DOMSTOLENS DOM (Tredje Afdeling)
4. maj 2023 (*)
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 82, stk. 1 – ret til erstatning for skade forvoldt af behandling af oplysninger foretaget i strid med denne forordning – betingelser for retten til erstatning – den blotte overtrædelse af denne forordning ikke tilstrækkelig – nødvendigt, at der er forvoldt skade ved overtrædelsen – erstatning for immateriel skade som følge af en sådan behandling – uforenelighed af en national regel, hvorefter erstatning for en sådan skade er betinget af overskridelse af en alvorstærskel – regler for de nationale retters fastsættelse af erstatningen«
I sag C-300/21,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF indgivet af Oberster Gerichtshof (øverste domstol, Østrig) ved afgørelse af 15. april 2021, indgået til Domstolen den 12. maj 2021, i sagen
UI
mod
Österreichische Post AG,
har
DOMSTOLEN (Tredje Afdeling),
sammensat af afdelingsformanden, K. Jürimäe, og dommerne M. Safjan, N. Piçarra, N. Jääskinen (refererende dommer) og M. Gavalec,
generaladvokat: M. Campos Sánchez-Bordona,
justitssekretær: A. Calot Escobar,
på grundlag af den skriftlige forhandling,
efter at der er afgivet indlæg af:
– UI, som selvmøder, i egenskab af Rechtsanwalt,
– Österreichische Post AG ved Rechtsanwalt R. Marko,
– den østrigske regering ved A. Posch, J. Schmoll og G. Kunnert, som befuldmægtigede,
– den tjekkiske regering ved O. Serdula, M. Smolek og J. Vláčil, som befuldmægtigede,
– Irland ved M. Browne, A. Joyce, M. Lane og M. Tierney, som befuldmægtigede, bistået af D. Fennelly, BL,
– Europa-Kommissionen ved A. Bouchagiar, M. Heller og H. Kranenborg, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 6. oktober 2022,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 82 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«), sammenholdt med ækvivalensprincippet og effektivitetsprincippet.
2 Anmodningen er blevet indgivet i forbindelse med en tvist mellem UI og Österreichische Post AG vedrørende et søgsmål anlagt af UI med påstand om erstatning for den immaterielle skade, som han hævder at have lidt på grund af dette selskabs behandling af oplysninger om politisk tilhørsforhold for personer med bopæl i Østrig, navnlig UI selv, selv om han ikke havde givet samtykke til en sådan behandling.
Retsforskrifter
3 10., 75., 85. og 146. betragtning til databeskyttelsesforordningen har følgende ordlyd:
»(10) For at sikre et ensartet og højt niveau for beskyttelse af fysiske personer og for at fjerne hindringerne for udveksling af personoplysninger inden for [Den Europæiske Union] bør beskyttelsesniveauet for fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstater. […]
[…]
(75) Risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, kan opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller ‑svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser; hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger; hvis der behandles personoplysninger, der viser race eller etnisk oprindelse, politisk […] overbevisning […]
[…]
(85) Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, forskelsbehandling, identitetstyveri eller ‑svig, finansielle tab, uautoriseret ophævelse af pseudonymisering, skade på omdømme, tab af fortrolighed for oplysninger, der er omfattet af tavshedspligt, eller andre betydelige økonomiske eller sociale konsekvenser for den berørte fysiske person. […]
[…]
(146) Den dataansvarlige eller databehandleren bør yde erstatning for enhver skade, som en person måtte lide som følge af behandling, der overtræder denne forordning. Den dataansvarlige eller databehandleren bør være fritaget for erstatningsansvar, hvis den pågældende beviser ikke at være ansvarlig for den forvoldte skade. Begrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret. Behandling, der overtræder denne forordning, omfatter også behandling, der overtræder delegerede retsakter og gennemførelsesretsakter vedtaget i henhold til denne forordning og til medlemsstaternes nationale ret, der præciserer bestemmelserne i denne forordning. Registrerede bør have fuld erstatning for den skade, som de har lidt. […]«
4 Databeskyttelsesforordningens artikel 1 med overskriften »Genstand og formål« bestemmer følgende i stk. 1 og 2:
»1. I denne forordning fastsættes regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af personoplysninger.
2. Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«
5 Forordningens artikel 4, nr. 1), med overskriften »Definitioner« har følgende ordlyd:
»I denne forordning forstås ved:
1) »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«) […]«
6 Databeskyttelsesforordningens kapitel VIII med overskriften »Retsmidler, ansvar og sanktioner« omfatter forordningens artikel 77-84.
7 Forordningens artikel 77 vedrører »[retten] til at indgive klage til en tilsynsmyndighed«, mens artikel 78 vedrører »[adgangen] til effektive retsmidler over for en tilsynsmyndighed«.
8 Databeskyttelsesforordningens artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« fastsætter følgende i stk. 1 og 2:
»1. Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.
2. Enhver dataansvarlig, der er involveret i behandling, hæfter for den skade, der er forvoldt af behandling, der overtræder denne forordning. […]«
9 Forordningens artikel 83 med overskriften »Generelle betingelser for pålæggelse af administrative bøder« fastsætter følgende i stk. 1:
»Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.«
10 Forordningens artikel 84 med overskriften »Sanktioner« bestemmer følgende i stk. 1:
»Medlemsstaterne fastsætter regler om andre sanktioner, der skal anvendes i tilfælde af overtrædelser af denne forordning, navnlig overtrædelser, som ikke er underlagt administrative bøder i henhold til artikel 83, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.«
Tvisten i hovedsagen og de præjudicielle spørgsmål
11 Österreichische Post, som er et østrigsk selskab, der sælger adresseoplysninger, har fra 2017 indsamlet oplysninger om den østrigske befolknings politiske tilhørsforhold. Selskabet har ved hjælp af en algoritme, der inddrager forskellige sociale og demografiske kriterier, defineret »målgruppeadresser«. De således genererede data er blevet solgt til forskellige organisationer for at give dem mulighed for at foretage målrettede reklameforsendelser.
12 Österreichische Post behandlede i forbindelse med sin virksomhed oplysninger, hvoraf selskabet ved hjælp af statistisk ekstrapolering udledte, at sagsøgeren i hovedsagen nærede stor sympati for et bestemt østrigsk politisk parti. Disse oplysninger blev ikke videregivet til tredjemand, men sagsøgeren i hovedsagen, som ikke havde givet sit samtykke til behandlingen af sine personoplysninger, følte sig krænket over, at han var blevet tilskrevet sympati for det pågældende parti. Den omstændighed, at oplysninger om hans formodede politiske anskuelser var blevet opbevaret i dette selskab, fik ham til at føle stor ærgrelse, tab af tillid og ydmygelse. Det fremgår af forelæggelsesafgørelsen, at der ikke er fastslået anden skade end disse krænkelser af midlertidig og følelsesmæssig karakter.
13 På denne baggrund anlagde sagsøgeren i hovedsagen et søgsmål ved Landesgericht für Zivilrechtssachen Wien (den regionale domstol i civile sager i Wien, Østrig) med påstand om dels, at Österreichische Post blev pålagt at ophøre med den omhandlede behandling af personoplysninger, dels at selskabet blev tilpligtet at betale ham et beløb på 1 000 EUR i erstatning for den immaterielle skade, som han hævdede at have lidt. Ved afgørelse af 14. juli 2020 gav den regionale domstol sagsøgeren medhold i påstanden om ophør af behandlingen, men forkastede erstatningspåstanden.
14 Ved dom af 9. december 2020 stadfæstede Oberlandesgericht Wien (den øverste regionale domstol i Wien, Østrig) som appelinstans førsteinstansens dom. Den henviste hvad angår erstatningspåstanden til 75., 85. og 146. betragtning til databeskyttelsesforordningen og fastslog, at bestemmelserne i medlemsstaternes nationale ret om civilretligt ansvar supplerer bestemmelserne i forordningen, for så vidt som denne ikke indeholder særregler. Den anførte i denne henseende, at en overtrædelse af reglerne om beskyttelse af personoplysninger i henhold til østrigsk ret ikke automatisk medfører en immateriel skade, og at en overtrædelse kun giver ret til erstatning, hvis en sådan skade når en vis »alvorstærskel«. Dette var imidlertid ikke tilfældet for så vidt angår de negative følelser, som sagsøgeren i hovedsagen havde påberåbt sig.
