Začasna izdaja
SODBA SODIŠČA (tretji senat)
z dne 20. junija 2024(*)
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 82(1) – Pravica do odškodnine za škodo, povzročeno z obdelavo podatkov, ki je bila izvedena v nasprotju s to uredbo – Pojem ,nepremoženjska škoda‘ – Vpliv resnosti nastale škode – Ocena zneska odškodnine – Zahtevek za povrnitev nepremoženjske škode, ki temelji na bojazni – Neuporaba meril, določenih za upravne globe v členu 83 – Odvračilna funkcija – Ocena v primeru hkratne kršitve navedene uredbe in nacionalnega prava“
V zadevi C‑590/22,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Amtsgericht Wesel (okrajno sodišče v Weslu, Nemčija) z odločbo z dne 5. avgusta 2022, ki je na Sodišče prispela 9. septembra 2022, v postopku
AT,
BT
proti
PS GbR,
VG,
MB,
DH,
WB,
GS,
SODIŠČE (tretji senat),
v sestavi K. Jürimäe, predsednica senata, K. Lenaerts, predsednik Sodišča v funkciji sodnika tretjega senata, N. Piçarra, N. Jääskinen (poročevalec) in M. Gavalec, sodniki,
generalni pravobranilec: M. Campos Sánchez-Bordona,
sodni tajnik: A. Calot Escobar,
na podlagi pisnega postopka,
ob upoštevanju stališč, ki so jih predložili:
– za Irsko M. Browne, Chief State Solicitor, A. Joyce in M. Tierney, agenta, skupaj z D. Fennellyjem, BL,
– za Evropsko komisijo A. Bouchagiar, M. Heller in H. Kranenborg, agenti,
na podlagi sklepa, sprejetega po opredelitvi generalnega pravobranilca, da bo v zadevi razsojeno brez sklepnih predlogov,
izreka naslednjo
Sodbo
1 Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 82(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2016, L 127, str. 2) (v nadaljevanju: SUVP).
2 Ta predlog je bil vložen v okviru spora med osebama AT in BT, ki sta tožeči stranki v postopku v glavni stvari, ter PS GbR, ki je družba za davčno svetovanje, VG, MB, DH, WB in GS, ki so družbeniki družbe PS, v zvezi s pravico tožečih strank iz postopka v glavni stvari do dodelitve odškodnine na podlagi člena 82(1) SUVP iz naslova odškodnine za trpljenje, ki naj bi ga prestali, ker je bila njuna davčna napoved, ki vsebuje osebne podatke, brez njunega soglasja razkrita tretjim osebam zaradi napake, ki jo je storila družba PS.
Pravni okvir
3 V uvodnih izjavah 85, 146 in 148 SUVP je navedeno:
„(85) Kršitev varstva osebnih podatkov lahko, če se ne obravnava ustrezno in pravočasno, zadevnim posameznikom povzroči fizično, premoženjsko ali nepremoženjsko škodo, kot je izguba nadzora nad njihovimi osebnimi podatki ali omejitev njihovih pravic, diskriminacija, kraja ali zloraba identitete, finančna izguba, neodobrena reverzija psevdonimizacije, okrnitev ugleda, izguba zaupnosti osebnih podatkov, zaščitenih s poklicno skrivnostjo, ali katera koli druga znatna gospodarska ali socialna škoda. […]
[…]
(146) Upravljavec ali obdelovalec bi moral povrniti vso škodo, ki jo oseba lahko utrpi zaradi obdelave, ki krši to uredbo. Upravljavec ali obdelovalec bi moral biti oproščen odgovornosti, če dokaže, da ni v nobenem primeru odgovoren za škodo. Pojem škode bi bilo treba razlagati široko ob upoštevanju sodne prakse Sodišča na način, ki, v celoti odraža cilje te uredbe. To je brez poseganja v kakršne koli odškodninske zahtevke, ki izhajajo iz kršitve drugih pravil prava Unije ali prava države članice. Obdelava, ki krši to uredbo, vključuje tudi obdelavo, ki krši delegirane in izvedbene akte, sprejete v skladu s to uredbo, in pravo države članice, ki natančneje določa pravila te uredbe. Posamezniki, na katere se nanašajo osebni podatki, bi morali prejeti celotno in učinkovito odškodnino za škodo, ki so jo utrpeli. […]
[…]
(148) Da bi okrepili izvrševanje pravil te uredbe, bi bilo treba […] za vsako kršitev uredbe uvesti kazni, vključno z upravnimi globami. […] Vsekakor pa bi bilo treba ustrezno upoštevati naravo, težo in trajanje kršitve, namernost kršitve, sprejete ukrepe za ublažitev utrpljene škode, stopnjo odgovornosti ali morebitne pomembne predhodne kršitve, način, kako se je s kršitvijo seznanil nadzorni organ, skladnost z ukrepi, odrejenimi zoper upravljavca ali obdelovalca, zavezanost h kodeksu ravnanja in morebitne druge oteževalne ali olajševalne dejavnike. […]“
4 Člen 4 te uredbe, naslovljen „Opredelitev pojmov“, določa:
„V tej uredbi:
(1) ,osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); […]
[…]
(7) ‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; […]
[…]
(10) ,tretja oseba‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali telo, ki ni posameznik, na katerega se nanašajo osebni podatki, upravljavec, obdelovalec in osebe, ki so pooblaščene za obdelavo osebnih podatkov pod neposrednim vodstvom upravljavca ali obdelovalca;
[…]
(12) ,kršitev varstva osebnih podatkov‘ pomeni kršitev varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani;
[…].“
5 Člen 79(1) navedene uredbe določa:
„Brez poseganja v katero koli razpoložljivo upravno ali izvensodno sredstvo, vključno s pravico do vložitve pritožbe pri nadzornem organu na podlagi člena 77, ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar meni, da so bile njegove pravice iz te uredbe kršene zaradi obdelave njegovih osebnih podatkov, ki ni bila v skladu s to uredbo.“
6 Člen 82 te uredbe, naslovljen „Pravica do odškodnine in odgovornost“, v odstavkih od 1 do 3 določa:
„1. Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.
2. Vsak upravljavec, vključen v obdelavo, je odgovoren za škodo, ki jo povzroči obdelava, ki krši to uredbo. […]
3. Upravljavec ali obdelovalec je izvzet od odgovornosti iz odstavka 2, če dokaže, da v nobenem primeru ni odgovoren za dogodek, ki povzroči škodo.“
7 Člen 83 iste uredbe, naslovljen „Splošni pogoji za naložitev upravnih glob“, v odstavkih 2, 3 in 5 določa:
„2. […] Pri odločanju o tem, ali se naloži upravna globa, in o višini upravne globe za vsak posamezen primer se ustrezno upošteva naslednje:
(a) narava, teža in trajanje kršitve, pri čemer se upoštevajo narava, obseg ali namen zadevne obdelave ter število posameznikov, na katere se nanašajo osebni podatki in ki jih je kršitev prizadela, in raven škode, ki so jo utrpeli;
(b) ali je kršitev naklepna ali posledica malomarnosti;
[…]
(k) morebitni drugi oteževalni ali olajševalni dejavniki v zvezi z okoliščinami primera, kot so pridobljene finančne koristi ali preprečene izgube, ki neposredno ali posredno izhajajo iz kršitve.
3. Če upravljavec ali obdelovalec namerno ali iz malomarnosti pri istem ali povezanem dejanju obdelave krši več določb te uredbe, skupni znesek upravne globe ne presega zneska, določenega za najhujšo kršitev.
