62023CJ0655

This document is an excerpt from the EUR-Lex website

EUROPA
EUR-Lex home
EUR-Lex - 62023CJ0655 - EN

Help

Search tips

Need more search options? Use the Advanced search

Document 62023CJ0655

Help

2025 m. rugsėjo 4 d. Teisingumo Teismo (ketvirtoji kolegija) sprendimas.
IP prieš Quirin Privatbank AG.
Bundesgerichtshof prašymas priimti prejudicinį sprendimą.
Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – Duomenų subjekto teisės – 17 straipsnis – Teisė į duomenų ištrynimą – 18 straipsnis – Teisė apriboti duomenų tvarkymą – 79 straipsnis – Teisė į veiksmingą teisminę gynybą – Neteisėtas asmens duomenų tvarkymas – Ieškinys, kuriuo prašoma įpareigoti duomenų valdytoją ateityje susilaikyti nuo bet kokio naujo neteisėto duomenų tvarkymo – Pagrindas – Sąlygos – 82 straipsnio 1 dalis – Teisė į žalos atlyginimą – Sąvoka „neturtinė žala“ – Žalos atlyginimo vertinimas – Galimas atsižvelgimas į duomenų valdytojo kaltės laipsnį – Galimas „įpareigojimo susilaikyti“ taikymo poveikis.
Byla C-655/23.

ECLI identifier: ECLI:EU:C:2025:655

Language of the case

HTML

PDF

TEISINGUMO TEISMO (ketvirtoji kolegija) SPRENDIMAS

2025 m. rugsėjo 4 d. ( *1 )

„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – Duomenų subjekto teisės – 17 straipsnis – Teisė į duomenų ištrynimą – 18 straipsnis – Teisė apriboti duomenų tvarkymą – 79 straipsnis – Teisė į veiksmingą teisminę gynybą – Neteisėtas asmens duomenų tvarkymas – Ieškinys, kuriuo prašoma įpareigoti duomenų valdytoją ateityje susilaikyti nuo bet kokio naujo neteisėto duomenų tvarkymo – Pagrindas – Sąlygos – 82 straipsnio 1 dalis – Teisė į žalos atlyginimą – Sąvoka „neturtinė žala“ – Žalos atlyginimo vertinimas – Galimas atsižvelgimas į duomenų valdytojo kaltės laipsnį – Galimas „įpareigojimo susilaikyti“ taikymo poveikis“

Byloje C‑655/23

dėl Bundesgerichtshof (Aukščiausiasis Federalinis Teismas, Vokietija) 2023 m. rugsėjo 26 d. nutartimi, kurią Teisingumo Teismas gavo 2023 m. lapkričio 7 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

prieš

Quirin Privatbank AG

TEISINGUMO TEISMAS (ketvirtoji kolegija),

kurį sudaro kolegijos pirmininkas I. Jarukaitis, teisėjai N. Jääskinen (pranešėjas), A. Arabadjiev, M. Condinanzi ir R. Frendo,

generalinis advokatas M. Campos Sánchez-Bordona,

kancleris A. Calot Escobar,

atsižvelgęs į rašytinę proceso dalį,

išnagrinėjęs pastabas, pateiktas:

–	IP, atstovaujamo Rechtsanwältin M. Rodenhausen,

–	Quirin Privatbank AG, atstovaujamos Rechtsanwalt F. Buchmann,

–	Europos Komisijos, atstovaujamos A. Bouchagiar ir M. Heller,

susipažinęs su 2025 m. kovo 20 d. posėdyje pateikta generalinio advokato išvada,

priima šį

Sprendimą

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 17, 18, 79, 82 ir 84 straipsnių išaiškinimo.

Šis prašymas pateiktas nagrinėjant fizinio asmens IP ir bendrovės Quirin Privatbank AG ginčą dėl šio asmens prašymo, pirma, įpareigoti šią bendrovę susilaikyti nuo tolesnio neteisėto jo asmens duomenų atskleidimo trečiajam asmeniui be leidimo ir, antra, atlyginti neturtinę žalą, tariamai patirtą dėl pirminio jų atskleidimo.

Teisinis pagrindas

Sąjungos teisė

BDAR 1, 10, 11, 75, 85 ir 146 konstatuojamosios dalys suformuluotos taip:

„(1)	fizinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 1 dalyje ir [SESV] 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą;

<…>

(10)

siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo [Europos] Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. <…> Šiuo reglamentu valstybėms narėms taip pat suteikiama tam tikra veiksmų laisvė nustatyti savo taisykles, be kita ko, dėl specialių kategorijų asmens duomenų (neskelbtini duomenys) tvarkymo. Todėl šiuo reglamentu neužkertamas kelias taikyti valstybės narės teisę, kurioje nustatomos konkrečių duomenų tvarkymo atvejų aplinkybės, be kita ko, tiksliau apibrėžiant sąlygas, kuriomis duomenų tvarkymas yra teisėtas;

(11)

siekiant veiksmingos asmens duomenų apsaugos visoje Sąjungoje, reikia ne tik sustiprinti ir išsamiai nustatyti duomenų subjektų teises ir asmens duomenis tvarkančių ir jų tvarkymą nustatančių subjektų prievoles, bet ir valstybėse narėse suteikti lygiaverčius įgaliojimus stebėti ir užtikrinti asmens duomenų apsaugos taisyklių laikymąsi ir nustatyti lygiavertes sankcijas dėl pažeidimų;

<…>

(75)

įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms gali kilti dėl tokio asmens duomenų tvarkymo, kurio metu galėtų būti padarytas kūno sužalojimas, materialinė ar nematerialinė [turtinė ar neturtinė] žala, visų pirma kai dėl tvarkymo gali kilti diskriminacija, būti pavogta ar suklastota tapatybė, būti padaryta finansinių nuostolių, pakenkta reputacijai, prarastas asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas, neleistinai panaikinti pseudonimai arba padaryta kita didelė ekonominė ar socialinė žala; kai duomenų subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar jiems užkertamas kelias kontroliuoti savo asmens duomenis; <…>

<…>

(85)

dėl asmens duomenų saugumo pažeidimo, jei dėl jo laiku nesiimama tinkamų priemonių, fiziniai asmenys gali patirti kūno sužalojimą, materialinę ar nematerialinę [turtinę ar neturtinę] žalą, pavyzdžiui, prarasti savo asmens duomenų kontrolę, patirti teisių apribojimą, diskriminaciją, gali būti pavogta ar suklastota jo asmens tapatybė, jam padaryta finansinių nuostolių, neleistinai panaikinti pseudonimai, gali būti pakenkta jo reputacijai, prarastas asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas arba padaryta kita ekonominė ar socialinė žala atitinkamam fiziniam asmeniui. <…>

<…>

(146)

bet kokią žalą, kurią asmuo gali patirti dėl duomenų tvarkymo pažeidžiant šį reglamentą, turėtų atlyginti duomenų valdytojas arba duomenų tvarkytojas. Duomenų valdytojas arba duomenų tvarkytojas turėtų būti atleisti nuo atsakomybės, jeigu jie įrodo, kad jokiu būdu nėra atsakingi už žalą. Žalos sąvoka turėtų būti aiškinama plačiai, atsižvelgiant į Teisingumo Teismo praktiką, taip, kad būtų visapusiškai atspindėti šio reglamento tikslai. Tai nedaro poveikio jokiems reikalavimams dėl žalos atlyginimo, kurie pareiškiami dėl kitų taisyklių, nustatytų Sąjungos ar valstybės narės teisėje, pažeidimo. Duomenų tvarkymas pažeidžiant šį reglamentą taip pat apima duomenų tvarkymą pažeidžiant deleguotuosius ir įgyvendinimo aktus, priimtus pagal šį reglamentą, ir šį reglamentą tikslinančias valstybėje narės teisėje nustatytas taisykles. Duomenų subjektai už patirtą žalą turėtų gauti visą ir veiksmingą kompensaciją. <…>“

4	BDAR 1 straipsnio „Dalykas ir tikslai“ 2 dalyje nustatyta: „Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.“

Šio reglamento 4 straipsnyje „Apibrėžtys“ numatyta:

„Šiame reglamente:

1)	asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (toliau – duomenų subjektas); <…>

duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai <…> atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;

<…>

7)	duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; <…>

<…>

10)	trečioji šalis – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri nėra duomenų subjektas, duomenų valdytojas, duomenų tvarkytojas, arba asmenys, kuriems tiesioginiu duomenų valdytojo ar duomenų tvarkytojo įgaliojimu leidžiama tvarkyti asmens duomenis;

<…>

12)	asmens duomenų saugumo pažeidimas – saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga;

<…>“

6	BDAR II skyriuje „Principai“ yra šio reglamento 5–11 straipsniai.

Minėto reglamento 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ numatyta:

„1. Asmens duomenys turi būti:

a)	duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);

b)	renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu <…> (tikslo apribojimo principas);

c)	adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);

<…>

tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).

