–

za GP, H. Schöning, Rechtsanwalt,

–

za juris GmbH, E. Brandt i C. Werkmeister, Rechtsanwälte,

–

za Irsku, M. Browne, Chief State Solicitor, A. Joyce i M. Lane, u svojstvu agenata, uz asistenciju D. Fennellya, BL,

–

za Europsku komisiju, A. Bouchagiar, M. Heller i H. Kranenborg, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 82. stavaka 1. i 3. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127., str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP) u vezi s člancima 29. i 83. te uredbe te s obzirom na njezine uvodne izjave 85. i 146.

2

Zahtjev je upućen u okviru spora između GP‑a, fizičke osobe, i jurisa GmbH, društva sa sjedištem u Njemačkoj, u vezi s naknadom štete za koju osoba GP tvrdi da ju je pretrpjela zbog različitih obrada njezinih osobnih podataka koje su provedene u svrhu izravnog marketinga, unatoč prigovorima koje je uputila navedenom društvu.

3

Uvodne izjave 85., 146. i 148. OUZP‑a glase kako slijedi:

[…]

[…]

4

Člankom 4. te uredbe, naslovljenim „Definicije”, propisuje se:

„Za potrebe ove Uredbe:

[…]

[…]

[…]”

5

U članku 5. navedene uredbe utvrđuje se niz načela obrade osobnih podataka.

6

U poglavlju III. OUZP‑a, koje se odnosi na „[p]rava ispitanika”, članak 21., naslovljen „ Pravo na prigovor”, u stavku 3. propisuje:

„Ako se ispitanik protivi obradi za potrebe izravnog marketinga, osobni podaci više se ne smiju obrađivati u takve svrhe.”

7

Poglavlje IV. te uredbe, naslovljeno „Voditelj obrade i izvršitelj obrade”, obuhvaća njezine članke 24. do 43.

8

Članak 24. navedene uredbe, naslovljen „Obveze voditelja obrade”, u stavcima 1. i 2. navodi:

„1.   Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Uredbom. Te se mjere prema potrebi preispituju i ažuriraju.

2.   Ako su razmjerne u odnosu na aktivnosti obrade, mjere iz stavka 1. uključuju provedbu odgovarajućih politika zaštite podataka od strane voditelja obrade.”

9

Člankom 25. te uredbe, naslovljenim „Tehnička i integrirana zaštita podataka”, u njegovu stavku 1., predviđa se:

„Uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz ove Uredbe i zaštitila prava ispitanika.”

10

U članku 29. OUZP‑a, naslovljenom „Obrada pod vodstvom voditelja obrade ili izvršitelja obrade”, određuje se:

„Izvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice.”

11

U članku 32. te uredbe, naslovljenom „Sigurnost obrade”, određuje se:

„1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:

[…]

[…]

2.   Prilikom procjene odgovarajuće razine sigurnosti u obzir se posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.

[…]

4.   Voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.”

12

U poglavlju VIII. OUZP‑a, naslovljenom „Pravna sredstva, odgovornost i sankcije”, nalaze se članci 77. do 84. te uredbe.

13

Članak 79. te uredbe, naslovljen „Pravo na učinkoviti sudski pravni lijek protiv voditelja obrade ili izvršitelja obrade”, u stavku 1. određuje:

„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti sudski pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj Uredbi prekršena njegova prava iz ove Uredbe.”

14

Članak 82. navedene uredbe, naslovljen „Pravo na naknadu štete i odgovornost”, u stavcima 1. do 3. predviđa:

„1.   Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.

2.   Svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. […]

3.   Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.”

15

Članak 83. OUZP‑a, naslovljen „Opći uvjeti za izricanje upravnih novčanih kazni”, u svojim stavcima 2., 3. i 5. određuje:

„2.   […] Pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna se pozornost posvećuje sljedećem:

[…]

3.   Ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan iznos novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje.

[…]

5.   Za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu se izreći upravne novčane kazne u iznosu do 20000000 [eura], ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:

[…]”

16

Članak 84. te uredbe, naslovljen „Sankcije”, u stavku 1. propisuje:

„Države članice utvrđuju pravila o ostalim sankcijama koje se primjenjuju na kršenja ove Uredbe, a posebno na ona kršenja koja ne podliježu upravnim novčanim kaznama na temelju članka 83., te poduzimaju sve potrebne mjere kako bi se osigurala njihova provedba. Te sankcije moraju biti učinkovite, proporcionalne i odvraćajuće.”

17

Tužitelj iz glavnog postupka, fizička osoba koja obavlja odvjetničku djelatnost kao samostalnu djelatnost, bio je stranka jurisa, društva koje upravlja pravnom bazom podataka.

18

Dana 6. studenoga 2018., nakon što je doznao da je juris koristio njegove osobne podatke i za potrebe izravnog marketinga, tužitelj iz glavnog postupka opozvao je u pisanom obliku sve svoje privole da od tog društva dobije informacije elektroničkom poštom ili telefonskim putem te je uložio prigovor na bilo kakvu obradu tih podataka, osim za slanje newslettersa koje je i dalje želio primati.

19

Unatoč tom postupku, tužitelj iz glavnog postupka u siječnju 2019. primio je dva promidžbena letka koji su poimence poslani na njegovu poslovnu adresu. Dopisom upućenim društvu juris 18. travnja 2019. podsjetio ga je na svoj prethodni prigovor bilo kakvom marketingu, naveo je da je izrada tih letaka dovela do nezakonite obrade njegovih podataka te je od njega zatražio naknadu štete na temelju članka 82. OUZP‑a. Nakon što je 3. svibnja 2019. primio novi promidžbeni letak, ponovio je svoj prigovor koji je ovaj put dostavio jurisu putem sudskog ovršitelja.

20

Svaki od navedenih letaka sadržavao je „osobni testni kod” koji omogućuje pristup, na internetskoj stranici društva juris, obrascu za narudžbu proizvoda tog društva koji je sadržavao informacije o tužitelju iz glavnog postupka, kao što je to na njegov zahtjev utvrdio javni bilježnik 7. lipnja 2019.

21

Tužitelj iz glavnog postupka podnio je Landgerichtu Saarbrücken (Zemaljski sud u Saarbrückenu, Njemačka), sudu koji je uputio zahtjev u ovom predmetu, tužbu kojom je tražio, na temelju članka 82. stavka 1. OUZP‑a, naknadu materijalne štete, u vezi s troškovima sudskog ovršitelja i javnog bilježnika koje je pretrpio, kao i nematerijalne štete. Tvrdi, među ostalim, da je pretrpio gubitak nadzora nad svojim osobnim podacima zbog obrade tih podataka koju je obavilo društvo juris unatoč njegovim prigovorima i da na temelju toga može dobiti naknadu štete, a da ne mora dokazati posljedice ili ozbiljnost povrede svojih prava koja su zajamčena člankom 8. Povelje Europske unije o temeljnim pravima i pojašnjena tom uredbom.

22

U svoju obranu juris odbacuje svaku odgovornost tvrdeći da je uspostavio sustav obrade prigovora na marketing i da je zakašnjelo uzimanje u obzir prigovora tužitelja iz glavnog postupka posljedica toga što jedan od njegovih zaposlenika nije poštovao upute koje su dane, ili toga što je bilo pretjerano skupo uzeti u obzir te prigovore. Tvrdi da puka povreda obveze koja proizlazi iz OUZP‑a, poput one koja proizlazi iz njegova članka 21. stavka 3., ne može sama po sebi predstavljati „štetu” u smislu članka 82. stavka 1. te uredbe.

23

Kao prvo, sud koji je uputio zahtjev najprije polazi od pretpostavke da pravo na naknadu štete predviđeno člankom 82. stavkom 1. OUZP‑a ovisi o ispunjenju triju uvjeta, odnosno o povredi te uredbe, materijalnoj ili nematerijalnoj šteti te uzročnoj vezi između te povrede i te štete. Nadalje, s obzirom na zahtjeve tužitelja iz glavnog postupka, on se pita treba li ipak smatrati da povreda OUZP‑a sama po sebi predstavlja nematerijalnu štetu koja daje pravo na naknadu, osobito kada povrijeđena odredba te uredbe dodjeljuje subjektivno pravo ispitaniku. Naposljetku, s obzirom na to da se njemačkim pravom novčana naknada nematerijalne štete uvjetuje zahtjevom ozbiljne povrede zaštićenih prava, taj se sud pita treba li slično ograničenje primijeniti na zahtjeve za naknadu štete na temelju OUZP‑a, s obzirom na naznake koje se odnose na pojam „šteta” iz uvodnih izjava 85. i 146. te uredbe.

