MANUEL CAMPOS SÁNCHEZ‑BORDONA
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2022. október 6.(1)
C‑300/21. sz. ügy
UI
kontra
Österreichische Post AG
(az Oberster Gerichtshof [legfelsőbb bíróság, Ausztria] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – A jogellenes adatkezelésből eredő nem vagyoni kár – A kártérítéshez való jog feltételei – Bizonyos súlyossági küszöböt meghaladó kár”
1. Az (EU) 2016/679(2) rendelet alapján minden olyan személy, aki e rendelet előírásainak megsértése eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.
2. E jog bírósági úton történő érvényesítésének lehetősége már a korábbi szabályozásban is létezett (a 95/46/EK irányelv 23. cikke),(3) noha kevesen éltek vele.(4) Hacsak nem tévedek, a Bíróságnak mindezidáig még nem volt alkalma értelmezni kifejezetten ezt a cikket.
3. A GDPR hatálybalépése óta kerültek előtérbe a kártérítési keresetek.(5) A tagállami bíróságokon egyértelműen érzékelhető ezen keresetek számának növekedése, és ez tükröződik a vonatkozó előzetes döntéshozatal iránti kérelmek számában is.(6) A jelen előzetes döntéshozatal iránti kérelemben az Oberster Gerichtshof (legfelsőbb bíróság) arra kéri a Bíróságot, hogy vázolja fel a GDPR által bevezetett polgári jogi felelősségi rendszer néhány közös pontját.
I. Jogi háttér. A GDPR
4. A jelen jogvita szempontjából különösen a GDPR bevezető részében szereplő (75), (85) és (146) preambulumbekezdések relevánsak.
5. A 6. cikk („Az adatkezelés jogszerűsége”) a következőképpen szól:
„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
[…].”
6. A 79. cikk („Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog”) (1) bekezdése előírja:
„A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 77. cikk szerinti jog – sérelme nélkül, minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait.”
7. A 82. cikk („A kártérítéshez való jog és a felelősség”) (1) bekezdése a következőket állapítja meg:
„Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.”
II. A tényállás, a jogvita és az előzetes döntéshozatalra előterjesztett kérdések
8. A címjegyzékeket kiadó Österreichische Post AG nevű cég 2017 óta gyűjtött az osztrák lakosság politikai pártokhoz való kötődésére vonatkozó információkat. Egy algoritmus segítségével, bizonyos társadalmi‑demográfiai jellemzők alapján meghatározta a „célcsoportok címét”.
9. UI természetes személy, akire vonatkozóan az Österreichische Post statisztikai számítás alapján extrapolációt végzett, hogy meghatározza a különböző politikai pártok választási hirdetéseinek lehetséges célcsoportjaiba való besorolhatóságát. E meghatározásból kitűnt, hogy UI nagyfokú kötődést mutat az egyik politikai párthoz. Ezen adatokat harmadik fél részére nem továbbították.
10. UI – aki nem járult hozzá személyes adatainak kezeléséhez – felháborodott a politikai pártok iránti szimpátiájára vonatkozó adatok megőrzése miatt, valamint felháborodva és sértve érezte magát amiatt, hogy az Österreichische Post – – konkrét formában – ilyen kötődést tulajdonított neki.
11. UI 1000 euró összegű nem vagyoni kártérítés megállapítását kérte (belső rossz közérzet miatt). Azt állítja, hogy a neki tulajdonított politikai hovatartozás sértő és megszégyenítő, valamint sérti a jóhírnevét. Hozzáteszi, hogy az Österreichische Post eljárása nagy kellemetlenséget és bizalomvesztést okozott számára, valamint pellengérre állítottnak érezte magát.
12. Az elsőfokú bíróság elutasította UI kártérítés iránti kérelmét.(7)
13. A fellebbviteli bíróság helybenhagyta az elsőfokú ítéletet. Megállapította, hogy a GDPR megsértése esetén nem jár automatikusan nem vagyoni kártérítés, és hogy:
– mivel az osztrák jog csak a GDPR kiegészítéseként alkalmazandó, csak az olyan károk téríthetők meg, amelyek túlmutatnak a fellebbező jogainak megsértése által okozott kellemetlenségen vagy érzéseken („Gefühlsschaden”);
– tiszteletben kell tartani az osztrák szabályozás alapját képező azon elvet, amely szerint a puszta rossz közérzet és a puszta bosszúságérzést – amelyeknek nincsenek kártérítési következményei – mindenkinek viselnie kell. Másként fogalmazva, a kártérítéshez való jog megköveteli az állítólagos károk bizonyos jelentőségét.
14. A fellebbviteli bíróság ítéletével szemben UI keresetet nyújtott be az Oberster Gerichtshofhoz (legfelsőbb bíróság, Ausztria), amely előzetes döntéshozatal céljából a következő kérdéseket terjesztette a Bíróság elé:
„1) A [GDPR] rendelkezéseinek megsértése mellett arra is szükség van‑e a [GDPR] 82. cikke szerinti kártérítés megítéléséhez, hogy a felperes kárt szenvedjen, vagy már önmagában a [GDPR] rendelkezéseinek megsértése is elegendő a kártérítés megítéléséhez?
2) A tényleges érvényesülés és egyenértékűség elve mellett további uniós jogi előírások is vonatkoznak-e a kártérítés megállapítására?
3) Összeegyeztethető‑e az uniós joggal az az álláspont, amely szerint a nem vagyoni kár megítélésének az a feltétele, hogy a jogsértés legalább bizonyos súlyú olyan következménnyel vagy hatással járjon, amely meghaladja a jogsértés által kiváltott bosszúságot?”
III. Az eljárás
15. Az előzetes döntéshozatal iránti kérelem 2021. május 12‑én érkezett a Bírósághoz.
16. UI, az Österreichische Post, az osztrák, a cseh és az ír kormány, valamint az Európai Bizottság terjesztett elő beírásbeli észrevételeket. A Bíróság nem tartotta szükségesnek tárgyalás tartását.
