CURIA - Documents

Home > Search form > List of results > Documents

Start printing

Language of document : ECLI:EU:C:2024:531

Začasna izdaja

SODBA SODIŠČA (tretji senat)

z dne 20. junija 2024(*)

„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 82 – Pravica do odškodnine za škodo, povzročeno z obdelavo podatkov, ki je bila izvedena v nasprotju s to uredbo – Pojem ,nepremoženjska škoda‘ – Odškodnina kaznovalne narave ali kot zgolj kompenzacija in zadoščenje – Minimalno ali simbolično nadomestilo – Kraja osebnih podatkov, shranjenih na aplikaciji za trgovanje – Kraja ali zloraba identitete“

V združenih zadevah C‑182/22 in C‑189/22,

katerih predmet sta predloga za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ju je vložilo Amtsgericht München (okrajno sodišče v Münchnu, Nemčija) z odločbama z dne 3. marca 2022, ki sta na Sodišče prispeli 10. in 11. marca 2022, v postopkih

JU (C‑182/22),

SO (C‑189/22)

proti

Scalable Capital GmbH,

SODIŠČE (tretji senat),

v sestavi K. Jürimäe, predsednica senata, N. Piçarra in N. Jääskinen (poročevalec), sodnika,

generalni pravobranilec: A. M. Collins,

sodni tajnik: A. Calot Escobar,

na podlagi pisnega postopka,

ob upoštevanju stališč, ki so jih predložili:

– za SO M. Ruigrok van de Werve, Rechtsanwalt,

– za Scalable Capital GmbH M. C. Mekat, Rechtsanwalt,

– za Irsko M. Browne, Chief State Solicitor, A. Joyce in M. Tierney, agenta, skupaj z D. Fennellyjem, BL,

– za Evropsko komisijo A. Bouchagiar, M. Heller in H. Kranenborg, agenti,

po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 26. oktobra 2023

izreka naslednjo

Sodbo

1 Predloga za sprejetje predhodne odločbe se nanašata na razlago člena 82 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2016, L 127, str. 2) (v nadaljevanju: SUVP).

2 Ta predloga sta bila vložena v okviru dveh sporov med JU oziroma SO in družbo Scalable Capital GmbH v zvezi z odškodnino za nepremoženjsko škodo, ki naj bi jima nastala zaradi kraje – s strani tretjih oseb, katerih identiteta ni znana – njunih osebnih podatkov, shranjenih na aplikaciji za trgovanje, ki jo upravlja ta družba.

Pravni okvir

3 V uvodnih izjavah 75, 85 in 146 SUVP je navedeno:

„(75) Tveganje za pravice in svoboščine posameznikov, ki se razlikuje po verjetnosti in resnosti, je lahko posledica obdelave osebnih podatkov, ki bi lahko povzročila fizično, premoženjsko ali nepremoženjsko škodo, zlasti: kadar obdelava lahko privede do diskriminacije, kraje ali zlorabe identitete, finančne izgube, okrnitve ugleda, izgube zaupnosti osebnih podatkov, zaščitenih s poklicno molčečnostjo, neodobrene reverzije psevdonimizacije ali katere koli druge znatne gospodarske ali socialne škode; kadar bi bile posameznikom, na katere se nanašajo osebni podatki, lahko odvzete pravice in svoboščine ali bi jim bilo preprečeno izvajanje nadzora nad njihovimi osebnimi podatki; kadar se obdelujejo osebni podatki, ki razkrivajo rasno ali etnično poreklo, politična mnenja, veroizpoved ali filozofsko prepričanje ali članstvo v sindikatu, ter obdelovanje genetskih podatkov ali podatkov v zvezi z zdravjem ali podatkov v zvezi s spolnim življenjem ali kazenskimi obsodbami in prekrški ali s tem povezanimi varnostnimi ukrepi, kadar se vrednotijo osebni vidiki, zlasti analiziranje ali predvidevanje vidikov, ki zadevajo uspešnost pri delu, ekonomski položaj, zdravje, osebni okus ali interese, zanesljivost ali vedenje, lokacijo ali gibanje, da bi se ustvarili ali uporabljali osebni profili, kadar se obdelujejo osebni podatki ranljivih posameznikov, zlasti otrok; ali kadar obdelava vključuje veliko število osebnih podatkov in zadeva veliko število posameznikov, na katere se nanašajo osebni podatki.

