–

GP vārdā – H. Schöning, Rechtsanwalt,

–

juris GmbH vārdā – E. Brandt un C. Werkmeister, Rechtsanwälte,

–

Īrijas vārdā – M. Browne, Chief State Solicitor, A. Joyce un M. Lane, pārstāvji, kuriem palīdz D. Fennelly, BL,

–

Eiropas Komisijas vārdā – A. Bouchagiar, M. Heller un H. Kranenborg, pārstāvji,

1

Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 82. panta 1. un 3. punktu, lasot tos kopsakarā ar šīs regulas 29. pant un 83. pantu, kā arī tās 85. un 146. apsvērumu.

2

Šis lūgums ir iesniegts tiesvedībā starp GP, fizisku personu, un juris GmbH, Vācijā reģistrētu sabiedrību, par tāda kaitējuma atlīdzību, kas GP esot nodarīts ar dažādu viņa personas datu apstrādi, kura tika veikta tirgvedības nolūkos, neraugoties uz iebildumiem, ar ko GP bija vērsies minētajā sabiedrībā.

3

VDAR 85., 146. un 148. apsvērums ir šādi:

[..]

[..]

4

Šīs regulas 4. pantā “Definīcijas” ir paredzēts:

“Šajā regulā:

[..]

[..]

[..].”

5

Minētās regulas 5. pantā ir paredzēta virkne personas datu apstrādes principu.

6

VDAR III nodaļā “Neatkarīgas uzraudzības iestādes” ietilpstošā 21. panta “Tiesības iebilst” 3. punktā ir noteikts:

“Ja datu subjekts iebilst pret apstrādi tiešās tirgvedības vajadzībām, personas datus šādā nolūkā vairs neapstrādā.”

7

Šīs regulas IV nodaļā “Pārzinis un apstrādātājs” ir ietverti šīs regulas 24.–43. pants.

8

Minētās regulas 24. panta “Pārziņa atbildība” 1. un 2. punktā ir noteikts:

“1.   Ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.

2.   Ja tas ir samērīgi attiecībā uz apstrādes darbībām, 1. punktā minētajos pasākumos ietver to, ka pārzinis īsteno atbilstīgu politiku attiecībā uz datu aizsardzību.”

9

Šīs pašas regulas 25. panta “Integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma” 1. punktā ir paredzēts:

“Ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, kurus rada apstrāde, pārzinis gan apstrādes līdzekļu noteikšanas, gan pašas apstrādes laikā īsteno atbilstošus tehniskus un organizatoriskus pasākumus, piemēram, pseidonimizāciju, kas ir paredzēti, lai efektīvi īstenotu datu aizsardzības principus, piemēram, datu minimizēšanu, un lai apstrādē integrētu vajadzīgās garantijas nolūkā izpildīt šīs regulas prasības un aizsargāt datu subjektu tiesības.”

10

VDAR 29. pantā “Apstrāde pārziņa vai apstrādātāja pakļautībā” ir noteikts:

“Apstrādātājs un jebkura persona, kas darbojas pārziņa vai apstrādātāja pakļautībā un kam ir piekļuve personas datiem, neapstrādā minētos datus citādi kā vien saskaņā ar pārziņa norādījumiem, ja vien to darīt nepieprasa Savienības vai dalībvalsts tiesību akti.”

11

Šīs regulas 32. pantā “Apstrādes drošība” ir paredzēts:

“1.   Ņemot vērā tehn[oloģiju] līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes risku attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas atbilst riskam, tostarp attiecīgā gadījumā cita starpā:

[..]

[..]

2.   Novērtējot atbilstīgo drošības līmeni, ņem vērā jo īpaši riskus, ko rada apstrāde, jo īpaši nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.

[..]

4.   Pārzinis un apstrādātājs veic pasākumus, lai nodrošinātu, ka jebkura fiziska persona, kas darbojas pārziņa vai apstrādātāja pakļautībā un kam ir piekļuve personas datiem, tos neapstrādā bez pārziņa norādījumiem, izņemot, ja minētajai personai tas jādara saskaņā ar Savienības vai dalībvalsts tiesību aktiem.”

12

VDAR VIII nodaļā “Tiesību aizsardzības līdzekļi, atbildība un sankcijas” ir ietverti tās 77.–84. pants.

13

Šīs regulas 79. panta “Tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini vai apstrādātāju” 1. punktā paredzēts:

“Neskarot pieejamos administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, tai skaitā tiesības iesniegt sūdzību uzraudzības iestādē, ievērojot 77. pantu, ikvienam datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja viņš uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas, tādas viņa personas datu apstrādes rezultātā, kura neatbilst šai regulai.”

