A BÍRÓSÁG ÍTÉLETE (harmadik tanács)
2024. április 11.(*)
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – 82. cikk – Az e rendeletet sértő adatkezeléssel okozott kár megtérítéséhez való jog – A »nem vagyoni kár« fogalma – Az elszenvedett kár súlyosságának hatása – Az adatkezelő feladatai – Esetleges mentesülés a 29. cikk szerinti, irányítása alatt eljáró személy mulasztása esetén – A kártérítés összegének megállapítása – A közigazgatási bírságokkal kapcsolatban a 83. cikkben megállapított szempontok alkalmazhatatlansága – Értékelés az említett rendelet többszöri megsértése esetén”
A C‑741/21. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Landgericht Saarbrücken (saarbrückeni regionális bíróság, Németország) a Bírósághoz 2021. december 1‑jén érkezett, 2021. november 22‑i határozatával terjesztett elő a
GP
és
a juris GmbH
között folyamatban lévő eljárásban,
A BÍRÓSÁG (harmadik tanács),
tagjai: K. Jürimäe tanácselnök, N. Piçarra és N. Jääskinen (előadó) bírák,
főtanácsnok: M. Campos Sánchez‑Bordona,
hivatalvezető: A. Calot Escobar,
tekintettel az írásbeli szakaszra,
figyelembe véve a következők által előterjesztett észrevételeket:
– GP képviseletében H. Schöning Rechtsanwalt,
– a juris GmbH képviseletében E. Brandt és C. Werkmeister Rechtsanwälte,
– Írország képviseletében M. Browne Chief State Solicitor, A. Joyce és M. Lane, meghatalmazotti minőségben, segítőjük: D. Fennelly BL,
– az Európai Bizottság képviseletében A. Bouchagiar, M. Heller és H. Kranenborg, meghatalmazotti minőségben,
tekintettel a főtanácsnok meghallgatását követően hozott határozatra, miszerint az ügy elbírálására a főtanácsnok indítványa nélkül kerül sor,
meghozta a következő
Ítéletet
1 Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: általános adatvédelmi rendelet) 82. cikke (1) és (3) bekezdésének az e rendelet 29. és 83. cikkével összefüggésben, valamint (85) és (146) preambulumbekezdésének fényében történő értelmezésére vonatkozik.
2 E kérelmet a természetes személy GP és a Németországban letelepedett juris GmbH társaság között azon károk megtérítése tárgyában folyamatban lévő jogvita keretében terjesztették elő, amelyek – állítása szerint – az említett társaságnak címzett tiltakozásai ellenére a személyes adatait érintően végzett különböző közvetlen üzletszerzési célú adatkezelések folytán GP‑t érték.
Jogi háttér
3 Az általános adatvédelmi rendelet (85), (146) és (148) preambulumbekezdéseinek szövege a következő:
„(85) Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyeknek, többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság‑lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérelmét, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve a szóban forgó természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt. […]
[…]
(146) Az adatkezelő vagy az adatfeldolgozó az e rendeletet sértő adatkezelés miatt okozott kárt köteles megtéríteni. Az adatkezelőt vagy az adatfeldolgozót a kártérítési kötelezettség alól abban az esetben mentesíteni kell, ha bizonyítja, hogy a kár bekövetkeztéért őt semmilyen felelősség nem terheli. A kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze e rendelet célkitűzéseit. Ez nem érinti a más uniós vagy tagállami jog megsértéséből eredő károkkal kapcsolatos esetleges kártérítési igényeket. […] Az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg. […]
[…]
(148) Az e rendelet által előírt szabályok betartatásának erősítése érdekében e rendelet bármely megsértése esetén […] szankciókat – ideértve a közigazgatási bírságokat is – kell kiszabni. […] Kellő figyelmet kell azonban fordítani a jogsértés természetére, súlyosságára, időtartamára, szándékos jellegére és arra, hogy tettek‑e intézkedéseket az elszenvedett kár mértékének csökkentésére, továbbá a felelősség mértékére, a korábban e téren elkövetett jogsértésekre, arra, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, valamint arra, hogy az adatkezelő vagy adatfeldolgozó betartja‑e a vele szemben elrendelt intézkedéseket és hogy alkalmaz‑e valamely magatartási kódexet, valamint minden egyéb súlyosbító vagy enyhítő körülményre. […]”
4 E rendelet „Fogalommeghatározások” című 4. cikke kimondja:
„E rendelet alkalmazásában:
1. »személyes adat«: azonosított vagy azonosítható természetes személyre (»érintett«) vonatkozó bármely információ; […]
[…]
7. »adatkezelő«: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; […]
[…]
12. »adatvédelmi incidens« a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
[…]”
5 Az említett rendelet 5. cikke a személyes adatok kezelésére vonatkozóan több elvet is rögzít.
6 Az általános adatvédelmi rendeletnek „[a]z érintett jogai[ra]” vonatkozó III. fejezetében szereplő, „A tiltakozáshoz való jog” című 21. cikkének (3) bekezdése a következőképpen rendelkezik:
„Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők.”
