62023CJ0507
WYROK TRYBUNAŁU (ósma izba)
z dnia 4 października 2024 r. (
*1
)
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 82 ust. 1 – Prawo do odszkodowania i odpowiedzialność – Niezgodne z prawem przetwarzanie danych – Naruszenie prawa do ochrony danych osobowych – Pojęcie „szkody” – Naprawienie szkody niemajątkowej w formie przeprosin – Dopuszczalność – Zasada skuteczności – Ocena formy i zakresu naprawienia szkody – Ewentualne uwzględnienie postawy i motywacji administratora
W sprawie C‑507/23
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Augstākā tiesa (Senāts) (sąd najwyższy, Łotwa) postanowieniem z dnia 7 sierpnia 2023 r., które wpłynęło do Trybunału w dniu 8 sierpnia 2023 r., w postępowaniu:
A
przeciwko
Patērētāju tiesību aizsardzības centrs,
TRYBUNAŁ (ósma izba),
w składzie: N. Piçarra, prezes izby, N. Jääskinen (sprawozdawca) i M. Gavalec, sędziowie,
rzecznik generalny: M. Szpunar,
sekretarz: A. Calot Escobar,
uwzględniając pisemny etap postępowania,
rozważywszy uwagi, które przedstawili:
–
w imieniu rządu łotewskiego – J. Davidoviča i K. Pommere, w charakterze pełnomocników,
–
w imieniu Komisji Europejskiej – A. Bouchagiar, H. Kranenborg i I. Naglis, w charakterze pełnomocników,
podjąwszy, po wysłuchaniu rzecznika generalnego, decyzję o rozstrzygnięciu sprawy bez opinii,
wydaje następujący
Wyrok
1
Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 82 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).
2
Wniosek ten został złożony w ramach sporu pomiędzy A a Patērētāju tiesību aizsardzības centrs (urzędem ochrony praw konsumentów, Łotwa, zwanym dalej „PTAC”) w przedmiocie naprawienia szkody niemajątkowej, jaką skarżący w postępowaniu głównym miał, jak twierdzi, ponieść w związku z przetwarzaniem przez PTAC pewnych jego danych osobowych bez jego zgody.
Ramy prawne
Prawo Unii
3
Motywy 1, 75, 85, 146 i 148 RODO mają następujące brzmienie:
„(1)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Artykuł 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej [»Kartą«]) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.
[…]
(75)
Ryzyko naruszenia praw lub wolności osób, o różnym prawdopodobieństwie i wadze, może wynikać z przetwarzania danych osobowych mogącego prowadzić do uszczerbku fizycznego lub szkód majątkowych lub niemajątkowych, w szczególności: jeżeli przetwarzanie może poskutkować […] naruszeniem dobrego imienia […] lub wszelką inną znaczną szkodą gospodarczą lub społeczną; jeżeli osoby, których dane dotyczą, mogą zostać pozbawione przysługujących im praw i wolności lub możliwości sprawowania kontroli nad swoimi danymi osobowymi; […]
[…]
(85)
Przy braku odpowiedniej i szybkiej reakcji naruszenie ochrony danych osobowych może skutkować powstaniem uszczerbku fizycznego, szkód majątkowych lub niemajątkowych u osób fizycznych, takich jak utrata kontroli nad własnymi danymi osobowymi lub ograniczenie praw, […] naruszenie dobrego imienia […] lub wszelkie inne znaczne szkody gospodarcze lub społeczne. […]
[…]
(146)
Za szkodę, którą dana osoba poniosła wskutek przetwarzania w sposób naruszający niniejsze rozporządzenie, powinno przysługiwać odszkodowanie od administratora lub podmiotu przetwarzającego. […] Pojęcie szkody należy interpretować szeroko, w świetle orzecznictwa Trybunału Sprawiedliwości, w sposób w pełni odzwierciedlający cele niniejszego rozporządzenia. Nie ma to wpływu na roszczenia z tytułu szkód wynikających z naruszenia innych przepisów prawa Unii lub prawa państwa członkowskiego. […] Osoby, których dane dotyczą, powinny uzyskać pełne i skuteczne odszkodowanie za poniesione szkody. […]
[…]
(148)
Aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne […]. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności […] oraz wszelkie inne czynniki obciążające lub łagodzące. […]”.