14

Minētās regulas 82. panta “Tiesības uz kompensāciju un atbildība” 1.–3. punktā ir noteikts:

“1.   Jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu.

2.   Jebkurš apstrādē iesaistītais pārzinis ir atbildīgs par kaitējumu, kas nodarīts ar apstrādi, kura pārkāpj šo regulu. [..]

3.   Pārzini vai apstrādātāju atbrīvo no atbildības saskaņā ar 2. punktu, ja tas pierāda, ka nekādā veidā nav atbildīgs par notikumu, ar ko nodarīts attiecīgais kaitējums.”

15

VDAR 83. panta “Vispārīgi nosacījumi par administratīvo naudas sodu piemērošanu” 2., 3. un 5. punktā ir paredzēts:

“2.   [..] Lemjot par to, vai piemērot administratīvo naudas sodu, un pieņemot lēmumu par administratīvā naudas soda apmēru, katrā konkrētā gadījumā pienācīgi ņem vērā šādus elementus:

[..]

3.   Ja pārzinis vai apstrādātājs tīši vai aiz neuzmanības attiecībā uz to pašu vai saistītu apstrādes darbību pārkāpj vairākus šīs regulas noteikumus, kopējais administratīvā naudas soda apmērs nepārsniedz summu, kas paredzēta par vissmagāko pārkāpumu.

[..]

5.   Administratīvus naudas sodus apmērā līdz 20000000 EUR, vai, uzņēmuma gadījumā, līdz 4 % no tā kopējā visā pasaulē iepriekšējā finanšu gadā gūtā gada apgrozījuma atkarībā no tā, kuras summas apmērs ir lielāks, saskaņā ar 2. punktu piemēro par šādu noteikumu pārkāpumiem:

[..].”

16

Šīs regulas 84. panta “Sankcijas” 1. punktā noteikts:

“Dalībvalstis paredz noteikumus par citām sankcijām, ko piemēro par šīs regulas pārkāpumiem, jo īpaši pārkāpumiem, par kuriem nav paredzēti administratīvi naudas sodi saskaņā ar 83. pantu, un veic visus nepieciešamos pasākumus, lai nodrošinātu, ka šos noteikumus īsteno. Minētās sankcijas ir iedarbīgas, samērīgas un atturošas.”

17

Prasītājs pamatlietā, fiziska persona, kas praktizē kā pašnodarbinātais advokāta profesijā, bija juris, kas ir sabiedrība, kura uztur juridisko datubāzi, klients.

18

2018. gada 6. novembrī, uzzinājis, ka juris izmantojusi viņa personas datus arī ar tiešo tirgvedību saistītiem mērķiem, prasītājs pamatlietā rakstveidā atsauca visas savas piekrišanas saņemt no šīs sabiedrības informāciju pa e‑pastu vai pa tālruni un iebilda pret jebkādu šo datu apstrādi, izņemot newsletters, kuru viņš vēlējās joprojām saņemt.

19

Neraugoties uz to, prasītājs pamatlietā 2019. gada janvārī saņēma divus reklāmas prospektus, kas bija nosūtīti uz viņa darbavietas adresi. 2019. gada 18. aprīlījuris adresētā vēstulē viņš atgādināja savu iebildumu pret jebkādu tirgvedību, viņš norādīja, ka šo prospektu izveidošanas rezultātā ir nelikumīgi tikuši apstrādāti viņa dati, un lūdza atlīdzināt kaitējumu saskaņā ar VDAR 82. pantu. Kad 2019. gada 3. maijā viņš saņēma vēl vienu reklāmas prospektu, viņš atkārtoja savu iebildumu, kuru šoreiz ar tiesu izpildītāja starpniecību izsniedza juris.

20

Katrā no minētajiem prospektiem bija ietverts “personīgais izmēģinājuma kods”, kas ļāva juris tīmekļvietnē piekļūt šīs sabiedrības produktu pasūtījuma veidlapai, kurā bija ietvertas norādes saistībā ar prasītāju pamatlietā, kā to 2019. gada 7. jūnijā pēc pēdējā minētā lūguma konstatēja notārs.

