62023CJ0655_RES
Zadeva C‑655/23
IP
proti
Quirin Privatbank AG
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesgerichtshof)
Sodba Sodišča (četrti senat) z dne 4. septembra 2025
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Pravice posameznika, na katerega se nanašajo osebni podatki – Člen 17 – Pravica do izbrisa podatkov – Člen 18 – Pravica do omejitve obdelave – Člen 79 – Pravica do učinkovitega pravnega sredstva – Nezakonita obdelava osebnih podatkov – Tožba, s katero se predlaga, naj se upravljavcu naloži prepoved vsakršne ponovne nezakonite obdelave – Podlaga – Pogoji – Člen 82(1) – Pravica do odškodnine – Pojem ‚nepremoženjska škoda‘ – Določitev višine odškodnine – Morebitno upoštevanje stopnje krivde upravljavca – Morebitni vpliv upravičenosti do ‚odredbe o prepovedi‘“
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravna sredstva – Obveznost držav članic, da določijo pravno sredstvo, na podlagi katerega je mogoče upravljavcu prepovedati ponovno nezakonito obdelavo – Neobstoj – Nacionalna ureditev, ki omogoča vložitev takega pravnega sredstva v nacionalnem pravnem redu – Dopustnost
(Listina Evropske unije o temeljnih pravicah, člen 8(1) in (2); Uredba Evropskega parlamenta in Sveta 2016/679, uvodne izjave 1, 10 in 11 ter členi 1, 4(1), 5, 6, 17, 18 in od 77 do 79)
(Glej točke od 38 do 52 in točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do odškodnine in odgovornost – Pravica do odškodnine za nastalo škodo – Nepremoženjska škoda – Pojem – Negativni občutki, ki jih ima posameznik, na katerega se nanašajo osebni podatki, po nedovoljenem posredovanju njegovih podatkov tretji osebi – Vključitev – Pogoji – Nujnost dokaza o obstoju takih občutkov in njihovih negativnih posledic zaradi kršitve te uredbe
(Uredba 2016/679 Evropskega parlamenta in Sveta, uvodne izjave 1, 10, 75, 85 in 146 ter člena 1 in 82(1))
(Glej točke 55, 56 in od 58 do 64 ter točko 2 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do odškodnine in odgovornost – Pravica do odškodnine za nastalo škodo – Določitev višine in oblike odškodnine – Nacionalna ureditev, ki omogoča upoštevanje stopnje krivde povzročitelja škode pri določitvi višine odškodnine za nepremoženjsko škodo – Nedopustnost
(Uredba 2016/679 Evropskega parlamenta in Sveta, uvodna izjava 146 ter člena 82 in 83)
(Glej točke 66, 67 in od 69 do 73 ter točko 3 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do odškodnine in odgovornost – Pravica do odškodnine za nastalo škodo – Določitev višine in oblike odškodnine – Upoštevanje odredbe o prepovedi ponovitve kršitve te uredbe za znižanje ali oprostitev plačila denarne odškodnine za nepremoženjsko škodo – Nedopustnost
(Uredba 2016/679 Evropskega parlamenta in Sveta, člen 82)
(Glej točke od 77 do 79 in od 81 do 83 ter točko 4 izreka.)
Povzetek
Sodišče, pri katerem je Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija) vložilo predlog za sprejetje predhodne odločbe, je pojasnilo obseg pravic, ki so posamezniku, na katerega se nanašajo osebni podatki, podeljene z različnimi določbami SUVP (
1
) v primeru nezakonite obdelave njegovih osebnih podatkov.
IP se je prek spletnega poslovnega družbenega omrežja prijavil za prosto delovno mesto pri Quirin Privatbank, ki je družba nemškega prava. Nato je uslužbenka te družbe z elektronskim sporočilom v okviru tega omrežja tretji osebi, na katero se ta izbirni postopek ni nanašal, poslala sporočilo, namenjeno le IP, v katerem je tega obvestila o zavrnitvi njegovih zahtev glede plače in mu ponudila drugačno plačo. Ta tretja oseba, ki je IP poznala, ker je pred tem delala z njim, mu je posredovala to sporočilo in ga vprašala, ali išče zaposlitev.
