–

BL, atstovaujamo Rechtsanwalt D. Pudelko,

–

MediaMarktSaturn Hagen-Iserlohn GmbH (anksčiau Saturn Electro-Handelsgesellschaft mbH Hagen), atstovaujamos Rechtsanwalt B. Hackl,

–

Airijos, atstovaujamos Chief State Solicitor M. Browne, A. Joyce ir M. Lane, padedamų BL D. Fennelly,

–

Europos Parlamento, atstovaujamo O. Hrstková Šolcová ir J.-C. Puffer,

–

Europos Komisijos, atstovaujamos A. Bouchagiar, M. Heller ir H. Kranenborg,

1

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 2 straipsnio 1 dalies, 4 straipsnio 7 punkto, 5 straipsnio 1 dalies f punkto, 6 straipsnio 1 dalies, 24 straipsnio, 32 straipsnio 1 dalies b punkto ir 2 dalies bei 82 straipsnio išaiškinimo ir dėl šio 82 straipsnio galiojimo įvertinimo.

2

Prašymas pateiktas nagrinėjant BL, fizinio asmens, ir MediaMarktSaturn Hagen-Iserlohn GmbH (anksčiau – Saturn Electro-Handelsgesellschaft mbH Hagen) (toliau – Saturn), ginčą dėl neturtinės žalos, kurią minėtas asmuo teigia patyręs dėl to, kad dalis jo asmens duomenų buvo perduota trečiajai šaliai dėl šios bendrovės darbuotojų padarytos klaidos, atlyginimo.

3

BDAR 11, 74, 76, 83, 85 ir 146 konstatuojamosios dalys suformuluotos taip:

<…>

<…>

<…>

<…>

<…>

4

Šio reglamento I skyriaus „Bendrosios nuostatos“ 2 straipsnio „Materialinė taikymo sritis“ 1 dalyje numatyta:

„Šis reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio dalį ar yra skirti ją sudaryti, tvarkymui ne automatizuotomis priemonėmis.“

5

Šio reglamento 4 straipsnyje „Apibrėžtys“ nustatyta:

„Šiame reglamente:

<…>

<…>

<…>

<…>“

6

BDAR II skyriuje „Principai“ yra 5–11 straipsniai.

7

Šio reglamento 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ numatyta:

„1.   Asmens duomenys turi būti:

<…>

2.   Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

8

Minėto reglamento 6 straipsnio „Tvarkymo teisėtumas“ 1 dalyje apibrėžtos sąlygos, kurios turi būti tenkinamos, kad duomenų tvarkymas būtų teisėtas.

9

BDAR IV skyriuje „Duomenų valdytojas ir duomenų tvarkytojas“ yra 24–43 straipsniai.

10

Šio IV skyriaus 1 skirsnio „Bendrosios prievolės“ 24 straipsnio „Duomenų valdytojo atsakomybė“ 1 ir 2 dalyse nurodyta:

„1.   Atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento. Tos priemonės prireikus peržiūrimos ir atnaujinamos.

2.   Kai tai proporcinga duomenų tvarkymo veiklos atžvilgiu, 1 dalyje nurodytos priemonės apima duomenų valdytojo įgyvendinamą atitinkamą duomenų apsaugos politiką.“

11

BDAR minėto IV skyriaus 2 skirsnio „Asmens duomenų saugumas“ 32 straipsnio „Duomenų tvarkymo saugumas“ 1 dalies b punkte ir 2 dalyje nustatyta:

„1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia:

<…>

<…>

2.   Nustatant tinkamo lygio saugumą visų pirma atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.“

12

BDAR VIII skyriuje „Teisių gynimo priemonės, atsakomybė ir sankcijos“ yra šio reglamento 77–84 straipsniai.

13

Šio reglamento 82 straipsnyje „Teisė į kompensaciją ir atsakomybė“ numatyta:

„1.   Bet kuris asmuo, patyręs materialinę ar nematerialinę [turtinę ar neturtinę] žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą.

2.   Tvarkant duomenis dalyvaujantis duomenų valdytojas atsako už žalą, padarytą dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą. <…>

3.   Duomenų valdytojas arba duomenų tvarkytojas atleidžiami nuo atsakomybės pagal 2 dalį, jeigu jis įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala.

