Voorlopige editie

ARREST VAN HET HOF (Derde kamer)

14 december 2023 (*)

„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 82 – Recht op schadevergoeding en aansprakelijkheid – Begrip ‚immateriële schade’ – Online bekendmaking van de agenda van een gemeenteraadsvergadering die persoonsgegevens bevat – Bekendmaking zonder toestemming van de betrokkenen – Vordering van deze personen tot vergoeding van de immateriële schade”

In zaak C‑456/22,

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Landgericht Ravensburg (rechter in tweede aanleg Ravensburg, Duitsland) bij beslissing van 30 juni 2022, ingekomen bij het Hof op 8 juli 2022, in de procedure

VX,

AT

tegen

Gemeinde Ummendorf,

wijst

HET HOF (Derde kamer),

samengesteld als volgt: K. Jürimäe, kamerpresident, N. Piçarra, M. Safjan, N. Jääskinen (rapporteur) en M. Gavalec, rechters,

advocaat-generaal: N. Emiliou,

griffier: A. Calot Escobar,

gezien de stukken,

gelet op de opmerkingen van:

–        AT en VX, vertegenwoordigd door O. Leuze, Rechtsanwalt,

–        de Gemeinde Ummendorf, vertegenwoordigd door A. Staudacher, Rechtsanwalt,

–        Ierland, vertegenwoordigd door M. Browne, A. Joyce en M. Tierney als gemachtigden, bijgestaan door D. Fennelly, BL,

–        de Europese Commissie, vertegenwoordigd door A. Bouchagiar, M. Heller en H. Kranenborg als gemachtigden,

gelet op de beslissing, de advocaat-generaal gehoord, om de zaak zonder conclusie te berechten,

het navolgende

Arrest

1        Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 82, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).

2        Dit verzoek is ingediend in het kader van een geding tussen twee natuurlijke personen, AT en VX, enerzijds, en de Gemeinde Ummendorf (gemeente Ummendorf, Duitsland), anderzijds, over de toekenning van schadevergoeding krachtens artikel 82, lid 1, AVG, voor het lijden dat zij stellen te hebben geleden (pretium doloris) doordat hun persoonsgegevens zonder hun toestemming op de website van deze gemeente openbaar zijn gemaakt.

 Toepasselijke bepalingen

3        Overweging 146, eerste, derde en zesde volzin, van de AVG luidt als volgt:

„De verwerkingsverantwoordelijke of de verwerker moet alle schade vergoeden die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op deze verordening. [...] Het begrip ,schade’ moet ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie [van de Europese Unie], op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. [...] De betrokkenen dienen volledige en daadwerkelijke vergoeding van door hen geleden schade te ontvangen. [...]”

4        Artikel 5, lid 1, onder a), van deze verordening („Beginselen inzake verwerking van persoonsgegevens”) bepaalt:

„Persoonsgegevens moeten:

a)      worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (,rechtmatigheid, behoorlijkheid en transparantie’)”.

5        Artikel 82 van deze verordening („Recht op schadevergoeding en aansprakelijkheid”) bepaalt in lid 1:

„Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.”

 Hoofdgeding en prejudiciële vraag

6        Op 19 juni 2020 heeft de gemeente Ummendorf, zonder toestemming van verzoekers in het hoofdgeding, een agenda voor een gemeenteraadsvergadering, waarin hun namen meermalen werden vermeld, alsmede een uitspraak van het Verwaltungsgericht Sigmaringen (bestuursrechter in eerste aanleg Sigmaringen, Duitsland) van 10 maart 2020, waarin ook hun voor- en achternaam en hun woonadres werden vermeld, op internet bekendgemaakt. Deze documenten zijn tot en met 22 juni 2020 toegankelijk geweest op de homepage van de website van deze gemeente.

7        Verzoekers in het hoofdgeding waren van mening dat deze publicatie in strijd was met de AVG en dat de gemeente Ummendorf opzettelijk had gehandeld daar de namen van de andere partijen in de procedure die tot dat vonnis heeft geleid waren doorgehaald, en hebben daarom de gemeente verzocht om vergoeding van de immateriële schade die zij stelden te hebben geleden in de zin van artikel 82, lid 1, van die verordening. Volgens hen vormt de onrechtmatige openbaarmaking van persoonsgegevens van een persoon „schade” in de zin van deze bepaling, zonder dat er een „de-minimisdrempel” kan worden ingeroepen, die in strijd is met de opzet van de AVG en met de afschrikkende werking van die bepaling.