2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

To paties reglamento 6 straipsnio „Tvarkymo teisėtumas“ 1 dalyje nustatyta:

„Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:

a)	duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;

<…>“

9	BDAR III skyriuje „Duomenų subjekto teisės“ yra šio reglamento 12–23 straipsniai.

Minėto reglamento III skyriaus 3 skirsnyje „Duomenų ištaisymas ir ištrynimas“ esančio 17 straipsnio „Teisė reikalauti ištrinti duomenis („teisė būti pamirštam“)“ 1 dalyje numatyta:

„Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištrintų su juo susijusius asmens duomenis, o duomenų valdytojas yra įpareigotas nepagrįstai nedelsdamas ištrinti asmens duomenis, jei tai galima pagrįsti viena iš šių priežasčių:

<…>

c)	asmens duomenų subjektas nesutinka su duomenų tvarkymu pagal 21 straipsnio 1 dalį ir nėra viršesnių teisėtų priežasčių tvarkyti duomenis arba duomenų subjektas nesutinka su duomenų tvarkymu pagal 21 straipsnio 2 dalį;

d)	asmens duomenys buvo tvarkomi neteisėtai;

<…>“

To paties reglamento 3 skirsnyje esančio 18 straipsnio „Teisė apriboti duomenų tvarkymą“ 1 dalyje nustatyta:

„Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas apribotų duomenų tvarkymą kai taikomas vienas iš šių atvejų:

<…>

b)	asmens duomenų tvarkymas yra neteisėtas ir duomenų subjektas nesutinka, kad duomenys būtų ištrinti, ir vietoj to prašo apriboti jų naudojimą;

c)	duomenų valdytojui nebereikia asmens duomenų duomenų tvarkymo tikslais, tačiau jų reikia duomenų subjektui siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus; arba

<…>“

12	BDAR VIII skyriuje „Teisių gynimo priemonės, atsakomybė ir sankcijos“ yra šio reglamento 77–84 straipsniai.

13	BDAR 77 straipsnis pavadintas „Teisė pateikti skundą priežiūros institucijai“, o šio reglamento 78 straipsnis pavadintas „Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros instituciją“.

Minėto reglamento 79 straipsnio „Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš duomenų valdytoją arba duomenų tvarkytoją“ 1 dalyje nurodyta:

„Nedarant poveikio galimybei imtis bet kokių galimų administracinių arba neteisminių teisių gynimo priemonių, įskaitant teisę pateikti skundą priežiūros institucijai pagal 77 straipsnį, kiekvienas duomenų subjektas turi teisę imtis veiksmingų teisminių teisių gynimo priemonių, jeigu mano, kad šiuo reglamentu nustatytos jo teisės buvo pažeistos, nes jo asmens duomenys buvo tvarkomi pažeidžiant šį reglamentą.“

BDAR 82 straipsnyje „Teisė į kompensaciją ir atsakomybė“ numatyta:

„1. Bet kuris asmuo, patyręs materialinę ar nematerialinę [turtinę ar neturtinę] žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą.

<…>

3. Duomenų valdytojas arba duomenų tvarkytojas atleidžiami nuo atsakomybės pagal 2 dalį, jeigu jis įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala.

<…>“

Šio reglamento 83 straipsnio „Bendrosios administracinių baudų skyrimo sąlygos“ 2 dalyje numatyta:

„<…> Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus:

a)	pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį;

b)	tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo;

c)	bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą;

<…>

k)	kitus sunkinančius ar švelninančius veiksnius, susijusius su konkretaus atvejo aplinkybėmis, pavyzdžiui, finansinę naudą, kuri buvo gauta, arba nuostolius, kurių buvo išvengta, tiesiogiai ar netiesiogiai dėl pažeidimo“.

Minėto reglamento 84 straipsnio „Sankcijos“ 1 dalyje nustatyta:

„Valstybės narės nustato taisykles dėl kitų sankcijų, taikytinų už šio reglamento pažeidimus, visų pirma pažeidimus, dėl kurių netaikomos administracinės baudos pagal 83 straipsnį, ir imasi visų būtinų priemonių užtikrinti, kad jos būtų įgyvendinamos. Tokios sankcijos yra veiksmingos, proporcingos ir atgrasomos.“

Vokietijos teisė

Pagrindinėje byloje taikytinos redakcijos 1949 m. gegužės 23 d.Grundgesetz für die Bundesrepublik Deutschland (Vokietijos Federacinės Respublikos Pagrindinis Įstatymas) (BGBl. 1949 I, p. 1) 2 straipsnio 1 dalyje nustatyta:

„Kiekvienas asmuo turi teisę į laisvą savo asmenybės vystymąsi, jeigu tai nepažeidžia kitų asmenų teisių, konstitucinės santvarkos ar moralės normų.“

Pagrindinėje byloje taikytinos redakcijos Bürgerliches Gesetzbuch (Civilinis kodeksas, toliau – BGB) 253 straipsnyje „Neturtinė žala“ numatyta:

„(1) Reikalauti, kad pinigais būtų atlyginta neturtinė žala, galima tik įstatyme nustatytais atvejais.

(2) Kai turi būti atlyginta žala dėl kūno sužalojimo, sveikatos surikdymo, teisės į laisvę ar seksualinį apsisprendimą pažeidimo, taip pat gali būti reikalaujama teisingo neturtinės žalos atlyginimo.“

BGB 823 straipsnyje „Pareiga atlyginti žalą“ nustatyta:

„(1) Tas, kas tyčia ar dėl neatsargumo neteisėtai sukėlė pavojų kito asmens gyvybei, kūnui, sveikatai, laisvei, nuosavybei ar kitoms teisėms, privalo atlyginti dėl to padarytą žalą.

(2) Tokia pati pareiga tenka kiekvienam, pažeidžiančiam įstatymą, kuriuo siekiama apsaugoti kitą asmenį. Jei pagal įstatymo turinį jo pažeidimas galimas ir be kaltės, pareiga atlyginti žalą atsiranda tik esant kaltei.“

BGB 1004 straipsnio „Teisė reikalauti nutraukti veiksmus ir nuo jų susilaikyti“ 1 dalyje nurodyta:

„Jei nuosavybė pažeidžiama kitaip, nei ją užvaldant arba užkertant kelią ja naudotis, savininkas gali reikalauti pažeidėjo nutraukti atitinkamus veiksmus. Jei galima tikėtis tolesnių nuosavybės pažeidimų, savininkas gali pareikšti ieškinį dėl įpareigojimo susilaikyti nuo veiksmų.“

Iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad pagrindinėje byloje BGB 1004 straipsnis pagal analogiją taikomas absoliučių teisių pažeidimui arba įstatymo, kuriuo siekiama apsaugoti kitus asmenis, pažeidimui, kaip tai suprantama atitinkamai pagal šio kodekso 823 straipsnio 1 ir 2 dalis.

