Začasna izdaja

SODBA SODIŠČA (tretji senat)

z dne 14. decembra 2023(*)

„Predhodno odločanje – Varstvo osebnih podatkov – Uredba (EU) 2016/679 –Člen 82 – Pravica do odškodnine in odgovornost – Pojem ‚nepremoženjska škoda‘ – Spletna objava dnevnega reda seje občinskega sveta, ki vsebuje osebne podatke – Objava brez soglasja posameznikov, na katere se nanašajo osebni podatki – Zahtevek teh posameznikov za povrnitev nepremoženjske škode“

V zadevi C‑456/22,

katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Landgericht Ravensburg (deželno sodišče v Ravensburgu, Nemčija) z odločbo z dne 30. junija 2022, ki je na Sodišče prispela 8. julija 2022, v postopku

VX,

AT

proti

Gemeinde Ummendorf,

SODIŠČE (tretji senat),

v sestavi K. Jürimäe, predsednica senata, N. Piçarra, M. Safjan, N. Jääskinen (poročevalec) in M. Gavalec, sodniki,

generalni pravobranilec: N. Emiliou,

sodni tajnik: A. Calot Escobar,

na podlagi pisnega postopka,

ob upoštevanju stališč, ki so jih predložili:

–        za AT in VX O. Leuze, Rechtsanwalt,

–        za Gemeinde Ummendorf A. Staudacher, Rechtsanwalt,

–        za Irsko M. Browne, A. Joyce in M. Tierney, agenti, skupaj z D. Fennellyjem, BL,

–        za Evropsko komisijo A. Bouchagiar, M. Heller in H. Kranenborg, agenti,

na podlagi sklepa, sprejetega po opredelitvi generalnega pravobranilca, da bo v zadevi razsojeno brez sklepnih predlogov,

izreka naslednjo

Sodbo

1        Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 82(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).

2        Ta predlog je bil vložen v okviru spora med dvema fizičnima osebama, AT in VX, in Gemeinde Ummendorf (občina Ummendorf, Nemčija) v zvezi z dodelitvijo odškodnine na podlagi člena 82(1) SUVP iz naslova odškodnine za prestale bolečine (pretium doloris), ki naj bi jih utrpeli zaradi razkritja njunih osebnih podatkov na spletnem mestu te občine brez njune privolitve.

 Pravni okvir

3        V uvodni izjavi 146, prvi, tretji in šesti stavek, SUVP je navedeno:

„Upravljavec ali obdelovalec bi moral povrniti vso škodo, ki jo oseba lahko utrpi zaradi obdelave, ki krši to uredbo. […] Pojem škode bi bilo treba razlagati široko ob upoštevanju sodne prakse Sodišča na način, ki v celoti odraža cilje te uredbe. […] Posamezniki, na katere se nanašajo osebni podatki, bi morali prejeti celotno in učinkovito odškodnino za škodo, ki so jo utrpeli. […]“

4        Člen 5(1)(a) te uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„Osebni podatki morajo biti:

(a)      obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (‚zakonitost, poštenost in preglednost‘).“

5        Člen 82 navedene uredbe, naslovljen „Pravica do odškodnine in odgovornost“, v odstavku 1 določa:

„Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.“

 Spor o glavni stvari in vprašanje za predhodno odločanje

6        Občina Ummendorf je 19. junija 2020 brez soglasja tožečih strank iz postopka v glavni stvari na spletu objavila dnevni red seje občinskega sveta, na katerem sta bili na več mestih navedeni imeni tožečih strank, ter sodbo, ki jo je 10. marca 2020 razglasilo Verwaltungsgericht Sigmaringen (upravno sodišče v Sigmaringnu, Nemčija), v glavi katere so bili navedeni njuni imeni, priimka ter naslova. Ti dokumenti so bili na domači strani spletnega mesta te občine dostopni do 22. junija 2020.

7        Ker sta tožeči stranki iz postopka v glavni stvari menili, da je bil s to objavo kršen SUVP in da je občina Ummendorf ravnala namerno, ker so bila imena drugih strank iz postopka, v katerem je bila izdana navedena sodba, izbrisana, sta od občine zahtevali povračilo nepremoženjske škode, ki naj bi jo utrpeli v smislu člena 82(1) te uredbe. Menita, da nezakonito razkritje osebnih podatkov posameznika pomeni „škodo“ v smislu te določbe, ne da bi se bilo mogoče sklicevati na „prag de minimis“, ki naj bi bil v nasprotju s sistematiko SUVP in odvračilnim učinkom navedene določbe.

8        Občina Ummendorf pa meni, da je treba za povrnitev „nepremoženjske škode“ v smislu člena 82(1) SUVP dokazati občutne škodljive posledice in objektivno predstavljiv poseg v osebnostne interese.

9        Predložitveno sodišče, Landgericht Ravensburg (deželno sodišče v Ravensburgu, Nemčija), pri katerem je bila vložena pritožba v sporu med strankami iz postopka v glavni stvari, meni, da je občina Ummendorf s tem, da je na spletu objavila osebne podatke tožečih strank iz postopka v glavni stvari, kršila člen 5(1)(a) SUVP. Vendar se to sodišče sprašuje, ali je ta objava navedenima tožečima strankama povzročila nepremoženjsko škodo v smislu člena 82(1) te uredbe, tako da imata pravico do odškodnine za prestale bolečine.

10      Natančneje, predložitveno sodišče meni, da zgolj izguba nadzora nad osebnimi podatki tožečih strank iz postopka v glavni stvari ne zadostuje za opredelitev nepremoženjske škode v smislu člena 82(1) SUVP. Meni, da je treba za priznanje obstoja nepremoženjske škode preseči „prag de minimis“ in da to ni tako, če sta posameznika, na katera se nanašajo osebni podatki, nadzor nad svojimi podatki izgubila le za kratek čas, ne da bi jima to povzročilo dejansko škodo in ne da bi bil dokazan objektivno predstavljiv poseg v njune osebnostne interese.

11      V teh okoliščinah je Landgericht Ravensburg (deželno sodišče v Ravensburgu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:

„Ali je treba pojem nepremoženjske škode v členu 82(1) [SUVP] razlagati tako, da se za obstoj nepremoženjske škode zahtevajo občutni škodljivi učinki in objektivno predstavljiv poseg v osebnostne interese ali pa za to zadošča zgolj kratkotrajna izguba nadzora posameznika, na katerega se nanašajo osebni podatki, nad svojimi podatki zaradi objave osebnih podatkov na spletu za obdobje nekaj dni, ki takemu posamezniku ni povzročila nobenih občutnih oziroma škodljivih posledic?“

 Vprašanje za predhodno odločanje

12      Predložitveno sodišče z vprašanjem v bistvu sprašuje, ali je treba člen 82(1) SUVP razlagati tako, da nasprotuje nacionalni ureditvi ali nacionalni praksi, ki določa „prag de minimis“ za opredelitev nepremoženjske škode, povzročene s kršitvijo te uredbe.

13      V zvezi s tem je treba opozoriti, da ta določba določa, da ima „[v]sak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, […] pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo“.

14      Kot je poudarilo Sodišče, je iz besedila člena 82(1) Splošne uredbe o varstvu podatkov razvidno, da je obstoj „škode“, ki je „nastala“, eden od pogojev za pravico do odškodnine iz te določbe, in sicer poleg obstoja kršitve te uredbe in vzročne zveze med to škodo in to kršitvijo, pri čemer so ti trije pogoji kumulativni (sodbe z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 32, in z današnjega dne, Natsionalna agentsia za prihodite, C‑340/21, točka 77). Iz tega izhaja, da so ti trije pogoji potrebni in zadostni za pridobitev pravice do odškodnine v smislu navedene določbe.

15      Glede na neobstoj vsakršnega sklicevanja na notranje pravo držav članic v členu 82(1) SUVP je treba pojem „nepremoženjska škoda“ v smislu te določbe opredeliti avtonomno in enotno v okviru prava Unije (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 30 in 44).

16      S tega vidika je Sodišče na podlagi hkrati dobesednih, sistemskih in teleoloških preudarkov člen 82(1) SUVP razlagalo tako, da nasprotuje nacionalnemu pravilu ali praksi, ki odškodnino za „nepremoženjsko škodo“ v smislu te določbe pogojuje s tem, da je škoda, ki je nastala posamezniku, na katerega se nanašajo osebni podatki, dosegla določeno stopnjo resnosti (sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 51, in z današnjega dne, Natsionalna agentsia za prihodite, C‑340/21, točka 78).

17      Tako ni mogoče šteti, da je mogoče poleg treh pogojev iz točke 14 te sodbe dodati še druge pogoje za uveljavljanje odgovornosti iz člena 82(1) SUVP, kot sta občutnost škode ali objektivnost kršitve.

18      Iz tega izhaja, da člen 82(1) SUVP ne zahteva, da mora po dokazani kršitvi določb te uredbe „nepremoženjska škoda“, ki jo zatrjuje posameznik, na katerega se nanašajo osebni podatki, za povrnitev te škode doseči „prag de minimis“.

19      Ta razlaga je potrjena z uvodno izjavo 146, tretji stavek, SUVP, v kateri je navedeno, da bi bilo treba „[p]ojem škode […] razlagati široko ob upoštevanju sodne prakse Sodišča na način, ki v celoti odraža cilje te uredbe“. Tej široki razlagi pojma „škoda“, ki ga zagovarja zakonodajalec Unije, pa bi se nasprotovalo, če bi bil navedeni pojem omejen le na škodo, ki je dovolj resna, zlasti glede trajanja obdobja, v katerem so posamezniki, na katere se nanašajo osebni podatki, utrpeli negativne posledice kršitve navedene uredbe (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 46, in z današnjega dne, Natsionalna agentsia za prihodite, C‑340/21, točka 81).

20      Poleg tega je taka razlaga v skladu z enim od ciljev SUVP, ki je zagotoviti dosledno in visoko raven varstva posameznikov pri obdelavi osebnih podatkov v Uniji. Pogojevanje odškodnine za nepremoženjsko škodo z določenim pragom resnosti bi namreč lahko škodilo doslednosti ureditve, uvedene s to uredbo, saj bi se lahko višina takega praga, od katerega bi bila odvisna možnost ali nemožnost pridobitve navedene odškodnine, lahko spreminjala glede na presojo sodišč, ki o zadevi odločajo (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 48 in 49).

21      Vendar mora posameznik, na katerega se nanaša kršitev SUVP, ki je imela negativne posledice zanj, dokazati, da gre pri teh posledicah za nepremoženjsko škodo v smislu člena 82 te uredbe (glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 50, in z današnjega dne, Natsionalna agentsia za prihodite, C‑340/21, točka 84). Zgolj kršitev določb te uredbe namreč ne zadostuje za priznanje pravice do odškodnine (sodba z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točka 42).

22      V teh okoliščinah, čeprav nič ne nasprotuje temu, da lahko objava osebnih podatkov na internetu in posledična izguba nadzora nad njimi za kratek čas posameznikom, na katere se nanašajo osebni podatki, povzročita „nepremično škodo“ v smislu člena 82(1) SUVP, ki daje pravico do odškodnine, morajo te osebe dokazati tudi, da so dejansko utrpele tako škodo, pa čeprav je ta minimalna.

23      Glede na zgoraj navedeno je treba na postavljeno vprašanje odgovoriti, da je treba člen 82(1) SUVP razlagati tako, da nasprotuje nacionalni ureditvi ali nacionalni praksi, ki določa „prag de minimis“ za opredelitev nepremoženjske škode, povzročene s kršitvijo te uredbe. Posameznik, na katerega se nanašajo osebni podatki, mora dokazati, da posledice te kršitve, ki naj bi jih utrpel, pomenijo škodo, ki se razlikuje od same kršitve določb navedene uredbe.

 Stroški

24      Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (tretji senat) razsodilo:

Člen 82(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)

je treba razlagati tako, da

nasprotuje nacionalni ureditvi ali nacionalni praksi, ki določa „prag de minimis“ za opredelitev nepremoženjske škode, povzročene s kršitvijo te uredbe. Posameznik, na katerega se nanašajo osebni podatki, mora dokazati, da posledice te kršitve, ki naj bi jih utrpel, pomenijo škodo, ki se razlikuje od same kršitve določb navedene uredbe.

Podpisi

*      Jezik postopka: nemščina.