IV. Elemzés
A. Előzetes megjegyzések
1. Elfogadhatóság
17. UI azt állítja, hogy az előzetes döntéshozatalra előterjesztett első kérdés nem releváns a jogvita szempontjából, mivel a keresete nem a GDPR valamely rendelkezésének „puszta” megsértésén, hanem annak következményein vagy hatásain alapult.
18. Az elfogadhatatlansági kifogást el kell utasítani. Még ha elismerésre is kerülne, hogy az adatkezelés – az UI‑t ért kár nélkül is – sértette a GDPR‑t, UI akkor is jogosult lenne a GDPR 82. cikke szerinti kártérítésre, amennyiben – amint azt a kérdést előterjesztő bíróság kéri – megerősítést nyer, hogy az adatkezelésre vonatkozó szabály puszta megsértése ilyen jogot keletkeztet.
19. UI szerint a Bíróság az előzetes döntéshozatalra előterjesztett második kérdést is elfogadhatatlannak tekinthetné azon az alapon, hogy tartalmát tekintve nagyon tág, az uniós jog követelményeit illetően pedig túlságosan szűkszavú, mivel semmilyen konkrét követelményt nem említ.
20. E kifogásnak – még ha az előzőnél megalapozottabb is – sem lehet helyt adni. Jogszerű, ha valamely bíróság tudni szeretné, hogy az egyenértékűség és a tényleges érvényesülés elvének betartása mellett az uniós jog által előírt egyéb követelményeket is értékelnie kell‑e a kár meghatározása céljából.
2. Az indítvány tárgyának körülhatárolása
21. A GDPR 82. cikke hat bekezdésből áll. A kérdést előterjesztő bíróság egyikre sem hivatkozik kifejezetten, hallgatólagosan azonban utal az elsőre. Nem határozza meg azt a rendelkezést sem, amelynek megsértése kártérítés alapjául szolgálhatna.
22. Indítványom az alábbi előfeltevésekből indul ki:
– UI személyes adatainak kezelésére a GDPR 6. cikke (1) bekezdésének a) pontja értelmében vett hozzájárulás beszerzése nélkül került sor
– A kártérítéshez való jog minden olyan személyt megillet, aki kárt szenvedett. A jelen ügyben UI – mint az adatkezelés által érintett azonosított természetes személy – „érintett”.(8)
– A GDPR a vagyoni és a nem vagyoni károk megtérítésről rendelkezik. UI kérelme ez utóbbiak megtérítésére korlátozódik, és pénzbeli jellegű.
B. Az előzetes döntéshozatalra előterjesztett első kérdés
23. Az első kérdésével a kérdést előterjesztő bíróság lényegében azt kívánja megtudni, hogy a GDPR rendelkezéseinek puszta megsértése kártérítési jogosultságot keletkeztet‑e, függetlenül attól, hogy keletkezett‑e kár vagy sem.
24. A kérdést előterjesztő bíróság megállapításaiból és a Bírósághoz benyújtott észrevételekből arra lehet következtetni, hogy a kérdés egy másik, némileg összetettebb olvasatot is megenged: annak tisztázásáról van szó, hogy a GDPR rendelkezéseinek megsértése szükségszerűen olyan kárt okoz‑e, amely kártérítési jogot keletkeztet, anélkül, hogy az alperesnek lehetősége lenne ennek ellenkezőjét bizonyítani.
25. E két megközelítés között van egy bizonyos (elméleti) különbség: az első esetben a kár nem előfeltétele a kártérítésnek; a második esetben azonban igen. A gyakorlatban az a követelmény, hogy a kárt a felperesnek bizonyítania kell, mindkét esetben eltűnik; és nem kell bizonyítania a jogsértés és az e kár közötti okozati összefüggést sem.(9)
26. Mindenesetre hozzáteszem, hogy véleményem szerint az első kérdés két olvasata közül egyikre sem kell igenlő választ adni. A kettővel külön‑külön fogok foglalkozni.
1. Kártérítés kár nélkül?
27. Azzal érvelni, hogy a kártérítéshez való jog akkor is fennáll, ha a GDPR megsértéséből az érintettnek nem származik kára, nyilvánvaló nehézségeket vet fel, kezdve az említett rendelet 82. cikke (1) bekezdésének szövegével kapcsolatos nehézséggel.
28. E rendelkezés értelmében a kártérítést(10) éppen azért ítélik meg, mert előzetesen kár keletkezett. Egyértelműen követelmény tehát, hogy a természetes személy a GDPR megsértésének eredményeként kárt szenvedjen.
29. Az az értelmezés, amely a „jogsértés” fogalmát automatikusan összekapcsolja a „kompenzáció” fogalmával, kár felmerülése nélkül, nem egyeztethető össze a GDPR 82. cikkének szövegével. Nincs összhangban a polgári jogi felelősségnek a GDPR által meghatározott elsődleges céljával sem, amely az érintett részére adott elégtételre irányul, mégpedig az őt ért kár „teljes és tényleges” megtérítése révén.(11)
30. Kár hiányában a kártérítésnek már nem az lenne a funkciója, hogy kompenzálja a jogsértés káros következményeit, hanem más, a szankciós jellegűhöz közelebb álló szerepet töltene be.
31. Kétségtelen azonban, hogy valamely tagállam jogrendje előírhat büntető jellegű kártérítést.(12) Ez alatt a kár szigorú értelemben vett megtérítését jelentősen meghaladó összeg megfizetésére való kötelezés értendő.
32. A büntető jellegű kártérítések általában nem tekintenek el a kár előzetes fennállásától. Ebből kiindulva azonban elválasztják a kár vagyoni következményeit a kárhoz igazított kártérítési összegtől.
33. Nem elképzelhetetlen azonban, hogy a büntető jellegű kártérítés elvonatkoztat a kártól, vagy irrelevánsnak tekinti azt a felperesnek adandó elégtétel szempontjából.
