–

за AT и VX, от O. Leuze, Rechtsanwalt,

–

за Gemeinde Ummendorf, от A. Staudacher, Rechtsanwalt,

–

за Ирландия, от M. Browne, A. Joyce и M. Tierney, в качеството на представители, подпомагани от D. Fennelly, BL,

–

за Европейската комисия, от A. Bouchagiar, M. Heller и H. Kranenborg, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между две физически лица, AT и VX, от една страна, и Gemeinde Ummendorf (община Умендорф, Германия), от друга страна, по повод присъждането на обезщетение за вреди на основание член 82, параграф 1 от ОРЗД като обезщетение за страданията (pretium doloris), които те твърдят, че са претърпели поради разкриването без тяхно съгласие на личните им данни на уебсайта на тази община.

3

Съображение 146, първо, трето и шесто изречение от Общия регламент за защита на данните гласи:

„Администраторът или обработващият лични данни следва да обезщетят всички вреди, които дадено лице може да претърпи в резултат на обработване на данни, което нарушава настоящия регламент. […] Понятието „вреда“ следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на настоящия регламент“. […] Субектите на данни следва да получат пълно и действително обезщетение за претърпените от тях вреди. […]“.

4

Член 5, параграф 1, буква а) от този регламент, озаглавен „Принципи, свързани с обработването на лични данни“, предвижда:

„Личните данни са:

5

Член 82 от Регламента, озаглавен „Право на обезщетение и отговорност за причинени вреди“, предвижда в параграф 1:

„Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди“.

6

На 19 юни 2020 г. без съгласието на ищците в главното производство община Умендорф публикува в интернет дневния ред на заседание на общинския съвет, в който имената им са споменати няколко пъти, както и решение на Verwaltungsgericht Sigmaringen (Административен съд Зигмаринген, Германия) от 10 март 2020 г., в което се посочват също фамилните и личните им имена, както и адресът им. Тези документи са достъпни на началната страница на уебсайта на общината до 22 юни 2020 г.

7

Тъй като считат, че това публикуване нарушава ОРЗД и че община Умендорф е действала умишлено, доколкото имената на другите страни в производството, в което е постановено посоченото съдебно решение, са били заличени, ищците в главното производство искат от общината да поправи неимуществените вреди, които твърдят, че са претърпели по смисъла на член 82, параграф 1 от този регламент. Те считат, че незаконното разкриване на лични данни на физическо лице представлява „вреда“ по смисъла на тази разпоредба, като не може да се прави позоваване на „праг de minimis“, който би бил в противоречие със структурата на ОРЗД и с възпиращото действие на посочената разпоредба.

8

От своя страна община Умендорф счита, че за обезщетяването на „нематериални вреди“ по смисъла на член 82, параграф 1 от ОРЗД е необходимо да се докажат осезаема вреда и обективно установимо засягане на лични интереси.

9

Сезиран като въззивна инстанция със спора между страните в главното производство, Landgericht Ravensburg (Областен съд Равенсбург, Германия), запитващата юрисдикция, счита, че като е публикувала в интернет лични данни на ищците в главното производство, община Умендорф е нарушила член 5, параграф 1, буква а) от ОРЗД. Тази юрисдикция обаче иска да се установи дали въпросното публикуване е причинило на посочените ищци неимуществени вреди по смисъла на член 82, параграф 1 от този регламент, поради което те имат право на обезщетение за понесените страдания.

10

По-специално, запитващата юрисдикция счита, че само загубата на контрол върху личните данни на ищците в главното производство не е достатъчна, за да се приеме, че е налице неимуществена вреда по смисъла на член 82, параграф 1 от ОРЗД. Тя счита, че за да се приеме наличието на неимуществена вреда, трябва да бъде надхвърлен определен „праг de minimis“, и че това не е така, когато субектите на данни са загубили контрола върху данните си само за кратък период от време, без това да им е причинило осезаеми вреди и без да е доказано обективно установимо засягане на личните им интереси.

11

При тези обстоятелства Landgericht Ravensburg (Областен съд Равенсбург) решава да спре производството и да постави на Съда следния преюдициален въпрос:

„Трябва ли понятието „нематериални вреди“ в член 82, параграф 1 от [ОРЗД] да се тълкува в смисъл, че за да се приеме, че са налице нематериални вреди, е необходимо да има забележими неблагоприятни последици и обективно установимо засягане на лични интереси, или за тази цел е достатъчна само краткотрайна загуба на суверенното право на субекта на данни да се разпорежда с личните си данни поради публикуването на такива данни в интернет за няколко дни, без това да е довело до забележими или неблагоприятни последици за субекта на данните?“.

12

С въпроса си запитващата юрисдикция по същество иска да се установи дали член 82, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че не допуска национална правна уредба или национална практика, която определя „праг de minimis“, за да характеризира неимуществени вреди, причинени от нарушение на този регламент.

13

В това отношение следва да се припомни, че съгласно тази разпоредба „[в]сяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди“.

14

Както подчертава Съдът, от текста на член 82, параграф 1 от ОРЗД следва, че наличието на „вреди“, които са били „нанесени“, е едно от условията за правото на обезщетение, предвидено в посочената разпоредба, както и наличието на нарушение на този регламент и на причинно-следствена връзка между тези вреди и това нарушение, като тези три условия са кумулативни (решения от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 32, и от днешна дата, Национална агенция за приходите, C‑340/21, т. 77). От това следва, че тези три условия са необходими и достатъчни, за да възникне право на обезщетение по смисъла на посочената разпоредба.

15

Предвид липсата на каквото и да било позоваване в член 82, параграф 1 от ОРЗД на националното право на държавите членки, понятието „нематериални вреди“ по смисъла на тази разпоредба трябва да получи самостоятелно и еднакво определение, специфично за правото на Съюза (вж. в този смисъл решение от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 30 и 44).

16

От тази гледна точка, като се основава едновременно на буквални, систематични и телеологични съображения, Съдът тълкува член 82, параграф 1 от ОРЗД в смисъл, че не допуска национална разпоредба или практика, съгласно която поправянето на „нематериални вреди“ по смисъла на тази разпоредба зависи от условието нанесените на субекта на данните вреди да са достигнали определена степен на значимост (решения от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 51, и от днешна дата, Национална агенция за приходите, C‑340/21, т. 78).

17

Ето защо не може да се приеме, че освен трите условия, посочени в точка 14 от настоящото решение, могат да се добавят и други условия за ангажиране на предвидената в член 82, параграф 1 от ОРЗД отговорност, като например наличието на осезаема вреда или обективният характер на нарушението.

18

От това следва, че член 82, параграф 1 от ОРЗД не изисква при установено нарушение на разпоредбите на този регламент твърдяната от субекта на данни „нематериална вреда“ да достигне определен „праг de minimis“, за да може да се поправи тази вреда.

19

Това тълкуване се потвърждава от съображение 146, трето изречение от ОРЗД, съгласно което „[п]онятието „вреда“ следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда по начин, който отразява напълно целите на [този] регламент“. Ако посоченото понятие се ограничава само до вредите с определена значимост обаче, това би противоречало на широко разбиране на понятието „вреда“, предпочетено от законодателя на Съюза, по-специално що се отнася до продължителността на периода, през който субектите на данни са понесли отрицателните последици от нарушението на посочения регламент (вж. в този смисъл решения от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 46, и от днешна дата, Национална агенция за приходите, C‑340/21, т. 81).

20

Освен това подобно тълкуване е в съответствие с една от целите на ОРЗД, а именно да гарантира последователно и високо ниво на защита на физическите лица във връзка с обработването на лични данни в Съюза. Поставянето на обезщетението за нематериални вреди в зависимост от определен праг на значимост би могло да навреди на последователността на установения с този регламент режим, тъй като степенуването на такъв праг, от което би зависила възможността да се получи или не посоченото обезщетение, би могло да варира в зависимост от преценката на сезираните съдилища (вж. в този смисъл решение от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 48 и 49).

21

Лицето, засегнато от нарушение на ОРЗД, което е имало отрицателни последици за него, все пак трябва да докаже, че въпросните последици представляват нематериални вреди по смисъла на член 82 от този регламент (вж. в този смисъл решения от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 50, и от днешна дата, Национална агенция за приходите, C‑340/21, т. 84). Всъщност самото нарушение на разпоредбите на този регламент не е достатъчно, за да възникне право на обезщетение (решение от 4 май 2023 г., Österreichische Post (Неимуществена вреда, свързана с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 42).

22

При това положение, макар да няма пречка публикуването в интернет на лични данни и последвалата загуба на контрол върху тях за кратък период от време да причинят на субектите на данни „неимуществени вреди“ по смисъла на член 82, параграф 1 от ОРЗД, пораждащи право на обезщетение, тези субекти обаче трябва да докажат, че действително са претърпели такава вреда, дори минимална.

23

С оглед на изложените по-горе съображения на поставения въпрос следва да се отговори, че член 82, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че не допуска национална правна уредба или национална практика, която определя „праг de minimis“, за да характеризира неимуществени вреди, причинени от нарушение на този регламент. Субектът на данни трябва да докаже, че последиците от това нарушение, за които твърди, че са го засегнали, представляват вреда, която се различава от простото нарушение на разпоредбите на посочения регламент.

24

С оглед на обстоятелството, че за страните в главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по разноските. Разноските, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (трети състав) реши:

Член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)

трябва да се тълкува в смисъл, че

не допуска национална правна уредба или национална практика, която определя „праг de minimis“, за да характеризира неимуществени вреди, причинени от нарушение на този регламент. Субектът на данни трябва да докаже, че последиците от това нарушение, за които твърди, че са го засегнали, представляват вреда, която се различава от простото нарушение на разпоредбите на посочения регламент.