Pagrindinė byla ir prejudiciniai klausimai

Ieškovas pagrindinėje byloje per internetinį specialistų socialinį tinklą pateikė paraišką dėl darbo pagal Vokietijos teisę įsteigtoje bendrovėje Quirin Privatbank. Vėliau šios bendrovės darbuotoja, naudodamasi šio tinklo elektroninių žinučių siuntimo paslauga, trečiajam asmeniui, nesusijusiam su šiuo įdarbinimo procesu, išsiuntė tik ieškovui pagrindinėje byloje skirtą pranešimą, kuriame informavo apie jo su darbo užmokesčiu susijusių pageidavimų atmetimą ir pasiūlė kitą darbo užmokestį (toliau – aptariamas pranešimas). Šis trečiasis asmuo, pažinojęs ieškovą pagrindinėje byloje, nes anksčiau kartu su juo dirbo, persiuntė jam šį pranešimą ir paklausė, ar jis ieško darbo.

Ieškovas pagrindinėje byloje Landgericht Darmstadt (Darmštato apygardos teismas, Vokietija) pareiškė ieškinį, juo prašė įpareigoti Quirin Privatbank, pirma, susilaikyti nuo bet kokio su juo susijusių asmens duomenų tvarkymo, kiek tai susiję su jo paraiška, pakartojant neteisėtą jų atskleidimą išsiuntus aptariamą pranešimą, ir, antra, priteisti jam dėl šio įvykio patirtos neturtinės žalos atlyginimą. Jis iš esmės teigė, kad šią žalą sukėlė jo susirūpinimas dėl to, kad bent vienam jį pažįstančiam trečiajam asmeniui, dirbančiam tame pačiame profesinės veiklos sektoriuje kaip ir jis, buvo suteikta galimybė perduoti šiuos konfidencialius duomenis buvusiems ar potencialiems darbdaviams, pasinaudoti pranašumu jo atžvilgiu esant galimai konkurencinei įdarbinimo situacijai ir suprasti, kokį pažeminimą jis patyrė per nesėkmingas derybas dėl darbo užmokesčio.

25	2020 m. gegužės 26 d. sprendimu pirmosios instancijos teismas įpareigojo Quirin Privatbank susilaikyti nuo ieškinyje nurodytų veiksmų ir sumokėti ieškovui pagrindinėje byloje 1000 EUR žalos atlyginimą su palūkanomis. Quirin Privatbank dėl šio sprendimo pateikė apeliacinį skundą.

2022 m. kovo 2 d. sprendimu Oberlandesgericht Frankfurt (Frankfurto aukštesnysis apygardos teismas, Vokietija) iš dalies pakeitė minėtą sprendimą. Jis nusprendė, kad ieškovas pagrindinėje byloje pagal BDAR 17 straipsnio 1 dalį turi teisę reikalauti, kad Quirin Privatbank ateityje netvarkytų jo asmens duomenų analogiška kaip aptariamo pranešimo forma ir kad šiuo atžvilgiu egzistuoja recidyvo rizika. Vis dėlto jis atmetė prašymą atlyginti žalą pagal šio reglamento 82 straipsnį, motyvuodamas tuo, kad nors asmens duomenų apsaugos taisyklės išties buvo pažeistos perdavus tokius duomenis nesusijusiai trečiajai šaliai, vis dėlto ieškovas pagrindinėje byloje nepateikė konkrečios žalos įrodymų ir, net darant prielaidą, kad jis patyrė pažeminimą, tai negali būti laikoma neturtine žala.

Kasatorius pagrindinėje byloje ir Quirin Privatbank dėl šio sprendimo pateikė kasacinius skundus Bundesgerichtshof (Aukščiausiasis Federalinis Teismas, Vokietija), kuris yra prašymą priimti prejudicinį sprendimą pateikęs teismas. Šiame teisme pirmasis palaiko pirminius reikalavimus, o antrasis prašo juos visiškai atmesti.

Prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad ieškovo pagrindinėje byloje ginčijami veiksmai patenka į BDAR taikymo sritį. Jis nurodo, kad šie veiksmai yra „duomenų subjekto“„asmens duomenų“„tvarkymas“ ir kad Quirin Privatbank yra „duomenų valdytojas“, kaip tai suprantama pagal šio reglamento 4 straipsnio 1, 2 ir 7 punktus. Jo teigimu, neginčijama, kad minėtais veiksmais, be leidimo perduodant tokius duomenis „trečiajai šaliai“, kaip tai suprantama pagal BDAR 4 straipsnio 10 punktą, buvo pažeistos šio reglamento nuostatos ir tie veiksmai yra neteisėti pagal jo 6 straipsnio 1 dalį, be kita ko, dėl to, kad ieškovas pagrindinėje byloje nedavė dėl jų sutikimo.

Šiam teismui kyla klausimas, pirma, ar pagal BDAR asmeniui, kurio asmens duomenys buvo tvarkomi neteisėtai, suteikiama teisė reikalauti, kad duomenų valdytojas nekartotų tokio tvarkymo, įskaitant atvejus, kai šis asmuo neprašo ištrinti jo duomenų. Atsižvelgdamas į nacionalinę jurisprudenciją ir doktrinos diskusijas šiuo klausimu minėtas teismas siekia išsiaiškinti, ar ši teisė, kuri, kaip jis nurodo, įgyvendinama vien prevenciniais tikslais, galėtų kilti iš šio reglamento 17 straipsnio, susijusio su teise reikalauti ištrinti tokius duomenis, iš jo 18 straipsnio, susijusio su teise apriboti duomenų tvarkymą, iš minėto reglamento 79 straipsnio, susijusio su teise imtis veiksmingų teisminių teisių gynimo priemonių prieš duomenų valdytoją arba duomenų tvarkytoją, ar iš bet kurios kitos to paties reglamento nuostatos.

Antra, jeigu į šiuos klausimus būtų atsakyta teigiamai, prašymą priimti prejudicinį sprendimą pateikęs teismas, atsižvelgdamas į savo paties jurisprudenciją, grindžiamą Vokietijos Federacinės Respublikos Pagrindinio Įstatymo 2 straipsniu ir kartu taikomais BGB 823 ir 1004 straipsniais, siekia nustatyti, viena vertus, ar tokia teisė reikalauti, kad duomenų valdytojas nepadarytų naujo BDAR pažeidimo, priklauso nuo recidyvo rizikos buvimo ir, kita vertus, ar atitinkamu atveju šią riziką reikia preziumuoti atsižvelgiant į pirminį pažeidimą.

Trečia, priešingu atveju, jeigu į abi jo pirmojo klausimo dalis būtų atsakyta neigiamai, šis teismas siekia išsiaiškinti, ar iš kartu aiškinamų BDAR 79 ir 84 straipsnių, susijusių atitinkamai su teise imtis veiksmingų teisminių teisių gynimo priemonių prieš duomenų valdytoją ir su sankcijomis dėl šio reglamento pažeidimų, matyti, kad valstybės narės teismas turi teisę įpareigoti duomenų valdytoją nepadaryti minėto pažeidimo, remdamasis nacionalinės teisės nuostatomis, kartu suteikdamas duomenų subjektui galimybę pasinaudoti minėto reglamento 17, 18 ir 82 straipsniuose numatytomis teisėmis.

Ketvirta, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas dėl sąlygų, su kuriomis siejama teisė į žalos atlyginimą pagal BDAR 82 straipsnio 1 dalį, siejamą su jo 75 ir 85 konstatuojamosiomis dalimis. Konkrečiau kalbant, jam kyla klausimas, kokie elementai leidžia apibūdinti „neturtinę žalą“, kaip ji suprantama pagal šio 82 straipsnio 1 dalį, kai duomenų subjektas remiasi vien neigiamais jausmais, kurie, šio teismo teigimu, yra susiję su bendra kasdienio gyvenimo rizika.

Penkta, minėtam teismui kyla klausimas, ar vertinant pagal BDAR 82 straipsnio 1 dalį mokėtiną neturtinės žalos atlyginimą reikia atsižvelgti į duomenų valdytojo kaltės laipsnį. Jis pažymi, kad pagal Vokietijos teisę atlyginant neturtinę žalą pinigais reikia atsižvelgti, be kita ko, į žalą padariusio asmens kaltės laipsnį, nes šis žalos atlyginimas atlieka ir asmens patirtos žalos atlyginimo, ir žalą padariusio asmens atliekamo žalą patyrusio asmens interesų patenkinimo funkciją, kaip nustatyta jurisprudencijoje, susijusioje su BGB 253 straipsniu.

Šešta, jeigu į kurią nors iš pirmojo klausimo dalių arba į trečiąjį klausimą būtų atsakyta teigiamai, prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar duomenų subjekto teisė reikalauti, kad duomenų valdytojas nedarytų naujo BDAR pažeidimo, yra svarbus kriterijus mažinant neturtinės žalos atlyginimą pagal šio reglamento 82 straipsnio 1 dalį arba visai jo nesuteikiant, kaip tai būtų galima pagal Vokietijos teisę.

Tokiomis aplinkybėmis Bundesgerichtshof (Aukščiausiasis Federalinis Teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

„1.

Ar BDAR 17 straipsnis turi būti aiškinamas taip, kad duomenų subjektas, kurio asmens duomenis duomenų valdytojas neteisėtai atskleidė perduodamas juos tretiesiems asmenims, turi teisę iš duomenų valdytojo reikalauti susilaikyti nuo tolesnio neteisėto šių duomenų perdavimo, jei jis neprašo duomenų valdytojo ištrinti duomenis?

b)	Ar tokia teisė (taip pat) gali būti grindžiama BDAR 18 straipsniu arba kita BDAR nuostata?

Jei į pirmojo klausimo a ir (arba) b dalį būtų atsakyta teigiamai:

a)	Ar pagal Sąjungos teisę duomenų subjektas turi teisę reikalauti, kad jo pagal BDAR turimas teises pažeidęs asmuo nebepažeistų šių jo teisių, tik tuo atveju, jei yra naujų pažeidimų pavojus (pakartotinio pažeidimo grėsmė)?

b)	Ar remiantis ankstesniu BDAR pažeidimu galima daryti prielaidą, kad kyla pakartotinio pažeidimo grėsmė?

Jei į pirmojo klausimo a ir b dalis būtų atsakyta neigiamai:

Ar BDAR 84 straipsnis, siejamas su 79 straipsniu, turi būti aiškinamas taip, kad nacionalinis teismas gali ne tik priteisti duomenų subjektui, kurio asmens duomenis duomenų valdytojas neteisėtai atskleidė perduodamas juos tretiesiems asmenims, turtinės ir neturtinės žalos atlyginimą pagal BDAR 82 straipsnį ir patenkinti reikalavimus, kylančius iš BDAR 17 ir 18 straipsnių, bet ir pripažinti teisę reikalauti, kad duomenų valdytojas susilaikytų nuo tolesnio neteisėto šių duomenų perdavimo pagal nacionalinės teisės nuostatas?

Ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad vien neigiamų jausmų, kaip antai pykčio, apmaudo, nepasitenkinimo, nerimo ir baimės, kurie patys savaime yra bendros kasdienio gyvenimo rizikos dalis ir dažnai yra patiriami kasdien, pakanka, kad būtų galima daryti prielaidą, jog buvo padaryta neturtinė žala, kaip tai suprantama pagal šią nuostatą? Ar, norint daryti prielaidą dėl žalos, būtina, kad atitinkamas fizinis asmuo patirtų daugiau nei tik šiuos jausmus?

5.	Ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad apskaičiuojant atlygintinos neturtinės žalos dydį turi reikšmės duomenų valdytojo, duomenų tvarkytojo arba jo darbuotojų kaltės laipsnis?

Jei į pirmojo klausimo a ir b dalis arba 3 klausimą būtų atsakyta teigiamai:

Ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad apskaičiuojant atlygintinos neturtinės žalos dydį galima jį sumažinti atsižvelgiant į aplinkybę, jog duomenų subjektas turi teisę reikalauti ne tik atlyginti žalą, bet ir susilaikyti nuo naujų neteisėtų veiksmų?“

Dėl prejudicinių klausimų

Dėl pirmojo–trečiojo klausimų

Pirmuoju–trečiuoju klausimais, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR nuostatos turi būti aiškinamos taip, kad jose duomenų subjekto, kurio asmens duomenys buvo tvarkomi neteisėtai, naudai tuo atveju, kai šis asmuo neprašo ištrinti jo duomenų, yra numatyta teisminė teisių gynimo priemonė, leidžianti jam prevenciškai pasiekti, kad duomenų valdytojas būtų įpareigotas ateityje neatlikti naujo neteisėto duomenų tvarkymo, ir, jei atsakymas būtų neigiamas, ar pagal šias nuostatas valstybėms narėms draudžiama numatyti tokią teisių gynimo priemonę savo atitinkamose teisės sistemose.

37	Pirmiausia reikia priminti, kad aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos formuluotę, bet ir į kontekstą bei teisės akto, kuriame ji įtvirtinta, tikslus (2024 m. spalio 4 d. Sprendimo Lindenapotheke, C‑21/23, EU:C:2024:846, 52 punktas ir jame nurodyta jurisprudencija).

Šiuo klausimu, pirma, reikia pažymėti, kad BDAR yra grindžiamas kiekvienam fiziniam asmeniui pripažįstama teise į apsaugą, kai tvarkomi jo asmens duomenys. Ši apsauga yra pagrindinė teisė, įtvirtinta Chartijos 8 straipsnio 1 dalyje, į kurią daroma nuoroda šio reglamento 1 konstatuojamojoje dalyje. Šio reglamento taikymas grindžiamas tikslu garantuoti šios pagrindinės teisės veiksmingumą, užtikrinant aukštą ir vienodą apsaugos lygį visose valstybėse narėse, kaip matyti iš jo 1 straipsnio ir 10 konstatuojamosios dalies (šiuo klausimu žr. 2023 m. spalio 5 d. Sprendimo Ministerstvo zdravotnictví (Covid-19 mobilioji programėlė), C‑659/22, EU:C:2023:745, 28 punktą; 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 28 punktą ir 2025 m. balandžio 3 d. Sprendimo Ministerstvo zdravotnictví (Juridinio asmens atstovo duomenys), C‑710/23, EU:C:2025:231, 29 punktą).

Pagal Teisingumo Teismo suformuotą jurisprudenciją bet koks asmens duomenų tvarkymas turi atitikti principus, reglamentuojančius tokių duomenų tvarkymą, ir „duomenų subjekto“, kaip jis suprantamas pagal BDAR 4 straipsnio 1 punktą, teises, įtvirtintas atitinkamai šio reglamento II ir III skyriuose. Konkrečiai kalbant, jis turi atitikti minėto reglamento 5 straipsnyje numatytus principus, susijusius su šių duomenų tvarkymu, ir tenkinti jo 6 straipsnyje išvardytas duomenų tvarkymo teisėtumo sąlygas (šiuo klausimu žr. 2024 m. gruodžio 19 d. Sprendimo K GmbH (Darbuotojų asmens duomenų tvarkymas), C‑65/23, EU:C:2024:1051, 46 punktą ir 2025 m. balandžio 3 d. Sprendimo Ministerstvo zdravotnictví (Juridinio asmens atstovo duomenys), C‑710/23, EU:C:2025:231, 33 punktą).