34. Az előzetes döntéshozatalra előterjesztett első kérdésre adandó válaszhoz meg kell vizsgálnom, hogy az ilyen típusú kártérítéseknek a GDPR‑ban elfoglalt helyét, annál is inkább, mivel az előzetes döntéshozatalra utaló végzés, valamint az előzetes döntéshozatali eljárás felei és a beavatkozók által tett észrevételek ezekre hivatkoztak.
2. Büntető jellegű kártérítés?
a) Szó szerinti értelmezés
35. A polgári jogi felelősség klasszikus funkciójához hozzáadódhat egy másik, „büntető” vagy „példamutató” jellegű funkció is, amelynek értelmében – amint azt már kifejtettem – a kártérítés összege nem egyezik meg az elszenvedett kárral, hanem megnöveli, vagy akár megsokszorozza annak összegét.
36. Az uniós joggal főszabály szerint nem ellentétes az ilyen kártérítés – amennyiben az uniós szabályok megsértéséről van szó –, ha az a nemzeti jog alapján indított hasonló keresetekben megítélhető.(13)
37. A büntető jellegű kártérítésnek visszatartó célja van. Ugyanezen cél akkor merülhet fel, ha egy irányelv megsértése esetén a tagállamoknak olyan intézkedéseket kell hozniuk, amelyeknek „tényleges visszatartó hatást”(14) kell gyakorolniuk. Egyes irányelvek kifejezetten előírják, hogy a szankcióként kialakított kártérítésnek visszatartó erejűnek kell lennie.(15)
38. Ezzel szemben más szövegekben a jogalkotó kimondja, hogy az irányelv célja „nem az, hogy büntető jellegű kártérítés előírásának kötelezettségét vezesse be”;(16) vagy hogy a tagállamoknak az átültetés során el kell kerülniük az ilyen jellegű kártérítéseket.(17) Az uniós jogban az úgynevezett „büntető jellegű kártérítésre” történő közvetlen kötelezés kivételes jellegű.(18)
39. Márpedig a GDPR nem tartalmaz utalást a vagyoni vagy nem vagyoni károk megtérítésének szankcionáló jellegére, vagy arra, hogy a kártérítés összegének kiszámítása tükröznie kellene e jelleget, vagy hogy az ilyen kártérítés visszatartó erejű kell legyen (a büntetőjogi szankcióknak és a közigazgatási bírságoknak viszont igenis tulajdonít ilyen minőséget).(19) A szó szerinti értelmezés tehát nem teszi lehetővé a büntető jellegű kártérítés ideértését.
b) A rendelkezés előzményeire figyelemmel történő értelmezés
40. A GDPR 82. cikke (1) bekezdésének előzménye a 95/46 irányelv 23. cikkének (1) bekezdése. Ez utóbbi rendelkezés egy olyan rendszer része volt, amelynek hatékonysága a közjogi‑ és a magánjogi jogérvényesítésre támaszkodott,(20) de amelyben a (magánjogi) kártérítés és a (közjogi) szankció nem keveredett.(21) A szabályok betartásának felügyelete elsősorban a független felügyeleti hatóságok feladata volt.(22)
41. A GDPR átveszi e modellt, megerősíti azonban az eszközöket annak érdekében, hogy biztosítsa a most már részletesebb rendelkezések és az azok megsértése vagy megsértésének veszélye esetén előírt, most már intenzívebb reakciók hatékonyságát:
– Egyrészt növeli a felügyeleti hatóságok szerepét, amelyek többek között maga a GDPR által előírt harmonizált szankciók kiszabásáért felelősek.(23) Ezáltal a szabályok közjogi jogérvényesítési elemét hangsúlyozza.
– Másrészt előírja, hogy a magánszemélyek – a felügyeleti hatóságok eljárásának kezdeményezése révén (77. cikk), vagy pedig bírósági eljárás útján (79. és 82. cikk) – érvényesíthetik a GDPR‑ban biztosított jogokat.(24) Ezenfelül a 80. cikk felhatalmaz bizonyos jogalanyokat arra, hogy pertársaságot hozzanak létre keresetindítás céljából(25) ami megkönnyíti a magánszemélyek számára az általános érdekek védelmét.(26)
42. A GDPR‑ban az egységes polgári jogi kárfelelősségi rendszer kialakítása korlátozott volt. A 95/46 irányelv hatályban léte alatt esetleg kétségesnek bizonyuló szempontokat – így például a nem vagyoni károknak a megtérítendő károk közé sorolását –(27) elég gyorsan sikerült tisztázni. A tárgyalás a rendszer egyéb szempontjaira összpontosított.(28)
43. A jogszabály‑előkészítő anyagokban nem találtam semmilyen, a GDPR‑ban bevezetni tervezett polgári jogi felelősség esetleges büntető funkciójára vonatkozó vitára utaló jeleket. Ebből tehát nem lehet azt a következtetést levonni, hogy az e tekintetben folytatott bármiféle vita hiányában e funkció beleértendő a 82. cikkbe, annál is inkább, mivel az uniós jog más szövegeibe való foglalásáról viszont igenis volt vita.(29)
44. Ilyen körülmények között úgy gondolom, hogy a GDPR 82. cikkének (1) bekezdése szerinti keresetet a polgári jogi felelősség tipikus funkcióinak szolgálatában alkották meg és szabályozták: kártérítési funkció (a károsult részére), másodsorban pedig a jövőbeli károk megelőzésének funkciója (a jogsértő számára).
c) Rendszertani értelmezés
45. Amint már fentebb említettem, a GDPR 82. cikke a szabályok hatékonyságát biztosító garanciarendszer részét képezi, amely rendszerben a magánkezdeményezés csak kiegészíti a szabályok közigazgatás általi alkalmazását. Az adatkezelők vagy adatfeldolgozók terhére történő kártérítés e hatékonysághoz járul hozzá.
