1.

Reglamento (ES) 2016/679 ( 2 ) (toliau – reglamentas) 4 straipsnyje „Apibrėžtys“ numatyta:

„Šiame reglamente:

<…>

<…>“

2.

5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ nurodyta:

„1.   Asmens duomenys turi būti:

<…>

2.   Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

3.

To paties reglamento 24 straipsnyje ‚Duomenų valdytojo atsakomybė“ nustatyta:

„1.   Atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento. Tos priemonės prireikus peržiūrimos ir atnaujinamos.

2.   Kai tai proporcinga duomenų tvarkymo veiklos atžvilgiu, 1 dalyje nurodytos priemonės apima duomenų valdytojo įgyvendinamą atitinkamą duomenų apsaugos politiką.

3.   Tuo, kad laikomasi patvirtintų elgesio kodeksų, kaip nurodyta 40 straipsnyje, arba patvirtintų sertifikavimo mechanizmų, kaip nurodyta 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti, kad duomenų valdytojas vykdo prievoles.“

4.

32 straipsnyje „Duomenų tvarkymo saugumas“ numatyta:

„1.   Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia:

<…>

2.   Nustatant tinkamo lygio saugumą visų pirma atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.

3.   Tuo, kad laikomasi patvirtinto elgesio kodekso, kaip nurodyta 40 straipsnyje, arba patvirtinto sertifikavimo mechanizmo, kaip nurodyta 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti, kad laikomasi šio straipsnio 1 dalyje nustatytų reikalavimų.

<…>“

5.

To paties reglamento 82 straipsnyje „Teisė į kompensaciją ir atsakomybė“ nurodyta:

„1.   Bet kuris asmuo, patyręs materialinę ar nematerialinę žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą.

2.   Tvarkant duomenis dalyvaujantis duomenų valdytojas atsako už žalą, padarytą dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą. <…>

3.   Duomenų valdytojas arba duomenų tvarkytojas atleidžiami nuo atsakomybės pagal 2 dalį, jeigu jis įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala.“

6.

2019 m. liepos 15 d. Bulgarijos žiniasklaida plačiajai visuomenei pranešė, kad buvo neteisėtai prisijungta prie Natsionalna agentsia za prihodite (Nacionalinė pajamų agentūra, Bulgarija; toliau – NPA ( 3 )) kompiuterinės sistemos ir kad internete buvo paskelbta įvairūs milijonų žmonių, tiek piliečių, tiek užsieniečių, mokesčių ir socialinio draudimo duomenys.

7.

Taigi daugybė asmenų, tarp jų ir ieškovė pagrindinėje byloje V. B., pareiškė ieškinius NPA dėl neturtinės žalos atlyginimo.

8.

Šioje byloje ieškovė pagrindinėje byloje pareiškė ieškinį Administrativen sad Sofia-grad (Sofijos miesto administracinis teismas, Bulgarija; toliau – ASSG), teigdama, kad NPA pažeidė nacionalinės teisės normas ir savo, kaip duomenų valdytojos, pareigą tvarkyti asmens duomenis tokiu būdu, kad taikant tinkamas technines ir organizacines priemones būtų užtikrintas „tinkamas asmens duomenų saugumas“, kaip tai suprantama pagal Reglamento (ES) 2016/679 24 ir 32 straipsnius. Ieškovė teigė patyrusi neturtinę žalą, kuri pasireiškė susirūpinimu ir nuogąstavimais dėl galimo būsimo piktnaudžiavimo jos asmens duomenimis.

9.

Kita vertus, atsakovė pabrėžė, kad ieškovė pagrindinėje byloje neprašė jokios informacijos apie tai, kokie konkretūs asmens duomenys buvo pasisavinti. Be to, sužinojusi apie įsilaužimą, atsakovė suorganizavo susitikimus su ekspertais, kad apsaugotų piliečių teises ir interesus. NPA teigimu, taip pat nebuvo priežastinio ryšio tarp kibernetinio išpuolio ir tariamai patirtos žalos, nes agentūra buvo įdiegusi visas procesų valdymo ir informacijos saugumo sistemas pagal atitinkamus šioje srityje galiojančius tarptautinius standartus.

10.

Pirmosios instancijos teismas, ASSG, atmetė ieškinį nurodydamas, kad duomenų atskleidimas nėra susijęs su agentūra, kad įrodinėjimo pareiga dėl taikytų priemonių tinkamumo tenka ieškovei ir, galiausiai, kad ji nepatyrė jokios atlygintinos neturtinės žalos.

11.

Pirmosios instancijos teismo sprendimas buvo apskųstas Varhoven administrativen sad (Vyriausiasis administracinis teismas, Bulgarija). Kaip vieną iš pateiktų argumentų ieškovė pagrindinėje byloje pabrėžė tai, kad pirmosios instancijos teismas neteisingai paskirstė įrodinėjimo pareigą, susijusią su tuo, kad nebuvo imtasi saugumo priemonių. Neturtinė žala taip pat neturėtų būti įrodinėjimo pareigos objektas, nes tai yra faktiškai patirta, o ne tik galima neturtinė žala.

12.

NPA savo ruožtu pakartotinai patvirtino, kad, kaip duomenų valdytoja, ji ėmėsi būtinų techninių ir organizacinių priemonių, ir ginčijo faktinės neturtinės žalos įrodymų buvimą. Susirūpinimas ir nuogąstavimai yra emocinės būsenos, kurios nėra pakankamas pagrindas žalai atlyginti.

13.

Prašymą priimti prejudicinį sprendimą pateikęs teismas atkreipė dėmesį į tai, kad teismo procesų, kuriuos nukentėjusiosios šalys atskirai inicijavo prieš NPA dėl neturtinės žalos atlyginimo, baigtis buvo įvairi.

14.

Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikęs teismas nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

15.

Šioje byloje keliami įdomūs ir iš dalies nauji klausimai, susiję su kelių reglamento nuostatų aiškinimu ( 4 ).