[…]
5. V skladu z odstavkom 2 se za kršitve naslednjih določb uporabljajo upravne globe v znesku do 20.000.000 EUR ali v primeru družbe v znesku do 4 % skupnega svetovnega letnega prometa v preteklem proračunskem letu, odvisno od tega, kateri znesek je višji:
(a) osnovna načela obdelave, vključno s pogoji za privolitev, v skladu s členi 5, 6, 7 in 9;
(b) pravice posameznika, na katerega se nanašajo podatki, v skladu s členi 12 do 22;
[…].“
Spor o glavni stvari in vprašanja za predhodno odločanje
8 Tožeči stranki iz postopka v glavni stvari, AT in BT, sta stranki družbe PS, ki je pisarna za davčno svetovanje. To pisarno za svetovanje sta obvestili o spremembi njunega naslova, ki je bil zabeležen v sistem za elektronsko obdelavo podatkov družbe PS. Ta je nato novi naslov tožečih strank iz postopka v glavni stvari uporabila, da jima je poslala več dopisov.
9 Tožeči stranki iz postopka v glavni stvari sta julija 2020 družbi PS naročili pripravo njune napovedi za odmero dohodnine za leto 2019. Ker nista prejeli nobenega odgovora, sta stopili v stik z družbo PS, ki jima je povedala, da jima je bila ta napoved za odmero dohodnine poslana po pošti 29. septembra 2020, pri čemer ni natančneje navedla, na kateri naslov je bila navedena pošta poslana.
10 Novi stanovalci na njunem prejšnjem naslovu so jima povedali, da je na ta naslov prispela kuverta, naslovljena na njun priimek, in da so jo pomotoma odprli. Eden od teh novih stanovalcev je navedel, da je, potem ko je ugotovil, da zadevna pošta ni bila naslovljena nanj, dokumente, ki jih je našel v njuni kuverti, vložil nazaj vanjo. Nato jo je izročil sorodnikom, ki živijo v bližini prejšnjega naslova tožečih strank iz postopka v glavni stvari, da bi jo ti lahko prevzeli.
11 Ko sta tožeči stranki iz postopka v glavni stvari prevzeli zadevno kuverto, sta ugotovili, da sta bila v njej le kopija napovedi za odmero dohodnine in spremni dopis. Vendar predpostavljata, da je bil v kuverti tudi izvirnik te napovedi za odmero dohodnine, ki je vseboval osebne podatke, med katerimi so bila imena in priimki ter datumi rojstva njiju in njunih otrok, njuni davčni identifikacijski številki, podatki o njunih bančnih računih, pa tudi navedbe o njuni pripadnosti verski skupnosti, statusu invalida člana njune družine, njunih poklicih in krajih dela oziroma različnih stroških, ki sta jih imeli.
12 V zvezi s tem predložitveno sodišče pojasnjuje, da ni bilo mogoče ugotoviti niti tega, kateri dokumenti so bili prvotno v navedeni kuverti, niti v kolikšni meri so se oziroma se niso novi stanovalci na prejšnjem naslovu tožečih strank iz postopka v glavni stvari seznanili z vsebino te kuverte. Prav tako navaja, da je bila zadevna pošta poslana na napačen naslov, ker je družba PS uporabila podatke iz podatkovne zbirke, v kateri je bil še vedno prejšnji naslov tožečih strank iz postopka v glavni stvari.
13 V tem okviru sta tožeči stranki iz postopka v glavni stvari pri Amtsgericht Wesel (okrajno sodišče v Weslu, Nemčija), ki je predložitveno sodišče, vložili tožbo na podlagi člena 82(1) SUVP, s katero sta zahtevali odškodnino za nepremoženjsko škodo, za katero menita, da sta jo utrpeli zaradi razkritja njunih osebnih podatkov tretjim osebam, in ki jo ocenjujeta na 15.000 EUR.
14 Predložitveno sodišče se na prvem mestu sprašuje, ali bi lahko v primeru uveljavljanja nepremoženjske škode pravica do odškodnine na podlagi člena 82 SUVP temeljila zgolj na kršitvi določb te uredbe, pri čemer je pojasnjeno, da se po nemškem pravu pravica do denarne odškodnine lahko prizna le, če se dokaže velika škoda, ki presega zgolj kršitev neke pravne določbe, pod pogojem, da te škode ni mogoče povrniti na drug način.
