PRESUDA SUDA (treće vijeće)
20. lipnja 2024.(*)
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 82. – Pravo na naknadu štete prouzročene obradom podataka kojom se krši ta uredba – Pojam ,nematerijalna šteta’ – Naknada štete koja ima karakter sankcije ili samo kao kompenzacija i zadovoljština – Minimalna ili simbolična naknada štete – Krađa osobnih podataka s aplikacije za trgovanje – Krađa identiteta ili prijevara povezana s identitetom”
U spojenim predmetima C‑182/22 i C‑189/22,
povodom zahtjevâ za prethodnu odluku na temelju članka 267. UFEU‑a, koje je uputio Amtsgericht München (Općinski sud u Münchenu, Njemačka), odlukama od 3. ožujka 2022., koje je Sud zaprimio 10. i 11. ožujka 2022., u postupcima
JU (C‑182/22),
SO (C‑189/22)
protiv
Scalable Capital GmbH,
SUD (treće vijeće),
u sastavu: K. Jürimäe, predsjednica vijeća, N. Piçarra i N. Jääskinen (izvjestitelj), suci,
nezavisni odvjetnik: A. M. Collins,
tajnik: A. Calot Escobar,
uzimajući u obzir pisani dio postupka,
uzimajući u obzir očitovanja koja su podnijeli:
– za SO, M. Ruigrok van de Werve, Rechtsanwalt,
– za Scalable Capital GmbH, M. C. Mekat, Rechtsanwalt,
– za Irsku, M. Browne, Chief State Solicitor, A. Joyce i M. Tierney, u svojstvu agenata, uz asistenciju D. Fennellya, BL,
– za Europsku komisiju, A. Bouchagiar, M. Heller i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 26. listopada 2023.,
donosi sljedeću
Presudu
1 Zahtjevi za prethodnu odluku odnose se na tumačenje članka 82. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).
2 Ti su zahtjevi upućeni u okviru dvaju sporova između osoba JU i SO i društva Scalable Capital GmbH, koji se odnose na naknadu nematerijalne štete za koju tvrde da su pretrpjeli zbog krađe njihovih osobnih podataka, koju su počinile treće nepoznate osobe, spremljenih na aplikaciji za trgovanje kojom upravlja to društvo.
Pravni okvir
3 Uvodne izjave 75., 85. i 146. OUZP‑a glase:
„(75) Rizik za prava i obveze pojedinaca, različitih vjerojatnosti i ozbiljnosti, može proizaći iz obrade osobnih podataka koja bi mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, posebno ako ta obrada može dovesti do diskriminacije, krađe identiteta ili prijevare, financijskog gubitka, štete za ugled, gubitka povjerljivosti osobnih podataka zaštićenih poslovnom tajnom, neovlaštenog obrnutog postupka pseudonimizacije, ili bilo koje druge znatne gospodarske ili društvene štete; ili ako ispitanici mogu biti uskraćeni za svoja prava i slobode ili spriječeni u obavljanju nadzora nad svojim osobnim podacima; ako se obrađuju osobni podaci koji odaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja, članstvo u sindikatu i ako je riječ o obradi genetičkih podataka, podataka koji se odnose na zdravlje ili spolni život ili kaznene osude i kažnjiva djela ili povezane sigurnosne mjere; ako se procjenjuju osobni aspekti, osobito analiza ili predviđanje aspekata u vezi s učinkom na poslu, ekonomskim stanjem, zdravljem, osobnim preferencijama ili interesima, pouzdanošću ili ponašanjem, lokacijom ili kretanjem kako bi se izradili ili upotrebljavali osobni profili; ako se obrađuju osobni podaci osjetljivih pojedinaca, osobito djece; ili ako obrada uključuje veliku količinu osobnih podataka i utječe na velik broj ispitanika.
[…]
(85) Ako se povreda osobnih podataka ne rješava na odgovarajući način i pravodobno, ona može prouzročiti fizičku, materijalnu ili nematerijalnu štetu pojedincima, kao što su gubitak nadzora nad osobnim podacima ili ograničavanje njihovih prava, diskriminacija, krađa identiteta ili prijevara [povezana s identitetom], financijski gubici, neovlašteni obrnuti postupak pseudonimizacije, šteta za ugled, gubitak povjerljivosti osobnih podataka zaštićenih profesionalnom tajnom ili bilo koju drugu ekonomsku ili društvenu štetu za dotičnog pojedinca. […]
[…]
(146) […] Voditelj obrade ili izvršitelj obrade trebao bi biti izuzet od odgovornosti ako dokaže da nije ni na koji način odgovoran za štetu. Pojam štete trebalo bi široko tumačiti s obzirom na sudsku praksu Suda tako da se u potpunosti odražavaju ciljevi ove Uredbe. […] Ispitanici bi trebali dobiti potpunu i učinkovitu naknadu za štetu koju su pretrpjeli. […]”
4 Člankom 4. te uredbe, naslovljenim „Definicije”, propisuje se:
„Za potrebe ove Uredbe:
1. ‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); […]
[…]
7. ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; […]
[…]
10. ‚treća strana’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade;
[…]
12. ‚povreda osobnih podataka’ znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani;
[…]”
5 Članak 82. te uredbe, naslovljen „Pravo na naknadu štete i odgovornost”, u stavcima 1. do 3. propisuje:
„1. Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.
2. Svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. Izvršitelj obrade je odgovoran za štetu prouzročenu obradom samo ako nije poštovao obveze iz ove Uredbe koje su posebno namijenjene izvršiteljima obrade ili je djelovao izvan zakonitih uputa voditelja obrade ili protivno njima.
3. Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.”
Glavni postupci i prethodna pitanja
6 Scalable Capital, društvo osnovano u skladu s njemačkim pravom, upravlja aplikacijom za trgovanje na kojoj su tužitelji iz glavnog postupka, osobe JU i SO, otvorili račun. U tu su svrhu osobe JU i SO unijele određene osobne podatke na svojim računima, među ostalim svoje ime, datum rođenja, poštansku adresu, adresu elektroničke pošte kao i digitalnu presliku svoje osobne iskaznice. Tužitelji iz glavnog postupka uplatili su iznos od nekoliko tisuća eura potreban za otvaranje tih računa.
7 Tijekom 2020. nepoznate treće osobe hakirale su podatke i podatke o portfelju vrijednosnih papira tužiteljâ iz glavnog postupka. Prema mišljenju društva Scalable Capital, navedeni osobni podaci do sada nisu bili upotrijebljeni u prijevarne svrhe.
8 U tom kontekstu, tužitelji iz glavnog postupka podnijeli su Amtsgerichtu München (Općinski sud u Münchenu, Njemačka), sudu koji je uputio zahtjev, tužbu za naknadu nematerijalne štete za koju tvrde da su je pretrpjeli zbog krađe njihovih osobnih podataka.
9 Kao prvo, pitanja suda koji je uputio zahtjev proizlaze iz različitih pristupa njemačkih sudova određivanju naknade štete koju treba dodijeliti u takvoj situaciji. To dovodi do znatne razlike u iznosu novčane naknade štete koja se dodjeljuje u slučajevima koji su slični onima o kojima je riječ u glavnom postupku, osobito ovisno o tome je li se uzeo u obzir mogući odvraćajući učinak. Sud koji je uputio zahtjev navodi da u ovom slučaju gubitak predmetnih podataka utječe na više desetaka tisuća osoba i da stoga valja primijeniti jedinstveni način procjene.
10 Kao drugo, što se tiče određivanja nematerijalne štete, ona se oslanja na njemačko pravo kako bi razlikovala funkciju „kompenzacije” od funkcije „osobne zadovoljštine”. Cilj funkcije kompenzacije je kompenziranje pretrpljene i predvidljivo očekivane posljedice navodne štete, dok se funkcijom osobne zadovoljštine nastoji neutralizirati osjećaj nepravde koji se doživljava zbog nastanka navedene štete. Navodi da u njemačkom pravu ta funkcija zadovoljštine ima samo sporednu ulogu i smatra da u ovom slučaju ta funkcija ne bi trebala imati nikakav utjecaj pri određivanju naknade štete koju zahtijevaju tužitelji.
11 Kao treće, u njemačkom pravu ne postoji ljestvica na temelju koje bi se mogao odrediti iznos naknade štete koji treba dodijeliti u skladu s okolnostima u kojima se ona zahtijeva. Međutim, velik broj pojedinačnih odluka koje su donesene omogućio bi utvrđivanje okvira na koji se treba pozivati, što dovodi do određenog oblika sistematizacije. U tom pogledu, u njemačkom pravnom poretku novčana naknada dodjeljuje se kako bi se nadoknadila šteta samo zbog osobito teških povreda prava osobnosti. Određivanje novčane naknade bilo bi primjerenije za naknadu za tjelesne ozljede. Stoga sud koji je uputio zahtjev smatra da bi gubitak podataka trebao imati manju težinu od tjelesnih povreda.
12 Kao četvrto, taj se sud pita o mogućnosti dodjele niskih naknada, koje bi se mogle smatrati simboličnima, u slučajevima u kojima je šteta povezana s povredom OUZP‑a minimalna.
