Стана известно заключението на Генералния адвокат по дело C‑340/21 V.B.срещу Национална агенция за приходите.

На 15 юли 2019 г. българските медии съобщават, че е имало неоторизиран достъп до информационната система на Националната агенция за приходите (НАП) и, че различна данъчна и осигурителна информация на милиони хора, както български граждани, така и чужденци, е публикувана в интернет. Много лица, включително V.B. завеждат дела срещу НАП, за да получат обезщетение за неимуществени вреди, които се изразяват в притеснения и опасения, че с личните ѝ данни може да бъде злоупотребено в бъдеще. Според V.B. НАП е нарушила националното право, както и задължението да приеме подходящи мерки, за да гарантира подходящо ниво на сигурност при обработката на личните данни в качеството си на администратор.

Първоинстанционният съд отхвърля иска, като приема, че агенцията не е отговорна за разкриването на данните, че доказателствената тежест на подходящия характер на мерките е на V.B. и, че няма неимуществени вреди, които да подлежат на обезщетяване. Сезиран с жалба Върховният административен съд отправя няколко преюдициални въпроса до Съда за тълкуване на Общия регламент относно защитата на данните, за да определи условията за обезщетение за неимуществени вреди на лице, чиито лични данни, съхранявани от публична агенция, са били публикувани в интернет
вследствие на хакерска атака.

Може ли незаконното разпространение на съхранявани от публична агенция лични данни поради „хакерска атака“ да доведе до обезщетение за неимуществени вреди в полза на субекта на данните единствено на основание, че последният се страхува от бъдеща злоупотреба с тях? Какви са критериите за вменяване на отговорност на администратора? Как се разпределя доказателствената тежест в рамките на производството? Какъв е обхватът на проверката от страна на съда?

Заключението:

Предлагам на Съда да отговори на поставените преюдициални въпроси по следния начин:

„Членове 5, 24, 32 и 82 от Регламент 2016/679 трябва да се тълкуват в смисъл, че:

самото наличие на „нарушение на сигурността на личните данни“, както е определено в член 4, параграф 12, само по себе си не е достатъчно, за да се заключи, че техническите и организационните мерки, приложени от администратора, не са били „подходящи“, за да гарантират защитата на въпросните данни;

когато проверява подходящия характер на техническите и организационните мерки, прилагани от администратора на лични данни, сезираният национален съд трябва да извърши проверка, която обхваща конкретен анализ както на съдържанието на тези мерки, така и на начина, по който са били приложени, и на техните практически ефекти;

в контекста на иск за обезщетение съгласно член 82 от GDPR, администраторът на лични данни има задължението да докаже, че мерките, които е приложил съгласно член 32 от настоящия регламент, са подходящи;

в съответствие с принципа на процесуална автономия вътрешният правен ред на всяка държава членка определя допустимите методи за доказване и тяхната доказателствена стойност, включително следствените действия, които националните съдилища могат или трябва да разпоредят, за да преценят дали администраторът на лични данни е приложил подходящи мерки съгласно настоящия регламент, в съответствие с принципите на равностойност и ефективност, определени от правото на Съюза;

фактът, че нарушението на този регламент, което е причинило въпросната вреда, е извършено от трето лице, сам по себе си не представлява причина за освобождаване на администратора от отговорност и за да се възползва от предвиденото в разпоредбата освобождаване, той трябва да докаже, че по никакъв начин не е отговорен за нарушението;

вредата, състояща се в страх от потенциална бъдеща злоупотреба с личните данни на заинтересованата страна, чието съществуване тя е доказала, може да представлява неимуществена вреда, която дава право на обезщетение, при условие че заинтересованата страна докаже, че е претърпяла индивидуално реална и сигурна емоционална вреда, а задача на сезираната национална юрисдикция е да провери това във всеки отделен случай“.

Финансовият министър Владислав Горанов имаше друго мнение – “ако си оставиш колата отключена и някой ти я открадне, това не те прави виновен”, според него.

Стана известно решение на Съда на ЕС по съединени дела C‑775/21 и C‑826/21 с предмет преюдициални запитвания, отправени на основание член 267 ДФЕС от Curtea de Apel Bucureşti (Апелативен съд Букурещ, Румъния) в рамките на производства по дела Blue Air Aviation SA срещу UCMR — ADA Asociaţia pentru Drepturi de Autor a Compozitorilor (C‑775/21), и Uniunea Producătorilor de Fonograme din România (UPFR) срещу Societatea Naţională de Transport Feroviar de Călători (SNTFC) „CFR Călători“ SA (C‑826/21).

Две румънски организация за колективно управление на авторски и сродни права в музикалната сфера предявяват искове съответно срещу авиокомпанията Blue Air и срещу CFR, румънско дружество за железопътен транспорт, за плащане на дължими възнаграждения и неустойки за публичното разгласяване, без лицензия, на музикални произведения на борда на самолети и във вагони на пътнически влакове.

Сезиран с тези дела, Апелативен съд Букурещ иска от Съда да установи по-специално:
1) дали излъчването в търговско въздухоплавателно средство, превозващо пътници, на музикално произведение или на фрагмент от музикално произведение при излитане, кацане или в който и да било момент от полета, чрез общата уредба за звуково оповестяване на въздухоплавателното средство, представлява публично разгласяване;
2) дали извършва публично разгласяване железопътен превозвач, който използва железопътни вагони, в които са монтирани озвучителни уредби, предназначени за предоставяне на информация на пътниците.

Съдът постановява, че излъчването в пътническо превозно средство на музикално произведение като фон представлява публично разгласяване по смисъла на правото на Съюза.

Не представлява публично разгласяване обаче самото инсталиране на борда на превозно средство на озвучителна уредба и евентуално на софтуер, който позволява излъчването на музика като фон.

Следователно правото на Съюза не допуска национална правна уредба, която установява оборима презумпция за публично разгласяване на музикални произведения, основана на наличието на озвучителни уредби в превозните средства. Такава правна уредба може да доведе до налагане на задължения за заплащане на самото инсталиране на техника, дори когато не е налице какъвто и да е акт на публично разгласяване.

Стана известно решение на Съда на ЕС по дело C‑34/21, с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия) в рамките на производство по дело Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium срещу Minister des Hessischen Kultusministeriums. Председател на първи състав е Ал. Арабаджиев.

Преюдициалното запитване се отнася до тълкуването на член 88, параграфи 1 и 2 от Регламент (ЕС) 2016/679 (GDPR).

Запитването е отправено в рамките на спор между Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (Главен комитет на учителския състав към Министерството на образованието и културата на провинция Хесен, Германия) и Minister des Hessischen Kultusministeriums (министър на образованието и културата на провинция Хесен, Германия) по повод на законосъобразността на система за пряко излъчване на учебни занятия чрез видеоконферентна връзка, която е въведена в училищата в провинция Хесен (Германия), без да се предвижда предварителното съгласие на съответните преподаватели.

Член 88, който се отнася до „[о]бработване в контекста на трудово или служебно правоотношение“ и гласи:

„1.      Държавите членки могат със закон или с колективни споразумения да предвидят по-конкретни правила, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово [и]ли служебно правоотношение, по-специално за целите на набирането на персонал, изпълнението на трудовия договор, включително изпълнението на задълженията, установени със закон или с колективни споразумения, управлението, планирането и организацията на работата, равенството и многообразието на работното място, здравословните и безопасни условия на труд, защитата на имуществото на работодателя или на клиента, както и за целите на упражняване и ползване на индивидуална или колективна основа на правата и облагите от заетостта, а също и за целите на прекратяване на трудовото или служебното правоотношение.

2.      Тези правила включват подходящи и конкретни мерки за защита на човешкото достойнство, законните интереси и основните права на субекта на данните, по-специално по отношение на прозрачността на обработването, предаването на лични данни в рамките на група предприятия или група дружества, участващи в съвместна стопанска дейност и системите за наблюдение на работното място.

3.      Всяка държава членка уведомява [Европейската комисия] за тези разпоредби в своето право, които приема съгласно параграф 1 до 25 май 2018 г., и я уведомява незабавно за всяко последващо, свързано с тях изменение“.

Преюдициалните въпроси:

„1)      Трябва ли член 88, параграф 1 от [ОРЗД] да се тълкува в смисъл, че за да представлява по-конкретно правило за гарантиране на защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово или служебно правоотношение, по смисъла на член 88, параграф 1 от [ОРЗД], дадена правна разпоредба трябва да отговаря на изискванията, предвидени в член 88, параграф 2 от [ОРЗД] за тези правила?

2)      Може ли национална правна норма, дори когато очевидно не отговаря на изискванията по член 88, параграф 2 от [ОРЗД], все пак да продължи да бъде приложима?“.

Съдът:

1)      Член 88 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)

трябва да се тълкува в смисъл, че

национална правна уредба не може да представлява „по-конкретно правило“ по смисъла на параграф 1 от този член, в случай че не отговоря на условията, поставени в параграф 2 от посочения член.

2)      Член 88, параграфи 1 и 2 от Регламент 2016/679

трябва да се тълкува в смисъл, че:

национални разпоредби, приети, за да се гарантира защитата на правата и свободите на наетите лица по отношение на обработването на техните лични данни в контекста на трудово или служебно правоотношение, трябва да се оставят без приложение, когато тези разпоредби не зачитат условията и пределите, предвидени в посочения член 88, параграфи 1 и 2, освен ако въпросните разпоредби представляват правно основание, посочено в член 6, параграф 3 от Регламента, което отговаря на предвидените в него изисквания.