15 Na drugem mestu se navedeno sodišče sprašuje, ali lahko bojazen, da so osebni podatki prišli v posest nepooblaščenih oseb, sama po sebi pomeni nepremoženjsko škodo, na podlagi katere lahko nastane pravica do denarne odškodnine na podlagi člena 82 SUVP.
16 Na tretjem mestu navedeno sodišče poudarja, da člen 83 SUVP določa merila, ki omogočajo enotno določitev zneska upravnih glob, naloženih v primeru kršitve te uredbe. V tem členu pa naj ne bi bilo nobene ustreznice za denarno odškodnino za nepremoženjsko škodo. Sprašuje se torej, ali je ta merila mogoče prenesti na področje denarne odškodnine za nepremoženjsko škodo, dolgovano na podlagi člena 82 SUVP.
17 Na četrtem mestu predložitveno sodišče opozarja, da je v uvodni izjavi 146 SUVP navedeno, da je treba pojem „škoda“ razlagati široko, da se zagotovi celotna in učinkovita odškodnina za nastalo škodo. Vendar se sprašuje, ali sklicevanje na „učinkovito“ odškodnino pomeni, da je treba odškodnino, ki jo je treba plačati za nepremoženjsko škodo, oceniti tako, da ima odvračilni učinek. Upravljavci podatkov bi lahko, odvisno od primera, bili v skušnjavi, da ne izpolnijo obveznosti, določenih v SUVP, če bi se izkazalo, da je strošek strogega upoštevanja te uredbe višji od zneskov odškodnin, ki bi jih morda morali plačati v primeru kršitve navedene uredbe.
18 Na petem in zadnjem mestu se predložitveno sodišče sprašuje, ali je treba hkratno kršitev določb SUVP in določb nemškega prava, kot so določbe, s katerimi so nekaterim prodajalcem ali ponudnikom naložene dolžnosti varovanja poklicne skrivnosti, upoštevati pri oceni odškodnine, dolgovane iz naslova nepremoženjske škode na podlagi člena 82 SUVP. Navaja, da ima dvome v zvezi s tem, ker so upoštevne določbe nemškega prava, ki so predmet obravnavane zadeve, ob sprejetju SUVP že veljale in jih torej ni mogoče šteti za delegirane ali izvedbene akte, sprejete v skladu s to uredbo, v smislu uvodne izjave 146 te uredbe.
19 V teh okoliščinah je Amtsgericht Hagen (okrajno sodišče v Weslu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1. Ali za utemeljenost odškodninskega zahtevka na podlagi člena 82(1) [SUVP] zadostuje, da je bila kršena določba te uredbe, katere namen je varstvo osebe, ki uveljavlja zahtevek, ali je poleg kršitve teh določb treba, da je osebi, ki uveljavlja zahtevek, nastala tudi škoda?
2. Ali je na podlagi prava Unije pogoj za utemeljenost odškodninskega zahtevka za nepremoženjsko škodo na podlagi člena 82(1) SUVP, da je nastala dovolj huda škoda?
3. Zlasti: ali za utemeljenost odškodninskega zahtevka za nepremoženjsko škodo na podlagi člena 82(1) SUVP zadostuje, da se oseba, ki uveljavlja zahtevek, boji, da so njeni osebni podatki zaradi kršitev določb SUVP prišli v posest tretje osebe, ne da bi bilo to mogoče zanesljivo ugotoviti?
4. Ali je v skladu s pravom Unije, če nacionalno sodišče pri določitvi odškodnine za nepremoženjsko škodo na podlagi člena 82(1) SUVP po analogiji uporabi merila iz člena 83(2), drugi stavek, SUVP, ki na podlagi njegovega besedila veljajo le za upravne globe?