4
Artykuł 1 tego rozporządzenia, zatytułowany „Przedmiot i cele”, stanowi w ust. 2:
„Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”.
5
Artykuł 4 wspomnianego rozporządzenia, zatytułowany „Definicje”, przewiduje:
„Na użytek niniejszego rozporządzenia:
1)
»dane osobowe« oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); […]
[…]
7)
»administrator« oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; […]
[…]
12)
»naruszenie ochrony danych osobowych« oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;
[…]”.
6
Artykuł 6 owego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1, że przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z wymienionych tam warunków.
7
Rozdział VIII RODO, zatytułowany „Środki ochrony prawnej, odpowiedzialność i sankcje”, obejmuje jego art. 77–84.
8
Artykuł 82 tego rozporządzenia, zatytułowany „Prawo do odszkodowania i odpowiedzialność”, stanowi w ust. 1 i 2:
„1.   Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.
2.   Każdy administrator uczestniczący w przetwarzaniu odpowiada za szkody spowodowane przetwarzaniem naruszającym niniejsze rozporządzenie. […]”.
9
Artykuł 83 RODO, zatytułowany „Ogólne warunki nakładania administracyjnych kar pieniężnych”, przewiduje w ust. 2:
„[…] Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na:
a)
charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;
b)
umyślny lub nieumyślny charakter naruszenia;
c)
działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;
[…]
k)
wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty”.
10
Artykuł 84 tego rozporządzenia, zatytułowany „Sankcje”, uściśla w ust. 1:
„Państwa członkowskie przyjmują przepisy określające inne sankcje za naruszenia niniejszego rozporządzenia, w szczególności za naruszenia niepodlegające administracyjnym karom pieniężnym na mocy art. 83, oraz podejmują wszelkie środki niezbędne do ich wykonania. Sankcje te muszą być skuteczne, proporcjonalne i odstraszające”.
Prawo łotewskie
11
Artykuł 14, zatytułowany „Ustalanie zasad naprawienia szkody niemajątkowej”, Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (ustawy o naprawianiu szkód wyrządzonych przez organy publiczne) z dnia 2 czerwca 2005 r. (Latvijas Vēstnesis, 2005, nr 96), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym (zwanej dalej „ustawą z 2005 r.”), stanowi:
„1.   Zasady naprawienia szkody niemajątkowej ustala się w zależności od znaczenia praw i prawnie chronionych interesów, które naruszono, oraz wagi danego naruszenia, uwzględniając faktyczne i prawne uzasadnienie postępowania organu, postępowanie i współodpowiedzialność poszkodowanego, a także inne okoliczności mające znaczenie w danej sprawie.
2.   Szkodę niemajątkową należy naprawić poprzez przywrócenie stanu sprzed wystąpienia szkody lub, w przypadku całkowitej lub częściowej niemożności takiego przywrócenia, bądź w przypadku nieadekwatności tego rozwiązania, poprzez przeprosiny lub zapłatę odpowiedniego zadośćuczynienia.
3.   Jeżeli organ lub sąd, po dokonaniu oceny okoliczności danej sprawy, uzna, że naruszenie praw lub prawnie chronionych interesów danej osoby nie jest poważne, pisemne lub publiczne przeprosiny mogą stanowić samodzielną lub uzupełniającą formę naprawienia szkody niemajątkowej.
