–

AT och VX, genom O. Leuze, Rechtsanwalt,

–

Gemeinde Ummendorf, genom A. Staudacher, Rechtsanwalt,

–

Irland, genom M. Browne, A. Joyce och M. Tierney, samtliga i egenskap av ombud, biträdda av D. Fennelly, BL,

–

Europeiska kommissionen, genom A. Bouchagiar, M. Heller och H. Kranenborg, samtliga i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av artikel 82.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).

2

Begäran har framställts i ett mål mellan två fysiska personer, AT och VX, å ena sidan, och Gemeinde Ummendorf (kommunen Ummendorf, Tyskland), å andra sidan. Målet rör skadestånd enligt artikel 82.1 i dataskyddsförordningen för det lidande (pretium doloris) som de påstår sig ha utsatts för till följd av att deras personuppgifter har lämnats ut utan deras samtycke på kommunens webbplats.

3

Skäl 146 första, tredje och sjätte meningarna i dataskyddsförordningen har följande lydelse:

”Den personuppgiftsansvarige eller personuppgiftsbiträdet bör ersätta all skada som en person kan komma att lida till följd av behandling som strider mot denna förordning. … Begreppet skada bör tolkas brett mot bakgrund av [EU-domstolens] rättspraxis på ett sätt som fullt ut återspeglar denna förordnings mål. … Registrerade bör få full och effektiv ersättning för den skada de lidit. …”

4

I artikel 5.1 a i förordningen, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:

”Vid behandling av personuppgifter ska följande gälla:

5

I artikel 82 i nämnda förordning, med rubriken ”Ansvar och rätt till ersättning”, föreskrivs följande i punkt 1:

”Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.”

6

Den 19 juni 2020 publicerade kommunen Ummendorf, utan att klagandena i det nationella målet (nedan kallade klagandena) hade lämnat sitt samtycke, på internet dagordningen för ett sammanträde i kommunfullmäktige, i vilket deras namn flera gånger angavs, samt en dom av den 10 mars 2020 från Verwaltungsgericht Sigmaringen (Förvaltningsdomstolen i Sigmaringen, Tyskland), i vilken även deras för- och efternamn samt hemadress angavs. Dessa handlingar fanns tillgängliga på kommunens hemsida till och med den 22 juni 2020.

7

Klagandena ansåg att offentliggörandet stred mot dataskyddsförordningen och att kommunen Ummendorf hade handlat avsiktligt, eftersom namnen på övriga parter i det förfarande som ledde till nämnda dom hade tagits bort. De yrkade därför att kommunen skulle ersätta den ideella skada, i den mening som avses i artikel 82.1 i förordningen, som de påstod sig ha lidit. De anser att olagligt röjande av en enskild persons personuppgifter utgör en ”skada”, i den mening som avses i denna bestämmelse, utan att det går att åberopa en ”tröskelnivå”, eftersom en sådan tröskelnivå skulle strida mot dataskyddsförordningens systematik och bestämmelsens avskräckande verkan.

8

Kommunen Ummendorf anser däremot att ersättning för en ”ideell skada”, i den mening som avses i artikel 82.1 i dataskyddsförordningen, förutsätter att det visas att det föreligger en konkret skada och en objektivt tänkbar kränkning av personliga intressen.

9

Tvisten mellan parterna i det nationella målet gick vidare till Landgericht Ravensburg (Regionala domstolen i Ravensburg, Tyskland), som är den hänskjutande domstolen. Nämnda domstol fann att kommunen Ummendorf hade åsidosatt artikel 5.1 a i dataskyddsförordningen genom att på internet offentliggöra klagandenas personuppgifter. Den hänskjutande domstolen vill emellertid få klarhet i huruvida offentliggörandet har orsakat nämnda klagande ideell skada, i den mening som avses i artikel 82.1 i förordningen, så att de har rätt till ersättning för det lidande de har fått utstå.

10

I synnerhet anser den hänskjutande domstolen att enbart förlusten av kontroll över klagandenas personuppgifter inte är tillräcklig för att fastställa att det föreligger en ideell skada, i den mening som avses i artikel 82.1 i dataskyddsförordningen. Den hänskjutande domstolen anser att en ”tröskelnivå” måste överskridas för att en ideell skada ska anses föreligga, och att så inte är fallet när de berörda personerna endast har förlorat kontrollen över sina uppgifter under en kort tid, utan att detta har orsakat dem någon påtaglig skada och utan att det har visats att deras personliga intressen har skadats på ett objektivt sätt.

11

Mot denna bakgrund beslutade Landgericht Ravensburg (Regiondomstolen i Ravensburg) att vilandeförklara målet och hänskjuta följande tolkningsfrågor till EU-domstolen:

”Ska begreppet ideell skada i artikel 82.1 i [dataskyddsförordningen] tolkas så, att det för att det ska anses föreligga en ideell skada krävs en märkbar nackdel och en försämring av personliga intressen som är objektivt begriplig, eller räcker det för detta ändamål med att den berörde tillfälligt förlorar kontrollen över sina personuppgifter genom att de publiceras på internet under några dagar, utan att detta medför några märkbara eller negativa konsekvenser för den berörde?”

12

Den hänskjutande domstolen har ställt sin fråga för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen ska tolkas så, att den utgör hinder för en nationell lagstiftning eller en nationell praxis som uppställer en ”tröskelnivå” för vad som är en ideell skada som orsakats av en överträdelse av förordningen.

13

Det ska i detta sammanhang påpekas att det i denna bestämmelse föreskrivs att ”[v]arje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan”.

14

Såsom EU-domstolen har understrukit framgår det av lydelsen i artikel 82.1 i dataskyddsförordningen att förekomsten av en ”skada” som har ”uppkommit” utgör ett av villkoren för den rätt till ersättning som föreskrivs i nämnda bestämmelse, liksom att det ska föreligga en överträdelse av dataskyddsförordningen och ett orsakssamband mellan denna skada och denna överträdelse. Dessa tre villkor är nämligen kumulativa (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkt 32, och dom av i dag, Natsionalna agentsia za prihodite, C‑340/21, punkt 77). Av detta följer att dessa tre villkor är nödvändiga och tillräckliga för att ha rätt till skadestånd i den mening som avses i nämnda bestämmelse.

15

Eftersom artikel 82.1 i dataskyddsförordningen inte innehåller någon hänvisning till medlemsstaternas interna rätt, ska begreppet ”ideell skada”, i den mening som avses i denna bestämmelse, ges en självständig och enhetlig definition som är specifik för unionsrätten (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkterna 30 och 44).

16

Mot denna bakgrund har domstolen, på grundval av såväl bokstavliga och systematiska överväganden som teleologiska överväganden, tolkat artikel 82.1 i dataskyddsförordningen så, att den utgör hinder för nationell lagstiftning, eller praxis, enligt vilken en förutsättning för ersättning för ideell skada, i den mening som avses i denna bestämmelse, är att den skada som den registrerade har lidit är av en viss allvarlighetsgrad (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkt 51, och dom av i dag, Natsionalna agentsia za prihodite, C‑340/21, punkt 78).

17

Det kan således inte anses att det, utöver de tre villkor som anges i punkt 14 ovan, kan läggas till andra villkor för ansvar enligt artikel 82.1 i dataskyddsförordningen, såsom att skadan måste vara påtaglig eller att skadan måste vara av objektiv karaktär.

18

Av detta följer att det enligt artikel 82.1 i dataskyddsförordningen inte krävs att den ”ideella skada” som den berörda personen påstår sig ha lidit, till följd av en konstaterad överträdelse av förordningens bestämmelser, måste uppnå en ”tröskelnivå” för att skadan ska kunna ersättas.

19

Denna tolkning stöds av skäl 146 tredje meningen i dataskyddsförordningen, där det anges att ”[b]egreppet skada bör tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar denna förordnings mål”. Denna breda tolkning av begreppet skada, som unionslagstiftaren har förespråkat, skulle emellertid motverkas om begreppet begränsades till att endast avse skador av en viss allvarlighetsgrad, särskilt med avseende på längden på den period under vilken de berörda personerna drabbats av de negativa följderna av åsidosättandet av nämnda förordning (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkt 46, och dom av i dag, Natsionalna agentsia za prihodite, C‑340/21, punkt 81).

20

En sådan tolkning är dessutom förenlig med ett av syftena med dataskyddsförordningen, nämligen att säkerställa en enhetlig och hög skyddsnivå för fysiska personer i samband med behandling av personuppgifter inom unionen. Om rätten till ersättning för ideell skada gjordes beroende av att en viss allvarlighetsgrad måste uppnås skulle det nämligen riskera att undergräva enhetligheten i det system som införts genom denna förordning. Tröskeln för när en sådan allvarlighetsgrad är uppnådd, på vilken rätten till ersättning är beroende, skulle nämligen kunna variera beroende på vilken bedömning som görs av de domare som ska döma i målet (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkterna 48 och 49).

21

En registrerad som berörs av en sådan överträdelse av dataskyddsförordningen som har haft negativa konsekvenser för vederbörande behöver inte visa att dessa konsekvenser utgör en ideell skada, i den mening som avses i artikel 82 i förordningen (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkt 50, och dom av i dag, Natsionalna agentsia za prihodite, C‑340/21, punkt 84). Enbart den omständigheten att bestämmelserna i denna förordning har åsidosatts är nämligen inte i sig tillräcklig för att ge rätt till ersättning (dom av den 4 maj 2023, Österreichische Post (Immateriell skada på grund av behandling av personuppgifter) (C‑300/21, EU:C:2023:370, punkt 42)).

22

Det är visserligen så att ett offentliggörande på internet av personuppgifter och den därav följande förlusten av kontroll över dessa uppgifter under en kort tidsperiod kan anses vålla de registrerade en ”ideell skada”, i den mening som avses i artikel 82.1 i dataskyddsförordningen, som ger rätt till ersättning, men det krävs fortfarande att dessa personer visar att de faktiskt har lidit en sådan skada, även om den är obetydlig.

23

Mot bakgrund av ovanstående skäl ska tolkningsfrågan besvaras enligt följande. Artikel 82.1 i dataskyddsförordningen ska tolkas så, att den utgör hinder för en nationell lagstiftning eller en nationell praxis som uppställer en ”tröskelnivå” för vad som är en ideell skada som orsakats av en överträdelse av förordningen. Den som påstår sig ha orsakats en skada genom följderna av ett åsidosättande av bestämmelserna i nämnda förordning måste visa att denna skada skiljer sig från åsidosättandet i sig.

24

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:

Artikel 82.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)

ska tolkas på följande sätt:

Den utgör hinder mot en nationell lagstiftning eller en nationell praxis som uppställer en ”tröskelnivå” för vad som är en ideell skada som orsakats av en överträdelse av förordningen. Den som påstår sig ha orsakats en skada genom följderna av ett åsidosättande av bestämmelserna i nämnda förordning måste visa att denna skada skiljer sig från åsidosättandet i sig.