<…>“

14

BDAR 83 straipsnyje „Bendrosios administracinių baudų skyrimo sąlygos“ numatyta:

„1.   Kiekviena priežiūros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus šio reglamento pažeidimus kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos.

2.   <…> Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus:

<…>

<…>

3.   Jei duomenų valdytojas arba duomenų tvarkytojas, atlikdamas tą pačią tvarkymo operaciją ar susijusias tvarkymo operacijas, tyčia ar dėl aplaidumo pažeidžia kelias šio reglamento nuostatas, bendra administracinės baudos suma nėra didesnė nei suma, kuri nustatyta už rimčiausią pažeidimą.

<…>“

15

Šio reglamento 84 straipsnio „Sankcijos“ 1 dalyje nustatyta:

„Valstybės narės nustato taisykles dėl kitų sankcijų, taikytinų už šio reglamento pažeidimus, visų pirma pažeidimus, dėl kurių netaikomos administracinės baudos pagal 83 straipsnį, ir imasi visų būtinų priemonių užtikrinti, kad jos būtų įgyvendinamos. Tokios sankcijos yra veiksmingos, proporcingos ir atgrasomos.“

16

Ieškovas pagrindinėje byloje nuvyko į bendrovės Saturn komercines patalpas, kur įsigijo buitinį elektros prietaisą. Tuo tikslu šios bendrovės darbuotojas parengė pardavimo ir kredito sutartį. Tai darydamas jis įvedė į Saturn kompiuterinę sistemą tam tikrus šio kliento asmens duomenis, t. y. jo pavardę ir vardą, adresą, gyvenamąją vietą, darbdavio pavadinimą, pajamas ir banko duomenis.

17

Sutartiniai dokumentai, kuriuose nurodyti šie asmens duomenys, buvo atspausdinti ir pasirašyti abiejų šalių. Po to ieškovas pagrindinėje byloje nunešė juos bendrovės Saturn darbuotojams, dirbantiems prekių atsiėmimo vietoje. Kitas klientas, nepastebėtas užlindęs prieš ieškovą pagrindinėje byloje, tuo metu per klaidą gavo tiek ieškovo užsakytą prietaisą, tiek atitinkamus dokumentus, bei viską pasiėmė su savimi.

18

Kadangi klaida buvo greitai pastebėta, Saturn darbuotojas pasirūpino, kad prietaisas ir dokumentai būtų grąžinti, ir per pusvalandį nuo jų perdavimo kitam klientui grąžino juos ieškovui pagrindinėje byloje. Bendrovė norėjo atlyginti ieškovui pagrindinėje byloje už šią klaidą, nemokamai pristatydama atitinkamą prietaisą į jo namus, bet ieškovas manė, kad ši kompensacija yra nepakankama.

19

Ieškovas pagrindinėje byloje pateikė ieškinį Amtsgericht Hagen (Hageno apylinkės teismas, Vokietija), kuris yra prašymą priimti prejudicinį sprendimą pateikęs teismas šioje byloje, prašydamas, be kita ko, remiantis BDAR nuostatomis, atlyginti neturtinę žalą, kurią, jo teigimu, jis patyrė dėl Saturn darbuotojų padarytos klaidos ir dėl to kilusio pavojaus prarasti savo asmens duomenų kontrolę.

20

Savo atsiliepime į ieškinį Saturn pirmiausia teigia, kad BDAR nebuvo pažeistas ir kad toks pažeidimas galėtų būti nustatytas tik tuo atveju, jei jis viršytų tam tikrą sunkumo ribą, kuri nagrinėjamu atveju nebuvo pasiekta. Be to, ši bendrovė nurodo, kad ieškovas pagrindinėje byloje nepatyrė jokios žalos, nes nebuvo nustatyta ir net nebuvo teigiama, jog įtraukta trečioji šalis piktnaudžiavo jo asmens duomenimis.

21

Prašymą priimti prejudicinį sprendimą pateikęs teismas pirmiausia abejoja BDAR 82 straipsnio galiojimu, nes jam atrodo, kad šiame straipsnyje nepakankamai tiksliai apibrėžtos jo teisinės pasekmės neturtinės žalos atlyginimo atveju.

22

Antra, jeigu Teisingumo Teismas nepripažintų 82 straipsnio negaliojančiu, minėtas teismas siekia išsiaiškinti, ar jame numatytos teisės į kompensaciją įgyvendinimas suponuoja ne tik BDAR pažeidimo, bet ir žalos, visų pirma neturtinės, kurią patyrė jos atlyginimo reikalaujantis asmuo, buvimą.