15 Begge parter i hovedsagen indbragte dommen for Oberster Gerichtshof (øverste domstol, Østrig), der ved mellemdom af 15. april 2021 forkastede den revisionsanke, som Österreichische Post havde iværksat til prøvelse af den undladelsespligt, som selskabet var blevet pålagt. Det udestår derfor alene for den øverste domstol at træffe afgørelse om den revisionsanke, som sagsøgeren i hovedsagen iværksatte til prøvelse af forkastelsen af hans erstatningspåstand.
16 Den forelæggende ret har til støtte for sin anmodning om præjudiciel afgørelse anført, at det af 146. betragtning til databeskyttelsesforordningen fremgår, at der ved denne forordnings artikel 82 er indført en selvstændig erstatningsansvarsordning vedrørende beskyttelse af personoplysninger, som er trådt i stedet for de gældende ordninger i medlemsstaterne. De begreber, der anvendes i artikel 82, navnlig begrebet »skade« i stk. 1, skal derfor fortolkes selvstændigt, og betingelserne for, at der kan ifaldes erstatningsansvar, skal ikke fastsættes på grundlag af reglerne i national ret, men på grundlag af de EU-retlige krav.
17 Hvad nærmere bestemt for det første angår retten til erstatning for en overtrædelse af reglerne om beskyttelse af personoplysninger hælder den forelæggende ret i lyset af sjette punktum i 146. betragtning til databeskyttelsesforordningen til den opfattelse, at erstatning på grundlag af forordningens artikel 82 forudsætter, at den registrerede faktisk har lidt materiel eller immateriel skade. Tildeling af en sådan erstatning er betinget af, at der føres bevis for en konkret skade, som er særskilt i forhold til overtrædelsen, der ikke i sig selv beviser, at der foreligger en immateriel skade. I 75. betragtning til den nævnte forordning henvises der til den blotte mulighed for, at en materiel skade opstår som følge af de overtrædelser, der er nævnt i denne betragtning, og selv om der i 85. betragtning ganske vist nævnes risikoen for »tab af kontrol« over de pågældende oplysninger, er risikoen herfor imidlertid usikker i det foreliggende tilfælde, eftersom oplysningerne ikke er blevet videregivet til en tredjemand.
18 For det andet finder den forelæggende ret hvad angår fastsættelsen af den erstatning, der kan tilkendes i henhold til databeskyttelsesforordningens artikel 82, at det EU-retlige effektivitetsprincip skal have en begrænset indvirkning, eftersom forordningen allerede fastsætter strenge sanktioner i tilfælde af overtrædelse af denne, og det derfor ikke er nødvendigt også at tilkende høje erstatninger for at sikre dens effektive virkning. Ifølge den forelæggende ret skal skadeserstatning for sådanne overtrædelser stå i rimeligt forhold til overtrædelsen, være effektiv og have afskrækkende virkning, således at den tildelte erstatning kan opfylde en kompenserende funktion, men ikke får karakter af straf, som ikke findes i EU-retten.
19 For det tredje har den forelæggende ret rejst tvivl om det synspunkt, som Österreichische Post har fremført, hvorefter tildeling af en sådan erstatning er betinget af, at overtrædelsen af reglerne om beskyttelse af personoplysninger har forvoldt en særlig alvorlig skade. I denne henseende har den fremhævet, at 146. betragtning til databeskyttelsesforordningen understøtter en bred fortolkning af begrebet »skade« som omhandlet i denne forordning. Den er af den opfattelse, at en immateriel skade skal erstattes i henhold til forordningens artikel 82, hvis den er mærkbar, også selv om den er beskeden. En sådan skade skal derimod ikke erstattes, hvis den forekommer fuldstændig ubetydelig, således som det vil være tilfældet med de ubehagelige følelser, der sædvanligvis er forbundet med en sådan overtrædelse.
20 På denne baggrund har Oberster Gerichtshof (øverste domstol) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Er det en forudsætning for at kunne tilkende erstatning i henhold til [databeskyttelsesforordningens] artikel 82 […], at det ud over at det fastslås, at bestemmelser i [denne forordning] er overtrådt, også konstateres, at sagsøgeren har lidt en skade, eller er selve overtrædelsen af bestemmelser i [forordningen] nok til at kunne tilkende en erstatning?
2) Opstiller EU-retten for så vidt angår fastsættelse af erstatningen også andre [krav] end effektivitetsprincippet og ækvivalensprincippet?
3) Er det foreneligt med EU-retten at lægge til grund, at det er en forudsætning for at tilkende erstatning for immateriel skade, at en konsekvens eller følge af overtrædelsen i det mindste har en vis betydning, der går videre end den vrede, som overtrædelsen har udløst?«
Om de præjudicielle spørgsmål
Spørgsmålet om, hvorvidt det første og det andet spørgsmål kan antages til realitetsbehandling
21 Sagsøgeren i hovedsagen har i det væsentlige anført, at det første spørgsmål ikke kan antages til realitetsbehandling, idet det er hypotetisk. Han har indledningsvis gjort gældende, at hans erstatningssøgsmål ikke er støttet på den »blotte« overtrædelse af en bestemmelse i databeskyttelsesforordningen. Dernæst er det nævnt i forelæggelsesafgørelsen, at der er enighed om, at der kun skal ydes erstatning, når en sådan overtrædelse er ledsaget af en faktisk lidt skade. Endelig synes det eneste, som hovedsagens parter ikke er enige om, at være, om skaden skal overskride en vis »alvorstærskel«. Hvis Domstolen besvarer det tredje spørgsmål, der er forelagt herom, benægtende – således som sagsøgeren i hovedsagen selv har foreslået – vil det første spørgsmål imidlertid være uden relevans for afgørelsen af denne tvist.
22 Sagsøgeren i hovedsagen har ligeledes anført, at det andet spørgsmål ikke kan antages til realitetsbehandling, idet det på én gang er indholdsmæssigt meget bredt og for upræcist formuleret, eftersom den forelæggende ret henviser til »[EU-retlige krav]« uden konkret at angive et af disse.
23 I denne henseende bemærkes, at det følger af fast retspraksis, at det udelukkende tilkommer den nationale ret, for hvilken en tvist er indbragt, og som har ansvaret for den retlige afgørelse, som skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere, såvel om en præjudiciel afgørelse er nødvendig for, at den kan afsige dom, som relevansen af de spørgsmål, den forelægger Domstolen, hvilke spørgsmål er omfattet af en formodning for at være relevante. Når de forelagte spørgsmål vedrører fortolkningen eller gyldigheden af en EU-retlig regel, er Domstolen derfor principielt forpligtet til at træffe afgørelse, medmindre det klart fremgår, at den ønskede fortolkning savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, såfremt problemet er af hypotetisk karakter, eller såfremt Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en hensigtsmæssig besvarelse af disse spørgsmål (jf. i denne retning dom af 15.12.1995, Bosman, C-415/93, EU:C:1995:463, præmis 61, af 7.9.1999, Beck og Bergdorf, C-355/97, EU:C:1999:391, præmis 22, og af 5.5.2022, Zagrebačka banka, C-567/20, EU:C:2022:352, præmis 43 og den deri nævnte retspraksis).
24 I den foreliggende sag vedrører det første spørgsmål de betingelser, der skal være opfyldt, for at retten til erstatning som fastsat i databeskyttelsesforordningens artikel 82 kan udøves. Desuden fremgår det ikke klart, at den ønskede fortolkning er uden forbindelse med tvisten i hovedsagen, eller at den rejste problemstilling er af hypotetisk karakter. For det første vedrører denne tvist nemlig et krav om erstatning, som er omfattet af den ordning for beskyttelse af personoplysninger, der er indført ved databeskyttelsesforordningen. For det andet søges det med dette spørgsmål afgjort, om det med henblik på anvendelsen af de erstatningsansvarsregler, der er fastsat i denne forordning, er nødvendigt, at den registrerede har lidt en skade, der adskiller sig fra overtrædelsen af forordningen.
25 Med hensyn til det andet spørgsmål er det allerede blevet fastslået, at den omstændighed alene, at Domstolen udtaler sig i abstrakte og almengyldige vendinger, ikke kan indebære, at anmodningen om en præjudiciel afgørelse ikke kan antages til behandling (dom af 15.11.2007, International Mail Spain, C-162/06, EU:C:2007:681, præmis 24). Et spørgsmål, der er formuleret i sådanne vendinger, kan anses for at være hypotetisk og dermed uantageligt til realitetsbehandling, hvis forelæggelsesafgørelsen ikke indeholder et minimum af forklaring, der gør det muligt at fastslå, at der består en forbindelse mellem det nævnte spørgsmål og tvisten i hovedsagen (jf. i denne retning dom af 8.7.2021, Sanresa, C-295/20, EU:C:2021:556, præmis 69 og 70).
