Дело C-683/21: Nacionalinis visuomenės sveikatos centras, Заключение от 4 май 2023 г.

1) Може ли понятието „администратор“ по член 4, точка 7 от ОРЗД да се тълкува в смисъл, че за администратор трябва да се счита и лице, което възнамерява да придобие инструмент за събиране на данни (мобилно приложение) посредством обществена поръчка, независимо от това, че не е бил сключен договор за обществена поръчка и че не е била прехвърлена собствеността върху създадения продукт (мобилно приложение), за чието придобиване е била използвана процедура за възлагане на обществена поръчка?
2) Може ли понятието „администратор“ по член 4, точка 7 от ОРЗД да се тълкува в смисъл, че за администратор трябва да се счита и възлагащият орган, който не е придобил собствеността и владението върху създадения ИТ продукт, когато окончателната версия на създаденото приложение има хипервръзки или интерфейси към този публичноправен субект и/или [когато] политиката на поверителност, която не е официално одобрена или призната от въпросния публичноправен субект, определя същия като администратор?
3) Може ли понятието „администратор“ по член 4, точка 7 от ОРЗД да се тълкува в смисъл, че за администратор трябва да се счита и лицето, което не е извършило никакви реални операции по обработване на данни по смисъла на член 4, точка 2 от ОРЗД и/или което не е дало ясно разрешение/съгласие за извършването на такива операции

От значение ли е за тълкуването на понятието „администратор“ обстоятелството, че ИТ продуктът, използван за обработването на лични данни, е създаден в съответствие с дадено от възлагащия орган задание?
4) Ако наличието на реални операции по обработване на данни е от значение за тълкуването на понятието „администратор“, следва ли понятието „обработване“ на лични данни съгласно член 4, точка 2 от ОРЗД да се тълкува в смисъл, че обхваща и случаите, в които копия на лични данни са използвани за изпитването на ИТ системи в процеса на придобиването на мобилни приложения?
5) Може ли съвместното администриране на данни съгласно член 4, точка 7 и член 26, параграф 1 от ОРЗД да се тълкува в смисъл, че е налице само при умишлено съгласувани действия за определяне на целта и средствата на обработването на данни, или това понятие може да се тълкува и като обхващащо също и случаите, в които няма ясна „договореност“ по отношение на целта и средствата на обработването на данни и/или съгласувани действия между субектите

От правна гледна точка има ли значение за тълкуването на понятието „съвместно администриране на данни“ на кой етап от процеса на създаване на средството за обработване на лични данни (ИТ приложението) са обработени личните данни и с каква цел се създава приложението

Може ли под „договореност“ между съвместните администратори да се разбира единствено ясното и изрично определяне на условията за съвместното администриране на данни?
6) Трябва ли разпоредбата на член 83, параграф 1 от ОРЗД, съгласно която „административни[те] наказания „глоба“ или „имуществена санкция“ […] са ефективни, пропорционални и възпиращи“, да се тълкува в смисъл, че обхваща и хипотезата на отговорност на „администратора“, когато в процеса на създаване на ИТ продукт разработчикът извършва и действия по обработване на лични данни, и водят ли неправомерно извършените от обработващия лични данни действия по обработването им винаги автоматично до правна отговорност на администратора

Трябва ли тази разпоредба да се тълкува в смисъл, че обхваща и случаите на обективна отговорност на администратора?