7 E rendeletnek „Az adatkezelő és az adatfeldolgozó” című IV. fejezete tartalmazza a 24–43. cikket.
8 Az említett rendeletnek az „Az adatkezelő feladatai” című 24. cikkének (1) és (2) bekezdése kimondja:
„(1) Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi.
(2) Ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz.”
9 Ugyanezen rendelet „Beépített és alapértelmezett adatvédelem” című 25. cikkének (1) bekezdése alapján:
„Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.”
10 Az általános adatvédelmi rendeletnek „Az adatkezelő vagy az adatfeldolgozó irányítása alatt végzett adatkezelés” című 29. cikke a következőképpen rendelkezik:
„Az adatfeldolgozó és bármely, az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező személy ezeket az adatokat kizárólag az adatkezelő utasításának megfelelően kezelheti, kivéve, ha az ettől való eltérésre őt uniós vagy tagállami jog kötelezi.”
11 E rendeletnek „Az adatkezelés biztonsága” című 32. cikke kimondja:
„(1) Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:
[…]
b) a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét;
[…]
(2) A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.
[…]
(4) Az adatkezelő és az adatfeldolgozó intézkedéseket hoz annak biztosítására, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket.”
12 Az általános adatvédelmi rendelet „Jogorvoslat, felelősség és szankciók” című VIII. fejezete tartalmazza a 77–84. cikket.
13 E rendeletnek „Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog” című 79. cikkének (1) bekezdése a következőképpen rendelkezik:
„A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 77. cikk szerinti jog – sérelme nélkül, minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait.”
14 Az említett rendeletnek „A kártérítéshez való jog és a felelősség” című 82. cikke (1)–(3) bekezdésében a következőképpen rendelkezik:
„(1) Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.
(2) Az adatkezelésben érintett valamennyi adatkezelő felelősséggel tartozik minden olyan kárért, amelyet az e rendeletet sértő adatkezelés okozott. […]
(3) Az adatkezelő, illetve az adatfeldolgozó mentesül az e cikk (2) bekezdése szerinti felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.”
15 Az általános adatvédelmi rendeletnek „A közigazgatási bírságok kiszabására vonatkozó általános feltételek” című 83. cikkének (2), (3) és (5) bekezdése kimondja:
„(2) […] Annak eldöntésekor, hogy szükség van‑e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:
a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;
b) a jogsértés szándékos vagy gondatlan jellege;
[…]
k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.
(3) Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében – szándékosan vagy gondatlanságból – e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget.
[…]
(5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 [euró] összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%‑át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:
a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően;
b) az érintettek jogai a 12–22. cikknek megfelelően[;]
[…]”
16 E rendelet „Szankciók” című 84. cikkének (1) bekezdése a következőképpen rendelkezik:
„A tagállamok megállapítják az e rendelet megsértése esetén alkalmazandó további szankciókra vonatkozó szabályokat, különösen azon jogsértések tekintetében, amelyek nem tartoznak a 83. cikkben meghatározott, közigazgatási bírságokkal sújtható jogsértések közé, és meghoznak minden szükséges intézkedést ezek végrehajtására. E szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük.”
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
17 Az alapeljárás felperese, aki egyéni ügyvédként tevékenykedő természetes személy, a jogi adatbázist üzemeltető juris társaság ügyfele volt.
18 2018. november 6‑án az alapeljárás felperese, miután tudomást szerzett arról, hogy személyes adatait a juris közvetlen üzletszerzés céljából is felhasználja, írásban visszavonta az ahhoz való hozzájárulását, hogy e társaságtól e‑mailben vagy telefonon információkat kapjon, és tiltakozott ezen adatok kezelése ellen, kivéve az általa továbbra is igényelt hírlevél kiküldéséhez szükséges adatkezelést.
19 Ezen intézkedés ellenére az alapeljárás felperese 2019 januárjában két reklámanyagot kapott, amelyeket név szerint neki címezve küldtek meg a székhelyére. 2019. április 18‑án a jurisnak címzett levelében emlékeztetett a korábbi, közvetlen üzletszerzési célú adatkezelés elleni tiltakozására, jelezte, hogy e reklámanyagok elkészítése adatainak jogellenes kezelésével járt, és az általános adatvédelmi rendelet 82. cikke alapján kártérítési igénnyel élt. Miután 2019. május 3‑án újabb reklámanyagot kapott, megismételte a tiltakozását, amelynek a jurisszal való közlésére ezúttal végrehajtó útján került sor.
20 Az említett reklámanyagok mindegyike tartalmazott egy „személyes tesztkódot”, amely – amint azt az alapeljárás felperesének kérelmére 2019. június 7‑én közjegyző is megállapította – az alapeljárás felperesére vonatkozó adatokat tartalmazó, e társaság termékeihez kapcsolódó rendelési adatlaphoz biztosított hozzáférést a juris internetes oldalán.
