ARREST VAN HET HOF (Derde kamer)
4 mei 2023 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 82, lid 1 – Recht op vergoeding van schade ten gevolge van een gegevensverwerking die inbreuk maakt op deze verordening – Voorwaarden voor het recht op vergoeding – Ontoereikendheid van de enkele inbreuk op deze verordening – Noodzaak van door die inbreuk veroorzaakte schade – Vergoeding van immateriële schade als gevolg van een dergelijke verwerking – Onverenigbaarheid van een nationale regel op grond waarvan die schade slechts kan worden vergoed bij overschrijding van een drempel van ernst – Regels voor de vaststelling van schadevergoeding door de nationale rechters”
In zaak C‑300/21,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk) bij beslissing van 15 april 2021, ingekomen bij het Hof op 12 mei 2021, in de procedure
UI
tegen
Österreichische Post AG,
wijst
HET HOF (Derde kamer),
samengesteld als volgt: K. Jürimäe, kamerpresident, M. Safjan, N. Piçarra, N. Jääskinen (rapporteur) en M. Gavalec, rechters,
advocaat-generaal: M. Campos Sánchez-Bordona,
griffier: A. Calot Escobar,
gezien de stukken,
gelet op de opmerkingen van:
– UI, die zelf in rechte optreedt als Rechtsanwalt,
– Österreichische Post AG, vertegenwoordigd door R. Marko, Rechtsanwalt,
– de Oostenrijkse regering, vertegenwoordigd door A. Posch, J. Schmoll en G. Kunnert als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door O. Serdula, M. Smolek en J. Vláčil als gemachtigden,
– Ierland, vertegenwoordigd door M. Browne, A. Joyce, M. Lane en M. Tierney als gemachtigden, bijgestaan door D. Fennelly, BL,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, M. Heller en H. Kranenborg als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 6 oktober 2022,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 82 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”), gelezen in samenhang met de beginselen van gelijkwaardigheid en doeltreffendheid.
2 Dit verzoek is ingediend in het kader van een geding tussen UI en Österreichische Post AG over het door UI ingestelde beroep tot vergoeding van de immateriële schade die hij stelt te hebben geleden als gevolg van de verwerking door deze onderneming van gegevens over de politieke gezindheid van in Oostenrijk wonende personen, met name van hemzelf, hoewel hij voor die verwerking geen toestemming had gegeven.
Toepasselijke bepalingen
3 In de overwegingen 10, 75, 85 en 146 AVG staat te lezen:
„(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. […]
[…]
(75) Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in ernstige lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, identiteitsdiefstal of ‑fraude, financiële verliezen, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, ongeoorloofde ongedaanmaking van pseudonimisering, of enig ander aanzienlijk economisch of maatschappelijk nadeel; wanneer de betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen; wanneer persoonsgegevens worden verwerkt waaruit ras of etnische afkomst, politieke opvattingen […] blijkt […].
[…]
(85) Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen, zoals verlies van controle over hun persoonsgegevens of de beperking van hun rechten, discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, ongeoorloofde ongedaanmaking van pseudonimisering, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, of enig ander aanzienlijk economisch of maatschappelijk nadeel voor de natuurlijke persoon in kwestie. […]
[…]
(146) De verwerkingsverantwoordelijke of de verwerker moeten alle schade vergoeden die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op deze verordening. De verwerkingsverantwoordelijke of de verwerker moet van zijn aansprakelijkheid worden vrijgesteld indien hij bewijst dat hij niet verantwoordelijk is voor de schade. Het begrip ‚schade’ moet ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Dit laat eventuele eisen tot schadeloosstelling wegens inbreuken op andere regels in het Unierecht of het lidstatelijke recht onverlet. Onder verwerking die inbreuk maakt op deze verordening, valt eveneens een verwerking die inbreuk maakt op gedelegeerde handelingen en uitvoeringshandelingen die werden vastgesteld overeenkomstig deze verordening, alsmede het lidstatelijke recht waarin in deze verordening vervatte regels worden gespecificeerd. De betrokkenen dienen volledige en daadwerkelijke vergoeding van door hen geleden schade te ontvangen. […]”
4 Artikel 1 AVG („Onderwerp en doelstellingen”) bepaalt in de leden 1 en 2:
„1. Bij deze verordening worden regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens.
2. Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.”
5 Artikel 4 („Definities”), punt 1, AVG luidt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); […]”
6 Hoofdstuk VIII van de AVG („Beroep, aansprakelijkheid en sancties”) bevat de artikelen 77 tot en met 84 van deze verordening.
7 Artikel 77 AVG betreft het „recht om een klacht in te dienen bij een toezichthoudende autoriteit”, terwijl artikel 78 AVG betrekking heeft op het „recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”.
8 Artikel 82 AVG („Recht op schadevergoeding en aansprakelijkheid”) bepaalt in de leden 1 en 2:
„1. Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.
2. Elke verwerkingsverantwoordelijke die bij verwerking is betrokken, is aansprakelijk voor de schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening. […]”
9 Artikel 83 AVG („Algemene voorwaarden voor het opleggen van administratieve geldboeten”) bepaalt in lid 1:
„Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.”
10 Artikel 84 AVG („Sancties”) bepaalt in lid 1:
„De lidstaten stellen de regels inzake andere sancties vast die van toepassing zijn op inbreuken op deze verordening, in het bijzonder op inbreuken die niet aan administratieve geldboeten onderworpen zijn overeenkomstig artikel 83, en treffen alle nodige maatregelen om ervoor te zorgen dat zij worden toegepast. Die sancties zijn doeltreffend, evenredig en afschrikkend.”
Hoofdgeding en prejudiciële vragen
11 Sinds 2017 heeft Österreichische Post, een vennootschap naar Oostenrijks recht die actief is als handelaar in adressen, informatie verzameld over de politieke gezindheid van de Oostenrijkse bevolking. Met behulp van een algoritme dat rekening houdt met diverse sociale en demografische criteria, heeft zij „adressen van doelgroepen” gedefinieerd. De aldus gegenereerde gegevens zijn aan verschillende organisaties verkocht om hen in staat te stellen doelgericht reclame te verzenden.
12 In het kader van haar werkzaamheden heeft Österreichische Post gegevens verwerkt waaruit zij door middel van statistische extrapolatie heeft afgeleid dat verzoeker in het hoofdgeding een hoge affiniteit had met een bepaalde Oostenrijkse politieke partij. Deze gegevens zijn niet aan derden doorgegeven. Verzoeker in het hoofdgeding, die geen toestemming had gegeven voor de verwerking van zijn persoonsgegevens, vond het echter beledigend dat hem een affiniteit met de partij in kwestie werd toegeschreven. Het feit dat er gegevens over zijn veronderstelde politieke opvattingen binnen die vennootschap werden bewaard, heeft hem erg boos gemaakt en ervoor gezorgd dat hij zijn vertrouwen is verloren en dat hij zich voor schut gezet voelde. Uit de verwijzingsbeslissing blijkt dat er geen andere dan deze tijdelijke emotionele schade is vastgesteld.
13 Tegen deze achtergrond heeft verzoeker in het hoofdgeding bij het Landesgericht für Zivilrechtssachen Wien (civiele rechter in eerste aanleg Wenen, Oostenrijk) beroep ingesteld, waarin hij vorderde Österreichische Post ertoe te veroordelen om de verwerking van de betrokken persoonsgegevens te staken en hem een bedrag van 1 000 EUR te betalen ter vergoeding van de immateriële schade die hij stelt te hebben geleden. Bij beslissing van 14 juli 2020 heeft deze rechter het verzoek tot staken toegewezen, maar het verzoek om schadevergoeding afgewezen.
14 In hoger beroep heeft het Oberlandesgericht Wien (hoogste rechterlijke instantie van de deelstaten Burgenland, Neder-Oostenrijk en Wenen, Oostenrijk) bij arrest van 9 december 2020 de beslissing in eerste aanleg bevestigd. Wat de schadevordering betreft, heeft deze rechter verwezen naar de overwegingen 75, 85 en 146 AVG en geoordeeld dat de nationaalrechtelijke bepalingen van de lidstaten inzake wettelijke aansprakelijkheid deze verordening aanvullen, voor zover deze laatste geen bijzondere regels bevat. In dit verband heeft die rechter opgemerkt dat inbreuk op de regels inzake de bescherming van persoonsgegevens naar Oostenrijks recht niet automatisch leidt tot immateriële schade en alleen recht op schadevergoeding geeft wanneer die schade een bepaalde „drempel van ernst” bereikt. Dat is echter niet het geval voor de negatieve gevoelens die verzoeker in het hoofdgeding heeft aangevoerd.
