В началото на януари 2021 година адвoкaт Ясен Крайчев ocъди Нaциoнaлнaтa aгeнция зa прихoдитe (НАП) на първа инстанция зaрaди „теча“ нa лични дaнни от системата на НАЩ прeз 2019 гoдинa. Иcкът на адвоката e зa обезщетение от символичната cумa 1 лeв. Рeшeниeтo нa Aдминиcтрaтивния cъд в Пловдив нe e oкoнчaтeлнo и прeдcтoи делото дa ce рaзглeдa oт Върхoвния aдминиcтрaтивeн cъд.
От ФАКТИ се свързахме с адвокат Ясен Крайчев, за да говорим за това дело и мотивите му да съди НАП и защо именно за обезщетение от 1 лев.
„Това е исково производство, което е за обезщетение. То се развива по реда на Закона за отговорността на държавата и общините за вреди. Предвидено е и в Закона за личните данни. Делото е пред Административен съд – исково производство за обезщетение за неимуществени вреди, което е отделно от жалбите, които се подават до Комисия за защита на личните данни. По тези жалби се развиват проверки и административно-наказателни производства. Там обезщетения не се присъждат“, обясни адвокатът.
„Подадох жалба до Комисията за защита на личните данни, както и много други хора. Бях получил някакъв отговор, че ще има заседание и т.н. В крайна сметка може би КЗЛД обединиха всички жалби и се стигна до наказателното постановление, с което КЗЛД глоби НАП“, каза още той.
Хронологията на делото, адвокатът поясни : „Делото беше заведено август 2019 година, но се забави поради няколко причини. Първо, имахме спор със съда по допустимостта на иска. И в тази насока имаше разнобой в практиката тогава. В крайна сметка съдилищата вече приемат, че исковете са допустими, тоест, че не трябва първо задължително да се минава през производство на Комисията за защита на личните данни, пък после да се подава иск до съда. Това забави с няколко месеца делото. След това беше назначена служебна експертиза от Административния съд в Пловдив. Там няколко месеца се загубиха в търсене на експерт, който е съгласен да я изготви. Доста технически университети в страната и вещи лица от списъка на съда отказаха по някаква причина да работят по това дело. След това дойде коронавирусът. Съдилищата не работеха два-три месеца. Това доведе, че решението излезе на 4 януари 2021 година. Сега за мен тече срок за отговор на касационната жалба на НАП и ще чакаме насрочване на делото във Върховния административен съд“.
На въпроса защо обезщетението, което иска адвокат Крайчев е точно 1 лев, той отговори: „Реших да бъде символично. Целта не е да се вадят някакви пари, просто като морален акт, като израз на гражданска позиция. Аз знаех, че ще стане както винаги става в България – всяко чудо за три дни и после вече никой не помни за това нещо, а тогава цялата държава гърмеше и то абсолютно основателно“.
Личните данни на адвокат Крайчев, които „изтичат“ от НАП през 2019 година са както имена, така и данни от данъчни декларации. „НАП създадоха с доста голямо закъснение според мен, но все пак създадоха първо система с SMS нотификации, където всеки с ЕГН-то си можеше да провери дали има достъпени неправомерно негови данни. SMS-ът даваше един код и казваше, че „да, има“ или съответно „не, няма“ изтичане на данни. Оттам нататък вече – след още около месец, създадоха електронен портал, в който се въвеждаха отново тези данни и вече излизаше точна информация кои са изтеклите данни“, каза той.
Как решението по това дело създава съдебна практика при бъдещи подобни случаи, адвокатът коментира: „В един момент може да се получи така, че различните административни съдилища в страната имат различна практика по тези въпроси. По отношение на това например дали един ищец като мен първо, е претърпял вреди, защото това е предмет на доказване и второ, дали всъщност НАП носи отговорност поради факта, че те твърдят, че е имало хакерска атака срещу тях. Затова според мен решението по моето дело е ценно, защото имаше назначена служебна експертиза по него, която показа и съдът, слава Богу, възприе това, че НАП всъщност не са положили достатъчно усилия и не са изградили достатъчно адекватно ниво на информационна сигурност. Всяка една система теоретично може да бъде пробита от хакерска атака, но въпросът е администраторът на лични данни, който има задължения да поддържа тази система, да е положил необходимите достатъчни усилия в съответствие с европейските стандарти и добри практики на информационна сигурност за защитата на личните данни. Иначе всеки един теч може да се обяснява с това, че „има хакерска атака и ние не носим никаква отговорност“.
Регламентът GDPR въвежда задължение да се предприемат адекватни технически и организационни мерки. В моето дело точно това показаха експертизата и всички доказателства, които бяха събрани – че практически такива мерки не са предприети. Това беше и моята теза, това беше и мнението на експерта, това беше и мнението на Административен съд – Пловдив, което е закрепено към мотивите. Сега вече ще видим какво ще става във Върховния административен съд“.
„Единствено НАП е в състояние да поправи тези грешки и тези слабости, като това трябва да стане може би със закупуване на софтуер, с внедряването му, с наемане на компетентни лица, които да следят. НАП първо, е огромна структура, която предоставя много услуги. Второ, това е приходната агенция на държавата. На трето място, тя вече покрай Covid мерките се занимава и с преразпределяне на финансови стимули и т.н. Това е звеното в държавата, което трябва да бъде със супер висока защита на информационната сигурност и на личните данни“, коментира адвокат Ясен Крайчев в края на разговора ни.