4.   Zadośćuczynienie z tytułu szkody niemajątkowej może zostać przyznane w wysokości do 7000 EUR. W przypadku wyrządzenia poważnej szkody niemajątkowej zadośćuczynienie może zostać przyznane w wysokości do 10000 EUR; jednak w przypadku utraty życia lub szczególnie poważnego uszczerbku na zdrowiu zadośćuczynienie może zostać przyznane w wysokości do 30000 EUR”.
Postępowanie główne i pytania prejudycjalne
12
Skarżący w postępowaniu głównym jest znany na Łotwie jako dziennikarz będący ekspertem w dziedzinie motoryzacji.
13
W ramach kampanii mającej na celu uwrażliwienie konsumentów na ryzyko związane z zakupem używanego pojazdu PTAC rozpowszechnił na kilku stronach internetowych materiał wideo, w którym występowała między innymi postać naśladująca skarżącego w postępowaniu głównym, na co ten nie wyraził zgody.
14
Wspomniany materiał wideo pozostał dostępny online pomimo wyrażonego przez skarżącego w postępowaniu głównym sprzeciwu wobec jego wykonania i rozpowszechniania. Ponadto PTAC nie uwzględnił jego wyraźnych żądań, w drodze których domagał się on wstrzymania rozpowszechniania wspomnianego materiału wideo oraz naprawienia szkody w związku z naruszeniem jego dobrego imienia.
15
Skarżący w postępowaniu głównym wniósł następnie skargę do administratīvā rajona tiesa (rejonowego sądu administracyjnego, Łotwa), żądając, po pierwsze, stwierdzenia niezgodności z prawem działań PTAC polegających na wykorzystywaniu i rozpowszechnianiu jego danych osobowych bez jego zgody oraz, po drugie, uzyskania naprawienia poniesionej przez niego szkody niemajątkowej w formie przeprosin i zadośćuczynienia w wysokości 2000 EUR. Uznawszy te działania za niezgodne z prawem, sąd ten nakazał PTAC ich zaprzestanie i publiczne przeproszenie skarżącego oraz zasądził od PTAC na rzecz skarżącego zadośćuczynienie w wysokości 100 EUR tytułem naprawienia poniesionej przez niego szkody niemajątkowej.
16
W wyroku z dnia 20 maja 2023 r. administratīvā apgabaltiesa (okręgowy sąd administracyjny, Łotwa), rozpatrujący sprawę jako sąd odwoławczy, potwierdził niezgodność z prawem przetwarzania danych osobowych przez PTAC na podstawie art. 6 RODO i nakazał zaprzestanie tego postępowania oraz opublikowanie przeprosin na stronach internetowych, na których odnośny materiał wideo rozpowszechniono, zgodnie z art. 14 ustawy z 2005 r. Sąd ten oddalił natomiast żądanie zadośćuczynienia pieniężnego za szkodę niemajątkową poniesioną przez skarżącego w postępowaniu głównym. W tym względzie stwierdził on w szczególności, że naruszenie, jakiego się dopuszczono, nie było poważne, ponieważ materiał wideo służył wykonaniu zadania realizowanego w interesie publicznym; jego celem nie było naruszenie dobrego imienia, czci i godności skarżącego. Ponadto uznał on, że naruszenie to wynikało z błędnej interpretacji przez PTAC skomplikowanych przepisów prawnych.
17
W skardze kasacyjnej wniesionej do Augstākā tiesa (Senāts) (sądu najwyższego, Łotwa), który jest sądem odsyłającym w niniejszej sprawie, skarżący w postępowaniu głównym kwestionuje wspomniany wyrok w zakresie, w jakim odmówiono mu w nim zadośćuczynienia pieniężnego za poniesioną przez niego szkodę niemajątkową. Podnosi on w istocie, że sąd odwoławczy popełnił błędy przy ocenie wagi naruszenia jego praw oraz przy szacowaniu szkody z niego wynikającej. Twierdzi on również, że naprawienie szkody w formie przeprosin nie jest ani sprawiedliwe, ani odpowiednie w świetle art. 82 RODO.