15 Beide partijen in het hoofdgeding hebben beroep in Revision ingesteld bij het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk), dat bij tussenarrest van 15 april 2021 het beroep van Österreichische Post tegen de haar opgelegde stakingsverplichting heeft afgewezen. Deze rechter moet dus alleen nog uitspraak doen over het beroep in Revision dat verzoeker in het hoofdgeding heeft ingesteld tegen de afwijzing van zijn schadevordering.
16 Ter ondersteuning van het verzoek om een prejudiciële beslissing wijst de verwijzende rechter erop dat uit overweging 146 AVG blijkt dat bij artikel 82 van deze verordening een eigen aansprakelijkheidsregeling voor de bescherming van persoonsgegevens is ingevoerd die in de plaats is gekomen voor de in de lidstaten geldende regelingen. Bijgevolg moeten de begrippen in artikel 82 AVG, in het bijzonder het begrip „schade” in lid 1, autonoom worden uitgelegd en moeten de voorwaarden waaronder die aansprakelijkheid kan worden ingeroepen niet worden bepaald op basis van de regels van het nationale recht, maar op basis van de vereisten van het Unierecht.
17 Meer in het bijzonder moet in de eerste plaats worden opgemerkt dat – wat het recht op schadevergoeding voor een inbreuk op de bescherming van persoonsgegevens betreft – de verwijzende rechter, in het licht van de zesde volzin van overweging 146 AVG, geneigd is te oordelen dat een schadevergoeding op grond van artikel 82 AVG veronderstelt dat de betrokkene daadwerkelijk materiële of immateriële schade heeft geleden. Een dergelijke vergoeding kan alleen worden toegekend indien er een concrete schade wordt aangetoond die verschilt van genoemde inbreuk, welke op zich niet bewijst dat er sprake is van immateriële schade. Overweging 75 AVG verwijst naar de enkele mogelijkheid van immateriële schade als gevolg van de daarin opgesomde inbreuken en hoewel overweging 85 AVG melding maakt van het risico van „verlies van controle” over de betrokken gegevens, is dit risico in dit geval onzeker omdat de gegevens niet aan een derde partij zijn doorgegeven.
18 In de tweede plaats is deze rechter met betrekking tot de beoordeling van de schadevergoeding die op grond van artikel 82 AVG kan worden toegekend, van mening dat het Unierechtelijke doeltreffendheidsbeginsel slechts beperkte gevolgen kan hebben, aangezien de AVG reeds in zware sancties voorziet in geval van inbreuk op haar bepalingen, en het dus niet nodig is om daarnaast hoge schadevergoedingen toe te kennen om de nuttige werking van deze verordening te waarborgen. De in dit verband verschuldigde schadevergoeding moet evenredig, doeltreffend en afschrikkend zijn, zodat de toegekende schadevergoeding een compensatoire functie kan vervullen, maar geen punitief karakter heeft; dat laatste is namelijk niet de insteek van het Unierecht.
19 In de derde plaats zet de verwijzende rechter vraagtekens bij de door Österreichische Post verdedigde stelling dat een dergelijke vergoeding alleen kan worden toegekend indien de inbreuk op de bescherming van persoonsgegevens bijzonder ernstige schade heeft veroorzaakt. In dit verband benadrukt hij dat overweging 146 AVG pleit voor een ruime uitlegging van het begrip „schade” in de zin van deze verordening. Immateriële schade moet op grond van artikel 82 AVG worden vergoed indien zij waarneembaar is, ook al is zij gering. Die schade hoeft daarentegen niet te worden vergoed indien zij volstrekt verwaarloosbaar is, zoals het geval is bij louter het onbehagen dat een dergelijke inbreuk gewoonlijk opwekt.
20 In die omstandigheden heeft het Oberste Gerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Vereist de toekenning van schadevergoeding overeenkomstig artikel 82 [AVG] naast een inbreuk op de bepalingen van de AVG ook dat de eisende partij schade heeft geleden, of volstaat reeds de inbreuk op bepalingen van de AVG als zodanig voor de toekenning van schadevergoeding?