16.

Penki prejudiciniai klausimai iš esmės yra susiję su vienu ir tuo pačiu aspektu: neturtinės žalos atlyginimo asmeniui, kurio duomenys, saugomi viešosios institucijos, buvo paskelbti internete po „programišių išpuolio“, sąlygomis.

17.

Dėl patogumo pasiūlysiu atskirus apibendrintus atsakymus į visus prašyme priimti prejudicinį sprendimą pateiktus klausimus, nors ir manytina, kad kai kurie iš jų konceptualiai sutampa, nes pirmaisiais keturiais klausimais siekiama nustatyti sąlygas, kuriomis duomenų valdytoja galimai pažeidė reglamento nuostatas ( 5 ), o penktasis klausimas konkrečiai susijęs su neturtinės žalos sąvoka siekiant gauti kompensaciją ( 6 ).

18.

Norėčiau pabrėžti, kad šiuo metu Teisingumo Teisme nagrinėjamos kelios bylos dėl reglamento 82 straipsnio ir vienoje iš jų jau buvo remtasi generalinio advokato išvada, į kurią atsižvelgsiu šioje analizėje ( 7 ).

19.

Manau, kad, prieš pradedant nagrinėti nurodytus klausimus, tikslinga pateikti keletą pirminių pastabų dėl reglamento principų ir tikslų, nes jos bus naudingos atsakant į kiekvieną prejudicinį klausimą.

20.

Reglamento 24 straipsnyje nustatyta bendro pobūdžio duomenų valdytojo pareiga įgyvendinti tinkamas technines ir organizacines priemones, kad jis užtikrintų ir galėtų įrodyti, kad duomenys tvarkomi laikantis šio reglamento, o 32 straipsnyje konkrečiai aptariama ta pati pareiga, susijusi su duomenų tvarkymo saugumu. 24 ir 32 straipsniuose konkrečiau išdėstoma tai, kas jau numatyta 5 straipsnio 2 dalyje; joje, kaip vienas iš „[s]u asmens duomenų tvarkymu susij[usių] princip[ų]“, nustatytas „atskaitomybės [principas]“. Jis logiškai atitinka 5 straipsnio 1 dalies f punkte numatytą „vientisumo ir konfidencialumo principą“ ir jį papildo, ir abu šie principai turi būti aiškinami atsižvelgiant į rizika pagrįstą požiūrį, kuriuo grindžiamas reglamentas.

21.

Atskaitomybės principas – vienas iš reglamento ramsčių ir viena iš svarbiausių jo naujovių. Pagal jį duomenų valdytojui tenka atsakomybė imtis aktyvių veiksmų, kad būtų užtikrinta atitiktis reglamentui, ir būti pasirengusiam tai įrodyti ( 8 ).

22.

Doktrinoje tikri kultūriniai pokyčiai nurodomi kaip „bendros atsakomybės pareigos apimties“ poveikis ( 9 ). Ne formalus teisinės prievolės laikymasis ar neatidėliotinos priemonės taikymas, o priimta bendra įmonės strategija yra svarbi atleidžiant duomenų valdytoją nuo atsakomybės, kadangi jis laikosi duomenų apsaugos taisyklių.

23.

Techninės ir organizacinės priemonės, kurių reikalaujama pagal atskaitomybės principą, turi būti „tinkamos“, atsižvelgiant į 24 straipsnyje nurodytus kriterijus: duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus, taip pat į įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms.

24.

Taigi 24 straipsnyje reikalaujama, kad priemonės būtų tinkamos, siekiant įrodyti, jog duomenų tvarkymas atitinka reglamento principus ir nuostatas.

25.

Kita vertus, 32 straipsnyje atskaitomybės principas grindžiamas konkrečiomis priemonėmis, kurių reikia imtis, kad būtų užtikrintas „pavojų atitinkančio lygio saugumas“. Šiuo atveju jau numatyti kriterijai, į kuriuos reikia atsižvelgti rengiant technines ir organizacines priemones, yra papildomi techninių galimybių išsivystymo lygiu ir įgyvendinimo sąnaudomis.

26.

Pagal tinkamumo sąvoką reikalaujama, kad užtikrinant informacinių sistemų apsaugą priimti sprendimai būtų priimtini tiek techniniu (priemonių tinkamumas), tiek kokybiniu (apsaugos veiksmingumas) požiūriu. Siekiant užtikrinti būtinumo, tinkamumo ir proporcingumo principų laikymąsi, duomenų tvarkymas turi būti ne tik tinkamas, bet ir pakankamas atsižvelgiant į tikslus, kurių juo siekiama. Pagal šią logiką lemiamas vaidmuo tenka duomenų kiekio mažinimo principui; pagal jį visais duomenų tvarkymo etapais turi būti nuolat stengiamasi kuo labiau sumažinti riziką saugumui ( 10 ).

27.

Visas reglamentas grindžiamas rizikos prevencija ir duomenų valdytojo atsakomybe; tai teleologinis požiūris, kuriuo siekiama geriausio įmanomo rezultato veiksmingumo atžvilgiu, t. y. gerokai nutolstama nuo formalios logikos, susijusios su paprasčiausia pareiga laikytis konkrečių procedūrų, kad būtų išvengta atsakomybės ( 11 ).

28.

24 straipsnyje nepateikiamas baigtinis „tinkamų“ priemonių sąrašas: kiekvienu konkrečiu atveju reikės atlikti individualų vertinimą. Tai atitinka reglamento filosofiją, iš kurios matyti, jog pageidautina, kad taikytinos procedūros būtų pasirinktos kruopščiai įvertinus konkrečią situaciją, kad jos būtų kuo veiksmingesnės ( 12 ).

29.

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar reglamento 24 ir 32 straipsniai turi būti aiškinami taip, kad vien „asmens duomenų saugumo pažeidimo“, kaip tai suprantama pagal 4 straipsnio 12 dalį, atsiradimo pakanka, kad būtų galima daryti išvadą, jog duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės nebuvo „tinkamos“ duomenų apsaugai užtikrinti.