Kaip iš esmės pažymėjo generalinis advokatas išvados 32, 34 ir 38 punktuose, Chartijos 8 straipsnio 1 dalyje įtvirtinta teisė į asmens duomenų apsaugą, tačiau pagal jo 2 dalį taip pat reikalaujama, kad šie duomenys būtų tvarkomi laikantis tam tikrų sąlygų, nuo kurių priklauso atitinkamo duomenų tvarkymo teisėtumas. Be to, BDAR II skyriuje nustatytos duomenų valdytojo pareigos atitinka šiame reglamente numatytas specialias duomenų subjektams suteiktas teises. Taigi jie turi teisę į tai, kad jų asmens duomenys būtų tvarkomi teisėtai, kuri siejama su šiam duomenų valdytojui nustatyta bendra pareiga netvarkyti tokių duomenų nesilaikant minėto reglamento reikalavimų.

Antra, Teisingumo Teismas ne kartą yra nusprendęs, kad Sąjungos teisė, įskaitant Chartijos nuostatas, neįpareigoja valstybių narių nustatyti kitų teisių gynimo priemonių nei tos, kurios jau numatytos pagal nacionalinę teisę, nebent iš nagrinėjamos nacionalinės teisinės sistemos struktūros matyti, kad nėra jokių teisminės gynybos priemonių, leidžiančių, nors ir netiesiogiai, užtikrinti iš Sąjungos teisės kylančių teisės subjektų teisių apsaugą (šiuo klausimu žr. 2025 m. gegužės 8 d. Sprendimo Barało, C‑530/23, EU:C:2025:322, 99 punktą ir jame nurodytą jurisprudenciją).

Nagrinėjamu atveju pirmiausia reikia pabrėžti, kad pagrindinėje byloje nagrinėjama situacija susijusi ne su nacionalinio teismo galimybe taikyti laikinąsias apsaugos priemones, o su galima atitinkamo asmens teise, pareiškiant prevencinį ieškinį iš esmės pasiekti, kad duomenų valdytojui būtų nustatytas draudimas iš naujo pažeisti šias teises.

Šiuo klausimu reikia pažymėti, kad BDAR nėra nuostatų, kuriose būtų aiškiai ar netiesiogiai numatyta, kad duomenų subjektas turi, kaip numato prašymą priimti prejudicinį sprendimą pateikęs teismas, teisę prevenciškai, kreipdamasis į teismą, reikalauti, kad asmens duomenų valdytojas būtų įpareigotas ateityje susilaikyti nuo šio reglamento nuostatų pažeidimo, konkrečiai kalbant, pakartojant neteisėtą duomenų tvarkymą. Iš tiesų, kaip pažymėjo generalinis advokatas išvados 54–69 punktuose, tokia teisė negali būti kildinama nei iš minėto reglamento 17 straipsnio, nei iš jo 18 straipsnio.

Dėl BDAR VIII skyriaus reikia priminti, kad jame, be kita ko, reglamentuojamos teisių gynimo priemonės, leidžiančios apsaugoti duomenų subjekto teises, kai jo asmens duomenys buvo tvarkomi tariamai pažeidžiant šio reglamento nuostatas. Visų pirma duomenų subjektas gali tiesiogiai reikalauti šių teisių apsaugos pagal minėto reglamento 77–79 straipsnius, kuriuose numatytos įvairios teisių gynimo priemonės, kuriomis šis asmuo gali pasinaudoti lygiagrečiai ir nepriklausomai (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Lindenapotheke, C‑21/23, EU:C:2024:846, 47 punktą ir jame nurodytą jurisprudenciją ir 2025 m. balandžio 30 d. Sprendimo Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 ir C‑332/23, EU:C:2025:303, 128 punktą ir jame nurodytą jurisprudenciją).

Iš BDAR VIII skyriaus nuostatų teksto matyti, kad nė viena iš jų neįpareigoja valstybių narių numatyti tokio prevencinio ieškinio, koks aprašytas šio sprendimo 42 punkte. Konkrečiai kalbant, šio reglamento 79 straipsnio 1 dalies tekste tik numatyta, kad, nedarant poveikio galimybei imtis bet kokių galimų administracinių arba neteisminių teisių gynimo priemonių, kiekvienas duomenų subjektas turi teisę imtis veiksmingų teisminių teisių gynimo priemonių, jeigu mano, kad tvarkant jo asmens duomenis pažeidžiant šį reglamentą buvo pažeistos jo teisės pagal tą patį reglamentą. Remiantis šios nuostatos formuluote valstybės narės neįpareigojamos numatyti konkrečios teisių gynimo priemonės, kuri leistų prevenciškai pareiškiant ieškinį teisme pasiekti, kad būtų nurodyta susilaikyti nuo veiksmų, kaip numato prašymą priimti prejudicinį sprendimą pateikęs teismas.

Atsižvelgiant į BDAR VIII skyriaus nuostatų formuluotę ir, be kita ko, į tai, kad jo 79 straipsnio 1 dalyje pripažįstama kiekvieno duomenų subjekto teisė į veiksmingą teisminę teisių gynimo priemonę, jeigu duomenų subjektas mano, kad tvarkant jo asmens duomenis pažeidžiant šį reglamentą buvo pažeistos tame reglamente jam suteikiamos teisės, „nedarant poveikio“ jokioms kitoms administracinėms ar neteisminėms teisių gynimo priemonėms, reikia konstatuoti, kad valstybėms narėms nedraudžiama numatyti tokios prevencinės teisių gynimo priemonės, kuria siekiama įpareigoti duomenų valdytoją susilaikyti nuo bet kokio tolesnio šių teisių pažeidimo (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Lindenapotheke, C‑21/23, EU:C:2024:846, 53 punktą).

Šiuo atžvilgiu reikia pažymėti, kad nors BDAR siekiama užtikrinti iš esmės visišką nacionalinės teisės aktų, reglamentuojančių asmens duomenų apsaugą, suderinimą, vis dėlto keliose šio reglamento nuostatose aiškiai numatyta galimybė valstybėms narėms numatyti papildomas, griežtesnes ar leidžiančias nukrypti nacionalines nuostatas, kurios suteikia joms diskreciją dėl galimo šių nuostatų įgyvendinimo būdo („leidžiančiosios nuostatos“) (2024 m. spalio 4 d. Sprendimo Lindenapotheke, C‑21/23, EU:C:2024:846, 57 punktas ir jame nurodyta jurisprudencija).

Iš tiesų BDAR VIII skyriaus nuostatose konkrečiai nėra tokios leidžiančiosios nuostatos, pagal kurią valstybės narės galėtų aiškiai numatyti duomenų subjektui, norinčiam užkirsti kelią duomenų valdytojui pažeisti šio reglamento materialines nuostatas, galimybę pareikšti ieškinį siekiant, kad duomenų valdytojas būtų įpareigotas susilaikyti nuo atitinkamų veiksmų. Vis dėlto Sąjungos teisės aktų leidėjas neketino išsamiai suderinti teisių gynimo priemonių, kuriomis galima pasinaudoti minėto reglamento nuostatų pažeidimo atveju, ir, konkrečiai kalbant, neatmetė tokios teisių gynimo priemonės galimybės (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Lindenapotheke (C‑21/23, EU:C:2024:846, 59 ir 60 punktus).

Tokį aiškinimą patvirtina BDAR siekiami tikslai. Iš tiesų šiuo reglamentu, kaip nurodyta jo 10 konstatuojamojoje dalyje, be kita ko, siekiama užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą tvarkant jų asmens duomenis. Be to, minėto reglamento 11 konstatuojamojoje dalyje konkrečiai nurodyta, kad siekiant veiksmingos tokių duomenų apsaugos reikia sustiprinti duomenų subjektų teises ir asmens duomenis tvarkančių ir jų tvarkymą nustatančių subjektų prievoles (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Lindenapotheke, C‑21/23, EU:C:2024:846, 61 punktą).

Duomenų subjekto galimybė pareikšti ieškinį teisme, kad duomenų valdytojui būtų nurodyta ateityje susilaikyti nuo BDAR materialinių nuostatų pažeidimo, nepažeidžia šių tikslų, bet, priešingai, gali sustiprinti šių nuostatų veiksmingumą, taigi ir šiuo reglamentu siekiamą aukštą duomenų subjektų apsaugos lygį tvarkant jų asmens duomenis. Taigi pagal BDAR VIII skyriaus nuostatas nedraudžiami nacionalinės teisės aktai, pagal kuriuos duomenų subjektui suteikiama tokia galimybė imtis prevencinės teisių gynimo priemonės (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Lindenapotheke, C‑21/23, EU:C:2024:846, 62 ir 73 punktus).

Darytina išvada, kad pagal BDAR nedraudžiama, kad teise į teisinę gynybą, siekiant, kad būtų nustatytas įpareigojimas, leidžiantis užkirsti kelią galimam šio reglamento materialinių nuostatų pažeidimui, be kita ko, galimai pakartojant neteisėtą duomenų tvarkymą, būtų galima pasinaudoti remiantis valstybės narės teisės nuostatomis, taikytinomis nacionaliniame teisme, į kurį kreiptasi.

Atsižvelgiant į visa tai, kas išdėstyta, į pirmąjį–trečiąjį klausimus reikia atsakyti: BDAR nuostatos turi būti aiškinamos taip, kad jose duomenų subjekto, kurio asmens duomenys buvo tvarkomi neteisėtai, naudai tuo atveju, kai šis asmuo neprašo ištrinti jo duomenų, nėra numatyta teisminės teisių gynimo priemonės, leidžiančios jam prevenciškai pasiekti, kad duomenų valdytojas būtų įpareigotas ateityje neatlikti naujo neteisėto duomenų tvarkymo. Vis dėlto šios nuostatos netrukdo valstybėms narėms numatyti tokios teisių gynimo priemonės savo atitinkamose teisės sistemose.

Dėl ketvirtojo klausimo

Ketvirtuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad šioje nuostatoje vartojama sąvoka „neturtinė žala“ apima neigiamus jausmus, kuriuos duomenų subjektas patiria, kai jo asmens duomenys be leidimo perduodami trečiajam asmeniui, kaip antai baimę ar nepasitenkinimą, kuriuos sukelia šių duomenų kontrolės praradimas, galimas jų naudojimas piktnaudžiaujant arba pakenkimas duomenų subjekto reputacijai.

54	Reikia priminti, kad BDAR 82 straipsnio 1 dalyje numatyta, kad bet kuris asmuo, patyręs turtinę ar neturtinę žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą.

Remiantis suformuota jurisprudencija, atsižvelgiant į tai, kad BDAR 82 straipsnio 1 dalyje nėra jokios nuorodos į valstybių narių nacionalinę teisę, sąvoka „neturtinė žala“, kaip ji suprantama pagal šią nuostatą, turi būti apibrėžta savarankiškai ir vienodai pagal Sąjungos teisę (šiuo klausimu žr. 2024 m. sausio 25 d. Sprendimo MediaMarktSaturn, C‑687/21, EU:C:2024:72, 64 punktą ir 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 139 punktą ir jame nurodytą jurisprudenciją).

Šiuo klausimu Teisingumo Teismas, be kita ko, atsižvelgdamas į BDAR 75, 85 ir 146 konstatuojamąsias dalis, ne kartą yra nusprendęs, kad vien šio reglamento pažeidimo nepakanka, kad būtų suteikta teisė į kompensaciją pagal jo 82 straipsnio 1 dalį. Turtinės ar neturtinės „žalos“ buvimas arba „patirta žala“, minėto reglamento nuostatų pažeidimas ir priežastinis ryšys tarp šios žalos ir šio pažeidimo yra trys kumuliacinės, būtinos ir pakankamos sąlygos šiai teisei į kompensaciją. Taigi duomenų subjektas, kuris pagal šio 82 straipsnio 1 dalį prašo atlyginti neturtinę žalą, turi įrodyti ne tik šio reglamento pažeidimą, bet ir tai, kad šis pažeidimas jam iš tikrųjų sukėlė tokią žalą (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 32, 33, 37 ir 42 punktus; 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 140–142 punktus ir 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 24 ir 25 punktus).

Nagrinėjamu atveju prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo, kad ieškovas pagrindinėje byloje neturtinę žalą, kurią jis teigia patyręs dėl nagrinėjamo BDAR pažeidimo, iš esmės grindžia „baim[e], kad duomenys bus perduoti tretiesiems asmenims, dirbantiems tame pačiame sektoriuje, taip pat asmens žinojim[u] apie aplinkybes, kurioms taikomas konfidencialumas, [ir] pažeminim[u] dėl pralaimėjimo derantis dėl darbo atlyginimo ir trečiųjų asmenų žinojim[u] apie tai“. Šis teismas siekia išsiaiškinti, ar „neigiamų jausmų, kaip antai pykčio, apmaudo, nepasitenkinimo, nerimo ir baimės“, kuriuos jis laiko „kasdienio gyvenimo rizikos dalimi“, pakanka „neturtinei žalai“, kaip ji suprantama pagal šio reglamento 82 straipsnį, įrodyti, o gal reikia, kad duomenų subjektas būtų patyręs žalą, viršijančią šiuos jausmus.

Šiuo klausimu, pirma, iš Teisingumo Teismo jurisprudencijos matyti, kad pagal BDAR 82 straipsnio 1 dalį draudžiama nacionalinės teisės norma ar nacionalinė praktika, pagal kurią „neturtinės žalos“ kompensavimas, kaip tai suprantama pagal šią nuostatą, siejamas su sąlyga, kad duomenų subjekto patirta žala turi būti tam tikro dydžio. Minėtoje nuostatoje nereikalaujama, kad duomenų subjekto nurodyta neturtinė žala pasiektų „de minimis ribą“, kad ši žala galėtų būti atlyginta (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 51 punktą ir 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 147 ir 149 punktus).

Antra, kaip savo rašytinėse pastabose pažymėjo Europos Komisija, situacijos, kaip antai nurodytos pagrindinėje byloje, susijusios su „pakenkimu reputacijai“ dėl asmens duomenų pažeidimo arba tokių duomenų „kontrolės praradimo“, yra aiškiai nurodytos kaip galimos žalos pavyzdžiai, išvardyti BDAR 75 ir 85 konstatuojamosiose dalyse.

Konkrečiai kalbant, Teisingumo Teismas pabrėžė, kad iš BDAR 85 konstatuojamosios dalies pirmame sakinyje pateikto pavyzdinio „sužalojimų“ ar „žalos“, kurią gali patirti duomenų subjektai, sąrašo matyti, kad Sąjungos teisės aktų leidėjas ketino į šias dvi sąvokas įtraukti, be kita ko, paprastą šių asmenų asmens duomenų „kontrolės praradimą“ dėl šio reglamento pažeidimo, net jei nagrinėjami duomenys konkrečiai nebuvo naudojami piktnaudžiaujant. Tokio kontrolės praradimo gali pakakti, kad būtų padaryta „neturtinė žala“, kaip ji suprantama pagal minėto reglamento 82 straipsnio 1 dalį, jeigu duomenų subjektas įrodo, kad iš tikrųjų patyrė tokią žalą, nors ir minimalią, ir ši „neturtinės žalos“ sąvoka nereikalauja įrodyti, kad yra papildomų apčiuopiamų neigiamų pasekmių (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 145, 150 ir 156 punktus ir juose nurodytą jurisprudenciją).

Trečia, Teisingumo Teismas jau yra nusprendęs, kad vien duomenų subjekto baimė, jog dėl BDAR pažeidimo jo asmens duomenys ateityje bus naudojami netinkamai, gali būti laikoma „neturtine žala“, kaip ji suprantama pagal BDAR 82 straipsnio 1 dalį, su sąlyga, kad ši baimė ir neigiamos pasekmės bus tinkamai įrodytos, o tai turi patikrinti nacionalinis teismas, į kurį kreiptasi (šiuo klausimu žr. 2024 m. birželio 20 d. Sprendimo PS (Blogas adresas), C‑590/22, EU:C:2024:536, 32, 35 ir 36 punktus ir 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 143, 144 ir 155 punktus ir juose nurodytą jurisprudenciją).

Taigi, nors prašymą priimti prejudicinį sprendimą pateikusio teismo nurodyti jausmai, visų pirma baimė ar nepasitenkinimas, taip pat gali, kaip pažymi pats šis teismas, būti bendros kasdienio gyvenimo rizikos dalis, tokie neigiami jausmai gali būti laikomi „neturtine žala“, kaip ji suprantama pagal BDAR 82 straipsnio 1 dalį, jeigu laikydamasis priežastinio ryšio reikalavimo, nurodyto šio sprendimo 56 punkte, duomenų subjektas įrodo tai, kad turi tokių jausmų, ir neigiamas jų pasekmes būtent dėl aptariamo šio reglamento pažeidimo, pavyzdžiui, neteisėto jo asmens duomenų perdavimo trečiajam asmeniui, sukeliančio piktnaudžiavimo jais riziką, o tai turi įvertinti bylą nagrinėjantys nacionaliniai teismai.

Galiausiai, ketvirta, šis aiškinimas atitinka BDAR 82 straipsnio 1 dalies formuluotę, siejamą su šio reglamento 85 ir 146 konstatuojamosiomis dalimis, pagal kurias sąvoka „neturtinė žala“, kaip ji suprantama pagal šio 82 straipsnio 1 dalį, turi būti aiškinama plačiai. Be to, jį patvirtina minėto reglamento tikslas, išplaukiantis iš jo 1 straipsnio ir 1 bei 10 konstatuojamųjų dalių, užtikrinti aukštą fizinių asmenų apsaugos tvarkant asmens duomenis lygį (pagal analogiją žr. 2023 m. gruodžio 14 d. Sprendimo Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, 19 ir 20 punktus ir 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 144 ir 146 punktus).

Atsižvelgiant į tai, kas išdėstyta, į ketvirtąjį klausimą reikia atsakyti: BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad šioje nuostatoje vartojama sąvoka „neturtinė žala“ apima neigiamus jausmus, kuriuos duomenų subjektas patiria, kai jo asmens duomenys be leidimo perduodami trečiajam asmeniui, kaip antai baimę ar nepasitenkinimą, kuriuos sukelia šių duomenų kontrolės praradimas, galimas jų naudojimas piktnaudžiaujant arba pakenkimas šio duomenų subjekto reputacijai, jeigu jis įrodo tai, kad turi tokių jausmų, ir neigiamas jų pasekmes dėl aptariamo šio reglamento pažeidimo.

Dėl penktojo klausimo

Penktuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad pagal ją leidžiama, siekiant įvertinti pagal šio 82 straipsnio 1 dalį mokėtinos neturtinės žalos atlyginimą, atsižvelgti į duomenų valdytojo kaltės laipsnį.

Šiuo klausimu iš Teisingumo Teismo jurisprudencijos matyti: kadangi BDAR nėra nuostatų, kuriomis būtų siekiama nustatyti taisykles, susijusias su žalos, mokėtinos remiantis šio reglamento 82 straipsnyje įtvirtinta teise į kompensaciją, vertinimu, nacionaliniai teismai šiuo tikslu turi taikyti kiekvienos valstybės narės vidaus taisykles, susijusias su piniginės kompensacijos dydžiu, su sąlyga, kad laikomasi Sąjungos teisėje įtvirtintų lygiavertiškumo ir veiksmingumo principų (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 54 ir 59 punktus ir 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 32 punktą).

Nagrinėjamu atveju prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar žalą padariusio asmens kaltės laipsnis, kuris yra Vokietijos teisėje numatytas piniginės kompensacijos už neturtinę žalą vertinimo kriterijus, taip pat galėtų būti taikomas neturtinės žalos atlyginimui pagal BDAR 82 straipsnį.

68	Iš Teisingumo Teismo sprendimų – kai kurie iš jų buvo priimti po to, kai buvo pateiktas šis prašymas priimti prejudicinį sprendimą – matyti, kad į penktąjį klausimą reikia atsakyti neigiamai.

Iš tiesų Teisingumo Teismas yra nusprendęs, kad, atsižvelgiant į BDAR 82 straipsnyje numatytos teisės į kompensaciją kompensacinę funkciją, nacionaliniai teismai privalo užtikrinti „visą ir veiksmingą“ patirtos žalos atlyginimą, kaip nurodyta šio reglamento 146 konstatuojamojoje dalyje, ir tokios visiškos kompensacijos tikslais nereikia nurodyti sumokėti baudinio pobūdžio kompensacijos (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 57 ir 58 punktus ir 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 34 punktą).

Priešingai, nei BDAR 83 straipsnyje numatyta administracinių baudų, kurių kriterijai netaikomi mutatis mutandis pagal šio reglamento 82 straipsnį, atveju, 82 straipsnyje numatyta teisė į kompensaciją, be kita ko, neturtinės žalos atveju, atlieka tik kompensacinę funkciją, nes minėtu 82 straipsniu grindžiama piniginė kompensacija turi leisti visiškai kompensuoti konkrečiai dėl šio reglamento pažeidimo patirtą žalą, o ne atgrasomąją ar baudžiamąją funkciją (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 153 punktą ir 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 39–41 punktus).

Taigi, viena vertus, duomenų valdytojo atsakomybė pagal BDAR 82 straipsnį kyla, jeigu yra jo kaltė, kuri preziumuojama, nebent duomenų valdytojas įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio atsirado žala, ir, kita vertus, šiame 82 straipsnyje nereikalaujama pagal jį nustatant kompensacijos už neturtinę žalą dydį atsižvelgti į šios kaltės laipsnį (2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 154 punktas).

Konkrečiau kalbant, BDAR 82 straipsnio 1 dalyje numatytos teisės į kompensaciją išimtinai kompensacinė funkcija neleidžia atsižvelgti į duomenų valdytojo padaryto šio reglamento pažeidimo sunkumo laipsnį ir galimą tyčinį pobūdį, siekiant šiuo pagrindu atlyginti žalą. Darytina išvada, kad pagal šią nuostatą negalima atsižvelgti į duomenų valdytojo elgesį ir motyvus, siekiant atitinkamu atveju priteisti duomenų subjektui mažesnę kompensaciją nei jo faktiškai patirta žala, nesvarbu, ar tai susiję su šios kompensacijos suma, ar forma (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 42–45 punktus ir juose nurodytą jurisprudenciją).

73	Atsižvelgiant į tai, kas išdėstyta, į penktąjį klausimą reikia atsakyti: BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad pagal ją draudžiama, siekiant įvertinti pagal šį straipsnį mokėtinos neturtinės žalos atlyginimą, atsižvelgti į duomenų valdytojo kaltės laipsnį.

Dėl šeštojo klausimo

Šeštasis klausimas pateiktas tuo atveju, jei Teisingumo Teismas teigiamai atsakytų arba į vieną iš pirmojo klausimo dalių, arba į trečiąjį klausimą, t. y. jeigu iš esmės būtų nuspręsta, kad teisė reikalauti, kad duomenų valdytojas ateityje neatliktų naujo asmens duomenų saugumo pažeidimo, BDAR yra pripažįstama duomenų subjekto naudai tiesiogiai pagal šio reglamento nuostatas arba taikant pagal šį reglamentą leidžiamas nacionalines nuostatas. Atsižvelgiant į šio sprendimo 52 punkte pateiktą atsakymą į pirmąjį–trečiąjį klausimus kartu, reikia atsakyti į šeštąjį klausimą.

