На 14.12.2023 г. СЕС се произнесе по преюдициалното запитване на Върховния административен съд на България (ВАС). То се отнася до тълкуването на член 5, параграф 2, членове 24 и 32, както и член 82, параграфи 1—3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните). Запитването е отправено в рамките на спор между физическо лице, и Националната агенция за приходите България (НАП), относно обезщетение за неимуществените вреди, които лицето твърди, че е претърпяло вследствие на твърдяно неизпълнение от страна на този публичен орган на законните му задължения в качеството му на администратор на лични данни.
СЕС постанови, че опасенията от потенциална злоупотреба с лични данни, породени от нарушение на ОРЗД, могат да представляват нематериална вреда. Уточнено е, че когато лице иска обезщетение на това основание, сезираната национална юрисдикция е длъжна да провери дали опасенията може да се считат за основателни с оглед на обстоятелствата в конкретния случай и на субекта на данни.
Освен това СЕС посочва, че НАП не може да се освободи от отговорност, само защото е била жертва на хакерска атака. Подчертано е, че изтичането на данните не е достатъчно, за да се приеме, че приложените от НАП или всеки друг администратор мерки не са подходящи по смисъла на ОРЗД. Пояснява, че самият факт на хакерска атака нито освобождава администратора от отговорност, нито напротив – означава непременно, че мерките, които е предприел са били неподходящи.
