Eelotsusetaotlus, mille on esitanud Varhoven administrativen sad (Bulgaaria) 2. juuni 2021. aasta – VB versus Natsionalna agentsia za prihodite

(Kohtuasi C-340/21)

(2021/C 329/16)

Kohtumenetluse keel: bulgaaria

Eelotsusetaotluse esitanud kohus

Varhoven administrativen sad

Põhikohtuasja pooled

Kassaator: VB

Vastustaja kassatsioonimenetluses: Natsionalna agentsia za prihodite

Eelotsuse küsimused

Kas määruse (EL) 2016/679 (1) artikleid 24 ja 32 tuleb tõlgendada nii, et võetud tehniliste ja korralduslike meetmete mitteasjakohasuse eeldamiseks piisab sellest, et isikuandmete loata avalikustamine või neile juurdepääs määruse (EL) 2016/679 artikli 4 punkti 12 tähenduses on põhjustatud isikute poolt, kes ei ole vastutava töötleja administratsiooni töötajad ning ei allu tema kontrollile?

2.	Juhul, kui vastus esimesele küsimusele on eitav, milline peab olema õiguspärasuse kohtuliku kontrolli ese ja ulatus hindamaks, kas vastutava töötleja võetud tehnilised ja korralduslikud meetmed on määruse (EL) 2016/679 artikli 32 kohaselt asjakohased?

Juhul, kui vastus esimesele küsimusele on eitav, kas vastutuse põhimõtet, mis on sätestatud määruse (EL) 2016/679 artikli 5 lõikes 2 ja artiklis 24 koostoimes põhjendusega 74, tuleb tõlgendada nii, et määruse (EL) 2016/679 artikli 82 lõike 1 kohases kaebemenetluses lasub vastutaval töötlejal kohustus tõendada, et määruse artikli 32 kohaselt võetud tehnilised ja korralduslikud meetmed on asjakohased? Kas eksperdiarvamuse küsimist võib pidada vajalikuks ja piisavaks tõendiks, et tuvastada, kas vastutava töötleja võetud tehnilised ja korralduslikud meetmed olid asjakohased niisugusel juhul nagu käesolevas asjas, mil isikuandmetele loata juurdepääs ja nende avalikustamine toimus nn häkkerite rünnaku tagajärjel?

Kas määruse (EL) 2016/679 artikli 82 lõiget 3 tuleb tõlgendada nii, et isikuandmete loata avalikustamine või neile juurdepääs määruse (EL) 2016/679 artikli 4 punkti 12 tähenduses, mille – nagu käesoleval juhul – oli põhjustanud nn häkkerite rünnak, mille korraldasid isikud, kes ei ole vastutava töötleja administratsiooni töötajad ega allu tema kontrollile, kujutab endast asjaolu, mille eest ei ole vastutav töötleja mingil viisil vastutav ja mis annab õiguse vastutusest vabastamiseks?

Kas määruse (EL) 2016/679 artikli 82 lõikeid 1 ja 2 koostoimes põhjendustega 85 ja 146 tuleb tõlgendada nii, et niisugusel juhul nagu käesolevas asjas, mil isikuandmete kaitse rikkumine seisnes isikuandmetele loata juurdepääsus ja nende levitamises nn häkkerite rünnaku tagajärjel, kuuluvad üksnes andmesubjekti kogetud mure, kartus ja hirm isikuandmete võimaliku tulevase kuritarvitamise pärast mittemateriaalse kahju laialt tõlgendatava mõiste alla ning annavad õiguse nõuda kahju hüvitamist, kui niisugust kuritarvitust ei ole tuvastatud ja/või andmesubjektile ei ole tekkinud muud kahju?

(1) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1)