2) Bestaan er voor de berekening van de schadevergoeding naast de beginselen van doeltreffendheid en gelijkwaardigheid andere Unierechtelijke bepalingen?
3) Is de opvatting dat de toekenning van [een vergoeding voor] immateriële schade veronderstelt dat er sprake is van een effect of gevolg van de inbreuk dat op zijn minst van enig belang is en verder gaat dan de door de inbreuk ontstane ergernis, verenigbaar met het Unierecht?”
Beantwoording van de prejudiciële vragen
Ontvankelijkheid van de eerste en de tweede vraag
21 Verzoeker in het hoofdgeding stelt in wezen dat de eerste vraag niet-ontvankelijk is omdat zij hypothetisch is. Om te beginnen voert hij aan dat zijn schadevordering niet is gebaseerd op het „enkele feit” dat inbreuk is gemaakt op een bepaling van de AVG. Vervolgens bestaat er luidens de verwijzingsbeslissing consensus over dat schadevergoeding slechts verschuldigd is wanneer een dergelijke inbreuk gepaard gaat met daadwerkelijk geleden schade. Ten slotte lijkt zijns inziens het enige geschilpunt tussen partijen in het hoofdgeding te zijn of de schade een bepaalde „drempel van ernst” moet overschrijden. Indien het Hof de hierover gestelde derde vraag ontkennend zou beantwoorden – zoals verzoeker in het hoofdgeding zelf voorstelt – zou de eerste vraag geen nut hebben voor de beslechting van het geding.
22 Verzoeker in het hoofdgeding stelt tevens dat de tweede vraag niet-ontvankelijk is omdat deze zowel zeer ruim is qua inhoud als te onnauwkeurig is geformuleerd, aangezien de verwijzende rechter het heeft over „Unierechtelijke bepalingen”, zonder concreet aan te geven over welke bepalingen het precies gaat.
23 In dit verband zij eraan herinnerd dat het volgens vaste rechtspraak uitsluitend een zaak is van de nationale rechter aan wie het geschil is voorgelegd en die de verantwoordelijkheid draagt voor de te geven rechterlijke beslissing om, rekening houdend met de bijzonderheden van het geval, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis als de relevantie van de vragen die hij aan het Hof voorlegt te beoordelen, waarbij voor deze vragen een vermoeden van relevantie geldt. Wanneer de gestelde vraag betrekking heeft op de uitlegging of de geldigheid van een regel van het Unierecht, is het Hof derhalve in beginsel verplicht daarop te antwoorden, tenzij de gevraagde uitlegging kennelijk geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, het vraagstuk van hypothetische aard is of het Hof niet beschikt over de feitelijke en juridische gegevens die noodzakelijk zijn om een zinvol antwoord te geven op de gestelde vraag (zie in die zin arresten van 15 december 1995, Bosman, C‑415/93, EU:C:1995:463, punt 61; 7 september 1999, Beck en Bergdorf, C‑355/97, EU:C:1999:391, punt 22, en 5 mei 2022, Zagrebačka banka, C‑567/20, EU:C:2022:352, punt 43 en aldaar aangehaalde rechtspraak).
24 In de onderhavige procedure betreft de eerste vraag de voorwaarden voor het vorderen van schadevergoeding op grond van artikel 82 AVG. Bovendien ligt het niet voor de hand dat de gevraagde uitlegging geen verband houdt met het hoofdgeding of dat het opgeworpen vraagstuk van hypothetische aard is. Ten eerste heeft dit geding immers betrekking op een vordering tot schadevergoeding op grond van de bij de AVG ingevoerde regeling voor de bescherming van persoonsgegevens. Ten tweede strekt deze vraag ertoe te vernemen of het voor de toepassing van de in die verordening vastgelegde aansprakelijkheidsregels noodzakelijk is dat de betrokkene andere schade heeft geleden dan een inbreuk als zodanig op de verordening.