21

Prasītājs pamatlietā vērsās Landgericht Saarbrücken (Zārbrikenes apgabaltiesa, Vācija), kas ir iesniedzējtiesa šajā lietā, ar prasību, lai, pamatojoties uz VDAR 82. panta 1. punktu, tiktu atlīdzināts viņam nodarītais materiālais kaitējums, kas saistīts ar tiesu izpildītāja un notāra izdevumiem, kā arī viņam nodarītais nemateriālais kaitējums. Viņš it īpaši apgalvo, ka viņš ir zaudējis kontroli pār saviem personas datiem tādēļ, ka, neraugoties uz viņa iebildumiem, juris tos ir apstrādājusi, un ka viņš šajā ziņā var saņemt atlīdzinājumu, pie kam nepastāv pienākums pierādīt viņa tiesību, kas garantētas Eiropas Savienības Pamattiesību hartas 8. pantā un precizētas šajā regulā, aizskāruma sekas vai smagumu.

22

Savai aizstāvībai juris noraida jebkādu atbildību, apgalvojot, ka tā ir izveidojusi sistēmu, lai pārvaldītu iebildumus pret izmantošanu tirgvedībai, un ka prasītāja pamatlietā paustie iebildumi ir ņemti vērā novēloti vai nu tādēļ, ka kāds no tās darbiniekiem nav ievērojis sniegtos norādījumus, vai arī tādēļ, ka būtu bijis pārmērīgi apgrūtinoši šos iebildumus ievērot. Tā apgalvo, ka no VDAR izrietoša pienākuma, kāds secināms no tās 21. panta 3. punkta, pārkāpums pats par sevi nevar būt “kaitējums” šīs regulas 82. panta 1. punkta izpratnē.

23

Pirmkārt, iesniedzējtiesa vispirms balstās uz pieņēmumu, ka VDAR 82. panta 1. punktā paredzētās tiesības uz kompensāciju ir atkarīgas no tā, vai ir izpildīti trīs nosacījumi, proti, šīs regulas pārkāpums, mantisks vai nemantisks kaitējums, kā arī cēloņsakarība starp šo pārkāpumu un šo kaitējumu. Turpinājumā, ņemot vērā prasītāja pamatlietā apgalvojumus, tā jautā, vai tomēr būtu jāuzskata, ka VDAR pārkāpums pats par sevi ir nemateriāls kaitējums, kas rada tiesības uz kompensāciju, it īpaši tad, ja ar pārkāpto šīs regulas normu datu subjektam ir piešķirtas subjektīvas tiesības. Visbeidzot, ņemot vērā, ka Vācijas tiesībās nemantiskā kaitējuma finansiāla atlīdzināšana ir pakļauta prasībai par aizsargāto tiesību būtisku aizskārumu, šī tiesa jautā, vai tāds pats ierobežojums ir jāpiemēro atlīdzinājuma prasībām saskaņā ar VDAR, ņemot vērā šīs regulas 85. un 146. apsvērumā ietvertās norādes par jēdzienu “kaitējums”.

24

Otrkārt, minētā tiesa uzskata, ka no VDAR 82. panta, iespējams, izriet, ka tad, ja ir konstatēts šīs regulas pārkāpums, tiek uzskatīts, ka par to ir vainojams pārzinis, un tādējādi pastāvot atbildība viņa iespējamās vainas dēļ vai bez vainas. Turklāt pēc tam, kad tā bija uzsvērusi, ka šī panta 3. punktā nav precizētas pierādīšanas prasības, kas konkrēti saistītas ar šajā punktā paredzēto atbrīvojumu, tā norāda, ka, ja pārzinim būtu atļauts atbrīvoties no atbildības, vispārīgi atsaucoties tikai uz viena no viņa darbiniekiem pārkāpjošu rīcību, tas ievērojami ierobežotu minētā panta 1. punktā paredzēto tiesību uz kompensāciju lietderīgo iedarbību.

25

Treškārt, iesniedzējtiesa it īpaši vēlas noskaidrot, vai, lai novērtētu apmēru finansiālai atlīdzībai par kaitējumu, it īpaši nemateriālo kaitējumu, kura pienākas saskaņā ar VDAR 82. pantu, 83. panta 2. un 5. punktā paredzētie kritēriji, lai lemtu par administratīvo naudas sodu apmēru, var tikt ņemti vērā vai pat ir jāņem vērā arī 82. panta ietvaros.

26

Ceturtkārt un visbeidzot, šī tiesa norāda, ka tajā izskatāmajā lietā prasītāja pamatlietā personas dati, neraugoties uz atkārtotiem ieinteresētās personas iebildumiem, ir tikuši vairākkārt apstrādāti tirgvedības nolūkiem. Tātad tā vēlas noskaidrot, vai tad, ja pastāv šādi vairāki VDAR pārkāpumi, tie ir jāņem vērā atsevišķi vai kopā, lai noteiktu kompensācijas apmēru, kas, iespējams, ir jāmaksā saskaņā ar šīs regulas 82. pantu.

