РЕШЕНИЕ НА СЪДА (трети състав)
4 май 2023 година(*)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 82, параграф 1 — Право на обезщетение за вредите, причинени от обработването на данни, извършено в нарушение на този регламент — Условия за правото на обезщетение — Недостатъчност само на нарушение на посочения регламент — Необходимост от вреди, причинени от въпросното нарушение — Обезщетение за нематериални вреди, произтичащи от такова обработване — Несъвместимост на национално правило, което поставя обезщетяването на такива вреди в зависимост от превишаването на определен праг на значимост — Правила за определяне на обезщетението за вреди от националните съдилища“
По дело C‑300/21
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Oberster Gerichtshof (Върховен съд, Австрия) с акт от 15 април 2021 г., постъпил в Съда на 12 май 2021 г., в рамките на производство по дело
UI
срещу
Österreichische Post AG,
СЪДЪТ (трети състав),
състоящ се от: K. Jürimäe, председател на състав, M. Safjan, N. Piçarra, N. Jääskinen (докладчик) и M. Gavalec, съдии,
генерален адвокат: M. Campos Sánchez-Bordona,
секретар: A. Calot Escobar,
предвид изложеното в писмената фаза на производството,
като има предвид становищата, представени:
– за UI, от самия него в качеството на Rechtsanwalt,
– за Österreichische Post AG, от R. Marko, Rechtsanwalt,
– за австрийското правителство, от A. Posch, J. Schmoll и G. Kunnert, в качеството на представители,
– за чешкото правителство, от O. Serdula, M. Smolek и J. Vláčil, в качеството на представители,
– за Ирландия, от M. Browne, A. Joyce, M. Lane и M. Tierney, в качеството на представители, подпомагани от D. Fennelly, BL,
– за Европейската комисия, от A. Bouchagiar, M. Heller и H. Kranenborg, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 6 октомври 2022 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“) във връзка с принципите на равностойност и ефективност.
2 Запитването е отправено в рамките на спор между UI и Österreichische Post AG по повод на иска, предявен от UI за поправяне на нематериалните вреди, които твърди, че е претърпял в резултат на обработването от това дружество на данни, свързани с политическия афинитет на пребиваващи в Австрия лица, и по-специално на самия него, въпреки че не е дал съгласие за такова обработване.
Правна уредба
3 Съображения 10, 75, 85 и 146 от ОРЗД гласят следното:
„(10) За да се гарантира последователно и високо ниво на защита на физическите лица, както и за да се премахнат препятствията пред движението на лични данни в [Европейския с]ъюз, нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни следва да бъде равностойно във всички държави членки. […]
[…]
(75) Рискът за правата и свободите на физическите лица, с различна вероятност и тежест, може да произтича от обработване на лични данни, което би могло да доведе до физически, материални или нематериални вреди, по-специално когато обработването може да породи дискриминация, кражба на самоличност или измама с фалшива самоличност, финансови загуби, накърняване на репутацията, нарушаване на поверителността на лични данни, защитени от професионална тайна, неразрешено премахване на псевдонимизация, или други значителни икономически или социални неблагоприятни последствия; или когато субектите на данни могат да бъдат лишени от свои права и свободи или от упражняване на контрол върху своите лични данни; когато се обработват лични данни, които разкриват расов или етнически произход, политически възгледи, […].
[…]
(85) Нарушаването на сигурността на лични данни може, ако не бъде овладяно по подходящ и навременен начин, да доведе до физически, материални или нематериални вреди за физическите лица, като загуба на контрол върху личните им данни или ограничаване на правата им, дискриминация, кражба на самоличност или измама с фалшива самоличност, финансови загуби, неразрешено премахване на псевдонимизацията, накърняване на репутацията, нарушаване на поверителността на лични данни, защитени от професионална тайна, или всякакви други значителни икономически или социални неблагоприятни последствия за засегнатите физически лица. […]
[…]
(146) Администраторът или обработващият лични данни следва да обезщетят всички вреди, които дадено лице може да претърпи в резултат на обработване на данни, което нарушава настоящия регламент. Администраторът или обработващият лични данни следва да бъде освободен от отговорност, ако докаже, че по никакъв начин не е отговорен за вредите. Понятието „вреда“ следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент. Това не засяга евентуални искове за вреди, произтичащи от нарушаване на други правила на правото на Съюза или правото на държава членка. Обработване на данни, което нарушава настоящия регламент, включва и обработване, което нарушава делегираните актове и актовете за изпълнение, приети в съответствие с настоящия регламент, и правото на държава членка, конкретизиращо правилата на настоящия регламент. Субектите на данни следва да получат пълно и действително обезщетение за претърпените от тях вреди. […]“.
