HOTĂRÂREA CURȚII (Camera a treia)
4 mai 2023(*)
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 82 alineatul (1) – Dreptul la despăgubiri pentru prejudiciul cauzat de prelucrarea datelor efectuată cu încălcarea acestui regulament – Condiții ale dreptului la despăgubiri – Insuficiența unei simple încălcări a regulamentului menționat – Necesitatea unui prejudiciu cauzat de respectiva încălcare – Despăgubiri pentru prejudiciul moral rezultat dintr‑o asemenea prelucrare – Incompatibilitatea unei norme naționale care condiționează despăgubirile pentru un astfel de prejudiciu de depășirea unui prag de gravitate – Norme de stabilire a daunelor interese de către instanțele naționale”
În cauza C‑300/21,
având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Oberster Gerichtshof (Curtea Supremă, Austria), prin decizia din 15 aprilie 2021, primită de Curte la 12 mai 2021, în procedura
UI
împotriva
Österreichische Post AG,
CURTEA (Camera a treia),
compusă din doamna K. Jürimäe, președintă de cameră, și domnii M. Safjan, N. Piçarra, N. Jääskinen (raportor) și M. Gavalec, judecători,
avocat general: domnul M. Campos Sánchez‑Bordona,
grefier: domnul A. Calot Escobar,
având în vedere procedura scrisă,
luând în considerare observațiile prezentate:
– pentru UI, de el însuși, în calitate de Rechtsanwalt;
– pentru Österreichische Post AG, de R. Marko, Rechtsanwalt;
– pentru guvernul austriac, de A. Posch, J. Schmoll și G. Kunnert, în calitate de agenți;
– pentru guvernul ceh, de O. Serdula, M. Smolek și J. Vláčil, în calitate de agenți;
– pentru Irlanda, de M. Browne, A. Joyce, M. Lane și M. Tierney, în calitate de agenți, asistați de D. Fennelly, BL;
– pentru Comisia Europeană, de A. Bouchagiar, M. Heller și H. Kranenborg, în calitate de agenți,
după ascultarea concluziilor avocatului general în ședința din 6 octombrie 2022,
pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 82 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1) (denumit în continuare „RGPD”), coroborat cu principiile echivalenței și eficacității.
2 Această cerere a fost formulată în cadrul unui litigiu între UI, pe de o parte, și Österreichische Post AG, pe de altă parte, în legătură cu acțiunea introdusă de UI având ca obiect obținerea de despăgubiri pentru prejudiciul moral pe care afirmă că l‑a suferit ca urmare a prelucrării de către societatea menționată a datelor referitoare la afinitățile politice ale persoanelor cu reședința în Austria, în special el însuși, deși nu consimțise la o astfel de prelucrare.
Cadrul juridic
3 Considerentele (10), (75), (85) și (146) ale RGPD au următorul cuprins:
„(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. […]
[…]
(75) Riscul pentru drepturile și libertățile persoanelor fizice, prezentând grade diferite de probabilitate de materializare și de gravitate, poate fi rezultatul unei prelucrări a datelor cu caracter personal care ar putea genera prejudicii de natură fizică, materială sau morală, în special în cazurile în care: prelucrarea poate conduce la discriminare, furt sau fraudă a identității, pierdere financiară, compromiterea reputației, pierderea confidențialității datelor cu caracter personal protejate prin secret profesional, inversarea neautorizată a pseudonimizării sau la orice alt dezavantaj semnificativ de natură economică sau socială; persoanele vizate ar putea fi private de drepturile și libertățile lor sau împiedicate să‑și exercite controlul asupra datelor lor cu caracter personal; datele cu caracter personal prelucrate sunt date care dezvăluie originea rasială sau etnică, opiniile politice, […]
[…]
(85) Dacă nu este soluționată la timp și într‑un mod adecvat, o încălcare a securității datelor cu caracter personal poate conduce la prejudicii fizice, materiale sau morale aduse persoanelor fizice, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau limitarea drepturilor lor, discriminare, furt sau fraudă de identitate, pierdere financiară, inversarea neautorizată a pseudonimizării, compromiterea reputației, pierderea confidențialității datelor cu caracter personal protejate prin secret profesional sau orice alt dezavantaj semnificativ de natură economică sau socială adus persoanei fizice în cauză. […]
[…]
(146) Operatorul sau persoana împuternicită de operator ar trebui să plătească despăgubiri pentru orice prejudiciu pe care o persoană îl poate suferi ca urmare a unei prelucrări care încalcă prezentul regulament. Operatorul sau persoana împuternicită de operator ar trebui să fie exonerați de răspundere dacă dovedesc că nu sunt în niciun fel răspunzători pentru prejudiciu. Conceptul de prejudiciu ar trebui interpretat în sens larg, din perspectiva jurisprudenței Curții de Justiție, într‑un mod care să reflecte pe deplin obiectivele prezentului regulament. Această dispoziție nu aduce atingere niciunei cereri de despăgubire care rezultă din încălcarea altor norme din dreptul Uniunii sau din dreptul intern. O prelucrare care încalcă prezentul regulament include și prelucrarea care încalcă actele delegate și de punere în aplicare adoptate în conformitate cu prezentul regulament și cu dreptul intern care specifică norme din prezentul regulament. Persoanele vizate ar trebui să primească despăgubiri integrale și eficace pentru prejudiciul pe care le‑au suferit. […]”
4 Articolul 1 din RGPD, intitulat „Obiect și obiective”, prevede la alineatele (1) și (2):
„(1) Prezentul regulament stabilește normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și normele referitoare la libera circulație a datelor cu caracter personal.
