Pod koniec kwietnia nr. Rzecznik Generalny Trybunału Sprawiedliwości Giovannie Pitruzzelli przygotował opinię w sprawie istotnych pytań prejudycjalnych zadanych przez bułgarski Najwyższy Sąd Administracyjny.  Sprawa rozpoczęła się w lipcu 2019 r. od ataku hakerskiego, którego ofiarą stała się NATIONAL REVENUE AGENCY (NAP). Szereg osób, w tym V.B., skarżąca w postępowaniu głównym, wniosło powództwa przeciwko NAP o zasądzenie odszkodowania za szkody niemajątkowe. Sąd pierwszej instancji, ASSG, oddalił powództwo uznając, że agencja nie ponosi winy za ujawnienie danych, że ciężar dowodu co do odpowiedniego charakteru przyjętych środków spoczywa na skarżącej i wreszcie, że żadna szkoda niemajątkowa nie podlega naprawieniu. Wyrok wydany w pierwszej instancji został następnie środek zaskarżony do Wyrchowen administrativen syd (najwyższego sądu administracyjnego, Bułgaria). Wśród podniesionych zarzutów skarżąca w postępowaniu głównym podkreśliła, że sąd pierwszej instancji błędnie rozłożył ciężar dowodu w odniesieniu do braku przyjęcia środków bezpieczeństwa. Szkoda niemajątkowa również nie powinna być objęta ciężarem dowodu, ponieważ nie chodzi o jedynie potencjalną, lecz rzeczywistą szkodę niemajątkową. Według Rzecznika Generalnego TSUE: nielogiczne wydaje się założenie, że zamiarem prawodawcy Unii było nałożenie na administratora obowiązku zapobiegania wszelkim naruszeniom danych osobowych, niezależnie od staranności we wprowadzaniu środków bezpieczeństwa. w świetle wykładni systemowej, że prawodawca przewiduje możliwość wystąpienia naruszeń systemów. W art. 32 ust. 1 lit. c) wymieniono wśród sugerowanych środków zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. Zapewnienie takiej zdolności wśród środków bezpieczeństwa gwarantujących poziom bezpieczeństwa odpowiedni do ryzyka byłoby bezcelowe, gdyby uznać, że samo naruszenie systemów stanowi samo w sobie dowód świadczący o nieodpowiednim charakterze takich środków. Nadto Rzecznik wskazuję, że: obowiązek udowodnienia przez skarżącą, że doszło do naruszenia rozporządzenia, nie może iść tak daleko, by wymagać wykazania, że wdrożone przez administratora środki techniczne i organizacyjne nie są odpowiednie w rozumieniu art. 24 i 32. wracając do pytania sądu odsyłającego, w oparciu o powyższe rozważania dotyczące charakteru odpowiedzialności administratora, jeżeli, jak już wspomniałem, administrator może zostać zwolniony […]