4 Член 1 от ОРЗД, озаглавен „Предмет и цели“, предвижда в параграфи 1 и 2:
„1. С настоящия регламент се определят правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и правилата по отношение на свободното движение на лични данни.
2. С настоящия регламент се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни“.
5 Според член 4, точка 1 от този регламент, озаглавен „Определения“:
„За целите на настоящия регламент:
1) „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); […]“.
6 Глава VIII от ОРЗД, озаглавена „Средства за правна защита, отговорност за причинени вреди и санкции“, включва членове 77—84 от този регламент.
7 Член 77 от посочения регламент се отнася до „право[то] на подаване на жалба до надзорен орган“, докато член 78 се отнася до „право[то] на ефективна съдебна защита срещу надзорен орган“.
8 Член 82 от ОРЗД, озаглавен „Право на обезщетение и отговорност за причинени вреди“, предвижда в параграфи 1 и 2:
„1. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди.
2. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. […]“.
9 Член 83 от този регламент, озаглавен „Общи условия за налагане на административни наказания „глоба“ или „имуществена санкция“, предвижда в параграф 1:
„Всеки надзорен орган гарантира, че наложените административни наказания „глоба“ или „имуществена санкция“ в съответствие с настоящия член за извършени нарушения на настоящия регламент, посочени в параграфи 4, 5 и 6, във всеки конкретен случай са ефективни, пропорционални и възпиращи“.
10 Член 84 от посочения регламент, озаглавен „Санкции“, гласи в параграф 1:
„Държавите членки определят правила за други санкции, приложими за нарушения на настоящия регламент по-специално за нарушения, които не подлежат на административно наказание „глоба“ или „имуществена санкция“ съгласно член 83, и вземат всички необходими мерки за гарантиране на тяхното прилагане. Тези санкции са ефективни, пропорционални и възпиращи“.
Спорът в главното производство и преюдициалните въпроси
11 От 2017 г. Österreichische Post, учредено по австрийското право дружество, което търгува с адреси, събира информация за политическия афинитет на австрийското население. С помощта на алгоритъм, отчитащ различни социални и демографски критерии, дружеството определя „адреси на целеви групи“. Така създадените данни са продадени на различни организации, за да им се даде възможност да изпращат целева реклама.
12 В рамките на дейността си Österreichische Post обработва данни, които чрез статистическа екстраполация са довели дружеството до извода, че жалбоподателят в главното производство има голям афинитет към определена политическа партия в Австрия. Тези данни не са били предавани на трети лица, но жалбоподателят в главното производство, който не се е съгласил с обработването на личните му данни, се е почувствал обиден от факта, че му е приписан афинитет към въпросната партия. Фактът, че в рамките на това дружество са били съхранявани данни, свързани с неговите предполагаеми политически възгледи, предизвикал сериозно раздразнение в него, загуба на доверие, както и чувство на унижение. От акта за преюдициално запитване става ясно, че не е установена никаква друга вреда освен това посегателство с временен и емоционален характер.
13 В този контекст ищецът в главното производство предявява пред Landesgericht für Zivilrechtssachen Wien (Областен съд по граждански дела Виена, Австрия) иск с предмет, от една страна, Österreichische Post да бъде задължено да преустанови въпросното обработване на лични данни, и от друга страна, това дружество да бъде осъдено да му заплати обезщетение в размер на 1 000 евро за нематериалните вреди, които твърди, че е претърпял. С решение от 14 юли 2020 г. тази юрисдикция уважава искането за преустановяване на нарушението, но отхвърля искането за обезщетение.
