C-340/21
- Súd
- Súdny dvor Európskej únie
- IČS
- 62021CA0340
- Zdroj
- eur-lex.europa.eu ↗
C_202401065SK.000101.fmx.xml
Úradný vestník Európskej únie
SK
Séria C
C/2024/1065
5.2.2024
Rozsudok
Súdneho dvora (tretia komora) zo 14. decembra 2023 (návrh na začatie prejudiciálneho konania, ktorý podal Vărchoven administrativen săd – Bulharsko) – VB/ Nacionalna agencija za prichodite
(Vec C-340/21 ( 1 ) , Nacionalna agencija za prichodite)
(Návrh na začatie prejudiciálneho konania - Ochrana fyzických osôb pri spracúvaní osobných údajov - Nariadenie (EÚ) 2016/679 - Článok 5 - Zásady týkajúce sa tohto spracúvania - Článok 24 - Zodpovednosť prevádzkovateľa - Článok 32 - Opatrenia prijaté na zaistenie bezpečnosti spracúvania - Posúdenie primeranosti takýchto opatrení - Rozsah súdneho preskúmania - Vykonávanie dôkazov - Článok 82 - Právo na náhradu škody a zodpovednosť - Prípadné zbavenie prevádzkovateľa zodpovednosti v prípade porušenia, ktorého sa dopustili tretie strany - Návrh na náhradu nemajetkovej ujmy založený na obave z možného zneužitia osobných údajov)
(C/2024/1065)
Jazyk konania: bulharčina
Vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania
Vărchoven administrativen săd
Účastníci konania pred vnútroštátnym súdom
Žalobca: VB
Žalovaná: Nacionalna agencija za prichodite
Výrok
rozsudku
1.
Články 24 a 32 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa majú vykladať v tom zmysle, že:
neoprávnené poskytnutie osobných údajov alebo neoprávnený prístup k takýmto údajom „tretími stranami“ v zmysle článku 4 bodu 10 tohto nariadenia samy osebe nepostačujú na konštatovanie, že technické a organizačné opatrenia prijaté daným prevádzkovateľom neboli „primerané“ v zmysle týchto článkov 24 a 32.
2.
Článok 32 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
primeranosť technických a organizačných opatrení, ktoré prijal prevádzkovateľ podľa tohto článku, musia konkrétne posúdiť vnútroštátne súdy, a to s prihliadnutím na riziká spojené s dotknutým spracúvaním a na základe posúdenia, či sú povaha, obsah a vykonávanie týchto opatrení primerané týmto rizikám.
3.
Zásada zodpovednosti prevádzkovateľa uvedená v článku 5 ods. 2 nariadenia 2016/679 a konkretizovaná v jeho článku 24
sa má vykladať v tom zmysle, že:
v rámci žaloby o náhradu škody založenej na článku 82 tohto nariadenia dotknutý prevádzkovateľ nesie dôkazné bremeno, pokiaľ ide o preukázanie primeranosti bezpečnostných opatrení, ktoré prijal na základe článku 32 uvedeného nariadenia.
4.
Článok 32 nariadenia 2016/679 a zásada efektivity práva Únie
sa majú vykladať v tom zmysle, že:
na účely posúdenia primeranosti bezpečnostných opatrení, ktoré prevádzkovateľ prijal podľa tohto článku, nemôže znalecký posudok predstavovať systematicky nevyhnutný a dostatočný dôkazný prostriedok.
5.
Článok 82 ods. 3 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
prevádzkovateľ nemôže byť zbavený svojej povinnosti nahradiť škodu spôsobenú osobe podľa článku 82 ods. 1 a 2 tohto nariadenia len preto, že táto škoda vznikla v dôsledku neoprávneného poskytnutia osobných údajov alebo neoprávneného sprístupnenia týchto údajov „tretími stranami“ v zmysle článku 4 bodu 10 uvedeného nariadenia, pričom uvedený prevádzkovateľ musí preukázať, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.
6.
Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
obava z možného zneužitia osobných údajov tretími stranami, ktorú má dotknutá osoba v dôsledku porušenia tohto nariadenia, môže sama osebe predstavovať „nemajetkovú ujmu“ v zmysle tohto ustanovenia.
( 1 ) Ú. v. EÚ C 329, 16.8.2021 .
ELI: http://data.europa.eu/eli/C/2024/1065/oj
ISSN 1977-1037 (electronic edition)