–

w imieniu AT i VX – O. Leuze, Rechtsanwalt,

–

w imieniu Gemeinde Ummendorf – A. Staudacher, Rechtsanwalt,

–

w imieniu Irlandii – M. Browne, A. Joyce i M. Tierney, w charakterze pełnomocników, których wspierał D. Fennelly, BL,

–

w imieniu Komisji Europejskiej – A. Bouchagiar, M. Heller oraz H. Kranenborg, w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 82 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; zwanego dalej „RODO”).

2

Wniosek ten został złożony w ramach sporu pomiędzy dwiema osobami fizycznymi, AT i VX, a Gemeinde Ummendorf (gminą Ummendorf, Niemcy) w przedmiocie przyznania odszkodowania na podstawie art. 82 ust. 1 RODO tytułem zadośćuczynienia za cierpienia (pretium doloris), których osoby te w swej ocenie doznały wskutek ujawnienia bez ich zgody ich danych osobowych na stronie internetowej tej gminy.

3

Motyw 146 zdania pierwsze, trzecie i szóste RODO brzmią następująco:

„Za szkodę, którą dana osoba poniosła wskutek przetwarzania w sposób naruszający niniejsze rozporządzenie, powinno przysługiwać odszkodowanie od administratora lub podmiotu przetwarzającego. […] Pojęcie szkody należy interpretować szeroko, w świetle orzecznictwa Trybunału Sprawiedliwości [Unii Europejskiej], w sposób w pełni odzwierciedlający cele niniejszego rozporządzenia. […] Osoby, których dane dotyczą, powinny uzyskać pełne i skuteczne odszkodowanie za poniesione szkody. […]”.

4

Artykuł 5 ust. 1 lit. a) tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi:

„Dane osobowe muszą być:

5

Artykuł 82 tego rozporządzenia, zatytułowany „Prawo do odszkodowania i odpowiedzialność”, stanowi w ust. 1:

„Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę”.

6

W dniu 19 czerwca 2020 r. gmina Ummendorf opublikowała w Internecie bez zgody powodów w postępowaniu głównym porządek dzienny posiedzenia rady gminy, w którym kilkakrotnie wymieniono ich nazwiska, a także opublikowała wyrok wydany w dniu 10 marca 2020 r. przez Verwaltungsgericht Sigmaringen (sąd administracyjny w Sigmaringen, Niemcy), w którym również podano ich imiona i nazwiska oraz adresy zamieszkania. Owe dokumenty były dostępne na stronie głównej witryny internetowej tej gminy do dnia 22 czerwca 2020 r.

7

Powodowie w postępowaniu głównym uznali, że publikacja ta narusza RODO i że gmina Ummendorf działała umyślnie, ponieważ nazwiska innych uczestników postępowania, które doprowadziło do wydania tego wyroku, zostały usunięte, i w konsekwencji zażądali od gminy naprawienia szkody niemajątkowej, którą, jak twierdzą, ponieśli w rozumieniu art. 82 ust. 1 tego rozporządzenia. Uważają oni, że niezgodne z prawem ujawnienie danych osobowych osoby fizycznej stanowi „szkodę” w rozumieniu tego przepisu, przy której nie można powoływać się na „próg de minimis”, gdyż byłoby to sprzeczne z systematyką RODO i odstraszającym skutkiem tego przepisu.

8

Gmina Ummendorf uważa natomiast, że naprawienie „szkody niemajątkowej” w rozumieniu art. 82 ust. 1 RODO wymaga wykazania zauważalnej niedogodności i obiektywnie uchwytnego naruszenia interesów osobistych.

9

Sąd odsyłający, Landgericht Ravensburg (sąd krajowy w Ravensburgu, Niemcy), który rozpatruje apelację w sporze między stronami w postępowaniu głównym, uważa, że publikując w Internecie dane osobowe powodów w postępowaniu głównym, gmina Ummendorf naruszyła art. 5 ust. 1 lit. a) RODO. Sąd ten zastanawia się jednak, czy taka publikacja wyrządziła tym powodom szkodę niemajątkową w rozumieniu art. 82 ust. 1 tego rozporządzenia, w związku z czym mają oni prawo do wypłaty odszkodowania za doznane cierpienia.

10

W szczególności sąd odsyłający uważa, że sama utrata kontroli nad danymi osobowymi powodów w postępowaniu głównym nie wystarcza do stwierdzenia szkody niemajątkowej w rozumieniu art. 82 ust. 1 RODO. Stoi on na stanowisku, że do stwierdzenia istnienia szkody niemajątkowej musi zostać przekroczony „próg de minimis” i że próg taki nie został przekroczony, w sytuacji gdy osoby, których dane dotyczą, utraciły kontrolę nad swoimi danymi jedynie na krótki okres, przy czym nie spowodowało to u nich zauważalnej niedogodności i nie wykazano, by doszło do obiektywnie uchwytnego naruszenia ich osobistych interesów.

11

W tych okolicznościach Landgericht Ravensburg (sąd krajowy w Ravensburgu) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:

„Czy pojęcie szkody niemajątkowej, o którym mowa w art. 82 ust. 1 [RODO], należy interpretować w ten sposób, że przyjęcie wystąpienia szkody niemajątkowej wymaga zauważalnej niedogodności i obiektywnie uchwytnego naruszenia interesów osobistych, czy też wystarcza do tego zwykła krótkotrwała utrata przez osobę, której dane dotyczą, suwerennego władztwa nad jej danymi z powodu opublikowania danych osobowych w Internecie przez okres kilku dni, co pozostało bez jakichkolwiek zauważalnych i niekorzystnych konsekwencji dla osoby, której dane dotyczą?”.

12

Poprzez pytanie prejudycjalne sąd odsyłający dąży w istocie do ustalenia, czy art. 82 ust. 1 RODO należy interpretować w ten sposób, że stoi on na przeszkodzie przepisom krajowym lub praktyce krajowej, które ustalają „próg de minimis” w celu określenia szkody niemajątkowej spowodowanej naruszeniem tego rozporządzenia.

13

W tym względzie należy przypomnieć, że przepis ten stanowi, iż „[k]ażda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę”.

14

Z brzmienia art. 82 ust. 1 RODO, jak podkreślił Trybunał, wynika, że istnienie „szkody”, która została „poniesiona”, stanowi jedną z przesłanek przewidzianego w tym przepisie prawa do odszkodowania, podobnie jak istnienie naruszenia tego rozporządzenia i związku przyczynowego między tą szkodą a tym naruszeniem, przy czym te trzy przesłanki są kumulatywne [wyroki: z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 32; z dnia 14 grudnia 2023 r., Natsionalna agentsia za prihodite, C‑340/21, pkt 77]. Wynika z tego, że omawiane trzy przesłanki są konieczne i wystarczające do powstania prawa do odszkodowania w rozumieniu tego przepisu.

15

Zważywszy na brak jakiegokolwiek odniesienia w art. 82 ust. 1 RODO do prawa krajowego państw członkowskich, pojęciu „szkody niemajątkowej” w rozumieniu tego przepisu należy nadać autonomiczną i jednolitą definicję, właściwą prawu Unii [zob. podobnie wyrok z dnia 4 maja 2023 r., Österreichische Post (Szkoda związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 30, 44].

16

Z tej perspektywy, opierając się na względach wykładni literalnej, systematycznej i teleologicznej, Trybunał zinterpretował art. 82 ust. 1 RODO w ten sposób, że sprzeciwia się on przepisowi krajowemu lub praktyce krajowej, które uzależniają uzyskanie odszkodowania za „szkodę niemajątkową” w rozumieniu tego przepisu od warunku, by szkoda poniesiona przez osobę, której dane dotyczą, osiągnęła pewien stopień wagi [wyroki: z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 51; z dnia 14 grudnia 2023 r., Natsionalna agentsia za prihodite, C‑340/21, pkt 78].

17

Tym samym nie można przyjąć, że do trzech przesłanek wymienionych w pkt 14 niniejszego wyroku można byłoby dodać inne przesłanki powstania odpowiedzialności przewidzianej w art. 82 ust. 1 RODO, takie jak zauważalny charakter szkody lub obiektywny charakter naruszenia.