21 Az alapeljárás felperese az általános adatvédelmi rendelet 82. cikkének (1) bekezdése alapján keresetet indított a végrehajtó és a közjegyző költségeihez kapcsolódó vagyoni kárának, valamint nem vagyoni kárának megtérítése iránt a Landgericht Saarbrückennél (saarbrückeni regionális bíróság, Németország), amely a jelen ügyben a kérdést előterjesztő bíróság. Többek között azt állítja, hogy a tiltakozásai ellenére a személyes adatait érintően a juris által végzett adatkezelés miatt elvesztette a személyes adatai fölötti rendelkezést, és e jogcímen kártérítésre jogosult anélkül, hogy az Európai Unió Alapjogi Chartájának 8. cikkében biztosított, és e rendeletben pontosan meghatározott jogai megsértésének hatásait vagy súlyosságát bizonyítania kellene.
22 Védekezésében a juris minden felelősséget kizár, arra hivatkozva, hogy bevezetett egy olyan rendszert, amely a közvetlen üzletszerzési célú adatkezelés elleni tiltakozások kezelésére szolgál, és hogy az alapeljárás felperese tiltakozásainak késedelmes figyelembevétele vagy arra vezethető vissza, hogy egyik munkatársa nem tartotta be a kapott utasításokat, vagy pedig arra, hogy e tiltakozásokat túlságosan költséges lett volna figyelembe venni. Azt állítja, hogy az általános adatvédelmi rendeletből, például annak 21. cikke (3) bekezdéséből eredő kötelezettség puszta megsértése önmagában nem minősülhet az e rendelet 82. cikkének (1) bekezdése szerinti „kárnak”.
23 Először is, a kérdést előterjesztő bíróság mindenekelőtt abból az előfeltevésből indul ki, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdésében foglalt kártérítéshez való jog három feltétel – nevezetesen e rendelet megsértése, a vagyoni vagy nem vagyoni kár, valamint az e jogsértés és e kár közötti okozati összefüggés – teljesülésétől függ. Ezt követően e bíróság az alapeljárás felperesének állításaira figyelemmel felteszi a kérdést, hogy ennek ellenére mégis úgy kell‑e tekinteni, hogy az általános adatvédelmi rendelet megsértése önmagában is kártérítéshez való jogot megalapozó nem vagyoni kárnak minősül, különösen, ha e rendelet megsértett rendelkezése az érintett számára alanyi jogot biztosít. Végül, mivel a német jog a nem vagyoni kár pénzbeli megtérítéséhez megköveteli a védett jogok súlyos megsértését, e bíróságban felmerül a kérdés, hogy az általános adatvédelmi rendelet (85) és (146) preambulumbekezdésében foglaltakra tekintettel az e rendeleten alapuló kártérítési kérelmek esetén is alkalmazandó‑e hasonló korlátozás a „kár” fogalmára vonatkozóan.
24 Másodszor, az említett bíróság lehetségesnek tartja, hogy az általános adatvédelmi rendelet 82. cikkéből az következik, hogy amennyiben e rendelet megsértése megállapítást nyert, azt az adatkezelőnek felróható jogsértésnek kell tekinteni, és így az adatkezelőnek vélelmezett vétkességen alapuló vagy akár objektív felelőssége van. Hangsúlyozza továbbá, hogy e cikk (3) bekezdése nem határozza meg az e bekezdés szerinti mentesüléshez kapcsolódó bizonyítással szemben támasztott konkrét követelményeket, majd rámutat, hogy ha az adatkezelőnek lehetősége lenne arra, hogy mentesüljön a felelősség alól pusztán azzal, hogy általános jelleggel munkatársai egyikének vétkes magatartására hivatkozik, az jelentősen korlátozná az említett cikk (1) bekezdésében foglalt kártérítéshez való jog hatékony érvényesülését.
25 Harmadszor, a kérdést előterjesztő bíróság többek között azt kívánja megtudni, hogy az általános adatvédelmi rendelet 82. cikke alapján fizetendő pénzbeli kártérítés összegének megállapítása során – különösen nem vagyoni kár esetén – az említett 82. cikk keretében is lehetséges vagy akár kötelező‑e a közigazgatási bírságok összegének meghatározása érdekében az általános adatvédelmi rendelet 83. cikkének (2) és (5) bekezdésében előírt szempontok figyelembevétele.
26 Végül negyedszer, e bíróság megállapítja, hogy az előtte folyamatban lévő jogvitában az alapeljárás felperesének személyes adatait az érintett ismételt tiltakozásai ellenére többször is kezelték közvetlen üzletszerzés céljából. A kérdést előterjesztő bíróság tehát azt kívánja megállapítani, hogy az általános adatvédelmi rendelet ilyen többszöri megsértésének fennállása esetén az e rendelet 82. cikke alapján esetlegesen fizetendő kártérítés összegének meghatározása érdekében e jogsértéseket egyedileg vagy összesítve kell‑e figyelembe venni.
