Väliaikainen versio

UNIONIN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)

14 päivänä joulukuuta 2023 (*)

Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 82 artikla – Vastuu ja oikeus korvauksen saamiseen – Aineettoman vahingon käsite – Henkilötietoja sisältävän kunnanvaltuuston kokouksen esityslistan julkaiseminen internetissä – Julkaiseminen ilman kyseisten henkilöiden suostumusta – Näiden henkilöiden vaatimus aineettoman vahingon korvaamisesta

Asiassa C‑456/22,

jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Landgericht Ravensburg (Ravensburgin alueellinen alioikeus, Saksa) on esittänyt 30.6.2022 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 8.7.2022, saadakseen ennakkoratkaisun asiassa

VX ja

AT

vastaan

Gemeinde Ummendorf,

UNIONIN TUOMIOISTUIN (kolmas jaosto),

toimien kokoonpanossa: jaoston puheenjohtaja K. Jürimäe sekä tuomarit N. Piçarra, M. Safjan, N. Jääskinen (esittelevä tuomari) ja M. Gavalec,

julkisasiamies: N. Emiliou,

kirjaaja: A. Calot Escobar,

ottaen huomioon kirjallisessa käsittelyssä esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–        AT ja VX, edustajanaan O. Leuze, Rechtsanwalt,

–        Gemeinde Ummendorf, edustajanaan A. Staudacher, Rechtsanwalt,

–        Irlanti, asiamiehinään M. Browne, A. Joyce ja M. Tierney, avustajanaan D. Fennelly, BL,

–        Euroopan komissio, asiamiehinään A. Bouchagiar, M. Heller ja H. Kranenborg,

päätettyään julkisasiamiestä kuultuaan ratkaista asian ilman ratkaisuehdotusta,

on antanut seuraavan

tuomion

1        Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 82 artiklan 1 kohdan tulkintaa.

2        Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat yhtäältä kaksi luonnollista henkilöä, AT ja VX, ja toisaalta Gemeinde Ummendorf (Ummendorfin kunta, Saksa) ja joka koskee vahingonkorvauksen myöntämistä yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan nojalla korvauksena kärsimyksestä (pretium doloris), jonka he väittävät kärsineensä siitä, että heidän henkilötietonsa on ilman heidän suostumustaan julkaistu kyseisen kunnan internetsivustolla.

 Asiaa koskevat oikeussäännöt

3        Yleisen tietosuoja-asetuksen johdanto-osan 146 perustelukappaleen ensimmäisen, kolmannen ja kuudennen virkkeen sanamuoto on seuraava:

”Rekisterinpitäjän tai henkilötietojen käsittelijän olisi korvattava luonnollisille henkilöille vahingot, jotka ovat aiheutuneet tietojenkäsittelystä, jossa on rikottu tätä asetusta. – – Vahingon käsite olisi tulkittava laajasti [Euroopan] unionin tuomioistuimen oikeuskäytännön perusteella ja tavalla, jossa tämän asetuksen tavoitteet otetaan kaikilta osin huomioon. – – Rekisteröityjen olisi saatava täysi ja tosiasiallinen korvaus aiheutuneesta vahingosta. – –”

4        Kyseisen asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 kohdan a alakohdassa säädetään seuraavaa:

”Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

a)      niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’)”.

5        Yleisen tietosuoja-asetuksen 82 artiklan, jonka otsikko on ”Vastuu ja oikeus korvauksen saamiseen”, 1 kohdassa säädetään seuraavaa:

”Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.”

 Pääasia ja ennakkoratkaisukysymykset

6        Ummendorfin kunta julkaisi 19.6.2020 ilman pääasian valittajien suostumusta internetissä kunnanvaltuuston kokouksen esityslistan, jossa heidän nimensä mainittiin useita kertoja, sekä Verwaltungsgericht Sigmaringenin (Sigmaringenin hallintotuomioistuin, Saksa) 10.3.2020 antaman tuomion, jossa mainittiin myös heidän etu- ja sukunimensä sekä heidän kotiosoitteensa. Nämä asiakirjat olivat nähtävillä kyseisen kunnan internetsivuston etusivulla 22.6.2020 saakka.

7        Pääasian valittajat katsoivat, että tämä julkaiseminen on ristiriidassa yleisen tietosuoja-asetuksen kanssa ja että Ummendorfin kunta on toiminut tahallisesti, koska mainittuun tuomioon johtaneen menettelyn muiden asianosaisten nimet oli poistettu, ja vaativat kuntaa korvaamaan kyseisen asetuksen 82 artiklan 1 kohdassa tarkoitetun aineettoman vahingon, jonka he väittävät kärsineensä. He katsovat, että henkilön henkilötietojen lainvastainen julkaiseminen on kyseisessä säännöksessä tarkoitettu ”vahinko”, eikä voida vedota tiettyyn vähimmäismäärään, jonka olisi ylityttävä, koska se olisi vastoin yleisen tietosuoja-asetuksen rakennetta ja kyseisen säännöksen varoittavaa vaikutusta.

8        Ummendorfin kunta sitä vastoin katsoo, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa tarkoitetun ”aineettoman vahingon” korvaaminen edellyttää sen osoittamista, että kyseessä on konkreettinen vahinko ja objektiivisesti havaittavissa oleva henkilökohtaisten etujen loukkaaminen.

9        Landgericht Ravensburg (Ravensburgin alueellinen alioikeus, Saksa), joka on ennakkoratkaisua pyytänyt tuomioistuin, katsoo, että julkaistessaan pääasian valittajien henkilötietoja internetissä Ummendorfin kunta rikkoi yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohtaa. Kyseinen tuomioistuin pohtii kuitenkin sitä, onko julkaisusta aiheutunut valittajille asetuksen 82 artiklan 1 kohdassa tarkoitettua aineetonta vahinkoa siten, että heillä on oikeus saada korvausta kärsimyksistään.

10      Ennakkoratkaisua pyytänyt tuomioistuin katsoo erityisesti, että pelkkä pääasian valittajien henkilötietoja koskevan määräämisoikeuden menettäminen ei riitä osoittamaan, että kyseessä on yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa tarkoitettu aineeton vahinko. Se katsoo, että aineettoman vahingon olemassaolon toteamiseksi on vahingon ylitettävä tietty vähimmäismäärä ja että näin ei ole silloin, kun asianomaiset henkilöt ovat menettäneet tietojaan koskevan määräämisoikeuden vain lyhytaikaisesti eikä heille ole aiheutunut tästä konkreettista vahinkoa eikä heidän henkilökohtaisille intresseilleen ole objektiivisesti arvioiden osoitettu aiheutuneen merkittävää vahinkoa.

11      Näissä olosuhteissa Landgericht Ravensburg on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavan ennakkoratkaisukysymyksen:

”Onko [yleisen tietosuoja-asetuksen] 82 artiklan 1 kohdassa tarkoitettua aineettoman vahingon käsitettä tulkittava siten, että aineettoman vahingon toteaminen edellyttää merkittävää haittaa ja objektiivisesti ymmärrettävää henkilökohtaisten intressien loukkausta, vai pidetäänkö riittävänä sitä, että asianomainen henkilö ainoastaan menettää lyhytaikaisesti määräämisoikeuden tietoihinsa, koska henkilötiedot julkaistaan internetissä muutaman päivän aikana, ilman että määräämisoikeuden menetyksestä aiheutuu merkittäviä tai haitallisia seurauksia asianomaiselle?”

 Ennakkoratkaisukysymyksen tarkastelu

12      Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa tulkittava siten, että se on esteenä kansalliselle lainsäädännölle tai kansalliselle käytännölle, jossa vahvistetaan vähimmäismäärä kyseisen asetuksen rikkomisesta aiheutuneelle aineettomalle vahingolle.

13      Tässä yhteydessä on muistutettava, että kyseisessä säännöksessä säädetään, että ”jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta”.

14      Kuten unionin tuomioistuin on todennut, yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan sanamuodosta ilmenee, että ”vahingon aiheutuminen” on yksi tässä säännöksessä säädetyn korvauksen saamista koskevan oikeuden kolmesta kumulatiivisesta edellytyksestä samoin kuin se, että kyseistä asetusta on rikottu ja että vahingon ja rikkomisen välillä on syy-yhteys (tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 32 kohta ja tämänpäiväinen tuomio Natsionalna agentsia za prihodite, C‑340/21, 77 kohta). Tästä seuraa, että nämä kolme edellytystä ovat välttämättömiä ja riittäviä mainitussa säännöksessä tarkoitetun korvausta koskevan oikeuden saamiseksi.

15      Koska yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa ei viitata jäsenvaltioiden kansalliseen oikeuteen, kyseisessä säännöksessä tarkoitettu aineettoman vahingon käsite on määriteltävä itsenäisesti ja yhtenäisesti unionin oikeudessa (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 30 ja 44 kohta).

16      Tästä näkökulmasta ja nojautuen sanamuodonmukaisiin, systeemisiin ja teleologisiin päätelmiin unionin tuomioistuin on tulkinnut yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa siten, että se on esteenä kansalliselle oikeussäännölle tai käytännölle, jossa asetetaan kyseisessä säännöksessä tarkoitetun aineettoman vahingon korvaamisen edellytykseksi se, että rekisteröidylle aiheutunut vahinko on vakavuudeltaan tietynasteinen (tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 51 kohta ja tämänpäiväinen tuomio Natsionalna agentsia za prihodite, C‑340/21, 78 kohta).

17      Näin ollen ei voida katsoa, että edellä 14 kohdassa mainitun kolmen edellytyksen lisäksi voitaisiin ottaa huomioon muita edellytyksiä yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa säädetyn vastuun syntymiselle, kuten vahingon konkreettisuus tai haitan objektiivisuus.

18      Tästä seuraa, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa ei edellytetä, että tämän asetuksen säännösten toteen näytetyn rikkomisen johdosta aiheutuneen ”aineettoman vahingon”, johon asianomainen henkilö vetoaa, on ylitettävä tietty vähimmäismäärä, jotta vahinko voidaan korvata.

19      Tätä tulkintaa tukee yleisen tietosuoja-asetuksen johdanto-osan 146 perustelukappaleen kolmas virke, jossa todetaan, että ”vahingon käsite olisi tulkittava laajasti unionin tuomioistuimen oikeuskäytännön perusteella ja tavalla, jossa tämän asetuksen tavoitteet otetaan kaikilta osin huomioon”. Tämän unionin lainsäätäjän puoltaman vahingon käsitteen laajan tulkinnan kanssa olisi ristiriidassa, jos mainittu käsite rajattaisiin koskemaan ainoastaan vakavuudeltaan tietynasteisia vahinkoja, erityisesti sen ajanjakson pituuden osalta, jona asianomaiset henkilöt ovat kärsineet kyseisen asetuksen rikkomisen kielteisistä seurauksista (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 46 kohta ja tämänpäiväinen tuomio Natsionalna agentsia za prihodite, C‑340/21, 81 kohta.

20      Lisäksi tällainen tulkinta on sen yleisen tietosuoja-asetuksen tavoitteen mukainen, jona on varmistaa luonnollisten henkilöiden yhdenmukainen ja korkeatasoinen suojelu henkilötietojen käsittelyssä unionissa. Se, että aineettoman vahingon korvaamisen edellytykseksi asetettaisiin tietty vakavuuskynnys, saattaisi vaarantaa yleisellä tietosuoja-asetuksella käyttöön otetun järjestelmän johdonmukaisuuden, koska tällaisen kynnyksen porrastaminen, josta riippuu, onko mainitun korvauksen saaminen mahdollista vai ei, voisi vaihdella asiaa käsittelevien tuomareiden arvioinnin mukaan (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 48 ja 49 kohta).

21      Henkilöllä, jota yleisen tietosuoja-asetuksen sellainen rikkominen koskee, jolla on ollut hänen kannaltaan kielteisiä seurauksia, on kuitenkin velvollisuus osoittaa, että nämä seuraukset muodostavat kyseisen asetuksen 82 artiklassa tarkoitetun aineettoman vahingon (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 50 kohta ja tämänpäiväinen tuomio Natsionalna agentsia za prihodite, C‑340/21, 84 kohta). Pelkkä kyseisen asetuksen säännösten rikkominen ei nimittäin riitä antamaan oikeutta korvauksen saamiseen (tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 42 kohta).

22      Näin ollen on niin, että vaikka mikään ei estä sitä, että henkilötietojen julkaiseminen internetissä ja tästä seurannut määräämisoikeuden menettäminen niihin lyhytaikaisesti voi aiheuttaa kyseisille henkilöille yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa tarkoitetun ”aineettoman vahingon”, johon liittyy oikeus saada korvaus, näiden henkilöiden on lisäksi osoitettava, että heille on tosiasiallisesti aiheutunut tällainen vahinko, vaikka se olisikin vähäinen.

23      Edellä esitetyn perusteella esitettyyn kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle tai kansalliselle käytännölle, jossa vahvistetaan vähimmäismäärä kyseisen asetuksen rikkomisesta aiheutuneelle aineettomalle vahingolle. Asianomaisen henkilön on osoitettava, että rikkomisesta aiheutuneet seuraukset, jotka hän väittää kärsineensä, muodostavat vahingon, joka eroaa pelkästä mainitun asetuksen säännösten rikkomisesta.

 Oikeudenkäyntikulut

24      Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 82 artiklan 1 kohtaa

on tulkittava siten, että

se on esteenä kansalliselle lainsäädännölle tai kansalliselle käytännölle, jossa vahvistetaan vähimmäismäärä kyseisen asetuksen rikkomisesta aiheutuneelle aineettomalle vahingolle. Asianomaisen henkilön on osoitettava, että rikkomisesta aiheutuneet seuraukset, jotka hän väittää kärsineensä, muodostavat vahingon, joka eroaa pelkästä mainitun asetuksen säännösten rikkomisesta.

Allekirjoitukset

*      Oikeudenkäyntikieli: saksa.