ВАС пита съда в Люксембург за изтеклите от НАП лични данни

Към настоящия момент са налице влезли в сила следните осъдителни решения по идентични казуси: № 4981/25.09.2020 г. по адм.д.№ 11258/ 2019 г. по описа на АССГ, оставено в сила с решение № 5587/10.05.2021 г. по адм.д.№ 12911/2020 г. по описа на ВАС, решение № 4978/ 25.09.2020 г. по адм.д.№ 11174/2019 г. по описа на АССГ, оставено в сила с решение № 5646/11.05.2021 г. по адм.д.№ 12915/ 2020 г. по описа на ВАС. С решение № 5635/ 11.05.2021 г. по адм.д.№ 12799/2020 г., решение №5719/12.05.2021 г. по адм.д. №12380/ 2020 г. и решение № 5756/13.05.2021 г. по адм.д. №971/ 2021 г. по описа на ВАС, са отменени първоинстанционните решения изцяло или частично, като вместо това са присъдени обезщетения в размери по 200, 300 и 940 лв.

ВАС приема, че НАП е бездействал, не е изпълнил задълженията си по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и не е доказал, че е въвел подходящи технически мерки, които трябва да осигурят подходящо ниво на сигурност. Безспорно установеният факт на изтекла информация от информационната система на НАП вследствие на неправомерен достъп обуславя извод за бездействие от страна на агенцията да осигури надеждност и сигурност на личните данни. Прието е, че действието на лицето, проникнало в информационната система на НАП, не освобождава администратора на лични данни от отговорност за вреди по чл. 82, пар. 3 от Регламент (ЕС) 2016/679, доколкото не е ангажирал доказателства, че е взел изискуемите се по регламента подходящи технически мерки, които да гарантират сигурността на съдържащите се в информационната му система лични данни. Изпитаните от субекта на лични данни негативни емоции, притеснения, страх, несигурност са в причинна връзка с поведението на администратора на лични данни и представляват реално претърпени неимуществени вреди, свързани с реален страх от реална заплаха за увреждане.