46. A kártérítési kötelezettség (ideális esetben) arra ösztönöz, hogy a jövőben körültekintőbben járjanak el, betartsák a szabályokat, és elkerüljék a további károkozásokat. Ily módon, azáltal, hogy kártérítési igényt érvényesít saját maga számára, minden egyén hozzájárul a szabályok általános hatékonyságához.
47. Ennek keretében a kompenzációs és a büntető jellegű funkció szétválik:
– A második célt szolgálják a felügyeleti hatóságok vagy a bíróságok által kiszabható bírságok (a GDPR 83. cikkének (1) és (9) bekezdése), valamint a tagállamok által a 2016/679 rendelet 84. cikke alapján elfogadott további szankciók.(30)
– Az előbbit a magánszemélyek panasztételi lehetősége(77. cikk) és a bírósági eljárások (79. cikk) szolgálják. A kártérítéshez való jogról azonban nem a felügyeleti hatóságok feladata dönteni.
48. A kompenzációs és a szankcionálási funkciói szétválasztása értelmében:
– A bírság kiszabásakor és összegének megállapításakor a hatóságnak figyelembe kell vennie a GDPR 83. cikkében felsorolt azon tényezőket, amelyekről a polgári jogi felelősség területén nem rendelkeztek, és amelyek főszabály szerint nem alkalmazhatók a kártérítés kiszámításánál.(31)
– Ha az érintettek által elszenvedett kár szintje a bírság fokozatosságának egyik tényezője,(32) a bírság összegének kiszámításakor nem kell figyelembe venni az esetlegesen kapott kártérítést.(33)
49. Elméleti szempontból az olyan értelmezés, amely a polgári jogi felelősséget – bármiféle kár hiányában – büntető funkcióval ruházza fel, azzal a kockázattal jár, hogy a szankcionáló mechanizmusokkal feleslegessé teszi a kártérítési mechanizmusokat.
50. A gyakorlatban, ha a kártérítés címén könnyen elérhető egyfajta „büntető jellegű” hatás, ez arra ösztönözheti az érintetteket, hogy ezt az utat részesítsék előnyben a GDPR 77. cikkében foglalt lehetőséggel szemben. Ha ez általánossá válna, megfosztanák a felügyeleti hatóságokat egy olyan eszköztől (az érintettek panasza), amely lehetővé teszi a GDPR esetleges megsértésének felismerését, és ezáltal kivizsgálását és szankcionálását, az általános érdek védelme legmegfelelőbb eszközeinek rovására.
d) Teleologikus elemzés
51. A GDPR‑nak lényegében két célkitűzése van, amelyek már a címéből is kitűnnek: a) egyrészt „a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme”; b) másrészt, hogy e védelem oly módon valósuljon meg, hogy „az ilyen adatok szabad áramlása” az Unión belül ne legyen tiltható vagy korlátozható.(34)
52. Úgy vélem, hogy e célok elérése érdekében a GDPR nem írja elő, hogy a kártérítés az adatkezelésre vonatkozó szabály puszta megsértéséhez kapcsolódjon, és ezáltal a polgári jogi felelősséget büntető funkcióval ruházza fel.
53. Ami ez első célkitűzést illeti, annak elérése érdekében nem szükséges értelmezés útján úgy kiterjeszteni a GDPR 82. cikkének hatályát, hogy az azon esetekre is kiterjedjen, amikor történt ugyan jogsértés, de kár nem keletkezett. Másrészt ez a kiterjesztés negatív hatással lehet a második célkitűzésre.
54. Amint azt kiemeltem, a GDPR számos egymás mellett létező és egymást kiegészítő mechanizmust is előír a szabályainak való megfelelés biztosítására. A tagállamoknak nem kell (és valójában nem is lehet) választaniuk a VIII. fejezetben szereplő, az adatvédelmet biztosító mechanizmusok között. Olyan jogsértés esetén, amely nem keletkeztet kárt, az érintett továbbra is jogosult (legalább) arra, hogy a GDPR 77. cikkének (1) bekezdése alapján panaszt tegyen a felügyeleti hatóságnál.
55. Egyébiránt a kompenzáció károktól függetlenül történő kilátásba helyezése valószínűleg ösztönözné – a talán nem mindig megalapozott kérelmeket tárgyaló –(35) polgári jogvitákat, és ezáltal eltántoríthatna az adatkezelési tevékenység végzésétől.(36)
3. A károkozás vélelmezése?
56. Az eljárásban részt vevő felek egyes észrevételei az előzetes döntéshozatalra előterjesztett első kérdés általam eddig vizsgálttól eltérő olvasatát támogatják. Ha jól értem az álláspontjukat,(37) láthatólag azt támogatják, hogy a jogsértés megtörténte miatt vitathatatlanul vélelmezhető a kár.
57. Hozzáteszik, hogy az ilyen jogsértés szükségszerűen az adatok feletti rendelkezés elvesztésével járna, ami önmagában véve a GDPR 82. cikkének (1) bekezdése szerinti megtérítendő kárnak minősülne.
58. Elméletileg e vélelem alapján nem lehet eltekinteni a sérelemtől, így tartva tiszteletben a polgári jogi felelősség tipikus szerkezetét, valamint a GDPR rendelkezésének szövegét. Ugyanakkor a gyakorlatban ennek elismerése a felperes és az alperes számára hasonló következményekkel járna, mint a GDPR 82. cikkének (1) bekezdése szerinti kártérítésnek a szabály puszta megsértéséhez való kapcsolása.
59. Ismét a szokásos hermeneutikai szempontokhoz folyamodom annak megindokolása érdekében, hogy ezen értelmezés miért nem tűnik számomra helyesnek.
a) Szó szerinti értelmezés
60. Amikor a jogalkotó az uniós jog más területein úgy ítélte meg, hogy valamely szabály megsértéséből automatikusan következik kártérítéshez való jog, minden további nélkül rendelkezett erről.(38) Nem ez a helyzet a GDPR esetében, amely bizonyításra vonatkozó vagy a bizonyításra közvetlen következményekkel járó szabályokat tartalmaz,(39) ezen automatikus kapcsolat – legyen az közvetlen vagy megdönthetetlen vélelmen alapuló – azonban nem szerepel benne.
