От сайта на НАП:

Върховният административен съд отправя преюдициално запитване до Съда на Европейския съюз по казус, свързан с изтичането на лични данни от НАП. Запитването е отправено във връзка с административно дело №1037 от 2021 г. на ВАС, но на практика с него се спират производствата по всички такива дела в страната до произнасянето на Съда на ЕС.

Във ВАС като касационна инстанция има постъпили над 100 дела по ЗОДОВ във връзка с изтичането на личните данни от НАП. Съдебните производства срещу НАП са приключили на първа инстанция с противоречиви резултати. Исковете или са отхвърляни като неоснователни или са уважавани изцяло или частично. Нормативната уредба е тълкувана и прилагана противоречиво по всички елементи на отговорността на администратора на лични данни.

ВАС приема, че НАП е бездействал, не е изпълнил задълженията си по чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 и не е доказал, че е въвел подходящи технически мерки, които трябва да осигурят подходящо ниво на сигурност. Безспорно установеният факт на изтекла информация от информационната система на НАП вследствие на неправомерен достъп обуславя извод за бездействие от страна на агенцията да осигури надеждност и сигурност на личните данни. Прието е, че действието на лицето, проникнало в информационната система на НАП, не освобождава администратора на лични данни от отговорност за вреди по чл. 82, пар. 3 от Регламент (ЕС) 2016/679, доколкото не е ангажирал доказателства, че е взел изискуемите се по регламента подходящи технически мерки, които да гарантират сигурността на съдържащите се в информационната му система лични данни. Изпитаните от субекта на лични данни негативни емоции, притеснения, страх, несигурност са в причинна връзка с поведението на администратора на лични данни и представляват реално претърпени неимуществени вреди, свързани с реален страх от реална заплаха за увреждане.

Преюдициалното запитване до Съда на Европейския съюз  съгласно член 267 ДФЕС  е със следните въпроси:

1. Разпоредбите на чл. 24 и чл. 32 от Регламент (ЕС) 2016/679 могат ли да се тълкуват в смисъл, че е достатъчно да е осъществено неразрешено разкриване или достъп до лични данни по смисъла на чл. 4, т. 12 от Регламент (ЕС) 2016/679 от лица, които не са служители в администрацията на администратора на лични данни и не са под негов контрол, за да се приеме, че приложените технически и организационни мерки не са подходящи?
2. Ако отговорът на първия въпрос е отрицателен, какъв следва да е предметът и обхватът на съдебния контрол за законосъобразност при проверка дали приложените от администратора на лични данни технически и организационни мерки по чл. 32 от Регламент (ЕС) 2016/679 са подходящи?
3. Ако отговорът на първия въпрос е отрицателен, принципът на отчетност в чл. 5, пар. 2 и чл. 24 във връзка със Съображение 74 от Регламент (ЕС) 2016/679 могат ли да се тълкуват в смисъл, че в исковото производство по чл. 82, пар.1 от Регламент (ЕС) 2016/679 администраторът на лични данни носи доказателствена тежест относно обстоятелството, че приложените по чл. 32 от регламента технически и организационни мерки са подходящи? Назначаването на съдебна експертиза може ли да се приеме като необходимо и достатъчно доказателствено средство, с което да се установи дали приложените от администратора на лични данни технически и организационни мерки са подходящи в хипотеза като настощящата, в която неразрешеният достъп и разкриване на лични данни е резултат от „хакерска атака“?
4. Нормата на чл. 82, пар. 3 от от Регламент (ЕС) 2016/679 може ли да се тълкува в смисъл, че неразрешено разкриване или достъп до лични данни по смисъла на чл. 4, т. 12 от Регламент (ЕС) 2016/679, в случая чрез „хакерска атака“, от лица, които не са служители в администрацията на администратора на лични данни и не са под негов контрол, е събитие, за което администраторът на лични данни по никакъв начин не е отговорен и е основание за освобождаване от отговорност?
5. Нормите на чл. 82, пар.1 и пар. 2 във връзка със Съображения 85 и 146 от преамбюла на Регламент (ЕС) 2016/679 могат ли да се тълкуват в смисъл, че в хипотеза като настоящата на нарушение на сигурността на личните данни, изразяващо се в неразрешен достъп и разпространение на лични данни, осъществено чрез „хакерска атака”, само преживените от субекта на лични данни опасения, притеснения и страх от евентуална, бъдеща злоупотреба с лични данни, без да е установена такава злоупотреба и/или да е настъпила друга вреда за субекта на данните, попадат в широкия смисъл на понятието нематериални вреди и е основание за обезщетение?

Комисията Фон дер Лайен очертава  политиката на ЕС по отношение на цифровата икономика и цифровото общество.

През март 2021,   една година след приемането на цифровата стратегия, ЕК прие съобщение, с което обяви нов инструмент за управление – т.нар. цифров компас – начин на представяне на дейности, свързани с цифровата икономика и цифровото общество, в четири предметни области.

ЕС предстои да решава важни задачи със значение  за ефективно цифрово десетилетие (2020-2030):

• До края на 2021 ще бъде подписана междуинституционална декларация на ЕК, ЕП и Съвета за цифровите права и цифровите принципи на ЕС и 
• До края на третото тримесечие на 2021. ще бъде предложена  Програма  за цифрова политика, която да се приеме от съзаконодателите;
• Продължава обсъждането на  проектите на законодателни актове за цифровите услуги и цифровите пазари, предложени от ЕК през декември 2020 г. 

По предварителна информация в декларацията ще се препотвърдят  основните права на ЕС като свобода на изразяване, достъп до информация, защита на личните данни и личната неприкосноваеност онлайн, защита на интелектуалната собственост.  Заедно с това обаче ще се изисква универсален достъп до интернет услуги, сигурна и надеждна онлайн среда, универсално цифрова компетентност и медийна грамотност,  достъпни и ориентирани към човека цифрови обществени услуги и администрация, защита и овластяване на децата в онлайн пространството, достъп до цифрови здравни услуги.

На 15 декември 2020 г. Комисията публикува Предложение за Регламент на Европейския парламент и на Съвета относно достъпни и справедливи пазари в цифровия сектор (DMA, Digital Markets Act, Законодателен акт за цифровите пазари) и DSA, Digital Services Act, Законодателен акт за цифровите услуги.

Становище 1/2021 се отнася до акта за цифровите услуги  DSA.

Становище 2/2021 е важно от гледна точка на организация на прилагането на DMA  съвместно с GDPR и приложимото законодателство на Съюза относно европейската стандартизация.

Пол Келер от  Institute for Information Law (IViR) e автор на публикация, която заслужава отбелязване: It’s 23 April 2021, so where is the Advocate General opinion in Case C-401/19 Poland v Parliament and Council? 23 април е, къде е становището на Генералния адвокат по дело C-401/19 Полша срещу Парламента и Съвета?

Публикацията засяга въпроси, свързани с  хода на въвеждане на Директивата за авторското право и сродните му права в цифровия единен пазар (ЕС) 2019/790.

Полша атакува разпоредбата пред Съда на ЕС и поиска от Съда да отмени член 17, параграф 4, буква б) и член 17, параграф 4, буква в) in fine (а именно в частта, съдържаща израза „и са положили максимални усилия за предотвратяване на бъдещото им качване в съответствие с буква б)“) от Директива (ЕС) 2019/790. Полша твърди, че  прилагането на  член 17  ще доведе до цензура и ще ограничи свободата на изразяване и свободата да се получава и разпространява информация, гарантирана в член 13 от Хартата на основните права на ЕС.

В публикацията на КСВ*  се напомня, че  на изслушването на страните през ноември 2020 генералният адвокат Saugmandsgaard Øe е обявил, че ще представи заключението си на 22 април 2021 г.  Но миналата седмица Съдът е обявил нова дата – 15 юли 2021 г.

Същевременно от ЕК се очакват насоки за прилагане на чл.17, но такива все още няма. 

Крайният срок за прилагане на директивата (ЕС) 2019/790 е   7 юни 2021, така че държавите действат в ситуация не само без произнасяне на Съда, но и без заключение на ГА, а също и без обещаните насоки на ЕК. 

Няма как да не направим паралел с въвеждането на третата ревизия на медийната директива – Директива (ЕС) 2018/1808: насоките на ЕК бяха оповестени през юли, срокът за въвеждане изтече през септември и  веднага след изтичане на срока ЕК откри  процедури срещу 23 държави, които не бяха завършили въвеждането към изтичане на срока, въпреки че голямата част имаха законопроекти и очакваха началото на работата на парламента, какъвто беше и случаят с България.

Според публикацията пренасрочването на датата за заключението на ГА изглежда като опит на ГА да се опита да вземе предвид  липсващите към момента насоки на ЕК. Така че ЕК или трябва да действа, или рискува да увеличи вероятността от отмяна на части от член 17.

Отбелязва се още събитие от изминалата седмица – изказването на комисаря за вътрешния пазар Тиери Бретон пред комисиите CULT и JURI на Европейския парламент, в което именно беше анонсът за Акт за свободата на медиите. В публикацията се извежда друг акцент от участието на Бретон:  “насоките на ЕК ще бъдат публикувани  през следващите седмици, но в същото време той отказа да потвърди, че съдържанието на насоките ще се основава на правната интерпретация, която Комисията е представила пред Съда на ЕС.” Това според автора може да е знак, че “Комисията е намалила ангажимента си да гарантира, че прилагането на член 17 трябва да защитава основните права на потребителите – което  прави решението на ГА да отложи заключението си още по-разумно”.

Изглежда, че – специално по отношение на крайно неясния и много противоречиво посрещнат член 17 – държавите са оставени сами на себе си седмици преди изтичане на срока за въвеждане на директивата (ЕС) 2019/790.

И това започва да прилича на стил на Комисията: (когато) в директивите се приемат неясни текстове, държавите успяват да задължат ЕК за издаде насоки по най-противоречиво тълкуваните разпоредби, насоките се бавят и се създава впечатление, че не ЕК, а определени държави стават водещи в идеите за постигане на трудни баланси, а ЕК само ги следва.

В България е формирана работна група със заповед на министъра на културата за въвеждане на директивата (ЕС) 2019/790. На сайта на МК беше обявена и Консултация със заинтересованите страни по въвеждане на Директива (ЕС) 2019/790 на ЕП и на Съвета в националното законодателство (26 юни 2020).

*Kluwer Copyright Blog e блог №2 в блоговете за интелектуална собственост, сериозен източник на информация и  форум за научни дискусии.