Byla C‑340/21
VB
prieš
Natsionalna agentsia za prihodite
(Varhoven administrativen sad prašymas priimti prejudicinį sprendimą)
2023 m. gruodžio 14 d. Teisingumo Teismo (trečioji kolegija) sprendimas
„ Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 5 straipsnis – Duomenų tvarkymo principai – 24 straipsnis – Duomenų valdytojo atsakomybė – 32 straipsnis – Priemonės, įgyvendinamos duomenų tvarkymo saugumui užtikrinti – Tokių priemonių tinkamumo vertinimas – Teisminės kontrolės apimtis – Įrodymų rinkimas – 82 straipsnis – Teisė į kompensaciją ir atsakomybė – Galimas duomenų valdytojo atleidimas nuo atsakomybės, kai pažeidimą padaro tretieji asmenys – Prašymas atlyginti neturtinę žalą, grindžiamas nuogąstavimu dėl potencialaus piktnaudžiavimo asmens duomenimis “
1.        Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Duomenų valdytojo pareigos – Tinkamų techninių ir organizacinių priemonių įgyvendinimas – Trečiųjų asmenų be leidimo atliekamas asmens duomenų atskleidimas arba be leidimo gauta prieiga prie jų – Aplinkybės, kurių nepakanka šių priemonių netinkamumui preziumuoti
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 10 punktas, 24 ir 32 straipsniai)
(žr. 29–39 punktus ir rezoliucinės dalies 1 punktą)
2.        Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Duomenų valdytojo pareigos – Tinkamų techninių ir organizacinių priemonių įgyvendinimas – Teisminė šių priemonių tinkamumo kontrolė – Apimtis
(Europos Parlamento ir Tarybos reglamento 2016/679 32 straipsnis)
(žr. 42–47 punktus ir rezoliucinės dalies 2 punktą)
3.        Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė į kompensaciją ir atsakomybė – Duomenų valdytojo atsakomybės principas – Jo įgyvendintų techninių ir organizacinių priemonių tinkamumas – Duomenų valdytojui tenkanti įrodinėjimo našta
(Europos Parlamento ir Tarybos reglamento 2016/679 5 straipsnio 2 dalis, 24, 32 ir 82 straipsniai)
(žr. 52–57 punktus ir rezoliucinės dalies 3 punktą)
4.        Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Duomenų valdytojo pareigos – Tinkamų techninių ir organizacinių priemonių įgyvendinimas – Šių priemonių tinkamumas – Įrodinėjimo priemonės – Teismo ekspertizė – Įrodomoji galia – Bet kuriuo atveju būtinas ir pakankamas įrodymas – Veiksmingumo principo pažeidimas
(Europos Parlamento ir Tarybos reglamento 2016/679 32 straipsnis)
(žr. 60, 62–64 punktus ir rezoliucinės dalies 4 punktą)
5.        Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė į kompensaciją ir atsakomybė – Duomenų valdytojo atsakomybė atlyginti duomenų subjekto patirtą žalą – Atleidimas – Apimtis – Būtinybė įrodyti, kad jam negali būti priskirta atsakomybė už žalą – Žala, kilusi tretiesiems asmenims be leidimo atskleidus asmens duomenis arba be leidimo gavus prie jų prieigą – Neįtraukimas
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 10 punktas ir 82 straipsnio 1–3 dalys)
(žr. 69–74 punktus ir rezoliucinės dalies 5 punktą)
6.        Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė į kompensaciją ir atsakomybė – Teisė į kompensaciją už patirtą žalą – Neturtinė žala – Sąvoka – Asmens nuogąstavimas dėl potencialaus trečiųjų asmenų piktnaudžiavimo jo asmens duomenimis – Įtraukimas
(Europos Parlamento ir Tarybos reglamento 2016/679 82 straipsnio 1 dalis)
(žr. 79–86 punktus ir rezoliucinės dalies 6 punktą)
Žr. sprendimo tekstą.