IP je pri Landgericht Darmstadt (deželno sodišče v Darmstadtu, Nemčija) vložil tožbo, s katero je predlagal, naj se družbi Quirin Privatbank naloži, prvič, naj se vzdrži vsakršne obdelave njegovih osebnih podatkov v zvezi z njegovo prijavo, s katero bi po pošiljanju zadevnega sporočila ponovila njihovo nedovoljeno razkritje, in drugič, naj mu plača odškodnino za nastalo nepremoženjsko škodo. Prvostopenjsko sodišče je tema zahtevkoma ugodilo.
Po pritožbi, ki jo je družba Quirin Privatbank vložila pri Oberlandesgericht Frankfurt (višje deželno sodišče v Frankfurtu, Nemčija) je bila ta sodba delno spremenjena tako, da je bil odškodninski zahtevek zavrnjen. Po mnenju tega sodišča namreč IP ni predložil dokaza o konkretni škodi in je tudi ob predpostavki, da je bil ponižan, ni mogoče opredeliti kot nepremoženjsko škodo.
IP in družba Quirin Privatbank sta zoper navedeno sodbo vsak vložila revizijo pri Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija), ki je predložitveno sodišče.
Ker navedeno sodišče dvomi o razlagi več določb SUVP, je Sodišče vprašalo o obsegu pravnih sredstev, obsegu pravice do odškodnine za nastalo škodo in merilih za določitev višine odškodnine za nepremoženjsko škodo.
Presoja Sodišča
Na prvem mestu, Sodišče je bilo pozvano, naj odloči o tem, ali določbe SUVP v korist posameznika, na katerega se nanaša nezakonita obdelava osebnih podatkov in ki ne zahteva izbrisa teh osebnih podatkov, določajo pravno sredstvo, ki mu omogoča preventivno doseči, da se upravljavcu odredi, da se v prihodnosti vzdrži ponovne nezakonite obdelave, in če je odgovor nikalen, ali te določbe državam članicam preprečujejo, da bi tako pravno sredstvo določile v svojih pravnih redih.
V zvezi s tem je navedlo, da SUVP ne vsebuje določb, ki bi izrecno ali implicitno določale, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da s tožbo preventivno doseže, da se mora upravljavec osebnih podatkov v prihodnje vzdržati kršitve določb te uredbe, natančneje v obliki ponovitve nezakonite obdelave.
Poleg tega je Sodišče ugotovilo, da nobena od določb te uredbe, ki se nanašajo na pravna sredstva, (
2
) držav članic ne zavezuje, da uvedejo preventivno pravno sredstvo. Natančneje, člen 79 SUVP, ki določa pravico do učinkovitega pravnega sredstva zoper upravljavca, državam članicam ne nalaga, da določijo posebno pravno sredstvo, ki omogoča, da se z vložitvijo tožbe preventivno doseže izdaja odredbe o prepovedi.
Ob tem je Sodišče zlasti glede na to, da SUVP priznava pravico vsakega posameznika, na katerega se nanašajo osebni podatki, do učinkovitega pravnega sredstva, če meni, da so bile pravice, ki so mu podeljene s to uredbo, kršene zaradi obdelave njegovih osebnih podatkov, ki je bila izvedena v nasprotju z navedeno uredbo, „brez poseganja“ v katero koli drugo upravno ali izvensodno sredstvo, ugotovilo, da državam članicam ni preprečeno, da določijo tako preventivno pravno sredstvo, da bi upravljavcu naložile, da se v prihodnje vzdrži vsakršne ponovne kršitve pravic, ki so s to uredbo podeljene posamezniku, na katerega se nanašajo osebni podatki.
Sodišče je v zvezi s tem poudarilo, da več določb SUVP državam članicam izrecno daje možnost, da določijo dodatna, strožja ali odstopajoča nacionalna pravila, ki jim puščajo polje proste presoje glede načina, kako se te določbe lahko izvajajo („pomensko odprte določbe“). V tem okviru je navedlo, da čeprav določbe SUVP, ki se nanašajo na pravna sredstva, ne vsebujejo posebej take pomensko odprte določbe, pa zakonodajalec Unije ni nameraval izčrpno harmonizirati pravnih sredstev, ki so na voljo v primeru kršitve določb te uredbe, in zlasti ni izključil take možnosti preventivnega pravnega sredstva.
Sodišče je dodalo, da je ta razlaga potrjena s cilji SUVP. Možnost posameznika, na katerega se nanašajo osebni podatki, da vloži pravno sredstvo, da bi se upravljavcu odredilo, da se v prihodnje vzdrži kršitve materialnopravnih določb SUVP, namreč lahko okrepi polni učinek teh določb in s tem visoko raven varstva posameznikov, na katere se nanašajo osebni podatki, pri obdelavi njihovih osebnih podatkov.
Sodišče je iz tega sklepalo, da SUVP ne nasprotuje temu, da je pravica do pravnega sredstva, katerega namen je doseči izdajo odredbe, s katero bi bilo mogoče preprečiti morebitno kršitev materialnopravnih določb te uredbe, zlasti z morebitno ponovitvijo nezakonite obdelave, na voljo na podlagi določb prava države članice, ki bi se uporabljale pred nacionalnim sodiščem, ki odloča o zadevi.
Na drugem mestu, Sodišče je podalo pojasnila o pojmu „nepremoženjska škoda“, ki na podlagi SUVP (
3
) posamezniku, na katerega se nanašajo osebni podatki, daje pravico, da od upravljavca dobi odškodnino za nastalo škodo.
V tem okviru je opozorilo, da člen 82(1) SUVP v zvezi s pravico do odškodnine nasprotuje nacionalnemu pravilu ali praksi, ki odškodnino za „nepremoženjsko škodo“ pogojuje s tem, da je škoda, ki je nastala posamezniku, na katerega se nanašajo osebni podatki, dosegla določeno stopnjo resnosti. Navedena določba ne zahteva, da mora nepremoženjska škoda, ki jo zatrjuje posameznik, na katerega se nanašajo osebni podatki, za povrnitev te škode doseči „prag de minimis“. (
4
)
Poleg tega je Sodišče ugotovilo, da so položaji, kot so ti, na katere se sklicuje v sporu o glavni stvari, ki se nanašajo na „okrnitev ugleda“, ki je posledica kršitve varstva osebnih podatkov, ali na „izgubo nadzora“ nad takimi podatki, izrecno navedeni med primeri morebitne škode, ki so našteti v SUVP. (
5
)
Opozorilo je tudi, da strah posameznika, na katerega se nanašajo osebni podatki, da bodo njegovi osebni podatki zaradi kršitve SUVP v prihodnosti uporabljeni nezakonito, lahko sam po sebi pomeni „nepremoženjsko škodo“, če je ta strah s svojimi negativnimi posledicami ustrezno dokazan, kar mora preveriti nacionalno sodišče, ki odloča o zadevi. (
6
)
Sodišče je tako priznalo, da čeprav so lahko del splošnih tveganj, povezanih z življenjem, negativni občutki, ki jih navaja predložitveno sodišče, zlasti strah ali nezadovoljstvo, lahko pomenijo „nepremoženjsko škodo“ v smislu SUVP, če posameznik, na katerega se nanašajo osebni podatki, dokaže, da ima take občutke z njihovimi negativnimi posledicami prav zaradi zadevne kršitve te uredbe, kot je nedovoljeno posredovanje njegovih osebnih podatkov tretji osebi, ki povzroča tveganje njihove zlorabe, kar morajo presoditi nacionalna sodišča, ki odločajo o zadevi.
Sodišče je poudarilo, da je ta razlaga v skladu s členom 82(1) SUVP v povezavi z uvodnima izjavama 85 in 146 te uredbe, ki narekujeta široko pojmovanje pojma „nepremoženjska škoda“ in je podprta s ciljem navedene uredbe, ki je zagotoviti visoko raven varstva posameznikov pri obdelavi osebnih podatkov.
Na tretjem mestu, Sodišče je ugotovilo, da člen 82(1) SUVP, ki se nanaša na pravico do odškodnine, nasprotuje temu, da se stopnja krivde upravljavca upošteva pri določitvi višine odškodnine za nepremoženjsko škodo, dolgovano na podlagi tega člena.
V zvezi s tem je opozorilo, da morajo nacionalna sodišča ob upoštevanju izključno kompenzacijske funkcije pravice do odškodnine iz člena 82 SUVP zagotoviti „celotno in učinkovito“ odškodnino za nastalo škodo, ne da bi bilo treba za tako polno nadomestilo naložiti plačilo kaznovalne odškodnine. (
7
)
Pojasnilo je, da izključno kompenzacijska funkcija pravice do odškodnine na podlagi SUVP nasprotuje temu, da se pri povračilu škode na tej podlagi upoštevata resnost in morebitna namernost kršitve te uredbe, ki jo je storil upravljavec. Tako ravnanja in motivacije upravljavca ni mogoče upoštevati za to, da se glede na okoliščine primera posamezniku, na katerega se nanašajo osebni podatki, prisodi nižja odškodnina za škodo, ki jo je dejansko utrpel, pa naj gre za znesek ali obliko te odškodnine.
Na četrtem in zadnjem mestu, Sodišče je ugotovilo, da člen 82(1) SUVP nasprotuje temu, da bi bilo okoliščino, da je posameznik, na katerega se nanašajo osebni podatki, na podlagi nacionalnega prava, ki se uporablja, pridobil odredbo o prepovedi ponovitve kršitve te uredbe, ki jo je mogoče izvršiti zoper upravljavca, mogoče upoštevati za zmanjšanje obsega denarne odškodnine za nepremoženjsko škodo, dolgovane na podlagi tega člena, ali a fortiori za nadomestitev te odškodnine.
Sodišče je opozorilo, da je že priznalo, da lahko v mejah, ki izhajajo iz načela učinkovitosti, nekatere okoliščine vplivajo na določitev višine odškodnine, ki jo je treba plačati na podlagi člena 82 SUVP, zlasti zaradi omejitve te odškodnine. Obliko odškodnine, določeno z nacionalnim pravom, ki se uporablja, pa je mogoče šteti za združljivo s SUVP le, če je z njo mogoče zagotoviti celotno in učinkovito odškodnino za škodo, ki je nastala posamezniku, na katerega se nanašajo osebni podatki. Natančneje, odškodnine, dolgovane na podlagi člena 82 SUVP, ni mogoče prisoditi delno ali v celoti v obliki odredbe o prepovedi, saj ima pravica do odškodnine za škodo izključno kompenzacijsko funkcijo, medtem ko je namen odredbe o prepovedi, izdane zoper povzročitelja škode, povsem preventiven.
(
1
)	Členi 17, 18, 79 in 82 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1; v nadaljevanju: SUVP).
(
2
)	Poglavje VIII SUVP, naslovljeno „Pravna sredstva, odgovornost in kazni“, zajema člene od 77 do 79 te uredbe.
(
3
)	Člen 82(1) SUVP.
(
4
)	Glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov) (C‑300/21, EU:C:2023:370, točka 51), in z dne 4. oktobra 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, točki 147 in 149).
(
5
)	Glej uvodni izjavi 75 in 85 SUVP.
(
6
)	Glej v tem smislu sodbi z dne 20. junija 2024, PS (Napačen naslov) (C‑590/22, EU:C:2024:536, točke 32, 35 in 36), in z dne 4. oktobra 2024, Agentsia po vpisvaniyata, (C‑200/23, EU:C:2024:827, točke 143, 144 in 155 ter navedena sodna praksa).
(
7
)	Glej v tem smislu sodbi z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov) (C‑300/21, EU:C:2023:370, točki 57 in 58), in z dne 4. oktobra 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, točka 34).