25 Wat de tweede vraag betreft, is reeds geoordeeld dat het enkele feit dat het Hof wordt verzocht om zich in abstracte en algemene bewoordingen uit te spreken, niet tot gevolg kan hebben dat het verzoek om een prejudiciële beslissing niet-ontvankelijk wordt (arrest van 15 november 2007, International Mail Spain, C‑162/06, EU:C:2007:681, punt 24). Een in dergelijke bewoordingen gestelde vraag kan als hypothetisch – en dus niet-ontvankelijk – worden beschouwd indien de verwijzingsbeslissing geen minimum aan uitleg bevat aan de hand waarvan een verband kan worden gelegd tussen die vraag en het hoofdgeding (zie in die zin arrest van 8 juli 2021, Sanresa, C‑295/20, EU:C:2021:556, punten 69 en 70).
26 Dit is hier echter niet het geval, aangezien de verwijzende rechter uiteenzet dat zijn tweede vraag is gerezen na twijfel over de vraag of in het kader van het onderzoek of Österreichische Post schadevergoeding moet betalen wegens een inbreuk op de AVG, niet alleen rekening moet worden gehouden met de in die vraag genoemde beginselen van gelijkwaardigheid en doeltreffendheid, maar ook met eventuele andere Unierechtelijke bepalingen. Het feit dat de verwijzende rechter niet meer specifieke gegevens heeft verstrekt dan die welke betrekking hebben op die beginselen, belet het Hof in dit verband niet om een passende uitlegging van de relevante bepalingen van het Unierecht te geven.
27 Bijgevolg zijn de eerste en de tweede vraag ontvankelijk.
Ten gronde
Eerste vraag
28 Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 82, lid 1, AVG aldus moet worden uitgelegd dat een inbreuk op de bepalingen van deze verordening op zich volstaat voor de toekenning van een recht op schadevergoeding.
29 In dit verband zij eraan herinnerd dat de bewoordingen van een Unierechtelijke bepaling die voor de betekenis en de draagwijdte ervan niet uitdrukkelijk verwijst naar het recht van de lidstaten, volgens vaste rechtspraak normaal gesproken in de gehele Unie autonoom en uniform moeten worden uitgelegd [arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) C‑439/19, EU:C:2021:504, punt 81, en 10 februari 2022, ShareWood Switzerland C‑595/20, EU:C:2022:86, punt 21], waarbij met name rekening dient te worden gehouden met het doel van die bepaling en de context ervan (zie in die zin arresten van 15 april 2021, The North of England P & I Association, C‑786/19, EU:C:2021:276, punt 48, en 10 juni 2021, KRONE – Verlag, C‑65/20, EU:C:2021:471, punt 25).
30 De AVG verwijst echter niet naar het recht van de lidstaten voor wat betreft de betekenis en de draagwijdte van de bewoordingen van artikel 82 van deze verordening, inzonderheid voor de begrippen „materiële of immateriële schade” en „schadevergoeding voor de geleden schade”. Bijgevolg moeten deze begrippen voor de toepassing van deze verordening worden geacht autonome Unierechtelijke begrippen te betreffen, die op het grondgebied van alle lidstaten uniform moeten worden uitgelegd.
31 Wat in de eerste plaats de tekst van artikel 82 AVG betreft, bepaalt lid 1 van dit artikel dat „eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, [het recht heeft] om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade”.
32 Uit de bewoordingen van deze bepaling blijkt duidelijk dat het bestaan van „geleden schade” een van de voorwaarden is voor het in die bepaling bedoelde recht op vergoeding, net zoals het bestaan van een inbreuk op de AVG en een causaal verband tussen die schade en die inbreuk, waarbij deze drie voorwaarden cumulatief vervuld moeten zijn.
33 Derhalve kan niet worden aangenomen dat elke „inbreuk” op de AVG op zich al leidt tot dit recht op schadevergoeding voor de betrokkene in de zin van artikel 4, punt 1, van deze verordening. Een dergelijke uitlegging zou indruisen tegen de bewoordingen van artikel 82, lid 1, van die verordening.
34 Verder zou de afzonderlijke vermelding van „schade” en „inbreuk” in artikel 82, lid 1, AVG overbodig zijn indien de Uniewetgever als uitgangspunt had genomen dat een inbreuk op deze verordening op zich en hoe dan ook volstaat om een schadevordering in te kunnen stellen.
35 In de tweede plaats wordt bovenstaande letterlijke uitlegging bevestigd door de context waarin deze bepaling is opgenomen.
