Προσωρινό κείμενο
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τρίτο τμήμα)
της 20ής Ιουνίου 2024 (*)
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 82, παράγραφος 1 – Δικαίωμα αποζημίωσης για ζημία που προκλήθηκε από επεξεργασία δεδομένων κατά παράβαση του κανονισμού – Έννοια της “μη υλικής ζημίας” – Συνέπειες της σοβαρότητας της προκληθείσας ζημίας – Εκτίμηση του ύψους της αποζημίωσης – Αίτημα αποκατάστασης μη υλικής ζημίας το οποίο θεμελιώνεται σε φόβο – Μη εφαρμογή των κριτηρίων που προβλέπονται για τα διοικητικά πρόστιμα στο άρθρο 83 – Αποτρεπτική λειτουργία – Εκτίμηση σε περίπτωση ταυτόχρονων παραβάσεων του εν λόγω κανονισμού και του εθνικού δικαίου»
Στην υπόθεση C‑590/22,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Amtsgericht Wesel (ειρηνοδικείο Wesel, Γερμανία) με απόφαση της 5ης Αυγούστου 2022, η οποία περιήλθε στο Δικαστήριο στις 9 Σεπτεμβρίου 2022, στο πλαίσιο της δίκης
AT,
BT
κατά
PS GbR,
VG,
MB,
DH,
WB,
GS,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),
συγκείμενο από τους K. Jürimäe, πρόεδρο τμήματος, K. Lenaerts, Πρόεδρο του Δικαστηρίου, ασκούντα καθήκοντα δικαστή του τρίτου τμήματος, N. Piçarra, N. Jääskinen (εισηγητή) και M. Gavalec, δικαστές,
γενικός εισαγγελέας: M. Campos Sánchez-Bordona
γραμματέας: A. Calot Escobar
έχοντας υπόψη την έγγραφη διαδικασία,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Ιρλανδία, εκπροσωπούμενη από την M. Browne, Chief State Solicitor, τον A. Joyce και τον M. Tierney, επικουρούμενους από τον D. Fennelly, BL,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον A. Μπουχάγιαρ, την M. Heller και τον H. Kranenborg,
κατόπιν της αποφάσεως που έλαβε, αφού άκουσε τον γενικό εισαγγελέα, να εκδικάσει την υπόθεση χωρίς ανάπτυξη προτάσεων,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 82, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ, αντιστοίχως, των AT και BT, οι οποίοι είναι οι ενάγοντες της κύριας δίκης, και της PS GbR, εταιρίας παροχής φορολογικών συμβουλών, καθώς και των VG, MB, DH, WB και GS, εταίρων της PS, σχετικά με το δικαίωμα των εναγόντων της κύριας δίκης να ζητήσουν την καταβολή αποζημίωσης βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ για την ταλαιπωρία που ισχυρίζονται ότι υπέστησαν συνεπεία της κοινοποιήσεως σε τρίτους, χωρίς τη συγκατάθεσή τους, της φορολογικής δηλώσεώς τους η οποία περιείχε δεδομένα προσωπικού χαρακτήρα, κατόπιν σφάλματος της PS.
Το νομικό πλαίσιο
3 Οι αιτιολογικές σκέψεις 85, 146 και 148 του ΓΚΠΔ έχουν ως εξής:
«(85) Η παραβίαση δεδομένων προσωπικού χαρακτήρα μπορεί, εάν δεν αντιμετωπιστεί κατάλληλα και έγκαιρα, να έχει ως αποτέλεσμα σωματική, υλική ή μη υλική βλάβη για φυσικά πρόσωπα, όπως απώλεια του ελέγχου επί των δεδομένων τους προσωπικού χαρακτήρα ή ο περιορισμός των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης, απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο ή άλλο σημαντικό οικονομικό ή κοινωνικό μειονέκτημα για το ενδιαφερόμενο φυσικό πρόσωπο. […]
[…]
(146) Κάθε ζημία την οποία υφίσταται ένα πρόσωπο ως αποτέλεσμα επεξεργασίας κατά παράβαση του παρόντα κανονισμού θα πρέπει να αποτελεί αντικείμενο αποζημίωσης από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία θα πρέπει να απαλλάσσονται από την υποχρέωση αποζημίωσης εάν αποδείξουν ότι δεν φέρουν καμία ευθύνη για τη ζημία. Η έννοια της ζημίας θα πρέπει να ερμηνεύεται διασταλτικά με γνώμονα τη νομολογία του Δικαστηρίου κατά τρόπον ώστε να λαμβάνονται πλήρως υπόψη οι στόχοι του παρόντος κανονισμού. Αυτό δεν επηρεάζει τυχόν αξιώσεις αποζημίωσης, ασκούμενες λόγω παραβιάσεως άλλων κανόνων του δικαίου της Ένωσης ή των κρατών μελών. Επεξεργασία κατά παράβαση του παρόντα κανονισμού συμπεριλαμβάνει επίσης τυχόν επεξεργασία που γίνεται κατά παράβαση των κατ’ εξουσιοδότηση και εκτελεστικών πράξεων που εκδίδονται κατ’ εφαρμογή του παρόντος κανονισμού και του δικαίου των κρατών μελών που εξειδικεύει τους κανόνες του παρόντος κανονισμού. Τα υποκείμενα των δεδομένων θα πρέπει να λαμβάνουν πλήρη και ουσιαστική αποζημίωση για τη ζημία που υπέστησαν. […]
[…]
(148) Προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος κανονισμού […]. Θα πρέπει ωστόσο να λαμβάνονται δεόντως υπόψη η φύση, η σοβαρότητα και η διάρκεια της παράβασης, ο εσκεμμένος χαρακτήρας της παράβασης, οι δράσεις που αναλήφθηκαν για τον μετριασμό της ζημίας, ο βαθμός της ευθύνης ή τυχόν άλλες σχετικές προηγούμενες παραβάσεις, ο τρόπος με τον οποίο η εποπτική αρχή πληροφορήθηκε την παράβαση, η συμμόρφωση με τα μέτρα κατά του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, η τήρηση κώδικα δεοντολογίας και κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο. […]»
4 Το άρθρο 4 του κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», προβλέπει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)·
[…]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα·
[…]
10) “τρίτος” οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα,
[…]
12) “παραβίαση δεδομένων προσωπικού χαρακτήρα” η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία,
[…]».
