CJEU: Strah pred razkritjem in odškodnina
Sodišče EU je odločilo, da je strah osebe, da so bili njeni osebni podatki razkriti tretjim osebam, zadosten razlog za odškodnino, če je strah, vključno z negativnimi posledicami, ustrezno dokazan.
Odločitev je bila objavljena 20.6.2024
Stranki podjetja (posameznika) za davčno svetovanje sta podjetje (upravljavec) obvestili o spremembi poštnega naslova. Julija 2020 sta posameznika od upravljavca zahtevala, da jima sestavi davčno napoved za preteklo leto. Ker nista prejela odgovora, sta se obrnila na upravljavca, ki ju je obvestil, da so njun davčni obračun že septembra 2020 poslali po pošti.
Novi uporabnik prejšnjega naslova ju je obvestil, da je bila na njegovo ime poslana ovojnica in da jo je pomotoma odprl. Ko je ugotovil, da ti dokumenti niso naslovljeni nanj, jih je vrnil v ovojnico in jo predali bližnjim sorodnikom posameznikov, da sta jih lahko prevzela.
Ko sta posameznika prevzela ovojnico, sta ugotovili, da vsebuje le kopijo davčne napovedi in spremno pismo. Domnevala sta, da je v ovojnici tudi originalna različica te davčne napovedi, ki vsebuje osebne podatke.
Posameznika sta vložila tožbo pri okrajnem sodišču Wesel in zahtevala 15.000 evrov odškodnine za nematerialno škodo v skladu s členom 82(1) GDPR, ki naj bi jo utrpela zaradi razkritja njunih osebnih podatkov tretjim osebam.
Okrajno sodišče je prekinilo postopek in Sodišču EU predložilo naslednja vprašanja:
Ali je za zahtevanje odškodnine v skladu s členom 82(1) GDPR treba dokazati, da je poleg kršitve GDPR prišlo do nadaljnjega škodljivega vpliva na posameznika?
Ali zahtevek za odškodnino za nematerialno škodo v skladu s členom 82(1) GDPR zahteva, da škoda doseže določeno stopnjo resnosti?
Ali zadostuje, da se posameznik boji, da so njegovi osebni podatki prišli v roke tretjim osebam, čeprav tega ni mogoče zanesljivo ugotoviti?
Ali mora nacionalno sodišče smiselno uporabiti merila člena 83(2) GDPR pri odmeri odškodnine za nematerialno škodo v skladu s členom 82(1) GDPR?
Ali je treba višino odškodninskega zahtevka za nematerialno škodo presojati glede na dejstvo, da ima višina zahtevka odvračilni učinek?
Ali je treba pri presoji višine odškodninskega zahtevka za nematerialno škodo upoštevati hkratno kršitev nacionalnih določb, ki se nanašajo na osebne podatke, vendar niso namenjene določanju pravil GDPR?
Odločitev sodišča
Prvo in drugo vprašanje
Prvi odstavek 82. člena GDPR določa, da ima vsaka oseba, ki je utrpela materialno ali nematerialno škodo zaradi kršitve GDPR, pravico do odškodnine od upravljavca ali obdelovalca za nastalo škodo.
Sodišče EU je navedlo, da obstajajo trije kumulativni pogoji za pravico do odškodnine:
obstoj kršitve GDPR,
obstoj škode, materialne ali nematerialne, ki je bila povzročena, in
vzročno zvezo med škodo in kršitvijo.
Zato je Sodišče EU ugotovilo, da kršitev GDPR sama po sebi ne zadostuje za nastanek pravice do odškodnine v skladu s členom 82(1) GDPR. Posameznik mora tudi dokazati obstoj škode, ki jo je povzročila kršitev, ne da bi ta škoda dosegla določeno stopnjo resnosti.
Tretje vprašanje
V tem primeru sta posameznika zahtevala odškodnino za nematerialno škodo v zvezi z izgubo nadzora nad svojimi osebnimi podatki, ne da bi lahko ugotovila, v kolikšni meri so se tretje osebe dejansko seznanile s temi podatki.