27

Šajos apstākļos Landgericht Saarbrücken (Zārbrikenes apgabaltiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:

28

Vispirms juris būtībā apgalvo, ka pirmais jautājums ir nepieņemams, ciktāl tā mērķis ir noteikt, vai VDAR 82. pantā paredzēto tiesību uz kompensāciju rašanās ir atkarīga no prasības, ka datu subjekta apgalvotais kaitējums, kā tas ir definēts šīs regulas 4. panta 1. punktā, ir sasniedzis noteiktu smaguma pakāpi. Šim jautājumam neesot nozīmes pamatlietas atrisināšanā tādēļ, ka prasītāja pamatlietā norādītais kaitējums, proti, kontroles pār viņa personas datiem zaudēšana, neesot radies, jo šie dati esot tikuši likumīgi apstrādāti kā tādi, kas ietilpst līgumattiecībās, kuras saista šī strīda puses.

29

Šajā ziņā jāatgādina, ka vienīgi valsts tiesa, kura izskata lietu un kurai ir jāuzņemas atbildība par pieņemamo tiesas nolēmumu, ņemot vērā lietas īpatnības, var noteikt gan to, cik nepieciešams ir prejudiciālais nolēmums šīs tiesas sprieduma taisīšanai, gan to, cik nozīmīgi lietā ir Tiesai uzdotie jautājumi, uz kuriem ir attiecināma nozīmīguma prezumpcija. Tādējādi, ja uzdotais jautājums attiecas uz Savienības tiesību normas interpretāciju vai spēkā esamību, Tiesai principā ir jāpieņem nolēmums, izņemot, ja ir acīmredzams, ka lūgtajai interpretācijai nav nekādas saistības ar pamatlietas faktiskajiem apstākļiem vai tās priekšmetu, ja problēmai ir hipotētisks raksturs vai arī ja Tiesai nav zināmi faktiskie vai juridiskie apstākļi, kas nepieciešami, lai sniegtu lietderīgu atbildi uz minēto jautājumu (spriedums, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi)C‑300/21, EU:C:2023:370, 23. punkts un tajā minētā judikatūra).

30

Šajā gadījumā pirmais jautājums ir par nosacījumiem, kas nepieciešami, lai varētu izmantot VDAR 82. pantā paredzētās tiesības uz kompensāciju. Turklāt nav acīmredzams, ka lūgtajai interpretācijai nebūtu saistības ar pamatlietu vai ka izvirzītā problēma būtu hipotētiska. Proti, pirmkārt, šis strīds ir saistīts ar atlīdzinājuma prasību, kas paredzēta VDAR izveidotajā personas datu aizsardzības sistēmā. Otrkārt, šī jautājuma mērķis būtībā ir noteikt, vai, lai piemērotu šajā regulā paredzētos atbildības iestāšanās noteikumus, ir nepieciešams, ne tikai lai pastāvētu nemateriālais kaitējums, kas atšķiras no minētās regulas pārkāpuma, bet arī lai šis kaitējums pārsniegtu noteiktu smaguma pakāpi.

31

Līdz ar to pirmais jautājums ir pieņemams.

32

Ar pirmo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka šīs regulas normu, ar kurām datu subjektam ir piešķirtas tiesības, pārkāpums pats par sevi ir pietiekams, lai tas būtu “nemateriāls kaitējums” šīs tiesību normas izpratnē, neatkarīgi no šai personai nodarītā kaitējuma smaguma pakāpes.

33

Vispirms jāatgādina, ka VDAR 82. panta 1. punkts noteic, ka “jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu”.

34

Tiesa VDAR 82. panta 1. punktu jau ir interpretējusi tādējādi, ka ar šīs regulas pārkāpumu vien nepietiek, lai piešķirtu tiesības uz kompensāciju, jo materiāla vai nemateriāla “kaitējuma” esamība vai “kaitējums”, kas ir bijis “būtisks”, ir viens no minētajā 82. panta 1. punktā paredzēto tiesību uz kompensāciju nosacījumiem, tāpat kā minētās regulas pārkāpuma esamība un cēloņsakarība starp šo kaitējumu un šo pārkāpumu, jo šie trīs nosacījumi ir kumulatīvi (šajā nozīmē skat. spriedumu, 2024. gads 25. janvāris, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 58. punkts un tajā minētā judikatūra).