61. A GDPR (75)(40) és (85) preambulumbekezdésében(41) szereplő, az adatok feletti rendelkezésre (vagy a rendelkezés elvesztésére) vonatkozó hivatkozások nem tűnnek úgy számomra, hogy ellensúlyoznák ezt a hiányt. Azon túl, hogy preambulumbekezdésekként nem rendelkeznek semmilyen kötelező erővel, a két preambulumbekezdés egyike sem támasztja alá azt, hogy valamely szabály megsértése önmagában megtérítendő kárt vonna maga után:
– A (75) preambulumbekezdés a személyes adatok feletti rendelkezés megakadályozását említi az adatkezelés egyik lehetséges kockázataként.
– A (85) preambulumbekezdés az adatvédelmi incidensből eredő egyik lehetséges következményként a rendelkezés elvesztését említi.(42)
62. Az adatok feletti rendelkezés elvesztésnek nem kell szükségszerűen kárt keletkeztetnie. A kifejezés értelmezhető az adatok feletti rendelkezés ilyen elvesztését követő esetleges károkra utaló nyelvileg megengedő fordulatként, amennyiben e károk bekövetkeznek.(43)
b) Az előzmények fényében történő értelmezés
63. A háttér elemzése sem támasztja alá az ilyen, a 95/46 irányelvben nem szereplő vélelem fennállását,(44) és az általam vizsgált, a GDPR elfogadása előtti bizottsági, európai parlamenti vagy tanácsi dokumentumok sem rendelkeztek róla.
c) Rendszertani értelmezés
64. A GDPR rendszere olyan elemeket kínál, amelyek – az érintett hozzájárulása alapján –(45) indokolják a szóban forgó vélelem elfogadásának elutasítását. Az adatok feletti rendelkezés eszközeként az ilyen hozzájárulás ugyanolyan szinten legitimálja az adatkezelést, mint más jogalapok (a GDPR 6. cikke).(46)
65. A személyes adatok jogszerű kezelése az érintett engedélyétől, és így az említett engedély megadását vagy megtagadását jelentő rendelkezéstől függetlenül végezhető. A rendszeren belüli súlya végső soron nem abszolút jellegű.
66. Ezenfelül a GDPR e rendelkezés gyakorlásának más lehetőségeiről is rendelkezik: ezek közé tartozik a törléshez való jog, amely arra kötelezi az adatkezelőt, hogy „indokolatlan késedelem nélkül” törölje a vonatkozó információt.(47)
67. Az adatkezeléssel érintett személy számára e jog a védelmi rendszer biztonsági szelepeként működik: (főszabályként) akkor is fennáll, ha az adatkezelő nem szerezte meg az érintett hozzájárulását, valamint akkor is, ha az adatkezelésnek nincs semmilyen más jogalapja; és nem függ attól, hogy az adatkezelés okoz‑e bármilyen kárt.(48)
d) Teleologikus elemzés
1) Az érintettnek az adatai feletti rendelkezése a GDPR célját képezi-e?
68. A személyes adatok olyan kezelése, amelyhez nem szerezték meg az érintett hozzájárulását, és a megtérítendő kár közötti automatikus ekvivalencia feltételezi, hogy azon rendelkezés, amelynek a hozzájárulás a kifejezési eszköze, már önmagában is értéket képvisel.
69. Elismerem, hogy első ránézésre e vélemény nem megalapozatlan. A bizottsági javaslat a reform egyik fő érveként említi, hogy a polgárok gyakorolják az adataik feletti rendelkezést.(49) A GDPR (7) preambulumbekezdése kimondja, hogy „[a] természetes személyek számára biztosítani kell, hogy saját személyes adataik felett maguk rendelkezzenek”.
70. Kétségtelen, hogy az e fogalom által keltett jogtudományi vitákon túllépve óvatosságra van szükség a fogalom értelmezése során. A GDPR nem tartalmazza a „rendelkezés” pontos meghatározását (és máshol sem találtam ilyet).(50)A kifejezésnek legalább két jelentése van, amelyek nem zárják ki egymást: „hatalom” vagy „tulajdon”, és „felügyelet”.
71. A GDPR (7) preambulumbekezdésének megfogalmazása némi bizonytalanságot kelt, mivel a megfogalmazás nyelvi változatok szerint eltérő.(51) Tartalmára tekintettel úgy vélem, hogy a GDPR – az adatok védelmét szolgáló eszközként (más eszközökkel együttesen) – az érintett számára felügyeleti és beavatkozási jogköröket biztosít az adatokon mások által végzett műveletek során.
72. Az érintett maga is hozzájárul és felel az adatok által képviselt információk védelméért, a GDPR által előírt – szinten, formában és – mértékben. Az egyéni fellépés köre korlátozott: a GDPR‑ban felsorolt jogok tekintetében a meghatározott feltételek melletti joggyakorlásra korlátozódik.
73. Az érintett hozzájárulása, mint a rendelkezés legerőteljesebb kifejeződése,(52) csak egyike a jogszerű adatkezelés jogalapjainak, de nem alkalmas arra, hogy igazolja az adatkezelőt és az adatfeldolgozót terhelő egyéb kötelezettségek és feltételek nem teljesítését.
74. Álláspontom szerint nem könnyű levezetni a GDPR‑ból, hogy annak célja a személyes adatok feletti rendelkezés – mint önmagában vett érték – érintett számára való biztosítására. Nem könnyű azt sem levezetni, hogy az érintettnek a lehető legnagyobb mértékben kell rendelkeznie ezen adatok felett.