26 Dette er imidlertid ikke tilfældet i den foreliggende sag, eftersom den forelæggende ret har forklaret, at dens andet spørgsmål er begrundet i en tvivl om, hvorvidt det i forbindelse med fastsættelsen af den erstatning, som Österreichische Post eventuelt skal betale som følge af en overtrædelse af bestemmelser i databeskyttelsesforordningen, er nødvendigt at sikre, at ikke alene ækvivalensprincippet og effektivitetsprincippet, som er nævnt i dette spørgsmål, men også eventuelle andre EU-retlige krav er overholdt. I denne sammenhæng betyder fraværet af mere præcise oplysninger end dem, som den forelæggende ret har anført vedrørende disse principper, ikke, at Domstolen ikke er i stand til give en hensigtsmæssig fortolkning af de relevante EU-retlige regler.
27 Det første og det andet spørgsmål kan derfor antages til realitetsbehandling.
Realiteten
Det første spørgsmål
28 Den forelæggende ret ønsker med sit første spørgsmål nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at den blotte overtrædelse af denne forordnings bestemmelser er tilstrækkelig til at give ret til erstatning.
29 I denne henseende bemærkes, at ifølge fast retspraksis skal ordlyden af en bestemmelse i EU-retten, som ikke indeholder nogen udtrykkelig henvisning til medlemsstaternes ret med henblik på at fastlægge dens betydning og rækkevidde, normalt undergives en selvstændig og ensartet fortolkning i hele Unionen (dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) C-439/19, EU:C:2021:504, præmis 81, og af 10.2.2022, ShareWood Switzerland C-595/20, EU:C:2022:86, præmis 21), som skal søges under hensyntagen til bl.a. den omhandlede bestemmelses ordlyd og den sammenhæng, hvori den indgår (jf. i denne retning dom af 15.4.2021, The North of England P & I Association, C-786/19, EU:C:2021:276, præmis 48, og af 10.6.2021, KRONE – Verlag, C-65/20, EU:C:2021:471, præmis 25).
30 I databeskyttelsesforordningen henvises der ikke til medlemsstaternes ret for så vidt angår betydningen og rækkevidden af udtrykkene i forordningens artikel 82, særligt begreberne »materiel eller immateriel skade« og »erstatning for den forvoldte skade«. Det følger heraf, at disse udtryk ved anvendelsen af denne forordning skal anses for at være selvstændige EU-retlige begreber, der skal fortolkes ensartet i alle medlemsstaterne.
31 For det første bemærkes hvad angår ordlyden af databeskyttelsesforordningens artikel 82, at denne artikels stk. 1 bestemmer, at »[e]nhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren«.
32 I første række fremgår det klart af denne bestemmelses ordlyd, at en af betingelserne for ret til erstatning som fastsat i denne bestemmelse er, at der foreligger »skade«, eller at der er »forvold[t] skade«, ligesom databeskyttelsesforordningen skal være overtrådt, og der skal være en årsagsforbindelse mellem skaden og overtrædelsen, idet disse tre betingelser er kumulative.
33 Det kan derfor ikke lægges til grund, at enhver »overtrædelse« af databeskyttelsesforordningens bestemmelser i sig selv giver den registrerede, som defineret i forordningens artikel 4, nr. 1), den nævnte ret til erstatning. En sådan fortolkning ville være i strid med ordlyden af forordningens artikel 82, stk. 1.
34 I anden række skal det fremhæves, at det ville være overflødigt særskilt at nævne »skade« og »overtrædelse« i databeskyttelsesforordningens artikel 82, stk. 1, hvis EU-lovgiver havde ment, at en overtrædelse af denne forordnings bestemmelser i sig selv og under alle omstændigheder skulle være tilstrækkelig til at begrunde en ret til erstatning.
