62023CJ0507
DOMSTOLENS DOM (Ottende Afdeling)
4. oktober 2024 (
*1
)
»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 82, stk. 1 – ret til erstatning og erstatningsansvar – ulovlig behandling af oplysninger – overtrædelse af retten til beskyttelse af personoplysninger – begrebet »skade« – erstatning for immateriel skade i form af en undskyldning – lovlighed – effektivitetsprincippet – vurdering af erstatningens form og niveau – eventuel hensyntagen til holdningen og begrundelsen hos den dataansvarlige«
I sag C-507/23,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Augstākā tiesa (Senāts) (øverste domstol, Letland) ved afgørelse af 7. august 2023, indgået til Domstolen den 8. august 2023, i sagen
A
mod
Patērētāju tiesību aizsardzības centrs,
har
DOMSTOLEN (Ottende Afdeling),
sammensat af afdelingsformanden, N. Piçarra, og dommerne N. Jääskinen (refererende dommer) og M. Gavalec,
generaladvokat: M. Szpunar,
justitssekretær: A. Calot Escobar,
på grundlag af den skriftlige forhandling,
efter at der er afgivet indlæg af:
–
den lettiske regering ved J. Davidoviča og K. Pommere, som befuldmægtigede,
–
Europa-Kommissionen ved A. Bouchagiar, H. Kranenborg og I. Naglis, som befuldmægtigede,
og idet Domstolen efter at have hørt generaladvokaten har besluttet, at sagen skal pådømmes uden forslag til afgørelse,
afsagt følgende
Dom
1
Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 82, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
2
Anmodningen er blevet indgivet i forbindelse med en tvist mellem A og Patērētāju tiesību aizsardzības centrs (center for beskyttelse af forbrugerrettigheder, Letland) vedrørende erstatning for den immaterielle skade, som sagsøgeren i hovedsagen hævder at have lidt som følge af, at center for beskyttelse af forbrugerrettigheder har behandlet visse af hans personoplysninger uden hans samtykke.
Retsforskrifter
EU-retten
3
1., 75., 85., 146. og 148. betragtning til databeskyttelsesforordningen har følgende ordlyd:
»(1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«) og i artikel 16, stk. 1, [TEUF] fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.
[...]
(75)
Risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, kan opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til [...] skade på omdømme [...] eller andre betydelige økonomiske eller sociale konsekvenser; hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger; [...]
[...]
(85)
Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, [...] skade på omdømme, [...] eller andre betydelige økonomiske eller sociale konsekvenser for den berørte fysiske person. [...]
[...]
(146)
Den dataansvarlige eller databehandleren bør yde erstatning for enhver skade, som en person måtte lide som følge af behandling, der overtræder denne forordning. [...] Begrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret. [...] Registrerede bør have fuld erstatning for den skade, som de har lidt. [...]
[...]
(148)
For at styrke håndhævelsen af reglerne i denne forordning bør der pålægges sanktioner, herunder administrative bøder, for overtrædelse af denne forordning [...]. Der bør dog tages behørigt hensyn til overtrædelsens karakter, alvor og varighed, overtrædelsens eventuelle forsætlige karakter, foranstaltninger, der er truffet for at begrænse den forvoldte skade, graden af ansvar [...], samt andre skærpende eller formildende faktorer. [...]«
4
Denne forordnings artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 2:
»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«
5
Nævnte forordnings artikel 4 med overskriften »Definitioner« fastsætter:
»I denne forordning forstås ved:
1)
»personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); [...]
[...]
7)
»dataansvarlig«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; [...]
[...]
12)
»brud på persondatasikkerheden«: et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet
[...]«
6
Samme forordnings artikel 6 med overskriften »Lovlig behandling« bestemmer i stk. 1, at behandling af personoplysninger kun er lovlig, hvis og i det omfang mindst ét af deri opregnede forhold gør sig gældende.
7
Databeskyttelsesforordningens kapitel VIII med overskriften »Retsmidler, ansvar og sanktioner« indeholder forordningens artikel 77-84.
8
Denne forordnings artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« bestemmer følgende i stk. 1 og 2:
»1.   Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.