30.

Iš reglamento 24 ir 32 straipsnių formuluotės matyti, kad duomenų valdytojas, pasirinkdamas technines ir organizacines priemones, kurias privalo įgyvendinti siekdamas užtikrinti minėto reglamento laikymąsi, turi atsižvelgti į tam tikrus šiuose straipsniuose išvardytus ir pirma minėtus vertinimo kriterijus.

31.

Duomenų valdytojas turi tam tikrą veiksmų laisvę nustatyti tinkamiausias priemones, atsižvelgdamas į konkrečią situaciją, tačiau šis pasirinkimas vis dėlto gali būti teisminės kontrolės objektas, kad būtų galima patikrinti, ar taikomos priemonės atitinka visas iš minėto reglamento kylančias prievoles ir tikslus.

32.

Visų pirma, kalbant apie saugumo priemones, pažymėtina, jog 32 straipsnio 1 dalyje reikalaujama, kad duomenų valdytojas atsižvelgtų į „techninių galimybių išsivystymo lygį“. Tai reiškia, kad įgyvendintinų priemonių technologinis lygis apsiriboja tuo, kas pagrįstai įmanoma priemonių įgyvendinimo metu, t. y. priemonės tinkamumas užkirsti kelią pavojui turi būti proporcingas sprendimams, kuriuos gali pateikti dabartiniai laimėjimai mokslo, technikos, technologijų ir mokslinių tyrimų srityje, taip pat atsižvelgiant, kaip bus nurodyta toliau, į įgyvendinimo sąnaudas.

33.

Priemonės tam tikru metu gali būti „tinkamos“ ir, nepaisant to, jas gali apeiti kibernetiniai nusikaltėliai, naudojantys itin sudėtingus metodus, dėl kurių netgi techninių galimybių išsivystymo lygį atitinkančios saugumo priemonės gali tapti neveiksmingos.

34.

Kita vertus, nelogiška manyti, kad Sąjungos teisės aktų leidėjas ketino nustatyti duomenų valdytojui pareigą užkirsti kelią bet kokiam asmens duomenų saugumo pažeidimui, neatsižvelgiant į tai, kaip stropiai jis įgyvendina saugumo priemones ( 13 ).

35.

Kaip jau minėta, reglamente atsisakoma automatiškumo ir reikalaujama didelės duomenų valdytojo atsakomybės, tačiau tai nereiškia, kad pastarajam neįmanoma įrodyti, kad jis tinkamai vykdė jam nustatytas pareigas.

36.

32 straipsnio 1 dalyje taip pat numatyta, kad turi būti atsižvelgta į aptariamų techninių ir organizacinių priemonių „įgyvendinimo sąnaudas“. Darytina išvada, kad tokių priemonių tinkamumo vertinimas turi būti grindžiamas duomenų subjekto interesų, kurių apsaugos lygis paprastai yra aukštesnis, ir duomenų valdytojo ekonominių interesų bei technologinių pajėgumų, kurių apsaugos lygis kartais gali būti žemesnis, pusiausvyra. Toks pusiausvyros užtikrinimas turi atitikti bendrojo proporcingumo principo reikalavimus.

37.

Be to, aiškinant sistemiškai, reikėtų pridurti, jog teisės aktų leidėjas numato, kad tokių sistemų pažeidimų gali pasitaikyti; 32 straipsnio 1 dalies c punkte tarp siūlomų priemonių nurodytas gebėjimas laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju. Saugumo priemonių, kuriomis užtikrinamas riziką atitinkantis šių pajėgumų saugumo lygis, numatymas būtų beprasmis, jei būtų teigiama, kad vien sistemų pažeidimas savaime yra tokių priemonių netinkamumo įrodymas.

38.

Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, koks turėtų būti teisminės kontrolės dalykas ir apimtis vertinant asmens duomenų valdytojo įgyvendintų techninių ir organizacinių priemonių tinkamumą pagal reglamento 32 straipsnį.

39.

Atsižvelgiant į praktikoje galinčių susiklostyti situacijų įvairovę, reglamente, kaip minėta, nepateikiamos privalomos nuostatos, pagal kurias nustatomos techninės ir organizacinės priemonės, kurių turi imtis duomenų valdytojas, kad įvykdytų minėto reglamento reikalavimus. Taigi priemonių, kurių buvo imtasi, tinkamumas turės būti vertinamas in concreto, nagrinėjant, ar konkrečios priemonės buvo tinkamos siekiant pagrįstai užkirsti kelią rizikai ir kuo labiau sumažinti neigiamas pažeidimo pasekmes.

40.

Be abejo, tokių priemonių pasirinkimas ir įgyvendinimas priklauso subjektyviam duomenų valdytojo vertinimui, nes reglamente nurodytos priemonės yra tik pavyzdinės, todėl teisminė kontrolė negali apsiriboti tik patikrinimu, ar duomenų valdytojas laikosi savo pareigų pagal 24 ir 32 straipsnius, t. y. ar jis (formaliai) numatė tam tikras technines ir organizacines priemones. Jis turi atlikti konkrečią šių priemonių turinio, jų taikymo būdo ir praktinio poveikio analizę, remdamasis turimais įrodymais ir nagrinėjamo atvejo aplinkybėmis. Kaip tinkamai pažymėjo Portugalijos vyriausybė, „būdas, kuriuo jis įvykdė savo pareigas, atrodo neatsiejamas nuo priimtų priemonių turinio, siekiant įrodyti, kad, atsižvelgdamas į konkretų duomenų tvarkymą (jo pobūdį, apimtį, kontekstą ir tikslus), techninių galimybių išsivystymo lygį ir jų įgyvendinimo sąnaudas, taip pat į pavojų piliečių teisėms ir laisvėms, duomenų valdytojas ėmėsi visų būtinų ir tinkamų priemonių, kad būtų užtikrintas pavojų atitinkančio lygio saugumas“ ( 14 ).

