–

AT og VX ved Rechtsanwalt O. Leuze,

–

Gemeinde Ummendorf ved Rechtsanwalt A. Staudacher,

–

Irland ved M. Browne, A. Joyce og M. Tierney, som befuldmægtigede, bistået af D. Fennelly, BL,

–

Europa-Kommissionen ved A. Bouchagiar, M. Heller og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 82, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem på den ene side to fysiske personer, AT og VX, og på den anden side Gemeinde Ummendorf (Ummendorf kommune, Tyskland) vedrørende tilkendelse af erstatning i henhold til databeskyttelsesforordningens artikel 82, stk. 1, for de lidelser (pretium doloris), som de hævder at have lidt som følge af videregivelsen af deres personoplysninger på kommunens hjemmeside uden deres samtykke.

3

146. betragtning til databeskyttelsesforordningen har i første, tredje og sjette punktum følgende ordlyd i uddrag:

»Den dataansvarlige eller databehandleren bør yde erstatning for enhver skade, som en person måtte lide som følge af behandling, der overtræder denne forordning. […] Begrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning. […] Registrerede bør have fuld erstatning for den skade, som de har lidt. […]«

4

Forordningens artikel 5, stk. 1, litra a), med overskriften »Principper for behandling af personoplysninger« foreskriver følgende:

»Personoplysninger skal:

5

Forordningens artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« bestemmer følgende i stk. 1:

»Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.«

6

Sagsøgte offentliggjorde den 19. juni 2020 uden sagsøgernes samtykke dagsordenen for et kommunalbestyrelsesmøde på internettet, hvori sagsøgernes navne blev nævnt flere gange, og en dom, som blev forkyndt af Verwaltungsgericht Sigmaringen (forvaltningsdomstolen i Sigmaringen) den 10. marts 2020, i hvis overskrift sagsøgerne var anført uden overstregning med for- og efternavn og deres adresse. Disse dokumenter var tilgængelige på forsiden af kommunens hjemmeside indtil den 22. juni 2020.

7

Sagsøgerne i hovedsagen har nedlagt påstand om, at kommunen skulle betale erstatning for den påståede immaterielle skade som omhandlet i forordningens artikel 82, stk. 1, idet de er af den opfattelse, at offentliggørelsen udgjorde en overtrædelse af databeskyttelsesforordningen, og at Ummendorf kommune har handlet forsætligt, idet navnene på de andre parter i den nævnte sag er blevet slettet. Sagsøgerne i hovedsagen er af den opfattelse, at ulovlig videregivelse af personoplysninger om en enkeltperson udgør en »skade« som omhandlet i denne bestemmelse, uden at en »bagatelgrænse«, som ville være i strid med databeskyttelsesforordningens opbygning og den nævnte bestemmelses afskrækkende virkning, kan påberåbes.

8

Ummendorf kommune er derimod af den opfattelse, at erstatning for en »immateriel skade« som omhandlet i databeskyttelsesforordningens artikel 82, stk. 1, kræver, at det godtgøres, at der foreligger en konkret skade og en objektivt konstaterbar krænkelse af personlige interesser.

9

Landgericht Ravensburg (den regionale appeldomstol i Ravensburg, Tyskland), som er den forelæggende ret i appelsagen mellem parterne i hovedsagen, er af den opfattelse, at Ummendorf kommune ved at offentliggøre personoplysninger om sagsøgerne i hovedsagen på internettet har tilsidesat databeskyttelsesforordningens artikel 5, stk. 1, litra a). Den forelæggende ret er imidlertid i tvivl om, hvorvidt denne offentliggørelse har forvoldt de nævnte sagsøgere en immateriel skade som omhandlet i denne forordnings artikel 82, stk. 1, således at de har ret til udbetaling af erstatning for de lidelser, de har været udsat for.

10

Den forelæggende ret er navnlig af den opfattelse, at den blotte fortabelse af kontrollen med sagsøgerne i hovedsagens personoplysninger ikke er tilstrækkelig til at udgøre en immateriel skade som omhandlet i databeskyttelsesforordningens artikel 82, stk. 1. Den forelæggende ret er af den opfattelse, at en »bagatelgrænse« skal være overskredet, for at det kan anerkendes, at der foreligger en immateriel skade, og at dette ikke er tilfældet, når de berørte personer kun har mistet kontrollen over deres oplysninger i et kort tidsrum, uden at dette har påført dem en konkret skade, og uden at det er godtgjort, at der foreligger en objektivt konstaterbar krænkelse af deres personlige interesser.

11

På denne baggrund har Landgericht Ravensburg (den regionale appeldomstol i Ravensburg) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Skal begrebet immateriel skade som omhandlet i artikel 82, stk. 1, i [databeskyttelsesforordningen] fortolkes således, at der skal foreligge en mærkbar ulempe og en objektivt konstaterbar [krænkelse] af personlige interesser, for at det kan lægges til grund, at der er tale om en immateriel skade, eller er det tilstrækkeligt, at den registrerede blot har været udsat for et kortvarigt tab af kontrollen over sine oplysninger som følge af offentliggørelsen af personoplysninger på internettet i en periode på få dage, idet dette ikke har haft nogen mærkbare eller skadelige konsekvenser for den registrerede?«

12

Den forelæggende ret ønsker med sit spørgsmål nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning eller national praksis, der fastsætter en »bagatelgrænse« med henblik på at kvalificere en immateriel skade, der er forårsaget af en tilsidesættelse af denne forordning.

13

Det skal i denne forbindelse erindres, at »[e]nhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren«.

14

Som Domstolen har fremhævet, fremgår det af ordlyden af databeskyttelsesforordningens artikel 82, stk. 1, at en af betingelserne for ret til erstatning som fastsat i denne bestemmelse er, at der foreligger en »skade«, eller at der er »forvold[t] skade«, ligesom forordningen skal være overtrådt, og der skal være en årsagsforbindelse mellem skaden og overtrædelsen, idet disse tre betingelser er kumulative (dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 32, og af dags dato, Natsionalna agentsia za prihodite, C-340/21, præmis 77). Det følger heraf, at disse tre betingelser er nødvendige og tilstrækkelige til at have ret til erstatning som omhandlet i den nævnte bestemmelse.

15

Da der i databeskyttelsesforordningens artikel 82, stk. 1, ikke er nogen henvisning til medlemsstaternes nationale ret, skal begrebet »immateriel skade« i denne bestemmelses forstand defineres selvstændigt og ensartet, der er særlig for EU-retten (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 30 og 44).

16

Ud fra dette synspunkt har Domstolen på grundlag af både ordlyds-, system- og formålsbetragtninger fortolket databeskyttelsesforordningens artikel 82, stk. 1, således, at denne bestemmelse er til hinder for en national regel eller praksis, hvorefter erstatning for en »immateriel skade« som omhandlet i den nævnte bestemmelse er betinget af, at den skade, som den registrerede har lidt, har en vis alvorsgrad (dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 51, og af dags dato, Natsionalna agentsia za prihodite, sag C-340/21, præmis 78).

17

Det kan således ikke lægges til grund, at der ud over de tre betingelser, som er anført i nærværende doms præmis 14, kan tilføjes andre betingelser for at ifalde det ansvar, der er fastsat i databeskyttelsesforordningens artikel 82, stk. 1, såsom skadens konkrete karakter eller krænkelsens objektive karakter.

18

Det følger heraf, at databeskyttelsesforordningens artikel 82, stk. 1, ikke kræver, at den »immaterielle skade«, som den registrerede hævder at have lidt, skal nå en »bagatelgrænse«, for at denne skade kan erstattes, efter at der er konstateret en tilsidesættelse af denne forordnings bestemmelser.

19

Denne fortolkning understøttes af tredje punktum i 146. betragtning til databeskyttelsesforordningen, hvoraf det fremgår, at »[b]egrebet »skade« fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning«. Det ville imidlertid være i strid med denne brede fortolkning af begrebet »skade«, som EU-lovgiver har foretrukket, hvis dette begreb var begrænset til alene at omfatte skader af en vis alvor, navnlig for så vidt angår varigheden af den periode, i hvilken skadevirkningerne af tilsidesættelsen af denne forordning er blevet lidt af de registrerede (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 46, og af dags dato, Natsionalna agentsia za prihodite, sag C-340/21, præmis 81).

20

En sådan fortolkning er desuden i overensstemmelse med et af databeskyttelsesforordningens formål, der består i at sikre et ensartet og højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i EU. Såfremt erstatning for immateriel skade var betinget af, at en vis alvorstærskel var nået, ville det risikere at skade sammenhængen i den ordning, der er indført ved databeskyttelsesforordningen, eftersom gradueringen af en sådan tærskel, som muligheden for at opnå en sådan erstatning ville afhænge af, ville kunne variere afhængigt af de påkendende retters bedømmelse (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 48 og 49).

21

En registreret person, der er berørt af en overtrædelse af databeskyttelsesforordningen, som har skabt skadevirkninger for den pågældende, skal imidlertid godtgøre, at disse virkninger udgør en immateriel skade som omhandlet i forordningens artikel 82 (jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 50, og af dags dato, Natsionalna agentsia za prihodite, C-340/21, præmis 84). Den blotte overtrædelse af denne forordnings bestemmelser er nemlig ikke tilstrækkelig til at give ret til erstatning (dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 42).

22

Selv om der under disse omstændigheder ikke er noget til hinder for, at offentliggørelse på internettet af personoplysninger og det deraf følgende tab af kontrol over disse inden for et kort tidsrum kan anses for at påføre de registrerede en »immateriel skade« som omhandlet i databeskyttelsesforordningens artikel 82, stk. 1, der giver ret til erstatning, skal disse personer endvidere godtgøre, at de faktisk har lidt en sådan skade, uanset hvor lille den måtte være.

23

På baggrund af det ovenstående skal det forelagte spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning eller national praksis, der fastsætter en »bagatelgrænse« med henblik på at kvalificere en immateriel skade, der er forårsaget af en tilsidesættelse af denne forordning. Den registrerede skal godtgøre, at konsekvenserne af denne tilsidesættelse, som vedkommende hævder at have lidt, udgør en skade, der adskiller sig fra den blotte tilsidesættelse af bestemmelserne i den nævnte forordning.

24

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:

Artikel 82, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at

denne bestemmelse er til hinder for en national lovgivning eller national praksis, der fastsætter en »bagatelgrænse« med henblik på at kvalificere en immateriel skade, der er forårsaget af en tilsidesættelse af denne forordning. Den registrerede skal godtgøre, at konsekvenserne af denne tilsidesættelse, som vedkommende hævder at have lidt, udgør en skade, der adskiller sig fra den blotte tilsidesættelse af bestemmelserne i den nævnte forordning.