13 Kao peto, primjećuje da stranke glavnog postupka različito tumače pojam „krađa identiteta”. U tom pogledu smatra da postoji krađa identiteta samo kada treća osoba upotrebljava nezakonito pribavljene podatke da bi lažirala identitet ispitanika.
14 U tim je okolnostima Amtsgericht München (Općinski sud u Münchenu) u predmetima C‑182/22 i C‑189/22 odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja, koja su jednako oblikovana u tim dvama predmetima:
„1. Treba li članak 82. [OUZP‑a] tumačiti na način da pravo na naknadu štete ni u okviru određivanja njegove visine nema karakter sankcije, a osobito nema nikakvu opću ili posebnu odvraćajuću funkciju, nego to pravo na naknadu štete ima samo funkciju kompenzacije i, u određenim okolnostima, funkciju zadovoljštine?
2. Treba li, u pogledu određivanja prava na naknadu nematerijalne štete, smatrati da to pravo ima i individualnu funkciju zadovoljštine, koja se u ovom predmetu shvaća kao interes iz privatne sfere oštećenika da se sankcionira uzročno ponašanje, ili pravo na naknadu štete ima samo kompenzacijsku funkciju koja se u ovom predmetu shvaća kao funkcija naknade pretrpljene štete?
U slučaju da treba smatrati da pravo na naknadu nematerijalne štete ima i kompenzacijsku funkciju i funkciju zadovoljštine: treba li za potrebe određivanja postojanja tog prava smatrati da kompenzacijska funkcija ima strukturnu prednost pred funkcijom zadovoljštine ili barem prednost koja proizlazi iz odnosa pravila i iznimke? Dovodi li to do toga da se funkcija zadovoljštine može uzeti u obzir samo u slučaju namjerne povrede ili povrede krajnjom nepažnjom?
U slučaju da pravo na naknadu nematerijalne štete nema funkciju zadovoljštine: dovode li, pri njegovu određivanju, samo povrede zaštite podataka do kojih je došlo namjerno ili krajnjom nepažnjom do dodatne težine u smislu ocjenjivanja doprinosa uzročnosti?
3. Treba li, u svrhu razumijevanja određivanja naknade nematerijalne štete, smatrati da postoji strukturna hijerarhija ili barem hijerarhijski odnos pravila i iznimke u slučaju kojeg doživljaj štete prouzročen povredom zaštite podataka ima manju težinu od doživljaja štete i boli koji se povezuju s tjelesnom povredom?
4. Pod pretpostavkom da je šteta nastala, može li nacionalni sud, ako šteta nije ozbiljna, dodijeliti samo minimalnu naknadu štete koja se, s aspekta oštećenika ili općenito, može smatrati tek simboličnom?
5. Treba li za tumačenje naknade nematerijalne štete pri procjeni njezinih posljedica smatrati da krađa identiteta u smislu uvodne izjave 75. [OUZP‑a] postoji tek ako je počinitelj kaznenog djela stvarno preuzeo identitet ispitanika, dakle, ako se na bilo koji način predstavljao kao ispitanik, ili je za takvu krađu identiteta dovoljna već okolnost da počinitelji kaznenog djela raspolažu podacima na temelju kojih se može utvrditi identitet ispitanika?”
Postupak pred Sudom
15 Odlukom predsjednika Suda od 19. travnja 2022. predmeti C‑182/22 i C‑189/22 spojeni su u svrhu pisanog i usmenog dijela postupka kao i u svrhu donošenja presude.
16 Dana 1. lipnja 2022. predsjednik Suda odbio je zahtjev društva Scalable Capital za anonimizaciju predmetnog postupka u skladu s člankom 95. stavkom 2. Poslovnika Suda.
Dopuštenost zahtjeva za prethodnu odluku
17 Društo Scalable Capital u biti tvrdi da ovi zahtjevi za prethodnu odluku nisu dopušteni jer nemaju utjecaja na ishod glavnih postupaka. Smatra da se apstraktan gubitak podataka, kao što je to ovdje slučaj, ne treba kvalificirati kao „šteta” u smislu članka 82. stavka 1. OUZP‑a ako je takav gubitak nadzora nad podacima ostao bez konkretnih posljedica i stoga nisu ispunjeni uvjeti za primjenu navedenog članka 82. Naime, takva kvalifikacija dovela bi do zaključka da svaka povreda uredbe dovodi do pretpostavke štete, suprotno tekstu, općoj strukturi i povijesti nastanka članka 82. OUZP‑a.