[…]

(85) Kršitev varstva osebnih podatkov lahko, če se ne obravnava ustrezno in pravočasno, zadevnim posameznikom povzroči fizično, premoženjsko ali nepremoženjsko škodo, kot je izguba nadzora nad njihovimi osebnimi podatki ali omejitev njihovih pravic, diskriminacija, kraja ali zloraba identitete, finančna izguba, neodobrena reverzija psevdonimizacije, okrnitev ugleda, izguba zaupnosti osebnih podatkov, zaščitenih s poklicno skrivnostjo, ali katera koli druga znatna gospodarska ali socialna škoda. […]

[…]

(146) […] Upravljavec ali obdelovalec bi moral biti oproščen odgovornosti, če dokaže, da ni v nobenem primeru odgovoren za škodo. Pojem škode bi bilo treba razlagati široko ob upoštevanju sodne prakse Sodišča na način, ki, v celoti odraža cilje te uredbe. […] Posamezniki, na katere se nanašajo osebni podatki, bi morali prejeti celotno in učinkovito odškodnino za škodo, ki so jo utrpeli. […]“

4 Člen 4 te uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

(1) ,osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); […]

[…]

(7) ‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave;

[…]

(10) ,tretja oseba‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali telo, ki ni posameznik, na katerega se nanašajo osebni podatki, upravljavec, obdelovalec in osebe, ki so pooblaščene za obdelavo osebnih podatkov pod neposrednim vodstvom upravljavca ali obdelovalca;

[…]

(12) ,kršitev varstva osebnih podatkov‘ pomeni kršitev varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani;

[…].“

5 Člen 82 te uredbe, naslovljen „Pravica do odškodnine in odgovornost“, v odstavkih od 1 do 3 določa:

„1. Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.

2. Vsak upravljavec, vključen v obdelavo, je odgovoren za škodo, ki jo povzroči obdelava, ki krši to uredbo. Obdelovalec je odgovoren za škodo, ki jo povzroči obdelava le, kadar ne izpolnjuje obveznosti iz te uredbe, ki so posebej naslovljene na obdelovalce, ali kadar je prekoračil zakonita navodila upravljavca ali ravnal v nasprotju z njimi.

3. Upravljavec ali obdelovalec je izvzet od odgovornosti iz odstavka 2, če dokaže, da v nobenem primeru ni odgovoren za dogodek, ki povzroči škodo.“

Spora o glavni stvari in vprašanja za predhodno odločanje

6 Scalable Capital je družba nemškega prava, ki upravlja trading app (aplikacija za trgovanje), na kateri sta tožeči stranki iz postopkov v glavni stvari, osebi JU in SO, odprli račun. V ta namen sta zadnjenavedeni na svojih računih vnesli nekatere osebne podatke, zlasti ime, datum rojstva, poštni naslov, elektronski naslov in digitalno kopijo osebne izkaznice. Tožeči stranki iz postopkov v glavni stvari sta plačali znesek v višini več tisoč EUR, ki je bil potreben za odprtje teh računov.

7 Leta 2020 so tretje osebe, katerih identiteta ostaja neznana, z vdorom ukradle osebne podatke in podatke v zvezi s portfeljem vrednostnih papirjev tožečih strank iz postopkov v glavni stvari. Po mnenju družbe Scalable Capital navedeni osebni podatki do zdaj niso bili zlorabljeni.

8 V teh okoliščinah sta tožeči stranki iz postopkov v glavni stvari pri Amtsgericht München (okrajno sodišče v Münchnu, Nemčija), ki je predložitveno sodišče, vložili tožbo za povračilo nepremoženjske škode, ki naj bi jima nastala zaradi kraje njunih osebnih podatkov.

9 Na prvem mestu, vprašanja predložitvenega sodišča izhajajo iz različnih pristopov nemških sodišč k oceni odškodnine, ki jo je treba dodeliti v takih okoliščinah. Iz tega izhajajo velike razlike v znesku denarne odškodnine, dodeljene v primerih, ki so vendarle podobni tistima iz postopkov v glavni stvari, zlasti glede na to, ali je bil upoštevan morebiten odvračilni učinek ali ne. Predložitveno sodišče navaja, da v obravnavani zadevi izguba zadevnih podatkov vpliva na več deset tisoč oseb in da bi bilo torej treba sprejeti enoten način ocenjevanja.