41.

Taigi atliekant teisminę kontrolę reikės atsižvelgti į visus kriterijus, nurodytus 24 ir 32 straipsniuose, kuriuose, kaip minėta, išvardyti tam tikri tinkamumo vertinimo kriterijai ir pateikti priemonių, kurios gali būti laikomos tinkamomis, pavyzdžiai. Be to, kaip nurodė Komisija ir visos valstybės narės, pateikusios pastabas dėl antrojo klausimo, 32 straipsnio 1–3 dalyse pabrėžiama būtinybė užtikrinti „pavojų atitinkančio lygio saugum[ą]“, pažymint kitus šiuo atveju svarbius kriterijus, pavyzdžiui, galimą duomenų tvarkytojo patvirtinto elgesio kodekso priėmimą ar patvirtinto sertifikavimo mechanizmo nustatymą, kaip numatyta atitinkamai reglamento 40 ir 42 straipsniuose.

42.

Elgesio kodeksų priėmimas ar sertifikavimo mechanizmų nustatymas gali būti naudingas vertinimo kriterijus įrodinėjimo pareigos ir su tuo susijusios teisminės kontrolės vykdymo tikslais. Vis dėlto vertėtų patikslinti, kad duomenų valdytojui nepakanka laikytis elgesio kodekso, bet jis turi ir pareigą įrodyti, kad iš tikrųjų ėmėsi jame numatytų priemonių, vadovaudamasis atskaitomybės principu. Kita vertus, sertifikavimas „pats savaime yra įrodymas, kad vykdomos duomenų tvarkymo operacijos atitinka reglamentą, net jeigu jį praktiškai galima paneigti“ ( 15 ).

43.

Galiausiai reikia pažymėti, kad tos priemonės prireikus turi būti peržiūrimos ir atnaujinamos pagal 24 straipsnio 1 dalį. Ir tai taip pat turės įvertinti nacionalinis teismas. Pagal reglamento 32 straipsnio 1 dalį ( 16 ) duomenų valdytojui tenka pareiga ne tik atlikti nuolatinę kontrolę ir stebėseną prieš duomenų tvarkymą ir po jo, bet ir prižiūrėti ir galbūt atnaujinti priimtas priemones, kad būtų užkirstas kelias pažeidimams, o jų padarius – sumažintas jų poveikis.

44.

Vis dėlto esu linkęs atmesti galimybę, kad būsimame sprendime bus pateiktas esminių kriterijų sąrašas, kaip antai pasiūlytas Portugalijos vyriausybės ( 17 ). Tai galėtų sukelti prieštaringų aiškinimų, nes akivaizdu, kad sąrašas niekada nebus baigtinis.

45.

Pirma savo trečiojo klausimo dalimi prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės prašo Teisingumo Teismo nustatyti, ar, atsižvelgiant į reglamento 5 straipsnio 2 dalyje ir 24 straipsnyje, siejamame su 74 konstatuojamąja dalimi ( 18 ), įtvirtintą atskaitomybės principą, nagrinėjant ieškinį dėl žalos atlyginimo pagal 82 straipsnį įrodinėjimo pareiga dėl techninių ir organizacinių priemonių tinkamumo pagal 32 straipsnį tenka asmens duomenų valdytojui.

46.

Remiantis pirma išdėstytais argumentais, galima apibendrintai teigiamai atsakyti į šį klausimą.

47.

Iš tiesų teisės akto tekstas, kontekstas ir reglamento tikslai vienareikšmiškai patvirtina duomenų valdytojui tenkančią įrodinėjimo pareigą.

48.

Iš įvairių reglamento nuostatų formuluočių matyti, kad duomenų valdytojas turi „galėti“ arba „gebėti“„įrodyti“, kad jis laikosi savo įsipareigojimų pagal reglamentą, ir visų pirma tai, kad jis šiuo tikslu įgyvendino tinkamas priemones, kaip numatyta 74 konstatuojamojoje dalyje, 5 straipsnio 2 dalyje ir 24 straipsnio 1 dalyje. Kaip nurodo Portugalijos vyriausybė, minėtoje 74 konstatuojamojoje dalyje patikslinama, kad šiuo atveju duomenų valdytojui tenkanti įrodinėjimo pareiga turi apimti atitinkamų „priemonių veiksmingumo“ įrodymą.

49.

Man atrodo, kad tokį pažodinį aiškinimą patvirtina toliau nurodomi praktiniai ir teleologiniai argumentai.

50.

Kiek tai susiję su įrodinėjimo pareigos paskirstymu, nagrinėjant 82 straipsniu grindžiamą ieškinį dėl žalos atlyginimo duomenų subjektas, pareiškęs ieškinį duomenų valdytojui, turi įrodyti, pirma, kad buvo padarytas reglamento pažeidimas, antra, kad jis patyrė žalą, ir, trečia, kad tarp dviejų pirmesnių elementų yra priežastinis ryšys, kaip pažymėta visos rašytinėse pastabose dėl penktojo prejudicinio klausimo. Šios trys sąlygos yra kumuliatyvios, kaip matyti ir iš Teisingumo Teismo suformuotos jurisprudencijos, ir Bendrojo Teismo praktikos Sąjungos deliktinės atsakomybės srityje ( 19 ).

51.

Vis dėlto manau, kad ieškovo pareiga įrodyti reglamento pažeidimo faktą negali būti tokia plati, kad jis privalėtų įrodyti, kodėl duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės yra netinkamos, kaip tai suprantama pagal 24 ir 32 straipsnius.

52.

Kaip nurodo Komisija, tokių įrodymų pateikti praktikoje dažnai beveik neįmanoma, nes duomenų subjektai paprastai neturi nei pakankamai žinių, kad galėtų analizuoti tokias priemones, nei galimybės susipažinti su visa ginčijamus duomenų tvarkymo veiksmus atliekančio valdytojo turima informacija, visų pirma susijusia su metodais, taikomais siekiant užtikrinti tokio duomenų tvarkymo saugumą. Be to, kartais duomenų valdytojas galėtų teigti, kad jo atsisakymas atskleisti šiuos faktus duomenų subjektams grindžiamas teisėtu pagrindu neatskleisti savo vidaus reikalų ar netgi informacijos, kuri laikoma profesine paslaptimi, be kita ko, būtent dėl saugumo.

53.

Taigi teigiant, kad įrodinėjimo pareiga tenka duomenų subjektui, praktinis rezultatas būtų toks, kad nebūtų galima įgyvendinti visos teisės pareikšti ieškinį pagal 82 straipsnio 1 dalį. Mano nuomone, tai neatitiktų Sąjungos teisės aktų leidėjo ketinimų, nes jis, priimdamas šį reglamentą, siekė sustiprinti duomenų subjektų teises ir duomenų valdytojų pareigas, palyginti su Direktyva 95/46/EB, kurią jis pakeitė. Todėl logiškiau ir teisiškai pagrįsčiau teigti, kad duomenų valdytojas, gindamasis nuo ieškinio dėl žalos atlyginimo, privalo įrodyti, kad jis įvykdė savo pareigas pagal to reglamento 24 ir 32 straipsnius ir veiksmingai ėmėsi tinkamų priemonių.

54.

Trečiojo klausimo antra dalimi prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės prašo Teisingumo Teismo išaiškinti, ar teismo eksperto išvada gali būti laikoma būtinu ir pakankamu įrodymu siekiant įvertinti asmens duomenų valdytojo įgyvendintų techninių ir organizacinių priemonių tinkamumą tuo atveju, kai prieiga prie asmens duomenų ir jų atskleidimas be leidimo yra įsilaužimo pasekmė.

55.

Manau, kad, kaip (iš esmės) pabrėžė Bulgarijos ir Italijos vyriausybės, taip pat Airija ir Komisija, atsakymas į šiuos klausimus turi būti grindžiamas suformuota jurisprudencija; pagal ją, remiantis procesinės autonomijos principu, nesant Sąjungos taisyklių šiuo klausimu, būtent kiekvienos valstybės narės vidaus teisės sistema turi nustatyti išsamias procesines taisykles, kuriomis reglamentuojami teisminiai procesai, skirti asmenų teisių apsaugai, tačiau su sąlyga, kad šios taisyklės Sąjungos teisės reglamentuojamose situacijose nėra mažiau palankios nei taisyklės, reglamentuojančios panašias situacijas pagal nacionalinę teisę (lygiavertiškumo principas), ir kad dėl jų praktiškai netampa neįmanoma arba pernelyg sunku naudotis Sąjungos teisės suteiktomis teisėmis (veiksmingumo principas).

56.

Šiuo atveju pažymiu, kad reglamente nėra nuostatų, kuriomis būtų siekiama nustatyti leistinus įrodinėjimo būdus ir jų įrodomąją vertę, ypač kiek tai susiję su tyrimo veiksmais (pavyzdžiui, eksperto išvada), kuriuos nacionaliniai teismai gali arba turi nurodyti atlikti, kad galėtų įvertinti, ar duomenų valdytojas ėmėsi tinkamų priemonių, kaip tai suprantama pagal reglamentą. Todėl manau, kad, nesant suderintų taisyklių šiuo klausimu, šią procesinę tvarką, laikantis lygiavertiškumo ir veiksmingumo principų, turi nustatyti kiekvienos valstybės narės vidaus teisės sistema.

57.

Minėtas „veiksmingumo principas“, kuris reiškia, kad nepriklausomas teisėjas turi atlikti nešališką vertinimą, galėtų būti pažeistas, jei būdvardis „pakankamas“ būtų suprantamas taip, kad prašymą priimti prejudicinį sprendimą pateikęs teismas gali automatiškai iš eksperto išvados nustatyti, jog duomenų valdytojo priimtos priemonės yra tinkamos ( 20 ).

58.

Ketvirtuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar reglamento 82 straipsnio 3 dalis turi būti aiškinama taip, kad aplinkybė, jog šio reglamento pažeidimą (kuris, kaip šioje byloje, yra asmens duomenų „atskleidimas be leidimo“ arba prie jų „be leidimo gaunama prieiga“, kaip tai suprantama pagal 4 straipsnio 12 punktą) padarė asmenys, kurie nėra šių duomenų valdytojo darbuotojai ir nėra jo kontroliuojami, t. y. buvo įvykdytas pažeidimas, kuris jokiu būdu nepriskirtinas duomenų valdytojui, yra pagrindas atleisti jį nuo atsakomybės, kaip tai suprantama pagal 82 straipsnio 3 dalį.

59.

Atsakymas į klausimą tiesiogiai kyla iš to, kas buvo išdėstyta pirma dėl bendros reglamento filosofijos: automatiškumas nenumatytas, todėl vien tai, kad asmens duomenis be leidimo atskleidė arba prie jų be leidimo gavo prieigą asmenys, nepriklausantys duomenų valdytojo kontrolės sričiai, neatleidžia to valdytojo nuo atsakomybės.

60.

Pirma, aiškinant pažodžiui reikėtų pažymėti, kad nei 82 straipsnio 3 dalyje, nei 146 konstatuojamojoje dalyje nenustatyta jokių konkrečių sąlygų, kurios gali būti įvykdytos, kad duomenų valdytojas būtų atleistas nuo atsakomybės, išskyrus įrodymą, kad jis „jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala“. Iš šios formuluotės matyti, kad, pirma, duomenų valdytojas gali būti atleistas nuo atsakomybės tik tuo atveju, jeigu įrodo, kad už įvykį, dėl kurio patirta atitinkama žala, jis nėra atsakingas, ir, antra, šioje nuostatoje reikalaujamų įrodymų lygis yra aukštas, atsižvelgiant į sąvokos „jokiu būdu“ vartojimą, kaip tai nurodė Komisija ( 21 ).

61.

82 straipsnyje ir apskritai visame reglamente numatytas atsakomybės režimas sukėlė daug diskusijų įvairių valstybių narių doktrinoje. Iš tikrųjų jame yra tradicinių nesutartinės atsakomybės elementų, kaip ir elementų, kurie pagal nuostatų struktūrą priartina šią atsakomybę prie sutartinės atsakomybės arba netgi prie atsakomybės be kaltės formos, atsižvelgiant į duomenų tvarkymo veiklai būdingą pavojingumą. Šioje išvadoje negali būti išsamiai aptartos minėtos diskusijos, tačiau, mano nuomone, 82 straipsnyje atsakomybės be kaltės forma nenustatyta ( 22 ).

62.

Žala, atsiradusi dėl asmens duomenų saugumo pažeidimo, gali atsirasti kaip neatsargumo pasekmė dėl to, kad nebuvo imtasi pagrįstų ir bet kuriuo atveju tinkamų techninių ir organizacinių priemonių, kad būtų užkirstas kelias pažeidimui, atsižvelgiant į su duomenų tvarkymo veikla susijusį pavojų asmenų teisėms ir laisvėms. Dėl šio pavojaus pareiga užkirsti kelią žalai ir jos išvengti tampa griežtesnė, išplečiant duomenų valdytojui tenkančią rūpestingumo pareigą. Taigi, suderintai vertinant duomenų valdytojams tenkančias elgesio pareigas ir nuostatą dėl teisinančių įrodymų, kuriuos turi pateikti žalą padaręs subjektas, galima pateikti argumentų, kuriais remiantis pripažįstamas griežtesnis preziumuojama kalte grindžiamos atsakomybės už neteisėtą asmens duomenų tvarkymą, kaip numatyta reglamento 82 straipsnyje, pobūdis ( 23 ).

63.

Tai reiškia, kad duomenų valdytojas gali pateikti pateisinamųjų įrodymų, kuriais remiantis jis būtų atleistas nuo atsakomybės (tokie įrodymai neleistini atsakomybės be kaltės atveju). Dėl įrodinėjimo pareigos paskirstymo reglamento 82 straipsnio 3 dalyje nustatyta nukentėjusiajai šaliai palanki procedūra; pagal ją numatoma tam tikra nukentėjusiosios šalies įrodinėjimo pareigos perkėlimo forma ( 24 ), kuri visiškai atitinka minėtą įrodinėjimo pareigos perkėlimą, kiek tai susiję su priemonių, kurių buvo imtasi, tinkamumu. Taip teisės aktų leidėjas parodo, kad suvokia pavojus, kylančius pritarus skirtingam įrodinėjimo pareigos paskirstymui; jeigu jis žalą padariusios šalies kaltės įrodinėjimo pareigą perkeltų nukentėjusiam fiziniam asmeniui, tai pernelyg apsunkintų jo padėtį ir būtų faktiškai pakenkta žalos atlyginimo instituto veiksmingumui, atsižvelgiant į taisykles, susijusias su naujų technologijų naudojimu. Duomenų subjektui gali būti itin sudėtinga atkurti žalos atsiradimo aplinkybes ir gauti informacijos apie tai, taigi ir įrodyti duomenų valdytojo kaltę. Priešingai, duomenų valdytojas turi geriausias galimybes pateikti pateisinamuosius įrodymus, kad jis jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala ( 25 ).

64.

Duomenų valdytojas, vadovaudamasis pirma aptartu atskaitomybės principu, taip pat turės įrodyti, jog jis ėmėsi visų įmanomų veiksmų, kad laiku atkurtų sąlygas ir galimybes naudotis asmens duomenimis.

65.

Grįžtant prie prašymą priimti prejudicinį sprendimą pateikusio teismo klausimo ir atsižvelgiant į pateiktus argumentus dėl duomenų valdytojo atsakomybės pobūdžio, pažymėtina, kad, jei, kaip minėta, duomenų valdytojas gali būti atleistas nuo atsakomybės, jam įrodžius, kad pažeidimas įvykdytas dėl visiškai nuo jo nepriklausančios aplinkybės, tokia aplinkybe negali būti laikomas vien faktas, kad įvykį sukėlė asmuo, kurio jis negali kontroliuoti.

66.

Kai duomenų valdytojas tampa kibernetinių nusikaltėlių išpuolių auka, galėtų būti laikoma, kad duomenų valdytojas nėra kaltas dėl žalą sukėlusio įvykio, tačiau negalima atmesti galimybės, kad duomenų valdytojo aplaidumas galėjo būti atitinkamo išpuolio, kurį palengvino asmens duomenų saugumo priemonių, kurias duomenų valdytojas privalėjo įgyvendinti, nebuvimas arba netinkamumas, priežastis. Tai kiekvieno atskiro atvejo faktinių aplinkybių vertinimas, kurį atlieka bylą nagrinėjantis nacionalinis teismas, atsižvelgdamas į jam pateiktus įrodymus.

67.

Be to, bendra patirtis rodo, kad išpuoliai iš išorės prieš viešojo ar privačiojo sektoriaus subjektų, saugančių didelius kiekius asmens duomenų, sistemas yra kur kas dažnesni nei vidiniai išpuoliai. Vadinasi, duomenų valdytojas turi imtis tinkamų priemonių, kad galėtų kovoti visų pirma su išpuoliais iš išorės.

68.

Galiausiai teleologiniu požiūriu reikia pažymėti, kad reglamentu siekiama aukšto apsaugos lygio tikslo. Šiuo klausimu Teisingumo Teismas jau pažymėjo, kad, kaip matyti iš reglamento 1 straipsnio 2 dalies, siejamos su jo 10, 11 ir 13 konstatuojamosiomis dalimis, šiame reglamente Sąjungos institucijoms, įstaigoms ir organams bei kompetentingoms valstybių narių institucijoms nustatyta užduotis užtikrinti aukštą SESV 16 straipsnyje ir Chartijos 8 straipsnyje garantuojamų su asmens duomenų apsauga susijusių teisių apsaugos lygį ( 26 ).

69.

Jeigu Teisingumo Teismas pasirinktų aiškinimą, kad tuo atveju, kai reglamento pažeidimą padarė trečiasis asmuo, duomenų valdytojas turėtų būti automatiškai atleidžiamas nuo atsakomybės pagal 82 straipsnio 3 dalį, toks aiškinimas būtų nesuderinamas su šiuo teisės aktu siekiamu apsaugos tikslu, nes būtų susilpnintos duomenų subjektų teisės, kadangi ši atsakomybė būtų taikoma tik tais atvejais, kai pažeidimą įvykdo asmenys, kurie yra pavaldūs šiam duomenų valdytojui ir (arba) yra jo kontroliuojami.

70.

Penktuoju klausimu nacionalinis teismas iš esmės prašo Teisingumo Teismo išaiškinti „neturtinės žalos“ (reglamente – „nematerialinės“) sąvoką, kaip ji suprantama pagal reglamento 82 straipsnį. Visų pirma jis siekia išsiaiškinti, ar reglamento 82 straipsnio 1 ir 2 dalių, siejamų su jo 85 ir 146 konstatuojamosiomis dalimis ( 27 ), nuostatos turi būti aiškinamos taip, kad tuo atveju, kai šio reglamento pažeidimas pasireiškė be leidimo gaunama prieiga prie asmens duomenų ir kibernetinių nusikaltėlių įvykdytu šių duomenų atskleidimu be leidimo, aplinkybė, kad duomenų subjektas baiminasi dėl galimo būsimo piktnaudžiavimo jo asmens duomenimis, savaime gali būti laikoma (neturtine) žala, suteikiančia jam teisę į kompensaciją.

71.

Nei 82 straipsnyje, nei konstatuojamosiose dalyse dėl kompensacijos nepateikiama aiškaus atsakymo į šį klausimą, tačiau iš jų galima daryti keletą analizei naudingų prielaidų: neturtinė (arba moralinė) žala gali būti atlyginama kartu su turtine (arba pinigine) žala; reglamento pažeidimas nėra automatiškai siejamas su „padaryta“ žala, arba, konkrečiai kalbant, asmens duomenų apsaugos pažeidimas „gali sukelti“ fizinę, turtinę arba neturtinę žalą fiziniams asmenims; žalos sąvoka turėtų būti aiškinama „plačiai“, atsižvelgiant į Teisingumo Teismo jurisprudenciją, kad būtų visapusiškai atspindėti reglamento tikslai; už „patirtą“ žalą turėtų būti gaunama „visa ir veiksminga“ kompensacija.

72.

Pati reglamento nuostatų formuluotė neleidžia daryti jokių galimų prielaidų dėl žalos atsiradimo in re ipsa: pagrindinis reglamente numatytos civilinės atsakomybės tikslas – patenkinti duomenų subjekto interesus, būtent „visiškai ir veiksmingai“ kompensuojant patirtą žalą, ir taip atkurti dėl teisės pažeidimo neigiamai pasikeitusios (pažeistos) teisinės padėties pusiausvyrą ( 28 ).

73.

Kita vertus, taip pat vertinant sistemiškai, kaip ir antimonopolinėje teisėje, reglamente numatyti du apsaugos ramsčiai: vienas – viešosios teisės pobūdžio, numatant sankcijas reglamento nuostatų pažeidimo atveju, ir kitas – privatinės teisės pobūdžio, numatant būtent nesutartinę civilinę atsakomybę, kuri gali būti kvalifikuojama kaip sunkesnė dėl numanomos kaltės, kuriai būdingos tam tikromis savybės, taip pat atsižvelgiant į pirma minėtus pateisinamuosius įrodymus ( 29 ).

74.

Taigi, (neturtinės) žalos sąvoką aiškinant plačiai ( 30 ), negalima daryti išvados, kad teisės aktų leidėjas atsisakė būtinybės įrodyti, kad buvo padaryta reali „žala“.

75.

Esminė problema yra klausimas, ar, nustačius pažeidimo faktą ir priežastinį ryšį, teisė į kompensaciją gali atsirasti vien tik dėl duomenų subjekto jaučiamo susirūpinimo, baimės ir nuogąstavimų dėl galimo būsimo piktnaudžiavimo jo asmens duomenimis, kai toks piktnaudžiavimas nebuvo nustatytas ir (arba) duomenų subjektas nepatyrė jokios papildomos žalos.

76.

Remiantis Teisingumo Teismo suformuota jurisprudencija, tuo atveju, kai Sąjungos teisės nuostatoje aiškiai nedaroma nuorodos į valstybių narių teisę, norint nustatyti šios nuostatos prasmę ir apimtį, jos reikšmė visoje Sąjungoje paprastai turi būti aiškinama autonomiškai ir vienodai, atsižvelgiant ne tik į aptariamos nuostatos formuluotę, bet ir jos kontekstą ir nagrinėjamu teisės aktu, kuriame ši nuostata yra, siekiamą tikslą, taip pat į tokios nuostatos genezę ( 31 ).

77.

Teisingumo Teismas, kaip priminė generalinis advokatas M. Campos Sánchez-Bordona ( 32 ), nepateikė jokios bendros „žalos“ apibrėžties, vienodai taikytinos bet kuriomis aplinkybėmis ( 33 ). Dėl neturtinės žalos, remiantis Teisingumo Teismo jurisprudencija, galima daryti tokią išvadą: žalos atlyginimo sąvoka turi būti plati, kai aiškinamos nuostatos tikslas (arba vienas iš tikslų) yra apsaugoti asmenį arba tam tikrą asmenų grupę ( 34 ); laikantis šios taisyklės, kompensacija apima ir neturtinę žalą, net jei aiškinamoje nuostatoje ši žala neminima ( 35 ).