27 E körülmények között a Landgericht Saarbrücken (saarbrückeni regionális bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1) Az általános adatvédelmi rendelet (85) preambulumbekezdésére és a (146) preambulumbekezdésének harmadik mondatára tekintettel akként kell‑e értelmezni az általános adatvédelmi rendelet 82. cikkének (1) bekezdésében foglalt »nem vagyoni kár« fogalmát, hogy az a védett jogi helyzet egyéb hatásaitól és mértékétől függetlenül kiterjed annak bármilyen megsértésére?
2) Kizárja‑e az általános adatvédelmi rendelet 82. cikkének (3) bekezdése szerinti kártérítési kötelezettséget, ha az adott esetben a jogsértés az általános adatvédelmi rendelet 29. cikke értelmében vett, az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró személy mulasztásából ered?
3) A nem vagyoni kártérítés meghatározása során figyelembe vehetők‑e, vagy figyelembe kell‑e venni az általános adatvédelmi rendelet 83. cikkében, különösen pedig a 83. cikkének (2) bekezdésében és (5) bekezdésében meghatározott mérlegelési szempontokat?
4) A kártérítést minden egyes jogsértésre vonatkozóan külön‑külön kell‑e meghatározni, vagy több – legalábbis hasonló – jogsértés szankcionálható‑e olyan összesített kártérítéssel, amelyet nem az egyes kártérítési összegek összeadásával állapítanak meg, hanem amely egy átfogó értékelésen alapul?”
Az előzetes döntéshozatalra előterjesztett kérdésekről
Az első kérdésről
Az elfogadhatóságról
28 A juris mindenekelőtt lényegében azt állítja, hogy az első kérdés elfogadhatatlan annyiban, amennyiben annak megállapítására irányul, hogy az általános adatvédelmi rendelet 82. cikkében foglalt kártérítéshez való jog megnyílásának feltétele‑e az a követelmény, hogy az e rendelet 4. cikkének 1. pontjában foglalt meghatározás szerinti érintett által állított kár elérje a súlyosság bizonyos fokát. Ez a kérdés az alapügy tárgyát képező jogvita eldöntése szempontjából nem releváns, amit azzal indokolt, hogy az alapeljárás felperese által hivatkozott kár, azaz a személyes adatai feletti rendelkezés elvesztése nem merült fel, mivel ezeket az adatokat az e jogvitában részt vevő felek közötti szerződéses jogviszony részeként jogszerűen kezelték.
29 E tekintetben emlékeztetni kell arra, hogy kizárólag a jogvitában eljáró és a meghozandó bírósági határozatért felelős nemzeti bíróság feladata annak értékelése, hogy figyelemmel az ügy sajátosságaira, az ítéletének meghozatalához szükség van‑e az előzetes döntéshozatalra, és hogy a Bíróság elé terjesztett kérdések – amelyek relevanciáját vélelmezni kell – valóban relevánsak‑e. Ennélfogva, amikor az előterjesztett kérdés az uniós jog valamely szabályának értelmezésére vagy érvényességére vonatkozik, a Bíróság főszabály szerint köteles a kérelmet elbírálni, kivéve ha a kért értelmezés nyilvánvalóan semmilyen összefüggésben nincs az alapeljárás tényállásával vagy tárgyával, ha a probléma hipotetikus jellegű, vagy ha nem állnak a Bíróság rendelkezésére azok a ténybeli és jogi elemek, amelyek szükségesek ahhoz, hogy az említett kérdésre hasznos választ adhasson (2023. május 4‑i Österreichische Post [Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár] ítélet, C‑300/21, EU:C:2023:370, 23. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
30 A jelen ügyben az első kérdés az általános adatvédelmi rendelet 82. cikkében foglalt kártérítéshez való jog gyakorlásához megkövetelt feltételekre vonatkozik. Ezenkívül nem nyilvánvaló, hogy a kért értelmezés ne lenne kapcsolatban az alapeljárással, vagy hogy a felvetett probléma hipotetikus jellegű volna. E jogvita ugyanis egyrészt egy olyan kártérítési kérelemmel kapcsolatos, amely a személyes adatok védelmének az általános adatvédelmi rendelet által bevezetett rendszere alá tartozik. Másrészt, e kérdés lényegében annak megállapítására irányul, hogy az e rendeletben foglalt szabályok alkalmazása során amellett, hogy fenn kell állnia az említett rendelet megsértésétől különböző nem vagyoni kárnak, az is szükséges‑e, hogy ez a kár meghaladja a súlyosság bizonyos szintjét.
31 Az eső kérdés ezért elfogadható.
Az ügy érdeméről
32 Első kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy e rendelet azon rendelkezéseinek megsértése, amelyek az érintett számára jogokat keletkeztetnek, önmagában – az e személy által elszenvedett kár súlyosságától függetlenül – is elegendő az e rendelkezés értelmében vett „nem vagyoni kár” megállapításához.