18 U tom je pogledu, prema ustaljenoj sudskoj praksi, isključivo na nacionalnom sudu pred kojim se vodi postupak i koji mora preuzeti odgovornost za sudsku odluku koja će biti donesena da, uzimajući u obzir posebnosti predmeta, ocijeni nužnost prethodne odluke za donošenje svoje presude i relevantnost pitanja koja postavlja Sudu, koja uživaju pretpostavku relevantnosti. Slijedom toga, ako se postavljeno pitanje odnosi na tumačenje ili valjanost pravila prava Unije, Sud je u načelu dužan odlučiti osim ako je očito da traženo tumačenje nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima kako bi mogao dati koristan odgovor na navedeno pitanje (vidjeti presude od 5. svibnja 2022., Zagrebačka banka, C‑567/20, EU:C:2022:352, t. 43., i od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 23.).
19 U ovom slučaju, dovoljno je podsjetiti na to da, kada nije očito da tumačenje odredbe prava Unije nema nikakve veze s činjeničnim stanjem ili predmetnom spora u glavnom postupku, prigovor neprimjenjivosti te odredbe na predmet u glavnom postupku ne odnosi se na dopuštenost zahtjeva za prethodnu odluku, već ulazi u meritum pitanja (vidjeti u tom smislu presude od 13. srpnja 2006., Manfredi i dr., C‑295/04 do C‑298/04, EU:C:2006:461, t. 30.; od 4. srpnja 2019., Kirschstein, C‑393/17, EU:C:2019:563, t. 28., i od 24. srpnja 2023., Lin, C‑107/23 PPU, EU:C:2023:606, t. 66.).
20 Iz toga slijedi da su ovi zahtjevi za prethodnu odluku dopušteni.
O prethodnim pitanjima
Prvo pitanje i prvi dio drugog pitanja
21 Svojim prvim pitanjem i prvim dijelom svojeg drugog pitanja, koje valja razmotriti zajedno, sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP‑a tumačiti na način da pravo na naknadu štete predviđeno tom odredbom ispunjava kompenzacijsku funkciju jer novčana naknada koja se temelji na navedenoj odredbi mora omogućiti da se u potpunosti naknadi šteta pretrpljena zbog povrede te uredbe ili ako ispunjava i kaznenu funkciju kojom se, među ostalim, nastoje zadovoljiti pojedinačni interesi ispitanika.
22 U tom je pogledu Sud presudio da članak 82. OUZP‑a nema kaznenu, nego kompenzacijsku funkciju, za razliku od drugih odredbi te uredbe koje se također nalaze u njezinu poglavlju VIII., odnosno njezinim člancima 83. i 84., koji pak imaju u bitnom kaznenu svrhu jer omogućuju izricanje upravnih novčanih kazni i drugih sankcija. Odnos između pravila iz navedenog članka 82. i onih iz članaka 83. i 84. dokazuje da postoji razlika, ali i komplementarnost između tih dviju kategorija odredbi, u pogledu poticanja na postupanje u skladu s OUZP‑om, pri čemu pravo svake osobe da zahtijeva naknadu štete osnažuje operativni karakter pravila o zaštiti predviđenih tom uredbom i može obeshrabriti ponavljanje nezakonitih ponašanja (vidjeti osobito presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 38. i 40., kao i od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 59.).
23 Slijedom toga, članak 82. stavak 1. OUZP‑a treba tumačiti na način da pravo na naknadu štete predviđeno tom odredbom, osobito pravo na nematerijalnu štetu, ispunjava isključivo kompenzacijsku funkciju jer novčana naknada koja se temelji na navedenoj odredbi mora omogućiti da se u potpunosti nadoknadi šteta koja je konkretno pretrpljena zbog povrede te uredbe, a ne odvraćajuću ili kaznenu funkciju (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 57. i 58., kao i od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 61.).
24 Slijedom toga, na prvo pitanje i na prvi dio drugog pitanja valja odgovoriti tako da članak 82. stavak 1. OUZP‑a treba tumačiti na način da pravo na naknadu štete predviđeno tom odredbom ispunjava isključivo kompenzacijsku funkciju jer novčana naknada koja se temelji na navedenoj odredbi mora omogućiti da se u potpunosti nadoknadi pretrpljena šteta.
Drugi dio drugog pitanja
25 Uzimajući u obzir odgovor na prvo pitanje i prvi dio drugog pitanja, nije potrebno odgovoriti na taj drugi dio drugog pitanja.