Sodišče EU je menilo, da lahko izguba nadzora nad osebnimi podatki, tudi za kratek čas, pomeni nematerialno škodo v smislu člena 82(1) GDPR, pod pogojem, da posameznik lahko dokaže, da je dejansko utrpel tako škodo, ne glede na to, ali je majhna. Vendar zgolj trditev o strahu brez dokazanih negativnih posledic ne more upravičevati pravice do odškodnine v skladu s členom 82(1) GDPR.
Zato strah posameznika, da so bili njegovi osebni podatki razkriti tretjim osebam, zadostuje za odškodnino, če je ta strah s svojimi negativnimi posledicami ustrezno dokazan.
Četrto in peto vprašanje
Sodišče EU je navedlo, da člen 83 GDPR določa splošne pogoje za nalaganje upravnih glob, medtem ko člen 82 GDPR ureja pravico do odškodnine in odgovornosti. Tako ta dva člena zasledujeta različne cilje in meril iz člena 83 GDPR ni mogoče uporabiti za oceno zneska odškodnine v skladu s členom 82 GDPR.
Ker GDPR ne opredeljuje pravil o oceni škode, mora pravni sistem vsake države članice ob upoštevanju načel enakovrednosti in učinkovitosti predpisati podrobna pravila v zvezi z merili za določitev obsega odškodnine, ki se izplača v tem kontekstu.
Sodišče je še zapisalo, da ker pravica do odškodnine nima odvračilne ali kaznovalne funkcije, teža kršitve ne more vplivati na znesek odškodnine in znesek ne sme preseči celotne odškodnine za to škodo. Vendar je Sodišče EU dodalo, da je treba finančno nadomestilo na podlagi člena 82 GDPR šteti za popolno in učinkovito, če omogoča, da se dejansko utrpela škoda v celoti nadomesti, ne da bi bilo treba zahtevati plačilo kazenske odškodnine.
Zato je Sodišče EU menilo, da za določitev zneska odškodnine, ki jo je treba plačati kot odškodnino na podlagi člena 82 GDPR, ni treba smiselno uporabiti meril za določitev višine upravnih glob v skladu s členom 83 GDPR.
Šesto vprašanje
Posameznika sta trdila, da bi morala kršitev določb GDPR in nemške zakonodaje, ki velja za davčne svetovalce, povzročiti povečanje zahtevane odškodnine v skladu s členom 82(1) GDPR. Sodišče EU je navedlo, da v skladu z uvodno izjavo 146 GDPR obdelava osebnih podatkov, ki se izvaja v nasprotju z uredbo, vključuje tudi obdelavo, ki krši delegirane in izvedbene akte, sprejete v skladu z GDPR.
Vendar je Sodišče EU menilo, da dejstvo, da je bila obdelava izvedena v nasprotju z nacionalno zakonodajo v zvezi z varstvom osebnih podatkov, ki pa ne določa pravil GDPR, ni pomembno za oceno odškodnine, dodeljene v skladu s členom 82(1) GDPR. Zato kršitev nacionalne določbe ni zajeta v členu 82(1) GDPR.
Sodišče je tudi dodalo, da če nacionalna zakonodaja nacionalnemu sodišču to dovoljuje, lahko posamezniku dodeli višjo odškodnino od popolne in učinkovite odškodnine, določene v členu 82(1) GDPR, če je bila škoda povzročena tudi zaradi kršitev določb nacionalnega prava.
Tako je Sodišče EU sklenilo, da za določitev zneska odškodnine, ki jo je treba plačati kot nadomestilo v skladu s členom 82(1) GDPR, ni treba upoštevati sočasnih kršitev nacionalnih določb, ki se nanašajo na varstvo osebnih podatkov, vendar niso namenjene določanju pravil po GDPR.
Celotna odločitev je dostopna tukaj
Vir: GDPRHub
Naslovna slika: RawPixel
