Domstolens dom (tredje avdelningen) av den 25 januari 2024 (begäran om förhandsavgörande från Amtsgericht Hagen - Tyskland) – BL mot MediaMarktSaturn Hagen-Iserlohn GmbH, tidigare Saturn Electro-Handelsgesellschaft mbH Hagen
(Mål C-687/211 , MediaMarktSaturn)
(Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Tolkning av artiklarna 5, 24, 32 och 82 – Bedömning av giltigheten av artikel 82 – Begäran om giltighetsbedömning kan inte tas upp till prövning – Rätt till ersättning för skada som uppkommit genom en behandling av sådana uppgifter i strid med denna förordning – Överlämnande av uppgifter till en obehörig tredje part på grund av ett fel som begåtts av den personuppgiftsansvariges anställda – Bedömning av om de skyddsåtgärder som den personuppgiftsansvarige har vidtagits är lämpliga – Den kompensatoriska funktionen uppfylls genom rätten till ersättning – Betydelsen av överträdelsens allvar – Nödvändigheten av att fastställa att denna överträdelse har orsakat en skada – Begreppet ’immateriell skada)
Rättegångsspråk: tyska
Hänskjutande domstol
Amtsgericht Hagen
Parter i målet vid den nationella domstolen
Sökande: BL
Svarande: MediaMarktSaturn Hagen-Iserlohn GmbH, tidigare Saturn Electro-Handelsgesellschaft mbH Hagen
Domslut
Artiklarna 5, 24, 24, 32 och 82 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), jämförda med varandra,
ska tolkas så,
att den omständigheten att den personuppgiftsansvariges anställda, inom ramen för en talan om ersättning med stöd av nämnda artikel 82, felaktigt har överlämnat en handling som innehåller personuppgifter till en obehörig tredje part, inte i sig räcker för att anse att de tekniska och organisatoriska åtgärder som vidtagits av den personuppgiftsansvarige inte var ”lämpliga” i den mening som avses i artiklarna 24 och 32.
Artikel 82.1 i förordning 2016/679,
ska tolkas så,
att den rätt till ersättning som föreskrivs i denna bestämmelse, bland annat i samband med immateriell skada, fyller en kompenserande funktion, och inte en bestraffande funktion, i det att den ekonomiska ersättning som beviljas med stöd av denna bestämmelse ska göra det möjligt att fullt ut kompensera den skada som faktiskt uppkommit till följd av en överträdelse av förordningen.
Artikel 82 i förordning 2016/679
ska tolkas så,
att denna artikel inte kräver att allvaret i den personuppgiftsansvariges överträdelse av förordningen beaktas vid fastställandet av ersättningen för skada med stöd av denna bestämmelse.
Artikel 82.1 i förordning 2016/679,
ska tolkas så,
att den som begär ersättning enligt denna bestämmelse är skyldig att visa inte bara att bestämmelserna i denna förordning har åsidosatts, utan även att denna överträdelse har orsakat vederbörande materiell eller immateriell skada.
Artikel 82.1 i förordning 2016/679,
ska tolkas så,
att för det fall att en handling som innehåller personuppgifter har överlämnats till en obehörig tredje part som inte, vilket har konstaterats, har fått kännedom om dessa uppgifter, så kan en ”immateriell skada”, i den mening som avses i denna bestämmelse, inte uppkomma genom att den registrerade, till följd av att uppgifterna har lämnats ut, vilket gjort det möjligt att upprätta en kopia av handlingen innan den återlämnades, befarar att uppgifterna i framtiden kommer att spridas eller till och med missbrukas.
____________
1 EUT C 64, 07.2.2022.