Privremena verzija
PRESUDA SUDA (treće vijeće)
20. lipnja 2024.(*)
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 82. stavak 1. – Pravo na naknadu štete prouzročene obradom podataka kojom se krši ta uredba – Pojam ‚nematerijalna šteta’ – Utjecaj ozbiljnosti pretrpljene štete – Procjena iznosa naknade štete – Zahtjev za naknadu nematerijalne štete na temelju bojazni –Neprimjenjivost kriterija predviđenih za upravne novčane kazne iz članka 83. – Odvraćajuća funkcija – Procjena u slučaju istodobnih kršenja Uredbe i nacionalnog prava”
U predmetu C-590/22,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU-a, koji je uputio Amtsgericht Wesel (Općinski sud u Weselu, Njemačka), odlukom od 5. kolovoza 2022., koju je Sud zaprimio 9. rujna 2022., u postupku
AT,
BT
protiv
PS GbR,
VG,
MB,
DH,
WB,
GS,
SUD (treće vijeće),
u sastavu: K. Jürimäe, predsjednica vijeća, K. Lenaerts, predsjednik Suda, u svojstvu suca trećeg vijeća, N. Piçarra, N. Jääskinen (izvjestitelj) i M. Gavalec, suci,
nezavisni odvjetnik: M. Campos Sánchez-Bordona,
tajnik: A. Calot Escobar,
uzimajući u obzir pisani dio postupka,
uzimajući u obzir očitovanja koja su podnijeli:
– za Irsku, M. Browne, Chief State Solicitor, A. Joyce i M. Tierney, u svojstvu agenata, uz asistenciju D. Fennellyja, BL,
– za Europsku komisiju, A. Bouchagiar, M. Heller i H. Kranenborg, u svojstvu agenata,
odlučivši, nakon što je saslušao nezavisnog odvjetnika, da u predmetu odluči bez mišljenja,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 82. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između osoba AT i BT, koje su tužitelji iz glavnog postupka, s jedne strane, te društva za porezno savjetovanje i osoba VG, MB, DH, WB i GS, članova društva PS, s druge strane, u vezi s pravom tužiteljâ iz glavnog postupka na dodjelu naknade štete na temelju članka 82. stavka 1. OUZP-a na ime naknade štete zbog duševne boli koju su navodno pretrpjeli zbog toga što je njihova porezna prijava koja sadržava osobne podatke otkrivena trećim osobama bez njihove suglasnosti zbog pogreške koju je počinilo društvo PS.
Pravni okvir
3 Uvodne izjave 85., 146. i 148. OUZP-a glase kako slijedi:
„(85) Ako se povreda osobnih podataka ne rješava na odgovarajući način i pravodobno, ona može prouzročiti fizičku, materijalnu ili nematerijalnu štetu pojedincima, kao što su gubitak nadzora nad osobnim podacima ili ograničavanje njihovih prava, diskriminacija, krađa identiteta ili prijevara, financijski gubici, neovlašteni obrnuti postupak pseudonimizacije, šteta za ugled, gubitak povjerljivosti osobnih podataka zaštićenih profesionalnom tajnom ili bilo koju drugu ekonomsku ili društvenu štetu za dotičnog pojedinca. [...]
[...]
(146) Voditelj obrade ili izvršitelj obrade trebao bi nadoknaditi svaku štetu koju osoba može pretrpjeti zbog obrade kojom se krši ova Uredba. Voditelj obrade ili izvršitelj obrade trebao bi biti izuzet od odgovornosti ako dokaže da nije ni na koji način odgovoran za štetu. Pojam štete trebalo bi široko tumačiti s obzirom na sudsku praksu Suda tako da se u potpunosti odražavaju ciljevi ove Uredbe. Time se ne dovode u pitanje zahtjevi za naknadu štete koja proizlazi iz kršenja drugih pravila prava Unije ili prava države članice. Obrada kojom se krši ova Uredba također uključuje obradu kojom se krše delegirani i provedbeni akti doneseni u skladu s ovom Uredbom i pravom države članice kojim se razrađuju pravila ove Uredbe. Ispitanici bi trebali dobiti potpunu i učinkovitu naknadu za štetu koju su pretrpjeli. [...]
[...]