5 Το άρθρο 79, παράγραφος 1, του εν λόγω κανονισμού ορίζει τα εξής:
«Με την επιφύλαξη κάθε διαθέσιμης διοικητικής ή μη δικαστικής προσφυγής, συμπεριλαμβανομένου του δικαιώματος υποβολής καταγγελίας σε εποπτική αρχή δυνάμει του άρθρου 77, έκαστο υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής εάν θεωρεί ότι τα δικαιώματά του που απορρέουν από τον παρόντα κανονισμό παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του που το αφορούν κατά παράβαση του παρόντος κανονισμού.»
6 Το άρθρο 82 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα αποζημίωσης και ευθύνη», προβλέπει στις παραγράφους 1 έως 3 τα εξής:
«1. Κάθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος κανονισμού δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη.
2. Κάθε υπεύθυνος επεξεργασίας που συμμετέχει στην επεξεργασία είναι υπεύθυνος για τη ζημία που προκάλεσε η εκ μέρους του επεξεργασία που παραβαίνει τον παρόντα κανονισμό. […]
3. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία απαλλάσσεται από την ευθύνη που έχ[ει] δυνάμει της παραγράφου 2, εάν αποδεικνύει ότι δεν φέρει καμία ευθύνη για το γενεσιουργό γεγονός της ζημίας.»
7 Το άρθρο 83 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Γενικοί όροι επιβολής διοικητικών προστίμων», προβλέπει στις παραγράφους 2, 3 και 5 τα εξής:
«2. […] Κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος του διοικητικού προστίμου για κάθε μεμονωμένη περίπτωση, λαμβάνονται δεόντως υπόψη τα ακόλουθα:
α) η φύση, η βαρύτητα και η διάρκεια της παράβασης, λαμβάνοντας υπόψη τη φύση, την έκταση ή το σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και το βαθμό ζημίας που υπέστησαν,
β) ο δόλος ή η αμέλεια που προκάλεσε την παράβαση,
[…]
ια) κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο που προκύπτει από τις περιστάσεις της συγκεκριμένης περίπτωσης, όπως τα οικονομικά οφέλη που αποκομίστηκαν ή ζημ[ίες] που αποφεύχθηκαν, άμεσα ή έμμεσα, από την παράβαση.
3. Σε περίπτωση που ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία, για τις ίδιες ή για συνδεδεμένες πράξεις επεξεργασίας, παραβιάζει [εκ προθέσεως ή εξ αμελείας] αρκετές διατάξεις του παρόντος κανονισμού, το συνολικό ύψος του διοικητικού προστίμου δεν υπερβαίνει το ποσό που ορίζεται για τη βαρύτερη παράβαση.
[…]
5. Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 20 000 000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο:
α) οι βασικές αρχές για την επεξεργασία, περιλαμβανομένων των όρων που ισχύουν για την έγκριση, σύμφωνα με τα άρθρα 5, 6, 7 και 9,
β) τα δικαιώματα των υποκειμένων των δεδομένων σύμφωνα με τα άρθρα 12 έως 22,
[…]».
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
8 Οι ενάγοντες της κύριας δίκης, AT και BT, είναι πελάτες της PS, γραφείου παροχής φορολογικών συμβουλών. Οι ενάγοντες ενημέρωσαν το εν λόγω γραφείο παροχής συμβουλών για την αλλαγή της ταχυδρομικής διεύθυνσής τους, η οποία καταχωρίστηκε στο ηλεκτρονικό σύστημα επεξεργασίας δεδομένων της PS. Εν συνεχεία, η νέα διεύθυνση των εναγόντων της κύριας δίκης χρησιμοποιήθηκε από την PS για την αποστολή πλειόνων επιστολών.
9 Τον Ιούλιο του 2020 οι ενάγοντες της κύριας δίκης ζήτησαν από την PS να αναλάβει τη συμπλήρωση της φορολογικής δηλώσεώς τους για το έτος 2019. Δεδομένου ότι δεν έλαβαν καμία απάντηση, επικοινώνησαν με την PS, η οποία τους ενημέρωσε ότι η εν λόγω φορολογική δήλωση είχε αποσταλεί ταχυδρομικώς σε αυτούς στις 29 Σεπτεμβρίου 2020, χωρίς να προσδιορίσει τη διεύθυνση στην οποία είχε αποσταλεί η εν λόγω αλληλογραφία.
10 Οι νέοι ένοικοι της προηγούμενης διεύθυνσής τους τούς ενημέρωσαν ότι ένας φάκελος που απευθυνόταν σε αυτούς είχε φθάσει στην εν λόγω διεύθυνση και ότι τον είχαν ανοίξει κατά λάθος. Ένας από τους νέους ενοίκους επισήμανε ότι, όταν διαπίστωσε ότι η εν λόγω αλληλογραφία δεν απευθυνόταν στον ίδιο, τοποθέτησε εκ νέου στον φάκελο τα έγγραφα που είχε βρει σε αυτόν. Εν συνεχεία, παρέδωσε τον φάκελο σε συγγενείς που κατοικούσαν πλησίον της παλαιάς διεύθυνσης των εναγόντων της κύριας δίκης προκειμένου αυτοί να μπορέσουν να τον παραλάβουν.
11 Όταν οι ενάγοντες της κύριας δίκης παρέλαβαν τον σχετικό φάκελο, διαπίστωσαν ότι περιείχε μόνο ένα αντίγραφο της φορολογικής δηλώσεως και μια συνοδευτική επιστολή. Υποθέτουν, ωστόσο, ότι ο φάκελος αυτός περιείχε επίσης το πρωτότυπο της φορολογικής δηλώσεως, η οποία περιλάμβανε προσωπικά δεδομένα, όπως τα ονόματα και οι ημερομηνίες γεννήσεως των ιδίων καθώς και των τέκνων τους, οι αριθμοί φορολογικού μητρώου τους, τα τραπεζικά στοιχεία τους, καθώς και πληροφορίες σχετικά με τη ένταξή τους σε θρησκευτική κοινότητα, την αναπηρία μέλους της οικογενείας τους, τα επαγγέλματα και τους τόπους εργασίας τους ή διάφορες δαπάνες τις οποίες πραγματοποίησαν.
12 Συναφώς, το αιτούν δικαστήριο διευκρινίζει ότι δεν κατέστη δυνατό να διαπιστωθεί ποια έγγραφα βρίσκονταν αρχικώς στον εν λόγω φάκελο ούτε να προσδιοριστεί σε ποιο βαθμό οι νέοι ένοικοι της προηγούμενης διεύθυνσης των εναγόντων της κύριας δίκης είχαν λάβει ή μη γνώση του περιεχομένου του φακέλου αυτού. Επισημαίνει επίσης ότι η αποστολή της επίμαχης αλληλογραφίας σε εσφαλμένη διεύθυνση οφειλόταν στο γεγονός ότι η PS είχε χρησιμοποιήσει δεδομένα προερχόμενα από βάση δεδομένων στην οποία εξακολουθούσε να υπάρχει η προηγούμενη διεύθυνση των εναγόντων της κύριας δίκης.
13 Στο πλαίσιο αυτό, οι ενάγοντες της κύριας δίκης άσκησαν ενώπιον του Amtsgericht Wesel (ειρηνοδικείου Wesel, Γερμανία), το οποίο είναι το αιτούν δικαστήριο, αγωγή, βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, με αίτημα την αποκατάσταση της μη υλικής ζημίας την οποία θεωρούν ότι υπέστησαν λόγω της δημοσιοποιήσεως των δεδομένων τους προσωπικού χαρακτήρα σε τρίτους και την οποία αποτιμούν σε 15 000 ευρώ.
14 Το αιτούν δικαστήριο διερωτάται, πρώτον, αν σε περίπτωση κατά την οποία γίνεται επίκληση μη υλικής ζημίας, δικαίωμα αποζημίωσης δυνάμει του άρθρου 82 του ΓΚΠΔ μπορεί να θεμελιωθεί στην απλή παράβαση των διατάξεων του εν λόγω κανονισμού, διευκρινιζομένου ότι, κατά το γερμανικό δίκαιο, μόνο στην περίπτωση που αποδεικνύεται σημαντική ζημία, πέραν της απλής παράβασης νομικής διατάξεως, μπορεί να αναγνωριστεί το δικαίωμα χρηματικής αποζημίωσης, εφόσον η ζημία αυτή δεν μπορεί να αποκατασταθεί με άλλον τρόπο.
15 Δεύτερον, το αιτούν δικαστήριο διερωτάται αν ο φόβος ότι τα δεδομένα προσωπικού χαρακτήρα ενδέχεται να έχουν περιέλθει στην κατοχή μη εξουσιοδοτημένων προσώπων μπορεί, αφ’ εαυτού, να συνιστά μη υλική ζημία ικανή να θεμελιώσει δικαίωμα χρηματικής αποζημίωσης βάσει του άρθρου 82 του ΓΚΠΔ.
16 Τρίτον, το αιτούν δικαστήριο επισημαίνει ότι το άρθρο 83 του ΓΚΠΔ προβλέπει κριτήρια για τον ομοιόμορφο προσδιορισμό του ύψους των διοικητικών προστίμων που επιβάλλονται σε περίπτωση παράβασης του εν λόγω κανονισμού. Ωστόσο, δεν υπάρχει διάταξη αντίστοιχη προς το άρθρο αυτό όσον αφορά τη χρηματική αποζημίωση για μη υλική ζημία. Ως εκ τούτου, το αιτούν δικαστήριο διερωτάται αν τα κριτήρια αυτά μπορούν να εφαρμοστούν και στην περίπτωση χρηματικής αποζημίωσης για μη υλική ζημία οφειλόμενης βάσει του άρθρου 82 του ΓΚΠΔ.
17 Τέταρτον, το αιτούν δικαστήριο υπενθυμίζει ότι η αιτιολογική σκέψη 146 του ΓΚΠΔ προβλέπει ότι η έννοια της «ζημίας» θα πρέπει να ερμηνεύεται διασταλτικά, προκειμένου να διασφαλίζεται πλήρης και ουσιαστική αποζημίωση για την προκληθείσα ζημία. Εντούτοις, το αιτούν δικαστήριο διερωτάται αν η αναφορά σε «ουσιαστική» αποζημίωση σημαίνει ότι η αποζημίωση η οποία θα καταβληθεί για μη υλική ζημία θα πρέπει να υπολογίζεται κατά τρόπον ώστε να επιτελεί και αποτρεπτική λειτουργία. Ανάλογα με την περίπτωση, οι υπεύθυνοι επεξεργασίας δεδομένων ενδέχεται να βρεθούν στον πειρασμό να μη συμμορφωθούν με τις υποχρεώσεις που προβλέπει ο ΓΚΠΔ σε περίπτωση κατά την οποία το κόστος της αυστηρής συμμόρφωσης προς τον εν λόγω κανονισμό είναι υψηλότερο από το ποσό της αποζημίωσης το οποίο ενδέχεται να υποχρεωθούν να καταβάλουν σε περίπτωση παράβασης του εν λόγω κανονισμού.
18 Τέλος, πέμπτον, το αιτούν δικαστήριο διερωτάται αν η ταυτόχρονη παράβαση διατάξεων του ΓΚΠΔ και διατάξεων του γερμανικού δικαίου, όπως αυτές οι οποίες επιβάλλουν υποχρεώσεις εμπιστευτικότητας σε ορισμένους επαγγελματίες, πρέπει να λαμβάνεται υπόψη για τον υπολογισμό της οφειλόμενης δυνάμει του άρθρου 82 του ΓΚΠΔ αποζημιώσεως για μη υλική ζημία. Το αιτούν δικαστήριο επισημαίνει ότι διατηρεί αμφιβολίες ως προς το ανωτέρω ζήτημα, διότι οι σχετικές, εν προκειμένω, διατάξεις του γερμανικού δικαίου ίσχυαν ήδη κατά τον χρόνο έκδοσης του ΓΚΠΔ και, ως εκ τούτου, δεν μπορούν να θεωρηθούν ως κατ’ εξουσιοδότηση ή εκτελεστικές πράξεις εκδοθείσες κατ’ εφαρμογήν του κανονισμού, κατά την έννοια της αιτιολογικής σκέψης 146 αυτού.
19 Υπό τις συνθήκες αυτές, το Amtsgericht Wesel (ειρηνοδικείο Wesel) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Αρκεί για τη θεμελίωση δικαιώματος αποζημίωσης βάσει του άρθρου 82, παράγραφος 1, του [ΓΚΠΔ], παράβαση διατάξεως του [εν λόγω κανονισμού] που αποσκοπεί στην προστασία του ασκούντος το δικαίωμα προσώπου ή απαιτείται το εν λόγω πρόσωπο να έχει υποστεί και περαιτέρω βλάβη, πέραν της παραβάσεως της επίμαχης διατάξεως αυτής καθεαυτήν;
2) Απαιτείται, κατά το δίκαιο της Ένωσης, για τη θεμελίωση δικαιώματος αποκατάστασης της μη υλικής ζημίας βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ να πρόκειται περί βλάβης ορισμένης βαρύτητας;
3) Ειδικότερα, αρκεί για τη θεμελίωση δικαιώματος αποκατάστασης της μη υλικής ζημίας, βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, ο φόβος του προσώπου που ασκεί το δικαίωμα ότι, συνεπεία της παραβάσεως των διατάξεων του εν λόγω κανονισμού, τα δεδομένα προσωπικού χαρακτήρα που το αφορούν έχουν περιέλθει στην κατοχή τρίτων, χωρίς να μπορεί αυτό να διαπιστωθεί με βεβαιότητα;
4) Αντιβαίνει στο δίκαιο της Ένωσης το γεγονός ότι ο εθνικός δικαστής, κατά τον υπολογισμό του ποσού της αποζημίωσης για μη υλική ζημία| κατά το άρθρο 82, παράγραφος 1, του ΓΚΠΔ, λαμβάνει υπόψη κατ’ αναλογίαν τα κριτήρια τα οποία, σύμφωνα με το γράμμα του άρθρου 83, παράγραφος 2, δεύτερη περίοδος, του ΓΚΠΔ, εφαρμόζονται μόνον επί διοικητικών προστίμων;
5) Πρέπει το ποσό της αποζημίωσης που επιδικάζεται δυνάμει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, να υπολογίζεται λαμβανομένου υπόψη και του κατά πόσον το ύψος της επιδικαζόμενης αποζημίωσης έχει αποτρεπτικό αποτέλεσμα και/ή εμποδίζει την “εμπορευματοποίηση” (υπολογισμένη αποδοχή διοικητικών προστίμων/αποζημιώσεων) των παραβάσεων;
6) Συνάδει με το δίκαιο της Ένωσης το να λαμβάνονται υπόψη, κατά τον υπολογισμό του ποσού της αποζημίωσης για μη υλική ζημία βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, ταυτόχρονες παραβάσεις διατάξεων του εθνικού δικαίου οι οποίες αποσκοπούν στην προστασία δεδομένων προσωπικού χαρακτήρα, αλλά οι οποίες δεν συνιστούν ούτε κατ’ εξουσιοδότηση ή εκτελεστικές πράξεις οι οποίες έχουν εκδοθεί κατ’ εφαρμογήν του εν λόγω κανονισμού ούτε νομοθετικές διατάξεις των κρατών μελών οι οποίες εξειδικεύουν τους κανόνες του ίδιου αυτού κανονισμού;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου και του δευτέρου προδικαστικού ερωτήματος
20 Με το πρώτο και το δεύτερο προδικαστικό ερώτημα, τα οποία πρέπει να εξετασθούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι η παράβαση του κανονισμού αυτού αρκεί, αφ’ εαυτής, για τη θεμελίωση δικαιώματος αποζημίωσης δυνάμει της ως άνω διάταξης ή αν το υποκείμενο των δεδομένων πρέπει επίσης να αποδείξει την ύπαρξη ζημίας έχουσας ορισμένο βαθμό σοβαρότητας, η οποία να έχει προκληθεί από την εν λόγω παράβαση.
21 Το άρθρο 82, παράγραφος 1, του ΓΚΠΔ ορίζει ότι «[κ]άθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος κανονισμού δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη».
22 Το Δικαστήριο έχει κρίνει ότι από το γράμμα της εν λόγω διατάξεως προκύπτει σαφώς ότι η ύπαρξη υλικής ή μη υλικής «ζημίας» την οποία «υπέστη» ένα πρόσωπο συνιστά μία από τις προϋποθέσεις του δικαιώματος αποζημίωσης που προβλέπεται στο εν λόγω άρθρο 82, παράγραφος 1, όπως και η παράβαση του εν λόγω κανονισμού και η αιτιώδης συνάφεια μεταξύ ζημίας και παράβασης, οι τρεις δε αυτές προϋποθέσεις πρέπει να συντρέχουν σωρευτικώς [πρβλ. αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 32, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 34].
23 Ως εκ τούτου, δεν μπορεί να γίνει δεκτό ότι κάθε «παράβαση» των διατάξεων του ΓΚΠΔ θεμελιώνει αφ’ εαυτής το εν λόγω δικαίωμα αποζημιώσεως υπέρ του υποκειμένου των δεδομένων, όπως αυτό ορίζεται στο άρθρο 4, σημείο 1, του ΓΚΠΔ. Εξάλλου, η χωριστή μνεία της «ζημίας» και της «παραβάσεως», στο άρθρο 82 παράγραφος 1, του εν λόγω κανονισμού, θα ήταν περιττή αν ο νομοθέτης της Ένωσης είχε κρίνει ότι τυχόν παράβαση των διατάξεων του κανονισμού μπορεί να αρκεί, αφ’ εαυτής και σε κάθε περίπτωση, προς θεμελίωση δικαιώματος αποζημιώσεως [απόφαση της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 33 και 34].
24 Από τα ανωτέρω συνάγεται ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι δεν αρκεί απλώς και μόνον η παράβαση των διατάξεων του ανωτέρω κανονισμού προς θεμελίωση δικαιώματος αποζημιώσεως [απόφαση της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 42].
25 Επομένως, το πρόσωπο που ζητεί αποκατάσταση μη υλικής ζημίας βάσει της ως άνω διατάξεως οφείλει να αποδείξει όχι μόνον την παράβαση των διατάξεων του κανονισμού, αλλά και ότι η παράβαση αυτή του προκάλεσε τέτοια ζημία [πρβλ. αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 42 και 50, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 35)].
26 Όσον αφορά την τελευταία αυτή προϋπόθεση, το άρθρο 82, παράγραφος 1, του ΓΚΠΔ αντιτίθεται σε εθνικό κανόνα ή πρακτική που εξαρτά την αποκατάσταση της «μη υλικής ζημίας», κατά την έννοια της ως άνω διατάξεως, από την προϋπόθεση ότι η ζημία που υπέστη το υποκείμενο των δεδομένων υπερβαίνει ορισμένο βαθμό σοβαρότητας [αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 51, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 36].
27 Εντούτοις, γεγονός παραμένει ότι το εν λόγω πρόσωπο οφείλει, βάσει του άρθρου 82, παράγραφος 1, του κανονισμού, να αποδείξει ότι υπέστη πράγματι υλική ή μη υλική ζημία (πρβλ. απόφαση της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 39).
28 Κατόπιν των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι δεν αρκεί απλώς και μόνον η παράβαση του κανονισμού αυτού προς θεμελίωση δικαιώματος αποζημιώσεως βάσει της εν λόγω διατάξεως. Το υποκείμενο των δεδομένων οφείλει επίσης να αποδείξει την ύπαρξη ζημίας προκληθείσας από την παράβαση αυτή, χωρίς ωστόσο να απαιτείται η ζημία να έχει ορισμένο βαθμό σοβαρότητας.
Επί του τρίτου προδικαστικού ερωτήματος
29 Με το τρίτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι ο φόβος ενός προσώπου ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν γνωστοποιήθηκαν σε τρίτους λόγω παράβασης του κανονισμού αυτού, χωρίς να είναι δυνατό να αποδειχθεί ότι τούτο πράγματι συνέβη, αρκεί για τη θεμελίωση δικαιώματος αποκατάστασης της μη υλικής ζημίας.
30 Από την απόφαση περί παραπομπής προκύπτει ότι οι ενάγοντες της κύριας δίκης ζητούν, βάσει του ΓΚΠΔ, αποκατάσταση της μη υλικής ζημίας την οποία υπέστησαν λόγω απώλειας του ελέγχου επί των δεδομένων τους προσωπικού χαρακτήρα που αποτέλεσαν αντικείμενο επεξεργασίας, χωρίς να είναι σε θέση να προσδιορίσουν σε ποιο βαθμό τρίτοι έλαβαν πράγματι γνώση των εν λόγω δεδομένων.
31 Συναφώς, δεδομένου ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ δεν περιέχει καμία παραπομπή στο εσωτερικό δίκαιο των κρατών μελών, η έννοια της «μη υλικής ζημίας», κατά τη διάταξη αυτή, πρέπει να ορίζεται κατά τρόπο αυτοτελή και ομοιόμορφο ο οποίος να προσιδιάζει στο δίκαιο της Ένωσης [πρβλ. αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 30 και 44, και της 25ης Ιανουαρίου 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, σκέψη 64].
32 Το Δικαστήριο έχει αποφανθεί ότι προκύπτει όχι μόνον από το γράμμα του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα των αιτιολογικών σκέψεων 85 και 146 του κανονισμού αυτού, κατά τις οποίες πρέπει να ερμηνεύεται ευρέως η έννοια της «μη υλικής ζημίας» σύμφωνα με την ως άνω διάταξη, αλλά και από τον επιδιωκόμενο από τον κανονισμό σκοπό, ο οποίος συνίσταται στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, ότι ο φόβος που αισθάνεται υποκείμενο δεδομένων προσωπικού χαρακτήρα για ενδεχόμενη κατάχρηση των δεδομένων του από τρίτους, ο οποίος προκλήθηκε στο πρόσωπο αυτό κατόπιν παράβασης του εν λόγω κανονισμού, μπορεί αφ’ εαυτού να συνιστά «μη υλική ζημία», κατά την έννοια του άρθρου 82, παράγραφος 1 [πρβλ. αποφάσεις της 14ης Δεκεμβρίου 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, σκέψεις 79 έως 86, και της 25ης Ιανουαρίου 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, σκέψη 65].
33 Η απώλεια ελέγχου επί των δεδομένων προσωπικού χαρακτήρα ακόμη και για σύντομο χρονικό διάστημα μπορεί να αποτελέσει «μη υλική ζημία», κατά την έννοια του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, και να θεμελιώσει δικαίωμα αποζημίωσης, υπό την προϋπόθεση ότι το υποκείμενο των δεδομένων αποδεικνύει ότι υπέστη πράγματι τέτοια ζημία, όσο ασήμαντη και αν είναι αυτή, με την υπόμνηση ότι δεν αρκεί απλώς και μόνον η παράβαση των διατάξεων του ανωτέρω κανονισμού προς θεμελίωση δικαιώματος αποζημίωσης στη βάση αυτή (πρβλ. αποφάσεις της 25ης Ιανουαρίου 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, σκέψη 66, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 42).
34 Επομένως, το πρόσωπο που θεωρεί ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υποβλήθηκαν σε επεξεργασία κατά παράβαση των σχετικών διατάξεων του ΓΚΠΔ και ζητεί αποζημίωση βάσει του άρθρου 82, παράγραφος 1, του κανονισμού αυτού πρέπει να αποδεικνύει ότι υπέστη πράγματι υλική ή μη υλική ζημία.
35 Ως εκ τούτου, ο απλός ισχυρισμός περί φόβου, χωρίς να αποδεικνύονται αρνητικές συνέπειες, δεν δύναται να θεμελιώσει αξίωση αποζημιώσεως βάσει της ανωτέρω διατάξεως.
36 Κατόπιν των προεκτεθέντων, στο τρίτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι ο φόβος προσώπου ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν γνωστοποιήθηκαν σε τρίτους λόγω παράβασης του κανονισμού αυτού, χωρίς να είναι δυνατό να αποδειχθεί ότι τούτο πράγματι συνέβη, αρκεί για τη θεμελίωση δικαιώματος αποζημίωσης, υπό την προϋπόθεση ότι ο φόβος αυτός, μαζί με τις αρνητικές συνέπειές του, αποδεικνύεται δεόντως.
Επί του τετάρτου και του πέμπτου προδικαστικού ερωτήματος
37 Με το τέταρτο και το πέμπτο προδικαστικό ερώτημα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, για τον προσδιορισμό του ύψους της αποζημίωσης που οφείλεται, βάσει της ανωτέρω διατάξεως, για την αποκατάσταση ζημίας πρέπει, αφενός, να εφαρμόζονται mutatis mutandis τα κριτήρια του άρθρου 83 του εν λόγω κανονισμού για τον καθορισμό του ύψους των διοικητικών προστίμων και, αφετέρου, να αποδίδεται στο εν λόγω δικαίωμα αποζημιώσεως αποτρεπτική λειτουργία.
38 Πρώτον, όσον αφορά την ενδεχόμενη συνεκτίμηση των κριτηρίων του άρθρου 83 του ΓΚΠΔ κατά την εκτίμηση του ύψους της οφειλόμενης βάσει του άρθρου 82 του ΓΚΠΔ αποζημίωσης, δεν αμφισβητείται ότι οι δύο αυτές διατάξεις επιδιώκουν διαφορετικούς σκοπούς. Πράγματι, ενώ το άρθρο 83 του κανονισμού θέτει τους «[γ]ενικούς όρους επιβολής διοικητικών προστίμων», το άρθρο 82 αυτού διέπει το «[δ]ικαίωμα αποζημίωσης και [την] ευθύνη».
39 Ως εκ τούτου, τα κριτήρια του άρθρου 83 του ΓΚΠΔ για τον καθορισμό του ύψους των διοικητικών προστίμων, τα οποία μνημονεύονται και στην αιτιολογική σκέψη 148 του κανονισμού αυτού, δεν μπορούν να χρησιμοποιηθούν για την εκτίμηση του ποσού της αποζημίωσης βάσει του άρθρου 82 του ΓΚΠΔ (απόφαση της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 57).
40 Ο ΓΚΠΔ δεν περιέχει ορισμένη διάταξη με αντικείμενο τον καθορισμό των κανόνων σχετικά με την εκτίμηση της αποζημιώσεως την οποία το υποκείμενο των δεδομένων, κατά την έννοια του άρθρου 4, σημείο 1, του εν λόγω κανονισμού, μπορεί να αξιώσει, δυνάμει του άρθρου 82 του κανονισμού αυτού, όταν η παράβαση του ΓΚΠΔ τού προκάλεσε ζημία. Ως εκ τούτου, ελλείψει σχετικών κανόνων του δικαίου της Ένωσης, εναπόκειται στην έννομη τάξη κάθε κράτους μέλους να καθορίσει τους λεπτομερείς κανόνες ασκήσεως των αγωγών που αποσκοπούν στη διασφάλιση των δικαιωμάτων που οι πολίτες αντλούν από το άρθρο 82 και, ειδικότερα, τα κριτήρια καθορισμού της εκτάσεως της οφειλόμενης στο πλαίσιο αυτό αποζημιώσεως, υπό την επιφύλαξη της τηρήσεως των αρχών της ισοδυναμίας και της αποτελεσματικότητας [αποφάσεις της 4ης Μαΐου2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 54, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 58].
41 Δεύτερον, το δικαίωμα αποζημιώσεως που προβλέπεται στο άρθρο 82, παράγραφος 1, της RGPD δεν επιτελεί αποτρεπτική ή και τιμωρητική λειτουργία. Εξ αυτού συνάγεται ότι η σοβαρότητα της παράβασης του κανονισμού αυτού η οποία προκάλεσε την προβαλλόμενη υλική ή μη υλική ζημία δεν μπορεί να επηρεάσει το ύψος της αποζημίωσης που επιδικάζεται δυνάμει της διατάξεως αυτής και ότι το σχετικό ποσό δεν μπορεί να καθοριστεί σε επίπεδο που υπερβαίνει την πλήρη αποκατάσταση της ζημίας [πρβλ. αποφάσεις της 21ης Δεκεμβρίου2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, σκέψη 86, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 60].
42 Λαμβανομένης υπόψη της αντισταθμιστικής λειτουργίας του δικαιώματος αποζημίωσης που προβλέπεται στο άρθρο 82 του ΓΚΠΔ, όπως αυτή ορίζεται στην αιτιολογική σκέψη 146, έκτη περίοδος, του εν λόγω κανονισμού, η χρηματική αποζημίωση βάσει του ίδιου άρθρου πρέπει να θεωρείται «πλήρης και ουσιαστική», αν παρέχει τη δυνατότητα πλήρους αποκατάστασης της συγκεκριμένης ζημίας που προκλήθηκε από την παράβαση του κανονισμού, χωρίς να απαιτείται, για τους σκοπούς μιας τέτοιας πλήρους αποζημίωσης, να επιβληθεί η επιδίκαση τιμωρητικής αποζημίωσης [πρβλ. αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 57 και 58, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 61].
43 Επομένως, λαμβανομένων υπόψη των διαφορών, ως προς το γράμμα και τον σκοπό μεταξύ του άρθρου 82 του ΓΚΠΔ, ερμηνευόμενου υπό το πρίσμα της αιτιολογικής σκέψης 146, και του άρθρου 83 του ΓΚΠΔ, ερμηνευόμενου υπό το πρίσμα της αιτιολογικής σκέψης 148 του ΓΚΠΔ, δεν μπορεί να γίνει δεκτό ότι τα κριτήρια εκτίμησης που προβλέπονται ειδικώς στο εν λόγω άρθρο 83 έχουν εφαρμογή mutatis mutandis στο πλαίσιο του εν λόγω άρθρου 82, παρά το γεγονός ότι τα μέσα έννομης προστασίας που προβλέπονται στις δύο αυτές διατάξεις λειτουργούν σαφώς συμπληρωματικά, με σκοπό τη διασφάλιση της συμμόρφωσης προς τον κανονισμό (απόφαση της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 62).
44 Κατά συνέπεια, στο τρίτο και το τέταρτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, για τον προσδιορισμό του ύψους της αποζημίωσης που οφείλεται, βάσει της διατάξεως αυτής, για την αποκατάσταση ζημίας δεν απαιτείται, αφενός, να εφαρμόζονται mutatis mutandis τα κριτήρια του άρθρου 83 του εν λόγω κανονισμού για τον καθορισμό του ύψους των διοικητικών προστίμων και, αφετέρου, να αποδίδεται στο εν λόγω δικαίωμα αποζημιώσεως αποτρεπτική λειτουργία.
Επί του έκτου προδικαστικού ερωτήματος
45 Με το έκτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, για τον προσδιορισμό του ποσού της αποζημίωσης που οφείλεται για την αποκατάσταση ζημίας βάσει της ανωτέρω διατάξεως, πρέπει να λαμβάνονται υπόψη ταυτόχρονες παραβάσεις εθνικών διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα, οι οποίες δεν έχουν, ωστόσο, ως αντικείμενο την εξειδίκευση των κανόνων του εν λόγω κανονισμού.
46 Το ερώτημα αυτό υποβάλλεται δεδομένου ότι οι ενάγοντες της κύριας δίκης θεωρούν ότι η παράβαση διατάξεων του ΚΓΠΔ σε συνδυασμό με την εφαρμοστέα στους φορολογικούς συμβούλους γερμανική νομοθεσία, η οποία θεσπίστηκε πριν από την έναρξη ισχύος του εν λόγω κανονισμού και, ως εκ τούτου, δεν αποσκοπεί στην εξειδίκευση των κανόνων του, πρέπει να έχει ως συνέπεια αύξηση της αποζημιώσεως την οποία αξιώνουν βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ προς αποκατάσταση της μη υλικής ζημίας που ισχυρίζονται ότι υπέστησαν.
47 Συναφώς, από την αιτιολογική σκέψη 146, πέμπτη περίοδος, του ΓΚΠΔ προκύπτει, ασφαλώς, ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά παράβαση του κανονισμού αυτού «συμπεριλαμβάνει επίσης τυχόν επεξεργασία που γίνεται κατά παράβαση των κατ’ εξουσιοδότηση και εκτελεστικών πράξεων που εκδίδονται κατ’ εφαρμογή του παρόντος κανονισμού και του δικαίου των κρατών μελών που εξειδικεύει τους κανόνες του παρόντος κανονισμού».
48 Εντούτοις, το γεγονός ότι μια τέτοια επεξεργασία δεδομένων πραγματοποιήθηκε επίσης κατά παράβαση των διατάξεων του εθνικού δικαίου σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα οι οποίες, ωστόσο, δεν έχουν ως αντικείμενο την εξειδίκευση των κανόνων του κανονισμού, δεν συνιστά κρίσιμο παράγοντα για τον υπολογισμό της αποζημιώσεως που επιδικάζεται βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ. Πράγματι, η παράβαση τέτοιων εθνικών διατάξεων δεν καλύπτεται από το άρθρο 82, παράγραφος 1, του εν λόγω κανονισμού, ερμηνευόμενο σε συνδυασμό με την αιτιολογική σκέψη 146 αυτού.
49 Τούτο ισχύει υπό την επιφύλαξη ότι το εθνικό δικαστήριο έχει τη δυνατότητα, εφόσον το εθνικό δίκαιο το επιτρέπει, να επιδικάσει στο υποκείμενο των δεδομένων μεγαλύτερη αποζημίωση από την πλήρη και ουσιαστική αποζημίωση που προβλέπει το άρθρο 82, παράγραφος 1, του ΓΚΠΔ στην περίπτωση που, λαμβανομένου υπόψη του ότι η ζημία προκλήθηκε επίσης από την παράβαση διατάξεων του εθνικού δικαίου, όπως αυτές οι οποίες μνημονεύονται στην προηγούμενη σκέψη, η τελευταία αυτή αποζημίωση δεν κρίνεται επαρκής ή προσήκουσα.
50 Κατόπιν των προεκτεθέντων, στο έκτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, για τον προσδιορισμό του ποσού της αποζημίωσης που οφείλεται για την αποκατάσταση ζημίας βάσει της ανωτέρω διατάξεως, δεν απαιτείται να λαμβάνονται υπόψη ταυτόχρονες παραβάσεις εθνικών διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα οι οποίες δεν έχουν, ωστόσο, ως αντικείμενο την εξειδίκευση των κανόνων του εν λόγω κανονισμού.
Επί των δικαστικών εξόδων
51 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:
1) Το άρθρο 82, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
δεν αρκεί απλώς και μόνον η παράβαση του κανονισμού αυτού προς θεμελίωση δικαιώματος αποζημιώσεως βάσει της εν λόγω διατάξεως. Το υποκείμενο των δεδομένων οφείλει επίσης να αποδείξει την ύπαρξη ζημίας προκληθείσας από την παράβαση αυτή, χωρίς ωστόσο να απαιτείται η ζημία να έχει ορισμένο βαθμό σοβαρότητας.
2) Το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
ο φόβος προσώπου ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν γνωστοποιήθηκαν σε τρίτους λόγω παράβασης του κανονισμού αυτού, χωρίς να είναι δυνατό να αποδειχθεί ότι τούτο πράγματι συνέβη, αρκεί για τη θεμελίωση δικαιώματος αποζημίωσης, υπό την προϋπόθεση ότι ο φόβος αυτός, μαζί με τις αρνητικές συνέπειές του, αποδεικνύεται δεόντως.
3) Το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
για τον προσδιορισμό του ύψους της αποζημίωσης που οφείλεται, βάσει της διατάξεως αυτής, για την αποκατάσταση ζημίας δεν απαιτείται, αφενός, να εφαρμόζονται mutatis mutandis τα κριτήρια του άρθρου 83 του εν λόγω κανονισμού για τον καθορισμό του ύψους των διοικητικών προστίμων και, αφετέρου, να αποδίδεται στο εν λόγω δικαίωμα αποζημιώσεως αποτρεπτική λειτουργία.
4) Το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
για τον προσδιορισμό του ποσού της αποζημίωσης που οφείλεται για την αποκατάσταση ζημίας βάσει της ανωτέρω διατάξεως, δεν απαιτείται να λαμβάνονται υπόψη ταυτόχρονες παραβάσεις εθνικών διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα οι οποίες δεν έχουν, ωστόσο, ως αντικείμενο την εξειδίκευση των κανόνων του εν λόγω κανονισμού.
(υπογραφές)