78.

Nors atsižvelgiant į Teisingumo Teismo jurisprudenciją galima teigti, kad, kaip nurodyta pirma, Sąjungos teisėje egzistuoja neturtinės žalos atlyginimo principas, vis dėlto pritariu generaliniam advokatui M. Campos Sánchez-Bordona, kad remiantis šia jurisprudencija negalima suformuluoti taisyklės, pagal kurią kompensuotina visa neturtinė žala, nepaisant jos dydžio ( 36 ).

79.

Šiomis aplinkybėmis svarbu atskirti atlygintiną neturtinę žalą ir kitus nepatogumus, atsirandančius dėl teisės aktų nesilaikymo, kurie, atsižvelgiant į jų nedidelį mastą, nebūtinai suteiktų teisę į kompensaciją ( 37 ).

80.

Teisingumo Teismas pripažįsta šį skirtumą, nurodydamas nemalonumus ir nepatogumus kaip savarankišką kategoriją, palyginti su žala, patiriama tose srityse, kuriose, jo nuomone, ji turėtų būti kompensuota ( 38 ).

81.

Empiriniu požiūriu pažymėtina, kad bet koks asmens duomenų apsaugos taisyklės pažeidimas sukelia tam tikrą neigiamą duomenų subjekto reakciją. Kompensaciją, kylančią iš paprasto nepasitenkinimo jausmo dėl kito asmens įvykdyto įstatymų nesilaikymo, lengva supainioti su kompensacija, kai žalos nepadaryta, o tai, kaip jau minėta, neatrodo įmanoma pagal reglamento 82 straipsnį, atsižvelgiant į bylos aplinkybes.

82.

Tai, kad pagrindinėje byloje susiklosčiusiomis aplinkybėmis piktnaudžiavimas asmens duomenimis yra tik potencialus, o ne realus, yra pakankamas pagrindas pripažinti, kad duomenų subjektas galėjo patirti neturtinę žalą dėl šio reglamento pažeidimo, jeigu duomenų subjektas įrodo, kad baimė dėl tokio piktnaudžiavimo jam iš tikrųjų ir konkrečiai sukėlė realią ir tikrą emocinę žalą ( 39 ).

83.

Paprastą nepasitenkinimą (nekompensuotiną) ir tikrą neturtinę žalą (kompensuotiną) skirianti riba neabejotinai yra plona, tačiau valstybių narių teismai, kurių užduotis yra kiekvienu konkrečiu atveju nustatyti šią ribą, turėtų atidžiai įvertinti visas aplinkybes, nurodytas kompensacijos prašančio duomenų subjekto, kuriam tenka pareiga tiksliai, o ne bendrai nurodyti konkrečius elementus, kuriais remiantis galima nustatyti, kad dėl asmens duomenų saugumo pažeidimo jis patyrė „realią neturtinę žalą“, net jei ji nesiekia iš anksto nustatytos ypač didelės sunkumo ribos: svarbu, kad tai būtų ne tik subjektyvus suvokimas, kuris kinta ir priklauso nuo charakterio bei asmeninių savybių, bet ir objektyvus nepatogumas, nors ir nedidelis, bet įrodomas, daromas asmens fizinei ar psichinei būklei arba jo socialiniams ryšiams; svarbus ir susijusių asmens duomenų pobūdis bei jų reikšmė atitinkamo asmens gyvenime, taip pat galbūt tuo metu visuomenėje vyraujantis suvokimas apie šiuos konkrečius nepatogumus, susijusius su duomenų saugumo pažeidimu ( 40 ).

84.

Atsižvelgdamas į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į pateiktus prejudicinius klausimus:

„Reglamento (ES) 2016/679 5, 24, 32 ir 82 straipsniai turi būti aiškinami taip:

vien tik „asmens duomenų saugumo pažeidimo“, kaip jis apibrėžiamas 4 straipsnio 12 punkte, nepakanka, kad būtų galima daryti išvadą, jog duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės nebuvo „tinkamos“ nagrinėjamų duomenų apsaugai užtikrinti;

vertindamas, ar asmens duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės yra tinkamos, nacionalinis teismas, į kurį kreiptasi, turi atlikti vertinimą, apimantį konkrečią tokių priemonių turinio, jų taikymo būdo ir praktinio poveikio analizę;

nagrinėjant ieškinį dėl kompensacijos pagal BDAR 82 straipsnį, asmens duomenų valdytojas privalo įrodyti, kad priemonės, kurias jis įgyvendino pagal šio reglamento 32 straipsnį, yra tinkamos;

pagal procesinės autonomijos principą kiekvienos valstybės narės vidaus teisinėje sistemoje turi būti nustatyti leistini įrodinėjimo būdai ir jų įrodomoji vertė, įskaitant tyrimo veiksmus, kuriuos nacionaliniai teismai gali arba turi nurodyti atlikti, kad galėtų įvertinti, ar duomenų valdytojas ėmėsi tinkamų priemonių, kaip tai suprantama pagal reglamentą, laikantis Sąjungos teisėje apibrėžtų lygiavertiškumo ir veiksmingumo principų;

aplinkybė, kad šio reglamento pažeidimą, sukėlusį minėtą žalą, padarė trečiasis asmuo, savaime nėra pagrindas atleisti duomenų valdytoją nuo atsakomybės, o siekdamas pasinaudoti šioje nuostatoje numatyta išimtimi duomenų valdytojas turi įrodyti, kad jis jokiu būdu nėra atsakingas už pažeidimą;

žala, patirta dėl baimės dėl galimo būsimo piktnaudžiavimo asmens duomenimis, jeigu jos buvimą duomenų subjektas įrodė, gali būti laikoma neturtine žala, suteikiančia teisę į kompensaciją, jeigu duomenų subjektas įrodo, kad jis individualiai patyrė realią ir tikrą emocinę žalą, kurią kiekvienu konkrečiu atveju turi įvertinti nacionalinis teismas, į kurį kreiptasi.“