10 Na drugem mestu, ocena nepremoženjske škode se za razlikovanje funkcije „kompenzacije“ od funkcije „osebnega zadoščenja“ opira na nemško pravo. Namen funkcije izravnave naj bi bil nadomestiti nastale in predvidljive posledice zatrjevane škode, medtem ko naj bi bil namen funkcije osebnega zadoščenja nevtralizirati občutek nepravičnosti, ki je nastal zaradi nastanka navedene škode. Navaja, da ima v nemškem pravu ta funkcija zadoščenja le pomožno vlogo, in meni, da v obravnavanih zadevah ta funkcija nikakor ne bi smela vplivati na izračun odškodnine, ki jo zahtevata tožeči stranki.

11 Na tretjem mestu, v nemškem pravu naj ne bi obstajala lestvica, na podlagi katere bi bilo mogoče določiti znesek odškodnine, ki jo je treba dodeliti glede na položaje, v katerih se zahteva. Vendar naj bi bilo na podlagi velikega števila izdanih posamičnih odločb mogoče določiti okvir, na katerega bi se bilo mogoče sklicevati, kar vodi do neke vrste sistematizacije nadomestil. V zvezi s tem naj bi bila v nemškem pravnem redu denarna odškodnina odobrena le za nadomestitev posebej hudih kršitev osebnostnih pravic. Denarna ocena naj bi bila bolj objektivna za nadomestilo za telesne poškodbe. Predložitveno sodišče torej meni, da bi morala izguba podatkov imeti manjšo težo, kot jo imajo telesne poškodbe.

12 Na četrtem mestu, navedeno sodišče se sprašuje o možnosti dodelitve nizkih odškodnin, ki bi se lahko razumele kot simbolične, v primerih, v katerih je škoda, povezana s kršitvijo SUVP, minimalna.

13 Na petem mestu, ugotavlja, da stranki iz postopkov v glavni stvari različno razlagata pojem „kraja identitete“. V zvezi s tem meni, da gre za krajo identitete samo, kadar tretja oseba nezakonito pridobljene podatke uporablja, da se izdaja za posameznika, na katerega se nanašajo osebni podatki.

14 V teh okoliščinah je Amtsgericht München (okrajno sodišče v Münchnu) v zadevah C‑182/22 in C‑189/22 prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja, ki so v teh dveh zadevah enaka:

„1. Ali je treba člen 82 [SUVP] razlagati tako, da odškodnina, vključno z določitvijo njene višine, ni kaznovalna, zlasti pa nima splošne niti individualne odvračalne funkcije, temveč ima samo funkcijo izravnave in v nekaterih primerih funkcijo zadoščenja?

2. Ali je treba pri določanju odškodnine za nepremoženjsko škodo izhajati iz tega, da ima odškodnina tudi individualno funkcijo zadoščenja – ki se tu razume kot zasebni interes oškodovanca, da vidi, da se ravnanje, s katerim je bila povzročena škoda, kaznuje – ali pa ima odškodnina zgolj funkcijo izravnave – ki se tu razume kot funkcija, da se povrne utrpljena škoda?

Če je treba šteti, da ima odškodnina za nepremoženjsko škodo tako funkcijo izravnave kot funkcijo zadoščenja: ali je treba pri določanju odškodnine izhajati iz tega, da ima funkcija izravnave strukturno prednost pred funkcijo zadoščenja oziroma vsaj prednost, ki izvira iz njunega razmerja pravila in izjeme? Ali to pomeni, da se lahko funkcija zadoščenja upošteva le pri namernih kršitvah ali kršitvah, ki so posledica hude malomarnosti?

Če odškodnina za nepremoženjsko škodo nima funkcije zadoščenja: ali se pri [njenem] določanju pripiše teža samo namernim kršitvam varnosti podatkov oziroma tistim kršitvam varnosti podatkov, ki so bile storjene zaradi hude malomarnosti, ki se štejejo za dejavnike, ki so povzročili škodo?

3. Ali je treba odškodnino za nepremoženjsko škodo določiti na podlagi strukturnega prednostnega razmerja oziroma vsaj razmerja prednosti v smislu pravila in izjeme, ki pripisuje doživljanju škodljivih učinkov kršitve varnosti podatkov manjšo težo kot doživljanju poškodbe in bolečin, povezanih s telesno poškodbo?

4. Ali lahko nacionalno sodišče, kadar je treba izhajati iz načela, da je škoda nastala, dodeli le minimalno odškodnino, ki se torej lahko – glede na okoliščine primera – oškodovancu ali na splošno zdi le simbolična, glede na to, da škoda ni resna?

5. Ali je treba posledice odškodnine za nepremoženjsko škodo presojati na podlagi tega, da je kraja identitete v smislu uvodne izjave 75 [SUVP] podana šele, ko storilec kaznivega dejanja prevzame identiteto posameznika, na katerega se nanašajo osebni podatki, da se torej v kakršni koli obliki izdaja za posameznika, na katerega se nanašajo osebni podatki, ali pa je taka kraja identitete podana že, če so storilci kaznivih dejanj pridobili podatke, na podlagi katerih je mogoče posameznika, na katerega se nanašajo osebni podatki, identificirati?“

Postopek pred Sodiščem

15 Zadevi C‑182/22 in C‑189/22 sta bili s sklepom predsednika Sodišča z dne 19. aprila 2022 združeni za pisni in ustni del postopka ter izdajo sodbe.

16 Predsednik Sodišča je 1. junija 2022 zavrnil predlog družbe Scalable Capital za anonimizacijo tega postopka na podlagi člena 95(2) Poslovnika Sodišča.

Dopustnost predlogov za sprejetje predhodne odločbe

17 Družba Scalable Capital v bistvu trdi, da ta predloga za sprejetje predhodne odločbe nista dopustna, ker ne vplivata na rešitev sporov o glavni stvari. Meni, da abstraktne izgube nadzora nad podatki – za kar gre v obravnavanih zadevah – ni mogoče opredeliti kot „škodo“ v smislu člena 82(1) SUVP, kadar je taka izguba nadzora ostala brez konkretnih posledic in torej pogoji za uporabo navedenega člena 82 niso izpolnjeni. Taka opredelitev bi namreč privedla do ugotovitve, da vsaka kršitev uredbe povzroči nastanek domneve škode, kar je v nasprotju z besedilom, splošno sistematiko in zgodovino nastanka člena 82 SUVP.

18 V zvezi s tem je v skladu z ustaljeno sodno prakso le nacionalno sodišče, ki odloča o sporu in ki mora prevzeti odgovornost za sodno odločbo, ki bo izdana, pristojno, da ob upoštevanju posebnosti zadeve presodi potrebo po predhodni odločbi, da bi lahko izdalo sodbo, in tudi upoštevnost vprašanj, ki jih postavi Sodišču in za katere velja domneva upoštevnosti. Zato Sodišče, kadar se postavljeno vprašanje nanaša na razlago ali veljavnost pravila prava Unije, načeloma mora odločiti, razen če je očitno, da zahtevana razlaga nima nobene zveze z dejanskim stanjem ali predmetom spora o glavni stvari, če je problem hipotetičen ali če Sodišče nima na voljo pravnih in dejanskih elementov, ki so potrebni, da bi lahko na navedeno vprašanje dalo koristne odgovore (glej sodbi z dne 5. maja 2022, Zagrebačka banka, C‑567/20, EU:C:2022:352, točka 43, in z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 23).

19 V obravnavanih zadevah zadostuje opozoriti, da kadar ni očitno, da razlaga določbe prava Unije nima nobene zveze z dejanskim stanjem ali predmetom spora o glavni stvari, se ugovor v zvezi z neuporabo te določbe v postopku v glavni stvari ne nanaša na dopustnost predloga za sprejetje predhodne odločbe, ampak na vsebino postavljenih vprašanj (glej v tem smislu sodbe z dne 13. julija 2006, Manfredi in drugi, od C‑295/04 do C‑298/04, EU:C:2006:461, točka 30; z dne 4. julija 2019, Kirschstein, C‑393/17, EU:C:2019:563, točka 28, in z dne 24. julija 2023, Lin, C‑107/23 PPU, EU:C:2023:606, točka 66).

20 Iz tega sledi, da sta ta predloga za sprejetje predhodne odločbe dopustna.

Vprašanja za predhodno odločanje

Prvo vprašanje in prvi del drugega vprašanja

21 Predložitveno sodišče s prvim vprašanjem in prvim delom drugega vprašanja, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da ima pravica do odškodnine iz te določbe kompenzacijsko funkcijo – ker mora denarno nadomestilo, ki temelji na navedeni določbi, omogočiti, da se v celoti nadomesti škoda, ki je nastala zaradi kršitve te uredbe – ali tako, da ima tudi kaznovalno funkcijo, katere namen je med drugim zadovoljiti individualne interese posameznika, na katerega se nanašajo osebni podatki.

22 V zvezi s tem je Sodišče že razsodilo, da člen 82 SUVP nima kaznovalne, temveč kompenzacijsko funkcijo, v nasprotju z drugimi določbami te uredbe, ki so prav tako v poglavju VIII te uredbe, in sicer členoma 83 in 84 navedene uredbe, ki imata v bistvu kaznovalno funkcijo, saj omogočata tako naložitev upravnih glob kot drugih sankcij. Odnos med pravili iz navedenega člena 82 in pravili iz navedenih členov 83 in 84 dokazuje, da obstaja razlika med tema kategorijama določb, vendar tudi dopolnjevanje v smislu spodbujanja k spoštovanju SUVP, pri čemer je treba opozoriti, da pravica vsakogar, da zahteva odškodnino za škodo, krepi uspešnost pravil o varstvu, določenih s to uredbo, in lahko odvrača od ponavljanja nezakonitih ravnanj (glej zlasti sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 38 in 40, ter z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 59).

23 Zato se je člen 82(1) SUVP razlagal tako, da ima pravica do odškodnine iz te določbe, zlasti v primeru nepremoženjske škode, izključno kompenzacijsko funkcijo, ker mora denarno nadomestilo, ki temelji na navedeni določbi, omogočiti, da se v celoti nadomesti škoda, ki je dejansko nastala zaradi kršitve te uredbe, in nima odvračilne ali kaznovalne funkcije (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 57 in 58, ter z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 61).

24 Zato je treba na prvo vprašanje in prvi del drugega vprašanja odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da ima pravica do odškodnine iz te določbe izključno kompenzacijsko funkcijo, ker mora denarno nadomestilo, ki temelji na navedeni določbi, omogočiti, da se nastala škoda v celoti nadomesti.

Drugi del drugega vprašanja

25 Glede na odgovor na prvo vprašanje in prvi del drugega vprašanja na ta drugi del drugega vprašanja ni treba odgovoriti.

Tretji del drugega vprašanja

26 Predložitveno sodišče s tretjim delom drugega vprašanja v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da ta zahteva, da se stopnja resnosti in morebitna namernost kršitve te uredbe, ki jo je storil upravljavec, upoštevata pri odškodnini na podlagi te določbe.

27 Pri določitvi višine morebitne odškodnine na podlagi člena 82 SUVP morajo nacionalna sodišča, ker ta uredba ne vsebuje določbe o tem, uporabiti nacionalna pravila vsake države članice v zvezi z obsegom denarne odškodnine, vendar le če se spoštujeta načeli enakovrednosti in učinkovitosti prava Unije (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točke 53, 54 in 59, ter z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točka 53).

28 Vendar je treba poudariti, na eni strani, da je uveljavljanje odgovornosti upravljavca na podlagi člena 82 SUVP pogojeno z obstojem napake tega upravljavca, ki se domneva, razen če ta upravljavec dokaže, da dogodka, ki je povzročil škodo, nikakor ni mogoče pripisati njemu, in da na drugi strani ta člen 82 ne zahteva, da se pri določitvi zneska odškodnine za nepremoženjsko škodo na podlagi te določbe upošteva stopnja resnosti te napake (sodbi z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točka 103, in z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točka 52).

29 Poleg tega izključno kompenzacijska funkcija pravice do odškodnine, določene v členu 82(1) SUVP, ne zahteva, da se morebitna namernost kršitve te uredbe, za katero se domneva, da jo je storil upravljavec, upošteva pri določitvi zneska odškodnine, dodeljene za povrnitev nepremoženjske škode na podlagi navedene določbe. Vendar je treba ta znesek določiti tako, da se v celoti nadomesti škoda, ki je dejansko nastala zaradi kršitve navedene uredbe (glej po analogiji sodbi z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točka 102, in z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točka 54).

30 Glede na zgoraj navedeno je treba na tretji del drugega vprašanja odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da ne zahteva, da se stopnja resnosti in morebitna namernost kršitve te uredbe, ki jo je storil upravljavec, upoštevata pri odškodnini na podlagi te določbe.

Tretje vprašanje

31 Predložitveno sodišče s tretjim vprašanjem v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da je treba v okviru določitve zneska odškodnine, dolgovane iz naslova pravice do odškodnine za nepremoženjsko škodo, šteti, da je taka škoda, povzročena s kršitvijo varstva osebnih podatkov, po naravi manj resna od telesne poškodbe.

32 V zvezi s tem je treba opozoriti, da je treba v skladu z ustaljeno sodno prakso ob neobstoju pravil Unije na zadevnem področju na podlagi načela procesne avtonomije v notranjem pravnem redu vsake države članice urediti procesna pravila za sodna pravna sredstva, katerih namen je varstvo pravic pravnih subjektov, vendar pod pogojem, da ta pravila v položajih, za katere se uporabi pravo Unije, niso manj ugodna od tistih, ki urejajo podobne položaje, za katere velja nacionalno pravo (načelo enakovrednosti), in da v praksi ne onemogočajo ali pretirano otežujejo uveljavljanja pravic, ki jih daje pravo Unije (načelo učinkovitosti) (glej v tem smislu sodbi z dne 13. decembra 2017, El Hassani, C‑403/16, EU:C:2017:960, točka 26, in z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 53).

33 V obravnavanih zadevah je treba navesti, da SUVP ne vsebuje nobene določbe, katere namen bi bil opredeliti pravila v zvezi z določitvijo višine odškodnine, ki jo lahko posameznik, na katerega se nanašajo osebni podatki, v smislu člena 4, točka 1, te uredbe zahteva na podlagi njenega člena 82, kadar mu je zaradi kršitve navedene uredbe nastala škoda. Zato je treba ob neobstoju pravil prava Unije na zadevnem področju v pravnem redu vsake države članice določiti pravila za tožbe, katerih namen je varstvo pravic, ki jih imajo pravni subjekti na podlagi tega člena 82, zlasti merila, ki omogočajo določitev obsega odškodnine, ki je dolgovana v tem okviru, pri čemer pa morata biti spoštovani navedeni načeli enakovrednosti in učinkovitosti (sodba z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 54).

34 Ker noben element iz spisa, s katerim razpolaga Sodišče, ne kaže na to, da bi bilo načelo enakovrednosti lahko upoštevno v okviru postopkov v glavni stvari, se je treba osredotočiti na načelo učinkovitosti. S tega vidika mora predložitveno sodišče ugotoviti, ali pravila, določena v nemškem pravu za sodno določitev odškodnine, dolgovane na podlagi pravice do odškodnine iz člena 82 SUVP, v praksi ne onemogočajo ali pretirano otežujejo uveljavljanja pravic, ki jih daje pravo Unije, in sicer natančneje s to uredbo.

35 V zvezi s tem iz sodne prakse, navedene v točki 23 te sodbe, izhaja, da je treba ob upoštevanju izključno kompenzacijske funkcije pravice do odškodnine iz člena 82(1) te uredbe denarno nadomestilo, ki temelji na tej določbi, šteti za „celotno in učinkovito“, če omogoča, da se v celoti nadomesti škoda, ki je dejansko nastala zaradi kršitve navedene uredbe.

36 S tega vidika je v uvodni izjavi 146 navedene uredbe poleg tega navedeno, da bi bilo treba „[p]ojem škode […] razlagati široko ob upoštevanju sodne prakse Sodišča na način, ki v celoti odraža cilje te uredbe“, in da bi morali „[p]osamezniki, na katere se nanašajo osebni podatki, […] prejeti celotno in učinkovito odškodnino za škodo, ki so jo utrpeli“.

37 Prav tako je treba opozoriti, da so v uvodnih izjavah 75 in 85 SUVP navedene različne okoliščine, ki jih je mogoče opredeliti kot „fizično, premoženjsko ali nepremoženjsko škodo“, ne da bi bila vzpostavljena hierarhija med njimi, niti v njiju ni navedeno, da je škoda, nastala zaradi kršitve varstva podatkov, po naravi manj resna od telesnih poškodb.

38 Načelna domneva, da je telesna poškodba po naravi resnejša od nepremoženjske škode, pa bi lahko omajala načelo celotne in učinkovite povrnitve nastale škode.

39 Glede na zgoraj navedeno je treba na tretje vprašanje odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da je treba v okviru določitve zneska odškodnine, dolgovane iz naslova pravice do odškodnine za nepremoženjsko škodo, šteti, da taka škoda, povzročena s kršitvijo varstva osebnih podatkov, po naravi ni manj resna od telesne poškodbe.

Četrto vprašanje

40 Predložitveno sodišče s četrtim vprašanjem v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da kadar je škoda določena, lahko nacionalno sodišče, če ta ni resna, odredi njeno povračilo tako, da posamezniku, na katerega se nanašajo osebni podatki, prisodi minimalno odškodnino, ki bi se lahko razumela kot simbolična.

41 Najprej je treba opozoriti, da iz ustaljene sodne prakse izhaja, da je treba člen 82(1) SUVP razlagati tako, da zgolj kršitev te uredbe ne zadostuje za podelitev pravice do odškodnine, ker je obstoj premoženjske ali nepremoženjske „škode“ oziroma „škode“, ki je „nastala“, eden od pogojev za pravico do odškodnine iz navedenega člena 82(1), in sicer poleg obstoja kršitve te uredbe ter vzročne zveze med to škodo in to kršitvijo, pri čemer so ti trije pogoji kumulativni (sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 32, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 34).

42 Tako mora oseba, ki zahteva povračilo nepremoženjske škode na podlagi te določbe, dokazati ne le kršitev določb te uredbe, ampak tudi, da ji je bila s to kršitvijo povzročena taka škoda, ki je torej ni mogoče domnevati samo zaradi nastanka navedene kršitve (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 42 in 50, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 35).

43 Kadar osebi uspe dokazati, da ji je kršitev SUVP povzročila škodo v smislu člena 82 te uredbe, je iz točke 33 te sodbe v bistvu razvidno, da morajo biti merila za določitev višine odškodnine, dolgovane v okviru tožb, katerih namen je varstvo pravic, ki jih imajo pravni subjekti na podlagi tega člena, določena v nacionalnem pravu vsake države članice, če je taka odškodnina celotna in učinkovita.

44 V zvezi s tem je Sodišče razsodilo, da člen 82(1) SUVP ne zahteva, da mora po dokazani kršitvi določb te uredbe škoda, ki jo zatrjuje posameznik, na katerega se nanašajo osebni podatki, doseči „prag de minimis“, da bi na podlagi nje nastala pravica do odškodnine (glej v tem smislu sodbo z dne 14. decembra 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, točka 18).

45 Vendar ti preudarki ne izključujejo možnosti nacionalnih sodišč, da prisodijo nizko odškodnino, če ta odškodnina v celoti nadomesti navedeno škodo, kar pa mora preveriti predložitveno sodišče ob upoštevanju načel, navedenih v točki 43 te sodbe.

46 Glede na zgoraj navedene razloge je treba na četrto vprašanje odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da kadar je škoda določena, lahko nacionalno sodišče, če ta ni resna, odredi njeno povračilo tako, da posamezniku, na katerega se nanašajo osebni podatki, prisodi minimalno odškodnino, če je to povračilo tako, da lahko v celoti nadomesti nastalo škodo.

Peto vprašanje

Dopustnost

47 Evropska komisija se je v pisnih stališčih spraševala o upoštevnosti petega vprašanja za odgovor na spora o glavni stvari v delu, v katerem ugotavlja, da se predložitveno sodišče ni sklicevalo na nobeno konkretno določbo prava Unije.

48 V zvezi s tem se peto vprašanje nanaša na pojem „kraja identitete“ v smislu uvodne izjave 75 SUVP in se formalno ne nanaša na člen 82 te uredbe. Vendar samo dejstvo, da je Sodišče poklicano k temu, da se izreče z abstraktnimi in splošnimi besedami, ne more povzročiti nedopustnosti predloga za sprejetje predhodne odločbe (sodba z dne 15. novembra 2007, International Mail Spain, C‑162/06, EU:C:2007:681, točka 24).

49 Predložitveno sodišče pa s tem vprašanjem Sodišče prosi za razlago pojma „kraja identitete“, kot je naveden v uvodni izjavi 75 SUVP, da bi določilo znesek denarnega nadomestila iz člena 82 SUVP. Navedeno vprašanje se torej dejansko nanaša na določbo prava Unije. Poleg tega je odgovor na to vprašanje upošteven tudi zato, ker se niti predložitveno sodišče niti stranke iz postopkov v glavni stvari ne strinjajo glede opredelitve tega pojma za namene ocene škode, nastale v zadevah iz postopkov v glavni stvari.

50 V teh okoliščinah je peto vprašanje dopustno.

Vsebinska presoja

51 V skladu z ustaljeno sodno prakso mora Sodišče v okviru postopka sodelovanja med nacionalnimi sodišči in Sodiščem, uvedenega s členom 267 PDEU, nacionalnemu sodišču dati koristen odgovor, ki mu omogoča rešitev spora, o katerem odloča. S tega vidika mora Sodišče po potrebi preoblikovati vprašanja, ki so mu bila predložena. Poleg tega lahko Sodišče upošteva določbe prava Unije, na katere se nacionalno sodišče v svojem vprašanju ni sklicevalo (sodba z dne 7. septembra 2023, Groenland Poultry, C‑169/22, EU:C:2023:638, točka 47 in navedena sodna praksa).

52 V obravnavanih zadevah se peto vprašanje nanaša na pravico do odškodnine iz člena 82(1) SUVP, predvsem pa na pojem „kraja identitete“ iz uvodne izjave 75 SUVP. Navesti pa je treba, da je – razen v tej uvodni izjavi – ta pojem omenjen tudi v uvodni izjavi 85 te uredbe.