14 Oberlandesgericht Wien (Върховен областен съд Виена, Австрия), сезиран с въззивна жалба, потвърждава с решение от 9 декември 2020 г. постановеното в първоинстанционното производство решение. Що се отнася до искането за обезщетение, тази юрисдикция се позовава на съображения 75, 85 и 146 от ОРЗД и приема, че разпоредбите на вътрешното право на държавите членки в областта на гражданската отговорност допълват разпоредбите на този регламент, доколкото той не съдържа специални правила. В това отношение този съд отбелязва, че според австрийското право нарушение на разпоредбите за защита на личните данни не води автоматично до нематериални вреди, като поражда право на обезщетение само когато такива вреди достигнат определен „праг на значимост“. Случаят обаче не бил такъв, що се отнася до отрицателните чувства, на които се позовава жалбоподателят в главното производство.
15 Сезиран от двете страни в главното производство, Oberster Gerichtshof (Върховен съд, Австрия) отхвърля с междинно решение от 15 април 2021 г. ревизионната жалба, подадена от Österreichische Post срещу наложеното му задължение за преустановяване на нарушението. Ето защо тази юрисдикция остава сезирана само с ревизионната жалба, подадена от жалбоподателя в главното производство срещу отхвърлянето на искането му за обезщетение.
16 В подкрепа на преюдициалното си запитване запитващата юрисдикция посочва, че от съображение 146 от ОРЗД става ясно, че член 82 от този регламент въвежда собствен режим на отговорност в областта на защитата на личните данни, който измества действащите в държавите членки режими. При това положение понятията, съдържащи се в посочения член 82, и по-специално понятието „вреди“, посочено в параграф 1 от него, трябвало да се тълкуват самостоятелно, а условията за реализиране на въпросната отговорност трябвало да се определят не с оглед на разпоредбите на националното право, а с оглед на изискванията на правото на Съюза.
17 По-конкретно, на първо място, що се отнася до правото на обезщетение за нарушение на защитата на личните данни, тази юрисдикция е склонна да приеме в светлината на съображение 146, шесто изречение от ОРЗД, че основано на член 82 от този регламент обезщетение предполага, че субектът на данни действително е претърпял материални или нематериални вреди. Предоставянето на такова обезщетение било обусловено от доказването на конкретна вреда, различна от посоченото нарушение, което само по себе си не доказвало наличието на нематериални вреди. В съображение 75 от посочения регламент се споменавала само възможността нематериални вреди да са резултат от изброените в него нарушения и макар в съображение 85 действително да се споменава рискът от „загуба на контрол“ върху засегнатите данни, в случая този риск бил несигурен, тъй като данните не били предадени на трето лице.
18 На второ място, що се отнася до оценката на обезщетението, което може да бъде присъдено на основание член 82 от ОРЗД, посочената юрисдикция смята, че принципът на ефективност на правото на Съюза трябва да има ограничено действие, тъй като този регламент вече предвижда тежки санкции при нарушаването му, и че следователно не е необходимо да се присъждат и високи обезщетения, за да се гарантира полезното му действие. Според тази юрисдикция обезщетението за вреди, дължимо на това основание, трябва да бъде пропорционално, ефективно и възпиращо, за да може предоставеното обезщетение да изпълнява компенсаторна функция, но не и да има наказателен характер, който бил чужд на правото на Съюза.
19 На трето място, запитващата юрисдикция поставя под съмнение защитаваната от Österreichische Post теза, че присъждането на такова обезщетение зависи от условието нарушението на защитата на личните данни да е причинило особено значима вреда. В това отношение тя подчертава, че в съображение 146 от ОРЗД се препоръчва широко тълкуване на понятието „вреда“ по смисъла на този регламент. Тази юрисдикция смята, че нематериалните вреди трябва да бъдат поправени по силата на член 82, ако са конкретни, макар и слаби. За разлика от това подобни вреди не трябвало да се поправят, ако се окажат напълно незначителни, какъвто бил случаят при наличието на неприятни чувства, които обикновено съпътстват такова нарушение.
20 При тези условия Oberster Gerichtshof (Върховен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1) Присъждането на обезщетение съгласно член 82 от ОРЗД […] изисква ли наред с наличието на нарушение на разпоредбите на ОРЗД и ищецът да е претъпял вреди, или нарушението на разпоредбите на ОРЗД като такова само по себе си е достатъчно за присъждането на обезщетение за вреди?
2) Наред с принципите на ефективност и на равностойност съществуват ли и други изисквания на правото на Съюза по отношение на определянето на размера на обезщетението за вреди?