75. Ez a megállapítás nem meglepő. Egyrészt nem nyilvánvaló, hogy a rendelkezés – az adatok feletti tulajdon értelmében – a személyes adatok védelméhez való alapvető jog lényeges tartalmának részét képezi.(53) Másrészt e jognak az információs önrendelkezési jogként való értelmezése korántsem egyöntetű: a Charta 8. cikke nem használja ezeket a kifejezéseket.(54)
76. Hasonlóképpen nem került be a GDPR végleges szövegébe az a preambulumbekezdés, amelynek értelmében „a személyes adatok védelméhez való jog az érintettnek a kezelt személyes adatok feletti rendelkezés gyakorlásához való jogán alapul”.(55)
77. A fenti, talán túlságosan is elvont megfontolások annak megállapítására vezetnek, hogy amennyiben az érintett nem járul hozzá az adatkezeléshez, és az adatkezelésre más törvényes jogalap nélkül kerül sor, az adatok feletti rendelkezés elvesztése értelmében nem emiatt kell őt anyagilag kártalanítani úgy, mintha ezen elvesztés önmagában megtérítendő sérelmet jelentene.(56) Hogy ezenfelül szenvedett‑e kárt, vagy sem, az még kérdéses (és bizonyítani kell).(57)
2) Az érintettnek az ügy összefüggése keretében való rendelkezési joga
78. Végül helyénvalónak tartom emlékeztetni arra, hogy a személyes adatok védelmét – az adatok szabad áramlásának előmozdítása mellett –(58) a GDPR egyik célkitűzéseként határozták meg.
79. A polgárok személyes adatok feletti, digitális környezetben történő rendelkezésének megerősítése a személyes adatok védelmére vonatkozó rendszer korszerűsítésének egyik elismert célja, és nem egy önálló vagy elszigetelt célkitűzés.
80. A Bizottság a GDPR‑ra vonatkozó javaslatát kísérő közleményében a magas szintű adatvédelmet összekapcsolta az online szolgáltatásokba vetett bizalommal, amely lehetővé teszi a digitális gazdaságban rejlő lehetőségek kiaknázását, és ösztönzi „a gazdasági növekedést és az uniós iparágak versenyképességét”. Az uniós jog megreformálásával (és fokozott harmonizációjával) „megerős[ödik] az adatvédelem egységes piaci dimenziój[a]”.(59)
81. Tekintettel arra, hogy a (személyes és nem személyes) adatok értéke bizonyítottan fontos az európai gazdasági és társadalmi fejlődés szempontjából, a GDPR‑nak nem az a célja, hogy az egyénnek a rá vonatkozó információk feletti rendelkezését azáltal növelje, hogy egyszerűen csak a preferenciáinak kedvez, hanem az, hogy az egyén személyes adatok védelméhez való jogát összehangolja a harmadik felek és a társadalom érdekeivel.(60)
82. Hangsúlyozom, hogy a GDPR célja nem a személyes adatok kezelésének szisztematikus korlátozása, hanem annak szigorú feltételek mellett történő legitimálása. E célt mindenekelőtt az érintett azzal kapcsolatos bizalmának erősítése szolgálja, hogy az adatkezelést egy olyan biztonságos környezetben végzik,(61) amelyhez ő maga is hozzájárul. Ez ösztönzi az érintetteket arra, hogy – többek között az online kereskedelmi ügyletek területén – önkéntesen hozzájáruljanak az adataikhoz való hozzáféréshez és azok felhasználásához.
C. Az előzetes döntéshozatalra előterjesztett második kérdés
83. A kérdést előterjesztő bíróság azt kívánja megtudni, hogy „a tényleges érvényesülés és egyenértékűség elve mellett további uniós jogi előírások is vonatkoznak‑e a kártérítés megállapítására”.
84. Valójában úgy tűnik, hogy az egyenértékűség elve itt nem játszik fontos szerepet: a GDPR harmonizált rendszere közvetlenül alkalmazandó e területen, a rendelet 82. cikke pedig a jogsértésből eredő valamennyi nem vagyoni kárra vonatkozik, függetlenül attól, hogy a kár minek tudható be.
85. A tényleges érvényesülés elve tekintetében ugyanez a megfontolás érvényes. Más kérdés, hogy a kártérítésnek – a GDPR (146) preambulumbekezdésében foglaltakkal (az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg) való összhang érdekében – ilyen vagy olyan tartalommal kell rendelkeznie.
86. A GDPR 82. cikke nem ír elő más követelményt, mint hogy a rendelet szabályainak megsértése bármely személyt érő vagyoni vagy nem vagyoni kárral kell járjon. Az e károkért járó kártérítés összegének konkrét kiszámítására vonatkozóan nem határoz meg iránymutatásokat a nemzeti bíróságok számára.
87. A fent említett két jelző (teljes és tényleges) alapján a kártérítés mértéke először is az egyes felperesek által benyújtott keresettől függ.
88. Ha e kereset büntető jellegű kártérítés megállapítására irányulna,(62) az előzetes döntéshozatalra előterjesztett első kérdésre elegendő lenne az alábbi válasz: ez a fajta kártérítés a GDPR‑ban nem szerepel. Ezen belül a polgári jogi felelősség „magánjellegű” kompenzációs funkciót tölt be, míg a pénzbírságok és büntetőjogi szankciók közfeladata a visszatartás és adott esetben a büntetés.
89. Nem kizárt, hogy a nem vagyoni kártérítés címén kért jóvátétel a tisztán vagyoni kártérítésen kívül más elemeket is tartalmaz, így például a jogsértés megtörténtének elismerését, amellyel bizonyos erkölcsi elégtételt nyújtanak a felperes számára. A Bíróság 2021. április 15‑i ítélete(63) – jóllehet ezen ítélet nem az adatvédelem területén született – analógia útján lehetővé tenné, hogy e keresetnek helyt adjanak.
90. Az így rendelkező jogrendszerekben előfordulhat, hogy a polgári jogi felelősségi rendszer a jogérvényesítés (jelképes kártérítés fizetése) vagy a jogtalan gazdagodás semlegesítése (a jogtalanul szerzett haszon visszaadása) útján ír elő marasztalást.