5. Ali je treba višino odškodninskega zahtevka za nepremoženjsko škodo v skladu s členom 82(1) SUVP določiti tudi tako, da se z višino prisojenega zahtevka doseže odvračilni učinek in/ali prepreči ‚komercializacija‘ kršitev (preračunljivo sprijaznjenje z upravnimi globami in plačili odškodnine)?
6. Ali je v skladu s pravom Unije, če se pri določitvi višine odškodninskega zahtevka za nepremoženjsko škodo v skladu s členom 82(1) SUVP upoštevajo hkratne kršitve nacionalnih določb, katerih namen je varstvo osebnih podatkov, pri katerih pa ne gre niti za delegirane ali izvedbene akte, sprejete v skladu s to uredbo, niti za pravo države članice, ki natančneje določa pravila te uredbe?“
Vprašanja za predhodno odločanje
Prvo in drugo vprašanje
20 Predložitveno sodišče s prvim in drugim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da že sama kršitev te uredbe zadostuje za utemeljitev pravice do odškodnine na podlagi te določbe, ali pa mora posameznik, na katerega se nanašajo osebni podatki, prav tako dokazati obstoj škode, ki dosega določeno stopnjo resnosti, povzročene s to kršitvijo.
21 Člen 82(1) SUVP določa, da ima „[v]sak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, […] pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo“.
22 Sodišče je že ugotovilo, da je iz besedila te določbe jasno razvidno, da je obstoj premoženjske ali nepremoženjske „škode“ oziroma „škode“, ki je „nastala“, eden od pogojev za pravico do odškodnine iz tega člena 82(1), in sicer poleg obstoja kršitve navedene uredbe ter vzročne zveze med to škodo in to kršitvijo, pri čemer so ti trije pogoji kumulativni (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 32, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 34).
23 Zato ni mogoče šteti, da zaradi vsake „kršitve“ določb SUVP same po sebi nastane navedena pravica do odškodnine v korist posameznika, na katerega se nanašajo osebni podatki, kot je opredeljen v členu 4, točka 1, te uredbe. Poleg tega bi bila ločena omemba „škode“ in „kršitve“ v členu 82(1) navedene uredbe odveč, če bi zakonodajalec Unije menil, da lahko kršitev določb te uredbe sama po sebi in vsekakor zadostuje za utemeljitev pravice do odškodnine (sodba z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 33 in 34).
24 Iz tega sledi, da je treba člen 82(1) SUVP razlagati tako, da zgolj kršitev določb te uredbe ne zadostuje za priznanje pravice do odškodnine (sodba z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 42).
25 Oseba, ki zahteva povračilo nepremoženjske škode na podlagi te določbe, mora dejansko dokazati ne samo kršitev določb te uredbe, ampak tudi, da ji je bila s to kršitvijo povzročena taka škoda (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 42 in 50, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 35).
26 V zvezi z zadnjenavedenim pogojem je treba navesti, da člen 82(1) SUVP nasprotuje nacionalnemu pravilu ali praksi, ki odškodnino za nepremoženjsko škodo v smislu te določbe pogojuje s tem, da je škoda, ki je nastala posamezniku, na katerega se nanašajo osebni podatki, dosegla določeno stopnjo resnosti (sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 51, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 36).
27 Vendar mora ta posameznik na podlagi člena 82(1) te uredbe dokazati, da je dejansko utrpel premoženjsko ali nepremoženjsko škodo (glej v tem smislu sodbo z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 39).
28 Glede na zgoraj navedeno je treba na prvo in drugo vprašanje odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da kršitev te uredbe sama po sebi ne zadostuje za utemeljitev pravice do odškodnine na podlagi te določbe. Posameznik, na katerega se nanašajo osebni podatki, mora prav tako dokazati obstoj škode, povzročene s to kršitvijo, pri čemer pa ni treba, da ta škoda doseže določeno stopnjo resnosti.