Treći dio drugog pitanja
26 Trećim dijelom svojeg drugog pitanja sud koji je uputio zahtjev u biti pita treba li tumačiti članak 82. stavak 1. OUZP‑a na način da se njime zahtijeva da se u svrhu naknade štete na temelju te odredbe uzme u obzir stupanj ozbiljnosti povrede i moguću namjeru voditelja obrade počinjenja povrede te uredbe.
27 Kad je riječ o određivanju naknade štete koja se eventualno duguje na temelju članka 82. OUZP‑a, iako ta uredba ne sadržava odredbu u tu svrhu, nacionalni sudovi moraju primijeniti nacionalna pravila pojedine države članice o opsegu novčane naknade, pod uvjetom da se poštuju načela ekvivalentnosti i djelotvornosti prava Unije (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 53., 54. i 59., kao i od 25. siječnja 2024. MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 53.).
28 Međutim, valja naglasiti, s jedne strane, da je utvrđivanje odgovornosti voditelja obrade na temelju članka 82. OUZP‑a uvjetovano postojanjem njegove krivnje koja se presumira, osim ako on ne dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu, i da se, s druge strane, tim člankom 82. ne zahtijeva da se stupanj ozbiljnosti te krivnje uzme u obzir prilikom određivanja iznosa naknade nematerijalne štete dodijeljene na temelju te odredbe (presude od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 103. i od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 52.).
29 Usto, isključivo kompenzacijska funkcija prava na naknadu štete utvrđenog člankom 82. stavkom 1. OUZP‑a isključuje uzimanje u obzir eventualne namjere kršenja te uredbe, za koju se pretpostavlja da je voditelj obrade počinio prilikom određivanja iznosa naknade štete koja se dodjeljuje za naknadu nematerijalne štete na temelju navedene odredbe. Taj iznos, međutim, treba odrediti na način da se u cijelosti nadoknadi šteta koja je konkretno pretrpljena zbog povrede navedene uredbe (vidjeti po analogiji presude od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 102., i od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 54.).
30 Slijedom navedenih razloga, na treći dio drugog pitanja valja odgovoriti tako da članak 82. stavak 1. OUZP‑a treba tumačiti na način da se njime ne zahtijeva da se u svrhu naknade štete na temelju te odredbe uzme u obzir stupanj ozbiljnosti povrede i moguću namjeru voditelja obrade počinjenja povrede te uredbe.
Treće pitanje
31 Svojim trećim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP‑a tumačiti na način da, prilikom određivanja iznosa naknade štete koja se duguje na temelju prava na naknadu nematerijalne štete, treba smatrati da je takva šteta uzrokovana povredom osobnih podataka po svojoj prirodi manje važna od štete zbog tjelesne ozljede.
32 U tom pogledu, važno je podsjetiti na to da je u skladu s ustaljenom sudskom praksom, u slučaju nepostojanja pravila Unije kojima se uređuje određeno područje, na nacionalnom pravnom poretku svake države članice da uredi postupovne aspekte pravnih sredstava namijenjenih osiguranju zaštite prava pojedinaca, na temelju načela procesne autonomije, ali pod uvjetom da ta pravila, u situacijama koje su obuhvaćene pravom Unije, nisu nepovoljnija od onih kojima se uređuju slične situacije na koje se primjenjuje nacionalno pravo (načelo ekvivalentnosti) i da u praksi ne onemogućuju ili pretjerano otežavaju ostvarivanje pravâ koja dodjeljuje pravo Unije (načelo djelotvornosti) (vidjeti u tom smislu presude od 13. prosinca 2017., El Hassani, C‑403/16, EU:C:2017:960, t. 26. i od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 53.).
33 U ovom slučaju valja istaknuti da OUZP ne sadržava odredbu čiji je cilj utvrditi pravila o određivanju naknade štete koju na temelju njezina članka 82. može zahtijevati ispitanik u smislu članka 4. točke 1. te uredbe, ako mu je povredom navedene uredbe prouzročena šteta. Prema tome, u nedostatku pravnih propisa Unije u tom području, na pravnom je poretku svake države članice da utvrdi detaljna pravila kojima se uređuju pravna sredstva za zaštitu prava koja pojedinci imaju na temelju tog članka 82. i, osobito, kriterije koji omogućuju određivanje opsega naknade štete koju treba platiti u tom okviru, pod uvjetom poštovanja navedenih načela ekvivalentnosti i djelotvornosti (presuda od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 54.).
34 Budući da nijedan element spisa kojim Sud raspolaže ne upućuje na to da bi načelo ekvivalentnosti moglo biti relevantno u kontekstu ovih predmeta u glavnom postupku, treba se usredotočiti na načelo djelotvornosti. U tom je pogledu na sudu koji je uputio zahtjev da utvrdi čine li pravila predviđena njemačkim pravom za sudsko određivanje naknade štete koja se duguje na temelju prava na naknadu štete iz članka 82. OUZP‑a u praksi nemogućim ili pretjerano otežanim ostvarivanje prava dodijeljenih pravom Unije, a osobito tom uredbom.