8        De gemeente Ummendorf is daarentegen van mening dat voor de vergoeding van „immateriële schade” in de zin van artikel 82, lid 1, AVG moet worden aangetoond dat er sprake is van een merkbaar nadeel en van een objectief denkbare aantasting van persoonlijke belangen.

9        De verwijzende rechter, het Landgericht Ravensburg (rechter in tweede aanleg Ravensburg, Duitsland), bij wie het hoger beroep tussen partijen in het hoofdgeding dient, is van oordeel dat de gemeente Ummendorf artikel 5, lid 1, onder a), AVG heeft geschonden door de persoonsgegevens van verzoekers in het hoofdgeding op internet te bekend te maken. Hij vraagt zich echter af of die verzoekers door die bekendmaking immateriële schade in de zin van artikel 82, lid 1, van die verordening hebben geleden, zodat zij recht hebben op een vergoeding voor het ondergane leed.

10      In het bijzonder is de verwijzende rechter van oordeel dat het enkele verlies van controle over de persoonsgegevens van verzoekers in het hoofdgeding niet volstaat om te kunnen spreken van immateriële schade in de zin van artikel 82, lid 1, AVG. Om te kunnen erkennen dat sprake is van immateriële schade moet volgens hem een „de minimis-drempel” worden overschreden: dit is niet het geval wanneer de betrokken personen de zeggenschap over hun gegevens slechts gedurende een korte tijdspanne hebben verloren, zonder dat dit voor hen een merkbaar nadeel heeft veroorzaakt en zonder dat er een objectief denkbare aantasting van persoonlijke belangen is aangetoond.

11      In deze omstandigheden heeft het Landgericht Ravensburg de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vraag:

„Moet het begrip ,immateriële schade’ in artikel 82, lid 1, [AVG] aldus worden uitgelegd dat de vaststelling van immateriële schade vereist dat er sprake is van een merkbaar nadeel en een objectief denkbare aantasting van persoonlijke belangen, of volstaat hiervoor reeds dat de betrokkene kortstondig de zeggenschap over zijn gegevens heeft verloren als gevolg van de bekendmaking van persoonsgegevens op het internet gedurende een periode van enkele dagen, zonder dat dit voor hem merkbare of nadelige gevolgen heeft gehad?”

 Beantwoording van de prejudiciële vraag

12      Met zijn vraag wenst de verwijzende rechter in wezen te vernemen of artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling of een nationale praktijk die een de-minimisdrempel vaststelt om van door inbreuk op deze verordening veroorzaakte immateriële schade te kunnen spreken.

13      In dit verband zij eraan herinnerd dat volgens deze bepaling „eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, [...] het recht [heeft] om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade”.

14      Zoals het Hof heeft benadrukt, komt uit de bewoordingen van artikel 82, lid 1, AVG duidelijk naar voren dat het bestaan van „geleden schade” een van de voorwaarden is voor het in die bepaling bedoelde recht op vergoeding, net als het bestaan van een inbreuk op de AVG en een causaal verband tussen die schade en die inbreuk, welke drie voorwaarden cumulatief vervuld moeten zijn [arrest van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punt 32, en arrest van heden, Natsionalna agentsia za prihodite, C‑340/21, punt 77]. Hieruit volgt dat deze drie voorwaarden noodzakelijk en voldoende zijn om recht te hebben op schadevergoeding in de zin van die bepaling.

15      Aangezien artikel 82, lid 1, AVG niet verwijst naar het nationale recht van de lidstaten, moet het begrip „immateriële schade” in de zin van deze bepaling autonoom en uniform worden gedefinieerd binnen het Unierecht [zie in die zin arrest van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punten 30 en 44].

16      Vanuit dit oogpunt heeft het Hof, op basis van overwegingen van letterlijke, systemische en teleologische aard, artikel 82, lid 1, AVG aldus uitgelegd dat deze bepaling zich verzet tegen een nationale regel of praktijk op grond waarvan immateriële schade in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt [arrest van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punt 51, en arrest van heden, Natsionalna agentsia za prihodite, C‑340/21, punt 78].

