Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Sofijski rajonen syd (Bułgaria) w dniu 12 września 2023 r. – Teritoriałna direkcija na Nacionałna agencija za prichodite – Sofia
(Sprawa C-563/23, Nacionałna agencija za prichodite)
Język postępowania: bułgarski
Sąd odsyłający
Sofijski rajonen syd
Wnioskodawca w postępowaniu głównym
Teritoriałna direkcija na Nacionałna agencija za prichodite – Sofia
Pytania prejudycjalne
Czy art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/6791 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) należy interpretować w ten sposób, że
organ sądowy, który zezwala innemu organowi państwowemu na dostęp do danych dotyczących sald na rachunkach bankowych podatników, określa cele lub sposoby przetwarzania danych osobowych, w związku z czym jest „administratorem” danych osobowych?
Na wypadek udzielenia odpowiedzi przeczącej na pytanie pierwsze, czy art. 51 ogólnego rozporządzenia o ochronie danych należy interpretować w ten sposób, że organ sądowy, który zezwala innemu organowi państwowemu na dostęp do danych dotyczących sald na rachunkach bankowych podatników, jest odpowiedzialny za monitorowanie stosowania tego rozporządzenia, w związku z czym ma status „organu nadzorczego” w odniesieniu do tych danych?
Na wypadek udzielenia odpowiedzi twierdzącej na jedno z poprzednich pytań, czy art. 32 ust. 1 lit. b) ogólnego rozporządzenia o ochronie danych, odpowiednio art. 57 ust. 1 lit. a) tego rozporządzenia, należy interpretować w ten sposób, że organ sądowy, który zezwala innemu organowi państwowemu na dostęp do danych dotyczących sald na rachunkach bankowych podatników, jest zobowiązany – w przypadku istnienia informacji wskazujących na wcześniejsze naruszenie bezpieczeństwa danych osobowych przez organ, któremu ma zostać udzielony dostęp – do zażądania informacji o podjętych środkach ochrony danych i do dokonania oceny adekwatności tych środków przy podejmowaniu decyzji w sprawie udzielenia dostępu?
Niezależnie od odpowiedzi na pytanie [drugie] i [trzecie], czy art. 79 ust. 1 ogólnego rozporządzenia o ochronie danych w związku z art. 47 Karty praw podstawowych Unii Europejskiej należy interpretować w ten sposób, że gdy w prawie krajowym jednego z państw Unii przewidziano, że określone kategorie danych mogą zostać ujawnione wyłącznie po uzyskaniu zezwolenia sądu, sąd udzielający tego zezwolenia jest zobowiązany z urzędu do zapewnienia ochrony podmiotów, których dane ujawnia, poprzez zobowiązanie organu publicznego żądającego dostępu do danych, co do którego wiadomo, że dopuścił się naruszenia bezpieczeństwa danych osobowych i udzielonych mu wiążących zaleceń organu określonego w art. 51 ust. 1 RODO, do przedstawienia informacji dotyczących wykonania nałożonych na niego w decyzji administracyjnej środków, o których mowa w art. 58 ust. 2 lit. d) RODO?
____________
1 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016 r., L 119, s. 1).