18

Wynika z tego, że art. 82 ust. 1 RODO nie wymaga, aby w następstwie dowiedzionego naruszenia przepisów tego rozporządzenia „szkoda niemajątkowa” podnoszona przez osobę, której dane dotyczą, musiała osiągnąć „próg de minimis” dla celu zadośćuczynienia.

19

Przedstawioną właśnie wykładnię potwierdza motyw 146 zdanie trzecie RODO, zgodnie z którym „pojęcie szkody należy interpretować szeroko, w świetle orzecznictwa Trybunału […], w sposób w pełni odzwierciedlający cele [tego] rozporządzenia”. Tymczasem tej szerokiej koncepcji pojęcia „szkody”, preferowanej przez prawodawcę Unii, zaprzeczono by, gdyby wspomniane pojęcie było ograniczone wyłącznie do szkód o określonej wadze, w szczególności w odniesieniu do czasu trwania okresu, w którym zainteresowane osoby ponosiły negatywne skutki naruszenia tego rozporządzenia [zob. podobnie wyroki: z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 46; z dnia 14 grudnia 2023 r., Natsionalna agentsia za prihodite, C‑340/21, pkt 81].

20

Ponadto taka wykładnia jest zgodna z jednym z celów RODO polegającym na zapewnieniu spójnego i wysokiego poziomu ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Unii. Zaś uzależnienie odszkodowania za szkodę niemajątkową od określonego progu wagi mogłoby zaszkodzić spójności systemu ustanowionego przez to rozporządzenie, ponieważ wyznaczanie takiego progu, od którego zależy możliwość uzyskania tego odszkodowania, mogłoby ulegać wahaniom w zależności od oceny sądu rozpatrującego sprawę [zob. podobnie wyrok z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 48, 49].

21

Osoba, której dotyczy naruszenie RODO mające wobec niej negatywne konsekwencje, jest jednak zobowiązana wykazać, że konsekwencje te stanowią szkodę niemajątkową w rozumieniu art. 82 tego rozporządzenia [zob. podobnie wyroki: z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 50; z dnia 14 grudnia 2023 r., Natsionalna agentsia za prihodite, C‑340/21, pkt 84]. Samo bowiem naruszenie przepisów tego rozporządzenia nie wystarcza do przyznania prawa do odszkodowania [wyrok z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 42].

22

W tych okolicznościach, o ile nic nie stoi na przeszkodzie temu, aby publikacja w Internecie danych osobowych i wynikająca z tego utrata kontroli nad nimi przez krótki okres mogły spowodować po stronie osób, których dane dotyczą, „szkodę niemajątkową” w rozumieniu art. 82 ust. 1 RODO, rodzącą prawo do odszkodowania, o tyle konieczne jest jeszcze, aby osoby te wykazały, że rzeczywiście poniosły taką szkodę, chociażby była ona znikoma.

23

W świetle powyższego odpowiedź na postawione pytanie jest następująca: art. 82 ust. 1 RODO należy interpretować w ten sposób, że stoi on na przeszkodzie przepisom krajowym lub praktyce krajowej, które ustalają „próg de minimis” w celu określenia szkody niemajątkowej spowodowanej naruszeniem tego rozporządzenia. Osoba, której dane dotyczą, jest zobowiązana wykazać, że konsekwencje tego naruszenia, które, jak twierdzi, poniosła, stanowią szkodę inną niż zwykłe naruszenie przepisów tego rozporządzenia.

24

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:

Artykuł 82 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

należy interpretować w ten sposób, że:

stoi on na przeszkodzie przepisom krajowym lub praktyce krajowej, które ustalają „próg de minimis” w celu określenia szkody niemajątkowej spowodowanej naruszeniem tego rozporządzenia. Osoba, której dane dotyczą, jest zobowiązana wykazać, że konsekwencje tego naruszenia, które, jak twierdzi, poniosła, stanowią szkodę inną niż zwykłe naruszenie przepisów tego rozporządzenia.