18
W pierwszej kolejności sąd odsyłający uważa, opierając się na wyroku z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych) (C‑300/21, zwanym dalej wyrokiem Österreichische Post, EU:C:2023:370), że art. 82 RODO nie pozwala na nakazanie naprawienia szkody w związku z naruszeniem tego rozporządzenia bez wcześniejszego określenia szkody spowodowanej tym naruszeniem. W jego ocenie w niniejszym przypadku sąd odwoławczy naruszył ów art. 82, nakazując naprawienie szkody, nie stwierdziwszy naruszenia dobrego imienia, czci i godności skarżącego w postępowaniu głównym. W tym kontekście sąd ten dąży do ustalenia, czy w świetle art. 1 ust. 2 RODO oraz motywów 75, 85 i 146 tego rozporządzenia niezgodne z prawem przetwarzanie danych osobowych może samo w sobie stanowić naruszenie zagwarantowanego w art. 8 ust. 1 Karty prawa podstawowego do ochrony tych danych, a w konsekwencji stanowić „szkodę” w rozumieniu wspomnianego art. 82, w tym w sytuacji, gdy nie stwierdzono naruszenia dobrego imienia, czci lub godności osoby, której dane dotyczą.
19
W drugiej kolejności sąd odsyłający zastanawia się nad odpowiednim naprawieniem szkody niemajątkowej na podstawie art. 82 ust. 1 RODO, zgodnie z jego wykładnią dokonaną w wyroku z dnia 4 maja 2023 r., Österreichische Post (C‑300/21, EU:C:2023:370). Dąży on do ustalenia, czy obowiązek przeproszenia poszkodowanego, który w prawie łotewskim może stanowić samodzielną lub uzupełniającą formę naprawienia szkody, można w pewnych przypadkach uznać za wystarczające naprawienie szkody w świetle owego art. 82 ust. 1.
20
W trzeciej i ostatniej kolejności sąd ten zastanawia się, mając na uwadze pkt 58 wspomnianego wyroku, czy art. 82 ust. 1 RODO pozwala na uwzględnienie przy dokonywaniu oceny formy i zakresu należnego z tego tytułu naprawienia szkody okoliczności towarzyszących działaniom podmiotu, który dopuścił się naruszenia przepisów tego rozporządzenia, czy wręcz uzasadniających owe działania.
21
W tych okolicznościach Augstākā tiesa (Senāts) (sąd najwyższy) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)
Czy art. 82 ust. 1 [RODO] należy interpretować w ten sposób, że niezgodne z prawem przetwarzanie danych osobowych, jako naruszenie tego rozporządzenia, może samo w sobie stanowić nieuzasadnioną ingerencję w prawo podmiotowe danej osoby do ochrony jej danych i szkodę wyrządzoną tej osobie?
2)
Czy art. 82 ust. 1 [RODO] należy interpretować w ten sposób, że zezwala on, w przypadku braku możliwości przywrócenia stanu sprzed wyrządzenia szkody, na nałożenie obowiązku przeprosin jako jedynego zadośćuczynienia za szkodę niemajątkową?
3)
Czy art. 82 ust. 1 [RODO] należy interpretować w ten sposób, że zezwala on, aby okoliczności wskazujące na postawę i motywację podmiotu przetwarzającego dane (na przykład konieczność wykonania zadania w interesie publicznym, brak zamiaru wyrządzenia szkody danej osobie lub trudności w zrozumieniu ram prawnych) uzasadniały ustalenie niższego zadośćuczynienia za wyrządzenie szkody?”.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytania pierwszego
22
Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 82 ust. 1 RODO w świetle art. 8 ust. 1 Karty należy interpretować w ten sposób, że naruszenie przepisów tego rozporządzenia jest samo w sobie wystarczające do tego, by mogło stanowić „szkodę” w rozumieniu owego art. 82 ust. 1.
23
Artykuł 82 ust. 1 RODO stanowi, że „[k]ażda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę”.
24
Trybunał wielokrotnie dokonywał wykładni tego art. 82 ust. 1, orzekając, że samo naruszenie tego rozporządzenia nie wystarcza do przyznania prawa do odszkodowania na tej podstawie, ponieważ istnienie „szkody”, majątkowej lub niemajątkowej, lub „szkody”, która została „poniesiona”, stanowi jedną z przesłanek prawa do odszkodowania przewidzianego w tym przepisie, podobnie jak istnienie naruszenia przepisów wspomnianego rozporządzenia i związku przyczynowego między tą szkodą a tym naruszeniem, przy czym te trzy przesłanki są kumulatywne. W związku z tym osoba dochodząca odszkodowania za szkodę niemajątkową na podstawie wspomnianego przepisu jest zobowiązana wykazać nie tylko naruszenie owego rozporządzenia, ale również to, iż owo naruszenie rzeczywiście wyrządziło jej taką szkodę [zob. podobnie wyroki: z dnia 4 maja 2023 r., Österreichische Post, C‑300/21, EU:C:2023:370, pkt 32, 33, 42, 50; z dnia 20 czerwca 2024 r., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, pkt 41, 42; a także z dnia 20 czerwca 2024 r., PS (Nieprawidłowy adres), C‑590/22, EU:C:2024:536, pkt 22, 24, 25, 27].
25
Ze względu na to, że owe trzy kumulatywne przesłanki są konieczne i wystarczające do powstania prawa do odszkodowania w rozumieniu art. 82 ust. 1 RODO (wyrok z dnia 14 grudnia 2023 r., Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, pkt 14), prawa tego nie można uzależniać od wykazania dodatkowo tego, że osoba, której dane dotyczą, zdefiniowana w art. 4 pkt 1 tego rozporządzenia, doznała nieuzasadnionej ingerencji w interes prawny, który owo rozporządzenie ma chronić, a mianowicie w prawo takiej osoby do ochrony jej danych osobowych.
26
Co więcej, Trybunał podkreślił, że nawet gdyby naruszony przepis RODO przyznawał osobom fizycznym prawa, takie naruszenie nie może samo w sobie stanowić „szkody niemajątkowej” w rozumieniu tego rozporządzenia i uzasadniać prawa do odszkodowania na tej podstawie, ponieważ wspomniane rozporządzenie wymaga spełnienia również dwóch pozostałych przesłanek przypomnianych w pkt 24 niniejszego wyroku (zob. podobnie wyrok z dnia 11 kwietnia 2024 r., juris, C‑741/21, EU:C:2024:288, pkt 40).
27
Taka wykładnia art. 82 ust. 1 RODO znajduje potwierdzenie w jego motywach 75, 85 i 146. Z motywów tych wynika bowiem, po pierwsze, że powstanie szkody w ramach niezgodnego z prawem przetwarzania danych osobowych jest jedynie potencjalną, nie zaś automatyczną konsekwencją takiego przetwarzania, po drugie, że naruszenie RODO niekoniecznie musi skutkować szkodą, a po trzecie, że uzasadnienie prawa do odszkodowania wymaga istnienia związku przyczynowego między danym naruszeniem a szkodą poniesioną przez osobę, której dane dotyczą (zob. podobnie wyrok z dnia 4 maja 2023 r., Österreichische Post, C‑300/21, EU:C:2023:370, pkt 37).
28
Wspomniana wykładnia gwarantuje zatem ochronę danych osobowych jako prawo podstawowe zapisane w art. 8 ust. 1 Karty, do którego odsyła motyw 1 RODO.
29
W świetle powyższych rozważań odpowiedź na pytanie pierwsze brzmi następująco: art. 82 ust. 1 RODO w świetle art. 8 ust. 1 Karty należy interpretować w ten sposób, że naruszenie przepisów tego rozporządzenia nie jest samo w sobie wystarczające do tego, by mogło stanowić „szkodę” w rozumieniu owego art. 82 ust. 1.