Siekdamas patikslinti pastarojo klausimo dalyką, prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo, kad pagal Vokietijos teisę ir jo paties jurisprudenciją į aplinkybę, jog neturtinę žalą patyręs asmuo prašė, kad ją padaręs asmuo būtų įpareigotas susilaikyti nuo naujų žalingų veiksmų, arba to pasiekė, gali būti atsižvelgta siekiant sumažinti piniginę kompensaciją už šią žalą arba visai jos neskirti. Jis siekia išsiaiškinti, ar šis žalos atlyginimo vertinimo kriterijus taip pat gali būti taikomas BDAR atveju, visų pirma atsižvelgiant į Sąjungos teisėje įtvirtintą veiksmingumo principą, ir, jei taip, kokia apimtimi.

Taigi savo klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad į aplinkybę, jog duomenų subjektas pasiekė, kad pagal taikytiną nacionalinę teisę būtų nustatytas įpareigojimas – kuriuo galima remtis prieš duomenų valdytoją – nekartoti šio reglamento pažeidimo, gali būti atsižvelgta siekiant sumažinti piniginės kompensacijos už neturtinę žalą, mokėtinos pagal šio 82 straipsnio 1 dalį, dydį ar tuo pakeisti šią kompensaciją.

Šiuo klausimu reikia priminti, kad, kaip nurodyta šio sprendimo 66 punkte, BDAR nėra nuostatų, kuriose būtų apibrėžtos pagal šio reglamento 82 straipsnį mokėtinos žalos vertinimo taisyklės, todėl nacionaliniai teismai šiuo tikslu turi taikyti kiekvienos valstybės narės vidaus taisykles dėl piniginės kompensacijos dydžio su sąlyga, kad laikomasi Sąjungos teisėje įtvirtintų lygiavertiškumo ir veiksmingumo principų.

Konkrečiai kalbant, reikia pažymėti, kad kompensacijos, mokėtinos nagrinėjant ieškinius, skirtus iš BDAR 82 straipsnio kylančių teisės subjektų teisių apsaugai užtikrinti, vertinimo kriterijai, kurie nustatyti kiekvienos valstybės narės teisės sistemoje, turi leisti užtikrinti visišką ir veiksmingą žalos, kurią duomenų subjektas patyrė dėl šio reglamento pažeidimo, atlyginimą (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 152 punktą ir 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 34 punktą ir jame nurodytą jurisprudenciją).

Teisingumo Teismas jau yra pripažinęs, kad, laikantis iš veiksmingumo principo kylančių apribojimų, tam tikros aplinkybės gali turėti įtakos pagal BDAR 82 straipsnį mokėtinos kompensacijos vertinimui, visų pirma siekiant apriboti šią kompensaciją. Buvo nuspręsta, kad, kai duomenų subjekto patirta žala nėra didelė, nacionalinis teismas gali nustatyti jam minimalią kompensaciją, jeigu skiriama nedidelė suma gali visiškai kompensuoti šią žalą, o tai turi patikrinti tas teismas. Be to, atsiprašymas gali būti tinkamas neturtinės žalos atlyginimas pagal šį 82 straipsnį, be kita ko, kai neįmanoma atkurti iki šios žalos atsiradimo buvusios padėties, jeigu tokios formos atlyginimu gali būti visiškai kompensuota minėta žala (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 35–37 punktus ir juose nurodytą jurisprudenciją).

Nagrinėjamu atveju pateiktu klausimu siekiama nustatyti, ar, kalbant apie BDAR 82 straipsnio taikymo sritį, nacionalinis teismas turi galimybę atsižvelgti į tai, kad duomenų subjekto prašymu taikomas įpareigojimas susilaikyti nuo veiksmų, kad sumažintų kompensaciją, kuri gali būti priteista šiam asmeniui už neturtinę žalą, taigi praktiškai šis teismas priteistų tokios žalos atlyginimą iš dalies pinigais ir iš dalies šio įpareigojimo forma, o gal net vien šia forma.

Iš šio sprendimo 78 ir 79 punktuose nurodytos jurisprudencijos matyti, kad taikytinoje nacionalinėje teisėje numatyta kompensacijos forma gali būti laikoma atitinkančia BDAR tik jeigu ši forma atitinka Sąjungos teisėje įtvirtintus lygiavertiškumo ir veiksmingumo principus, o tai, be kita ko, reiškia, kad ja turi būti galima užtikrinti visišką ir veiksmingą duomenų subjekto patirtos žalos atlyginimą.

Konkrečiai kalbant, pagal šio reglamento 82 straipsnį mokėtinas žalos atlyginimas negali būti priteistas – iš dalies arba visiškai – įpareigojant susilaikyti nuo veiksmų, nes šiame 82 straipsnyje numatyta teisė į žalos atlyginimą atlieka tik kompensacinę funkciją, kaip nurodyta šio sprendimo 70 punkte, o įpareigojimas susilaikyti nuo veiksmų, taikomas žalą padariusiam asmeniui, turi vien prevencinį tikslą. Iš tiesų, kaip iš esmės pažymėjo generalinis advokatas išvados 86 punkte, tokio pobūdžio įpareigojimu siekiama užkirsti kelią veiksmų, kuriais padaryta žala, pasikartojimui, kad būtų išvengta naujos žalos, tačiau juo neatlyginama duomenų subjekto jau patirta žala.

Atsižvelgiant į tai, kas išdėstyta, į šeštąjį klausimą reikia atsakyti: BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad pagal ją draudžiama atsižvelgti į aplinkybę, kad pagal taikytiną nacionalinę teisę duomenų subjektas pasiekė, kad būtų išduotas įpareigojimas – kuriuo galima remtis prieš duomenų valdytoją – nekartoti šio reglamento pažeidimo, siekiant sumažinti piniginės kompensacijos už neturtinę žalą, mokėtinos pagal šį straipsnį, dydį ar, a fortiori, tuo pakeisti šią kompensaciją.

Dėl bylinėjimosi išlaidų

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (ketvirtoji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) nuostatos

turi būti aiškinamos taip:

jose duomenų subjekto, kurio asmens duomenys buvo tvarkomi neteisėtai, naudai tuo atveju, kai šis asmuo neprašo ištrinti jo duomenų, nėra numatyta teisminės teisių gynimo priemonės, leidžiančios jam prevenciškai pasiekti, kad duomenų valdytojas būtų įpareigotas ateityje neatlikti naujo neteisėto duomenų tvarkymo. Vis dėlto šios nuostatos netrukdo valstybėms narėms numatyti tokios teisių gynimo priemonės savo atitinkamose teisės sistemose.

Reglamento 2016/679 82 straipsnio 1 dalis

turi būti aiškinama taip:

šioje nuostatoje vartojama sąvoka „neturtinė žala“ apima neigiamus jausmus, kuriuos duomenų subjektas patiria, kai jo asmens duomenys be leidimo perduodami trečiajam asmeniui, kaip antai baimę ar nepasitenkinimą, kuriuos sukelia šių duomenų kontrolės praradimas, galimas jų naudojimas piktnaudžiaujant arba pakenkimas šio duomenų subjekto reputacijai, jeigu šis subjektas įrodo tai, kad turi tokių jausmų, ir neigiamas jų pasekmes dėl aptariamo šio reglamento pažeidimo.

3.	Reglamento 2016/679 82 straipsnio 1 dalis turi būti aiškinama taip: pagal ją draudžiama, siekiant įvertinti pagal šį straipsnį mokėtinos neturtinės žalos atlyginimą, atsižvelgti į duomenų valdytojo kaltės laipsnį.

Reglamento 2016/679 82 straipsnio 1 dalis

turi būti aiškinama taip:

pagal ją draudžiama atsižvelgti į aplinkybę, kad pagal taikytiną nacionalinę teisę duomenų subjektas pasiekė, kad būtų išduotas įpareigojimas – kuriuo galima remtis prieš duomenų valdytoją – nekartoti šio reglamento pažeidimo, siekiant sumažinti piniginės kompensacijos už neturtinę žalą, mokėtinos pagal šį straipsnį, dydį ar, a fortiori, tuo pakeisti šią kompensaciją.

Parašai.

( *1 ) Proceso kalba: vokiečių.

Top

Choose the experimental features you want to try