3) Съвместимо ли е с правото на Съюза становището, че условие за присъждането на обезщетение за нематериални вреди е да е налице следствие или последица от правонарушението, което или която имат поне известна тежест, надхвърляща причинените в резултат на правонарушението неприятности?“.
По преюдициалните въпроси
По допустимостта на първия и втория въпрос
21 По същество жалбоподателят в главното производство поддържа, че първият поставен въпрос е недопустим, тъй като е хипотетичен. Най-напред той изтъква, че искът му за обезщетение не се основава на „обикновено“ нарушение на разпоредба на ОРЗД. По-нататък в акта за преюдициално запитване се посочвало, че има съгласие по отношение на факта, че обезщетение се дължи само когато такова нарушение е придружено от действително претърпени вреди. Накрая, според него единственият спор между страните в главното производство, изглежда, е въпросът дали вредата трябва да надхвърля определен „праг на значимост“. Ако обаче Съдът отговори отрицателно на третия въпрос, поставен по този повод — както самият той предлага — първият въпрос не би бил от полза за решаването на посочения спор.
22 Жалбоподателят в главното производство твърди също, че вторият поставен въпрос е недопустим, тъй като е едновременно твърде широк, що се отнася до неговото съдържание, и твърде неточен, що се отнася до неговата формулировка, като се има предвид, че запитващата юрисдикция се отнася до „изискванията на правото на Съюза“, без да посочва конкретно едно от тях.
23 В това отношение следва да се припомни, че съгласно постоянната практика само националният съд, който е сезиран със спора и трябва да поеме отговорността за последващото му съдебно решаване, може да прецени — предвид особеностите на делото — както необходимостта от преюдициално решение, за да може да се произнесе, така и релевантността на въпросите, които поставя на Съда, които се ползват с презумпция за релевантност. Следователно, след като поставеният въпрос се отнася до тълкуването или валидността на норма от правото на Съюза, Съдът по принцип е длъжен да се произнесе, освен ако е очевидно, че исканото тълкуване няма никаква връзка с действителността или с предмета на спора в главното производство, ако проблемът е от хипотетично естество или още ако Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на посочения въпрос (вж. в този смисъл решения от 15 декември 1995 г., Bosman, C‑415/93, EU:C:1995:463, т. 61, от 7 септември 1999 г., Beck и Bergdorf, C‑355/97, EU:C:1999:391, т. 22, и от 5 май 2022 г., Zagrebačka banka, C‑567/20, EU:C:2022:352, т. 43 и цитираната съдебна практика).
24 В настоящото производство първият въпрос се отнася до условията, които се изискват за упражняване на правото на обезщетение по член 82 от ОРЗД. Освен това не е очевидно, че исканото тълкуване няма връзка със спора в главното производство или че повдигнатият проблем е хипотетичен. Всъщност, от една страна, този спор се отнася до искане за обезщетение, попадащо в обхвата на въведения с ОРЗД режим на защита на личните данни. От друга страна, с този въпрос се цели да се определи дали за да се приложат установените в този регламент правила за отговорност, е необходимо субектът на данни да е претърпял вреда, която се различава от нарушението на този регламент.
25 Що се отнася до втория въпрос, вече е постановено, че самото обстоятелство, че от Съда се иска да се произнесе по абстрактен и общ начин, не може да доведе до недопустимост на дадено преюдициално запитване (решение от 15 ноември 2007 г., International Mail Spain, C‑162/06, EU:C:2007:681, т. 24). Поставен по този начин въпрос, може да се приеме за хипотетичен и следователно недопустим, ако преюдициалното запитване не съдържа минимални разяснения, от които може да се установи връзка между този въпрос и главното производство (вж. в този смисъл решение от 8 юли 2021 г., Sanresa, C‑295/20, EU:C:2021:556, т. 69 и 70).
26 Настоящият случай обаче не е такъв, тъй като запитващата юрисдикция обяснява, че вторият ѝ въпрос се основава на съмнение дали при оценката на евентуално дължимото от Österreichische Post обезщетение поради нарушение на разпоредбите на ОРЗД е необходимо да се следи за спазването не само на посочените в този въпрос принципи на равностойност и ефективност, но и на евентуални други изисквания на правото на Съюза. В този контекст липсата на по-точни указания от предоставените от тази юрисдикция относно въпросните принципи не лишава Съда от неговата годност да даде полезно тълкуване на релевантните норми от правото на Съюза.
27 Следователно първият и вторият въпрос са допустими.
По същество
По първия въпрос
28 С първия си въпрос по същество запитващата юрисдикция иска да се установи дали член 82, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент е достатъчно, за да се присъди право на обезщетение.
29 В това отношение следва да се припомни, че според постоянната съдебна практика разпоредба от правото на Съюза, чийто текст не съдържа изрично препращане към правото на държавите членки с оглед на определяне на нейния смисъл и обхват, трябва по принцип да получи самостоятелно и еднакво тълкуване навсякъде в Съюза (решения от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 81, и от 10 февруари 2022 г., ShareWood Switzerland, C‑595/20, EU:C:2022:86, т. 21), което трябва по-специално да се търси с оглед на текста на съответната разпоредба и контекста, в който тя се вписва (вж. в този смисъл решения от 15 април 2021 г., The North of England P & I Association, C‑786/19, EU:C:2021:276, т. 48, и от 10 юни 2021 г., KRONE — Verlag, C‑65/20, EU:C:2021:471, т. 25).
30 ОРЗД обаче не препраща към правото на държавите членки, що се отнася до смисъла и обхвата на термините, съдържащи се в член 82 от този регламент, по-специално що се отнася до понятията „материални или нематериални вреди“ и „обезщетение […] за нанесените вреди“. От това следва, че за целите на прилагането на посочения регламент тези термини трябва да се разглеждат като самостоятелни понятия на правото на Съюза, които трябва да се тълкуват еднакво във всички държави членки.
31 На първо място, що се отнася до текста на член 82 от ОРЗД, следва да се припомни, че параграф 1 от този член гласи, че „[в]сяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди“.
32 От една страна, от текста на тази разпоредба ясно следва, че наличието на „вреди“, които са били „нанесени“, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на ОРЗД и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни.
33 Следователно не може да се приеме, че всяко „нарушение“ на разпоредбите на ОРЗД само по себе си поражда въпросното право на обезщетение в полза на субекта на данни, както е определен в член 4, точка 1 от този регламент. Подобно тълкуване би било в противоречие с текста на член 82, параграф 1 от посочения регламент.
34 От друга страна, важно е да се подчертае, че отделното посочване в член 82, параграф 1 от ОРЗД на „вреди“ и „нарушение“ би било излишно, ако законодателят на Съюза е смятал, че нарушение на разпоредбите на този регламент може само по себе си и във всички случаи да е достатъчно, за да обоснове право на обезщетение.
35 На второ място, изложеното по-горе буквално тълкуване се потвърждава от контекста, в който се вписва тази разпоредба.
36 Всъщност член 82, параграф 2 от ОРЗД, който уточнява режима на отговорност, чийто принцип е установен в параграф 1 от този член, възпроизвежда трите необходими условия, за да възникне право на обезщетение, а именно обработване на лични данни в нарушение на разпоредбите на ОРЗД, вреди, нанесени на субекта на данните, и причинно-следствена връзка между това незаконосъобразно обработване и вредите.
37 Освен това поясненията в съображения 75, 85 и 146 от ОРЗД подкрепят това тълкуване. От една страна, съображение 146, което се отнася конкретно до правото на обезщетение, предвидено в член 82, параграф 1 от този регламент, се позовава в първото си изречение на „вреди, които дадено лице може да претърпи в резултат на обработване на данни, което нарушава [посочения] регламент“. От друга страна, в съображения 75 и 85 се посочва съответно, че „риск […] може да произтича от обработване на лични данни, което би могло да доведе до […] вреди“ и че „нарушаването на сигурността на лични данни може […] да доведе до […] вреди“. От това следва, първо, че настъпването на вреди в рамките на такова обработване е само потенциално, второ, че нарушение на ОРЗД не води непременно до вреди, и трето, че трябва да съществува причинно-следствена връзка между разглежданото нарушение и нанесените на субекта на данни вреди, за да се обоснове право на обезщетение.
38 Буквалното тълкуване на член 82, параграф 1 от ОРЗД се потвърждава и от сравнение с други разпоредби, които също се съдържат в глава VIII от този регламент, уреждаща по-специално различните средства за правна защита, които позволяват да се защитят правата на субекта на данни в случай на обработване на неговите лични данни, за което се твърди, че противоречи на разпоредбите на посочения регламент.