91. Az előbbi mögött az a gondolat áll, hogy a jog folytonosságát és érvényesülését („Rechtsfortsetzungfunktion”) egy pusztán jelképes kártérítéssel kell biztosítani azon megállapítás mellett, hogy az alperes jogellenes cselekményt követett el, és megsértette a felperes jogait. A GDPR 82. cikke nem rendelkezik erről, és az előkészítő anyagok sem utalnak rá, ami nem meglepő, mivel ez nem közös a tagállamok jogrendszereiben,(64) és azon tagállamokban is vitatott, ahol létezik.(65)
92. A GDPR rendszere és célkitűzései azonban nem zárják ki, hogy azon tagállamok, amelyek ismerik e jogorvoslati lehetőséget – a 79. cikkében foglalt jogorvoslati lehetőségek keretében – a kár teljes hiánya esetén felajánlják e jogorvoslati lehetőséget a valamely szabály megsértése által érintettek számára. Ha ezzel szemben a felperes azt állítja, hogy vagyoni kárt szenvedett, a helyzetet a GDPR 82. cikke szabályozza, és a vagyoni kár bizonyításának nehézsége nem eredményezhet jelképes kártérítést.(66)
93. Ami a jogsérelmet követő pénzösszeg megfizetésére irányuló elmarasztalásokat illeti, azok célja az lehet, hogy megfosszák az elkövetőt a szerzett pénzügyi előnytől. A szellemi tulajdon(67) területén kívül e cél nem gyakori a kártérítési jogban, amely jog inkább a károsult fél veszteségével, nem pedig a jogsértő nyereségével foglalkozik.(68) E cél nem szerepel a GDPR cikkeiben sem.
94. Ezen észrevételeket a kérdést előterjesztő bíróság munkájának megkönnyítése érdekében teszem, tekintettel az előzetes döntéshozatalra irányuló második kérdés terjedelmére. Nem tagadom azonban, hogy azok hasznossága csekély lehet egy olyan kereset elfogadása vagy elutasítása szempontjából, amelynek keretében az érintett szigorúan pénzben meghatározott nem vagyoni kár megtérítését kéri.
D. Az előzetes döntéshozatalra előterjesztett harmadik kérdés
95. A kérdést előterjesztő bíróság azt kívánja megtudni, hogy a GDPR értelmében a nem vagyoni kártérítés megítélésének feltétele‑e, hogy „jogsértés legalább bizonyos súlyú olyan következménnyel vagy hatással járjon, amely meghaladja a jogsértés által kiváltott bosszúságot”.
96. A kártérítésre való jogosultság kritériumaként az előzetes döntéshozatal iránti kérelem figyelembe veszi az érintett személy tapasztalatainak intenzitását. Ezzel szemben nem kérdezi (legalábbis nem közvetlenül), hogy az érintett bizonyos érzelme vagy érzése releváns‑e a GDPR 82. cikkének (1) bekezdésében foglaltak értelmében.(69)
97. Felmerül tehát a kérdés, hogy a tagállamok függővé tehetik‑e a nem vagyoni kár megtérítését a szabály megsértése következményeinek mértékétől, és kizárólag a következmények bizonyos súlyossági küszöbét meghaladó következményeket értve ide. A kérdés tehát nem a megtérítendő károk fogalmára(70) vagy a kártérítés összegére vonatkozik, hanem arra, hogy létezik‑e az érintett félben kiváltott reakciónak egy olyan alsó határa, amely alatt nem jogosult kártérítésre.
98. A GDPR 82. cikke nem ad közvetlen választ a kérdésre. Véleményem szerint a (75) és (85) preambulumbekezdés sem. Mindkettő a károk példálózó felsorolását tartalmazza, amely egy nyitott záradékban ér véget, amely úgy tűnik, hogy a megtérítendő károkat a „jelentős” károkra korlátozza.
99. Ugyanakkor nem hiszem, hogy e preambulumbekezdések hasznosak lennének a kérdést előterjesztő bíróság kételyeinek eloszlatásához:
– A (75) preambulumbekezdés az adatkezeléssel kapcsolatos kockázatok azonosítására és értékelésére, valamint ezen kockázatok elkerülésére vagy enyhítésére irányuló intézkedések elfogadására vonatkozik. Szemlélteti az adatkezelés nemkívánatos következményeit, és egyes következményekre – valószínűleg súlyosabb jellegük miatt – „különös” hangsúlyt helyez.
– A (85) preambulumbekezdés az adatvédelmi incidensekkel foglalkozik, és arra figyelmeztet, hogy az ilyen jogsértések következményei jelentősek lehetnek.
100. A GDPR (146) preambulumbekezdésében szereplő kijelentés (az adatkezelők az „okozott kárt” kötelesek megtéríteni)(71) sem utal olyan kritériumokra, amelyek lehetővé tennék e kérdés megválaszolását.
101. E preambulumbekezdésnek a GDPR szövegébe történő átültetése azt eredményezte, hogy – a 95/46 irányelv ezzel kapcsolatos hallgatását felváltva –(72) a GDPR hatálya kifejezetten kiterjed a nem vagyoni károkra. Nem foglalkozott azonban konkrétan a Bíróság előtt most felmerült kérdéssel.
102. A GDPR ugyanezen (146) preambulumbekezdése kimondja, hogy „[a] kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze e rendelet célkitűzéseit”.
103. Nem vagyok biztos abban, hogy egy ilyen jelzésnek sok haszna lenne az adatvédelemmel összefüggésben, mivel a Bíróság még nem hozott döntést e kérdés tekintetében, amikor a GDPR‑t elfogadták.(73) Ha más irányelvekben vagy rendeletekben szabályozott polgári jogi felelősségre vonatkozó ítéletekre kellett volna hivatkozni, akkor üdvözlendő lett volna az analógiára való hivatkozás.