35 S tim u vezi, iz sudske prakse navedene u točki 23. ove presude proizlazi da, uzimajući u obzir isključivo kompenzacijsku funkciju prava na naknadu štete utvrđenog člankom 82. stavkom 1. te uredbe, novčanu naknadu koja se temelji na toj odredbi treba smatrati „potpunom i učinkovitom” ako omogućuje da se u potpunosti nadoknadi šteta koja je konkretno pretrpljena zbog povrede navedene uredbe.
36 U tom smislu, uvodna izjava 146. navedene uredbe uostalom navodi da bi „[p]ojam štete trebalo […] široko tumačiti s obzirom na sudsku praksu Suda tako da se u potpunosti odražavaju ciljevi ove Uredbe” te bi „[i]spitanici […] trebali dobiti potpunu i učinkovitu naknadu za štetu koju su pretrpjeli”.
37 Također valja istaknuti da se u uvodnim izjavama 75. i 85. OUZP‑a navode različite okolnosti koje se mogu kvalificirati kao „fizička, materijalna ili nematerijalna šteta”, a da se pritom ne upućuje na njihovu hijerarhiju niti se u njima navodi da su povrede prouzročene povredom zaštite podataka po svojoj prirodi manje važne od tjelesnih povreda.
38 Međutim, pretpostavka da je šteta zbog tjelesne ozljede po svojoj prirodi važnija od nematerijalne štete mogla bi dovesti u pitanje načelo potpune i učinkovite naknade pretrpljene štete.
39 S obzirom na prethodno navedeno, na treće pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP‑a treba tumačiti na način da, prilikom određivanja iznosa naknade štete koja se duguje na temelju prava na naknadu nematerijalne štete, treba smatrati da takva šteta uzrokovana povredom osobnih podataka po svojoj prirodi nije manje važna od štete zbog tjelesne ozljede.
Četvrto pitanje
40 Svojim četvrtim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP‑a tumačiti na način da, kada se utvrdi šteta koja nije ozbiljna, nacionalni sud može dodijeliti ispitaniku minimalnu naknadu štete, koja bi se mogla smatrati simboličnom.
41 Valja podsjetiti na to da iz ustaljene sudske prakse proizlazi da članak 82. stavak 1. OUZP‑a treba tumačiti na način da obična povreda te uredbe nije dovoljna za dodjelu prava na naknadu štete, s obzirom na to da je postojanje „štete”, materijalne ili nematerijalne, ili „pretrpljene štete” jedan od uvjeta za nastanak prava na naknadu štete predviđenog u tom članku 82. stavku 1., uz postojanje povrede te uredbe i uzročne veze između te štete i te povrede, pri čemu su ta tri uvjeta kumulativna (presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 32., i od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 34.).
42 Stoga je osoba koja zahtijeva naknadu nematerijalne štete na temelju te odredbe dužna utvrditi ne samo povredu odredaba te uredbe, nego i da joj je ta povreda prouzročila takvu štetu, koja se stoga ne može samo pretpostaviti zbog nastanka navedene povrede (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 42. i 50., kao i od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 35.).
43 Kada određena osoba uspije dokazati da joj je zbog povrede OUZP‑a nastala šteta, u smislu članka 82. te uredbe, iz točke 33. ove presude u biti proizlazi da kriteriji za procjenu naknade štete koja se duguje u kontekstu pravnih sredstava za zaštitu prava koja pojedinci imaju na temelju tog članka moraju biti utvrđeni u okviru pravnog poretka svake države članice, pod uvjetom da je takva naknada štete potpuna i učinkovita.
44 U tom je pogledu Sud presudio da članak 82. stavak 1. OUZP‑a ne zahtijeva da, nakon utvrđene povrede odredaba te uredbe, šteta koju navodi ispitanik mora doseći „najniži prag” kako bi dovela do prava na naknadu štete (vidjeti u tom smislu presudu od 14. prosinca 2023., Gemeinde Ummendorf, C 456/22, EU:C:2023:988, t. 18.).
45 Međutim, takva razmatranja ne isključuju mogućnost da nacionalni sudovi dodijele male naknade štete, pod uvjetom da se tom naknadom štete u potpunosti naknađuje navedena šteta, što je na sudu koji je uputio zahtjev da provjeri, uz poštovanje načela navedenih u točki 43. ove presude.
46 S obzirom na prethodno navedeno, na četvrto pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP‑a treba tumačiti na način da, kada se utvrdi šteta koja nije ozbiljna, nacionalni sud može dodijeliti ispitaniku minimalnu naknadu štete, pod uvjetom da se tom naknadom štete u potpunosti naknađuje pretrpljena šteta.
Peto pitanje
Dopuštenost
47 Europska komisija je u svojim pisanim očitovanjima postavila pitanje o relevantnosti petog pitanja kako bi odgovorila na glavne postupke, s obzirom na to da je utvrdila da se sud koji je uputio zahtjev nije pozvao ni na jednu konkretnu odredbu prava Unije.
48 U tom se pogledu peto pitanje odnosi na pojam „krađa identiteta” u smislu uvodne izjave 75. OUZP‑a te se formalno ne odnosi na članak 82. te uredbe. Međutim, sama činjenica da je Sud na apstraktan i općenit način pozvan donijeti odluku ne može imati za posljedicu nedopuštenost zahtjeva za prethodnu odluku (presuda od 15. studenoga 2007., International Mail Spain, C‑162/06, EU:C:2007:681, t. 24.).
49 Međutim, tim pitanjem sud koji je uputio zahtjev traži od Suda da protumači pojam „krađa identiteta”, kako je naveden u uvodnoj izjavi 75. OUZP‑a, kako bi se utvrdio iznos novčane naknade štete predviđene člankom 82. OUZP‑a. Stoga se to pitanje doista odnosi na odredbu prava Unije. Uostalom, odgovor na to pitanje također je relevantan jer se ni sud koji je uputio zahtjev ni stranke glavnog postupka ne slažu oko definicije tog pojma u svrhu određivanja štete pretrpljene u glavnim postupcima.
50 U tim je okolnostima peto pitanje dopušteno.
Meritum
51 Prema ustaljenoj sudskoj praksi, u okviru postupka suradnje između nacionalnih sudova i Suda uspostavljene člankom 267. UFEU‑a, na Sudu je da nacionalnom sudu pruži koristan odgovor koji će mu omogućiti da riješi spor koji se pred njim vodi. U tom smislu, Sud će, prema potrebi, preoblikovati pitanja koja su mu postavljena. Usto, Sud može uzeti u obzir pravila prava Unije na koja se nacionalni sud nije pozvao u svojem pitanju (presuda od 7. rujna 2023., Groenland Poultry, C‑169/22, EU:C:2023:638, t. 47. i navedena sudska praksa).
52 U ovom se slučaju peto pitanje odnosi na pravo na naknadu štete predviđeno člankom 82. stavkom 1. OUZP‑a i konkretnije na pojam „krađa identiteta” iz uvodne izjave 75. OUZP‑a. Međutim, treba istaknuti da se taj pojam, osim u toj uvodnoj izjavi, spominje i u uvodnoj izjavi 85. te uredbe.
53 Slijedom toga, treba smatrati da svojim petim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP‑a, u vezi s uvodnim izjavama 75. i 85. te uredbe, tumačiti na način da, kako bi bio određen i doveo do prava na naknadu nematerijalne štete na temelju te odredbe, pojam „krađa identiteta” podrazumijeva da identitet osobe na koju se odnosi krađa osobnih podataka zapravo zlouporabi treća osoba ili ako je takva krađa identiteta određena time što ta treća osoba raspolaže podacima koji omogućuju identifikaciju ispitanika.
54 Pojam krađe identiteta nije definiran u OUZP‑u. Međutim, „krađa identiteta” ili „prijevara [povezana s identitetom]” navedene su u uvodnoj izjavi 75. te uredbe kao dio netaksativnog popisa posljedica obrade osobnih podataka koje bi mogle dovesti do fizičke ili materijalne štete, ili nematerijalne štete. U uvodnoj izjavi 85. navedene uredbe „krađa” ili „prijevara [povezana s identitetom]” ponovno se navode zajedno s popisom fizičkih ili materijalnih šteta, ili nematerijalnih šteta koje mogu biti prouzročene povredom osobnih podataka.
55 Kao što je to nezavisni odvjetnik istaknuo u točki 29. svojeg mišljenja, različite jezične verzije uvodnih izjava 75. i 85. OUZP‑a spominju pojmove krađa identiteta, prijevara povezana s identitetom, zlouporaba identiteta, protupravno korištenje identiteta, pronevjera identiteta i prisvajanje identiteta koji se u njima koriste bez razlike. Slijedom toga, pojmovi „krađa identiteta“ ili „prijevara [povezana s identitetom]“ međusobno su zamjenjivi i među njima nije moguće praviti nikakvu razliku. Ta dva potonja pojma dovode do pretpostavke o volji za prisvajanjem identiteta osobe čiji su osobni podaci prethodno bili ukradeni.
56 Štoviše, kao što je to također istaknuo nezavisni odvjetnik u točki 30. svojeg mišljenja, među različitim pojmovima navedenima u popisima koji se nalaze u uvodnim izjavama 75. i 85. OUZP‑a, „gubitak nadzora” ili spriječenost u „obavljanju nadzora” nad osobnim podacima razlikuju se od krađe identiteta ili prijevare [povezane s identitetom]. Iz toga slijedi da se sâm pristup takvim podacima i preuzimanje nadzora nad tim podacima, koji bi se mogli smatrati krađom tih podataka, ne mogu smatrati „krađom identiteta” ili „prijevarom [povezanom s identitetom]”. Drugim riječima, krađa osobnih podataka nije sama po sebi krađa identiteta ili prijevara [povezana s identitetom].
57 Međutim, u tom pogledu valja pojasniti da se naknada nematerijalne štete prouzročene krađom osobnih podataka, na temelju članka 82. stavka 1. OUZP‑a, ne može ograničiti na slučajeve u kojima je dokazano da je takva krađa podataka kasnije dovela do krađe identiteta ili prijevare [povezane s identitetom]. Naime, krađa osobnih podataka ispitanika daje pravo na naknadu nematerijalne štete koju je pretrpio ispitanik na temelju članka 82. stavka 1. OUZP‑a ako se primjenjuju tri uvjeta utvrđena u toj odredbi, odnosno obrada osobnih podataka protivna odredbama OUZP‑a, šteta ili šteta koju je pretrpio ispitanik, i uzročna veza između te nezakonite obrade i te štete (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka) (C‑300/21, EU:C:2023:370, t. 32. i 36.).
58 Slijedom navedenog, na peto pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP‑a, u vezi s uvodnim izjavama 75. i 85. te uredbe, treba tumačiti na način da, kako bi bio određen i doveo do prava na naknadu nematerijalne štete na temelju te odredbe, pojam „krađa identiteta” podrazumijeva da treća osoba stvarno zlouporabi identitet osobe na koju se odnosi krađa osobnih podataka. Međutim, naknada nematerijalne štete prouzročene krađom osobnih podataka, na temelju navedene odredbe, ne može se ograničiti na slučajeve u kojima je dokazano da je takva krađa podataka potom dovela do krađe identiteta ili prijevare [povezane s identitetom].
Troškovi
59 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (treće vijeće) odlučuje:
1. Članak 82. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),
treba tumačiti na način da:
pravo na naknadu štete predviđeno tom odredbom ispunjava isključivo kompenzacijsku funkciju jer novčana naknada koja se temelji na navedenoj odredbi mora omogućiti da se u potpunosti nadoknadi pretrpljena šteta.
2. Članak 82. stavak 1. Uredbe 2016/679
treba tumačiti na način da se:
tim člankom ne zahtijeva da se u svrhu naknade štete na temelju te odredbe uzme u obzir stupanj ozbiljnosti povrede i moguću namjeru voditelja obrade počinjenja povrede te uredbe.
3. Članak 82. stavak 1. Uredbe 2016/679
treba tumačiti na način da:
prilikom određivanja iznosa naknade štete koja se duguje na temelju prava na naknadu nematerijalne štete, treba smatrati da takva šteta uzrokovana povredom osobnih podataka po svojoj prirodi nije manje važna od štete zbog tjelesne ozljede.
4. Članak 82. stavak 1. Uredbe 2016/679
treba tumačiti na način da:
kada se utvrdi šteta koja nije ozbiljna, nacionalni sud može dodijeliti ispitaniku minimalnu naknadu štete, pod uvjetom da se tom naknadom štete u potpunosti naknađuje pretrpljena šteta.
5. Članak 82. stavak 1. Uredbe 2016/679, u vezi s uvodnim izjavama 75. i 85. te uredbe,
treba tumačiti na način da:
kako bi bio određen i doveo do prava na naknadu nematerijalne štete na temelju te odredbe, pojam „krađa identiteta” podrazumijeva da treća osoba stvarno zlouporabi identitet osobe na koju se odnosi krađa osobnih podataka. Međutim, naknada nematerijalne štete prouzročene krađom osobnih podataka, na temelju navedene odredbe, ne može se ograničiti na slučajeve u kojima je dokazano da je takva krađa podataka potom dovela do krađe identiteta ili prijevare [povezane s identitetom].
Potpisi