2.   Enhver dataansvarlig, der er involveret i behandling, hæfter for den skade, der er forvoldt af behandling, der overtræder denne forordning. [...]«
9
Databeskyttelsesforordningens artikel 83 med overskriften »Generelle betingelser for pålæggelse af administrative bøder« fastsætter følgende i stk. 2:
»2. [...] Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag, tages der behørigt hensyn til følgende:
a)
overtrædelsens karakter, alvor og varighed under hensyntagen til pågældende behandlings karakter, omfang eller formål samt antal registrerede, der er berørt, og omfanget af den skade, som de har lidt
b)
hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt
c)
eventuelle foranstaltninger, der er truffet af den dataansvarlige eller databehandleren for at begrænse den skade, som den registrerede har lidt
[...]
k)
om der er andre skærpende eller formildende faktorer ved sagens omstændigheder, såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen.«
10
Denne forordnings artikel 84 med overskriften »Sanktioner« præciserer i stk. 1:
»Medlemsstaterne fastsætter regler om andre sanktioner, der skal anvendes i tilfælde af overtrædelser af denne forordning, navnlig overtrædelser, som ikke er underlagt administrative bøder i henhold til artikel 83, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.«
Lettisk ret
11
Artikel 14 med overskriften »Fastsættelse af det økonomiske tab« i Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (lov om erstatning for tab forvoldt af offentlige myndigheder) af 2. juni 2005 (Latvijas Vēstnesis, 2005, nr. 96) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »loven af 2005«), bestemmer:
»1.   Pligten til at betale erstatning for immateriel skade fastsættes afhængig af betydningen af de rettigheder og retligt beskyttede interesser, der er gjort indgreb i, og af alvoren af det omhandlede indgreb i betragtning af begrundelsen for og de faktiske og retlige omstændigheder ved myndighedens handling samt af ofrets adfærd og medansvar og øvrige omstændigheder, der er relevante i den pågældende sag.
2.   Der ydes erstatning for immateriel skade ved at genoprette situationen forud for skadens indtræden eller, såfremt denne løsning er helt eller delvist umulig eller utilstrækkelig, ved en undskyldning eller ved betaling af en passende erstatning.
3.   Hvis myndigheden eller retten efter en vurdering af omstændighederne i den pågældende sag fastslår, at indgrebet i personens rettigheder eller retligt beskyttede interesser ikke er alvorligt, kan en skriftlig eller offentlig undskyldning udgøre den eneste form for erstatning eller en erstatning, der ledsager den immaterielle skade.
4.   Erstatning for immateriel skade kan udgøre højst 7000 EUR. Såfremt der forvoldes alvorlig immateriel skade, kan der fastsættes en erstatning på højst 10000 EUR; såfremt der er tale om en skade for menneskeliv eller en særligt alvorlig sundhedsskade, kan der fastsættes en erstatning på højst 30000 EUR.«
Tvisten i hovedsagen og de præjudicielle spørgsmål
12
Sagsøgeren i hovedsagen er i Letland kendt som journalist med ekspertise inden for motorkøretøjer.
13
Som led i en kampagne, der havde til formål at gøre forbrugerne opmærksomme på de risici, der var forbundet med køb af et brugt køretøj, afspillede centret for beskyttelse af forbrugerrettigheder på flere websteder en video, der navnlig viste en figur, der efterlignede sagsøgeren i hovedsagen, uden at sidstnævnte havde givet sit samtykke hertil.
14
Til trods for at sagsøgeren i hovedsagen gjorde indsigelse mod såvel fremstillingen som afspilningen af denne video, forblev den tilgængelig online. Endvidere afviste centret for beskyttelse af forbrugerrettigheder de udtrykkelige anmodninger om ophør af denne afspilning og om erstatning for skaden på sagsøgeren i hovedsagens omdømme.