17      Bijgevolg kan niet worden overwogen dat voor de aansprakelijkheid als bedoeld in artikel 82, lid 1, AVG, naast de in punt 14 van het onderhavige arrest genoemde voorwaarden bijkomende voorwaarden kunnen worden gesteld, zoals de merkbaarheid van het nadeel of de objectieve aard van de inbreuk.

18      Hieruit volgt dat artikel 82, lid 1, AVG niet vereist dat na een bewezen inbreuk op de bepalingen van deze verordening, de door de betrokkene gestelde „immateriële schade” een de-minimisdrempel moet bereiken opdat die schade kan worden vergoed.

19      Deze uitlegging wordt gestaafd door overweging 146, derde zin, AVG, waarin het heet dat „het begrip ,schade’ [...] ruim [moet] worden uitgelegd in het licht van de rechtspraak van het Hof [...], op een wijze die ten volle recht doet aan de doelstellingen van deze verordening”. Het zou dus in strijd zijn met deze door de Uniewetgever voorgestane ruime opvatting van het begrip „schade” indien dat begrip zou worden beperkt tot schade van een bepaalde ernst, in het bijzonder met betrekking tot de duur van de periode waarin de negatieve gevolgen van de inbreuk op die verordening door de betrokkenen zijn geleden [zie in die zin arrest van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punt 46, en arrest van heden, Natsionalna agentsia za prihodite, C‑340/21, punt 81].

20      Bovendien is een dergelijke uitlegging in overeenstemming met een van de doelstellingen van de AVG, die erin bestaat een coherent en hoog niveau van bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens binnen de Unie te waarborgen. Door de vergoeding van immateriële schade ervan afhankelijk te stellen dat een bepaalde drempel van ernst wordt bereikt, zou de samenhang van de bij deze verordening ingevoerde regeling kunnen worden aangetast, aangezien die drempel – waarvan de mogelijkheid om die vergoeding te verkrijgen afhankelijk zou zijn – hoger of lager zou kunnen worden gelegd naargelang van de beoordeling van de aangezochte rechter [zie in die zin arrest van 4 mei 2023, Österreichische Post (Immateriële schade in verband met de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punten 48 en 49].

21      Een persoon die wordt geraakt door een inbreuk op de AVG die voor hem negatieve gevolgen heeft gehad, moet evenwel aantonen dat deze gevolgen immateriële schade in de zin van artikel 82 van deze verordening opleveren [zie in die zin arrest van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punt 50, en arrest van heden, Natsionalna agentsia za prihodite, C‑340/21, punt 84]. De loutere inbreuk op de bepalingen van deze verordening volstaat namelijk niet voor de toekenning van een recht op schadevergoeding [arrest van 4 mei 2023, Österreichische Post (Immateriële schade in verband met de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punt 42].

22      Hoewel niets eraan in de weg staat dat de bekendmaking op internet van persoonsgegevens en het daaropvolgende verlies van zeggenschap daarover gedurende een korte tijdspanne, voor de betrokkenen „immateriële schade” in de zin van artikel 82, lid 1, AVG kan veroorzaken, moeten deze betrokkenen nog wel aantonen dat zij daadwerkelijk dergelijke schade hebben geleden, hoe miniem ook.

23      Gelet op het voorgaande moet op de gestelde vraag worden geantwoord dat artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling of een nationale praktijk die een de-minimisdrempel vaststelt om van door inbreuk op deze verordening veroorzaakte immateriële schade te kunnen spreken. De betrokkene moet aantonen dat de gevolgen van deze inbreuk die hij stelt te hebben ondergaan, schade opleveren die zich onderscheidt van de enkele inbreuk op het bepaalde in deze verordening.

 Kosten

24      Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Derde kamer) verklaart voor recht:

Artikel 82, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat

het zich verzet tegen een nationale regeling of een nationale praktijk die een de-minimisdrempel vaststelt om van door inbreuk op deze verordening veroorzaakte immateriële schade te kunnen spreken. De betrokkene moet aantonen dat de gevolgen van deze inbreuk die hij stelt te hebben ondergaan, schade opleveren die zich onderscheidt van de enkele inbreuk op het bepaalde in deze verordening.

ondertekeningen

*      Procestaal: Duits.