35 For det andet bekræftes ovenstående ordlydsfortolkning af den sammenhæng, hvori denne bestemmelse indgår.
36 Databeskyttelsesforordningens artikel 82, stk. 2, som præciserer den ansvarsordning, hvis hovedregel er fastsat i denne artikels stk. 1, gengiver således de tre betingelser, der skal være opfyldt for, at der kan opstå ret til erstatning, nemlig at en behandling af personoplysninger overtræder databeskyttelsesforordningens bestemmelser, at den registrerede har lidt skade, og at der er en årsagsforbindelse mellem den ulovlige behandling og skaden.
37 Desuden bestyrker præciseringerne i 75., 85. og 146. betragtning til databeskyttelsesforordningen denne fortolkning. Dels henvises der i 146. betragtning, der specifikt vedrører retten til erstatning som fastsat i forordningens artikel 82, stk. 1, i første punktum til »skade, som en person måtte lide som følge af behandling, der overtræder denne forordning«. Dels nævnes i 75. og 85. betragtning henholdsvis, at »[risici] […] kan opstå som følge af behandling af personoplysninger, der kan føre til […] skade«, og at et »brud på persondatasikkerheden kan […] påføre […] skade«. Heraf fremgår det for det første, at skade i forbindelse med en sådan behandling kun er potentiel, for det andet, at en overtrædelse af databeskyttelsesforordningen ikke nødvendigvis medfører skade, og for det tredje, at der skal være en årsagsforbindelse mellem den pågældende overtrædelse og den skade, som den registrerede har lidt, for at der kan opstå ret til erstatning.
38 Ordlydsfortolkningen af databeskyttelsesforordningens artikel 82, stk. 1, bekræftes ligeledes af en sammenligning med andre bestemmelser, der også findes i denne forordnings kapitel VIII, som bl.a. regulerer de forskellige retsmidler til beskyttelse af den registreredes rettigheder i tilfælde af behandling af vedkommendes personoplysninger, som angiveligt er i strid med forordningens bestemmelser.
39 I denne henseende bemærkes, at databeskyttelsesforordningens artikel 77 og 78, der er indeholdt i det nævnte kapitel, fastsætter retsmidler ved eller over for en tilsynsmyndighed i tilfælde af en hævdet overtrædelse af denne forordning, uden at det heri er nævnt, at den registrerede skal have lidt »skade« for at kunne iværksætte sådanne retsmidler, i modsætning til den ordlyd, der er anvendt i artikel 82 for så vidt angår erstatningssager. Denne forskel i formuleringen viser betydningen af kriteriet om »skade« og dermed dets selvstændige karakter i forhold til kriteriet om »overtrædelse« i forbindelse med erstatningskrav på grundlag af databeskyttelsesforordningen.
40 På samme måde har databeskyttelsesforordningens artikel 83 og 84, der giver mulighed for at pålægge administrative bøder og andre sanktioner, i det væsentlige et strafformål og er ikke betinget af, at der foreligger en individuel skade. Forholdet mellem reglerne i artikel 82 og i artikel 83 og 84 viser, at disse to kategorier af bestemmelser er forskellige, men også komplementære med hensyn til tilskyndelse til at overholde databeskyttelsesforordningen, idet det bemærkes, at retten for enhver til at kræve erstatning for en skade styrker den operationelle karakter af de beskyttelsesregler, der er fastsat ved denne forordning, og kan virke afskrækkende på gentagelse af ulovlig adfærd.
41 Endelig skal det præciseres, at det i fjerde punktum i 146. betragtning til databeskyttelsesforordningen er anført, at de regler, der er fastsat i denne forordning, ikke berører eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret.
42 Henset til samtlige ovenstående betragtninger skal det første spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at den blotte overtrædelse af denne forordnings bestemmelser ikke er tilstrækkelig til at give ret til erstatning.
Det tredje spørgsmål
43 Den forelæggende ret ønsker med sit tredje spørgsmål, der skal behandles før det andet spørgsmål, nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for en national regel eller praksis, hvorefter erstatning for en immateriel skade som omhandlet i den nævnte bestemmelse er betinget af, at den skade, som den registrerede har lidt, har en vis alvorsgrad.
44 I denne henseende bemærkes, således som det er blevet fremhævet i denne doms præmis 30, at begrebet »skade«, og i det foreliggende tilfælde nærmere bestemt begrebet »immateriel skade« som omhandlet i databeskyttelsesforordningens artikel 82, henset til, at der ikke er nogen henvisning til medlemsstaternes nationale ret, skal undergives en selvstændig og ensartet fortolkning, der er særlig for EU-retten.
45 For det første definerer databeskyttelsesforordningen ikke begrebet »skade« med henblik på anvendelsen af dette instrument. I forordningens artikel 82 er det blot udtrykkeligt fastsat, at ikke alene en »materiel skade«, men også en »immateriel skade« kan give ret til erstatning, uden at nogen alvorstærskel er nævnt.
46 For det andet tyder den sammenhæng, hvori denne bestemmelse indgår, ligeledes på, at retten til erstatning ikke er betinget af, at den pågældende skade når en vis alvorstærskel. I 146. betragtning til databeskyttelsesforordningen er det nemlig i tredje punktum anført, at »[b]egrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning«. Det ville imidlertid være i strid med denne brede fortolkning af begrebet »skade«, som EU-lovgiver har foretrukket, hvis dette begreb var begrænset til alene at omfatte skader af en vis alvor.
47 For det tredje og sidste bekræftes en sådan fortolkning af de formål, der forfølges med databeskyttelsesforordningen. I denne henseende bemærkes, at der i tredje punktum i 146. betragtning til denne forordning udtrykkeligt opfordres til, at begrebet »skade« som omhandlet i forordningen fortolkes således, at det »fuldt ud afspejler formålene for denne forordning«.
48 Det fremgår navnlig af tiende betragtning til databeskyttelsesforordningen, at bestemmelserne heri bl.a. har til formål at sikre et ensartet og højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionen og med henblik herpå at sikre en konsekvent og ensartet anvendelse af reglerne for beskyttelse af disse personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger overalt i Unionen (jf. i denne retning dom af 16.7.2020, Facebook Ireland og Schrems, C-311/18, EU:C:2020:559, præmis 101, og af 12.1.2023, Österreichische Post (Oplysninger om modtagere af personoplysninger), C-154/21, EU:C:2023:3, præmis 44 og den deri nævnte retspraksis).
49 Såfremt erstatning for immateriel skade var betinget af, at en vis alvorstærskel var nået, ville det risikere at skade sammenhængen i den ordning, der er indført ved databeskyttelsesforordningen, eftersom gradueringen af en sådan tærskel, som muligheden for at opnå en sådan erstatning ville afhænge af, ville kunne variere afhængigt af de påkendende retters bedømmelse.
50 Det forholder sig ikke desto mindre således, at den hermed anlagte fortolkning ikke kan forstås således, at den indebærer, at en registreret person, der er berørt af en overtrædelse af databeskyttelsesforordningen, som har haft skadevirkninger for den pågældende, ikke skal godtgøre, at disse virkninger udgør en immateriel skade som omhandlet i forordningens artikel 82.
51 Henset til ovenstående betragtninger skal det tredje spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for en national regel eller praksis, hvorefter erstatning for en immateriel skade som omhandlet i den nævnte bestemmelse er betinget af, at den skade, som den registrerede har lidt, har en vis alvorsgrad.
Det andet spørgsmål
52 Den forelæggende ret ønsker med sit andet spørgsmål nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82 skal fortolkes således, at de nationale retter ved fastsættelsen af størrelsen af den erstatning, der skal betales som følge af den ret til erstatning, der er fastsat i denne artikel, skal anvende den enkelte medlemsstats nationale regler vedrørende den økonomiske erstatnings omfang under overholdelse af ikke alene de EU-retlige principper om ækvivalens og effektivitet.
53 I denne henseende bemærkes, at det fremgår af fast retspraksis, at det i mangel af EU-retlige bestemmelser på området i medfør af princippet om procesautonomi tilkommer hver enkelt medlemsstat i sin interne retsorden at regulere de processuelle aspekter vedrørende sagsanlæg til sikring af beskyttelsen af borgernes rettigheder, dog på den betingelse, at de pågældende regler ikke i situationer, der hører under EU-retten, er mindre gunstige end dem, som regulerer tilsvarende situationer, der er underlagt national ret (ækvivalensprincippet), og at de i praksis ikke umuliggør eller uforholdsmæssigt vanskeliggør udøvelsen af rettigheder, der er tillagt ved EU-retten (effektivitetsprincippet) (jf. i denne retning dom af 13.12.2017, El Hassani, C-403/16, EU:C:2017:960, præmis 26, og af 15.9.2022, Uniqa Versicherungen, C-18/21, EU:C:2022:682, præmis 36).