33 Előzetesen emlékeztetni kell arra, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdése értelmében „[m]inden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult”.
34 A Bíróság az általános adatvédelmi rendelet 82. cikkének (1) bekezdését már úgy értelmezte, hogy e rendelet egyszerű megsértése nem elegendő a kártérítéshez való jog megalapozásához, mivel a vagyoni vagy nem vagyoni „kár” vagy az „elszenvedett kár” megléte az említett 82. cikk (1) bekezdésében foglalt kártérítéshez való jog egyik feltételét képezi, akárcsak e rendelet megsértésének fennállása, valamint az e kár és az e jogsértés közötti okozati kapcsolat megléte, mivel e három feltétel együttes feltétel (lásd ebben az értelemben: 2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 58. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
35 Tehát az e rendelkezés alapján nem vagyoni kára megtérítését kérő személy nemcsak e rendelet rendelkezéseinek megsértését köteles bizonyítani, hanem azt is, hogy e jogsértés ilyen kárt okozott neki (lásd ebben az értelemben: 2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 60. és 61. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
36 Ezzel kapcsolatban rá kell mutatni, hogy a Bíróság az általános adatvédelmi rendelet 82. cikkének (1) bekezdését úgy értelmezte, hogy azzal ellentétes az olyan nemzeti szabály vagy gyakorlat, amely az e rendelkezés értelmében vett nem vagyoni kár megtérítését annak a feltételnek rendeli alá, hogy az érintett által elszenvedett kárnak el kell érnie egy bizonyos súlyossági küszöböt, egyúttal hangsúlyozva, hogy az említett személy mindazonáltal köteles bizonyítani, hogy e rendelet megsértése ilyen nem vagyoni kárt okozott a számára (lásd ebben az értelemben: 2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 59. és 60. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
37 Még ha az általános adatvédelmi rendelet természetes személyek számára jogokat biztosító rendelkezése is a megsértett rendelkezés, önmagában az ilyen jogsértés még ebben az esetben sem minősülhet az e rendelet értelmében vett „nem vagyoni kárnak”.
38 Kétségtelen, hogy az általános adatvédelmi rendelet 79. cikkének (1) bekezdéséből az következik, hogy minden érintettnek joga van a hatékony bírósági jogorvoslathoz az adatkezelővel vagy az esetleges adatfeldolgozóval szemben, ha megítélése szerint „a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az [említett] rendelet szerinti jogait”.
39 Mindazonáltal e rendelkezés csupán jogorvoslati jogot biztosít azon személy számára, aki úgy véli, hogy az általános adatvédelmi rendeletben biztosított jogait megsértették, de nem mentesíti az e rendelet 82. cikkének (1) bekezdése alapján őt terhelő azon kötelezettség alól, hogy bizonyítsa, hogy ténylegesen vagyoni vagy nem vagyoni kár érte.
40 Ebből az következik, hogy az általános adatvédelmi rendelet érintett számára jogokat biztosító rendelkezéseinek megsértése önmagában nem elegendő az e rendeleten alapuló kártérítéshez való anyagi jog megalapozásához, mivel e rendelet megköveteli, hogy e jognak a jelen ítélet 34. pontjában említett másik két feltétele is teljesüljön.
41 A jelen ügyben az alapeljárás felperese az általános adatvédelmi rendelet alapján nem vagyoni kár, nevezetesen a tiltakozása ellenére kezelt személyes adatai feletti rendelkezés elvesztésében álló kár megtérítését kéri, anélkül hogy bizonyítania kellene, hogy e kár a súlyosság bizonyos szintjét meghaladta.
42 E tekintetben meg kell jegyezni, hogy az általános adatvédelmi rendelet (85) preambulumbekezdése kifejezetten is említi a „rendelkezés elvesztését” azon károk között, amelyek a személyes adatok megsértéséből eredhetnek. Ezenkívül a Bíróság megállapította hogy az ilyen adatok feletti ellenőrzés – akár csak rövid időn keresztül történő – elvesztése e rendelet 82. cikkének (1) bekezdése értelmében vett, kártérítéshez való jogosultságot keletkeztető „nem vagyoni kárnak” minősülhet, feltéve hogy az érintett bizonyítja, hogy ténylegesen ilyen kárt szenvedett el, bármilyen minimális legyen is az (lásd ebben az értelemben: 2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 66. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
43 A fenti indokokra tekintettel az első kérdésre azt a választ kell adni, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdését úgy kell értelmezni, hogy e rendelet azon rendelkezéseinek megsértése, amelyek az érintett számára jogokat keletkeztetnek, önmagában – az e személy által elszenvedett kár súlyosságától függetlenül – nem elegendő az e rendelkezés értelmében vett „nem vagyoni kár” megállapításához.