104. A Bíróság valójában még nem dolgozta ki a „kár” olyan általános meghatározását, amely bármely területen különbségtétel nélkül alkalmazandó lenne.(74) Ami a jelen ügyet illeti (nem vagyoni károk), az ítélkezési gyakorlatából az következik, hogy:
– Amennyiben az értelmezendő rendelkezés célja (vagy egyik célja) az egyén vagy az egyének egy bizonyos kategóriájának védelme,(75) a kár fogalmának tágnak kell lennie.
– E megközelítéssel összhangban a kártérítés kiterjed a nem vagyoni károkra, még akkor is, ha azt az értelmezett rendelkezés nem említi.(76)
105. Noha a Bíróság ítélkezési gyakorlata lehetővé teszi annak megállapítását, hogy – a fentiekben kifejtettek szerint – az uniós jogban létezik a nem vagyoni kár megtérítésének elve, nem gondolom, hogy ebből azonban olyan szabályra lehetne következtetni, amelynek értelmében minden nem vagyoni kár – jelentőségének mértékétől függetlenül – megtérítendő.
106. A Bíróság elismerte a nemzeti szabályozásnak az uniós szabályokkal való összeegyeztethetőségét, amely előbbi a kártérítés kiszámítása céljából a baleset által okozott személyi sérüléshez kapcsolódó nem vagyoni károkat a sérülés eredete szerint különbözteti meg.(77)
107. A Bíróság értékelte azt is, hogy melyek azok a körülmények, amelyek – az egyes esetekben alkalmazandó rendelkezésnek megfelelően – nem vagyoni kárt okozhatnak,(78) azonban (ha nem tévedek) még nem határozott kifejezetten e kár komolyságának követelményéről.(79)
108. Ezen a ponton úgy vélem, hogy az előzetes döntéshozatalra előterjesztett harmadik kérdésre igenlő választ kell adni.
109. Álláspontom alátámasztása érdekében emlékeztetek arra, hogy a GDPR nem kizárólag a személyes adatok védelméhez való alapvető jog biztosítására irányul,(80) és garanciarendszere különböző típusú mechanizmusokat foglal magában.(81)
110. Ebben az összefüggésben releváns lehet a Bíróság számára javasolt, a megtérítendő nem vagyoni károk és a jogszerűség be nem tartásából eredő egyéb hátrányok közötti megkülönböztetés, amelyek csekély jelentőségüknél fogva nem szükségszerűen keletkeztetnek kártérítésre való jogosultságot.
111. A nemzeti jogrendszerekben az ilyen szétválasztást a társadalmi élet elkerülhetetlen velejárójának tekintik.(82) A Bíróság számára nem ismeretlen ez a különbség, amelyet akkor is elismer, amikor a károkozással kapcsolatban önálló kategóriaként említi a kellemetlenségeket és a bosszúságot azon a területeken, ahol úgy véli, hogy indokolt a kártérítés.(83) Semmi akadálya nincs annak, hogy ezen önálló kategóriát átültessék a GDPR-ba.
112. Egyébiránt nem tűnik úgy számomra, hogy a GDPR 82. cikkének (1) bekezdésében foglalt kártérítéshez való jog a megfelelő eszköz a személyes adatok kezelése során elkövetett jogsértések ellensúlyozására, amennyiben azok az érintettben csak haragot vagy bosszúságot keltenek.
113. Általános szabályként a személyes adatok védelmére vonatkozó bármely szabály megsértése az érintett részéről valamilyen negatív reakciót vált ki. Az a kártérítés, amely pusztán a törvény mások általi be nem tartása miatti elégedetlenségéből ered, könnyen összetéveszthető a kár nélküli kártérítéssel, amelynek lehetőségét fentebb már elvetettem.
114. Gyakorlati szempontból nem hatékony az egyszerű bosszúságot a megtérítendő nem vagyoni károk közé sorolni, figyelembe véve a felperes számára a keresetindítással,(84) az alperes számára pedig a védekezéssel járó kellemetlenségeket és nehézségeket.(85)
115. Az adatkezelési szabályok megsértésével kapcsolatos enyhe és átmeneti érzések vagy érzelmek miatti kártérítésre való jogosultság megtagadása(86) nem teszi az érintettet teljesen kiszolgáltatottá. Amint azt az első kérdés kapcsán jeleztem, a GDPR rendszere más jogorvoslati lehetőségeket is kínál számára.
116. Nem vonom kétségbe, hogy a puszta bosszúság (amely nem megtérítendő) és a valódi nem vagyoni kár (amely igenis megtérítendő) közötti határvonal vékony, és nem is hagyom figyelmen kívül, hogy mennyire bonyolult a két kategória absztrakt elhatárolása és a kategóriák konkrétan egy jogvitára való alkalmazása. Ez a nehéz feladat a tagállami bírákra hárul, akik határozataikban valószínűleg nem tudják figyelmen kívül hagyni a társadalomnak a megengedett tűréshatárról alkotott, adott pillanatban érvényesülő felfogását, amikor az e területre vonatkozó szabály megsértésének szubjektív következményei nem haladják meg a de minimis szintet.(87)
V. Végkövetkeztetés
117. A fentiekre tekintettel azt javaslom, hogy a Bíróság az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria) számára a következő választ adja:
„A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 82. cikkét úgy kell értelmezni, hogy:
Valamely személyt az említett rendelet megsértése következtében ért kár megítéléséhez önmagában nem elegendő a szabály puszta megsértése, amennyiben az nem jár együtt megfelelő vagyoni vagy nem vagyoni kárral.
Az általa szabályozott nem vagyoni kártérítés nem terjed ki arra a puszta bosszúságra, amelyet az érintett személy a 2016/679 rendelet rendelkezéseinek megsértése miatt érezhet. A nemzeti bíróságok feladata annak meghatározása, hogy a szubjektív elégedetlenség érzése – annak jellemzői miatt – mikor tekinthető adott esetben nem vagyoni kárnak.”