(2) Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal.”
5 În conformitate cu articolul 4 punctul 1 din acest regulament, intitulat „Definiții”:
„În sensul prezentului regulament:
1. «date cu caracter personal» înseamnă orice informații privind o persoană fizică identificată sau identificabilă («persoana vizată»); […]”
6 Capitolul VIII din RGPD, intitulat „Căi de atac, răspundere și sancțiuni”, cuprinde articolele 77-84 din acest regulament.
7 Articolul 77 din regulamentul menționat se referă la „[d]reptul de a depune o plângere la o autoritate de supraveghere”, în timp ce articolul 78 se referă la „[d]reptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”.
8 Articolul 82 din RGPD, intitulat „Dreptul la despăgubiri și răspunderea”, prevede la alineatele (1) și (2):
„(1) Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit.
(2) Orice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă prezentul regulament. […]”
9 Articolul 83 din acest regulament, intitulat „Condiții generale pentru impunerea amenzilor administrative”, prevede la alineatul (1):
„Fiecare autoritate de supraveghere asigură faptul că impunerea unor amenzi administrative în conformitate cu prezentul articol pentru încălcările prezentului regulament menționate la alineatele (4), (5) și, (6) este, în fiecare caz, eficace, proporțională și disuasivă.”
10 Articolul 84 din acest regulament, intitulat „Sancțiuni”, prevede la alineatul (1):
„Statele membre stabilesc normele privind alte sancțiunile aplicabile în caz de încălcare a prezentului regulament, în special pentru încălcări care nu fac obiectul unor amenzi administrative în temeiul articolului 83, și iau toate măsurile necesare pentru a garanta faptul că acestea sunt puse în aplicare. Sancțiunile respective sunt eficace, proporționale și disuasive.”
Litigiul principal și întrebările preliminare
11 Începând cu anul 2017, Österreichische Post, societate de drept austriac care efectuează comercializarea de adrese, a colectat informații cu privire la afinitățile politice ale populației austriece. Cu ajutorul unui algoritm care ține seama de diverse criterii sociale și demografice, aceasta a definit „adresele grupurilor‑țintă”. Datele astfel generate au fost vândute către diferite organizații, pentru a le permite să efectueze expedieri țintite de publicitate.
12 În cadrul activității sale, Österreichische Post a prelucrat date care, prin extrapolare statistică, au determinat‑o să deducă o afinitate ridicată a reclamantului din litigiul principal cu un anumit partid politic austriac. Aceste elemente nu au fost transmise unor terți, ci reclamantului din litigiul principal, care nu consimțise la prelucrarea datelor sale cu caracter personal și s‑a simțit ofensat de faptul că i‑a fost atribuită o afinitate cu partidul în discuție. Faptul că au fost păstrate în cadrul acestei societăți date referitoare la presupusele sale opinii politice i‑ar fi suscitat o contrarietate profundă, o pierdere a încrederii, precum și un sentiment de umilire. Din decizia de trimitere reiese că nu a fost constatat niciun alt prejudiciu decât aceste atingeri cu caracter temporar și de ordin emoțional.
13 În acest context, reclamantul din litigiul principal a formulat la Landesgericht für Zivilrechtssachen Wien (Tribunalul Regional pentru Litigii Civile din Viena, Austria) o acțiune având ca obiect, pe de o parte, obligarea Österreichische Post la încetarea prelucrării datelor cu caracter personal în discuție și, pe de altă parte, la obligarea acestei societăți la plata sumei de 1 000 de euro cu titlu de despăgubiri pentru prejudiciul moral pe care afirmă că l‑a suferit. Prin decizia din 14 iulie 2020, această instanță a admis cererea de încetare, dar a respins cererea de despăgubire.