A második kérdésről
44 Második kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet 82. cikkét úgy kell‑e értelmezni, hogy ahhoz, hogy az adatkezelő az említett cikk (3) bekezdése alapján mentesüljön a felelőssége alól, elegendő arra hivatkoznia, hogy a szóban forgó kárt az e rendelet 29. cikke értelmében az irányítása alatt eljáró személy mulasztása okozta.
45 E tekintetben emlékeztetni kell arra, hogy az általános adatvédelmi rendelet 82. cikkének (2) bekezdése kimondja, hogy az adatkezelésben érintett valamennyi adatkezelő felelősséggel tartozik minden olyan kárért, amelyet az e rendeletet sértő adatkezelés okozott, és hogy (3) bekezdése úgy rendelkezik, hogy az adott esettől függően az adatkezelő mentesül az e (2) bekezdés szerinti felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.
46 A Bíróság már megállapította, hogy e 82. cikk (2) és (3) bekezdésének együttes elemzéséből kitűnik, hogy e cikk vétkességen alapuló felelősségi rendszert ír elő, amelyben vélelmezni kell, hogy az adatkezelő részt vett az általános adatvédelmi rendelet megsértését jelentő adatkezelésben, és így a bizonyítási teher nem a kárt elszenvedő személyt, hanem az adatkezelőt terheli (lásd ebben az értelemben: 2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 92–94. pont).
47 Ami azt a kérdést illeti, hogy az adatkezelő az általános adatvédelmi rendelet 82. cikkének (3) bekezdése alapján mentesülhet‑e a felelőssége alól pusztán azon az alapon, hogy e kárt az e rendelet 29. cikke értelmében az irányítása alatt eljáró személy vétkes magatartása okozta, egyrészt e 29. cikkből kitűnik, hogy az adatkezelő irányítása alatt eljáró olyan személyek, mint például az alkalmazottai, akik a személyes adatokhoz hozzáféréssel rendelkeznek, főszabály szerint csak az említett adatkezelő utasításai alapján és azoknak megfelelően kezelhetik ezeket az adatokat (lásd ebben az értelemben: 2023. június 22‑i Pankki S ítélet, C‑579/21, EU:C:2023:501, 73. és 74. pont).
48 Másrészt az általános adatvédelmi rendelet személyes adatok kezelésének biztonságára vonatkozó 32. cikkének (4) bekezdése akként rendelkezik, hogy az adatkezelő intézkedéseket hoz annak biztosítására, hogy az irányítása alatt eljáró, ilyen adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket.
49 Márpedig az adatkezelő alkalmazottja ezen adatkezelő irányítása alatt eljáró természetes személy. Így az említett adatkezelőnek meg kell róla győződnie, hogy alkalmazottai helyesen hajtják végre az utasításait. Következésképpen az adatkezelő nem mentesülhet az általános adatvédelmi rendelet 82. cikkének (3) bekezdése alapján a felelőssége alól pusztán azzal, hogy az irányítása alatt eljáró személy gondatlanságára vagy mulasztására hivatkozik.
50 A jelen ügyben a juris a Bírósághoz benyújtott írásbeli észrevételeiben lényegében azt állítja, hogy az általános adatvédelmi rendelet 82. cikkének (3) bekezdése értelmében az adatkezelőt mentesíteni kell a felelősség alól abban az esetben, ha az érintett kárt okozó jogsértés az egyik munkavállalója magatartásának tudható be, aki nem tartotta be az említett adatkezelőtől származó utasításokat, és amennyiben e jogsértés nem az e rendeletben – különösen a 24., 25. és 32. cikkében – foglalt kötelezettségek adatkezelő általi megszegéséből következik.
51 E tekintetben hangsúlyozni kell, hogy az általános adatvédelmi rendelet 82. cikkének (3) bekezdése szerinti mentesülés körülményeit szigorúan azokra a körülményekre kell korlátozni, amelyekben az adatkezelő bizonyítani tudja, hogy a kár nem tudható be neki (lásd ebben az értelemben: 2023. december 14‑i Natsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 70. pont). Ennélfogva a személyes adatoknak az adatkezelő irányítása alatt eljáró személy általi megsértése esetén az említett adatkezelő ilyen mentesülése csak akkor lehetséges, ha bizonyítja, hogy nincs okozati összefüggés az e rendelet 5., 24. és 32. cikke alapján őt terhelő adatvédelmi kötelezettség esetleges megsértése és az érintett által elszenvedett kár között (lásd analógia útján: 2023. december 14‑i Natsionalna agentsia za prihodite ítélet, C‑340/21, EU:C:2023:986, 72. pont).
52 Következésképpen ahhoz, hogy az adatkezelő az általános adatvédelmi rendelet 82. cikkének (3) bekezdése alapján mentesülhessen a felelőssége alól, nem lehet elegendő, ha bizonyítja, hogy az e rendelet 29. cikke értelmében az irányítása alatt eljáró személyeknek utasításokat adott, és hogy az említett személyek egyike nem teljesítette az ezen utasítások követésére vonatkozó kötelezettségét, amellyel hozzájárult a szóban forgó kár bekövetkezéséhez.
