Дело C-340/21: Natsionalna agentsia za prihodite, Съдебно решение от 14 декември 2023 г.

1) Разпоредбите на член 24 и член 32 от [ОРЗД] могат ли да се тълкуват в смисъл, че е достатъчно да е осъществено неразрешено разкриване или достъп до лични данни по смисъла на член 4, точка 12 от [ОРЗД] от лица, които не са служители в администрацията на администратора на лични данни и не са под негов контрол, за да се приеме, че приложените технически и организационни мерки не са подходящи?

2) Ако отговорът на първия въпрос е отрицателен, какъв следва да е предметът и обхватът на съдебния контрол за законосъобразност при проверка дали приложените от администратора на лични данни технически и организационни мерки по член 32 от [ОРЗД] са подходящи?

3) Ако отговорът на първия въпрос е отрицателен, принципът на отчетност в член 5, параграф 2 [от ОРЗД] и член 24 [от този регламент] във връзка със съображение 74 от [него] могат ли да се тълкуват в смисъл, че в исковото производство по член 82, параграф 1 от [посочения регламент] администраторът на лични данни носи доказателствена тежест относно обстоятелството, че приложените по член 32 от [същия регламент] технически и организационни мерки са подходящи

Назначаването на съдебна експертиза може ли да се приеме като необходимо и достатъчно доказателствено средство, с което да се установи дали приложените от администратора на лични данни технически и организационни мерки са подходящи в хипотеза като настоящата, в която неразрешеният достъп и разкриване на лични данни е резултат от „хакерска атака“?

4) Нормата на член 82, параграф 3 от [ОРЗД] може ли да се тълкува в смисъл, че неразрешено разкриване или достъп до лични данни по смисъла на член 4, точка 12 от [ОРЗД], в случая чрез „хакерска атака“, от лица, които не са служители в администрацията на администратора на лични данни и не са под негов контрол, е събитие, за което администраторът на лични данни по никакъв начин не е отговорен и е основание за освобождаване от отговорност?

5) Нормите на член 82, параграф 1 и параграф 2 [от ОРЗД] във връзка със съображения 85 и 146 от преамбюла на [този регламент] могат ли да се тълкуват в смисъл, че в хипотеза като настоящата на нарушение на сигурността на личните данни, изразяващо се в неразрешен достъп и разпространение на лични данни, осъществено чрез „хакерска атака“, само преживените от субекта на лични данни опасения, притеснения и страх от евентуална, бъдеща злоупотреба с лични данни, без да е установена такава злоупотреба и/или да е настъпила друга вреда за субекта на данните, попадат в широкия смисъл на понятието нематериални вреди и [това] е основание за обезщетение?