Tretje vprašanje
29 Predložitveno sodišče s tretjim vprašanjem v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da bojazen posameznika, da so bili njegovi osebni podatki zaradi kršitve te uredbe razkriti tretjim osebam, pri čemer ni mogoče dokazati, da je dejansko bilo tako, zadostuje za utemeljitev pravice do odškodnine za nepremoženjsko škodo.
30 Iz predložitvene odločbe je razvidno, da želita tožeči stranki iz postopka v glavni stvari na podlagi SUVP dobiti odškodnino za nepremoženjsko škodo iz naslova izgube nadzora nad njunimi osebnimi podatki, ki so bili predmet obdelave, ne da bi lahko dokazali, v kolikšni meri naj bi se tretje osebe z navedenimi podatki dejansko seznanile.
31 V zvezi s tem, ker v členu 82(1) SUVP ni nobenega sklicevanja na nacionalno pravo držav članic, je treba pojem „nepremoženjska škoda“ v smislu te določbe opredeliti avtonomno in enotno v okviru prava Unije (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 30 in 44, ter z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točka 64).
32 Sodišče je razsodilo, da je ne le iz člena 82(1) SUVP v povezavi z uvodnima izjavama 85 in 146 te uredbe, ki vabijo k upoštevanju široke razlage pojma „nepremoženjska škoda“ v smislu te prvonavedene določbe, ampak tudi iz cilja zagotavljati visoko raven varstva posameznikov pri obdelavi osebnih podatkov, ki mu sledi navedena uredba, razvidno, da lahko že sama bojazen, ki jo posameznik, na katerega se nanašajo osebni podatki, občuti po kršitvi iste uredbe, da bi lahko tretje osebe zlorabile njegove osebne podatke, pomeni „nepremoženjsko škodo“ v smislu tega člena 82(1) (glej v tem smislu sodbi z dne 14. decembra 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, točke od 79 do 86, in z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točka 65).
33 Izguba nadzora nad osebnimi podatki, tudi v kratkem času, lahko pomeni „nepremoženjsko škodo“ v smislu člena 82(1) SUVP, ki daje pravico do odškodnine, če navedeni posameznik dokaže, da je dejansko utrpel tako škodo, pa čeprav je ta minimalna, pri čemer je treba opozoriti, da zgolj kršitev določb te uredbe ne zadostuje za priznanje pravice do odškodnine na tej podlagi (glej v tem smislu sodbi z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točka 66, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 42).
34 Posameznik, ki meni, da so bili njegovi osebni podatki predmet obdelave, ki krši upoštevne določbe SUVP, in zahteva odškodnino na podlagi člena 82(1) te uredbe, mora torej dokazati, da je dejansko utrpel premoženjsko ali nepremoženjsko škodo.
35 Tako zgolj zatrjevanje bojazni brez dokazanih negativnih posledic ne more dati pravice do odškodnine na podlagi te določbe.
36 Glede na zgoraj navedeno je treba na tretje vprašanje odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da bojazen posameznika, da so bili njegovi osebni podatki zaradi kršitve te uredbe razkriti tretjim osebam, pri čemer ni mogoče dokazati, da je dejansko bilo tako, zadostuje za utemeljitev pravice do odškodnine, če je ta bojazen, skupaj z njenimi negativnimi posledicami, ustrezno dokazana.
Četrto in peto vprašanje
37 Predložitveno sodišče s četrtim in petim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da je treba za določitev zneska odškodnine, dolgovane iz naslova povračila škode, ki temelji na tej določbi, prvič, smiselno uporabiti merila za določitev zneska upravnih glob, ki so določena v členu 83 te uredbe, in drugič, tej pravici do odškodnine priznati odvračilno funkcijo.
