Trybunał Sprawiedliwości Unii Europejskiej wydał bardzo istotne orzeczenie odnoszące się do trzech głównych wątków.  W tej sprawie media Bułgarskie ujawniły w lipcu 2019 r., że miał miejsce nieuprawniony dostęp do systemu informatycznego NAP oraz że w następstwie tego cyberataku w Internecie opublikowano dane osobowe zawarte w tym systemie. Zdarzenia te miały wpływ na ponad 6 mln osób fizycznych, będących obywatelami bułgarskimi lub zagranicznymi. Kilkaset z nich, w tym skarżąca w postępowaniu głównym, wytoczyło przeciwko NAP powództwa o odszkodowanie za szkodę niemajątkową wynikającą z ujawnienia ich danych osobowych. W tym kontekście skarżąca w postępowaniu głównym wniosła do Administrativen sad Sofia-grad (sądu administracyjnego w Sofii, Bułgaria) powództwo o zasądzenie od NAP kwoty 1000 BGN (lewów (około 510 EUR) tytułem odszkodowania na podstawie art. 82 RODO i przepisów prawa bułgarskiego. Na poparcie tego żądania podniosła ona, że poniosła szkodę niemajątkową wynikającą z naruszenia danych osobowych w rozumieniu art. 4 pkt 12 RODO, a w szczególności z naruszenia bezpieczeństwa, które zostało spowodowane uchybieniem przez NAP obowiązkom ciążącym na nim w szczególności na mocy art. 5 ust. 1 lit. f) oraz art. 24 i 32 tego rozporządzenia. Poniesiona przez nią szkoda niemajątkowa polega jej zdaniem na obawie, iż jej dane osobowe, które zostały opublikowane bez jej zgody, mogłyby zostać w przyszłości wykorzystane w sposób stanowiący nadużycie lub że ona sama mogłaby zostać poddana szantażowi, agresji, a nawet zostać uprowadzona. Orzeczeniem z dnia 27 listopada 2020 r. Administrativen sad Sofia-grad (sąd administracyjny w Sofii) oddalił powództwo skarżącej w postępowaniu głównym. Sąd ten uznał, po pierwsze, że nieuprawniony dostęp do bazy danych NAP wynikał z ataku hakerskiego ze strony osób trzecich, a po drugie, że skarżąca w postępowaniu głównym nie udowodniła bezczynności NAP w zakresie przyjęcia środków bezpieczeństwa. Ponadto uznał on, że skarżąca nie poniosła szkody niemajątkowej uprawniającej do odszkodowania. Skarżąca w postępowaniu głównym wniosła skargę kasacyjną od tego orzeczenia do Varhoven administrativen sad (najwyższego sądu administracyjnego, Bułgaria), który jest sądem odsyłającym w niniejszej sprawie. Na poparcie swojej skargi kasacyjnej … Czytaj dalej TSUE: RODO ustanawia system zarządzania ryzykiem i w żaden sposób nie ma na celu jego wyeliminowania