54 I det foreliggende tilfælde bemærkes, at databeskyttelsesforordningen ikke indeholder bestemmelser, der har til formål at fastlægge reglerne om fastsættelse af den erstatning, som en registreret, jf. denne forordnings artikel 4, nr. 1), kan kræve i henhold til forordningens artikel 82, når en overtrædelse af denne forordning har forvoldt vedkommende skade. Når der ikke findes EU-retlige regler på området, tilkommer det følgelig hver enkelt medlemsstat i sin retsorden at fastsætte reglerne for sager til sikring af beskyttelsen af borgernes rettigheder i henhold til artikel 82, og navnlig at fastsætte de kriterier, der giver mulighed for at bestemme omfanget af den erstatning, der skal betales i denne forbindelse, idet de nævnte principper om ækvivalens og effektivitet skal overholdes (jf. analogt dom af 13.7.2006, Manfredi m.fl., C-295/04 – C-298/04, EU:C:2006:461, præmis 92 og 98).
55 Hvad angår ækvivalensprincippet råder Domstolen i denne sag ikke over oplysninger, der kan rejse tvivl om foreneligheden af national lovgivning, som måtte finde anvendelse på tvisten i hovedsagen, med dette princip, og som derfor kan indikere, at det kan have en konkret betydning i forbindelse med denne tvist.
56 Hvad angår effektivitetsprincippet tilkommer det den forelæggende ret at afgøre, om de regler, der er fastsat i østrigsk ret for domstolenes fastsættelse af den erstatning, der skal betales i henhold til den ret til erstatning, der er fastsat i databeskyttelsesforordningens artikel 82, i praksis gør det umuligt eller uforholdsmæssigt vanskeligt at udøve de rettigheder, der er tillagt ved EU-retten og nærmere bestemt ved denne forordning.
57 Det skal i denne forbindelse fremhæves, at det i sjette punktum i 146. betragtning til databeskyttelsesforordningen er anført, at dette instrument har til formål at sikre de registrerede »fuld erstatning for den skade, som de har lidt«.
58 I denne henseende skal en økonomisk erstatning på grundlag af denne bestemmelse, henset til den kompenserende funktion af den ret til erstatning, som er fastsat i databeskyttelsesforordningens artikel 82, således som generaladvokaten i det væsentlige har fremhævet i punkt 39, 49 og 52 i forslaget til afgørelse, anses for at være »fuld«, hvis den fuldstændigt kompenserer den skade, der er lidt på grund af overtrædelsen af denne forordning, uden at det med henblik på en sådan ydelse af fuldstændig kompensation er nødvendigt at pålægge betaling af erstatning med karakter af straf.
59 Henset til samtlige ovenstående betragtninger skal det andet spørgsmål besvares med, at databeskyttelsesforordningens artikel 82 skal fortolkes således, at de nationale retter ved fastsættelsen af størrelsen af den erstatning, der skal betales som følge af den ret til erstatning, der er fastsat i denne artikel, skal anvende den enkelte medlemsstats nationale regler vedrørende den økonomiske erstatnings omfang, for så vidt som de EU-retlige principper om ækvivalens og effektivitet er overholdt.
Sagsomkostninger
60 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
1) Artikel 82, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
den blotte overtrædelse af denne forordnings bestemmelser ikke er tilstrækkelig til at give ret til erstatning.
2) Artikel 82, stk. 1, i forordning 2016/679
skal fortolkes således, at
denne bestemmelse er til hinder for en national regel eller praksis, hvorefter erstatning for en immateriel skade som omhandlet i den nævnte bestemmelse er betinget af, at den skade, som den registrerede har lidt, har en vis alvorsgrad.
3) Artikel 82 i forordning 2016/679
skal fortolkes således, at
de nationale retter ved fastsættelsen af størrelsen af den erstatning, der skal betales som følge af den ret til erstatning, der er fastsat i denne artikel, skal anvende den enkelte medlemsstats nationale regler vedrørende den økonomiske erstatnings omfang, for så vidt som de EU-retlige principper om ækvivalens og effektivitet er overholdt.
Underskrifter