62023CJ0655_RES
Дело C‑655/23
IP
срещу
Quirin Privatbank AG
(Преюдициално запитване, отправено от Bundesgerichtshof)
Решение на Съда (четвърти състав) от 4 септември 2025 година
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Права на субекта на данни — Член 17 — Право на изтриване на данни — Член 18 — Право на ограничаване на обработването — Член 79 — Право на ефективна съдебна защита — Незаконосъобразно обработване на лични данни — Иск с цел да се разпореди на администратора занапред да се въздържа от повторно незаконосъобразно обработване — Основание — Условия — Член 82, параграф 1 — Право на обезщетение — Понятието „нематериални вреди“ — Изчисляване на обезщетението — Евентуално отчитане на степента на вина на администратора — Евентуално отражение на ползването от „разпореждане за въздържане от действия“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Средства за защита — Задължение за държавите членки да предвидят средство за защита, което дава възможност да се разпореди на администратора да се въздържа от всякакво ново незаконосъобразно обработване — Липса — Национална правна уредба, която позволява използването на такова средство за защита във вътрешния правен ред — Допустимост
(Харта на основните права на Европейския съюз, член 8, параграфи 1 и 2; Регламент на Европейския парламент и на Съвета 2016/679, съображения 1, 10 и 11 и член 1, член 4, точка 1, членове 5, 6, 17, 18 и 77—79)
(вж. т. 38—52; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на обезщетение и отговорност за причинени вреди — Право на обезщетение за претърпените вреди — Нематериални вреди — Понятие — Отрицателни емоции, изпитани от субекта на данни вследствие от неразрешено изпращане на личните му данни на трето лице — Включване — Условия — Необходимост да се докаже наличието на такива емоции и отрицателните им последици поради нарушението на този регламент
(Регламент на Европейския парламент и на Съвета 2016/679, съображения 1, 10, 75, 85 и 146 и член 1 и член 82, параграф 1)
(вж. т. 55 и 56 58—64; т. 2 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на обезщетение и отговорност за причинени вреди — Право на обезщетение за претърпените вреди — Определяне на размера и формата на обезщетението — Национална правна уредба, която разрешава степента на вина на причинителя на вредите да бъде взета предвид за целите на изчисляването на размера на обезщетението за нематериални вреди — Недопустимост
(Регламент на Европейския парламент и на Съвета 2016/679, съображение 146 и членове 82 и 83)
(вж. т. 66, 67 и 69—73; т. 3 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на обезщетение и отговорност за причинени вреди — Право на обезщетение за претърпените вреди — Определяне на размера и формата на обезщетението — Отчитане, за да се намали или изключи паричното обезщетение за нематериални вреди, на разпореждане за въздържане от извършването на повторно нарушение на този регламент — Недопустимост
(Регламент на Европейския парламент и на Съвета 2016/679, член 82)
(вж. т. 77—79 и 81—83; т. 4 от диспозитива)
Резюме
Сезиран с преюдициално запитване от Bundesgerichtshof (Федерален върховен съд, Германия), Съдът уточнява обхвата на права, които различни разпоредби на ОРЗД (
1
) предоставят на субекта на данни в случай на незаконосъобразно обработване на личните му данни.
IP кандидатства чрез професионална социална онлайн мрежа за работа в Quirin Privatbank, дружество по германското право. Впоследствие служителка на това дружество използва системата за електронни съобщения на тази мрежа, за да изпрати на трето лице, което няма отношение към процеса по подбор на служители, предназначено само за IP съобщение, в което го уведомява, че поисканата от него заплата не е приета, и му предлага друго възнаграждение. Тъй като по-рано е работило с IP, същото трето лице му препраща това съобщение и го пита дали търси работа.
IP предявява пред Landgericht Darmstadt (Областен съд Дармщат, Германия) иск, като моли Quirin Privatbank да се осъди, от една страна, да не извършва каквото и да било обработване на личните му данни във връзка с неговата кандидатура, при което би се повторило неразрешеното разкриване на тези данни, и от друга страна, да му изплати обезщетение за претърпените нематериални вреди. Този иск е уважен от първоинстанционния съд.
След като Quirin Privatbank подава въззивна жалба пред Oberlandesgericht Frankfurt (Висш областен съд Франкфурт, Германия), това решение е частично изменено, доколкото искането за обезщетение е отхвърлено. Всъщност според тази юрисдикция IP не е представил доказателства за конкретна вреда и дори да се предположи, че той е преживял унижение, то не може да се квалифицира като нематериална вреда.
IP и Quirin Privatbank обжалват това решение пред запитващата юрисдикция, Bundesgerichtshof (Федерален върховен съд, Германия).