24

Kao drugo, navedeni sud razmatra mogućnost da iz članka 82. OUZP‑a proizlazi da se kad je utvrđeno postojanje povrede te uredbe, smatra da se ona pripisuje voditelju obrade, tako da postoji njegova odgovornost za pretpostavljenu krivnju odnosno odgovornost i bez krivnje. Osim toga, nakon što je naglasio da se u stavku 3. tog članka ne pojašnjavaju zahtjevi u pogledu dokazivanja koji su konkretno povezani s oslobođenjem iz tog stavka, on ističe da bi, ako se voditelju obrade dopusti oslobođenje od odgovornosti samo općenitim isticanjem protupravnog postupanja jednog od njegovih zaposlenika, to znatno ograničilo koristan učinak prava na naknadu štete predviđenog u stavku 1. navedenog članka.

25

Kao treće, sud koji je uputio zahtjev osobito želi znati mogu li se, kako bi se procijenio iznos novčane naknade štete, osobito nematerijalne štete, koja se duguje na temelju članka 82. OUZP‑a, kriteriji predviđeni njegovim člankom 83. stavcima 2. i 5. za odlučivanje o iznosu upravnih novčanih kazni uzeti u obzir i u okviru navedenog članka 82.

26

Kao četvrto i posljednje, taj sud ističe da su u sporu koji se pred njim vodi osobni podaci tužitelja iz glavnog postupka bili predmet više obrada u svrhu izravnog marketinga, unatoč njegovim ponovljenim prigovorima. Stoga želi utvrditi treba li, ako postoji više takvih povreda OUZP‑a, te povrede uzeti u obzir pojedinačno ili zajedno kako bi se utvrdio iznos naknade štete koji se eventualno duguje na temelju članka 82. te uredbe.

27

U tim je okolnostima Landgericht Saarbrücken (Zemaljski sud u Saarbrückenu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

28

Uvodno, juris u biti tvrdi da je prvo pitanje nedopušteno jer se njime nastoji utvrditi podliježe li ostvarivanje prava na naknadu štete predviđenog člankom 82. OUZP‑a zahtjevu da je šteta koju navodi ispitanik, kako je definiran u članku 4. točki 1. te uredbe, dosegnula određeni stupanj ozbiljnosti. To pitanje nije relevantno za rješavanje spora u glavnom postupku jer šteta na koju se poziva tužitelj iz glavnog postupka, odnosno gubitak nadzora nad njegovim osobnim podacima, nije nastala, s obzirom na to da su ti podaci bili predmet zakonite obrade, kao dio ugovornog odnosa koji je obvezivao stranke u tom sporu.

29

U tom pogledu, valja podsjetiti na to da je prema ustaljenoj sudskoj praksi isključivo na nacionalnom sudu pred kojim se vodi postupak i koji mora preuzeti odgovornost za sudsku odluku koja će biti donesena da, uzimajući u obzir posebnosti predmeta, ocijeni nužnost prethodne odluke za donošenje svoje presude i relevantnost pitanja koja postavlja Sudu, koja uživaju pretpostavku relevantnosti. Slijedom toga, ako se postavljeno pitanje odnosi na tumačenje ili valjanost pravila prava Unije, Sud je u načelu dužan odlučiti osim ako je očito da traženo tumačenje nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima kako bi mogao dati koristan odgovor na navedeno pitanje (presuda od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 23. i navedena sudska praksa).

30

U ovom se slučaju prvo pitanje odnosi na uvjete koji su potrebni da bi se ostvarilo pravo na naknadu štete predviđeno člankom 82. OUZP‑a. Osim toga, iz navedenog očito ne proizlazi da zatraženo tumačenje nema veze s glavnim postupkom ili da je problem o kojem je riječ hipotetske prirode. Naime, s jedne strane, ovaj se spor odnosi na zahtjev za naknadu štete koji je obuhvaćen sustavom zaštite osobnih podataka, uspostavljenim OUZP‑om. S druge strane, tim se pitanjem u biti želi utvrditi je li za potrebe primjene pravila o odgovornosti iz te uredbe nužno ne samo da postoji nematerijalna šteta koja se razlikuje od povrede navedene uredbe, nego i da ta šteta prelazi određeni stupanj ozbiljnosti.

31

Prema tome, prvo pitanje je dopušteno.

32

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP‑a tumačiti na način da je povreda odredbi te uredbe kojima se dodjeljuju prava ispitaniku sama po sebi dovoljna da bi predstavljala „nematerijalnu štetu” u smislu te odredbe, neovisno o stupnju ozbiljnosti štete koju je ta osoba pretrpjela.

33

Uvodno, valja podsjetiti na to da se u članku 82. stavku 1. OUZP‑a navodi da „[s]vaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu”.

34

Sud je već protumačio članak 82. stavak 1. OUZP‑a na način da obična povreda te uredbe nije dovoljna za dodjelu prava na naknadu štete, s obzirom na to da je postojanje „štete”, materijalne ili nematerijalne, ili „pretrpljene štete” jedan od uvjeta prava na naknadu štete predviđenog u tom članku 82. stavku 1., kao i postojanje povrede te uredbe i uzročne veze između te štete i te povrede, pri čemu su ta tri uvjeta kumulativna (vidjeti u tom smislu presudu od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 58. i navedenu sudsku praksu).

35

Stoga osoba koja zahtijeva naknadu nematerijalne štete na temelju te odredbe mora dokazati ne samo povredu odredbi te uredbe nego i da joj je ta povreda prouzročila takvu štetu (vidjeti u tom smislu presudu od 25. siječnja 2024.MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 60. i 61. i navedenu sudsku praksu).

36

U tom pogledu valja istaknuti da je Sud članak 82. stavak 1. OUZP‑a protumačio na način da mu se protivi nacionalno pravilo ili praksa koji naknadu nematerijalne štete u smislu te odredbe uvjetuju time da je šteta koju je ispitanik pretrpio dosegnula određeni stupanj ozbiljnosti, pri čemu je istaknuo da je navedena osoba ipak dužna dokazati da joj je povredom te uredbe prouzročena takva nematerijalna šteta (vidjeti u tom smislu presudu od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 59. i 60. i navedenu sudsku praksu).

37

Čak i da se odredbom OUZP‑a, koja je bila predmet povrede, dodjeljuju prava pojedincima, takva povreda ne može sama po sebi biti „nematerijalna šteta” u smislu te uredbe.

38

Točno je da iz članka 79. stavka 1. OUZP‑a proizlazi da svaki ispitanik ima pravo na učinkovit sudski pravni lijek protiv voditelja obrade ili izvršitelja obrade ako smatra da su mu „zbog obrade njegovih osobnih podataka protivno [toj] [u]redbi prekršena njegova prava iz [navedene] [u]redbe”.

39

Međutim, tom se odredbom samo dodjeljuje pravo na pravni lijek osobi koja smatra da je žrtva povrede prava koja su joj dodijeljena OUZP‑om a da tu osobu ne oslobađa obveze, koju ima na temelju članka 82. stavka 1. te uredbe, da dokaže da je stvarno pretrpjela materijalnu ili nematerijalnu štetu.

40

Iz toga slijedi da povreda odredbi OUZP‑a kojima se dodjeljuju prava ispitaniku sama po sebi nije dovoljna da bi se utemeljilo materijalno pravo na naknadu štete na temelju te uredbe, koje zahtijeva da su ispunjena i druga dva uvjeta za to pravo navedena u točki 34. ove presude.

41

U ovom slučaju tužitelj iz glavnog postupka želi dobiti, na temelju OUZP‑a, naknadu nematerijalne štete, odnosno gubitka nadzora nad njegovim osobnim podacima koji su bili predmet obrade unatoč njegovu prigovoru, a da ne mora dokazati da je ta šteta premašila određeni prag ozbiljnosti.

