доводите на ответника, че след 15.07.2019г , когато е осъществен нерегламентирания достъп, НАП е предприела мерки за защита личните данни.
С оглед горното може да се направи извод, че е налице първата предпоставка за ангажиране отговорността по ЗОДОВ, а именно незаконосъобразно бездействие.
На следващо място, от показанията на св. Г. Н., които съдът цени в тяхната взаимовръзка и обусловеност с ангажирания по делото доказателствен материал и с оглед разпоредбата на чл.172 ГПК във връзка с чл.144 АПК, доколкото показанията му се основават на лични възприятия, непосредствени впечатления, базират се на системни и трайни наблюдения за осъществени в правната действителност факти от процесния период /свидетелят като дъщеря на ищеца контактува редовно с него/ и от друга страна като на възможната им заинтересованост се противопоставя наказателната отговорност при лъжесвидетелстване, с която е запознат се установява, че в резултат незаконосъобразното бездействие на ответника НАП, Д. М. К. е изживяла стрес, безпокойство, тревожност, причинен й е психически дискомфорт и негативни емоции. Свидетелят е категоричен, че този случай и се е отразил негативно на психоемоционалното състояние. Периода от време на преживяване на всички тези негативни емоции са безспорно в логическа причинно- следствена връзка със случая от 15.07.2019г, дават основание да се приеме, че за ищеца са настъпили морални вреди, негативни емоционални проблеми.
От значение, доколкото твърдените вреди са неимуществени и са свързани със субективното възприятие на ищеца, е дали у същия се е породило твърдяното състояние на сериозно безпокойство и тревожност. От ангажираните гласни доказателства безспорно се установи, че ищецът е изживял притеснения и стрес и свързаните с това негативни изживявания. Ето защо, съдът намира за установен факта на тези вреди и пряката причинно-следствена връзка между настъпването им и незаконосъобразното бездействие. Обезщетенията за неимуществени вреди се присъждат за конкретно претърпени физически и психически болки, страдания и неудобства, които са пряка и непосредствена последица в случая от незаконосъобразното бездействие на ответника. На обезщетяване подлежат и вътрешните, душевни състояния тогава, когато справедливостта налага същите да бъдат възмездени, какъвто е настоящия случай. В правната теория е прието, че обезщетението за неимуществени вреди е с компенсаторна функция, доколкото е възможно да бъдат компенсирани вредите в техния паричен еквивалент. Тъй като няма утвърдена формула за тяхното пресмятане, размерът на обезщетението за неимуществени вреди се определя от съда по справедливост при съобразяване на всички конкретни обективно съществуващи обстоятелства и практиката на съдилищата. Вътрешните душевни страдания и чувството за тревожност и несигурност следва да бъдат овъзмездени. Съгласно чл.52 ЗЗД, обезщетение за неимуществени вреди се определя от съда по справедливост. Понятието “справедливост” не е абстрактно понятие, а е свързано с преценка на редица конкретни, обективно съществуващи обстоятелства, имащи значение за правилното определяне на размера на обезщетението. Законът е категоричен, че размерът на обезщетението за неимуществени вреди се формира по справедливост по реда на чл.52 от ЗЗД единствено от степента и характера на преживените болки и страдания от ищеца. Макар посочените вреди да нямат паричен еквивалент, съдът приема, че претендираната от ищеца сума от 1 000 лв. е прекомерно завишена. Справедливият размер на обезвредата следва да почива на обективни критерии и да бъде адекватен от претърпените вреди. Обезщетението трябва е съразмерно с вредите и да отговаря както на конкретните данни по делото, така и на обществените представи за справедливост. В съдебното производство по присъждане на обезщетение посочените неимуществени вреди следва да намерят материален израз, който законът в нормата на чл.52 ЗЗД определя „по справедливост”, макар неимуществените вреди да нямат стойностно изражение и да не подлежат на аритметично изчисляване. Изхождайки от характера на претърпените вреди, трайността на търпенето им, доказаните душевни страдания и общото му психическо състояние, като следствие от търпени морални вреди, съдът намира, че справедливия размер на дължимото обезщетение за неимуществени вреди възлиза на 200 лв. по смисъла на чл. 52 от ЗЗД, вр. чл. 4 от ЗОДОВ за причиненото състояние на безпокойство и притеснение. Предвид уважаване на основния иск, следва да бъде уважен и акцесорния такъв, във връзка със законната лихва върху присъдената сума считано от 15.07.2019г /датата на увреждането / до окончателното изплащане на сумата. Исковата претенция до пълния предявен размер следва да се отхвърли.
При тази установеност на фактите, съдът прави извод за осъществен фактическия състав на отговорността по чл. 203 АПК, във връзка с чл. 1 ЗОДОВ, като приема, че е налице незаконосъобразно бездействие, реално увреждане на ищеца и пряка причинна връзка между увреждането и бездействието; поради което и при условията на чл. 52 ЗЗД, съдът следва да овъзмезди по справедливост неимуществените вреди на ищеца.
Относно разноските: Съгласно чл. 10, ал. 3 (Нова – ДВ, бр. 43 от 2008 г., доп., бр. 94 от 2019 г. ) от ЗОДОВ, ако искът бъде уважен изцяло или частично, съдът осъжда ответника да заплати разноските по производството, както и да заплати на ищеца внесената държавна такса. Съдът осъжда ответника да заплати на ищеца и възнаграждение за един адвокат или юрисконсулт, ако е имал такъв, съразмерно с уважената част от иска.
В случая разноските възлизат на 10 лв. представляващи д.т. които с оглед посочената разпоредба се дължат на ищеца в пълен размер дори и при частично уважаване на исковата претенция.
Ищецът не сочи разноски за адвокатско възнаграждение в настоящото производство, т. к. в договора за правна защита и съдействие по настоящото дело /л. 17 / е посочено “безплатна правна помощ”, като ищецът се позовава на чл. 38, ал. 2, във вр. с ал. 1, т. 3 от ЗА. Съгласно чл. 38, ал. 2 от ЗА – В случаите по ал. 1, ако в съответното производство насрещната страна е осъдена за разноски, адвокатът или адвокатът от Европейския съюз има право на адвокатско възнаграждение. Съдът определя възнаграждението в размер не по-нисък от предвидения в наредбата по чл. 36, ал. 2 и осъжда другата страна да го заплати. При така предявения общ размер на материалния интерес от 1 000 лв. минималният размер на адвокатското възнаграждение, определен съгласно чл. 8 във връзка с чл.7 ал.2 т.1 от Наредба № 1/09.07.2004 г. за минималните размери на адвокатските възнаграждения /в сила от 15.05.2020 г./ е в размер на 100 лв. Към посочената норма препраща изрично разпоредбата на чл. 38, ал. 2 от Закона за адвокатурата. При това положение и като съобрази характера на настоящото исково производство с материален интерес до 1000 лв., изхода на делото /частично уважена искова претенция/ и разпоредбите на чл. 38, ал. 2, във вр. с чл. 38, ал. 1, т. 3 от ЗА, чл. 1 от Наредбата № 1/09.07.2004 г. по арг. от който размерът на възнаграждението не може да бъде по-малък от определения в тази наредба минимален размер за съответния вид помощ, съдът намира, че следва ответникът да заплати сумата от 100 лв. адвокатско възнаграждение.
Ето защо, на ищеца, на основание чл. 10, ал. 3 от ЗОДОВ следва да бъдат присъдени разходи в размер на 10 лв. д.т., а на адв. Ю. 100 лв. адвокатско възнаграждение.
По направеното искане на процесуалния представител на ответника за присъждане на юрисконсултско възнаграждение съдът намира следното:
Според чл.10 ал.4 от ЗОДОВ (Нова – ДВ, бр. 94 от 2019 г.) съдът осъжда ищеца да заплати на ответника възнаграждение за един адвокат, ако е имал такъв, съразмерно с отхвърлената част от иска, а в полза на юридическите лица се присъжда възнаграждение, ако те са били защитавани от юрисконсулт, чийто размер не може да надхвърля максималния размер за съответния вид дело, определен по реда на чл. 37 от Закона за правната помощ. С оглед изхода на спора и направеното от процесуалния представител на ответната страна искане за присъждане на разноски, на същата се дължат разноски за юрисконсултско възнаграждение в минимален размер от 100 лв., определен съгласно чл. 37, ал.1 от Закона за правната помощ и чл. 25 ал.1 от Наредбата за заплащането на правната помощ.
Водим от горното и на основание чл. 203 и сл. от АПК, чл. 1, ал. 1 от ЗОДОВ, съдът
РЕШИ:
ОСЪЖДА Национална агенция по приходите /НАП/ да заплати на Д. М. К. на основание чл.1 от ЗОДОВ обезщетение за причинените й неимуществени вреди в размер на 200 (двеста) лева, ведно със законната лихва считано от 15.07.2019г до окончателното изплащане на сумата, като ОТХВЪРЛЯ иска до пълния предявен размер от 1 000 лв.
ОСЪЖДА Национална агенция по приходите /НАП/ да заплати на Д. М. К. на осн. чл.10, ал.3 от ЗОДОВ сумата от 10 лв. разноски.
ОСЪЖДА Национална агенция по приходите /НАП/ да заплати на адвокат С. Ц. С.-Ю. сумата от 100 лв. адвокатско възнаграждение на осн.
чл.38, ал.2 от ЗА.
ОСЪЖДА Д. М. К. да заплати на Национална агенция по приходите /НАП / юрисконсултско възнаграждение в размер на 100 лв.
Решението подлежи на касационно обжалване в 14-дневен срок от деня на съобщаването му чрез настоящия съд пред Върховен административен съд.
СЪДИЯ:

Можете да споделите: