Petición de decisión prejudicial planteada por el Sofiyski rayonen sad (Bulgaria) el 12 de septiembre de 2023 — Teritorialna direktsia na Natsionalnata agentsia za prihodite — Sofia
(Asunto C-563/23, Natsionalna agentsia za prihodite)
Lengua de procedimiento: búlgaro
Órgano jurisdiccional remitente
Sofiyski rayonen sad
Solicitante en el procedimiento principal
Teritorialna direktsia na Natsionalnata agentsia za prihodite — Sofia
Cuestiones prejudiciales
¿Debe interpretarse el artículo 4, punto 7, del Reglamento (UE) 2016/679 1 (en lo sucesivo, «Reglamento general de protección de datos» o «RGPD») en el sentido de que una autoridad judicial que concede a otra autoridad del Estado acceso a datos sobre los saldos de cuentas de sujetos pasivos determina los fines o los medios del tratamiento de datos personales, por lo que se la considera «responsable» del tratamiento de los datos personales?
En caso de respuesta negativa a la primera cuestión, ¿debe interpretarse el artículo 51 del Reglamento general de protección de datos en el sentido de que una autoridad judicial que concede a otra autoridad del Estado acceso a datos sobre los saldos de cuentas de sujetos pasivos es responsable de supervisar [la aplicación] de dicho Reglamento, por lo que se la debe considerar «autoridad de control» respecto a tales datos?
En caso de respuesta afirmativa a una de las cuestiones anteriores, ¿deben interpretarse el artículo 32, apartado 1, letra b), del Reglamento general de protección de datos o, en su caso, el artículo 57, apartado 1, letra a), de dicho Reglamento en el sentido de que una autoridad judicial que concede a otra autoridad del Estado acceso a datos sobre los saldos de cuentas de sujetos pasivos está obligada, si se sabe que existió una vulneración de la protección de datos personales cometida en el pasado por la autoridad a la que se pretende conceder dicho acceso, a recabar información sobre las medidas adoptadas para la protección de los datos y, al decidir sobre la concesión del acceso, a valorar la idoneidad de estas medidas?
Con independencia de las respuestas a las cuestiones segunda y tercera, ¿debe interpretarse el artículo 79, apartado 1, del Reglamento general de protección de datos, en relación con el artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea, en el sentido de que, cuando el Derecho nacional de un Estado miembro dispone que determinadas categorías de datos solo pueden comunicarse previa autorización judicial, el órgano jurisdiccional competente al respecto debe conceder de oficio tutela judicial a las personas cuyos datos se comunican, obligando a la autoridad que ha solicitado el acceso a los datos y de la que consta que ha recibido instrucciones vinculantes de la autoridad del artículo 51, apartado 1, del RGPD tras haberse producido una vulneración de la protección de datos personales, a poner a disposición información sobre la aplicación de las medidas que se le han impuesto mediante decisión administrativa con arreglo al artículo 58, apartado 2, letra d), del RGPD?
____________
1 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1).