38 Na prvem mestu, v zvezi z morebitnim upoštevanjem meril iz člena 83 SUVP za oceno zneska odškodnine, dolgovanega na podlagi člena 82 te uredbe, ni sporno, da imata ti določbi različne cilje. Medtem ko člen 83 te uredbe določa „[s]plošne pogoje za naložitev upravnih glob“, člen 82 navedene uredbe namreč ureja „[p]ravico do odškodnine in odgovornost“.
39 Iz tega izhaja, da meril iz člena 83 SUVP za določitev zneska upravnih glob, ki so prav tako omenjena v uvodni izjavi 148 te uredbe, ni mogoče uporabiti za oceno zneska odškodnine na podlagi člena 82 te uredbe (sodba z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 57).
40 SUVP ne vsebuje nobene določbe, katere namen bi bil opredeliti pravila v zvezi z določitvijo višine odškodnine, ki jo lahko posameznik, na katerega se nanašajo osebni podatki, v smislu člena 4, točka 1, te uredbe zahteva na podlagi njenega člena 82, kadar mu je zaradi kršitve navedene uredbe nastala škoda. Zato je treba ob neobstoju pravil prava Unije na zadevnem področju v pravnem redu vsake države članice določiti pravila za tožbe, katerih namen je varstvo pravic, ki jih imajo pravni subjekti na podlagi tega člena 82, zlasti merila, ki omogočajo določitev obsega odškodnine, ki je dolgovana v tem okviru, pri čemer pa morata biti spoštovani načeli enakovrednosti in učinkovitosti (sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 54, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 58).
41 Na drugem mestu, pravica do odškodnine iz člena 82(1) SUVP nima odvračalne oziroma celo kaznovalne funkcije. Iz tega sledi, da resnost kršitve te uredbe, s katero je bila povzročena zatrjevana premoženjska ali nepremoženjska škoda, ne more vplivati na znesek odškodnine, dodeljene na podlagi te določbe, in da tega zneska ni mogoče določiti na ravni, ki bi presegala polno nadomestilo te škode (glej v tem smislu sodbi z dne 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, točka 86, in z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 60).
42 Ob upoštevanju kompenzacijske funkcije pravice do odškodnine iz člena 82 SUVP, kot je navedena v uvodni izjavi 146, šesti stavek, te uredbe, je treba za denarno odškodnino, ki temelji na tem členu, šteti, da je „celotna in učinkovita“, če omogoča, da se v celoti nadomesti škoda, ki je konkretno nastala zaradi kršitve navedene uredbe, ne da bi bilo treba za tako polno nadomestilo naložiti plačilo kaznovalne odškodnine (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 57 in 58, ter z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 61).
43 Tako ob upoštevanju razlik glede besedila in ciljev, ki obstajajo med členom 82 SUVP v povezavi z njeno uvodno izjavo 146 ter členom 83 navedene uredbe v povezavi z njeno uvodno izjavo 148, ni mogoče šteti, da se merila za ocenjevanje, ki so posebej določena v tem členu 83, smiselno uporabljajo v okviru tega člena 82, čeprav se pravni sredstvi iz teh dveh določb dejansko dopolnjujeta za zagotovitev spoštovanja te uredbe (sodba z dne 11. aprila 2024, juris, C‑741/21, EU:C:2024:288, točka 62).
44 Glede na zgoraj navedeno je treba na četrto in peto vprašanje odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da za določitev zneska odškodnine, dolgovane iz naslova povračila škode, ki temelji na tej določbi, ni treba, prvič, smiselno uporabiti meril za določitev zneska upravnih glob, ki so določena v členu 83 te uredbe, in drugič, tej pravici do odškodnine priznati odvračilne funkcije.
Šesto vprašanje
45 Predložitveno sodišče s šestim vprašanjem v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da je treba za določitev zneska odškodnine, dolgovane iz naslova povračila škode, ki temelji na tej določbi, upoštevati hkratne kršitve nacionalnih določb, ki se nanašajo na varstvo osebnih podatkov, vendar njihov namen ni pojasniti pravil te uredbe.
46 To vprašanje je postavljeno glede na to, da tožeči stranki iz postopka v glavni stvari menita, da bi kršitev določb SUVP v povezavi s kršitvijo nemške zakonodaje, ki se uporablja za davčne svetovalce in ki je bila sprejeta pred začetkom veljavnosti te uredbe in torej ni namenjena pojasnitvi pravil te uredbe, morala imeti za posledico povečanje odškodnine, ki jo ti zahtevata na podlagi člena 82(1) SUVP kot nadomestilo za nepremoženjsko škodo, ki naj bi jo utrpeli.
47 V zvezi s tem je sicer iz uvodne izjave 146, peti stavek, SUVP v bistvu razvidno, da obdelava osebnih podatkov, ki krši to uredbo, „vključuje tudi obdelavo, ki krši delegirane in izvedbene akte, sprejete v skladu s to uredbo, in pravo države članice, ki natančneje določa pravila te uredbe“.
48 Vendar okoliščina, da je taka obdelava podatkov prav tako kršila določbe nacionalnega prava, ki se nanašajo na varstvo osebnih podatkov, vendar njihov namen ni pojasniti pravil te uredbe, ni upoštevno merilo za določitev višine odškodnine, dodeljene na podlagi člena 82(1) SUVP. Kršitev takih nacionalnih določb namreč ni zajeta s členom 82(1) te uredbe v povezavi z njeno uvodno izjavo 146.
49 To ne posega v dejstvo, da lahko nacionalno sodišče, če mu nacionalno pravo to dopušča, posamezniku, na katerega se nanašajo osebni podatki, dodeli odškodnino, ki je višja od celotne in učinkovite odškodnine, določene v členu 82(1) SUVP, če se glede na to, da je bila škoda prav tako povzročena s kršitvijo določb nacionalnega prava, kot so določbe iz prejšnje točke, zadnjenavedena odškodnina ne šteje za zadostno ali primerno.
50 Glede na zgoraj navedeno je treba na šesto vprašanje odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da za določitev zneska odškodnine, dolgovane iz naslova povračila škode, ki temelji na tej določbi, ni treba upoštevati hkratne kršitve nacionalnih določb, ki se nanašajo na varstvo osebnih podatkov, vendar njihov namen ni pojasniti pravil te uredbe.
Stroški
51 Ker je ta postopek za stranke iz postopka v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (tretji senat) razsodilo:
1. Člen 82(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
kršitev te uredbe sama po sebi ne zadostuje za utemeljitev pravice do odškodnine na podlagi te določbe. Posameznik, na katerega se nanašajo osebni podatki, mora prav tako dokazati obstoj škode, povzročene s to kršitvijo, pri čemer pa ni treba, da ta škoda doseže določeno stopnjo resnosti.
2. Člen 82(1) Uredbe 2016/679
je treba razlagati tako, da
bojazen posameznika, da so bili njegovi osebni podatki zaradi kršitve te uredbe razkriti tretjim osebam, pri čemer ni mogoče dokazati, da je dejansko bilo tako, zadostuje za utemeljitev pravice do odškodnine, če je ta bojazen, skupaj z negativnimi posledicami, ustrezno dokazana.
3. Člen 82(1) Uredbe 2016/679
je treba razlagati tako, da
za določitev zneska odškodnine, dolgovane iz naslova povračila škode, ki temelji na tej določbi, ni treba, prvič, smiselno uporabiti meril za določitev zneska upravnih glob, ki so določena v členu 83 te uredbe, in drugič, tej pravici do odškodnine priznati odvračilne funkcije.
4. Člen 82(1) Uredbe 2016/679
je treba razlagati tako, da
za določitev zneska odškodnine, dolgovane iz naslova povračila škode, ki temelji na tej določbi, ni treba upoštevati hkratne kršitve nacionalnih določb, ki se nanašajo na varstvo osebnih podatkov, vendar njihov namen ni pojasniti pravil te uredbe.
Podpisi