39 В това отношение следва да се отбележи, че членове 77 и 78 от ОРЗД, които се съдържат в посочената глава, предвиждат средства за правна защита до или срещу надзорен орган в случай на твърдяно нарушение на този регламент, без в тях да се посочва, че за да може да предяви такива средства за правна защита, субектът на данни трябва да е претърпял „вреди“, противно на използваната в посочения член 82 формулировка по отношение на исковете за обезщетение. Тази разлика във формулировката свидетелства за значимостта на критерия за „вреди“, а следователно и за своеобразието му спрямо критерия за „нарушение“ за целите на исканията за обезщетение, основани на ОРЗД.
40 Освен това членове 83 и 84 от ОРЗД, които позволяват налагането на административни наказания „глоба“ или „имуществена санкция“, както и на други санкции, имат предимно наказателна цел и не зависят от наличието на индивидуална вреда. Връзката между правилата, предвидени в посочения член 82, и тези, установени във въпросните членове 83 и 84, показва, че съществува разлика между тези две категории разпоредби, но и взаимно допълване от гледна точка на стимулите за спазване на ОРЗД, като се има предвид, че правото на всяко лице да иска обезщетение за вреди засилва оперативния характер на предвидените в този регламент правила за защита и може да възпре повторното извършване на неправомерни действия.
41 Накрая, важно е да се уточни, че в съображение 146, четвърто изречение от ОРЗД се посочва, че предвидените в ОРЗД правила се прилагат, без да се засягат евентуални искове за вреди, произтичащи от нарушаване на други правила на правото на Съюза или правото на държава членка.
42 С оглед на всички изложени по-горе съображения на първия въпрос следва да се отговори, че член 82, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение.
По третия въпрос
43 С третия си въпрос, който следва да се разгледа преди втория, по същество запитващата юрисдикция иска да се установи дали член 82, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данни вреди да са достигнали определена степен на значимост.
44 В това отношение следва да се припомни, както бе подчертано в точка 30 от настоящото решение, че понятието „вреди“, и по-конкретно в случая понятието „нематериални вреди“ по смисъла на член 82 от ОРЗД, трябва да получат, предвид липсата на каквото и да било препращане към вътрешното право на държавите членки, самостоятелно и еднакво определение, присъщо на правото на Съюза.
45 На първо място, ОРЗД не дава определение на понятието „вреди“ за целите на прилагането на този инструмент. В член 82 само се посочва изрично, че може да възникне право на обезщетение не само за „материални вреди“, но и за „нематериални вреди“, без да се споменава какъвто и да бил праг на значимост.
46 На второ място, контекстът, в който се вписва тази разпоредба, показва също, че правото на обезщетение не зависи от това разглежданите вреди да са с определен праг на значимост. Всъщност в съображение 146, трето изречение от ОРЗД се посочва, че „[п]онятието „вреда“ следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на [регламента]“. Ако посоченото понятие се ограничава само до вредите с определена значимост обаче, това би противоречало на широко разбиране на понятието „вреда“, предпочетено от законодателя на Съюза.
47 На трето и последно място, това тълкуване се потвърждава от преследваните с ОРЗД цели. В това отношение е важно да се припомни, че съображение 146, трето изречение от този регламент изрично призовава определянето на понятието „вреда“ по смисъла на този регламент да стане „по начин, който отразява напълно целите на [посочения] регламент“.
48 По-специално от съображение 10 от ОРЗД следва, че неговите разпоредби имат по-специално за цел да гарантират последователно и високо ниво на защита на физическите лица във връзка с обработването на лични данни в Съюза и за целта да гарантират последователно и еднородно прилагане в рамките на Съюза на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни (вж. в този смисъл решения от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, EU:C:2020:559, т. 101, и от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни), C‑154/21, EU:C:2023:3, т. 44 и цитираната съдебна практика).
49 Поставянето на обезщетението за нематериални вреди в зависимост от определен праг на значимост обаче би могло да навреди на последователността на установения с ОРЗД режим, тъй като степенуването на такъв праг, от което би зависела възможността да се получи или не посоченото обезщетение, би могло да варира в зависимост от преценката на сезираните съдилища.
50 Това не променя факта, че така възприетото тълкуване не може да се разбира в смисъл, че лице, засегнато от нарушение на ОРЗД, което е имало отрицателни последици за него, би било освободено от задължението да докаже, че тези последици представляват нематериални вреди по смисъла на член 82 от този регламент.