35

Tādējādi personai, kas lūdz nemateriālā kaitējuma atlīdzinājumu saskaņā ar šo tiesību normu, ir jāpierāda ne tikai šīs regulas normu pārkāpums, bet arī tas, ka šā pārkāpuma dēļ tai ir nodarīts šāds kaitējums (šajā nozīmē skat. spriedumu, 2024. gada 25. janvāris, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 60. un 61. punkts, kā arī tajos minētā judikatūra).

36

Šajā ziņā ir jānorāda, ka Tiesa VDAR 82. panta 1. punktu ir interpretējusi tādējādi, ka tam ir pretrunā tāda valsts tiesību norma vai prakse, kurā nemateriālā kaitējuma atlīdzināšanai šīs tiesību normas izpratnē ir izvirzīts nosacījums, ka datu subjektam nodarītais kaitējums ir sasniedzis zināmu smaguma pakāpi, vienlaikus uzsverot, ka minētajam subjektam tomēr ir jāpierāda, ka šīs regulas pārkāpums tam ir radījis šādu nemateriālo kaitējumu (šajā nozīmē skat. spriedumu, 2024. gada 25. janvāris, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 59. un 60. punkts, kā arī tajos minētā judikatūra).

37

Pat ja ar pārkāpto VDAR tiesību normu būtu piešķirtas tiesības fiziskām personām, šāds pārkāpums pats par sevi nevar būt “nemateriāls kaitējums” šīs regulas izpratnē.

38

Protams, no VDAR 79. panta 1. punkta izriet, ka ikvienam datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini vai iespējamo apstrādātāju, ja tas uzskata, ka “viņa tiesības saskaņā ar šo regulu ir pārkāptas, tādas viņa personas datu apstrādes rezultātā, kura neatbilst [minētajai] regulai”.

39

Tomēr šajā tiesību normā ir vienīgi piešķirtas tiesības celt prasību personai, kura uzskata, ka ir cietusi no tai ar VDAR piešķirto tiesību pārkāpuma, neatbrīvojot šo personu no šīs regulas 82. panta 1. punktā noteiktā pienākuma pierādīt, ka tai faktiski ir nodarīts materiāls vai nemateriāls kaitējums.

40

No minētā izriet, ka to VDAR normu pārkāpums, ar kurām datu subjektam ir piešķirtas tiesības, pats par sevi nav pietiekams, lai pamatotu materiālās tiesības saņemt kompensāciju saskaņā ar šo regulu, kurā ir prasīts, lai būtu izpildīti arī divi pārējie šī sprieduma 34. punktā minētie šo tiesību izmantošanas nosacījumi.

41

Šajā gadījumā prasītājs pamatlietā, pamatojoties uz VDAR, apgalvo, ka viņam jāatlīdzina nemateriālais kaitējums, proti, kontroles zaudēšana pār viņa datiem, kas tikuši apstrādāti, neraugoties uz viņa iebildumiem, un viņam nav pienākuma pierādīt, ka šis kaitējums ir pārsniedzis noteiktu smaguma pakāpi.

42

Šajā ziņā ir jānorāda, ka VDAR 85. apsvērumā “iespēja kontrolēt” savus personas datus ir skaidri minēta kā viens no kaitējumiem, ko var radīt personas datu aizsardzības pārkāpums. Turklāt Tiesa ir nospriedusi, ka kontroles zaudēšana pār šādiem datiem pat īsu laikposmu var būt “nemateriāls kaitējums” šīs regulas 82. panta 1. punkta izpratnē, kas dod tiesības uz kompensāciju, ar nosacījumu, ka datu subjekts pierāda, ka tam faktiski ir nodarīts šāds kaitējums, lai arī cik tas būtu niecīgs (šajā nozīmē skat. spriedumu, 2024. gads 25. janvāris, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 66. punkts un tajā minētā judikatūra).

43

Ņemot vērā iepriekš izklāstītos iemeslus, uz pirmo jautājumu ir jāatbild, ka VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka šīs regulas normu, ar kurām datu subjektam ir piešķirtas tiesības, pārkāpums pats par sevi nav pietiekams, lai tas būtu “nemateriāls kaitējums” šīs tiesību normas izpratnē, neatkarīgi no šai personai nodarītā kaitējuma smaguma pakāpes.

44

Ar otro jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 82. pants ir jāinterpretē tādējādi, ka pārzinim, lai tas tiktu atbrīvots no atbildības saskaņā ar minētā panta 3. punktu, pietiek atsaukties uz to, ka attiecīgais kaitējums ir radies personas, kura rīkojas tā pakļautībā šīs regulas 29. panta izpratnē, pienākumu neizpildes dēļ.

45

Šajā ziņā ir jāatgādina, ka VDAR 82. panta 2. punktā ir noteikts, ka “jebkurš apstrādē iesaistītais pārzinis ir atbildīgs par kaitējumu, kas nodarīts ar apstrādi, kura pārkāpj šo regulu”, un ka šī panta 3. punktā ir paredzēts, ka pārzinis atbilstoši minētajam 2. punktam ir atbrīvots no šādas atbildības, “ja tas pierāda, ka nekādā veidā nav atbildīgs par notikumu, ar ko nodarīts attiecīgais kaitējums”.

46

Tiesa jau ir konstatējusi, ka no šī 82. panta 2. un 3. punkta kopīgas analīzes izriet, ka tajā ir paredzēta atbildības par vainu sistēma, kurā tiek prezumēts, ka pārzinis ir piedalījies minētajā apstrādē, kas ir VDAR pārkāpums, tādējādi pierādīšanas pienākums gulstas nevis uz personu, kurai nodarīts kaitējums, bet gan uz pārzini (šajā nozīmē skat. spriedumu, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 92.–94. punkts).

47

Attiecībā uz jautājumu, vai pārzinis var tikt atbrīvots no atbildības saskaņā ar VDAR 82. panta 3. punktu tikai tādēļ, ka šo kaitējumu ir izraisījusi personas, kas rīkojas tā pakļautībā šīs regulas 29. panta izpratnē, pārkāpjoša rīcība, pirmkārt, no šī 29. panta izriet, ka personas, kas darbojas pārziņa pakļautībā, piemēram, tā darbinieki, kuriem ir piekļuve personas datiem, principā neapstrādā minētos datus citādi kā vien saskaņā ar pārziņa norādījumiem (šajā nozīmē skat. spriedumu, 2023. gada 22. jūnijs, Pankki S, C‑579/21, EU:C:2023:501, 73. un 74. punkts).

48

Otrkārt, VDAR 32. panta 4. punktā par personas datu apstrādes drošību ir paredzēts, ka pārzinis veic pasākumus, lai nodrošinātu, ka jebkura fiziska persona, kas darbojas viņa pakļautībā un kurai ir piekļuve šādiem datiem, neapstrādā šos datus citādi kā vien saskaņā ar pārziņa norādījumiem, ja vien attiecīgajai personai tas nav jādara saskaņā ar Savienības vai dalībvalsts tiesību aktiem.

49

Taču pārziņa darbinieks patiešām ir fiziska persona, kas darbojas šī pārziņa pakļautībā. Tādējādi minētajam pārzinim ir jāpārliecinās, ka tā darbinieki pareizi piemēro viņa norādījumus. Līdz ar to pārzinis nevar tikt atbrīvots no atbildības saskaņā ar VDAR 82. panta 3. punktu, vienkārši atsaucoties uz personas, kas rīkojas tā pakļautībā, nolaidību vai bezdarbību.

50

Šajā gadījumā savos Tiesai iesniegtajos rakstveida apsvērumos juris būtībā apgalvo, ka pārzinis būtu jāatbrīvo no atbildības saskaņā ar VDAR 82. panta 3. punktu, ja pārkāpums, kas izraisījis attiecīgo kaitējumu, ir saistīts ar tāda tā darbinieka rīcību, kurš nav ievērojis minētā pārziņa norādījumus, un ja šis pārkāpums nav radies tādēļ, ka nav tikuši izpildīti šī pārziņa pienākumi, kas it īpaši noteikti šīs regulas 24., 25. un 32. pantā.

51

Šajā ziņā ir jāuzsver, ka VDAR 82. panta 3. punktā paredzētā atbrīvojuma apstākļiem ir jābūt stingri ierobežotiem ar tiem apstākļiem, kādos pārzinis var pierādīt, ka viņš nav vainojams kaitējuma radīšanā (šajā nozīmē skat. spriedumu, 2023. gada 14. decembris, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 70. punkts). Līdz ar to gadījumā, ja persona, kas darbojas pārziņa pakļautībā, ir izdarījusi personas datu pārkāpumu, minētais pārzinis var tikt atbrīvots no atbildības tikai tad, ja viņš pierāda, ka nav nekādas cēloņsakarības starp datu aizsardzības pienākuma, kas tam noteikts saskaņā ar šīs regulas 5., 24. un 32. pantu, iespējamo pārkāpumu un datu subjektam nodarīto kaitējumu (pēc analoģijas skat. spriedumu, 2023. gada 14. decembris, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 72. punkts).

52

Līdz ar to, lai pārzinis varētu tikt atbrīvots no atbildības saskaņā ar VDAR 82. panta 3. punktu, nepietiek ar to, ka tas pierāda, ka tas ir devis norādījumus personām, kuras darbojas tā pakļautībā šīs regulas 29. panta izpratnē, un ka kāda no minētajām personām nav izpildījusi pienākumu ievērot šos norādījumus, tādējādi veicinot attiecīgā kaitējuma rašanos.

53

Proti, ja tiktu atzīts, ka pārzinis var tikt atbrīvots no atbildības, tikai atsaucoties uz personas, kas rīkojas tā pakļautībā, pienākumu neizpildi, tas kaitētu VDAR 82. panta 1. punktā nostiprināto tiesību uz kompensāciju lietderīgajai iedarbībai, kā to būtībā ir norādījusi iesniedzējtiesa, un tas neatbilstu šīs regulas mērķim nodrošināt fizisko personu augstu aizsardzības līmeni attiecībā uz viņu personas datu apstrādi.

54

Ņemot vērā iepriekš minēto, uz otro jautājumu ir jāatbild, ka VDAR 82. pants ir jāinterpretē tādējādi, ka pārzinim, lai tas tiktu atbrīvots no atbildības saskaņā ar minētā panta 3. punktu, nepietiek atsaukties vien uz to, ka attiecīgais kaitējums ir radies personas, kura rīkojas tā pakļautībā šīs regulas 29. panta izpratnē, pienākumu neizpildes dēļ.

55

Ar trešo un ceturto jautājumu, kuri ir jāizskata kopā, iesniedzējtiesa būtībā jautā, vai VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka, lai noteiktu kaitējuma atlīdzības summu, kas maksājama, pamatojoties uz šo tiesību normu, pirmkārt, ir mutatis mutandis jāpiemēro šīs regulas 83. pantā paredzētie kritēriji administratīvo naudas sodu apmēra noteikšanai un, otrkārt, ir jāņem vērā, ka personu, kura prasa kompensāciju, ietekmē vairāki minētās regulas pārkāpumi, kas attiecas uz vienu un to pašu apstrādes darbību.

56

Pirmkārt, attiecībā uz VDAR 83. pantā minēto kritēriju iespējamo ņemšanu vērā, lai novērtētu saskaņā ar tās 82. pantu maksājamās kompensācijas apmēru, nav strīda par to, ka šīm abām tiesību normām ir atšķirīgi mērķi. Proti, lai gan šīs regulas 83. pantā ir noteikti “vispārīgi nosacījumi par administratīvo naudas sodu piemērošanu”, minētās regulas 82. pantā ir reglamentētas “tiesības uz kompensāciju un atbildība”.

57

No tā izriet, ka VDAR 83. pantā minētie kritēriji administratīvo naudas sodu apmēra noteikšanai, kas ir minēti arī šīs regulas 148. apsvērumā, nevar tikt izmantoti, lai novērtētu kaitējuma atlīdzības apmēru saskaņā ar tās 82. pantu.

58

Kā Tiesa jau ir uzsvērusi, VDAR nav tiesību normas par kaitējuma atlīdzības, kas maksājama saskaņā ar šīs regulas 82. pantā paredzētajām tiesībām uz kompensāciju, novērtējumu. Līdz ar to valsts tiesām, veicot šo novērtējumu, saskaņā ar procesuālās autonomijas principu ir jāpiemēro katras dalībvalsts iekšējās tiesību normas par finansiālas atlīdzības apmēru, ja vien tiek ievēroti Savienības tiesību līdzvērtības un efektivitātes principi, kas ir definēti Tiesas pastāvīgajā judikatūrā (šajā nozīmē skat. spriedumus, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 83. un 101. punkts, kā arī tajos minētā judikatūra, un 2024. gada 25. janvāris, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 53. punkts).

59

Šajā kontekstā Tiesa ir uzsvērusi, ka VDAR 82. pantam ir nevis sodoša, bet gan kompensējoša funkcija, atšķirībā no citām šīs regulas tiesību normām, kas arī ir ietvertas tās VIII nodaļā, proti, tās 83. un 84. panta, kuri savukārt būtībā ir vērsti uz sodīšanu, jo pirmais no tiem ļauj piemērot administratīvus naudas sodus un otrais – citas sankcijas. Mijiedarbības attiecības starp noteikumiem, kas ietverti šīs regulas 82. pantā, un tiem, kuri ietverti tās 83. un 84. pantā, norāda uz atšķirību starp šīm abām tiesību normu kategorijām, bet vienlaikus arī liecina par šo normu savstarpējo komplementaritāti tajā ziņā, ka tās visas mudina ievērot VDAR, ņemot vērā, ka ikvienas personas tiesības prasīt kaitējuma kompensāciju pastiprina šajā regulā paredzēto aizsardzības noteikumu operativitāti un var atturēt no prettiesiskas rīcības atkārtošanas (spriedums, 2024. gada 25. janvāris, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 47. punkts un tajā minētā judikatūra).

60

Turklāt Tiesa no tā, ka VDAR 82. panta 1. punktā paredzētās tiesības uz kompensāciju nepilda atturošu vai pat sodošu funkciju, ir secinājusi, ka šīs regulas pārkāpuma, kas radījis apgalvoto mantisko vai nemantisko kaitējumu, smagums nevar ietekmēt saskaņā ar šo tiesību normu piešķiramās kompensācijas apmēru. No tā izriet, ka šo summu nedrīkst noteikt tādā apmērā, kas pārsniegtu pilnīgu šā kaitējuma atlīdzinājumu (šajā nozīmē skat. spriedumu, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 86. punkts).

61

Raugoties uz VDAR 146. apsvēruma sesto teikumu, kurā teikts, ka šī tiesību akta mērķis ir nodrošināt “piln[u] un iedarbīg[u] kompensācij[u] par [..] nodarīto kaitējumu”, Tiesa ir nospriedusi, ka, ņemot vērā šīs regulas 82. pantā paredzēto tiesību uz kompensāciju kompensējošo funkciju, finansiālais atlīdzinājums, kas pamatots ar šo tiesību normu, ir jāuzskata par “pilnīgu un efektīvu”, ja tas ļauj pilnībā atlīdzināt šīs regulas pārkāpuma dēļ konkrēti nodarīto kaitējumu, un nav nepieciešams šāda pilnīga atlīdzinājuma nodrošināšanai noteikt pienākumu maksāt sodošu kaitējuma atlīdzinājumu (spriedums, 2023. gada 21. decembris, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 84. punkts un tajā minētā judikatūra).

62

Tādējādi, ņemot vērā VDAR 82. panta, lasot to kopsakarā ar tās 146. apsvērumu, un minētās regulas 83. panta, lasot to kopsakarā ar tās 148. apsvērumu, atšķirīgo formulējumu un nolūkus, nevar uzskatīt, ka novērtēšanas kritēriji, kas konkrēti izklāstīti šajā 83. pantā, būtu mutatis mutandis piemērojami minētā 82. panta sakarā, neraugoties uz to, ka šajās divās tiesību normās paredzētie tiesiskās aizsardzības līdzekļi ir savstarpēji papildinoši, lai nodrošinātu šīs pašas regulas ievērošanu.

63

Otrkārt, attiecībā uz veidu, kādā valsts tiesām ir jānovērtē finansiālas atlīdzības apmērs saskaņā ar VDAR 82. pantu vairāku šīs regulas pārkāpumu gadījumā, kuri skar vienu un to pašu datu subjektu, vispirms ir jāuzsver – kā tas ir minēts šī sprieduma 58. punktā –, ka katrai dalībvalstij ir jāizvirza kritēriji, kas ļauj aplēst šīs atlīdzības apmēru, ar nosacījumu, ka tiek ievēroti Savienības tiesību efektivitātes un līdzvērtības principi.

64

Turklāt, ņemot vērā VDAR 82. panta kompensējošo, nevis sodošo funkciju, kas ir atgādināta šī sprieduma 60. un 61. punktā, fakts, ka pārzinis ir izdarījis vairākus pārkāpumus attiecībā uz vienu un to pašu datu subjektu, nevar būt būtisks kritērijs, lai novērtētu šai personai saskaņā ar 82. pantu piešķiramo kaitējuma kompensāciju. Nosakot izmaksājamās finansiālās atlīdzības apmēru, būtu jāņem vērā tikai faktiskais kaitējums, kas nodarīts šai personai.

65

Līdz ar to uz trešo un ceturto jautājumu ir jāatbild, ka VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka, lai noteiktu kaitējuma kompensācijas summu, kas maksājama, pamatojoties uz šo tiesību normu, pirmkārt, ir mutatis mutandis jāpiemēro šīs regulas 83. pantā paredzētie kritēriji administratīvo naudas sodu apmēra noteikšanai un, otrkārt, ir jāņem vērā, ka personu, kura prasa atlīdzinājumu, ietekmē vairāki minētās regulas pārkāpumi, kas attiecas uz vienu un to pašu apstrādes darbību.

66

Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.

Ar šādu pamatojumu Tiesa (trešā palāta) nospriež: