62023CJ0655_RES
Sag C-655/23
IP
mod
Quirin Privatbank AG
(anmodning om præjudiciel afgørelse indgivet af Bundesgerichtshof)
Domstolens dom (Fjerde Afdeling) af 4. september 2025
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – den registreredes rettigheder – artikel 17 – ret til sletning af personoplysninger – artikel 18 – ret til begrænsning af behandling – artikel 79 – ret til en effektiv domstolsprøvelse – ulovlig behandling af personoplysninger – søgsmål med påstand om, at det pålægges den dataansvarlige at undlade enhver ny ulovlig behandling i fremtiden – grundlag – betingelser – artikel 82, stk. 1 – ret til erstatning – begrebet »immateriel skade« – fastsættelse af erstatningen – eventuel hensyntagen til graden af skyld hos den dataansvarlige – eventuel virkning af, at der er opnået et »undladelsespåbud««
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – retsmidler – forpligtelse for medlemsstaterne til at fastsætte et retsmiddel, der gør det muligt at pålægge den dataansvarlige at undlade enhver ny ulovlig behandling – foreligger ikke – national lovgivning, der gør det muligt at anvende et sådant retsmiddel i den nationale retsorden – lovlighed
[Den Europæiske Unions charter om grundlæggende, art 8, stk. 1 og 2; Europa Parlamentets og Rådets forordning 2016/679, 1., 10. og 11. betragtning og art. 1, art. 4, nr. 1), art. 5, 6, 17, 18 og 77-79]
(jf. præmis 38-52 og domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – ret til erstatning og erstatningsansvar – ret til erstatning for den skade, der er lidt – ikke-økonomisk skade – begreb – negative følelser, som den registrerede oplever som følge af en uautoriseret videregivelse af vedkommendes personoplysninger til en tredjemand – omfattet – betingelser – nødvendighed af at godtgøre eksistensen af sådanne følelser og de negative konsekvenser heraf som følge af overtrædelsen af forordningen
(Europa-Parlamentets og Rådets forordning 2016/679, 1., 10., 75., 85. og 146. betragtning samt art. 1 og art. 82, stk. 1)
(jf. præmis 55, 56 og 58-64 samt domskonkl. 2)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – ret til erstatning og erstatningsansvar – ret til erstatning for den skade, der er lidt – fastsættelse af erstatningens størrelse og form – national lovgivning, der tillader, at der tages hensyn til graden af skyld hos skadevolderen ved fastsættelsen af erstatningen for en immateriel skade – ikke tilladt
(Europa-Parlamentets og Rådets forordning 2016/679, 146. betragtning og art. 82 og 83)
(jf. præmis 66, 67 og 69-73 samt domskonkl. 3)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – ret til erstatning og erstatningsansvar – ret til erstatning for den skade, der er lidt – fastsættelse af erstatningens størrelse og form – hensyntagen til et påbud om undladelse af en gentagelse af en overtrædelse af forordningen med henblik på at reducere eller udelukke erstatningen for immateriel skade – ikke tilladt
(Europa-Parlamentets og Rådets forordning 2016/679, art. 82)
(jf. præmis 77-79 og 81-83 samt domskonkl. 4)
Résumé
I forbindelse med en præjudiciel forelæggelse fra Bundesgerichtshof (forbundsdomstol, Tyskland) præciserede Domstolen rækkevidden af de rettigheder, som forskellige bestemmelser i databeskyttelsesforordningen (
1
) tillægger den registrerede i tilfælde af ulovlig behandling af den pågældendes personoplysninger.
IP ansøgte gennem et professionelt socialt onlinenetværk om en stilling hos Quirin Privatbank, der er et tysk selskab. Efterfølgende brugte en medarbejder hos selskabet netværkets meddelelsestjeneste til at sende en tredjemand, der ikke deltog i ansøgningsprocessen, en meddelelse, der udelukkende var tiltænkt IP, hvori hun meddelte denne, at hans lønkrav var blevet afvist, og tilbød ham en anden betaling. Den pågældende tredjemand, som havde arbejdet sammen med IP, videresendte meddelelsen til ham og spurgte ham, om han var ved at søge job.
IP anlagde sag ved Landgericht Darmstadt (den regionale ret i første instans i Darmstadt, Tyskland) med påstand om, at det blev pålagt Quirin Privatbank dels at undlade enhver behandling af personoplysninger med tilknytning til hans ansøgning, som kunne gentage den uautoriserede videregivelse af disse oplysninger, dels at betale ham erstatning for den immaterielle skade, der var lidt. Disse påstande blev taget til følge i sagen i første instans.
Efter at Quirin Privatbank havde appelleret sagen til Oberlandesgericht Frankfurt (den regionale appeldomstol i Frankfurt, Tyskland), blev den pågældende dom delvist ændret, for så vidt som banken blev frifundet for påstanden om erstatning. Appeldomstolen fandt nemlig, at IP ikke havde ført bevis for en konkret skade, og at det ikke kunne kvalificeres som en immateriel skade, at han var blevet ydmyget, selv hvis dette måtte antages.
IP og Quirin Privatbank ankede hver især denne dom til Bundesgerichtshof (forbundsdomstol, Tyskland), som er den forelæggende ret.
Da forbundsdomstolen var i tvivl om fortolkningen af flere bestemmelser i databeskyttelsesforordningen, forelagde den Domstolen spørgsmål om omfanget af retsmidlerne, rækkevidden af retten til erstatning for den lidte skade og kriterierne for fastsættelsen af den immaterielle skade, der kan erstattes.
Domstolens bemærkninger
Domstolen skulle for det første tage stilling til, om databeskyttelsesforordningens bestemmelser til fordel for den registrerede, der er berørt af en ulovlig behandling af personoplysninger, og som ikke anmoder om at få oplysningerne slettet, fastsætter et retsmiddel, der gør det muligt for den pågældende at opnå, at det som en forebyggende foranstaltning pålægges den dataansvarlige at undlade en ny ulovlig behandling i fremtiden, og om bestemmelserne i benægtende fald forhindrer medlemsstaterne i at indføre et sådant retsmiddel i deres respektive retsordener.
Domstolen bemærkede i denne henseende, at databeskyttelsesforordningen ikke indeholder bestemmelser, der udtrykkeligt eller implicit fastsætter, at den registrerede har ret til gennem et søgsmål som en forebyggende foranstaltning at opnå, at det pålægges den dataansvarlige for personoplysninger i fremtiden at undlade at begå en overtrædelse af forordningens bestemmelser, nærmere bestemt i form af en gentagelse af en ulovlig behandling.
Domstolen fastslog i øvrigt, at ingen af forordningens bestemmelser angående retsmidler (
2
) forpligter medlemsstaterne til at indføre et forebyggende retsmiddel. Databeskyttelsesforordningens artikel 9, stk. 1, som fastsætter retten til effektive retsmidler over for en dataansvarlig, pålægger navnlig ikke medlemsstaterne at fastsætte et særligt retsmiddel, der gør det muligt ved et søgsmål som en forebyggende foranstaltning at opnå et undladelsespåbud.
Henset til navnlig anerkendelsen i databeskyttelsesforordningen af, at den enkelte registrerede skal have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til forordningen er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med forordningen, »uden at det berører« andre tilgængelige administrative eller udenretslige klageadgange, fastslog Domstolen imidlertid, at medlemsstaterne ikke er forhindret i at fastsætte et sådant forebyggende retsmiddel med henblik på at pålægge den dataansvarlige at undlade nye krænkelser af rettighederne.
Domstolen understregede i den forbindelse, at flere bestemmelser i databeskyttelsesforordningen udtrykkeligt åbner mulighed for, at medlemsstaterne kan fastsætte supplerende nationale regler, der er strengere, eller undtagelsesbestemmelser, som overlader medlemsstaterne et skøn med hensyn til, hvorledes disse bestemmelser kan gennemføres (»åbningsbestemmelser«). I denne sammenhæng bemærkede Domstolen, at databeskyttelsesforordningens bestemmelser angående retsmidler ganske vist ikke specifikt indeholder en sådan åbningsbestemmelse, men at EU-lovgiver ikke har haft til hensigt at foretage en udtømmende harmonisering af de retsmidler, der er til rådighed i tilfælde af overtrædelse af forordningen, og navnlig ikke har udelukket en sådan adgang til at anlægge sag forebyggende.
Domstolen tilføjede, at denne fortolkning støttes af de mål, der forfølges med databeskyttelsesforordningen. Muligheden for den registrerede for at anlægge sag med henblik på, at det pålægges den dataansvarlige at undlade at overtræde de materielle bestemmelser i databeskyttelsesforordningen i fremtiden, kan nemlig styrke disse bestemmelsers effektive virkning og dermed det høje beskyttelsesniveau for de registrerede i forbindelse med behandlingen af deres personoplysninger.
Domstolen fastslog på baggrund heraf, at databeskyttelsesforordningen ikke er til hinder for, at der er adgang til at anlægge sag med henblik på at opnå et påbud, der gør det muligt at forhindre en eventuel overtrædelse af forordningens materielle bestemmelser, bl.a. ved en potentiel gentagelse af en ulovlig behandling, på grundlag af bestemmelser i en medlemsstats lovgivning, der finder anvendelse ved den nationale ret, som sagen anlægges ved.
For det andet præciserede Domstolen begrebet »immateriel skade«, som i henhold til databeskyttelsesforordningen (
3
) giver den registrerede ret til erstatning for den forvoldte skade fra den dataansvarlige.
Domstolen mindede i den forbindelse om, at databeskyttelsesforordningens artikel 82, stk. 1, om retten til erstatning er til hinder for en national regel eller praksis, hvorefter erstatning for en »immateriel skade« er betinget af, at den skade, som den registrerede har lidt, har en vis alvorsgrad. Bestemmelsen kræver ikke, at en immateriel skade, som den registrerede hævder at have lidt, skal nå en »bagatelgrænse«, for at denne skade kan erstattes (
4
).
Domstolen bemærkede desuden, at situationer som dem, der er påberåbt i hovedsagen og vedrører en »skade på omdømme« som følge af et brud på persondatasikkerheden eller et »tab af kontrol« over sådanne oplysninger, udtrykkeligt er blandt de eksempler på mulige skader, der er opregnet i databeskyttelsesforordningen (
5
).
Domstolen mindede også om, at den frygt, som en registreret nærer for, at vedkommendes personoplysninger vil blive misbrugt i fremtiden som følge af en overtrædelse af databeskyttelsesforordningen, i sig selv kan udgøre en »immateriel skade«, forudsat at denne frygt og de negative konsekvenser heraf er behørigt bevist, hvilket det tilkommer den nationale ret at efterprøve (
6
).
Domstolen anerkendte således, at selv om de negative følelser, som den forelæggende ret har nævnt, navnlig frygt eller utilfredshed, i øvrigt kan høre til de almindelige problemer i tilværelsen og være en del af hverdagen, kan de udgøre en »immateriel skade« som omhandlet i databeskyttelsesforordningen, for så vidt som den registrerede godtgør, at vedkommende netop har sådanne følelser og de negative konsekvenser heraf som følge af den omhandlede overtrædelse af forordningen, såsom en uautoriseret videregivelse af vedkommendes personoplysninger til tredjemand, der medfører en risiko for misbrug af oplysningerne, hvilket det påhviler de nationale retter at vurdere.
Domstolen understregede, at denne fortolkning er i overensstemmelse med ordlyden af databeskyttelsesforordningens artikel 82, stk. 1, sammenholdt med 85. og 146. betragtning til forordningen, hvori der opfordres til at anlægge en bred fortolkning af begrebet »immateriel skade«, og understøttes af formålet med forordningen, der består i at sikre et højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.
For det tredje fastslog Domstolen, at databeskyttelsesforordningens artikel 82, stk. 1, om retten til erstatning skal fortolkes således, at bestemmelsen er til hinder for, at der tages hensyn til graden af skyld hos den dataansvarlige ved fastsættelsen af størrelsen af den erstatning for en immateriel skade, der skal betales i henhold til denne artikel.
Den mindede herved om, at henset til den udelukkende kompenserende funktion af retten til erstatning er de nationale retter forpligtet til at sikre »fuld« erstatning for den skade, der er lidt, uden at det med henblik på en sådan fuldstændig kompensation er nødvendigt at pålægge betaling af erstatning med karakter af straf (
7
).
Domstolen præciserede, at denne udelukkende kompenserende funktion af retten til erstatning i medfør af databeskyttelsesforordningen er til hinder for, at der tages hensyn til graden af alvor og den eventuelt forsætlige karakter af overtrædelsen af forordningen, som den dataansvarlige har begået, ved fastsættelsen af erstatningen på grundlag heraf. Der kan således ikke tages hensyn til holdningen og begrundelsen hos den dataansvarlige med henblik på i givet fald at tildele den registrerede en erstatning, der er lavere end den skade, som den pågældende konkret har lidt, hverken med hensyn til erstatningens størrelse eller form.
For det fjerde og sidste fandt Domstolen, at databeskyttelsesforordningens artikel 82, stk. 1, er til hinder for, at den omstændighed, at den registrerede i henhold til gældende national ret har opnået et påbud om undladelse af en gentagelse af en overtrædelse af forordningen, som kan gøres gældende over for den dataansvarlige, tages i betragtning med henblik på at reducere omfanget af den økonomiske erstatning for en immateriel skade, der skal betales i henhold til denne artikel, eller, a fortiori, træde i stedet for denne erstatning.
Domstolen mindede om, at den allerede har anerkendt, at der inden for de grænser, der følger af effektivitetsprincippet, er visse omstændigheder, der kan påvirke fastsættelsen af den erstatning, der skal betales i henhold til databeskyttelsesforordningens artikel 82, navnlig med henblik på at begrænse denne erstatning. En form for erstatning, der er fastsat i gældende national ret, kan imidlertid kun anses for at være i overensstemmelse med databeskyttelsesforordningen, for så vidt som den kan sikre fuld erstatning for den skade, som den registrerede har lidt. Navnlig kan en erstatning, der skal betales i henhold til databeskyttelsesforordningens artikel 82, ikke helt eller delvist tildeles i form af et undladelsespåbud, eftersom retten til erstatning for en skade udelukkende udfylder en kompenserende funktion, mens et undladelsespåbud over for skadevolderen har et rent forebyggende formål.
(
1
) – Artikel 17, 18, 79 og 82 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
2
) – Databeskyttelsesforordningens kapitel VIII med overskriften »Retsmidler, ansvar og sanktioner«, som bl.a. omfatter forordningens artikel 77-79.
(
3
) – Databeskyttelsesforordningens artikel 82, stk. 1.
(
4
) – Jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger) (C-300/21, EU:C:2023:370, præmis 51), og af 4.10.2024, Agentsia po vpisvaniyata, (C-200/23, EU:C:2024:827, præmis 147 og 149).
(
5
) – Jf. 75. og 85. betragtning til databeskyttelsesforordningen.
(
6
) – Jf. i denne retning dom af 20.6.2024, PS (Forkert adresse) (C-590/22, EU:C:2024:536, præmis 32, 35 og 36), og af 4.10.2024, Agentsia po vpisvaniyata (C-200/23, EU:C:2024:827, præmis 143, 144 og 155 og den deri nævnte retspraksis).
(
7
) – Jf. i denne retning dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger) (C-300/21, EU:C:2023:370, præmis 57 og 58), og af 4.10.2024, Patērētāju tiesību aizsardzības centrs (C-507/23, EU:C:2024:854, præmis 34).