23

Trečia, prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar remiantis vien tuo, kad dėl duomenų valdytojo darbuotojų padarytos klaidos išspausdinti dokumentai, kuriuose buvo asmens duomenų, buvo be leidimo perduoti trečiajai šaliai, galima teigti, kad buvo pažeistas BDAR.

24

Ketvirta, nors laikosi nuomonės, kad „įmonė atsakovė <…> turi įrodyti savo nekaltumą“, tas teismas norėtų sužinoti, ar pakanka konstatuoti, kad tokio aplaidaus dokumentų pateikimo būta, kad būtų galima pripažinti, jog buvo pažeistas BDAR, ypač atsižvelgiant į šio reglamento 2, 5, 6 ir 24 straipsniuose numatytą duomenų valdytojo pareigą įgyvendinti tinkamas priemones tvarkomų duomenų saugumui užtikrinti.

25

Penkta, prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar net ir tuo atveju, kai paaiškėja, jog teisės gauti duomenis neturinti trečioji šalis nesužinojo apie atitinkamus asmens duomenis prieš grąžindama dokumentus, kuriuose jie buvo pateikti, „neturtinė žala“, kaip ji suprantama pagal BDAR 82 straipsnį, gali būti nustatyta tik tuo pagrindu, kad asmuo, kurio duomenys buvo tokiu būdu perduoti, jaučia baimę dėl rizikos (to teismo nuomone, jos negalima atmesti), kad ši trečioji šalis ateityje gali perduoti šiuos duomenis kitiems asmenims ar net jais piktnaudžiauti.

26

Šešta, minėtam teismui kyla klausimas, kiek svarbus galimas tokiomis aplinkybėmis, kokios susiklostė pagrindinėje byloje, padaryto pažeidimo sunkumo laipsnis šiuo 82 straipsniu grindžiamo ieškinio dėl neturtinės žalos atlyginimo kontekste, atsižvelgiant į tai, kad, jo nuomone, duomenų valdytojas galėjo imtis veiksmingesnių saugumo priemonių.

27

Galiausiai, septinta, jis siekia išsiaiškinti neturtinės žalos atlyginimo pagal BDAR tikslą ir teigia, kad toks atlyginimas galėtų būti panašus į sankciją, lygiavertę sutartyje numatytai baudai.

28

Šiomis aplinkybėmis Amtsgericht Hagen (Hageno apylinkės teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

29

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar BDAR 82 straipsnis negalioja, nes jame nenurodytos teisinės pasekmės, kurios atsiranda skyrus neturtinės žalos atlyginimą.

30

Europos Parlamentas teigia, kad šis klausimas nepriimtinas, nes prašymą priimti prejudicinį sprendimą pateikęs teismas nesilaikė Teisingumo Teismo procedūros reglamento 94 straipsnio c punkto reikalavimų, nors kelia itin sudėtingą klausimą, susijusį būtent su Sąjungos teisės nuostatos galiojimo įvertinimu.

31

Pagal Procedūros reglamento 94 straipsnio c punktą prašyme priimti prejudicinį sprendimą, be Teisingumo Teismui pateiktų klausimų teksto, turi būti nurodyti motyvai, dėl kurių prašymą priimti prejudicinį sprendimą pateikęs teismas suabejojo tam tikrų Sąjungos teisės nuostatų aiškinimu ar galiojimu.

32

Šiuo klausimu prašymo priimti prejudicinį sprendimą motyvuojamojoje dalyje pateikta informacija turi ne tik padėti Teisingumo Teismui suformuluoti naudingus atsakymus, bet ir suteikti valstybių narių vyriausybėms ir kitiems suinteresuotiesiems asmenims galimybę pateikti pastabas pagal Europos Sąjungos Teisingumo Teismo statuto 23 straipsnį. Kalbant konkrečiai, Sąjungos akto ar tam tikrų jo nuostatų galiojimą Teisingumo Teismas nagrinėja atsižvelgdamas į sprendime dėl prašymo priimti prejudicinį sprendimą pateiktus negaliojimo motyvus, todėl tai, kad visiškai nenurodytos tikslios priežastys, dėl kurių prašymą priimti prejudicinį sprendimą pateikęs teismas kelia klausimą dėl šio akto ar šių nuostatų galiojimo, lemia klausimų, susijusių su jų galiojimu, nepriimtinumą (šiuo klausimu žr. 2017 m. birželio 15 d. Sprendimo T.KUP, C‑349/16, EU:C:2017:469, 16–18 punktus ir 2023 m. birželio 22 d. Sprendimo Vitol, C‑268/22, EU:C:2023:508, 52–55 punktus).

33

Nagrinėjamoje byloje prašymą priimti prejudicinį sprendimą pateikęs teismas nenurodė jokių konkrečių elementų, kuriais remdamasis Teisingumo Teismas galėtų nagrinėti BDAR 82 straipsnio pagrįstumą.

34

Vadinasi, pirmasis prejudicinis klausimas turi būti pripažintas nepriimtinu.

35

Savo trečiuoju ir ketvirtuoju klausimais, kuriuos reikia nagrinėti kartu ir pirmiausia, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 5, 24, 32 ir 82 straipsnius, siejamus tarpusavyje, reikia aiškinti taip, kad nagrinėjant ieškinį dėl žalos atlyginimo, grindžiamą šiuo 82 straipsniu, vien aplinkybės, kad duomenų valdytojo darbuotojai per klaidą perdavė dokumentą su asmens duomenimis teisės gauti šiuos duomenis neturinčiai trečiajai šaliai, pakanka pripažinti, kad aptariamo duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės nebuvo „tinkamos“, kaip tai suprantama pagal 24 ir 32 straipsnius.

36

BDAR 24 straipsnyje yra nustatyta bendroji asmens duomenų valdytojo pareiga įgyvendinti tinkamas technines ir organizacines priemones, siekiant užtikrinti, kad duomenys būtų tvarkomi laikantis šio reglamento, ir galėti tai įrodyti (2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 24 punktas).

37

BDAR 32 straipsnyje patikslinamos duomenų valdytojo ir galimo duomenų tvarkytojo pareigos duomenų tvarkymo saugumo požiūriu. Šio straipsnio 1 dalyje nustatyta, kad valstybės narės turi įgyvendinti tinkamas technines ir organizacines priemones, kad būtų užtikrintas su minėtu tvarkymu susijusį pavojų atitinkantis saugumo lygis, atsižvelgdamos į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus. Šio straipsnio 2 dalyje taip pat nurodyta, kad nustatant tinkamą saugumo lygį ypač atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto tokių duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų (šiuo klausimu žr. 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 26 ir 27 punktus).

38

Taigi iš BDAR 24 ir 32 straipsnių formuluočių matyti, kad duomenų valdytojo įgyvendinamų priemonių tinkamumas turi būti vertinamas konkrečiai, atsižvelgiant į įvairius minėtuose straipsniuose nurodytus kriterijus ir duomenų apsaugos poreikius, konkrečiai susijusius su atitinkamu duomenų tvarkymu ir su jo keliamais pavojais, juo labiau dėl to, jog duomenų valdytojas turi galėti įrodyti, kad jo įgyvendintos priemonės atitinka šį reglamentą; šios galimybės jis neturėtų, jeigu būtų vadovaujamasi nenuginčijama prezumpcija (šiuo klausimu žr. 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 30–32 punktus).

39

Tokį pažodinį aiškinimą patvirtina minėti 24 ir 32 straipsniai, siejami su to reglamento 5 straipsnio 2 dalimi ir 82 straipsniu, aiškinami vadovaujantis jo 74, 76 ir 83 konstatuojamosiomis dalimis, iš kurių visų pirma matyti, kad duomenų valdytojas privalo sumažinti asmens duomenų saugumo pažeidimo riziką, o ne užkirsti kelią bet kokiam asmens duomenų saugumo pažeidimui (šiuo klausimu žr. 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 33–38 punktus).

40

Taigi Teisingumo Teismas BDAR 24 ir 32 straipsnius išaiškino taip, kad vien aplinkybės, jog „tretieji asmenys“, kaip jie suprantami pagal šio reglamento 4 straipsnio 10 punktą, be leidimo atskleidė asmens duomenis arba be leidimo gavo prie jų prieigą, nepakanka, kad būtų galima preziumuoti, jog atitinkamo duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės nebuvo „tinkamos“, kaip tai suprantama pagal 24 ir 32 straipsnius (2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 39 punktas).

41

Nagrinėjamu atveju tai, kad duomenų valdytojo darbuotojai per klaidą perdavė dokumentą su asmens duomenimis teisės gauti šiuos duomenis neturinčiai trečiajai šaliai, gali atskleisti, kad aptariamo duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės nebuvo „tinkamos“, kaip tai suprantama pagal 24 ir 32 straipsnius. Be kita ko, tokią aplinkybę gali nulemti duomenų valdytojo aplaidumas arba organizavimo trūkumai, kai konkrečiai neatsižvelgiama į riziką, susijusią su aptariamų duomenų tvarkymu.

42

Šiuo klausimu svarbu pažymėti, kad kartu nagrinėjant BDAR 5, 24 ir 32 straipsnius, siejamus atsižvelgiant į jo 74 konstatuojamąją dalį, matyti, kad nagrinėjant ieškinį dėl žalos atlyginimo, grindžiamą šio reglamento 82 straipsniu, pareiga įrodyti, jog asmens duomenys tvarkomi taip, kad būtų užtikrintas tinkamas šių duomenų saugumas, kaip tai suprantama pagal šio reglamento 5 straipsnio 1 dalies f punktą ir 32 straipsnį, tenka atitinkamam duomenų valdytojui. Toks įrodinėjimo pareigos paskirstymas gali ne tik paskatinti šių duomenų valdytojus imtis pagal BDAR reikalaujamų saugumo priemonių, bet ir užtikrinti šio reglamento 82 straipsnyje numatytos teisės į kompensaciją veiksmingumą bei paisyti jo 11 konstatuojamojoje dalyje nurodytų Sąjungos teisės aktų leidėjo ketinimų (šiuo klausimu žr. 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 49–56 punktus).

43

Taigi BDAR 5 straipsnio 2 dalyje įtvirtintą ir jo 24 straipsnyje sukonkretintą duomenų valdytojo atskaitomybės principą Teisingumo Teismas išaiškino taip, kad, nagrinėjant šio reglamento 82 straipsniu grindžiamą ieškinį dėl žalos atlyginimo, atitinkamam duomenų valdytojui tenka pareiga įrodyti saugumo priemonių, kurias įgyvendino pagal minėto reglamento 32 straipsnį, tinkamumą (2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 57 punktas).

44

Taigi tokį BDAR 82 straipsniu grindžiamą ieškinį dėl žalos atlyginimo nagrinėjantis teismas negali nustatyti, ar buvo pažeista šiame reglamente numatyta pareiga, atsižvelgdamas tik į tai, kad duomenų valdytojo darbuotojai per klaidą perdavė dokumentą su asmens duomenimis teisės gauti šiuos duomenis neturinčiai trečiajai šaliai. Tas teismas taip pat turi turėti omenyje visus įrodymus, kuriuos duomenų valdytojas pateikė siekdamas įrodyti, kad techninės ir organizacinės priemonės, kurių jis ėmėsi, kad įvykdytų savo pareigas pagal šio reglamento 24 ir 32 straipsnius, yra tinkamos.

45

Atsižvelgiant į išdėstytus motyvus, į trečiąjį ir ketvirtąjį klausimus reikia atsakyti, kad tarpusavyje siejami BDAR 5, 24, 32 ir 82 straipsniai turi būti aiškinami taip, kad, nagrinėjant ieškinį dėl žalos atlyginimo, grindžiamą 82 straipsniu, vien aplinkybės, kad duomenų valdytojo darbuotojai per klaidą pateikė teisės gauti šiuos duomenis neturinčiai trečiajai šaliai dokumentą, kuriame yra asmens duomenų, nepakanka pripažinti, kad nagrinėjamo duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės nebuvo „tinkamos“, kaip tai suprantama pagal 24 ir 32 straipsnius.

46

Septintuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 82 straipsnis turi būti aiškinamas taip, kad šioje nuostatoje numatyta teisė į žalos atlyginimą, būtent neturtinės žalos atveju, atlieka baudžiamąją funkciją.

47

Šiuo klausimu Teisingumo Teismas nusprendė, kad BDAR 82 straipsnis yra ne baudžiamojo, o kompensacinio pobūdžio, priešingai nei kitos šio reglamento nuostatos, taip pat esančios jo VIII skyriuje, t. y. jo 83 ir 84 straipsniai, kuriais iš esmės siekiama baudžiamojo tikslo, nes jais remiantis leidžiama skirti administracines baudas ir kitas sankcijas. Taisyklių, nustatytų 82 straipsnyje ir minėtuose 83 ir 84 straipsniuose, tarpusavio ryšys rodo, kad šios dvi nuostatų kategorijos skiriasi ir papildo viena kitą, kiek tai susiję su skatinimu laikytis BDAR, turint omenyje, kad kiekvieno asmens teisė reikalauti kompensacijos už žalą sustiprina šiame reglamente numatytų apsaugos taisyklių veiksmingumą ir gali atgrasyti nuo neteisėtų veiksmų pasikartojimo (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 38 ir 40 punktus ir 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 85 punktą).

48

Teisingumo Teismas pažymėjo, kad kadangi BDAR 82 straipsnio 1 dalyje numatyta teisė į kompensaciją neatlieka atgrasomosios ar net baudžiamosios funkcijos, bet atlieka kompensacinę funkciją, šio reglamento pažeidimo, dėl kurio atsirado aptariama žala, dydis negali turėti įtakos pagal šią nuostatą priteistos žalos atlyginimo sumos dydžiui, net jeigu tai yra ne neturtinė žala, ir dėl to ši suma negali būti didesnė nei visiškas šios žalos kompensavimas (šiuo klausimu žr. 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 86 ir 87 punktus).

49

Iš to, kas išdėstyta, matyti, kad nereikia priimti sprendimo dėl nacionalinio teismo numatyto 82 straipsnio 1 dalyje įtvirtintos teisės į kompensaciją tikslo ir sutartyje numatytos baudos baudžiamosios funkcijos palyginimo.

50

Vadinasi į septintąjį klausimą reikia atsakyti taip: BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad šioje nuostatoje numatyta teisė į kompensaciją, be kita ko, neturtinės žalos atveju, atlieka kompensacinę, o ne baudžiamąją funkciją; piniginė kompensacija, grindžiama minėta nuostata, turi leisti visiškai kompensuoti konkrečiai dėl šio reglamento pažeidimo patirtą žalą.

51

Šeštuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 82 straipsnis turi būti aiškinamas taip, kad, siekiant žalos atlyginimo remiantis šia nuostata, reikia atsižvelgti į duomenų valdytojo padaryto šio reglamento pažeidimo sunkumo laipsnį.

52

Šiuo klausimu remiantis BDAR 82 straipsniu darytina išvada, kad, pirma, duomenų valdytojo atsakomybė kyla, be kita ko, jeigu yra jo kaltė, kuri preziumuojama, nebent duomenų valdytojas įrodo, kad jis visiškai nėra atsakingas už įvykį, dėl kurio atsirado žala, ir, antra, 82 straipsnyje nereikalaujama, kad pagal šią nuostatą nustatant kompensacijos už neturtinę žalą dydį būtų atsižvelgta į kaltės sunkumo laipsnį (2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 103 punktas).

53

Kalbant apie pagal BDAR 82 straipsnį mokėtiną kompensaciją už žalą, kadangi šiame reglamente nėra nuostatos šiuo klausimu, vertindami šią žalą nacionaliniai teismai turi taikyti piniginės kompensacijos dydį reglamentuojančias valstybės narės vidaus taisykles, su sąlyga, kad būtų laikomasi Sąjungos teisėje įtvirtintų lygiavertiškumo ir veiksmingumo principų (šiuo klausimu žr. 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 83 ir 101 punktus bei juose nurodytą jurisprudenciją).

54

Be to, Teisingumo Teismas pažymėjo, kad, atsižvelgiant į BDAR 82 straipsnyje numatytos teisės į kompensaciją kompensacinę funkciją, nustatant pagal šią nuostatą priteistiną kompensaciją už neturtinę žalą, nereikalaujama atsižvelgti į šio reglamento pažeidimo, kurį, kaip preziumuojama, padarė duomenų valdytojas, sunkumo laipsnį, bet reikalaujama, kad ši suma būtų nustatyta taip, kad visiškai kompensuotų dėl šio reglamento pažeidimo faktiškai patirtą žalą (šiuo klausimu žr. 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 84–87 ir 102 punktus bei juose nurodytą jurisprudenciją).