42

U tom pogledu valja istaknuti da se u uvodnoj izjavi 85. OUZP‑a među štetama koje mogu nastati zbog povrede osobnih podataka izričito spominje „gubitak nadzora”. Osim toga, Sud je presudio da gubitak nadzora nad takvim podacima, čak i tijekom kratkog razdoblja, može predstavljati „nematerijalnu štetu” u smislu članka 82. stavka 1. te uredbe koja daje pravo na naknadu, pod uvjetom da ispitanik dokaže da je stvarno pretrpio takvu štetu, koliko god malu (vidjeti u tom smislu presudu od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 66. i navedenu sudsku praksu).

43

Imajući u vidu prethodno navedene razloge, na prvo pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP‑a treba tumačiti na način da povreda odredbi te uredbe kojima se dodjeljuju prava ispitaniku nije sama po sebi dovoljna da bi predstavljala „nematerijalnu štetu” u smislu te odredbe, neovisno o stupnju ozbiljnosti štete koju je ta osoba pretrpjela.

44

Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. OUZP‑a tumačiti na način da je dovoljno da se voditelj obrade, kako bi bio oslobođen od odgovornosti na temelju stavka 3. navedenog članka, pozove na to da je predmetna šteta uzrokovana propustom osobe koja djeluje pod njegovim vodstvom, u smislu članka 29. te uredbe.

45

U tom pogledu, valja podsjetiti na to da članak 82. OUZP‑a u stavku 2. određuje da je svaki voditelj obrade koji je uključen u obradu odgovoran za štetu prouzročenu obradom kojom se krši ta uredba, a u stavku 3. predviđa da je voditelj obrade oslobođen od odgovornosti na temelju tog stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.

46

Sud je već utvrdio da iz zajedničke analize stavaka 2. i 3. tog članka 82. proizlazi da se njime predviđa sustav subjektivne odgovornosti, u kojem se smatra da je voditelj obrade sudjelovao u obradi koja čini predmetnu povredu OUZP‑a, tako da je teret dokazivanja na voditelju obrade, a ne na osobi koja je pretrpjela štetu (vidjeti u tom smislu presudu od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 92. do 94.).

47

Što se tiče pitanja može li se voditelj obrade osloboditi od odgovornosti na temelju članka 82. stavka 3. OUZP‑a samo zbog toga što je tu štetu prouzročilo protupravno postupanje osobe koja djeluje pod njegovim vodstvom, u smislu članka 29. te uredbe, s jedne strane, iz tog članka 29. proizlazi da osobe koje djeluju pod vodstvom voditelja obrade, kao što su to njegovi zaposlenici, koje imaju pristup osobnim podacima u načelu mogu obrađivati te podatke samo prema uputama navedenog voditelja obrade i u skladu s njima (vidjeti u tom smislu presudu od 22. lipnja 2023., Pankki S, C‑579/21, EU:C:2023:501, t. 73. i 74.).

48

S druge strane, člankom 32. stavkom 4. OUZP‑a, koji se odnosi na sigurnost obrade osobnih podataka, predviđa se da voditelj obrade poduzima mjere kako bi osigurao da svaki pojedinac koji djeluje pod njegovom odgovornošću, a koji ima pristup tim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.

49

Dakle, zaposlenik voditelja obrade doista je pojedinac koji djeluje pod vodstvom tog voditelja obrade. Tako je na navedenom voditelju da osigura da njegovi zaposlenici pravilno primjenjuju njegove upute. Prema tome, voditelj obrade ne može se osloboditi odgovornosti na temelju članka 82. stavka 3. OUZP‑a samo pozivanjem na nemar ili propust osobe koja djeluje pod njegovim vodstvom.

50

U ovom slučaju, u svojim pisanim očitovanjima pred Sudom društvo juris u biti tvrdi da voditelj obrade treba biti oslobođen od odgovornosti na temelju članka 82. stavka 3. OUZP‑a ako se povreda kojom je prouzročena predmetna šteta može pripisati ponašanju jednog od njegovih zaposlenika koji nije poštovao upute koje potječu od navedenog voditelja i pod uvjetom da do te povrede nije došlo zbog povrede obveza potonjeg voditelja navedenih, osobito, u člancima 24., 25. i 32. te uredbe.

51

U tom pogledu, važno je naglasiti da okolnosti oslobođenja predviđenog člankom 82. stavkom 3. OUZP‑a moraju biti strogo ograničene na one u kojima voditelj obrade može dokazati da nije odgovoran za štetu (vidjeti u tom smislu presudu od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 70.). Stoga se u slučaju povrede osobnih podataka koju je počinila osoba koja djeluje pod njegovim vodstvom na navedenog voditelja može primijeniti to oslobođenje od odgovornosti samo ako dokaže da ne postoji nikakva uzročna veza između moguće povrede obveze zaštite podataka koju ima na temelju članaka 5., 24. i 32. te uredbe i štete koju je pretrpio ispitanik (vidjeti po analogiji presudu od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 72.).

52

Stoga, kako bi se voditelj obrade mogao osloboditi od odgovornosti na temelju članka 82. stavka 3. GDPR‑a, nije dovoljno da dokaže da je dao upute osobama koje djeluju pod njegovim vodstvom, u smislu članka 29. te uredbe, i da je jedna od navedenih osoba povrijedila svoju obvezu da slijedi te upute, tako da je pridonijela nastanku predmetne štete.

53

Naime, kad bi se priznalo da se voditelj obrade može osloboditi odgovornosti pozivajući se samo na propust osobe koja djeluje pod njegovim vodstvom, to bi ugrozilo koristan učinak prava na naknadu štete iz članka 82. stavka 1. OUZP‑a, kao što je to u biti istaknuo sud koji je uputio zahtjev, i to ne bi bilo u skladu s ciljem te uredbe koji se sastoji od osiguravanja visoke razine zaštite pojedinaca u pogledu obrade njihovih osobnih podataka.

54

S obzirom na prethodno navedeno, na drugo pitanje valja odgovoriti tako da članak 82. OUZP‑a treba tumačiti na način da nije dovoljno da se voditelj obrade, kako bi bio oslobođen od odgovornosti na temelju stavka 3. navedenog članka, pozove na to da je predmetna šteta uzrokovana propustom osobe koja djeluje pod njegovim vodstvom, u smislu članka 29. te uredbe.

55

Svojim trećim i četvrtim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP‑a tumačiti na način da za određivanje iznosa naknade štete koja se duguje kao naknada na temelju te odredbe valja, s jedne strane, mutatis mutandis primijeniti kriterije za određivanje iznosa upravnih novčanih kazni koji su predviđeni člankom 83. te uredbe i, s druge strane, uzeti u obzir činjenicu da više povreda navedene uredbe u pogledu istog postupka obrade utječe na osobu koja traži naknadu štete.

56

Kao prvo, što se tiče eventualnog uzimanja u obzir kriterija navedenih u članku 83. OUZP‑a radi procjene iznosa naknade štete koja se duguje na temelju njegova članka 82., nesporno je da se tim dvjema odredbama nastoje postići različiti ciljevi. Naime, dok članak 83. te uredbe određuje „[opće] uvjet[e] za izricanje upravnih novčanih kazni”, člankom 82. navedene uredbe uređuje se „[p]ravo na naknadu štete i odgovornost”.

57

Iz toga proizlazi da se kriteriji navedeni u članku 83. OUZP‑a radi određivanja iznosa upravnih novčanih kazni, koji su također navedeni u uvodnoj izjavi 148. te uredbe, ne mogu upotrijebiti za procjenu iznosa naknade štete na temelju njezina članka 82.

58

Kao što je to Sud već istaknuo, OUZP ne sadržava odredbu koja se odnosi na procjenu naknade štete koja se duguje na temelju prava na naknadu štete propisanog člankom 82. te uredbe. Stoga nacionalni sudovi u svrhu te procjene moraju, na temelju načela postupovne autonomije, primijeniti unutarnja pravila svake države članice koja se odnose na opseg novčane naknade, pod uvjetom da se poštuju načela ekvivalentnosti i djelotvornosti prava Unije, kako su utvrđena ustaljenom sudskom praksom Suda (vidjeti u tom smislu presude od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 83. i 101. i navedenu sudsku praksu, i od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 53.).

59

U tom kontekstu Sud je presudio da članak 82. OUZP‑a nema kaznenu, nego kompenzacijsku funkciju, za razliku od drugih odredbi te uredbe koje se također nalaze u njezinu poglavlju VIII., odnosno njezinih članaka 83. i 84., koji pak imaju u bitnom kaznenu svrhu jer omogućuju izricanje upravnih novčanih kazni i drugih sankcija. Odnos između pravila iz navedenog članka 82. i onih iz članaka 83. i 84. dokazuje da postoji razlika, ali i komplementarnost između tih dviju kategorija odredbi, u pogledu poticanja na postupanje u skladu s OUZP‑om, pri čemu pravo svake osobe da zahtijeva naknadu štete osnažuje operativni karakter pravila o zaštiti predviđenih tom uredbom i može obeshrabriti ponavljanje nezakonitih ponašanja (presuda od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 47. i navedena sudska praksa).

60

Osim toga, Sud je iz činjenice da pravo na naknadu štete predviđeno člankom 82. stavkom 1. OUZP‑a ne ispunjava odvraćajuću ili čak kaznenu funkciju zaključio da ozbiljnost povrede te uredbe kojom je prouzročena navodna materijalna ili nematerijalna šteta ne može utjecati na iznos naknade štete dodijeljene na temelju te odredbe. Iz toga slijedi da se taj iznos ne može utvrditi u visini koja premašuje potpunu naknadu te štete (vidjeti u tom smislu presudu od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 86.).

61

Upućujući na šestu rečenicu uvodne izjave 146. OUZP‑a, prema kojoj se tim propisom ispitanicima nastoji osigurati „potpuna i učinkovita naknada za štetu koju su pretrpjeli”, Sud je istaknuo da, imajući u vidu kompenzacijsku funkciju prava na naknadu štete predviđenog člankom 82. te uredbe, novčanu naknadu koja se temelji na tom članku treba smatrati „cjelovitom i djelotvornom” ako omogućuje da se u potpunosti nadoknadi šteta koja je konkretno pretrpljena zbog povrede navedene uredbe, a da pritom u svrhu takve potpune naknade nije potrebno naložiti plaćanje naknade štete u svrhu kažnjavanja (presuda od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 84. i navedena sudska praksa).

62

Stoga, s obzirom na razlike u tekstu i svrhama koje postoje između članka 82. OUZP‑a, u vezi s njegovom uvodnom izjavom 146., i članka 83. navedene uredbe, u vezi s njezinom uvodnom izjavom 148., ne može se smatrati da su kriteriji procjene navedeni posebno u tom članku 83. primjenjivi mutatis mutandis u okviru tog članka 82., neovisno o činjenici da su pravna sredstva predviđena tim dvjema odredbama doista komplementarna kako bi se osiguralo poštovanje te uredbe.

63

Kao drugo, što se tiče načina na koji nacionalni sudovi trebaju procijeniti iznos novčane naknade na temelju članka 82. OUZP‑a u slučajevima višestrukih povreda te uredbe koje utječu na istog ispitanika, najprije valja istaknuti da je, kao što je to navedeno u točki 58. ove presude, na svakoj državi članici da utvrdi kriterije na temelju kojih se može odrediti iznos te naknade, pod uvjetom da se poštuju načela djelotvornosti i ekvivalentnosti prava Unije.

64

Nadalje, uzimajući u obzir ne kaznenu, nego kompenzacijsku funkciju članka 82. OUZP‑a, na koju se podsjeća u točkama 60. i 61. ove presude, okolnost da je voditelj obrade počinio više povreda u pogledu istog ispitanika ne može biti relevantan kriterij za procjenu naknade štete koju treba dodijeliti tom ispitaniku na temelju tog članka 82. Naime, samo se šteta koju je taj ispitanik konkretno pretrpio mora uzeti u obzir kako bi se odredio iznos novčane naknade koju treba platiti kao naknadu štete.

65

Stoga, na treće i četvrto pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP‑a treba tumačiti na način da za određivanje iznosa naknade štete koja se duguje kao naknada na temelju te odredbe, ne treba, s jedne strane, mutatis mutandis primijeniti kriterije za određivanje iznosa upravnih novčanih kazni koji su predviđeni člankom 83. te uredbe i, s druge strane, uzeti u obzir činjenicu da više povreda navedene uredbe u pogledu istog postupka obrade utječe na osobu koja traži naknadu štete.

66

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (treće vijeće) odlučuje: