Arrest van het Hof (Derde kamer) van 14 december 2023 (verzoek om een prejudiciële beslissing ingediend door de Varhoven administrativen sad - Bulgarije) – VB / Natsionalna agentsia za prihodite
(Zaak C-340/211, Natsionalna agentsia za prihodite)
[Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 5 – Beginselen inzake deze verwerking – Artikel 24 – Verantwoordelijkheid van de verwerkingsverantwoordelijke – Artikel 32 – Maatregelen die worden getroffen om de beveiliging van de verwerking te waarborgen – Beoordeling of dergelijke maatregelen passend zijn – Omvang van de rechterlijke toetsing – Bewijsvoering – Artikel 82 – Recht op schadevergoeding en aansprakelijkheid – Mogelijke vrijstelling van de verwerkingsverantwoordelijke van aansprakelijkheid in geval van inbreuk door derden – Vordering tot vergoeding van immateriële schade op grond van de vrees voor mogelijk misbruik van persoonsgegevens]
Procestaal: Bulgaars
Verwijzende rechter
Varhoven administrativen sad
Partijen in het hoofdgeding
Verzoekende partij: VB
Verwerende partij: Natsionalna agentsia za prihodite
Dictum
De artikelen 24 en 32 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moeten aldus worden uitgelegd dat
het feit dat de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot persoonsgegevens heeft plaatsgevonden door „derden” in de zin van artikel 4, punt 10, van deze verordening, op zich niet volstaat om aan te nemen dat de door de betrokken verwerkingsverantwoordelijke getroffen technische en organisatorische maatregelen niet „passend” waren in de zin van die artikelen 24 en 32.
Artikel 32 van verordening 2016/679
moet aldus worden uitgelegd dat
de vraag of de door de verwerkingsverantwoordelijke op grond van dit artikel getroffen technische en organisatorische maatregelen passend zijn, door de nationale rechterlijke instanties concreet moet worden beoordeeld, door rekening te houden met de aan de betrokken verwerking verbonden risico’s en door te beoordelen of de aard, de inhoud en de uitvoering van die maatregelen afgestemd zijn op die risico’s.
Het beginsel van verantwoordelijkheid van de verwerkingsverantwoordelijke, dat is geformuleerd in artikel 5, lid 2, van verordening 2016/679 en dat nader is uitgewerkt in artikel 24 ervan,
moet aldus worden uitgelegd dat
het in het kader van een vordering tot schadevergoeding op grond van artikel 82 van deze verordening aan de betrokken verwerkingsverantwoordelijke staat om aan te tonen dat de beveiligingsmaatregelen die hij op grond van artikel 32 van die verordening heeft getroffen, passend zijn.
Artikel 32 van verordening 2016/679 en het Unierechtelijke doeltreffendheidsbeginsel
moeten aldus worden uitgelegd dat
een deskundigenrapport geen systematisch noodzakelijk en toereikend bewijsmiddel kan vormen voor de beoordeling of de beveiligingsmaatregelen die de verwerkingsverantwoordelijke op grond van dat artikel heeft getroffen, passend zijn.
Artikel 82, lid 3, van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerkingsverantwoordelijke niet van zijn verplichting uit hoofde van artikel 82, leden 1 en 2, van deze verordening tot vergoeding van de door een persoon geleden schade kan worden vrijgesteld op de enkele grond dat deze schade het gevolg is van het feit dat de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot persoonsgegevens heeft plaatsgevonden door „derden” in de zin van artikel 4, punt 10, van die verordening. Die verantwoordelijke moet daartoe bewijzen dat hij op geen enkele wijze verantwoordelijk is voor het betrokken schadeveroorzakende feit.
Artikel 82, lid 1, van verordening 2016/679
moet aldus worden uitgelegd dat
de vrees die een betrokkene na een inbreuk op deze verordening koestert voor mogelijk misbruik van zijn persoonsgegevens door derden, op zich „immateriële schade” in de zin van deze bepaling kan vormen.
____________
1 PB C 329 van 16.8.2021.