(148) Kako bi se poboljšalo izvršavanje pravila ove Uredbe, trebale bi se propisati sankcije, uključujući upravne novčane kazne, za svako kršenje ove Uredbe. [...] Međutim, posebna bi se pozornost trebala posvetiti naravi, ozbiljnosti i trajanju kršenja, namjeri kršenja, mjerama poduzetim za ublažavanje pretrpljene štete, stupnju odgovornosti ili svim relevantnim prethodnim kršenjima, načinu na koji je nadzorno tijelo doznalo za kršenje, usklađenosti s mjerama naloženima protiv voditelja obrade ili izvršitelja obrade, pridržavanju kodeksa ponašanja te svakom drugom otegotnom ili olakotnom čimbeniku. [...]”
4 Članak 4. te uredbe, naslovljen „Definicije”, propisuje:
„Za potrebe ove Uredbe:
1. ‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); [...]
[...]
7. ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; [...]
[...]
10. ‚treća strana’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade;
[...]
12. ‚povreda osobnih podataka’ znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani;
[...]”
5 U skladu s člankom 79. stavkom 1. navedene uredbe:
„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti sudski pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj Uredbi prekršena njegova prava iz ove Uredbe.”
6 Članak 82. navedene uredbe, naslovljen „Pravo na naknadu štete i odgovornost”, u stavcima 1. do 3. predviđa:
„1. Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.
2. Svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. [...]
3. Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.”
7 Članak 83. iste uredbe, naslovljen „Opći uvjeti za izricanje upravnih novčanih kazni”, u stavcima 2., 3. i 5. određuje:
„2. [...] Pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna se pozornost posvećuje sljedećem:
(a) prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ kao i broj ispitanika i razinu štete koju su pretrpjeli;
(b) ima li kršenje obilježje namjere ili nepažnje;
[...]
(k) svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem.
3. Ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan iznos [upravne] novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje.
[...]
5. Za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu se izreći upravne novčane kazne u iznosu do 20 000 000 [eura], ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:
(a) osnovnih načela za obradu, što uključuje uvjete privole u skladu s člancima 5., 6., 7. i 9.;
(b) prava ispitanika u skladu s člancima od 12. do 22.;
[...]”
Glavni postupak i prethodna pitanja
8 Tužitelji iz glavnog postupka, osobe AT i BT, stranke su društva PS, ureda za porezno savjetovanje. Obavijestili su taj ured za savjetovanje o promjeni poštanske adrese koja je zabilježena u informacijskom sustavu za obradu podataka društva PS. Nakon toga društvo PS je za slanje više dopisa koristilo novu adresu tužiteljâ iz glavnog postupka.
9 U srpnju 2020. tužitelji iz glavnog postupka zatražili su od društva PS izradu njihove porezne prijave za 2019. godinu. Budući da nisu dobili nikakav odgovor, kontaktirali su društvo PS, koje ih je obavijestilo da im je ta porezna prijava poslana pošiljkom od 29. rujna 2020. a da pritom nije navelo adresu na koju je navedena pošiljka poslana.
10 Novi stanari na njihovoj bivšoj adresi obavijestili su ih da je na tu adresu stigla omotnica naslovljena na njihovo ime i da su je greškom otvorili. Jedan od tih novih stanara naveo je da je, nakon što je utvrdio da pošiljka o kojoj je riječ nije bila naslovljena na njega, vratio dokumente koje je pronašao u omotnici u nju. Potom je predao omotnicu članovima obitelji koji stanuju u blizini stare adrese tužiteljâ iz glavnog postupka kako bi je potonji mogli preuzeti.
11 Kada su tužitelji iz glavnog postupka preuzeli omotnicu o kojoj je riječ, utvrdili su da se u njoj nalaze samo preslika porezne prijave i popratni dopis. Međutim, pretpostavljaju da je ta omotnica također sadržavala izvornik te porezne prijave, koja je sadržavala osobne podatke među kojima su se nalazila njihova imena i datumi rođenja kao i podaci njihove djece, porezni identifikacijski brojevi, bankovni podaci ili pak naznake o njihovoj pripadnosti vjerskoj zajednici, statusu osobe s invaliditetom člana njihove obitelji, njihovim zanimanjima i radnim mjestima ili o različitim izdacima koje su imali.
12 U tom pogledu, sud koji je uputio zahtjev pojašnjava da nije bilo moguće utvrditi koji su se dokumenti prvotno nalazili u navedenoj omotnici niti odrediti u kojoj su mjeri novi stanari na bivšoj adresi tužiteljâ iz glavnog postupka znali za sadržaj te omotnice. Također navodi da je slanje pošiljke o kojoj je riječ na pogrešnu adresu proizašlo iz činjenice da se društvo PS koristilo podacima iz baze podataka u kojoj se još nalazila ranija adresa tužiteljâ iz glavnog postupka.
13 U tom kontekstu, tužitelji iz glavnog postupka podnijeli su Amtsgerichtu Wesel (Općinski sud u Weselu, Njemačka), sudu koji je uputio zahtjev, tužbu za naknadu, na temelju članka 82. stavka 1. OUZP-a, nematerijalne štete koju smatraju da su pretrpjeli zbog otkrivanja njihovih osobnih podataka trećim osobama i koju procjenjuju na 15 000 eura.
14 Sud koji je uputio zahtjev pita se, kao prvo, bi li se, u slučaju pozivanja na nematerijalnu štetu, pravo na naknadu štete na temelju članka 82. OUZP-a moglo temeljiti samo na povredi odredbi te uredbe s obzirom na to da se u njemačkom pravu pravo na novčanu naknadu može priznati samo u slučajevima u kojima je utvrđena materijalna šteta, koja nadilazi samu povredu pravne odredbe, pod uvjetom da se ta šteta ne može popraviti na drugi način.
15 Kao drugo, taj sud pita može li bojazan da su osobni podaci došli u posjed neovlaštenih osoba sama po sebi predstavljati nematerijalnu štetu koja može dovesti do prava na novčanu naknadu na temelju članka 82. OUZP-a.
16 Kao treće, navedeni sud ističe da se u članku 83. OUZP-a navode kriteriji na temelju kojih se može ujednačeno odrediti iznos upravnih novčanih kazni koje se izriču u slučaju povrede te uredbe. Međutim, taj članak ne sadržava nikakav ekvivalent kad je riječ o novčanoj naknadi nematerijalne štete. Stoga se pita mogu li se ti kriteriji primijeniti u području novčane naknade nematerijalne štete koja se duguje na temelju članka 82. OUZP-a.
17 Kao četvrto, sud koji je uputio zahtjev podsjeća na to da se u uvodnoj izjavi 146. OUZP-a predviđa da pojam „šteta” treba široko tumačiti kako bi se osigurala potpuna i učinkovita naknada pretrpljene štete. Međutim, pita se znači li upućivanje na „učinkovitu” naknadu štete da naknada štete koju treba isplatiti na temelju nematerijalne štete treba biti procijenjena na način da se osigura odvraćajući učinak. Ovisno o slučaju, voditelji obrade podataka mogli bi biti u iskušenju da ne poštuju obveze predviđene OUZP-om u slučaju da se pokaže da je trošak strogog pridržavanja te uredbe veći od iznosâ naknade štete koje bi mogli platiti u slučaju povrede navedene uredbe.
18 Kao peto i posljednje, sud koji je uputio zahtjev pita se treba li istodobnu povredu odredbi OUZP-a i odredbi koje proizlaze iz njemačkog prava, kao što su one kojima se određenim profesionalcima nameću obveze povjerljivosti, uzeti u obzir u svrhu procjene naknade štete koja se duguje na temelju nematerijalne štete na temelju članka 82. OUZP-a. Navodi da ima dvojbe u tom pogledu jer su relevantne odredbe njemačkog prava o kojima je riječ u ovom slučaju već bile na snazi prilikom donošenja OUZP-a te se stoga ne mogu smatrati delegiranim ili provedbenim aktima donesenima u skladu s tom uredbom, u smislu njezine uvodne izjave 146.
19 U tim okolnostima Amtsgericht Wesel (Općinski sud u Weselu) odlučio je prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Je li za stjecanje prava na naknadu štete u skladu s člankom 82. stavkom 1. [OUZP-a] dovoljno da je povrijeđena odredba [te uredbe] kojom se štiti osoba koja se poziva na to pravo ili je potrebno da je osim povrede odredbi kao takvih došlo do dodatnog ugrožavanja osobe koja se poziva na to pravo?
2. Je li u skladu s pravom Unije za stjecanje prava na naknadu nematerijalne štete u skladu s člankom 82. stavkom 1. OUZP-a potrebno da postoji ugrožavanje koje ima određenu težinu?
3. Konkretno: je li za stjecanje prava na naknadu nematerijalne štete u skladu s člankom 82. stavkom 1. OUZP-a dovoljno da se osoba koja se poziva na to pravo pribojava da su njezini osobni podaci uslijed povreda odredbi OUZP-a dospjeli u ruke trećih osoba, pri čemu se to ne može utvrditi sa sigurnošću?
4. Je li u skladu s pravom Unije ako nacionalni sud prilikom određivanja naknade nematerijalne štete u skladu s člankom 82. stavkom 1. OUZP-a po analogiji primijeni kriterije iz članka 83. stavka 2. druge rečenice OUZP-a koji se u skladu s tekstom potonje odredbe primjenjuju samo na upravne novčane kazne?
5. Treba li iznos naknade nematerijalne štete u skladu s člankom 82. stavkom 1. OUZP-a odrediti i s obzirom na to da se iznosom dodijeljene naknade postiže odvraćajući učinak ili sprečava ‚komercijalizacija’ (proračunato određivanje upravnih novčanih kazni odnosno plaćanjâ naknada štete) povreda navedene uredbe?
6. Je li u skladu s pravom Unije ako se prilikom određivanja naknade nematerijalne štete u skladu s člankom 82. stavkom 1. OUZP-a, s obzirom na iznos, uzimaju u obzir istodobno počinjene povrede nacionalnih propisa čija je svrha zaštita osobnih podataka, ali koji nisu delegirani i provedbeni akti doneseni u skladu s tom uredbom i pravom države članice kojim se razrađuju pravila te uredbe?”
O prethodnim pitanjima
Prvo i drugo pitanje
20 Svojim prvim i drugim pitanjem, koja valja razmotriti zajedno, sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP-a tumačiti na način da je povreda te uredbe sama po sebi dovoljna da bi se na njoj temeljilo pravo na naknadu štete na temelju te odredbe ili ispitanik mora dokazati i postojanje štete koja doseže određeni stupanj ozbiljnosti, a prouzročena je tom povredom.
21 U članku 82. stavku 1. OUZP-a navodi se da „[s]vaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu”.
22 Sud je već utvrdio da iz teksta te odredbe jasno proizlazi da je postojanje materijalne ili nematerijalne „štete” ili „pretrpljene” „štete” jedan od uvjeta prava na naknadu štete predviđenog člankom 82. stavkom 1., kao i postojanje povrede navedene uredbe i uzročne veze između te štete i te povrede, a ta su tri uvjeta kumulativne naravi (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 32. i od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 34.).
23 Stoga se ne može smatrati da svako „kršenje” odredbi OUZP‑a, samo po sebi, dovodi do tog prava na naknadu štete u korist ispitanika, kako je definiran u članku 4. točki 1. te uredbe. Osim toga, zasebno navođenje „štete” i „kršenja” u članku 82. stavku 1. navedene uredbe bilo bi suvišno da je zakonodavac Unije smatrao da povreda odredbi iste uredbe može sama po sebi i u svakom slučaju biti dovoljna da bi nastalo pravo na naknadu štete (presuda od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 33. i 34.).
24 Iz toga proizlazi da članak 82. stavak 1. OUZP‑a treba tumačiti na način da obična povreda odredbi te uredbe nije dovoljna za dodjelu prava na naknadu štete (presuda od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 42.).
25 Stoga osoba koja zahtijeva naknadu nematerijalne štete na temelju te odredbe mora dokazati ne samo povredu odredbi te uredbe nego i da joj je ta povreda prouzročila takvu štetu (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 42. i 50. i od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 35.).
26 Kad je riječ o potonjem uvjetu, članku 82. stavku 1. OUZP-a protivi se nacionalno pravno pravilo ili praksa koji naknadu nematerijalne štete u smislu te odredbe uvjetuju time da je šteta koju je pretrpio ispitanik dosegnula određeni stupanj ozbiljnosti (presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 51. i od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 36.).
27 Ta osoba ipak ima obvezu, na temelju članka 82. stavka 1. te uredbe, dokazati da je stvarno pretrpjela materijalnu ili nematerijalnu štetu (vidjeti u tom smislu presudu od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 39.).
28 Imajući u vidu prethodno navedeno, na prvo i drugo pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP-a treba tumačiti na način da povreda te uredbe nije sama po sebi dovoljna da bi se na njoj temeljilo pravo na naknadu štete na temelju te odredbe. Ispitanik mora dokazati i postojanje štete prouzročene tom povredom, pri čemu ta šteta, međutim, ne mora dosegnuti određeni stupanj ozbiljnosti.
Treće pitanje
29 Svojim trećim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP-a tumačiti na način da je bojazan osobe da su njezini osobni podaci zbog povrede te uredbe otkriveni trećim osobama, a da se pritom ne može utvrditi da je to stvarno bio slučaj, dovoljan temelj za pravo na naknadu nematerijalne štete.
30 Iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da tužitelji iz glavnog postupka žele dobiti, na temelju OUZP-a, naknadu nematerijalne štete zbog gubitka nadzora nad svojim osobnim podacima koji su bili predmet obrade a da pritom ne mogu dokazati u kojoj su mjeri treće osobe stvarno saznale za navedene podatke.
31 U tom pogledu, s obzirom na to da u članku 82. stavku 1. OUZP‑a ne postoji nikakvo upućivanje na nacionalno pravo država članica, pojam „nematerijalna šteta” u smislu te odredbe valja definirati autonomno i ujednačeno, svojstveno pravu Unije (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 30. i 44. i od 25. siječnja 2024., MediaMarktSaturn, C-687/21, EU:C:2024:72, t. 64.).
32 Sud je presudio da proizlazi ne samo iz teksta članka 82. stavka 1. OUZP‑a, u vezi s uvodnim izjavama 85. i 146. te uredbe, u kojima se poziva na široko shvaćanje pojma „nematerijalna šteta” u smislu te prve odredbe, nego i iz cilja osiguranja visoke razine zaštite pojedinaca u pogledu obrade osobnih podataka, koji se nastoji postići navedenom uredbom, da bojazan da će treća osoba zloupotrebljavati osobne podatke ispitanika koju on proživljava uslijed povrede te uredbe može sama po sebi predstavljati „nematerijalnu štetu” u smislu tog članka 82. stavka 1. (vidjeti u tom smislu presude od 14. prosinca 2023., Nacionalna agencija za prihodite, C-340/21, EU:C:2023:986, t. 79. do 86. i od 25. siječnja 2024., MediaMarktSaturn, C-687/21, EU:C:2024:72, t. 65.).
33 Gubitak nadzora nad osobnim podacima, čak i tijekom kratkog razdoblja, može predstavljati „nematerijalnu štetu” u smislu članka 82. stavka 1. OUZP‑a, koja daje pravo na naknadu, pod uvjetom da navedena osoba dokaže da je stvarno pretrpjela takvu štetu, koliko god malu, pri čemu valja podsjetiti na to da puka povreda odredbi te uredbe nije dovoljna da bi se na toj osnovi dodijelilo pravo na naknadu štete (vidjeti u tom smislu presude od 25. siječnja 2024., MediaMarktSaturn, C-687/21, EU:C:2024:72, t. 66. i od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 42.).
34 Osoba koja smatra da su njezini osobni podaci bili obrađeni protivno relevantnim odredbama OUZP-a i traži naknadu na temelju članka 82. stavka 1. te uredbe stoga mora dokazati da je stvarno pretrpjela materijalnu ili nematerijalnu štetu.
35 Stoga puka tvrdnja o bojazni, bez dokazane negativne posljedice, ne može dovesti do naknade štete na temelju te odredbe.
36 S obzirom na prethodno navedeno, na treće pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP-a treba tumačiti na način da je bojazan osobe da su njezini osobni podaci zbog povrede te uredbe otkriveni trećim osobama, a da se pritom ne može utvrditi da je to stvarno bio slučaj, dovoljan temelj za pravo na naknadu štete, pod uvjetom da je ta bojazan, sa svojim negativnim posljedicama, propisno dokazana.
Četvrto i peto pitanje
37 Svojim četvrtim i petim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP-a tumačiti na način da za određivanje iznosa naknade štete koja se duguje kao naknada štete na temelju te odredbe valja, s jedne strane, mutatis mutandis primijeniti kriterije za određivanje iznosa upravnih novčanih kazni koji su predviđeni člankom 83. te uredbe i, s druge strane, tom pravu na naknadu štete dati odvraćajuću funkciju.
38 Kao prvo, što se tiče eventualnog uzimanja u obzir kriterija navedenih u članku 83. OUZP-a radi procjene iznosa naknade štete koja se duguje na temelju njegova članka 82., nesporno je da se tim dvjema odredbama nastoje postići različiti ciljevi. Naime, dok članak 83. te uredbe određuje „[opće] uvjet[e] za izricanje upravnih novčanih kazni”, člankom 82. navedene uredbe uređuje se „[p]ravo na naknadu štete i odgovornost”.
39 Iz toga proizlazi da se kriteriji navedeni u članku 83. OUZP‑a radi određivanja iznosa upravnih novčanih kazni, koji su također navedeni u uvodnoj izjavi 148. te uredbe, ne mogu upotrijebiti za procjenu iznosa naknade štete na temelju njezina članka 82. (presuda od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 57.).
40 OUZP ne sadržava odredbu čiji je cilj utvrditi pravila o određivanju naknade štete koju na temelju njegova članka 82. može zahtijevati ispitanik u smislu članka 4. točke 1. te uredbe, ako mu je kršenjem navedene uredbe prouzročena šteta. Prema tome, u nedostatku pravnih propisa Unije u tom području, na pravnom je poretku svake države članice da utvrdi detaljna pravila kojima se uređuju pravna sredstva za zaštitu prava koja pojedinci imaju na temelju tog članka 82. i, osobito, kriterije koji omogućuju određivanje opsega naknade štete koju treba platiti u tom okviru, pod uvjetom poštovanja načela ekvivalentnosti i djelotvornosti (presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 54. i od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 58.).
41 Kao drugo, pravo na naknadu štete predviđeno člankom 82. stavkom 1. OUZP‑a ne ispunjava odvraćajuću ili kaznenu funkciju. Iz toga slijedi da ozbiljnost povrede te uredbe kojom je prouzročena navodna materijalna ili nematerijalna šteta ne može utjecati na iznos naknade štete dodijeljene na temelju te odredbe i da taj iznos ne može prelaziti punu naknadu te štete (vidjeti u tom smislu presude od 21. prosinca 2023., Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, t. 86. i od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 60.).
42 Imajući u vidu kompenzacijsku funkciju prava na naknadu štete predviđenog člankom 82. OUZP‑a, kako je navedena u uvodnoj izjavi 146. šestoj rečenici te uredbe, novčanu naknadu koja se temelji na tom članku treba smatrati „potpunom i učinkovitom” ako omogućuje da se u potpunosti nadoknadi šteta koja je konkretno pretrpljena zbog povrede navedene uredbe, a da pritom u svrhu takve potpune naknade nije potrebno naložiti plaćanje naknade štete u svrhu kažnjavanja (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C-300/21, EU:C:2023:370, t. 57. i 58. i od 11. travnja 2024., juris, C-741/21, EU:C:2024:288, t. 61.).
43 Stoga, s obzirom na razlike u tekstu i svrhama koje postoje između članka 82. OUZP‑a, u vezi s njegovom uvodnom izjavom 146., i članka 83. navedene uredbe, u vezi s njezinom uvodnom izjavom 148., ne može se smatrati da su kriteriji procjene navedeni posebno u tom članku 83. primjenjivi mutatis mutandis u okviru tog članka 82., neovisno o činjenici da su pravna sredstva predviđena tim dvjema odredbama doista komplementarna kako bi se osiguralo poštovanje te uredbe (presuda od 11. travnja 2024., C-741/21, EU:C:2024:288, t. 62.).
44 S obzirom na prethodno navedeno, na četvrto i peto pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP-a treba tumačiti na način da za određivanje iznosa naknade štete koja se duguje kao naknada štete na temelju te odredbe ne treba, s jedne strane, mutatis mutandis primijeniti kriterije za određivanje iznosa upravnih novčanih kazni koji su predviđeni člankom 83. te uredbe i, s druge strane, tom pravu na naknadu štete povjeriti odvraćajuću funkciju.
Šesto pitanje
45 Svojim šestim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP-a tumačiti na način da za određivanje iznosa naknade štete koja se duguje kao naknada štete na temelju te odredbe valja uzeti u obzir istodobne povrede nacionalnih odredbi o zaštiti osobnih podataka, ali čiji cilj nije pojasniti pravila te uredbe.
46 To se pitanje postavlja s obzirom na činjenicu da tužitelji iz glavnog postupka smatraju da zajednička povreda odredbi OUZP-a i njemačkog zakonodavstva koje se primjenjuje na porezne savjetnike, a koje je doneseno prije stupanja na snagu te uredbe i kojim se stoga ne nastoje pojasniti njezina pravila, treba imati za posljedicu povećanje naknade štete koju zahtijevaju na temelju članka 82. stavka 1. OUZP-a kao naknadu nematerijalne štete koju su navodno pretrpjeli.
47 U tom pogledu, točno je da iz pete rečenice uvodne izjave 146. OUZP-a u biti proizlazi da obrada osobnih podataka kojom se krši ta uredba „također uključuje obradu kojom se krše delegirani i provedbeni akti doneseni u skladu s ovom Uredbom i pravom države članice kojim se razrađuju pravila ove uredbe”.
48 Međutim, okolnost da se takvom obradom podataka također krše odredbe nacionalnog prava koje se odnose na zaštitu osobnih podataka, ali čiji cilj nije pojasniti pravila te uredbe, nije relevantan čimbenik za potrebe procjene naknade štete dodijeljene na temelju članka 82. stavka 1. OUZP-a. Naime, povreda takvih nacionalnih odredbi nije obuhvaćena člankom 82. stavkom 1. te uredbe, u vezi s njezinom uvodnom izjavom 146.
49 Time se ne dovodi u pitanje činjenica da, ako mu nacionalno pravo to dopušta, nacionalni sud može ispitaniku dodijeliti veću naknadu od potpune i učinkovite naknade predviđene člankom 82. stavkom 1. OUZP-a ako se, s obzirom na činjenicu da je šteta također prouzročena povredom odredbi nacionalnog prava poput onih iz prethodne točke, potonja naknada ne smatra dostatnom ili prikladnom.
50 S obzirom na prethodno navedeno, na šesto pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP-a treba tumačiti na način da za određivanje iznosa naknade štete koja se duguje kao naknada štete na temelju te odredbe ne treba uzeti u obzir istodobne povrede nacionalnih odredbi o zaštiti osobnih podataka, ali čiji cilj nije pojasniti pravila te uredbe.
Troškovi
51 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (treće vijeće) odlučuje:
1. Članak 82. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da:
povreda te uredbe nije sama po sebi dovoljna da bi se na njoj temeljilo pravo na naknadu štete na temelju te odredbe. Ispitanik mora dokazati i postojanje štete prouzročene tom povredom, pri čemu ta šteta, međutim, ne mora dosegnuti određeni stupanj ozbiljnosti.
2. Članak 82. stavak 1. Uredbe 2016/679
treba tumačiti na način da je:
bojazan osobe da su njezini osobni podaci zbog povrede te uredbe otkriveni trećim osobama, a da se pritom ne može utvrditi da je to stvarno bio slučaj, dovoljan temelj za pravo na naknadu štete, pod uvjetom da je ta bojazan, sa svojim negativnim posljedicama, propisno dokazana.
3. Članak 82. stavak 1. Uredbe 2016/679
treba tumačiti na način da:
za određivanje iznosa naknade štete koja se duguje kao naknada štete na temelju te odredbe ne treba, s jedne strane, mutatis mutandis primijeniti kriterije za određivanje iznosa upravnih novčanih kazni koji su predviđeni člankom 83. te uredbe i, s druge strane, tom pravu na naknadu štete povjeriti odvraćajuću funkciju.
4. Članak 82. stavak 1. Uredbe 2016/679
treba tumačiti na način da:
za određivanje iznosa naknade štete koja se duguje kao naknada štete na temelju te odredbe ne treba uzeti u obzir istodobne povrede nacionalnih odredbi o zaštiti osobnih podataka, ali čiji cilj nije pojasniti pravila te uredbe.
Potpisi