15
Sagsøgeren i hovedsagen anlagde herefter sag ved administratīvā rajona tiesa (distriktsdomstol i forvaltningsretlige sager, Letland) med påstand dels om, at det blev fastslået, at de handlinger, som centret for beskyttelse af forbrugerrettigheder var ansvarligt for, og som bestod i anvendelse og formidling af hans personoplysninger uden tilladelse, var ulovlige, dels om erstatning for den immaterielle skade, som han havde lidt, i form af en undskyldning og en godtgørelse på 2000 EUR. Efter at have fastslået, at disse handlinger var ulovlige, pålagde denne domstol centret for beskyttelse af forbrugerrettigheder at bringe handlingerne til ophør, at undskylde offentligt over for sagsøgeren i hovedsagen og at betale ham en godtgørelse på 100 EUR i erstatning for den immaterielle skade.
16
Ved dom af 20. maj 2023 stadfæstede Administratīvā apgabaltiesa (appeldomstol i forvaltningsretlige sager, Letland), der traf afgørelse i appelsagen, på grundlag af databeskyttelsesforordningens artikel 6 den ulovlige karakter af den behandling af personoplysninger, som centret for beskyttelse af forbrugerrettigheder havde foretaget, og beordrede, at den omhandlede adfærd skulle bringes til ophør, og at der i henhold til artikel 14 i loven af 2005 skulle offentliggøres en undskyldning på de websteder, hvor videoen var afspillet. Appeldomstolen forkastede derimod påstanden om økonomisk erstatning for den immaterielle skade, som sagsøgeren i hovedsagen havde lidt. I denne henseende fandt den navnlig, at overtrædelsen ikke kunne anses for alvorlig, eftersom videoen havde til formål at udføre en opgave i samfundets interesse og ikke at skade sagsøgerens omdømme, ære og værdighed. Den fastslog endvidere, at den omhandlede overtrædelse skyldtes den omstændighed, at centret for beskyttelse af forbrugerrettigheder havde fejlfortolket lovbestemmelser af kompleks karakter.
17
Sagsøgeren i hovedsagen har for Augstākā tiesa (Senāts) (øverste domstol, Letland), som er den forelæggende ret i den foreliggende sag, iværksat kassationsappel til prøvelse af denne dom, for så vidt som der herved blev givet afslag på økonomisk erstatning for den immaterielle skade, som han har lidt. Han har i det væsentlige gjort gældende, at appeldomstolen begik en fejl ved vurderingen af alvoren af overtrædelsen af hans rettigheder og af den skade, der opstod som følge heraf. Han har ligeledes gjort gældende, at erstatning i form af en undskyldning hverken kan anses for rimelig eller passende i medfør af databeskyttelsesforordningens artikel 82.
18
Den forelæggende ret er for det første med henvisning til dom af 4. maj 2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger) (C-300/21, herefter »Österreichische Post-dommen», EU:C:2023:370), af den opfattelse, at databeskyttelsesforordningens artikel 82 ikke gør det muligt at beordre betaling af erstatning for en overtrædelse af denne forordning, medmindre den skade, der er forvoldt ved den pågældende overtrædelse, først er blevet identificeret. Ifølge den forelæggende ret har appeldomstolen i det foreliggende tilfælde tilsidesat artikel 82 ved at beordre en sådan erstatning uden først at have identificeret en skade af sagsøgeren i hovedsagens omdømme, ære og værdighed. I denne sammenhæng ønsker den forelæggende ret oplyst, om en ulovlig behandling af personoplysninger i lyset af databeskyttelsesforordningens artikel 1, stk. 2, og 75., 85. samt 146. betragtning hertil i sig selv kan udgøre en tilsidesættelse af den grundlæggende ret til beskyttelse af disse oplysninger, der er sikret ved chartrets artikel 8, stk. 1, og følgelig udgøre »skade« som omhandlet i artikel 82, herunder når det ikke er godtgjort, at den registreredes omdømme, ære eller værdighed har lidt skade.
19
Den forelæggende ret er for det andet i tvivl om, hvorvidt der på grundlag af databeskyttelsesforordningens artikel 82, stk. 1, skal ydes en passende erstatning for immateriel skade som fortolket i dom af 4. maj 2023, Österreichische Post (C-300/21, EU:C:2023:370). Den ønsker oplyst, om forpligtelsen til at fremsætte en undskyldning over for skadelidte, hvilket i henhold til lettisk ret kan udgøre den eneste form for erstatning eller en erstatning, der ledsager den immaterielle skade, i visse tilfælde kan anses for at være en tilstrækkelig erstatning i lyset af artikel 82, stk. 1.
