Да осъдите НАП за #лийкс?

Мислихте ли през 2019г, след най-мащабния теч на лични данни, да подадете иск и да осъдите НАП за #лийкс? Всъщност доста хора решиха, че ще потърсят обещетение от държавата за причинените им стрес и  други неимуществени вреди. Няма пречка да се потърсят и имуществени такива, но вероятно малцина са ги претърпели. Затова настоящото изложение е съсредоточено върху претендирането на неимуществени вреди.

Първоначално заведените дела бяха спирани до произнасяне на Съда на ЕС по преюдициално запитване на Върховния Административен съд. Решението по дело  С-340/21 излезе в края на миналата година. Това даде възможност на спрените дела да тръгнат по същество и вече са постановени някои решения. С тях НАП е осъдена за причинените от  хакерската атака, станала известна като #НАПлийкс,  неимуществени вреди.

Какво е основанието за предявяване на претенции?

Реализирането на правото на обезщетение и отговорност за причинени вреди е на правно основание чл. 82, § 1 от Общия регламент за защита на данните /ОРЗД/ – по-известне като GDPR, чл. 39 от ЗЗЛД /Закон за защита на личните данни/, както и ЗОДОВ /Закон за отговорността на държавата и общините за вреди/.

На 15.07.2019 г., поради нерегламентиран достъп, изтече информация относно личните данни от масивите на Национална агенция за приходите. Това са данните на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани. 1 989 598 са данни на починали физически лица. За да имате основание за дело, следва да докажете, че и Вашите данни са изтекли. Обичайно това се доказва с разпечатка на смс, получен от НАП, от която се установява, че има неправомерно разкрити лични данни. Можете и в лична декларация да заявите, че след направена проверка, сте установили, че личните Ви данни фигурират сред изтеклите от НАП.

Какво трябва да се докаже в процеса?

На това основание можете да претендирате обезщетение за претърпени неимуществени вреди, настъпили в резултат на неизпълнение в достатъчна степен от НАП на задължението по чл. 24 и чл. 32 от Общия регламент относно защитата на личните данни (ЕС) 2016/679 на Европейския парламент и на Съвета (GDPR). В случай че има претърпани и имуществени вреди, трябва да можете да ги докажете. Например, извадили сте си нова лична карта, за да предотвратите злоупотреби. За уважаването на подобен иск за обезщетение трябва да докажете и да се установят и трите елемента от фактическия състав на непозволеното уреждане, обуславящи причинени вреди по чл. 82 ОРЗД.

Тези елементи са:

– нарушение на Регламент (ЕС) 2016/679, извършено от администратора на данни,

– претърпяна от лицето имуществена или неимуществена вреда и

– причинна връзка между вредата и нарушението.

В тежест на НАП е да докаже и да установи, че прилаганите мерки за сигурност са достатъчни и подходящи съгласно чл. 24 и чл. 32 от Регламента.  Изисква се тези мерки да са в съответствие с достиженията на техническия прогрес и да осигуряват ниво на сигурност съобразно рисковете на обработването.

Съгласно решението на Съда на Европейския съюз (СЕС) по дело С-340/21 г., разпоредбите на чл. 24 и чл. 32 ОРЗД трябва да се тълкуват в смисъл, че неоторизираното разкриване на лични данни не е достатъчно за да се приеме, че техническите и организационни мерки, приложени от администратора, не са били подходящи. Същевременно в решението се посочва, че предприетите мерки от администратора на лични данни трябва да бъдат оценявани за всеки конкретен случай. Следва да се преценят рисковете свързани със съответното обработване. Също и дали съдържанието и изпълнението на мерките са подходящи за тези рискове. Администраторът не  следва да бъде освободен от отговорност, само защото вредата е резултат от неразрешено разкриване от трета страна. Той трябва да докаже, че по никакъв начин не е отговорен за събитието, довело до съответните щети.

Достатъчни ли са предприетите от НАП мерки?

В повечето производства НАП се позовава на предприети мерки за защита на личните данни. Например издаването на заповеди, политики и инструкции за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Това обаче  не са достатъчни мерки, за да обосноват извод, че НАП е осъществила всички подходящи политики и мерки за защита на личните данни на всички физически и юридически лица. В случая, въпреки тяхното прилагане, е осъществен нерегламентиран достъп на трети лица до личните данни на голям брой лица. Безспорно се установява допуснат  пробив. Т.е. в случая течът на лични данни не е предотвратен от взетите мерки, поради което и много лесно се разколебава твърдението на НАП, че същите са подходящи. Следователно може да се заключи, че в резултат от бездействието на НАП, е настъпил противоправния резултат за субектките от #НАПлийкс.

Решението на СЕС по дело С-340/21

Най – общо в  решението на СЕС по дело С-340/21 г. е посочено, че самият страх, изпитван от субекта по отношение на възможна злоупотреба с неговите лични данни от трети страни, може да се квалифицира като неимуществена вреда. Т.е. това е напълно достатъчно и не е необходимо каквото и да е активно поведение на пострадалото лице. Не е нужно  доказване например, че притежава някакво имущество или банкови сметки, заради възможността от възлагане на чужди задължения.

Според съда, характера на обществените отношения по обработването на лични данни, динамиката на тези данни в обществото и самия характер на личните данни, са дълбоко свързани с персоналната идентичност на субекта. Дори и вероятността за тяхното разкриване винаги има за резултат чувствително засягане психическото и емоционално състояние на лицето. Все пак, ако искате да защитите по-висок размер на обезщетението за претърпените неимуществени вреди, е добре да имате поне свидетелски показания. С тях ще се докаже, че притеснението Ви е било значително и е причинило повече от обичайното безпокойство.

Как се определя размера на обезщетението за неимуществени вреди?

Обезщетението за неимуществени вреди се определя от съда по справедливост съгласно чл. 52 ЗЗД, То зависи от установените във всеки отделен случай факти и обстоятелства. Поради това, съдът, за да определи размера, е длъжен да обвърже обществения критерий за справедливост с преценка на конкретно проявените и установени по делото обстоятелства.

Такива обстоятелства са например: изтичането на личните данни на 15.07.2019 г. и общата продължителност на периода, в който същите са в интернет пространството. Безспорно с факта на самото изтичане на личните данни на субекта, се засяга неговото обичайно психическо и емоционално състояние. Доста хора се обезпокоиха от риска от злоупотреби с тях, като: теглене на кредити, учредяване на ипотеки, залози и др. Подобно засягане има негативен характер. С неправомерното обработване на личните данни се засягат правата и законните интереси на субекта. Съществува и риск от настъпване на неблагоприятни имуществени последици.

Давност

Общата давност за предявяване на претенции за обещетения за неимуществени вреди е 5 години. Остава още малко време, ако сте решили, че трябва да реагирате и да осъдите НАП за #лийкс за това фрапантно бездействие. В резултат се случи най-мащабният теч на лични данни у нас. Рекордната глоба, която КЗЛД наложи на НАП за теча е в размер на 5 100 000 лева. Тя обаче така и  няма да бъде платена, поради възражение от страна на НАП за изтекла абсолютна давност. Така, макар и доказано виновна за #НАПлийкс, НАП няма да понесе отговорност.

Настоящата статия не представлява правна консултация и има само информативен характер. Ако се нуждаете от правна консултация, се свържете с мен на посочените контактни форми.