TIESAS SPRIEDUMS (trešā palāta)
2023. gada 14. decembrī (*)
Lūgums sniegt prejudiciālu nolēmumu – Personas datu aizsardzība – Regula (ES) 2016/679 – 82. pants – Tiesības uz kompensāciju un atbildība – Jēdziens “nemateriāls kaitējums” – Pašvaldības domes sanāksmes darba kārtības, kurā ietverti personas dati, publicēšana tiešsaistē – Publicēšana bez datu subjektu piekrišanas – Šo personu prasība atlīdzināt nemateriālo kaitējumu
Lietā C‑456/22
par lūgumu sniegt prejudiciālu nolēmumu atbilstoši LESD 267. pantam, ko Landgericht Ravensburg (Rāvensburgas apgabaltiesa, Vācija) iesniegusi ar 2022. gada 30. jūnija lēmumu un kas Tiesā reģistrēts 2022. gada 8. jūlijā, tiesvedībā
VX,
AT
pret
Gemeinde Ummendorf,
TIESA (trešā palāta)
šādā sastāvā: palātas priekšsēdētāja K. Jirimēe [K. Jürimäe], tiesneši N. Pisarra [N. Piçarra], M. Safjans [M. Safjan], N. Jēskinens [N. Jääskinen] (referents) un M. Gavalecs [M. Gavalec],
ģenerāladvokāts: N. Emiliu [N. Emiliou],
sekretārs: A. Kalots Eskobars [A. Calot Escobar],
ņemot vērā rakstveida procesu,
ņemot vērā apsvērumus, ko snieguši:
– AT un VX vārdā – O. Leuze, Rechtsanwalt,
– Gemeinde Ummendorf vārdā – A. Staudacher, Rechtsanwalt,
– Īrijas vārdā – M. Browne, A. Joyce un M. Tierney, pārstāvji, kuriem palīdz D. Fennelly, BL,
– Eiropas Komisijas vārdā – A. Bouchagiar, M. Heller un H. Kranenborg, pārstāvji,
ņemot vērā pēc ģenerāladvokāta uzklausīšanas pieņemto lēmumu izskatīt lietu bez ģenerāladvokāta secinājumiem,
pasludina šo spriedumu.
Spriedums
1 Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 82. panta 1. punktu.
2 Šis lūgums ir iesniegts tiesvedībā starp divām fiziskām personām AT un VX, no vienas puses, un Gemeinde Ummendorf (Ummendorfas pašvaldība, Vācija), no otras puses, par kaitējuma atlīdzību saskaņā ar VDAR 82. panta 1. punktu par ciešanām (pretium doloris), kuras, kā tās apgalvo, tām tikušas radītas tāpēc, ka bez viņu piekrišanas to personas dati tika izpausti šīs pašvaldības interneta vietnē.
Atbilstošās tiesību normas
3 VDAR 146. apsvēruma pirmais, trešais un sestais teikums ir šādi:
“Pārzinim vai apstrādātājam būtu jākompensē jebkurš kaitējums, kurš personai var būt nodarīts tādas apstrādes rezultātā, kura pārkāpj šo regulu. [..] Kaitējuma jēdziens būtu plaši jāinterpretē, ņemot vērā [Eiropas Savienības] Tiesas judikatūru, tādā veidā, kas pilnībā atbilst šīs regulas mērķiem. [..] Datu subjektiem būtu jāsaņem pilna un iedarbīga kompensācija par tiem nodarīto kaitējumu. [..]”
4 VDAR 5. panta “Personas datu apstrādes principi” 1. punkta a) apakšpunktā ir noteikts:
“Personas dati:
a) tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”).”
5 Minētās regulas 82. panta “Tiesības uz kompensāciju un atbildība” 1. punktā ir noteikts:
“Jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu.”
Pamatlieta un prejudiciālais jautājums
6 2020. gada 19. jūnijā Ummendorfas pašvaldība bez prasītāju pamatlietā piekrišanas internetā publicēja pašvaldības domes sanāksmes darba kārtību, kurā vairākkārt bija minēti viņu vārdi, kā arī Verwaltungsgericht Sigmaringen (Zigmaringenas Administratīvā tiesa, Vācija) 2020. gada 10. martā pasludināto spriedumu, kurā arī bija minēti viņu vārdi un uzvārdi, kā arī viņu dzīvesvietu adreses. Šie dokumenti bija pieejami minētās pašvaldības tīmekļa vietnes sākumlapā līdz 2020. gada 22. jūnijam.
7 Uzskatīdami, ka ar šo publikāciju ir pārkāpta VDAR un ka Ummendorfas pašvaldība ir rīkojusies apzināti, jo citu lietas dalībnieku vārdi tiesvedībā, kurā tika pasludināts minētais spriedums, bija aizklāti, prasītāji pamatlietā lūdza pašvaldībai atlīdzināt tiem nodarīto nemateriālo kaitējumu šīs regulas 82. panta 1. punkta izpratnē. Viņi uzskata, ka personas datu nelikumīga izpaušana ir “kaitējums” šīs tiesību normas izpratnē un nevar atsaukties uz “de minimis slieksni”, jo tas esot pretrunā VDAR sistēmai un minētās tiesību normas preventīvajai iedarbībai.
8 Turpretī Ummendorfas pašvaldība uzskata, ka, lai atlīdzinātu “nemateriālo kaitējumu” VDAR 82. panta 1. punkta izpratnē, ir jāpierāda uzskatāms kaitējums un objektīvi iedomājams personisko interešu apdraudējums.
9 Izskatot strīdu starp pamatlietas pusēm, iesniedzējtiesa Landgericht Ravensburg (Rāvensburgas apgabaltiesa, Vācija) uzskata, ka, publicējot internetā prasītāju pamatlietā personas datus, Ummendorfas pašvaldība ir pārkāpusi VDAR 5. panta 1. punkta a) apakšpunktu. Šī tiesa tomēr vēlas noskaidrot, vai ar šo publikāciju minētajiem prasītājiem ir nodarīts nemateriālais kaitējums šīs regulas 82. panta 1. punkta izpratnē, kālab viņiem ir tiesības saņemt kompensāciju par radītajām ciešanām.
10 It īpaši iesniedzējtiesa uzskata, ka kontroles zaudēšana pār prasītāju pamatlietā personas datiem vien nav pietiekama, lai konstatētu nemateriālo kaitējumu VDAR 82. panta 1. punkta izpratnē. Tā uzskata, ka, lai atzītu nemateriālā kaitējuma esamību, ir jāpārsniedz “de minimis slieksnis” un ka tas tā nav gadījumā, ja datu subjekti ir zaudējuši kontroli pār saviem datiem tikai īsu laika posmu, un tas tiem nav radījis uzskatāmu kaitējumu un nav pierādīts objektīvi iedomājams kaitējums viņu personiskajām interesēm.
11 Šajos apstākļos Landgericht Ravensburg (Rāvensburgas apgabaltiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādu prejudiciālu jautājumu:
“Vai [VDAR] 82. panta 1. punktā ietvertais nemateriālā kaitējuma jēdziens ir jāinterpretē tādējādi, ka, lai konstatētu nemateriālā kaitējuma esamību, ir jākonstatē jūtamas negatīvas sekas un objektīvi saprotams kaitējums personiskajām interesēm, vai arī pietiek ar to, ka datu subjekts īslaicīgi zaudē kontroli pār saviem datiem tāpēc, ka personas dati dažas dienas tiek publicēti internetā, kas datu subjektam neradīja nekādas jūtamas vai negatīvas sekas?”
Par prejudiciālo jautājumu
12 Ar šo jautājumu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka tam ir pretrunā tāds valsts tiesiskais regulējums vai prakse, kurā, lai raksturotu nemateriālo kaitējumu, kas nodarīts ar šīs regulas pārkāpumu, ir noteikts “de minimis slieksnis”.
13 Šajā ziņā jāatgādina, ka šajā tiesību normā ir paredzēts, ka “jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu”.
14 Kā Tiesa ir uzsvērusi, no VDAR 82. panta 1. punkta formulējuma izriet, ka “nodarīta” “kaitējuma” esamība ir viens no minētajā tiesību normā paredzēto tiesību uz kompensāciju nosacījumiem, tāpat kā šīs regulas pārkāpuma esamība un cēloņsakarība starp šo kaitējumu un šo pārkāpumu, un šie trīs nosacījumi ir kumulatīvi (spriedumi, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 32. punkts, un – šodienas – Natsionalna agentsia za prihodite, C‑340/21, 77. punkts). No tā izriet, ka šie trīs nosacījumi ir nepieciešami un pietiekami, lai iegūtu tiesības uz kompensāciju minētās tiesību normas izpratnē.
15 Ņemot vērā to, ka VDAR 82. panta 1. punktā nav nekādas atsauces uz dalībvalstu tiesību aktiem, jēdzienam “nemateriāls kaitējums” šīs tiesību normas izpratnē ir jāpiešķir autonoma un vienota definīcija, kas raksturīga Savienības tiesībām (šajā nozīmē skat. spriedumu, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 30. un 44. punkts).
16 Turklāt, balstīdamās uz vienlīdz gramatiskiem, sistēmiskiem un teleoloģiskiem apsvērumiem, Tiesa VDAR 82. panta 1. punktu ir interpretējusi tādējādi, ka tam ir pretrunā tāda valsts tiesību norma vai prakse, saskaņā ar kuru “nemateriālā kaitējuma” atlīdzināmība šīs tiesību normas izpratnē ir pakārtota nosacījumam, ka datu subjektam nodarītais kaitējums ir sasniedzis noteiktu smaguma pakāpi (spriedumi, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 51. punkts, un – šodienas – Natsionalna agentsia za prihodite, C‑340/21, 78. punkts).
17 Tādējādi nevar uzskatīt, ka trīs šī sprieduma 14. punktā minētos nosacījumus var papildināt ar citiem VDAR 82. panta 1. punktā paredzētās atbildības iestāšanās nosacījumiem, kā, piemēram, kaitējuma uzskatāmība vai aizskāruma objektīvais raksturs.
18 No tā izriet, ka VDAR 82. panta 1. punktā nav prasīts, lai pēc pierādīta šīs regulas noteikumu pārkāpuma attiecīgās personas apgalvotajam “nemateriālajam kaitējumam” būtu jāsasniedz “de minimis slieksnis”, lai šis kaitējums varētu tikt atlīdzināts.
19 Šo interpretāciju apstiprina VDAR 146. apsvēruma trešais teikums, kurā noteikts, ka “kaitējuma jēdziens būtu plaši jāinterpretē, ņemot vērā Tiesas judikatūru, tādā veidā, kas pilnībā atbilst šīs regulas mērķiem”. Taču šādam plašam jēdziena “kaitējums” konceptam, kam priekšroku devis Savienības likumdevējs, būtu pretrunā, ja minētais jēdziens attiektos tikai uz noteikta smaguma kaitējumu, it īpaši attiecībā uz tā laikposma ilgumu, kurā datu subjekti ir cietuši minētās regulas pārkāpuma negatīvās sekas (šajā nozīmē skat. spriedumus, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 46. punkts, un – šodienas – Natsionalna agentsia za prihodite, C‑340/21, 81. punkts).
20 Turklāt šāda interpretācija atbilst vienam no VDAR mērķiem nodrošināt fizisko personu konsekventu un augsta līmeņa aizsardzību attiecībā uz personas datu apstrādi Savienībā. Taču, pakārtojot nemateriālā kaitējuma atlīdzināmību noteiktai kaitējuma smaguma minimālajai robežvērtībai, varētu tikt apdraudēta ar šo regulu ieviestā regulējuma saskaņotība, jo šāda sliekšņa gradācija, no kuras būtu atkarīga minētās kompensācijas saņemšanas iespēja, varētu svārstīties atkarībā no lietu izskatošās tiesas vērtējuma (šajā nozīmē skat. spriedumu, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi) C‑300/21, EU:C:2023:370, 48. un 49. punkts).
21 Personai, kuru skāris VDAR pārkāpums un kurai no tā radušās negatīvas sekas, ir tomēr jāpierāda, ka šīs sekas rada nemateriālo kaitējumu šīs regulas 82. panta izpratnē (šajā nozīmē skat. spriedumus, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 50. punkts, un – šodienas – Natsionalna agentsia za prihodite, C‑340/21, 84. punkts). Proti, ar vienkāršu šīs regulas tiesību normu pārkāpumu vien nepietiek, lai varētu piešķirt tiesības uz kompensāciju (spriedums, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 42. punkts).
22 Šādos apstākļos, lai gan nevar izslēgt, ka personas datu publicēšana internetā un tam sekojošs kontroles zudums pār tiem īsā laika posmā var radīt datu subjektiem “nemateriālu kaitējumu” VDAR 82. panta 1. punkta izpratnē, kas dod tiesības uz kompensāciju, šīm personām vēl ir jāpierāda, ka tām šāds kaitējums – lai cik niecīgs tas arī būtu – tiešām ir radīts.
23 Ņemot vērā iepriekš izklāstītos apsvērumus, uz uzdoto jautājumu ir jāatbild, ka VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka tam ir pretrunā tāds valsts tiesiskais regulējums vai prakse, kurā, lai raksturotu nemateriālo kaitējumu, kas nodarīts ar šīs regulas pārkāpumu, ir noteikts “de minimis slieksnis”. Datu subjektam ir jāpierāda, ka tā apgalvotā pārkāpuma sekas rada kaitējumu, kas atšķiras no vienkārša minētās regulas noteikumu pārkāpuma.
Par tiesāšanās izdevumiem
24 Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.
Ar šādu pamatojumu Tiesa (trešā palāta) nospriež:
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 82. panta 1. punkts
ir jāinterpretē tādējādi, ka
tam ir pretrunā tāds valsts tiesiskais regulējums vai prakse, kurā, lai raksturotu nemateriālo kaitējumu, kas nodarīts ar šīs regulas pārkāpumu, ir noteikts “de minimis slieksnis”. Datu subjektam ir jāpierāda, ka tā apgalvotā pārkāpuma sekas rada kaitējumu, kas atšķiras no vienkārša minētās regulas noteikumu pārkāpuma.
[Paraksti]