Дело T‑343/13

CN

срещу

Европейски парламент

„Извъндоговорна отговорност — Петиция, отправена до Парламента — Разпространение в уебсайта на Парламента на някои лични данни — Липса на достатъчно съществено нарушение на правна норма, предоставяща права на частноправните субекти“

Резюме — Решение на Общия съд (шести състав) от 3 декември 2015 г.

1.      Извъндоговорна отговорност — Условия — Незаконосъобразност — Достатъчно съществено нарушение на правото на Съюза — Изискване институциите явно и сериозно да са нарушили пределите на правото си на преценка — Нарушение на нормите за защитата на личните данни — Включване

(член 340, втора алинея ДФЕС; член 8 от Хартата на основните права на Европейския съюз; Регламент № 45/2001 на Европейския парламент и на Съвета)

2.      Институции на Европейския съюз — Защита на физическите лица при обработването на лични данни — Регламент № 45/2001 — Данни, свързани със здравето — Понятие — Широко тълкуване — Граници

(член 10, параграф 1 от Регламент № 45/2001 на Европейския парламент и на Съвета)

3.      Институции на Европейския съюз — Защита на физическите лица при обработването на лични данни — Регламент № 45/2001 — Необходимост от законосъобразност на обработката — Съгласие на съответното лице — Понятие — Внасяне на петиция, съдържаща чувствителна информация, в уебсайта на Европейския парламент — Информация, предоставена на вносителя преди подаването на петицията, позволяваща му да прецени възможността за публичен достъп до неговата петиция —Законосъобразност на обработката

(член 2, буква з), член 5, буква г) и член 10, параграф 2, буква а) от Регламент № 45/2001 на Европейския парламент и на Съвета)

4.      Извъндоговорна отговорност — Условия — Незаконосъобразност — Достатъчно съществено нарушение на правото на Съюза — Позоваване на неправомерности, произтичащи от нарушение на правата на трето лице — Недопустимост

(член 340, втора алинея ДФЕС)

5.      Институции на Европейския съюз — Защита на физическите лица при обработването на лични данни — Регламент № 45/2001 — Право на заличаване на данните — Условие — Незаконна обработка на съответните данни — Заличаване от учтивост на данни, обработени законосъобразно — Спазване на разумен срок

(член 16 от Регламент № 45/2001 на Европейския парламент и на Съвета)

6.      Основни права — Зачитане на личния живот — Защита на личните данни — Разгласяване на данни със съгласието на съответното лице — Намеса в личния живот — Липса

7.      Извъндоговорна отговорност — Условия — Незаконосъобразност — Вреда — Причинно-следствена връзка — Кумулативни условия — Липса на едно от условията — Отхвърляне на иска за обезщетение в неговата цялост

(член 340, втора алинея ДФЕС)

8.      Извъндоговорна отговорност — Условия — Действителна и сигурна вреда, причинена от незаконосъобразен акт — Имуществени и неимуществени вреди — Тежест на доказване

(член 340, втора алинея ДФЕС)

9.      Извъндоговорна отговорност — Условия — Причинно-следствена връзка — Вреда, състояща се от разходите във връзка с досъдебната процедура — Разходи, произтичащи от свободния избор на ищеца — Липса на причинно-следствена връзка между вредата и поведението на институцията

(член 340, втора алинея ДФЕС)

1.      В областта на извъндоговорната отговорност на Съюза условието за наличие на неправомерно поведение на институциите на Съюза изисква да е допуснато достатъчно съществено нарушение на правна норма, която има за цел да предостави права на частноправните субекти. Решаващият критерий, за да се приеме, че дадено нарушение на правото на Съюза е достатъчно съществено, е критерият за явното и значително неспазване от институция на Съюза на границите, които са наложени на нейното право на преценка.

В това отношение, като се има предвид, че правото на защита на личните данни, прогласено с член 8 от Хартата на основните права на Европейския съюз, е доразвито от Регламент № 45/2001 относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни, що се отнася до актовете на институциите и органите на Съюза, и от разпоредбите за прилагане на посочения регламент, приети от всяка институция, тези различни разпоредби имат за цел да предоставят права на частноправните субекти. Следователно те могат да бъдат изтъкнати от ищеца в рамките на иска му за обезщетение.

(вж. т. 44 и 47)

2.      На израза „данни, свързани със здравето“, който се съдържа в член 10, параграф 1 от Регламент № 45/2001 относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни, следва да се даде широко тълкуване, така че да включва информация относно всички аспекти, както физически, така и психически, на здравето на дадено лице. Все пак това понятие не може да се разширява дотам, че да включва изрази, които не съдържат разгласяването на данни относно здравето или медицинското състояние на лицето.

(вж. т. 50)

3.      Като се има предвид, че член 2, буква з) от Регламент № 45/2001 относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни не налага никакво условие по отношение на формата на съгласието на дадено лице за обработка на лични данни, подаването на петиция до Европейския парламент може да се разглежда като израз на воля от страна на съответното лице.

Всъщност внимателният прочит на предоставената от Парламента информация в уебсайта му относно публичността на петицията е трябвало да позволи на сравнително внимателния вносител на петиция да прецени обхвата на своето действие и последиците от него. В тази връзка, що се отнася до петиция, сочеща обстоятелството, че институция на Съюза не е взела надлежно предвид за целите на кариерата на вносителя — длъжностно лице на Съюза, неговото здравословно състояние и това на сина му, този израз на воля е конкретен, тъй като Парламентът е уведомил вносителя на петицията към момента на внасянето ѝ за факта, че неговото оплакване ще бъде достъпно в интернет и че последният дава своето изрично съгласие, като отмята полетата във формуляр, отнасящи се до публичното разглеждане и до вписването в регистър, достъпен в интернет, без да е необходимо неговото съгласие да се извежда имплицитно от някакво действие. При тези условия следва да се приеме, че вносителят на петицията е дал своето изрично съгласие за разгласяването на чувствителна информация, отнасяща се до здравето му, по смисъла на член 10, параграф 2, буква а) от Регламент № 45/2001. Тези съображения се прилагат mutatis mutandis към обработката на личните данни, различни от чувствителните лични данни на вносителя на петицията.

Освен това, що се отнася до личните данни, които не са сред посочените в член 10, параграф 1 от Регламент № 45/2001, като данните за кариерата на вносителя на петицията, тяхната обработка подлежи на режима, предвиден в член 5 от посочения регламент. Съгласно член 5, буква г) от този регламент обработката може да бъде извършена по-специално когато съответното лице недвусмислено е дало своето съгласие. С други думи, обработката може да бъде извършена, когато съответното лице е дало своето съгласие със сигурност и без неяснота. В това отношение, докато член 10, параграф 2, буква а) от Регламент № 45/2001 изисква съгласието да е изрично, член 5, буква г) от посочения регламент изисква недвусмислено дадено съгласие. Предвид естеството на чувствителните лични данни е логично да се приеме, че условията, които се изискват за съгласието по смисъла на член 5, буква г) от Регламент № 45/2001, не могат да бъдат по-стриктни от тези, предвидени в член 10, параграф 2, буква а) от посочения регламент.

(вж. т. 59, 70, 74 и 76—79)

4.      В областта на извъндоговорната отговорност на Съюза, за да се гарантира полезното действие на условието за нарушение на правна норма, предоставяща права на частноправните субекти, е необходимо предлаганата защита от изтъкваната норма да е ефективна спрямо лицето, което я изтъква, и следователно то да е сред лицата, на които въпросната норма предоставя права. Не може да се приеме като източник на обезщетение норма, която не защитава частноправния субект срещу неправомерността, която той изтъква, а друг частноправен субект. От това следва, че ищецът не може да изтъква в рамките на своя иск за обезщетение неправомерности, произтичащи от твърдяното нарушение на правата на трето лице.

(вж. т. 86)

5.      Член 16 от Регламент № 45/2001 относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни предоставя правото да се получи заличаване на личните данни само когато обработката е незаконна. Следователно тази разпоредба не може да се изтъква в подкрепа на искане за заличаване, когато обработката е законосъобразна. Фактът, че съответната институция на Съюза е решила да приеме дадено искане за заличаване, не предполага сам по себе си признаването на неправомерността на първоначалната обработка.

В това отношение член 12, параграф 3 от разпоредбите за прилагане на Регламент № 45/2001, приети от Европейския парламент, предвижда, че ако бъде прието искане за заличаване на лични данни, то се изпълнява незабавно. Тази разпоредба обхваща случаите, в които искането е прието, тъй като е основателно, а именно защото обработката е неправомерна. При тези обстоятелства е логично, че то трябва да бъде изпълнено незабавно. В замяна на това, когато искането е неоснователно, но е прието от учтивост, няма причина да се налага задължение за незабавно изпълнение. В този случай Парламентът е задължен единствено да изпълни ангажимента си в разумен срок.

(вж. т. 90 и 100)

6.      Що се отнася до разгласяването на лични данни от институция на Съюза, не е възможно да се приеме, че има намеса на публичен орган в личния живот по смисъла на член 8 от Европейската конвенция за правата на човека, когато съответното лице дава своето съгласие за това разгласяване.

(вж. т. 107)

7.      Вж. текста на решението.

(вж. т. 110)

8.      Вж. текста на решението.

(вж. т. 118 и 119)

9.      Вж. текста на решението.

(вж. т. 123 и 124)