
   
               16.8.2021   
            
            
               PT
            
            
               Jornal Oficial da União Europeia
            
            
               C 329/12
            
         
      Pedido de decisão prejudicial apresentado pelo Varhoven administrativen sad (Bulgária) em 2 de junho de 2021 — VB/Natsionalna agentsia za prihodite
      (Processo C-340/21)
      (2021/C 329/16)
      Língua do processo: búlgaro
      
         Órgão jurisdicional de reenvio
      
      Varhoven administrativen sad
      
         Partes no processo principal
      
      
         Recorrente: VB
      
         Recorrido: Natsionalna agentsia za prihodite
      
         Questões prejudiciais
      
      
                  1)
               
               
                  Devem os artigos 24.o e 32.o do Regulamento (UE) 2016/679 (1) ser interpretados no sentido de que basta que se tenha verificado a divulgação ou o acesso não autorizados a dados pessoais, na aceção do artigo 4.o, ponto 12, do Regulamento (UE) 2016/679, por pessoas que não são funcionários da administração do responsável pelo tratamento e não estão sujeitas ao seu controlo para se considerar que as medidas técnicas e organizativas tomadas não são adequadas?
               
            
                  2)
               
               
                  Em caso de resposta negativa à primeira questão, qual deve ser o objeto e o alcance da fiscalização jurisdicional da legalidade ao examinar se as medidas técnicas e organizativas tomadas pelo responsável pelo tratamento são adequadas na aceção do artigo 32.o do Regulamento (UE) 2016/679?
               
            
                  3)
               
               
                  Em caso de resposta negativa à primeira questão, deve o princípio da responsabilidade na aceção do artigo 5.o, n.o 2, e do artigo 24.o, em conjugação com o considerando 74 do Regulamento (UE) 2016/679, ser interpretado no sentido de que, num processo judicial nos termos do artigo 82.o, n.o 1, do Regulamento (UE) 2016/679, cabe ao responsável pelo tratamento provar que as medidas técnicas e organizativas tomadas são adequadas na aceção do artigo 32.o do Regulamento? Pode um parecer pericial ser considerado um meio de prova necessário e suficiente para comprovar que as medidas técnicas e organizativas tomadas pelo responsável pelo tratamento foram adequadas num caso como o presente, em que o acesso não autorizado e a divulgação de dados pessoais são o resultado de um «ataque de hacker»?
               
            
                  4)
               
               
                  Deve o artigo 82.o, n.o 3, do Regulamento (UE) 2016/679 ser interpretado no sentido de que a divulgação ou o acesso não autorizados a dados pessoais na aceção do artigo 4.o, ponto 12, do Regulamento (UE) 2016/679, como no presente caso, através de um «ataque de hacker» por pessoas que não são funcionários da administração do responsável pelo tratamento e não estão sujeitas ao seu controlo, constitui uma circunstância pela qual o responsável pelo tratamento não é de modo nenhum responsável e que lhe dá o direito de ser isentado de responsabilidade?
               
            
                  5)
               
               
                  Deve o artigo 82.o, n.os 1 e 2, em conjugação com os considerandos 85 e 146 do Regulamento (UE) 2016/679, ser interpretado no sentido de que, num caso como o presente, em que verificou uma violação da proteção de dados pessoais, sob a forma de acesso não autorizado e de divulgação de dados pessoais através de um «ataque de hacker», as preocupações, os receios e as ansiedades do titular dos dados quanto a uma eventual futura utilização abusiva dos dados pessoais, por si só, enquadram-se no conceito de dano imaterial, que deve ser interpretado em sentido amplo, e conferem-lhe o direito a uma indemnização quando essa utilização abusiva não tenha sido comprovada e/ou quando o titular dos dados não tenha sofrido outros danos?
               
            
         (1)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1).
   
   