36 Artikel 82, lid 2, AVG – waarin de aansprakelijkheidsregeling, waarvan het principe in lid 1 van dat artikel is vastgelegd, nader wordt omschreven – neemt immers de drie voorwaarden voor het ontstaan van het recht op schadevergoeding over, namelijk: ten eerste, een verwerking van persoonsgegevens die inbreuk maakt op de AVG, ten tweede, door de betrokkene geleden schade en, ten derde, een oorzakelijk verband tussen de onrechtmatige verwerking en de schade.
37 Voorts wordt deze uitlegging bevestigd door de toelichting in de overwegingen 75, 85 en 146 AVG. Overweging 146, die specifiek betrekking heeft op het recht op schadevergoeding krachtens artikel 82, lid 1, van deze verordening, verwijst in de eerste volzin ervan naar de „schade […] die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op [die] verordening”. Voorts staat in de overwegingen 75 en 85 te lezen dat „het […] risico […] kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in […] schade” respectievelijk dat een „inbreuk in verband met persoonsgegevens kan […] resulteren in […] schade”. Hieruit volgt, ten eerste, dat het intreden van schade in het kader van een dergelijke verwerking slechts potentieel is, ten tweede, dat een inbreuk op de AVG niet noodzakelijkerwijs tot schade leidt en, ten derde, dat er een causaal verband moet bestaan tussen de betrokken inbreuk en de door de betrokkene geleden schade om een recht op schadevergoeding te kunnen doen ontstaan.
38 De letterlijke uitlegging van artikel 82, lid 1, AVG wordt ook bevestigd door een vergelijking met andere bepalingen die eveneens zijn opgenomen in hoofdstuk VIII van de AVG, dat onder meer de verschillende beroepswegen regelt waarmee de betrokkene zijn rechten kan beschermen ingeval hij meent dat zijn persoonsgegevens in strijd met die verordening zijn verwerkt.
39 In dit verband moet worden opgemerkt dat de in dat hoofdstuk vervatte artikelen 77 en 78 AVG voorzien in beroepswegen bij of tegen een toezichthoudende autoriteit in geval van een vermeende inbreuk op deze verordening, zonder dat zij – in tegenstelling tot de bewoordingen van artikel 82 AVG met betrekking tot schadevorderingen – een verwijzing bevatten naar het feit dat de betrokkene „schade” moet hebben geleden om tegen die inbreuk te kunnen opkomen. Dit verschil in formulering wijst op het belang van het schade-criterium, en dus op de bijzonderheid ervan ten opzichte van het inbreuk-criterium voor schadevorderingen op basis van de AVG.
40 Verder hebben de artikelen 83 en 84 AVG, die het opleggen van administratieve geldboeten en andere sancties mogelijk maken, hoofdzakelijk een bestraffend doel en zijn zij niet afhankelijk van het bestaan van individuele schade. De verhouding tussen de regels van artikel 82 AVG en die van de artikelen 83 en 84 AVG toont aan dat er een verschil bestaat tussen deze twee categorieën bepalingen, maar dat zij elkaar ook aanvullen in de zin dat naleving van de AVG wordt gestimuleerd, met dien verstande dat het recht van eenieder om schadevergoeding te vorderen de werking van de beschermende bepalingen van deze verordening vergroot en inbreukplegers kan weerhouden van herhaling van onrechtmatig gedrag.
41 Ten slotte is het van belang erop te wijzen dat uit overweging 146, vierde volzin, AVG blijkt dat de toepassing van de regels van de AVG de eventuele eisen tot schadeloosstelling wegens inbreuken op andere regels in het Unierecht of het lidstatelijke recht onverlet laat.
42 Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 82, lid 1, AVG aldus moet worden uitgelegd dat een inbreuk op de bepalingen van deze verordening op zich niet volstaat voor de toekenning van een recht op schadevergoeding.
Derde vraag
43 Met zijn derde vraag, die vóór de tweede vraag moet worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of artikel 82, lid 1, AVG aldus moet worden uitgelegd dat deze bepaling zich verzet tegen een nationale regel of praktijk op grond waarvan immateriële schade in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt.
44 Zoals in punt 30 van dit arrest is benadrukt, moet het begrip „schade”, en meer in het bijzonder het begrip „immateriële schade” in de zin van artikel 82 AVG autonoom en uniform worden gedefinieerd binnen het Unierecht omdat er niet wordt verwezen naar het interne recht van de lidstaten.