20
Den forelæggende ret ønsker med henvisning til denne doms præmis 58 for det tredje og endelig oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, med henblik på at vurdere formen og størrelsen af den erstatning, der skal betales for immateriel skade, gør det muligt at tage hensyn til omstændigheder, der er udtryk for holdningen og begrundelsen hos ophavsmanden til overtrædelsen af denne forordnings bestemmelser.
21
På denne baggrund har Augstākā tiesa (Senāts) (øverste domstol) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:
»1)
Skal databeskyttelsesforordningens artikel 82, stk. 1, fortolkes således, at en ulovlig behandling af personoplysninger, der udgør en overtrædelse af den nævnte forordning, i sig selv kan udgøre et uberettiget indgreb i en persons ret til beskyttelse af sine personoplysninger og en skade, der er forvoldt på denne person?
2)
Skal databeskyttelsesforordningens artikel 82, stk. 1, fortolkes således, at denne bestemmelse, når det ikke er muligt at genoprette den oprindelige situation før skadens indtræden, tillader, at der fastsættes en pligt til at undskylde som den eneste erstatning for den immaterielle skade?
3)
Skal databeskyttelsesforordningens artikel 82, stk. 1, fortolkes således, at denne bestemmelse tillader, at omstændigheder, der er et udtryk for holdningen og begrundelsen hos den part, der behandler oplysningerne (f.eks. kravet om at udføre en opgave i samfundets interesse, den manglende hensigt om at skade personen eller vanskelighederne ved at forstå den lovgivningsmæssige ramme), begrunder, at der fastsættes en lavere erstatning for den nævnte skade?«
Om de præjudicielle spørgsmål
Det første spørgsmål
22
Med det første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, sammenholdt med chartrets artikel 8, stk. 1, skal fortolkes således, at en overtrædelse af bestemmelserne i denne forordning i sig selv er tilstrækkelig til at udgøre en »skade« som omhandlet i artikel 82, stk. 1.
23
Databeskyttelsesforordningens artikel 82, stk. 1, bestemmer, at »[e]nhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren«.
24
Domstolen har gentagne gange fortolket artikel 82, stk. 1, således, at den blotte overtrædelse af denne forordning ikke er tilstrækkelig til at give ret til erstatning, eftersom en af betingelserne for ret til erstatning er, at der foreligger en materiel eller immateriel »skade«, eller at der er »forvold[t] skade«, ligesom denne forordning skal være overtrådt, og der skal være en årsagsforbindelse mellem skaden og overtrædelsen, idet disse tre betingelser er kumulative. Den person, der på grundlag af denne bestemmelse fremsætter et erstatningskrav vedrørende en immateriel skade, er således forpligtet til ikke alene at godtgøre en overtrædelse af denne forordning, men ligeledes, at denne overtrædelse har forvoldt vedkommende en sådan skade (jf. i denne retning dom af 4.5.2023, Österreichische Post, C-300/21, EU:C:2023:370, præmis 32, 33, 42 og 50, af 20.6.2024, Scalable Capital, C-182/22 og C-189/22, EU:C:2024:531, præmis 41 og 42, og af 20.6.2024, PS (Forkert adresse), C-590/22, EU:C:2024:536, præmis 22, 24, 25 og 27).
25
Da disse tre kumulative betingelser er nødvendige og tilstrækkelige til at have ret til erstatning som omhandlet i databeskyttelsesforordningens artikel 82, stk. 1 (dom af 14.12.2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, præmis 14), kan denne ret ikke gøres betinget af, at det yderligere godtgøres, at den registrerede som defineret i denne forordnings artikel 4, nr. 1), har lidt et uberettiget indgreb i den retlige interesse, som samme forordning har til formål at beskytte, nemlig en sådan persons ret til beskyttelse af sine personoplysninger.
26
Domstolen har desuden fremhævet, at selv om den bestemmelse i databeskyttelsesforordningen, der er blevet overtrådt, tillægger fysiske personer rettigheder, kan en sådan overtrædelse ikke i sig selv udgøre en »immateriel skade« i denne forordnings forstand og begrunde en ret til erstatning herfor, eftersom denne forordning kræver, at de to øvrige betingelser, der er nævnt i nærværende doms præmis 24, også er opfyldt (jf. i denne retning dom af 11.4.2024, juris, C-741/21, EU:C:2024:288, præmis 40).
27
Denne fortolkning af databeskyttelsesforordningens artikel 82, stk. 1, understøttes af 75., 85. og 146. betragtning hertil. Heraf fremgår nemlig for det første, at skade i forbindelse med en ulovlig behandling af personoplysninger kun er en potentiel og ikke en automatisk følge af en sådan behandling, for det andet, at en overtrædelse af databeskyttelsesforordningen ikke nødvendigvis medfører skade, og for det tredje, at der skal være en årsagsforbindelse mellem den pågældende overtrædelse og den skade, som den registrerede har lidt, for at der kan opstå ret til erstatning (jf. i denne retning dom af 4.5.2023, Österreichische Post, C-300/21, EU:C:2023:370, præmis 37).
28
Denne fortolkning er således egnet til at sikre beskyttelsen af personoplysninger som en grundlæggende rettighed, der er fastsat i chartrets artikel 8, stk. 1, som første betragtning til databeskyttelsesforordningen henviser til.
29
På baggrund af det ovenstående skal det første spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, sammenholdt med chartrets artikel 8, stk. 1, skal fortolkes således, at en overtrædelse af bestemmelserne i denne forordning ikke i sig selv er tilstrækkelig til at udgøre »skade« som omhandlet i artikel 82, stk. 1.
Det andet spørgsmål
30
Med det andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at en undskyldning på grundlag af denne bestemmelse kan anses for at udgøre en passende erstatning for immateriel skade, heriblandt når det er umuligt at genoprette den situation, der forelå, før skaden indtraf.
31
Det følger af fast retspraksis, at det i medfør af princippet om procesautonomi tilkommer hver enkelt medlemsstat i sin interne retsorden at regulere de processuelle aspekter vedrørende sagsanlæg til sikring af beskyttelsen af borgernes rettigheder, dog på den betingelse, at de pågældende regler ikke i situationer, der hører under EU-retten, er mindre gunstige end dem, som regulerer tilsvarende situationer, der er underlagt national ret (ækvivalensprincippet), og at de i praksis ikke umuliggør eller uforholdsmæssigt vanskeliggør udøvelsen af rettigheder, der er tillagt ved EU-retten (effektivitetsprincippet) (dom af 4.5.2023, Österreichische Post, C-300/21, EU:C:2023:370, præmis 53, og af 20.6.2024, Scalable Capital, C-182/22 og C-189/22, EU:C:2024:531, præmis 32).
32
Eftersom databeskyttelsesforordningen ikke indeholder bestemmelser, der har til formål at fastlægge reglerne om fastsættelse af den erstatning, der skal betales i henhold til den ret til erstatning, der er fastsat i denne forordning artikel 82, skal de nationale retter i det foreliggende tilfælde anvende den enkelte medlemsstats nationale regler vedrørende den økonomiske erstatnings omfang, for så vidt som dette sker under overholdelse af det EU-retlige ækvivalensprincip og det EU-retlige effektivitetsprincip (jf. i denne retning dom af 4.5.2023, Österreichische Post, C-300/21, EU:C:2023:370, præmis 54 og 599, af 20.6.2024, Scalable Capital, C-182/22 og C-189/22, EU:C:2024:531, præmis 27 og 33, og af 20.6.2024, PS (Forkert adresse), C-590/22, EU:C:2024:536, præmis 40).
33
Hvad i denne henseende angår overholdelsen af ækvivalensprincippet råder Domstolen ikke over nogen oplysninger, der giver anledning til at antage, at dette princip vil få praktisk betydning i hovedsagen.
34
Hvad angår overholdelsen af effektivitetsprincippet indebærer den omstændighed, at den i databeskyttelsesforordningens artikel 82 omhandlede ret til erstatning har en rent kompenserende funktion, at kriterierne for fastsættelsen af den erstatning, der skal betales i henhold til denne artikel, skal fastsættes i hver enkelt medlemsstat i dennes retsorden, forudsat at erstatningen er fuld, uden at det med henblik på en sådan fuldstændig kompensation er nødvendigt at pålægge betaling af erstatning med karakter af straf (jf. i denne retning dom af 4.5.2023, Österreichische Post, C-300/21, EU:C:2023:370, præmis 57 og 58, af 20.6.2024, Scalable Capital, C-182/22 og C-189/22, EU:C:2024:531, præmis 23, 24, 35, 36 og 43, og af 20.6.2024, PS (Forkert adresse), C-590/22, EU:C:2024:536, præmis 42).
35
Domstolen har i øvrigt anerkendt, at når den skade, som den registrerede har lidt, ikke er alvorlig, kan en national ret kompensere for skaden ved at tilkende den registrerede en ubetydelig erstatning, forudsat at denne beskedne erstatning gør det muligt fuldstændigt at kompensere for den skade, der er forvoldt, hvilket det tilkommer den forelæggende ret at efterprøve (jf. i denne retning dom af 20.6.2024, Scalable Capital, C-182/22 og C-189/22, EU:C:2024:531, præmis 46).
36
Ligeledes er databeskyttelsesforordningens artikel 82, stk. 1, ikke til hinder for, at en undskyldning kan udgøre den eneste form for erstatning eller en erstatning, der ledsager den immaterielle skade, således som det i det foreliggende tilfælde er fastsat i artikel 14 loven af 2005, forudsat at en sådan form for erstatning er i overensstemmelse med ækvivalensprincippet og effektivitetsprincippet, navnlig henset til, at den skal gøre det muligt fuldt ud at erstatte den immaterielle skade, der konkret er lidt som følge af overtrædelsen af denne forordning, hvilket det tilkommer den forelæggende ret at efterprøve under hensyn til omstændighederne i det enkelte tilfælde.
37
Henset til ovenstående betragtninger skal det andet spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at en undskyldning på grundlag af denne bestemmelse kan anses for at udgøre en passende erstatning for immateriel skade, heriblandt når det er umuligt at genoprette den situation, der forelå, før skaden indtraf, forudsat at denne erstatning gør det muligt fuldstændigt at kompensere for den skade, som den registrerede har lidt.
Det tredje spørgsmål
38
Med det tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for, at der kan tages hensyn til holdningen og begrundelsen hos den dataansvarlige med henblik på i givet fald at tildele den registrerede en erstatning, der er lavere end den skade, som den pågældende konkret har lidt.
39
For det første fremgår det af databeskyttelsesforordningens artikel 83, sammenholdt med 148. betragtning hertil, at der ved afgørelsen af, om der skal pålægges en administrativ bøde, og ved fastsættelsen af dens størrelse skal tages hensyn til »skærpende eller formildende faktorer«, heriblandt til kriterierne vedrørende holdningen og begrundelsen hos den dataansvarlige. Disse kriterier er derimod ikke nævnt i denne forordnings artikel 82, og i øvrigt heller ikke i 146. betragtning hertil, der specifikt vedrører retten til erstatning omhandlet i artikel 82.
40
Den manglende henvisning til sådanne kriterier skyldes den omstændighed, at databeskyttelsesforordningens artikel 82 udelukkende har en kompenserende funktion, for så vidt som en erstatning, navnlig økonomisk, på grundlag af artikel 82 skal gøre det muligt fuldt ud at kompensere for den lidte skade i modsætning til andre bestemmelser i denne forordning, som ligeledes findes i forordningens kapitel VIII, nemlig artikel 83 og 84, der for deres vedkommende i det væsentlige har et strafformål, idet de giver mulighed for henholdsvis at pålægge administrative bøder og andre sanktioner (jf. i denne retning dom af 4.5.2023, Österreichische Post, C-300/21, EU:C:2023:370, præmis 38 og 40, og af 20.6.2024, Scalable Capital, C-182/22 og C-189/22, EU:C:2024:531, præmis 22).
41
Henset til de forskelle i ordlyd og formål, der er mellem databeskyttelsesforordningens artikel 82 læst i lyset af 146. betragtning til forordningen og denne forordnings artikel 83 læst i lyset af 148. betragtning til forordningen, kan det ikke lægges til grund, at de vurderingskriterier, der er specifikt fastsat i denne artikel 83, finder analog anvendelse inden for rammerne af denne artikel 82 (dom af 20.6.2024, PS (Forkert adresse), C-590/22, EU:C:2024:536, præmis 43 og den deri nævnte retspraksis). Denne konstatering gælder navnlig ved fastsættelsen af det erstatningsbeløb, der skal betales for en skade i henhold til den nævnte artikel 82 (jf. i denne retning dom af 20.6.2024, PS (Forkert adresse), C-590/22, EU:C:2024:536, præmis 39 og 44), og mere generelt med henblik på fastlæggelsen af formen, økonomisk eller anden, og niveauet for en sådan erstatning.
42
For det andet udelukker den udelukkende kompenserende funktion af retten til erstatning, der er fastsat i databeskyttelsesforordningens artikel 82, stk. 1, at der tages hensyn til graden af alvor og den eventuelt forsætlige karakter af overtrædelsen af denne forordning, som den dataansvarlige har begået, ved fastsættelsen af erstatningen på grundlag af den nævnte bestemmelse (jf. i denne retning dom af 20.6.2024, Scalable Capital, C-182/22 og C-189/22, EU:C:2024:531, præmis 28-30).
43
Henset til den omstændighed, at denne ret til erstatning udelukkende har en kompenserende og ikke straffende funktion, kan alvoren af en sådan overtrædelse ikke påvirke størrelsen af den erstatning, der tildeles i henhold til artikel 82, stk. 1, og erstatningsbeløbet kan ikke fastsættes på et niveau, der overstiger fuld erstatning for skade (jf. i denne retning dom af 20.6.2024, PS (Forkert adresse), C- 590/22, EU:C:2024:536, præmis 41 og den deri nævnte retspraksis). Ved fastsættelsen af størrelsen af den økonomiske erstatning skal der nemlig alene tages hensyn til den skade, som den registrerede konkret har lidt (jf. i denne retning dom af 11.4.2024, juris, C-741/21, EU:C:2024:288, præmis 64).
44
På samme måde vil den udelukkende kompenserende funktion af artikel 82, stk. 1, ikke kunne anses for opfyldt, hvis der tages hensyn til holdningen og begrundelsen hos den dataansvarlige ved fastsættelsen af, hvilken form for erstatning der skal tilkendes på grundlag af denne bestemmelse, eller ved tilkendelsen af en »lavere« erstatning end fuld erstatning for den skade, som den registrerede har lidt, således som den forelæggende ret i den foreliggende sag har forudset.
45
Henset til ovenstående betragtninger skal det tredje spørgsmål besvares med, at databeskyttelsesforordningens artikel 82, stk. 1, skal fortolkes således, at denne bestemmelse er til hinder for, at der kan tages hensyn til holdningen og begrundelsen hos den dataansvarlige med henblik på i givet fald at tildele den registrerede en erstatning, der er lavere end den skade, som den pågældende konkret har lidt.
Sagsomkostninger
46
Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Ottende Afdeling) for ret:
1)
Artikel 82, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), sammenholdt med artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder,
skal fortolkes således, at
en overtrædelse af bestemmelserne i denne forordning ikke i sig selv er tilstrækkelig til at udgøre »skade« som omhandlet i artikel 82, stk. 1.
2)
Artikel 82, stk. 1, i forordning 2016/679
skal fortolkes således, at
en undskyldning på grundlag af denne bestemmelse kan anses for at udgøre en passende erstatning for immateriel skade, heriblandt når det er umuligt at genoprette den situation, der forelå, før skaden indtraf, forudsat at denne erstatning gør det muligt fuldstændigt at kompensere for den skade, som den registrerede har lidt.
3)
Artikel 82, stk. 1, i forordning 2016/679
skal fortolkes således, at
denne bestemmelse er til hinder for, at der kan tages hensyn til holdningen og begrundelsen hos den dataansvarlige med henblik på i givet fald at tildele den registrerede en erstatning, der er lavere end den skade, som den pågældende konkret har lidt.
Underskrifter
(
*1
) – Processprog: lettisk.