Pedido de decisão prejudicial apresentado pelo Sofiyski rayonen sad (Bulgária) em 12 de setembro de 2023 – Teritorialna direktsia na Natsionalnata agentsia za prihodite – Sofia
(Processo C-563/23, Natsionalnata agentsia za prihodite)
Língua do processo: búlgaro
Órgão jurisdicional de reenvio
Sofiyski rayonen sad
Requerente no processo principal
Teritorialna direktsia na Natsionalnata agentsia za prihodite – Sofia
Questões prejudiciais
Deve o artigo 4.°, ponto 7, do Regulamento (UE) 2016/679 1 (a seguir «Regulamento Geral sobre a Proteção de Dados» ou «RGPD») ser interpretado no sentido de que uma autoridade judicial, que autoriza outra autoridade pública a aceder a dados relativos aos saldos bancários de sujeitos passivos, determina as finalidades ou os meios de tratamento de dados pessoais e é, por conseguinte, «responsável pelo tratamento» de dados pessoais?
Em caso de resposta negativa à primeira questão, deve o artigo 51.° do Regulamento Geral sobre a Proteção de Dados ser interpretado no sentido de que uma autoridade judicial, que autoriza outra autoridade pública a aceder a dados relativos aos saldos bancários de sujeitos passivos, é responsável pela fiscalização [da aplicação] deste regulamento e, por conseguinte, deve ser qualificada de «autoridade de controlo» relativamente a esses dados?
Em caso de resposta afirmativa à questão anterior, deve o artigo 32.°, n.° 1, alínea b), do Regulamento Geral sobre a Proteção de Dados, ou o artigo 57.°, n.° 1, alínea a), do mesmo regulamento, ser interpretado no sentido de que uma autoridade judicial, que autoriza outra autoridade pública a aceder a dados relativos aos saldos bancários de sujeitos passivos, é obrigada, perante dados relativos a uma violação da proteção de dados pessoais cometida no passado pela autoridade à qual esse acesso deve ser concedido, a obter informações sobre as medidas adotadas para proteger os dados e avaliar a adequação dessas medidas ao decidir sobre a autorização de acesso?
Independentemente das respostas à [segunda] e [terceira] questões, deve o artigo 79.°, n.° 1, do Regulamento Geral sobre a Proteção de Dados, em conjugação com o artigo 47.° da Carta dos Direitos Fundamentais da União Europeia, ser interpretado no sentido de que quando o direito nacional de um Estado-Membro prevê que determinadas categorias de dados só podem ser divulgadas mediante autorização de um órgão jurisdicional, o órgão jurisdicional competente para o efeito deve conceder oficiosamente proteção jurisdicional às pessoas cujos dados são divulgados, exigindo à autoridade que solicitou o acesso aos dados e que se sabe ter recebido instruções vinculativas da autoridade nos termos do artigo 51.°, n.° 1, do RGPD, na sequência de uma violação de dados pessoais, que forneça informações sobre a aplicação das medidas que lhe foram impostas por decisão administrativa nos termos do artigo 58.°, n.° 2, alínea d), do RGPD?
____________
1 Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1).