Тъй като има съмнения за тълкуването на няколко разпоредби от ОРЗД, този съд отправя запитване до Съда относно обхвата на средствата за защита, приложното поле на правото на обезщетение за претърпените вреди и критериите, въз основа на които може да се изчислят нематериалните вреди, подлежащи на обезщетяване.
Съображения на Съда
На първо място, от Съда се иска да се произнесе дали разпоредбите на ОРЗД предвиждат в полза на субекта на данни, лични данни на когото са били обработени незаконосъобразно и който не иска тези данни да бъдат изтрити, средство за съдебна защита, което му дава възможност превантивно да поиска на администратора да бъде разпоредено занапред да се въздържа от повторно незаконосъобразно обработване, и дали — при отрицателен отговор — тези разпоредби са пречка държавите членки да въведат такова средство за защита в съответните си правни системи.
В тази насока Съдът отбелязва, че ОРЗД не съдържа разпоредби, които изрично или мълчаливо да предвиждат, че субектът на данни разполага с право — чрез превантивно предявен иск — да поиска администраторът, който обработва лични данни, да бъде задължен занапред да се въздържа от нарушаване на разпоредбите на този регламент, по-специално под формата на повторно незаконосъобразно обработване.
Освен това Съдът констатира, че нито една от разпоредбите на този регламент относно средствата за правна защита (
2
) не задължава държавите членки да въведат превантивно оспорване по съдебен ред. По-специално член 79, параграф 1 от ОРЗД, който прогласява правото на ефективна съдебна защита срещу администратора, не налага на държавите членки да предвидят специално средство за защита, което да дава възможност чрез превантивно предявен иск да се постигне постановяването на разпореждане за въздържане от действия.
С оглед по-специално на признаването от ОРЗД на правото на всеки субект на данни на правото на ефективна съдебна защита, ако същият смята, че правата, предоставени му с този регламент, са били нарушени поради обработване на личните му данни, което е извършено в нарушение на споменатия регламент, „без да се засягат“ които и да било налични административни или несъдебни средства за защита, обаче Съдът приема, че няма пречка държавите членки да предвидят такъв превантивен способ за защита, за да задължат администратора да се въздържа от всякакво ново нарушение на правата, предоставени от този регламент на субекта на данни.
В тази насока Съдът подчертава, че множество разпоредби на ОРЗД изрично дават възможност на държавите членки да предвидят допълнителни — по-строги или дерогиращи — национални правила, които им оставят свобода на преценка относно начина на прилагане на тези разпоредби („отворени клаузи“). Във връзка с това Съдът отбелязва, че макар разпоредбите на ОРЗД относно средствата за защита да не съдържат специално такава отворена клауза, законодателят на Съюза не е искал да осъществи изчерпателна хармонизация на средствата за защита, възможни в случай на нарушаване на разпоредбите на този регламент, и по-специално не е изключил такава възможност за превантивно предявяване на иск.
Съдът добавя, че това тълкуване се потвърждава от целите, преследвани с ОРЗД. Всъщност възможността за субекта на данни да предяви иск, за да бъде разпоредено на администратора занапред да се въздържа от нарушаване на материалноправните разпоредби на ОРЗД, може да усили полезния ефект на тези разпоредби, а оттам и високото ниво на защита на субектите на данни при обработването на техните лични данни.
Оттук Съдът заключава, че ОРЗД допуска право на иск, чиято цел е да се издаде разпореждане, което дава възможност да се предотврати евентуалното извършване на нарушение на материалноправните разпоредби на този регламент, по-конкретно с потенциалното повторно извършване на незаконосъобразно обработване, и което право на иск е на разположение въз основа на разпоредби на правото на държава членка, които биха били приложими пред сезираната национална юрисдикция.
На второ място, Съдът внася уточнения относно понятието „нематериални вреди“, което съгласно ОРЗД (
3
) дава на субекта на данни правото да получи от администратора обезщетение за нанесените вреди.
Във връзка с това Съдът припомня, че член 82, параграф 1 от ОРЗД, предмет на който е правото на обезщетение, не допуска национална правна уредба или практика, която поставя поправянето на „нематериални вреди“ в зависимост от условието нанесените на субекта на данни вреди да са достигнали до определена степен на значимост. Споменатата разпоредба не изисква нематериалните вреди, твърдени от субекта на данни, да достигат определен „праг de minimis“, за да подлежат на поправяне (
4
).
Съдът отбелязва също, че положения като описаните в спора по главното производство, при които е налице „накърняване на репутацията“ вследствие от нарушение на лични данни или от „загуба на контрол“ върху такива данни, са изрично споменати сред примерите за евентуални вреди, изброени в ОРЗД (
5
).
Той припомня също, че опасенията на субекта на данни, че в бъдеще ще бъде злоупотребено с неговите лични данни вследствие на нарушение на ОРЗД, могат сами по себе си да представляват „нематериални вреди“, при условие че тези опасения, заедно с отрицателните им последици, бъдат надлежно доказани, което сезираната национална юрисдикция следва да провери (
6
).
Така Съдът признава, че при все че споменатите от запитващата юрисдикция отрицателни емоции, в частност опасения или недоволство, могат да бъдат и част от общия житейски риск, те могат да представляват „нематериални вреди“ по смисъла на ОРЗД, при условие че субектът на данни докаже, че изпитва такива емоции и техните отрицателни последици именно поради процесното нарушение на този регламент, като например неразрешено изпращане на личните му данни на трето лице, с което възниква опасност от злоумишлено използване на тези данни; сезираният национален съд следва да прецени това.
Съдът подчертава, че това тълкуване е в съзвучие с текста на член 82, параграф 1 от ОРЗД, разглеждан в светлината на съображения 85 и 146 от този регламент, които дават основание понятието „нематериални вреди“ да се разбира в широк смисъл, като изложеното тълкуване се подкрепя и от целта на същия регламент — да се гарантира високо ниво на защита на физическите лица във връзка с обработването на лични данни.
На трето място, Съдът констатира, че член 82, параграф 1 от ОРЗД, предмет на който е правото на обезщетение, не допуска степента на вина на администратора да бъде взета предвид за целите на изчисляването на размера на обезщетението за нематериални вреди, дължимо на основание на тази разпоредба.
В тази насока той припомня, че с оглед на само и единствено компенсаторната функция на правото на обезщетение, националните съдилища са длъжни да осигурят „пълно и действително“ обезщетение за претърпените вреди, без да е необходимо за целите на такова пълно обезщетяване да се налага изплащането на наказателно обезщетение (
7
).
Съдът уточнява, че тази само и единствено компенсаторна функция на правото на обезщетение съгласно ОРЗД не допуска за целите на обезщетяването на вредата на това основание да се вземат предвид тежестта и евентуално умишленият характер на извършеното от администратора нарушение на този регламент. Следователно отношението и мотивацията на администратора няма как да бъдат взети предвид с цел на субекта на данни евентуално да се предостави обезщетение в размер, по-нисък от този на действително претърпените от него вреди, независимо дали се касае за размера, или за формата на това обезщетение.
На четвърто и последно място, Съдът приема, че член 82, параграф 1 от ОРЗД не допуска фактът, че субектът на данни е успял съгласно приложимото национално право да осъди администратора да се въздържа от извършването на повторно нарушение на този регламент, да бъде взет предвид, за да се намали размерът на паричното обезщетение за нематериални вреди, дължимо съгласно тази разпоредба, или дори да се замести това обезщетение.
Съдът припомня, че вече е признал, че в рамките, които произтичат от принципа на ефективност, някои обстоятелства могат да повлияят върху изчисляването на обезщетението, дължимо съгласно член 82 от ОРЗД, по-специално за да бъде това обезщетение намалено. Форма на обезщетяване, предвидена от приложимото национално право, обаче може да се счита за съобразена с ОРЗД само ако е годна да осигури пълно и действително обезщетение за вредите, претърпени от субекта на данни. По-специално обезщетението, което се дължи съгласно член 82 от ОРЗД, няма как да бъде предоставено — отчасти или изцяло — под формата на разпореждане за въздържане от действия, защото правото на обезщетение за вреди изпълнява изключително компенсаторна функция, докато разпореждането за въздържане на причинителя на вредите от действие има чисто превантивна цел.
(
1
)	Членове 17, 18, 79 и 82 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
2
)	В глава VIII („Средства за правна защита__ отговорност за причинени вреди и санкции“) от ОРЗД се намират по-специално членове 77—79.
(
3
)	Член 82, параграф 1 от ОРЗД.
(
4
)	Вж. в този смисъл решения от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни) (C‑300/21, EU:C:2023:370, т. 51), и от 4 октомври 2024 г., Агенция по вписванията (C‑200/23, EU:C:2024:827, т. 147 и 149).
(
5
)	Вж. съображения 75 и 85 от ОРЗД.
(
6
)	Вж. в този смисъл решения от 20 юни 2024 г., PS (Неправилен отговор) (C‑590/22, EU:C:2024:536, т. 32, 35 и 36), и от 4 октомври 2024 г., Агенция по вписванията (C‑200/23, EU:C:2024:827, т. 143, 144 и 155 и цитираната съдебна практика).
(
7
)	Вж. в този смисъл решения от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни) (C‑300/21, EU:C:2023:370, т. 57 и 58), и от 4 октомври 2024 г., Patērētāju tiesību aizsardzības centrs (507/23, EU:C:2024:854, т. 34).