W przedmiocie pytania drugiego
30
Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy art. 82 ust. 1 RODO należy interpretować w ten sposób, że przeprosiny mogą stanowić odpowiednie naprawienie szkody niemajątkowej na podstawie tego przepisu, w szczególności gdy niemożliwe jest przywrócenie stanu sprzed wystąpienia tej szkody.
31
Zgodnie z utrwalonym orzecznictwem do wewnętrznego porządku prawnego każdego państwa członkowskiego należy, na mocy zasady autonomii proceduralnej, uregulowanie szczegółowych aspektów proceduralnych dotyczących środków prawnych mających na celu ochronę uprawnień przysługujących podmiotom prawa, pod warunkiem jednak, że zasady te w sytuacjach objętych prawem Unii nie będą mniej korzystne niż te odnoszące się do podobnych sytuacji podlegających prawu krajowemu (zasada równoważności) oraz że w praktyce nie będą uniemożliwiały lub nie uczynią nadmiernie uciążliwym wykonywania uprawnień przyznanych przez prawo Unii (zasada skuteczności) (wyroki: z dnia 4 maja 2023 r., Österreichische Post, C‑300/21, EU:C:2023:370, pkt 53; a także z dnia 20 czerwca 2024 r., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, pkt 32).
32
W niniejszym przypadku, z uwagi na to, że RODO nie zawiera przepisów dotyczących określania zasad szacowania odszkodowania należnego z tytułu zapisanego w art. 82 tego rozporządzenia prawa do odszkodowania, sądy krajowe powinny stosować w tym względzie wewnętrzne przepisy poszczególnych państw członkowskich dotyczące zakresu odszkodowania pieniężnego, pod warunkiem przestrzegania zasad równoważności i skuteczności prawa Unii [zob. podobnie wyroki: z dnia 4 maja 2023 r., Österreichische Post, C‑300/21, EU:C:2023:370, pkt 54, 59; z dnia 20 czerwca 2024 r., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, pkt 27, 33; a także z dnia 20 czerwca 2024 r., PS (Nieprawidłowy adres), C‑590/22, EU:C:2024:536, pkt 40].
33
W tym względzie, co się tyczy poszanowania zasady równoważności, Trybunał nie dysponuje żadnymi informacjami, które wskazywałyby na to, że wspomniana zasada może mieć rzeczywisty wpływ na spór rozpatrywany w postępowaniu głównym.
34
Co się tyczy poszanowania zasady skuteczności, wyłącznie kompensacyjna funkcja prawa do odszkodowania przewidzianego w art. 82 RODO wiąże się z tym, że kryteria szacowania odszkodowania należnego na podstawie tego artykułu powinny być określane w porządku prawnym poszczególnych państw członkowskich, pod warunkiem że takie odszkodowanie jest pełne i skuteczne, przy czym dla celów takiej pełnej kompensacji nie jest konieczne nakazanie zapłaty odszkodowania o charakterze represyjnym [zob. podobnie wyroki: z dnia 4 maja 2023 r., Österreichische Post, C‑300/21, EU:C:2023:370, pkt 57, 58; z dnia 20 czerwca 2024 r., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, pkt 23, 24, 35, 36, 43; a także z dnia 20 czerwca 2024 r., PS (Nieprawidłowy adres), C‑590/22, EU:C:2024:536, pkt 42].
35
Ponadto Trybunał przyznał, że w braku poważnego charakteru szkody poniesionej przez osobę, której dane dotyczą, sąd krajowy może ją skompensować poprzez przyznanie tej osobie odszkodowania minimalnego, pod warunkiem że niewielka kwota przyznanego w ten sposób odszkodowania może w pełni skompensować tę szkodę, czego ustalenie należy do tego sądu (zob. podobnie wyrok z dnia 20 czerwca 2024 r., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, pkt 46).
36
Podobnie art. 82 ust. 1 RODO nie stoi na przeszkodzie temu, by przeprosiny mogły stanowić samodzielną lub uzupełniającą formę naprawienia szkody niemajątkowej, jak przewiduje w niniejszym przypadku art. 14 ustawy z 2005 r., o ile taka forma naprawienia szkody pozostaje w zgodzie ze wspomnianymi zasadami równoważności i skuteczności, w szczególności w zakresie, w jakim musi ona umożliwiać pełną kompensację szkody niemajątkowej rzeczywiście poniesionej wskutek naruszenia tego rozporządzenia, czego ustalenie – przy uwzględnieniu okoliczności danego przypadku – należy do sądu krajowego rozpatrującego sprawę.
37
W świetle powyższych rozważań odpowiedź na pytanie drugie brzmi następująco: art. 82 ust. 1 RODO należy interpretować w ten sposób, że przeprosiny mogą stanowić odpowiednie naprawienie szkody niemajątkowej na podstawie tego przepisu, w szczególności gdy niemożliwe jest przywrócenie stanu sprzed wystąpienia tej szkody, pod warunkiem że taka forma naprawienia szkody może w pełni skompensować szkodę poniesioną przez osobę, której dane dotyczą.
W przedmiocie pytania trzeciego
38
Poprzez pytanie trzecie sąd odsyłający dąży w istocie do ustalenia, czy art. 82 ust. 1 RODO należy interpretować w ten sposób, że stoi on na przeszkodzie możliwości uwzględnienia postawy i motywacji administratora w celu ewentualnego przyznania osobie, której dane dotyczą, naprawienia szkody w zakresie niższym niż zakres szkody rzeczywiście przez nią poniesionej.
39
W pierwszej kolejności z art. 83 RODO w świetle motywu 148 tego rozporządzenia wynika, że decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, należy zwrócić uwagę w szczególności na kryteria dotyczące postawy i motywacji administratora jako „czynniki obciążające lub łagodzące”. Kryteriów tych nie wymieniono natomiast w art. 82 tego rozporządzenia ani zresztą w jego motywie 146, który dotyczy konkretnie prawa do odszkodowania przewidzianego w tym art. 82.
40
Brak odniesienia do takich kryteriów jest uzasadniony faktem, że art. 82 RODO pełni wyłącznie funkcję kompensacyjną, ponieważ naprawienie szkody, w szczególności w pieniądzu, na podstawie owego art. 82 powinno umożliwiać pełną kompensację poniesionej szkody, w przeciwieństwie do innych przepisów tego rozporządzenia zawartych również w jego rozdziale VIII, a mianowicie jego art. 83 i 84, które mają z kolei zasadniczo cel represyjny, ponieważ umożliwiają, odpowiednio, nakładanie administracyjnych kar pieniężnych i innych sankcji (zob. podobnie wyroki: z dnia 4 maja 2023 r., Österreichische Post, C‑300/21, EU:C:2023:370, pkt 38, 40; a także z dnia 20 czerwca 2024 r., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, pkt 22).
41
Z uwagi zatem na różnice w brzmieniu i celach istniejące między art. 82 RODO w świetle motywu 146 tego rozporządzenia a art. 83 RODO w świetle jego motywu 148 nie można uznać, że kryteria szacowania wymienione konkretnie w tym art. 83 mają zastosowanie mutatis mutandis w ramach tego art. 82 [wyrok z dnia 20 czerwca 2024 r., PS (Nieprawidłowy adres), C‑590/22, EU:C:2024:536, pkt 43 i przytoczone tam orzecznictwo]. Stwierdzenie to odnosi się w szczególności do ustalania wysokości odszkodowania należnego w związku z naprawieniem szkody na podstawie wspomnianego art. 82 [zob. podobnie wyrok z dnia 20 czerwca 2024 r., PS (Nieprawidłowy adres), C‑590/22, EU:C:2024:536, pkt 39, 44] oraz, bardziej ogólnie, do określania formy – pieniężnej lub innej – oraz zakresu jej naprawienia.
42
W drugiej kolejności wyłącznie kompensacyjna funkcja prawa do odszkodowania przewidzianego w art. 82 ust. 1 RODO stoi na przeszkodzie uwzględnieniu wagi i ewentualnego umyślnego charakteru naruszenia tego rozporządzenia, jakiego dopuścił się administrator, przy naprawianiu szkody na podstawie wspomnianego przepisu (zob. podobnie wyrok z dnia 20 czerwca 2024 r., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, pkt 28–30).
43
Zważywszy na to, że owo prawo do odszkodowania pełni funkcję wyłącznie kompensacyjną, nie zaś represyjną, waga takiego naruszenia nie może mieć wpływu na wysokość odszkodowania przyznanego na podstawie tego art. 82 ust. 1, a wysokości tej nie można ustalić na poziomie przekraczającym pełną kompensację szkody [zob. podobnie wyrok z dnia 20 czerwca 2024 r., PS (Nieprawidłowy adres), C‑590/22, EU:C:2024:536, pkt 41 i przytoczone tam orzecznictwo]. Przy ustalaniu wysokości takiego odszkodowania pieniężnego należy wziąć pod uwagę jedynie szkodę rzeczywiście poniesioną przez osobę, której dane dotyczą (zob. podobnie wyrok z dnia 11 kwietnia 2024 r., juris, C‑741/21, EU:C:2024:288, pkt 64).
44
Podobnie wyłącznie kompensacyjna funkcja wspomnianego art. 82 ust. 1 nie byłaby zachowana, gdyby przy określaniu formy naprawienia szkody przyznawanego na podstawie tego przepisu lub w celu przyznania naprawienia szkody w zakresie „niższym” niż zakres obejmujący pełną kompensację szkody poniesionej przez osobę, której dane dotyczą, uwzględniano postawę i motywację administratora, jak zauważa sąd odsyłający w niniejszej sprawie.
45
W świetle powyższych rozważań odpowiedź na pytanie trzecie brzmi następująco: art. 82 ust. 1 RODO należy interpretować w ten sposób, że stoi on na przeszkodzie możliwości uwzględnienia postawy i motywacji administratora w celu ewentualnego przyznania osobie, której dane dotyczą, naprawienia szkody w zakresie niższym niż zakres szkody rzeczywiście przez nią poniesionej.
W przedmiocie kosztów
46
Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (ósma izba) orzeka, co następuje:
1)
Artykuł 82 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) w świetle art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej
należy interpretować w ten sposób, że:
naruszenie przepisów tego rozporządzenia nie jest samo w sobie wystarczające do tego, by mogło stanowić „szkodę” w rozumieniu owego art. 82 ust. 1.
2)
Artykuł 82 ust. 1 rozporządzenia 2016/679
należy interpretować w ten sposób, że:
przeprosiny mogą stanowić odpowiednie naprawienie szkody niemajątkowej na podstawie tego przepisu, w szczególności gdy niemożliwe jest przywrócenie stanu sprzed wystąpienia tej szkody, pod warunkiem że taka forma naprawienia szkody może w pełni skompensować szkodę poniesioną przez osobę, której dane dotyczą.
3)
Artykuł 82 ust. 1 rozporządzenia 2016/679
należy interpretować w ten sposób, że:
stoi on na przeszkodzie możliwości uwzględnienia postawy i motywacji administratora w celu ewentualnego przyznania osobie, której dane dotyczą, naprawienia szkody w zakresie niższym niż zakres szkody rzeczywiście przez nią poniesionej.
Podpisy
(
*1
)	Język postępowania: łotewski.