55

Atsižvelgiant į išdėstytus motyvus, į šeštąjį klausimą reikia atsakyti taip: BDAR 82 straipsnis turi būti aiškinamas taip, kad šiame straipsnyje nereikalaujama atsižvelgti į duomenų valdytojo padaryto pažeidimo sunkumo laipsnį, siekiant atlyginti žalą pagal šią nuostatą.

56

Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad asmuo, prašantis atlyginti žalą pagal šią nuostatą, turi įrodyti ne tik šio reglamento nuostatų pažeidimą, bet ir tai, jog dėl šio pažeidimo jis patyrė turtinę arba neturtinę žalą.

57

Šiuo klausimu reikia priminti, kad pagal BDAR 82 straipsnio 1 dalį „[b]et kuris asmuo, patyręs materialinę ar nematerialinę [turtinę ar neturtinę] žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą“.

58

Iš šios nuostatos formuluotės matyti, kad vien BDAR pažeidimo nepakanka, kad būtų suteikta teisė į kompensaciją. Iš tikrųjų „patirtos“„žalos“ buvimas yra viena iš 82 straipsnio 1 dalyje numatytos teisės į kompensaciją sąlygų, kaip ir sąlygos, kad turi būti šio reglamento pažeidimas ir priežastinis ryšys tarp patirtos žalos ir šio pažeidimo; šios trys sąlygos yra kumuliacinės (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 32 ir 42 punktus; 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 77 punktą; 2023 m. gruodžio 14 d. Sprendimo Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, 14 punktą, taip pat 2023 m. gruodžio 21 d. Sprendimo Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 82 punktą).

59

Konkrečiai dėl neturtinės žalos Teisingumo Teismas taip pat yra nusprendęs, kad pagal BDAR 82 straipsnio 1 dalį draudžiama nacionalinė teisės norma ar praktika, pagal kurią neturtinės žalos kompensavimas, kaip tai suprantama pagal šią nuostatą, siejamas su sąlyga, kad duomenų subjekto patirta žala turi būti tam tikro dydžio (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 51 punktą, 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 78 punktą, taip pat 2023 m. gruodžio 14 d. Sprendimo Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, 16 punktą).

60

Teisingumo Teismas pažymėjo, kad asmuo, kurio atžvilgiu padarytas BDAR pažeidimas ir kuris patyrė neigiamų pasekmių, vis dėlto turi įrodyti, jog šios pasekmės sudaro neturtinę žalą, kaip ji suprantama pagal šio reglamento 82 straipsnį, nes vien šio reglamento nuostatų pažeidimo nepakanka, kad atsirastų teisė į kompensaciją (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 42 ir 50 punktus, 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 84 punktą, taip pat 2023 m. gruodžio 14 d. Sprendimo Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, 21 ir 23 punktus).

61

Atsižvelgiant į pirmiau išdėstytus motyvus, į antrąjį klausimą reikia atsakyti tai: BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad asmuo, prašantis atlyginti žalą pagal šią nuostatą, turi įrodyti ne tik šio reglamento nuostatų pažeidimą, bet ir tai, kad dėl šio pažeidimo jam buvo padaryta turtinė arba neturtinė žala.

62

Penktuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad tuo atveju, kai dokumentas, kuriame yra asmens duomenų, buvo perduotas teisės gauti šiuos duomenis neturinčiai trečiajai šaliai, kuri, kaip nustatyta, nesusipažino su šiais duomenimis, „neturtinės žalos“, kaip ji suprantama pagal šią nuostatą, negalima nustatyti vien atsižvelgus į aplinkybę, kad duomenų subjektas baiminasi, jog, po tokio perdavimo buvus galimybei pasidaryti minėto dokumento kopiją prieš jį grąžinant jo duomenys ateityje gali būti paskleisti ar net netinkamai panaudoti.

63

Svarbu pažymėti, kad tas teismas nurodo, jog nagrinėjamu atveju dokumentas, kuriame buvo pateikti atitinkami duomenys, buvo grąžintas ieškovui pagrindinėje byloje per pusvalandį nuo jo perdavimo teisės gauti šiuos duomenis neturinčiai trečiajai šaliai ir kad pastarasis, prieš grąžindamas dokumentą, su šiais duomenimis nesusipažino, tačiau ieškovas teigia, kad dėl šio perdavimo šiai trečiajai šaliai buvo suteikta galimybė pasidaryti dokumento kopijas prieš jį grąžinant ir kad tai jam sukėlė baimę, susijusią su rizika, jog ateityje minėti duomenys gali būti netinkamai panaudoti.

64

Atsižvelgiant į tai, kad BDAR 82 straipsnio 1 dalyje nėra jokios nuorodos į valstybių narių nacionalinę teisę, sąvoka „neturtinė žala“, kaip ji suprantama pagal šią nuostatą, turi būti apibrėžta savarankiškai ir vienodai pagal Sąjungos teisę (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 30 ir 44 punktus bei 2023 m. gruodžio 14 d. Sprendimo Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, 15 punktą).

65

Teisingumo Teismas nusprendė, kad ne tik iš BDAR 82 straipsnio 1 dalies, siejamos su šio reglamento 85 ir 146 konstatuojamosiomis dalimis, kuriose siūloma sąvoką „neturtinė žala“, kaip ji suprantama pagal šią pirmąją nuostatą, aiškinti plačiai, formuluotės, bet ir iš minėtu reglamentu siekiamo tikslo užtikrinti aukštą fizinių asmenų apsaugos tvarkant asmens duomenis lygį matyti, jog vien nuogąstavimai, kad po to paties reglamento pažeidimo trečiosios šalys gali piktnaudžiauti asmens duomenimis, gali būti laikomi „neturtine žala“, kaip tai suprantama pagal šio 82 straipsnio 1 dalį (šiuo klausimu žr. 2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 79–86 punktus).

66

Be to, taip pat remdamasis lingvistiniu, sisteminiu ir teleologiniu aspektais, Teisingumo Teismas nusprendė, kad asmens duomenų kontrolės praradimas trumpą laikotarpį galėtų lemti duomenų subjektams „neturtinę žalą“, kaip ji suprantama pagal BDAR 82 straipsnio 1 dalį, dėl kurios atsiranda teisė į kompensaciją, bet minėtas asmuo privalo įrodyti, kad iš tikrųjų patyrė tokią žalą, ir primenama, jog paprasto šio reglamento nuostatų pažeidimo nepakanka teisei į kompensaciją suteikti remiantis šiuo pagrindu (šiuo klausimu žr. 2023 m. gruodžio 14 d. Sprendimo Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, 18–23 punktus).

67

Panašiai šioje byloje pažymėtina, kad tiek pagal BDAR 82 straipsnio 1 dalies formuluotę, tiek pagal šiuo reglamentu siekiamą apsaugos tikslą sąvoka „neturtinė žala“ apima situaciją, kai duomenų subjektas turi pagrįstą baimę, kurią turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs nacionalinis teismas, kad kai kurie jo asmens duomenys ateityje gali būti išplatinti ar trečiųjų šalių netinkamai panaudoti dėl to, kad dokumentas, kuriame yra šie duomenys, buvo perduotas teisės gauti šiuos duomenis neturinčiai trečiajai šaliai, kuri prieš jį grąžindama galėjo pasidaryti jo kopijas.

68

Vis dėlto nepaneigiama, kad ieškovas ieškinyje dėl žalos atlyginimo pagal BDAR 82 straipsnį turi įrodyti tokios žalos buvimą. Visų pirma, vien tik hipotetinė rizika, kad teisės gauti duomenis neturinti trečioji šalis netinkamai jais pasinaudos, negali būti pagrindas kompensacijai gauti. Taip būna tuo atveju, kai jokia trečioji šalis nesusipažįsta su nagrinėjamais asmens duomenimis.

69

Vadinasi į penktąjį klausimą reikia atsakyti taip: BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad tuo atveju, kai dokumentas, kuriame yra asmens duomenų, buvo perduotas teisės gauti šiuos duomenis neturinčiai trečiajai šaliai, kuri, kaip nustatyta, nesusipažino su šiais duomenimis, „neturtinės žalos“, kaip ji suprantama pagal šią nuostatą, negalima nustatyti vien atsižvelgus į aplinkybę, kad duomenų subjektas baiminasi, jog, po tokio perdavimo buvus galimybei pasidaryti minėto dokumento kopiją prieš jį grąžinant, jo duomenys ateityje gali būti paskleisti ar net netinkamai panaudoti.

70

Kadangi šis procesas pagrindinių bylų šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusių teismų nagrinėjamose bylose, bylinėjimosi išlaidų klausimą turi spręsti šie teismai. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (trečioji kolegija) nusprendžia: