Vec C‑340/21

VB

proti

Nacionalna agencija za prichodite

(návrh na začatie prejudiciálneho konania,
ktorý podal Vărchoven administrativen săd)

Rozsudok Súdneho dvora (tretia komora) zo 14. decembra 2023

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 5 – Zásady týkajúce sa tohto spracúvania – Článok 24 – Zodpovednosť prevádzkovateľa – Článok 32 – Opatrenia prijaté na zaistenie bezpečnosti spracúvania – Posúdenie primeranosti takýchto opatrení – Rozsah súdneho preskúmania – Vykonávanie dôkazov – Článok 82 – Právo na náhradu škody a zodpovednosť – Prípadné zbavenie prevádzkovateľa zodpovednosti v prípade porušenia, ktorého sa dopustili tretie strany – Návrh na náhradu nemajetkovej ujmy založený na obave z možného zneužitia osobných údajov“

1. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Povinnosti prevádzkovateľa – Vykonanie primeraných technických a organizačných opatrení – Neoprávnené poskytnutie osobných údajov alebo neoprávnené sprístupnenie takýchto údajov tretími stranami – Nedostatočné okolnosti na vychádzanie z neprimeranosti týchto opatrení

   (Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 bod 10, články 24 a 32)

   (pozri body 29 – 39, bod 1 výroku)

2. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Povinnosti prevádzkovateľa – Vykonanie primeraných technických a organizačných opatrení – Súdna kontrola primeranosti týchto opatrení – Rozsah

   (Nariadenie Európskeho parlamentu a Rady 2016/679, článok 32)

   (pozri body 42 – 47, bod 2 výroku)

3. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na náhradu škody a zodpovednosť – Zásada zodpovednosti prevádzkovateľa – Primeranosť technických a organizačných opatrení vykonávaných týmto prevádzkovateľom – Dôkazné bremeno, ktoré nesie prevádzkovateľ

   (Nariadenie Európskeho parlamentu a Rady 2016/679, článok 5 ods. 2, články 24, 32 a 82)

   (pozri body 52 – 57, bod 3 výroku)

4. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Povinnosti prevádzkovateľa – Vykonanie primeraných technických a organizačných opatrení – Primeranosť týchto opatrení – Dôkazné prostriedky – Znalecký posudok – Dôkazná hodnota – Systematicky nevyhnutný a dostatočný dôkazný prostriedok – Porušenie zásady efektivity

   (Nariadenie Európskeho parlamentu a Rady 2016/679, článok 32)

   (pozri body 60, 62 – 64, bod 4 výroku)

5. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na náhradu škody a zodpovednosť – Povinnosť prevádzkovateľa nahradiť škodu spôsobenú dotknutej osobe – Oslobodenie – Rozsah – Nevyhnutnosť preukázať nemožnosť pripísať mu zodpovednosť za škodu – Škoda vyplývajúca z neoprávneného poskytnutia osobných údajov alebo neoprávneného sprístupnenia takýchto údajov tretími stranami – Vylúčenie

   (Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 bod 10 a článok 82 ods. 1 až 3)

   (pozri body 69 – 74, bod 5 výroku)

6. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na náhradu škody a zodpovednosť – Právo na náhradu utrpenej škody – Nemajetková ujma – Pojem – Obava osoby z možného zneužitia jej osobných údajov tretími stranami – Zahrnutie

   (Nariadenie Európskeho parlamentu a Rady 2016/679, článok 82 ods. 1)

   (pozri body 79 – 86, bod 6 výroku)

Pozri text rozhodnutia.