53 Ha ugyanis elfogadnánk, hogy az adatkezelő mentesülhet a felelősség alól pusztán azzal, hogy az irányítása alatt eljáró személy mulasztására hivatkozik, az sértené az általános adatvédelmi rendelet 82. cikkének (1) bekezdésében biztosított kártérítéshez való jog hatékony érvényesülését, amint arra a kérdést előterjesztő bíróság lényegében rámutatott, és ez nem felelne meg e rendelet azon célkitűzésének, hogy biztosítsa a természetes személyeknek a személyes adataik kezelése tekintetében történő magas szintű védelmét.
54 A fentiekre tekintettel a második kérdésre azt a választ kell adni, hogy az általános adatvédelmi rendelet 82. cikkét úgy kell értelmezni, hogy ahhoz, hogy az adatkezelő az említett cikk (3) bekezdése alapján mentesüljön a felelőssége alól, nem elegendő arra hivatkoznia, hogy a szóban forgó kárt az e rendelet 29. cikke értelmében az irányítása alatt eljáró személy mulasztása okozta.
A harmadik és a negyedik kérdésről
55 Harmadik és negyedik kérdésével, amelyeket célszerű együttesen vizsgálni, a kérdést előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy az e rendelkezésen alapuló kártérítés címén fizetendő összeg megállapításához egyrészt a közigazgatási bírságok összegének megállapítására vonatkozó, e rendelet 83. cikkében meghatározott szempontokat megfelelően alkalmazni kell, másrészt figyelembe kell venni azt a tényt, hogy a kártérítést kérő személyt érintően az említett rendeletet egyazon adatkezelési művelet vonatkozásában többször is megsértették.
56 Először is, ami az általános adatvédelmi rendelet 83. cikkében meghatározott szempontoknak az e rendelet 82. cikke alapján fizetendő kártérítés összegének megállapítása érdekében való esetleges figyelembevételét illeti, nem vitatott, hogy e két rendelkezés célja eltérő. Míg ugyanis e rendelet 83. cikke „[a] közigazgatási bírságok kiszabására vonatkozó általános feltételek[et]” határozza meg, addig az említett rendelet 82. cikke a „kártérítéshez való jog és a felelősség” kérdését szabályozza.
57 Ebből az következik, hogy a közigazgatási bírságok összegének megállapításához az általános adatvédelmi rendelet 83. cikkében meghatározott szempontok, amelyeket e rendelet (148) preambulumbekezdése is említ, az e rendelet 82. cikke szerinti kártérítés összegének megállapítása során nem alkalmazhatók.
58 Amint azt a Bíróság már hangsúlyozta, az általános adatvédelmi rendelet nem tartalmaz az e rendelet 82. cikkében előírt kártérítéshez való jog címén fizetendő kártérítés mértékének megállapítására vonatkozó rendelkezést. Következésképpen az eljárási autonómia elve alapján a nemzeti bíróságoknak kell e vizsgálat során az egyes tagállamok pénzbeli kártérítés mértékére vonatkozó belső szabályait alkalmazniuk, amennyiben azok tiszteletben tartják az egyenértékűségnek és a tényleges érvényesülésnek a Bíróság állandó ítélkezési gyakorlatában meghatározott uniós jogi elvét (lásd ebben az értelemben: 2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 83. és 101. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 53. pont).
59 Ezzel összefüggésben a Bíróság hangsúlyozta, hogy az általános adatvédelmi rendelet 82. cikke nem büntető, hanem kompenzációs funkciót tölt be, ellentétben e rendelet más, szintén annak VIII. fejezetében szereplő rendelkezéseivel, nevezetesen a 83. és a 84. cikkel, amelyeknek alapvetően büntető célja van, mivel lehetővé teszik közigazgatási bírságok, illetve egyéb szankciók kiszabását. Az említett 82. cikkben megállapított szabályok és a fent említett 83. és 84. cikkben megállapított szabályok egymáshoz való viszonya azt bizonyítja, hogy van némi eltérés a rendelkezések e két csoportja között, de ugyanakkor ki is egészítik egymást az általános adatvédelmi rendelet betartására való ösztönzés terén, megjegyezve, hogy a mindenkit megillető kártérítéshez való jog az e rendelet által előírt védelmi szabályok működőképességét erősíti, és alkalmas arra, hogy visszatartson a jogellenes magatartások megismétlésétől (2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 47. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
60 Egyébiránt a Bíróság abból a tényből, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdésében foglalt kártérítéshez való jog nem tölt be visszatartó funkciót, és büntető funkciót még kevésbé, a rendeletnek az állított vagyoni vagy nem vagyoni kárt okozó megsértésének a súlyossága nem befolyásolhatja az e rendelkezés alapján megítélt kártérítés összegét. Így ezen összeget nem lehet olyan szinten rögzíteni, amely meghaladja e kár teljes megtérítését (lásd ebben az értelemben: 2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 86. pont).
61 Tekintettel az általános adatvédelmi rendelet (146) preambulumbekezdésének hatodik mondatára, amely szerint ez az eszköz a „teljes és tényleges kártérítés” biztosítását célozza, a Bíróság rámutatott arra, hogy figyelembe véve az általános adatvédelmi rendelet 82. cikkében megállapított kártérítéshez való jog kompenzációs szerepét, az e rendelkezésen alapuló pénzbeli kártérítést „teljesnek és ténylegesnek” kell tekinteni, ha lehetővé teszi az e rendelet megsértése miatt konkrétan elszenvedett kár teljes egészében való kompenzálását, anélkül hogy az ilyen teljes egészében való kompenzáláshoz szükséges lenne büntető jellegű kártérítést előírni (2023. december 21‑i Krankenversicherung Nordrhein ítélet, C‑667/21, EU:C:2023:1022, 84. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
62 Ily módon, tekintettel egyrészt az általános adatvédelmi rendelet (146) preambulumbekezdésével összefüggésben értelmezett 82. cikkének, másrészt a (148) preambulumbekezdésével összefüggésben értelmezett 83. cikkének szövege és céljai között fennálló különbségekre, nem lehet úgy tekinteni, hogy az e 83. cikkben kifejezetten meghatározott értékelési szempontok e 82. cikk keretében is megfelelően alkalmazandók, annak ellenére, hogy az e két rendelkezésben foglalt jogorvoslati lehetőségek ugyanezen rendelet tiszteletben tartásának biztosítása szempontjából kiegészítik egymást.
63 Másodszor, ami az általános adatvédelmi rendelet 82. cikke szerinti pénzbeli kártérítés összegének a nemzeti bíróságok általi megállapítása mikéntjét illeti az e rendelet ugyanazon érintettet érintő többszöri megsértése esetén, mindenekelőtt hangsúlyozni kell, hogy – a jelen ítélet 58. pontjában foglaltaknak megfelelően – az egyes tagállamok feladata, hogy a tényleges érvényesülés és egyenértékűség uniós jogi elvének tiszteletben tartása mellett meghatározzák azokat a szempontokat, amelyek lehetővé teszik e kártérítés összegének meghatározását.
64 Ezt követően, figyelemmel arra, hogy – amint azt a jelen ítélet 60. és 61. pontja felidézi – az általános adatvédelmi rendelet 82. cikkének nem büntető jellegű, hanem kompenzációs funkciója van, az a körülmény, hogy az adatkezelő ugyanazon érintett vonatkozásában több jogsértést is elkövetett, az e személy számára ezen 82. cikk alapján fizetendő kártérítés mértékének meghatározása szempontjából nem minősül releváns szempontnak. A kompenzáció címén járó pénzbeli kártérítés mértékének meghatározásához ugyanis kizárólag az e személy által konkrétan elszenvedett kárt lehet figyelembe venni.
65 Következésképpen a harmadik és a negyedik kérdésre azt a választ kell adni, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdését úgy kell értelmezni, hogy az e rendelkezésen alapuló kártérítés címén fizetendő összeg megállapításához egyrészt a közigazgatási bírságok összegének megállapítására vonatkozó, e rendelet 83. cikkében meghatározott szempontok megfelelő alkalmazásának nincs helye, másrészt nem kell figyelembe venni azt a tényt, hogy a kártérítést kérő személyt érintően az említett rendeletet egyazon adatkezelési művelet vonatkozásában többször is megsértették.
A költségekről
66 Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (harmadik tanács) a következőképpen határozott:
1) A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 82. cikkének (1) bekezdését
a következőképpen kell értelmezni:
e rendelet azon rendelkezéseinek megsértése, amelyek az érintett számára jogokat keletkeztetnek, önmagában – az e személy által elszenvedett kár súlyosságától függetlenül – nem elegendő az e rendelkezés értelmében vett „nem vagyoni kár” megállapításához.
2) A 2016/679 rendelet 82. cikkét
a következőképpen kell értelmezni:
ahhoz, hogy az adatkezelő az említett cikk (3) bekezdése alapján mentesüljön a felelőssége alól, nem elegendő arra hivatkoznia, hogy a szóban forgó kárt az e rendelet 29. cikke értelmében az irányítása alatt eljáró személy mulasztása okozta.
3) A 2016/679 rendelet 82. cikkének (1) bekezdését
a következőképpen kell értelmezni:
az e rendelkezésen alapuló kártérítés címén fizetendő összeg megállapításához egyrészt a közigazgatási bírságok összegének megállapítására vonatkozó, e rendelet 83. cikkében meghatározott szempontok megfelelő alkalmazásának nincs helye, másrészt nem kell figyelembe venni azt a tényt, hogy a kártérítést kérő személyt érintően az említett rendeletet egyazon adatkezelési művelet vonatkozásában többször is megsértették.
Aláírások