14 Sesizat în apel, Oberlandesgericht Wien (Tribunalul Regional Superior din Viena, Austria) a confirmat, prin hotărârea din 9 decembrie 2020, hotărârea pronunțată în primă instanță. În ceea ce privește cererea de despăgubire, această instanță s‑a referit la considerentele (75), (85) și (146) ale RGPD și a apreciat că dispozițiile de drept intern ale statelor membre în materie de răspundere civilă completează dispozițiile acestui regulament, în măsura în care acesta nu conține norme speciale. În această privință, ea a arătat că, în temeiul dreptului austriac, o încălcare a normelor de protecție a datelor cu caracter personal nu ar determina în mod automat un prejudiciu moral și ar da dreptul la despăgubiri numai atunci când un astfel de prejudiciu atinge un anumit „prag de gravitate”. Or, nu aceasta ar fi situația în ceea ce privește sentimentele negative pe care reclamantul din acțiunea principală le invocase.
15 Sesizată de cele două părți din litigiul principal, Oberster Gerichtshof (Curtea Supremă, Austria), prin hotărârea interlocutorie din 15 aprilie 2021, nu a admis recursul formulat de Österreichische Post împotriva obligației de încetare care îi fusese impusă. Prin urmare, această instanță rămâne sesizată numai cu recursul formulat de reclamantul din litigiul principal împotriva respingerii cererii sale de despăgubire.
16 În susținerea cererii sale de decizie preliminară, instanța de trimitere arată că din considerentul (146) al RGPD reiese că articolul 82 din acest regulament a instituit un regim propriu de răspundere în materie de protecție a datelor cu caracter personal, care a înlocuit regimurile în vigoare în statele membre. În consecință, noțiunile care figurează la acest articolul 82, în special noțiunea de „prejudiciu” prevăzută la alineatul (1) al său, ar trebui interpretate în mod autonom, iar condițiile de angajare a răspunderii menționate nu ar trebui definite în raport cu normele de drept național, ci cu cerințele dreptului Uniunii.
17 Mai precis, în primul rând, în ceea ce privește dreptul la despăgubiri pentru o încălcare a protecției datelor cu caracter personal, această instanță tinde să considere, în lumina celei de a șasea teze a considerentului (146) al RGPD, că o despăgubire întemeiată pe articolul 82 din acest regulament presupune ca persoana vizată să fi suferit în mod real un prejudiciu material sau moral. Acordarea unei astfel de despăgubire ar fi condiționată de dovada unui prejudiciu concret distinct de încălcarea menționată, care nu ar demonstra în sine existența unui prejudiciu moral. Considerentul (75) al regulamentului menționat ar evoca simpla eventualitate ca un prejudiciu moral să rezulte din încălcările enumerate în acesta și, deși considerentul (85) al acestuia menționează, desigur, riscul unei „[pierderi a] controlului” asupra datelor afectate, acest risc ar fi totuși incert în speță, întrucât acestea nu ar fi fost transmise unui terț.
18 În al doilea rând, în ceea ce privește evaluarea despăgubirii care poate fi acordată în temeiul articolului 82 din RGPD, instanța menționată apreciază că principiul efectivității dreptului Uniunii trebuie să aibă o incidență limitată, pentru motivul că acest regulament prevede deja sancțiuni severe în cazul încălcării sale și că, prin urmare, nu este necesar să se acorde în plus daune interese ridicate pentru a garanta efectul său util. În opinia sa, despăgubirea prejudiciului datorată în acest temei trebuie să fie proporțională, efectivă și disuasivă, pentru ca daunele interese acordate să poată îndeplini o funcție compensatorie, dar nu trebuie să aibă un caracter punitiv, care ar fi străin dreptului Uniunii.
19 În al treilea rând, instanța de trimitere pune la îndoială teza, susținută de Österreichische Post, potrivit căreia acordarea unei astfel de despăgubiri ar fi subordonată condiției ca încălcarea protecției datelor cu caracter personal să fi cauzat un prejudiciu deosebit de grav. În această privință, ea subliniază că considerentul (146) al RGPD preconizează o interpretare largă a noțiunii de „prejudiciu”, în sensul acestui regulament. Aceasta apreciază că un prejudiciu moral trebuie despăgubit, în temeiul articolului 82 din acesta, dacă este tangibil, chiar dacă ar fi redus. În schimb, un astfel de prejudiciu nu ar trebui despăgubit dacă este total neglijabil, cum ar fi cazul în prezența unor simple sentimente neplăcute care însoțesc în mod obișnuit o astfel de încălcare.
20 În aceste condiții, Oberster Gerichtshof (Curtea Supremă) a decis să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1) Acordarea de despăgubiri în temeiul articolului 82 din RGPD impune, pe lângă încălcarea dispozițiilor RGPD, de asemenea ca reclamantul să fi suferit un prejudiciu sau pentru acordarea despăgubirii este suficientă încălcarea dispozițiilor RGPD ca atare?
2) Pe lângă principiile efectivității și echivalenței, pentru stabilirea cuantumului despăgubirii există și alte dispoziții ale dreptului Uniunii?
3) Este compatibilă cu dreptul Uniunii opinia potrivit căreia recunoașterea unui prejudiciu moral este condiționată de existența unei consecințe sau a unei urmări a încălcării unui drept care are cel puțin o anumită pondere ce depășește neplăcerile cauzate de încălcare?”
Cu privire la întrebările preliminare
Cu privire la admisibilitatea primei și a celei de a doua întrebări
21 Reclamantul din litigiul principal susține în esență că prima întrebare adresată este inadmisibilă, pentru motivul că este ipotetică. Acesta arată, mai întâi, că acțiunea sa în despăgubire nu se întemeiază pe o „simplă” încălcare a unei dispoziții din RGPD. În continuare, decizia de trimitere ar evoca existența unui consens cu privire la faptul că o despăgubire nu este datorată decât în cazul în care o astfel de încălcare este însoțită de un prejudiciu efectiv suferit. În sfârșit, în opinia sa, singurul aspect care face obiectul controversei între părțile din litigiul principal este cel dacă trebuie ca prejudiciul să depășească un anumit „prag de gravitate”. Or, în cazul în care Curtea ar răspunde negativ la a treia întrebare adresată cu privire la acest subiect – astfel cum propune ea însăși –, prima întrebare ar fi atunci lipsită de utilitate pentru soluționarea litigiului menționat.
22 Reclamantul din litigiul principal pretinde de asemenea că a doua întrebare adresată este inadmisibilă, pentru motivul că aceasta este în același timp foarte amplă în ceea ce privește conținutul său și prea imprecisă în ceea ce privește formularea sa, dat fiind că instanța de trimitere vizează „cerințe ale dreptului Uniunii”, fără a indica în mod concret una dintre ele.
23 În această privință, trebuie amintit că, potrivit unei jurisprudențe constante a Curții, numai instanța națională, care este sesizată cu soluționarea litigiului și care trebuie să își asume răspunderea pentru hotărârea judecătorească ce urmează a fi pronunțată, are competența să aprecieze, luând în considerare particularitățile cauzei, atât necesitatea unei decizii preliminare pentru a fi în măsură să pronunțe propria hotărâre, cât și pertinența întrebărilor pe care le adresează Curții, care beneficiază de o prezumție de pertinență. În consecință, în cazul în care întrebarea adresată privește interpretarea sau validitatea unei norme de drept al Uniunii, Curtea este, în principiu, obligată să se pronunțe, cu excepția cazului în care este evident că interpretarea solicitată nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică sau atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util întrebării respective (a se vedea în acest sens Hotărârea din 15 decembrie 1995, Bosman, C‑415/93, EU:C:1995:463, punctul 61; Hotărârea din 7 septembrie 1999, Beck și Bergdorf, C‑355/97, EU:C:1999:391, punctul 22, precum și Hotărârea din 5 mai 2022, Zagrebačka banka, C‑567/20, EU:C:2022:352, punctul 43 și jurisprudența citată).
24 În prezenta procedură, prima întrebare se referă la condițiile necesare pentru exercitarea dreptului la despăgubiri prevăzut la articolul 82 din RGPD. În plus, nu este evident că interpretarea solicitată nu are legătură cu litigiul principal sau că problema ridicată prezintă un caracter ipotetic. Astfel, pe de o parte, acest litigiu are legătură cu o cerere de despăgubire care intră sub incidența regimului de protecție a datelor cu caracter personal instituit prin RGPD. Pe de altă parte, prin această întrebare se urmărește să se stabilească dacă, în scopul aplicării normelor privind răspunderea prevăzute de acest regulament, este necesar ca persoana în cauză să fi suferit un prejudiciu care să se distingă de încălcarea acestuia.
25 În ceea ce privește a doua întrebare, s‑a statuat deja că simplul fapt că Curtea este chemată să se pronunțe în temeni abstracți și generali nu poate avea ca efect să determine inadmisibilitatea unei cereri de decizie preliminară (Hotărârea din 15 noiembrie 2007, International Mail Spain, C‑162/06, EU:C:2007:681, punctul 24). O întrebare formulată în astfel de termeni poate fi considerată ipotetică și, prin urmare, inadmisibilă, dacă decizia de trimitere nu conține un minim de explicații care să permită stabilirea unei legături între această întrebare și litigiul principal (a se vedea în acest sens Hotărârea din 8 iulie 2021, Sanresa, C‑295/20, EU:C:2021:556, punctele 69 și 70).
26 Or, această situație nu se regăsește în speță, întrucât instanța de trimitere explică faptul că a doua întrebare se întemeiază pe o îndoială cu privire la aspectul dacă, în cadrul evaluării daunelor interese posibil datorate de Österreichische Post ca urmare a unei încălcări a dispozițiilor RGPD, este necesar să se asigure respectarea nu numai a principiilor echivalenței și efectivității, care sunt menționate în această întrebare, ci și a altor eventuale cerințe ale dreptului Uniunii. În acest context, lipsa unor indicații mai precise decât cele furnizate de această instanță cu privire la principiile menționate nu privează Curtea de capacitatea sa de a furniza o interpretare utilă a normelor relevante ale dreptului Uniunii.
27 În consecință, primele două întrebări sunt admisibile.
Cu privire la fond
Cu privire la prima întrebare
28 Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că simpla încălcare a dispozițiilor acestui regulament este suficientă pentru a conferi un drept la despăgubiri.
29 În această privință, trebuie amintit că, potrivit unei jurisprudențe constante, termenii unei dispoziții a dreptului Uniunii care nu conține nicio trimitere expresă la dreptul statelor membre pentru a stabili sensul și domeniul său de aplicare trebuie, în mod normal, să primească în întreaga Uniune o interpretare autonomă și uniformă [Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) C‑439/19, EU:C:2021:504, punctul 81, și Hotărârea din 10 februarie 2022, ShareWood Switzerland, C‑595/20, EU:C:2022:86, punctul 21], care trebuie stabilită în special ținând seama de formularea dispoziției în cauză și de contextul în care se înscrie aceasta (a se vedea în acest sens Hotărârea din 15 aprilie 2021, The North of England P & I Association, C‑786/19, EU:C:2021:276, punctul 48, precum și Hotărârea din 10 iunie 2021, KRONE - Verlag, C‑65/20, EU:C:2021:471, punctul 25).
30 Or, RGPD nu face trimitere la dreptul statelor membre în ceea ce privește sensul și domeniul de aplicare al termenilor care figurează la articolul 82 din acest regulament, în special în ceea ce privește noțiunile de „prejudiciu material sau moral” și de „despăgubiri […] pentru prejudiciul suferit”. Rezultă că acești termeni trebuie considerați, în vederea aplicării regulamentului menționat, ca fiind noțiuni autonome ale dreptului Uniunii, care trebuie interpretate în mod uniform în toate statele membre.
31 În primul rând, în ceea ce privește textul articolului 82 din RGPD, trebuie amintit că alineatul (1) al acestui articol prevede că „[o]rice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit”.
32 Pe de o parte, reiese cu claritate din modul de redactare a acestei dispoziții că existența unui „prejudiciu” sau a unei „daune” care a fost „suferit/ă” constituie una dintre condițiile dreptului la despăgubiri prevăzut de dispoziția menționată, la fel ca existența unei încălcări a RGPD și a unei legături de cauzalitate între acest prejudiciu și această încălcare, aceste trei condiții fiind cumulative.
33 Prin urmare, nu se poate considera că orice „încălcare” a dispozițiilor RGPD conferă, în sine, respectivul drept la despăgubiri în favoarea persoanei vizate, astfel cum este definită la articolul 4 punctul 1 din acest regulament. O astfel de interpretare ar fi contrară modului de redactare a articolului 82 alineatul (1) din regulamentul menționat.
34 Pe de altă parte, trebuie subliniat că menționarea distinctă a unui „prejudiciu” și a unei „încălcări”, la articolul 82 alineatul (1) din RGPD, ar fi superfluă dacă legiuitorul Uniunii ar fi considerat că o încălcare a dispozițiilor acestui regulament poate fi suficientă, prin ea însăși și în orice ipoteză, pentru a constitui temeiul unui drept la despăgubiri.
35 În al doilea rând, interpretarea literală care precedă este confirmată de contextul în care se înscrie această dispoziție.
36 Astfel, articolul 82 alineatul (2) din RGPD, care precizează regimul de răspundere al cărui principiu este stabilit la alineatul (1) al acestui articol, reia cele trei condiții necesare pentru a da naștere dreptului la despăgubiri, și anume o prelucrare de date cu caracter personal efectuată cu încălcarea dispozițiilor RGPD, un prejudiciu sau o daună suferită de persoana vizată și o legătură de cauzalitate între această prelucrare ilegală și respectivul prejudiciu.
37 În plus, clarificările furnizate în considerentele (75), (85) și (146) ale RGPD susțin această interpretare. Pe de o parte, acest considerent (146), care privește în mod specific dreptul la despăgubiri prevăzut la articolul 82 alineatul (1) din regulamentul menționat, se referă, în prima sa teză, la „prejudiciu[l] pe care o persoană îl poate suferi ca urmare a unei prelucrări care încalcă [regulamentul menționat]”. Pe de altă parte, aceste considerente (75) și (85) menționează că „[un risc] […] poate fi rezultatul unei prelucrări a datelor cu caracter personal care ar putea genera prejudicii” și, respectiv, că „o încălcare a securității datelor cu caracter personal poate conduce la prejudicii”. Reiese de aici, în primul rând, că producerea unui prejudiciu în cadrul unei astfel de prelucrări nu este decât potențială, în al doilea rând, că o încălcare a RGPD nu determină în mod necesar un prejudiciu și, în al treilea rând, că trebuie să existe o legătură de cauzalitate între încălcarea în cauză și prejudiciul suferit de persoana vizată pentru a întemeia un drept la despăgubiri.
38 Interpretarea literală a articolului 82 alineatul (1) din RGPD este confirmată și de o comparație cu alte dispoziții care figurează de asemenea în capitolul VIII din acest regulament, care reglementează printre altele diferitele căi de atac care permit protejarea drepturilor persoanei vizate în cazul prelucrării datelor sale cu caracter personal pretins contrare dispozițiilor regulamentului menționat.
39 În această privință, este necesar să se arate că articolele 77 și 78 din RGPD, cuprinse în capitolul menționat, prevăd căi de atac la o autoritate de supraveghere sau împotriva unei asemenea autorități, în cazul unei pretinse încălcări a acestui regulament, fără a se menționa în acestea că persoana vizată trebuie să fi suferit un „prejudiciu” sau o „daună” pentru a putea introduce astfel de căi de atac, contrar termenilor utilizați la articolul 82 menționat în ceea ce privește acțiunile în despăgubire. Această diferență de formulare indică importanța criteriului „prejudiciului” sau al „daunei” și, prin urmare, singularitatea sa în raport cu criteriul „încălcării”, în scopul cererilor de despăgubire întemeiate pe RGPD.
40 De asemenea, articolele 83 și 84 din RGPD, care permit aplicarea unor amenzi administrative, precum și a altor sancțiuni, au în esență un scop punitiv și nu sunt condiționate de existența unui prejudiciu individual. Corelația dintre normele prevăzute la articolul 82 menționat și cele prevăzute la articolele 83 și 84 menționate demonstrează că există o diferență între aceste două categorii de dispoziții, dar și o complementaritate în ceea ce privește incitarea la respectarea RGPD, observându‑se că dreptul oricărei persoane de a solicita despăgubiri pentru un prejudiciu consolidează caracterul operațional al normelor de protecție prevăzute de acest regulament și este de natură să descurajeze repetarea comportamentelor ilegale.
41 În sfârșit, trebuie precizat că în considerentul (146) a patra teză al RGPD se arată că normele prevăzute de acesta se aplică fără a aduce atingere niciunei cereri de despăgubire care rezultă din încălcarea altor norme din dreptul Uniunii sau din dreptul intern al unui stat membru.
42 Având în vedere ansamblul motivelor care precedă, este necesar să se răspundă la prima întrebare că articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că simpla încălcare a dispozițiilor acestui regulament nu este suficientă pentru a conferi un drept la despăgubiri.
Cu privire la a treia întrebare
43 Prin intermediul celei de a treia întrebări, care trebuie analizată înaintea celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că se opune unei norme sau unei practici naționale care subordonează obținerea de despăgubiri pentru un prejudiciu moral, în sensul acestei dispoziții, condiției ca prejudiciul suferit de persoana vizată să fi atins un anumit nivel de gravitate.
44 În această privință, trebuie amintit că, astfel cum s‑a subliniat la punctul 30 din prezenta hotărâre, noțiunea de „prejudiciu” și, mai precis, în speță, noțiunea de „prejudiciu moral”, în sensul articolului 82 din RGPD, trebuie să primească, având în vedere lipsa oricărei trimiteri la dreptul intern al statelor membre, o definiție autonomă și uniformă, proprie dreptului Uniunii.
45 În primul rând, RGPD nu definește noțiunea de „prejudiciu” în scopul aplicării acestui instrument. Articolul 82 din acesta se limitează să prevadă în mod explicit că pot da dreptul la despăgubiri nu numai un „prejudiciu material”, ci și un „prejudiciu moral”, fără să se menționeze vreun prag de gravitate.
46 În al doilea rând, contextul în care se înscrie această dispoziție tinde de asemenea să indice că dreptul la despăgubiri pentru prejudiciu nu este subordonat condiției ca prejudiciul avut în vedere să atingă un anumit prag de gravitate. Astfel, considerentul (146) al RGPD prevede în a treia teză că „conceptul de prejudiciu ar trebui interpretat în sens larg, din perspectiva jurisprudenței Curții de Justiție, într‑un mod care să reflecte pe deplin obiectivele [acestui] regulament”. Or, această concepție largă a noțiunii de „prejudiciu” sau „daună”, preferată de legiuitorul Uniunii, ar fi contrazisă dacă noțiunea menționată ar fi circumscrisă numai prejudiciilor sau numai daunelor de o anumită gravitate.
47 În al treilea și ultimul rând, o asemenea interpretare este confirmată de finalitățile urmărite de RGPD. În această privință, trebuie amintit că considerentul (146) a treia teză al acestui regulament invită în mod expres să se „reflecte pe deplin de obiectivele [respectivului] regulament” pentru a defini noțiunea de „prejudiciu” în sensul acestuia.
48 Reiese, în special, din considerentul (10) al RGDP, că dispozițiile acestuia au printre altele drept obiectiv să asigure un nivel consecvent și ridicat de protecție a persoanelor fizice în cadrul Uniunii și, în acest scop, să asigure aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale acestor persoane în ceea ce privește prelucrarea datelor cu caracter personal în întreaga Uniune [a se vedea în acest sens Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 101, și Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații privind destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 44, precum și jurisprudența citată].
49 Or, a condiționa obținerea de despăgubiri pentru un prejudiciu moral de un anumit prag de gravitate ar risca să aducă atingere coerenței regimului instituit prin RGPD, întrucât graduarea unui astfel de prag, de care ar depinde sau nu posibilitatea de a obține despăgubirea menționată, ar putea fluctua în funcție de aprecierea instanțelor sesizate.
50 Nu este mai puțin adevărat că interpretarea astfel reținută nu poate fi înțeleasă în sensul că implică faptul că o persoană vizată de o încălcare a RGPD care a avut consecințe negative împotriva sa ar fi scutită de obligația de a demonstra că aceste consecințe constituie un prejudiciu moral, în sensul articolului 82 din acest regulament.
51 Având în vedere motivele care precedă, trebuie să se răspundă la a treia întrebare că articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că se opune unei norme sau unei practici naționale care subordonează obținerea de despăgubiri pentru un prejudiciu moral, în sensul acestei dispoziții, condiției ca prejudiciul suferit de persoana vizată să fi atins un anumit nivel de gravitate.
Cu privire la a doua întrebare
52 Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 82 din RGPD trebuie interpretat în sensul că, în scopul stabilirii cuantumului daunelor interese datorate în temeiul dreptului la despăgubiri consacrat la acest articol, instanțele naționale trebuie să aplice normele interne ale fiecărui stat membru referitoare la întinderea despăgubirilor pecuniare, cu respectarea nu numai a principiilor echivalenței și efectivității dreptului Uniunii.
53 În această privință, trebuie amintit că, potrivit unei jurisprudențe constante, în lipsa unor norme ale Uniunii în materie, revine ordinii juridice interne a fiecărui stat membru atribuția de a stabili, în temeiul principiului autonomiei procedurale, modalitățile procedurale ale acțiunilor în justiție destinate să asigure apărarea drepturilor justițiabililor, cu condiția însă ca acestea să nu fie mai puțin favorabile decât cele aplicabile unor situații similare supuse dreptului intern (principiul echivalenței) și să nu facă imposibilă în practică sau excesiv de dificilă exercitarea drepturilor conferite de dreptul Uniunii (principiul efectivității) (a se vedea în acest sens Hotărârea din 13 decembrie 2017, El Hassani, C‑403/16, EU:C:2017:960, punctul 26, și Hotărârea din 15 septembrie 2022, Uniqa Versicherungen, C‑18/21, EU:C:2022:682, punctul 36).
54 În speță, este necesar să se arate că RGPD nu conține nicio dispoziție care să aibă ca obiect definirea normelor privind evaluarea daunelor interese pe care o persoană vizată, în sensul articolului 4 punctul 1 din acest regulament, le poate pretinde, în temeiul articolului 82 din acesta, atunci când o încălcare a regulamentului menționat i‑a cauzat un prejudiciu. Prin urmare, în lipsa unor norme de drept al Uniunii în materie, revine sistemului juridic al fiecărui stat membru sarcina de a stabili modalitățile de reglementare a acțiunilor menite să garanteze drepturile pe care particularii le derivă din articolul 82 și, în special, criteriile de determinare a întinderii despăgubirilor datorate în acest context, sub rezerva respectării acestor principii de echivalență și de eficacitate (a se vedea prin analogie Hotărârea din 13 iulie 2006, Manfredi și alții, C‑295/04-C‑298/04, EU:C:2006:461, punctele 92 și 98).
55 În ceea ce privește principiul echivalenței, în prezenta procedură, Curtea nu dispune de niciun element de natură să dea naștere unor îndoieli cu privire la conformitatea cu acest principiu a unei reglementări naționale care ar fi aplicabilă litigiului principal și, prin urmare, de natură să indice că principiul menționat ar putea avea o incidență concretă în cadrul acestui litigiu.
56 În ceea ce privește principiul efectivității, revine instanței de trimitere sarcina de a stabili dacă modalitățile prevăzute în dreptul austriac pentru stabilirea judiciară a daunelor interese datorate în temeiul dreptului la despăgubiri consacrat la articolul 82 din RGPD nu fac imposibilă în practică sau excesiv de dificilă exercitarea drepturilor conferite de dreptul Uniunii și, mai precis, de acest regulament.
57 În acest cadru, trebuie subliniat că considerentul (146) a șasea teză din RGPD arată că acest instrument urmărește să asigure „despăgubiri integrale și eficace pentru prejudiciul […] suferit”.
58 În această privință, ținând seama de funcția compensatorie a dreptului la despăgubiri prevăzut la articolul 82 din RGPD, astfel cum a subliniat în esență domnul avocat general la punctele 39, 49 și 52 din concluzii, o despăgubire pecuniară întemeiată pe această dispoziție trebuie considerată ca fiind „integrală și eficace” dacă permite compensarea integrală a prejudiciului concret suferit ca urmare a încălcării acestui regulament, fără a fi necesar, în vederea unei astfel de compensații integrale, să se impună plata unor daune interese punitive.
59 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la a doua întrebare că articolul 82 din RGPD trebuie interpretat în sensul că, în vederea stabilirii cuantumului daunelor interese datorate în temeiul dreptului la despăgubiri consacrat la acest articol, instanțele naționale trebuie să aplice normele interne ale fiecărui stat membru referitoare la întinderea despăgubirii pecuniare, în măsura în care principiile echivalenței și efectivității dreptului Uniunii sunt respectate.
Cu privire la cheltuielile de judecată
60 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.
Pentru aceste motive, Curtea (Camera a treia) declară:
1) Articolul 82 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretate în sensul că
simpla încălcare a dispozițiilor acestui regulament nu este suficientă pentru a conferi un drept la despăgubiri.
2) Articolul 82 alineatul (1) din Regulamentul 2016/679
trebuie interpretat în sensul că
se opune unei norme sau unei practici naționale care subordonează obținerea de despăgubiri pentru un prejudiciu moral, în sensul acestei dispoziții, condiției ca prejudiciul suferit de persoana vizată să fi atins un anumit nivel de gravitate.
3) Articolul 82 din Regulamentul 2016/679
trebuie interpretat în sensul că,
în vederea stabilirii cuantumului daunelor interese datorate în temeiul dreptului la despăgubiri consacrat la acest articol, instanțele naționale trebuie să aplice normele interne ale fiecărui stat membru referitoare la întinderea despăgubirii pecuniare, în măsura în care principiile echivalenței și efectivității dreptului Uniunii sunt respectate.
Semnături