45 In de eerste plaats wordt het begrip „schade” in de AVG niet omschreven voor de toepassing van dit instrument. In artikel 82 AVG is enkel bepaald dat niet alleen „materiële schade”, maar ook „immateriële schade” recht kan geven op vergoeding, zonder dat enige drempel van ernst wordt genoemd.
46 In de tweede plaats wijst de context van deze bepaling er ook op dat het recht op schadevergoeding niet afhankelijk is van de voorwaarde dat de schade in kwestie een bepaalde drempel van ernst bereikt. Volgens overweging 146, derde volzin, AVG moet het begrip „schade” namelijk „ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening”. Het zou dus in strijd zijn met deze door de Uniewetgever voorgestane ruime opvatting van het begrip „schade” indien dat begrip zou worden beperkt tot schade van een bepaalde ernst.
47 In de derde en laatste plaats vindt een dergelijke uitlegging steun in de doelstellingen van de AVG. In dit verband zij eraan herinnerd dat in overweging 146, derde volzin, AVG uitdrukkelijk wordt opgedragen om het begrip „schade” in de zin van de AVG uit te leggen op een wijze die „ten volle recht doet aan de doelstellingen van deze verordening”.
48 In het bijzonder blijkt uit overweging 10 AVG dat de bepalingen ervan met name tot doel hebben natuurlijke personen binnen de Unie een consistent en hoog niveau van bescherming tegen de verwerking van persoonsgegevens te bieden en daartoe een coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en fundamentele vrijheden van deze personen in verband met de verwerking van persoonsgegevens binnen de gehele Unie willen verzekeren [zie in die zin arresten van 16 juli 2020, Facebook Ireland en Schrems, C‑311/18, EU:C:2020:559, punt 101, en 12 januari 2023, Österreichische Post (Informatie over de ontvangers van persoonsgegevens), C‑154/21, EU:C:2023:3, punt 44 en aldaar aangehaalde rechtspraak].
49 Door de vergoeding van immateriële schade ervan afhankelijk te stellen dat een bepaalde drempel van ernst wordt bereikt, zou de samenhang van de bij de AVG ingevoerde regeling kunnen worden aangetast, aangezien die drempel – waarvan de mogelijkheid om die vergoeding te verkrijgen afhankelijk zou zijn – hoger of lager zou kunnen worden gelegd naargelang van de beoordeling van de aangezochte rechter.
50 Deze uitlegging kan echter niet aldus worden opgevat dat een persoon die wordt getroffen door een inbreuk op de AVG met negatieve gevolgen voor hem, niet hoeft te bewijzen dat die gevolgen immateriële schade in de zin van artikel 82 van deze verordening opleveren.
51 Gelet op een en ander moet op de derde vraag worden geantwoord dat artikel 82, lid 1, AVG aldus moet worden uitgelegd dat deze bepaling zich verzet tegen een nationale regel of praktijk op grond waarvan immateriële schade in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt.
Tweede vraag
52 Met zijn tweede vraag wenst de verwijzende rechter in essentie te vernemen of artikel 82 AVG aldus moet worden uitgelegd dat de nationale rechters bij de vaststelling van de hoogte van de schadevergoeding die op grond van het in dit artikel verankerde recht op schadevergoeding verschuldigd is, de interne regels van elke lidstaat inzake de omvang van de geldelijke schadevergoeding moeten toepassen met inachtneming van meer Unierechtelijke regels dan alleen de beginselen van gelijkwaardigheid en doeltreffendheid.
53 In dit verband zij eraan herinnerd dat het volgens vaste rechtspraak, bij ontbreken van Unievoorschriften ter zake, krachtens het beginsel van procedurele autonomie een zaak van de interne rechtsorde van de lidstaten is om de procedureregels vast te stellen voor vorderingen in rechte die worden ingediend ter bescherming van de rechten van de justitiabelen, op voorwaarde evenwel dat die regels – in situaties die binnen de werkingssfeer van het Unierecht vallen – niet ongunstiger zijn dan die welke voor soortgelijke situaties naar nationaal recht gelden (gelijkwaardigheidsbeginsel) en de uitoefening van de door het Unierecht verleende rechten in de praktijk niet onmogelijk of uiterst moeilijk maken (doeltreffendheidsbeginsel) (zie in die zin arresten van 13 december 2017, El Hassani, C‑403/16, EU:C:2017:960, punt 26, en 15 september 2022, Uniqa Versicherungen, C‑18/21, EU:C:2022:682, punt 36).
