CELEX: 62021CN0340
Language: ro
Date: 2021-06-02 00:00:00
Title: Cauza C-340/21: Cerere de decizie preliminară introdusă de Varhoven administrativen sad (Bulgaria) la 2 iunie 2021 – VB/Natsionalna agentsia za prihodite

16.8.2021   
            
            
               RO
            
            
               Jurnalul Oficial al Uniunii Europene
            
            
               C 329/12
            
         
      Cerere de decizie preliminară introdusă de Varhoven administrativen sad (Bulgaria) la 2 iunie 2021 – VB/Natsionalna agentsia za prihodite
      (Cauza C-340/21)
      (2021/C 329/16)
      Limba de procedură: bulgara
      
         Instanța de trimitere
      
      Varhoven administrativen sad
      
         Părțile din procedura principală
      
      
         Recurentă: VB
      
         Intimată: Natsionalna agentsia za prihodite
      
         Întrebările preliminare
      
      
                  1)
               
               
                  Articolele 24 și 32 din Regulamentul (UE) 2016/679 (1) trebuie interpretate în sensul că este suficient ca divulgarea neautorizată a datelor cu caracter personal, respectiv accesul neautorizat la acestea, în sensul articolului 4 punctul 12 din Regulamentul (UE) 2016/679, să fi fost efectuate de persoane care nu fac parte din personalul administrației operatorului și care nu sunt supuse controlului acestuia pentru a se considera că măsurile tehnice și organizatorice implementate nu sunt adecvate?
               
            
                  2)
               
               
                  În cazul unui răspuns negativ la prima întrebare, care trebuie să fie obiectul și întinderea controlului jurisdicțional al legalității în examinarea aspectului dacă măsurile tehnice și organizatorice implementate de operator sunt adecvate în temeiul articolului 32 din Regulamentul (UE) 2016/679?
               
            
                  3)
               
               
                  În cazul unui răspuns negativ la prima întrebare, principiul responsabilității prevăzut la articolul 5 alineatul (2) și la articolul 24 din Regulamentul (UE) 2016/679 coroborate cu considerentul (74) al acestuia trebuie interpretat în sensul că, în cadrul acțiunii formulate în temeiul articolului 82 alineatul (1) din Regulamentul (UE) 2016/679, operatorului îi revine sarcina de a dovedi că măsurile tehnice și organizatorice implementate sunt adecvate în temeiul articolului 32 din acest regulament? Obținerea unui raport de expertiză poate fi considerată un mijloc de probă necesar și suficient pentru a se stabili dacă măsurile tehnice și organizatorice implementate de operator au fost adecvate într-un caz precum cel din speță, în care accesul neautorizat la datele cu caracter personal și divulgarea neautorizată a acestora sunt consecința unui „atac cibernetic”?
               
            
                  4)
               
               
                  Articolul 82 alineatul (3) din Regulamentul (UE) 2016/679 trebuie interpretat în sensul că divulgarea neautorizată a datelor cu caracter personal sau accesul neautorizat la acestea, în sensul articolului 4 punctul 12 din Regulamentul (UE) 2016/679, astfel cum este cazul în speță, prin intermediul unui „atac cibernetic” efectuat de persoane care nu fac parte din personalul administrației operatorului și care nu sunt supuse controlului acestuia constituie o împrejurare pentru care operatorul nu este deloc răspunzător și care permite exonerarea de răspundere?
               
            
                  5)
               
               
                  Articolul 82 alineatele (1) și (2) din Regulamentul (UE) 2016/679 coroborat cu considerentele (85) și (146) ale acestuia trebuie să fie interpretat în sensul că, într-un caz precum cel din speță, de atingere adusă protecției datelor cu caracter personal constând în accesul neautorizat la date cu caracter personal și în divulgarea acestora prin intermediul unui „atac cibernetic”, sub incidența noțiunii de prejudiciu moral interpretate în sens larg intră, singure, îngrijorările, temerile și stările de anxietate suferite de persoana vizată cu privire la o posibilă utilizare abuzivă în viitor a datelor cu caracter personal și dau acestea dreptul la despăgubiri, atunci când o asemenea utilizare abuzivă nu a fost constatată și/sau persoana vizată nu a suferit niciun alt prejudiciu?
               
            
         (1)  Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1).