53 Zato je treba šteti, da predložitveno sodišče s petim vprašanjem v bistvu sprašuje, ali je treba člen 82(1) SUVP v povezavi z uvodnima izjavama 75 in 85 te uredbe razlagati tako, da pojem „kraja identitete“ za njegovo opredelitev in za nastanek pravice do odškodnine za nepremoženjsko škodo na podlagi te določbe pomeni, da tretja oseba dejansko zlorablja identiteto posameznika, katerega osebni podatki so bili ukradeni, ali pa je taka kraja identitete podana, čim ima ta tretja oseba na voljo podatke, na podlagi katerih je mogoče identificirati posameznika, na katerega se nanašajo osebni podatki.

54 Pojem kraje identitete v SUVP ni opredeljen. Vendar sta „kraja“ ali „zloraba“ identitete v uvodni izjavi 75 te uredbe navedeni kot del neizčrpnega seznama posledic obdelave osebnih podatkov, ki bi lahko povzročila fizično, premoženjsko in ali nepremoženjsko škodo. V uvodni izjavi 85 navedene uredbe sta „kraja“ ali „zloraba“ identitete ponovno navedeni skupaj na seznamu fizične, premoženjske ali nepremoženjske škode, ki jo lahko povzroči kršitev varstva osebnih podatkov.

55 Kot je generalni pravobranilec navedel v točki 29 sklepnih predlogov, so v različnih jezikovnih različicah uvodnih izjav 75 in 85 SUVP omenjeni izrazi „kraja identitete“, „zloraba identitete“, „identitetna goljufija“, „uzurpacija identitete“ in „poneverba identitete“, ki se v njih uporabljajo brez razlikovanja. Zato sta pojma „kraja“ in „zloraba“ identitete zamenljiva in med njima ni mogoče razlikovati. Na podlagi zadnjih dveh pojmov se domneva volja prilastiti si identiteto osebe, katere osebni podatki so bili pred tem ukradeni.

56 Poleg tega, kot je prav tako navedel generalni pravobranilec v točki 30 sklepnih predlogov, se med različnimi pojmi, navedenimi na seznamih iz uvodnih izjav 75 in 85 SUVP, „izguba nadzora“ ali onemogočanje „izvajanja nadzora“ nad osebnimi podatki razlikujeta od „kraje“ ali „zlorabe“ identitete. Iz tega sledi, da dostopa do takih podatkov in prevzema nadzora nad njimi, ki bi ju bilo mogoče enačiti s krajo teh podatkov, kot takih ni mogoče enačiti s „krajo“ ali „zlorabo“ identitete. Povedano drugače, kraja osebnih podatkov sama po sebi ne pomeni kraje ali zlorabe identitete.

57 Vendar je treba v zvezi s tem pojasniti, da odškodnine za nepremoženjsko škodo, nastalo zaradi kraje osebnih podatkov, na podlagi člena 82(1) SUVP ni mogoče omejiti na primere, v katerih je dokazano, da je taka kraja podatkov nato privedla do kraje ali zlorabe identitete. Kraja osebnih podatkov posameznika, na katerega se nanašajo osebni podatki, namreč daje pravico do odškodnine za nastalo nepremoženjsko škodo na podlagi člena 82(1) SUVP, če se uporabljajo trije pogoji iz te določbe, in sicer obdelava osebnih podatkov, ki se izvede v nasprotju z določbami SUVP, škoda, ki je nastala posamezniku, na katerega se nanašajo osebni podatki, ter vzročna zveza med to nezakonito obdelavo in to škodo (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov) (C‑300/21, EU:C:2023:370, točki 32 in 36)).

58 Iz teh razlogov je treba na peto vprašanje odgovoriti, da je treba člen 82(1) SUVP v povezavi z uvodnima izjavama 75 in 85 te uredbe razlagati tako, da pojem „kraja identitete“ za njegovo opredelitev in za nastanek pravice do odškodnine za nepremoženjsko škodo na podlagi te določbe pomeni, da tretja oseba dejansko zlorablja identiteto posameznika, katerega osebni podatki so bili ukradeni. Vendar odškodnine za nepremoženjsko škodo, nastalo zaradi kraje osebnih podatkov, na podlagi navedene določbe ni mogoče omejiti na primere, v katerih je dokazano, da je taka kraja podatkov nato privedla do kraje ali zlorabe identitete.

Stroški

59 Ker je ta postopek za stranke v postopkih v glavni stvari ena od stopenj v postopkih pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (tretji senat) razsodilo:

1. Člen 82(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)