54 In casu moet worden opgemerkt dat de AVG geen bepaling bevat die tot doel heeft de regels vast te stellen voor de begroting van de schadevergoeding waarop een betrokkene in de zin van artikel 4, punt 1, AVG krachtens artikel 82 AVG aanspraak kan maken wanneer hij door een inbreuk op die verordening schade heeft geleden. Bij gebreke van Unierechtelijke regels ter zake is het derhalve een zaak van de rechtsorde van elke lidstaat om de regels vast te stellen voor vorderingen die worden ingediend ter bescherming van de rechten die de justitiabelen aan artikel 82 AVG ontlenen, en in het bijzonder de criteria ter bepaling van de omvang van de in dat verband verschuldigde vergoeding, mits het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel in acht worden genomen (zie naar analogie arrest van 13 juli 2006, Manfredi e.a., C‑295/04–C‑298/04, EU:C:2006:461, punten 92 en 98).
55 Wat het gelijkwaardigheidsbeginsel betreft, beschikt het Hof in de onderhavige procedure niet over gegevens die twijfel doen rijzen over de overeenstemming van de op het hoofdgeding toepasselijke nationale regeling met dit beginsel, en die er dus op zouden wijzen dat dit beginsel in het kader van deze procedure praktische gevolgen kan hebben.
56 Wat het doeltreffendheidsbeginsel betreft, staat het aan de verwijzende rechter om na te gaan of de in het Oostenrijkse recht vastgestelde regeling voor de gerechtelijke vaststelling van de schadevergoeding die op grond van het in artikel 82 AVG verankerde recht op schadevergoeding verschuldigd is, de uitoefening van de door het Unierecht en inzonderheid deze verordening verleende rechten in de praktijk niet onmogelijk of uiterst moeilijk maakt.
57 In dit verband moet worden benadrukt dat uit overweging 146, zesde volzin, AVG naar voren komt dat dit instrument een „volledige en daadwerkelijke vergoeding van [de] geleden schade” beoogt te waarborgen.
58 Gelet op de compensatoire functie van het recht op schadevergoeding krachtens artikel 82 AVG, moet een op deze bepaling gebaseerde geldelijke vergoeding – zoals de advocaat-generaal in wezen in de punten 39, 49 en 52 van zijn conclusie heeft opgemerkt – als „volledig en daadwerkelijk” worden beschouwd indien zij het mogelijk maakt de ten gevolge van de inbreuk op deze verordening werkelijk geleden schade volledig te vergoeden, zonder dat een dergelijke vergoeding vereist dat er een punitieve schadevergoeding wordt opgelegd.
59 Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 82 AVG aldus moet worden uitgelegd dat de nationale rechters bij de vaststelling van de hoogte van de schadevergoeding die op grond van het in dit artikel verankerde recht op schadevergoeding verschuldigd is, de interne regels van elke lidstaat inzake de omvang van de geldelijke schadevergoeding moeten toepassen, voor zover de Unierechtelijke beginselen van gelijkwaardigheid en doeltreffendheid in acht worden genomen.
Kosten
60 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Derde kamer) verklaart voor recht:
1) Artikel 82, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming),
moet aldus worden uitgelegd dat
een inbreuk op de bepalingen van deze verordening op zich niet volstaat voor de toekenning van een recht op schadevergoeding.
2) Artikel 82, lid 1, van verordening 2016/679
moet aldus worden uitgelegd dat
deze bepaling zich verzet tegen een nationale regel of praktijk op grond waarvan immateriële schade in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt.
3) Artikel 82 van verordening 2016/679
moet aldus worden uitgelegd dat
de nationale rechters bij de vaststelling van de hoogte van de schadevergoeding die op grond van het in dit artikel verankerde recht op schadevergoeding verschuldigd is, de interne regels van elke lidstaat inzake de omvang van de geldelijke schadevergoeding moeten toepassen, voor zover de Unierechtelijke beginselen van gelijkwaardigheid en doeltreffendheid in acht worden genomen.
ondertekeningen