51 С оглед на изложените по-горе съображения на третия въпрос следва да се отговори, че член 82, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост.
По втория въпрос
52 С втория си въпрос по същество запитващата юрисдикция иска да се установи дали член 82 от ОРЗД трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, спазвайки не само принципите на равностойност и ефективност на правото на Съюза.
53 В това отношение е важно да се припомни, че съгласно постоянната съдебна практика, когато в правото на Съюза няма правила в съответната област, по силата на принципа на процесуалната автономия във вътрешния правен ред на всяка държава членка трябва да се уредят процесуалните аспекти на съдебните производства, предназначени да гарантират защитата на правата на страните в процеса, при условие все пак тези правила да не са по-неблагоприятни от правилата, които уреждат подобни вътрешноправни положения (принцип на равностойност), и да не правят практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза (принцип на ефективност) (вж. в този смисъл решения от 13 декември 2017 г., El Hassani, C‑403/16, EU:C:2017:960, т. 26, и от 15 септември 2022 г., Uniqa Versicherungen, C‑18/21, EU:C:2022:682, т. 36).
54 В случая следва да се отбележи, че ОРЗД не съдържа разпоредба, която да определя правилата за оценка на обезщетението, което субект на данни по смисъла на член 4, точка 1 от този регламент може да претендира по силата на член 82, когато нарушение на посочения регламент му е причинило вреди. Следователно, когато в правото на Съюза няма правила в тази област, във вътрешния правен ред на всяка държава членка трябва да се определят правилата за съдебните искове, предназначени да гарантират защитата на правата, които страните в процеса черпят от посочения член 82, и по-специално критериите, позволяващи да се определи обхватът на дължимото в този контекст обезщетение, при условие че се спазват посочените принципи на равностойност и ефективност (вж. по аналогия решение от 13 юли 2006 г., Manfredi и др., C‑295/04—C‑298/04, EU:C:2006:461, т. 92 и 98).
55 Що се отнася до принципа на равностойност, в настоящото производство Съдът не разполага с данни, които да породят съмнение относно съответствието с този принцип на национална правна уредба, която да е приложима към спора в главното производство, и следователно да укажат, че посоченият принцип би могъл да има конкретно отражение в рамките на този спор.
56 Що се отнася до принципа на ефективност, запитващата юрисдикция следва да определи дали предвидените в австрийското право правила за определяне по съдебен ред на обезщетението, дължимо на основание на правото на обезщетение, закрепено в член 82 от ОРЗД, не правят практически невъзможно или прекомерно трудно упражняването на правата, предоставени от правото на Съюза, и по-специално от този регламент.
57 В този контекст следва да се подчертае, че в съображение 146, шесто изречение от ОРЗД се посочва, че този инструмент има за цел да осигури „пълно и действително обезщетение за претърпените […] вреди“.
58 В това отношение, като се има предвид компенсаторната функция на правото на обезщетение по член 82 от ОРЗД, както по същество подчертава генералният адвокат в точки 39, 49 и 52 от заключението си, парично обезщетение на основание на тази разпоредба трябва да се приема за „пълно и действително“, ако позволява да се обезщети изцяло конкретната вреда, претърпяна в резултат на нарушението на този регламент, без да е необходимо за целите на такова пълно обезщетяване да се налага изплащането на наказателно обезщетение.
59 С оглед на всички изложени по-горе съображения на втория въпрос следва да се отговори, че член 82 от ОРЗД трябва да се тълкува в смисъл, че за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза.
По съдебните разноски
60 С оглед на обстоятелството, че за страните в главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по разноските. Разноските, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (трети състав) реши:
1) Член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
самото нарушение на разпоредбите на този регламент не е достатъчно, за да се присъди право на обезщетение.
2) Член 82, параграф 1 от Регламент 2016/679
трябва да се тълкува в смисъл, че
не допуска национална разпоредба или практика, която поставя поправянето на нематериални вреди по смисъла на тази разпоредба в зависимост от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост.
3) Член 82 от Регламент 2016/679
трябва да се тълкува в смисъл, че
за да се определи размерът на обезщетението, дължимо на основание на закрепеното в този член право, националните съдилища трябва да приложат вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Съюза.
Подписи