62021CJ0340
TIESAS SPRIEDUMS (trešā palāta)
2023. gada 14. decembrī (
*1
)
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 5. pants – Šīs apstrādes principi – 24. pants – Pārziņa atbildība – 32. pants – Pasākumi, kas īstenoti apstrādes drošības garantēšanai – Šādu pasākumu atbilstīguma novērtēšana – Pārbaudes tiesā apjoms – Pierādījumu iegūšana – 82. pants – Tiesības uz kompensāciju un atbildība – Pārziņa iespējama atbrīvošana no atbildības trešo personu izdarīta pārkāpuma gadījumā – Prasība atlīdzināt nemateriālo kaitējumu, kas pamatota ar bažām par personas datu iespējami ļaunprātīgu izmantošanu
Lietā C‑340/21
par lūgumu sniegt prejudiciālu nolēmumu atbilstoši LESD 267. pantam, ko Varhoven administrativen sad (Augstākā administratīvā tiesa, Bulgārija) iesniegusi ar 2021. gada 14. maija lēmumu un kas Tiesā reģistrēts 2021. gada 2. jūnijā, tiesvedībā
VB
pret
Natsionalna agentsia za prihodite,
TIESA (trešā palāta)
šādā sastāvā: palātas priekšsēdētāja K. Jirimēe [K. Jürimäe], tiesneši N. Pisarra [N. Piçarra], M. Safjans [M. Safjan], N. Jēskinens [N. Jääskinen] (referents) un M. Gavalecs [M. Gavalec],
ģenerāladvokāts: Dž. Pitrucella [G. Pitruzzella],
sekretārs: A. Kalots Eskobars [A. Calot Escobar],
ņemot vērā rakstveida procesu,
ņemot vērā apsvērumus, ko snieguši:
–
Natsionalna agentsia za prihodite vārdā – R. Spetsov,
–
Bulgārijas valdības vārdā – M. Georgieva un L. Zaharieva, pārstāves,
–
Čehijas Republikas valdības vārdā – O. Serdula, M. Smolek un J. Vláčil, pārstāvji,
–
Īrijas vārdā – M. Browne, Chief State Solicitor, A. Joyce, J. Quaney un M. Tierney, pārstāvji, kuriem palīdz D. Fennelly, BL,
–
Itālijas valdības vārdā – G. Palmieri, pārstāve, kam palīdz E. De Bonis, avvocato dello Stato,
–
Portugāles valdības vārdā – P. Barros da Costa, A. Pimenta, J. Ramos un C. Vieira Guerra, pārstāvji,
–
Eiropas Komisijas vārdā – A. Bouchagiar, H. Kranenborg un N. Nikolova, pārstāvji,
noklausījusies ģenerāladvokāta secinājumus 2023. gada 27. aprīļa tiesas sēdē,
pasludina šo spriedumu.
Spriedums
1
Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 5. panta 2. punktu, 24. un 32. pantu, kā arī 82. panta 1.–3. punktu.
2
Šis lūgums ir iesniegts saistībā ar tiesvedību starp fizisku personu VB un Natsionalna agentsia za prihodite (Valsts ieņēmumu dienests, Bulgārija; turpmāk tekstā – “NAP”) par nemateriālā kaitējuma atlīdzību, kas minētajai personai esot nodarīts tādēļ, ka šī valsts iestāde neesot izpildījusi tai kā personas datu pārzinim uzliktos juridiskos pienākumus.
Atbilstošās tiesību normas
3
VDAR 4., 10., 11., 74., 76., 83., 85. un 146. apsvērums ir formulēti šādi:
“(4)
[..] Šajā regulā ir ievērotas visas pamattiesības, brīvības un principi, kas atzīti [Eiropas Savienības Pamattiesību hartā] un ietverti Līgumos, jo īpaši privātās un ģimenes dzīves, mājokļa un saziņas neaizskaramība, personas datu aizsardzība, [..] tiesības uz efektīvu tiesību aizsardzību un taisnīgu tiesu [..].
[..]
(10)
Lai nodrošinātu konsekventu un augsta līmeņa aizsardzību fiziskām personām un novērstu šķēršļus personu datu apritei [Eiropas] Savienībā, fiziskas personas tiesību un brīvību aizsardzības līmenim attiecībā uz šādu datu apstrādi visās dalībvalstīs vajadzētu būt vienādam. Visā Savienībā būtu jānodrošina noteikumu par fiziskas personas pamattiesību un brīvību aizsardzību attiecībā uz personas datu apstrādi vienveidīga piemērošana. [..]
(11)
Lai personas datu aizsardzība visā Savienībā būtu efektīva, nepieciešams stiprināt un sīki noteikt datu subjektu tiesības un to personu pienākumus, kas apstrādā personas datus un nosaka to apstrādi [..].
[..]
(74)
Būtu jāparedz pārziņa pienākumi un atbildība par ikvienu personas datu apstrādi, ko veic pārzinis vai pārziņa vārdā. Jo īpaši, pārzinim būtu jāuzliek pienākums īstenot piemērotus un efektīvus pasākumus, un viņam vajadzētu spēt uzskatāmi parādīt, ka apstrādes darbības notiek saskaņā ar šo regulu, tostarp, ka pasākumi ir iedarbīgi. Minētajos pasākumos būtu jāņem vērā apstrādes raksturs, piemērošanas joma, konteksts un nolūki un risks, ko tā rada fizisku personu tiesībām un brīvībām.
[..]
(76)
Riska iespējamība un nopietnība attiecībā uz datu subjekta tiesībām un brīvībām būtu jānosaka, atsaucoties uz apstrādes raksturu, piemērošanas jomu, kontekstu un nolūkus. Risks būtu jāizvērtē, pamatojoties uz objektīvu novērtējumu, ar ko nosaka, vai datu apstrādes darbības ietver risku vai augstu risku.
[..]
(83)
Lai saglabātu drošību un novērstu tādu apstrādi, kurā tiek pārkāpta šī regula, pārzinim vai apstrādātājam būtu jānovērtē apstrādei raksturīgie riski un jāīsteno pasākumi šo risku mazināšanai, piemēram, šifrēšana. Minētajiem pasākumiem, ņemot vērā tehniskās iespējas un īstenošanas izmaksas, būtu jānodrošina atbilstošs drošības līmenis, tostarp konfidencialitāte, attiecībā uz apstrādei raksturīgo risku un aizsargājamo personas datu īpatnībām. Novērtējot datu drošības risku, vērā būtu jāņem riski, ko rada personas datu apstrāde, piemēram, nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem, kas var izraisīt fizisku, materiālu vai nemateriālu kaitējumu.
[..]
(85)
Ja uz personas datu aizsardzības pārkāpumu nereaģē pienācīgi un savlaicīgi, tas fiziskām personām var izraisīt tādu fizisku, materiālu vai nemateriālu kaitējumu kā, piemēram, iespējas kontrolēt savus personas datus zaudēšana vai to tiesību ierobežošana, diskriminācija, identitātes zādzība vai viltošana, finansiāls zaudējums, neatļauta pseidonimizācijas atcelšana, kaitējums reputācijai, ar dienesta noslēpumu aizsargātu personas datu konfidencialitātes zaudēšana vai jebkāda cita attiecīgajai fiziskajai personai īpaši nelabvēlīga ekonomiskā vai sociālā situācija. Tādēļ, tiklīdz pārzinim ir kļuvis zināms, ka noticis personas datu aizsardzības pārkāpums, pārzinim bez nepamatotas kavēšanās [..] būtu jāpaziņo [..] uzraudzības iestādei [..].
[..]
(146)
Pārzinim vai apstrādātājam būtu jākompensē jebkurš kaitējums, kurš personai var būt nodarīts tādas apstrādes rezultātā, kura pārkāpj šo regulu. Pārzinis vai apstrādātājs būtu jāatbrīvo no atbildības, ja tas pierāda, ka nekādā veidā nav atbildīgs par kaitējumu. Kaitējuma jēdziens būtu plaši jāinterpretē, ņemot vērā Tiesas judikatūru, tādā veidā, kas pilnībā atbilst šīs regulas mērķiem. Tas neskar prasības par kaitējumu, kas izriet no citu Savienības vai dalībvalstu tiesību aktu noteikumu pārkāpumiem. Apstrāde, kas pārkāpj šo regulu, ietver arī apstrādi, kas pārkāpj deleģētos un īstenošanas aktus, kuri pieņemti saskaņā ar šo regulu un dalībvalsts tiesību aktiem, kuros precizēti šīs regulas noteikumi. Datu subjektiem būtu jāsaņem pilna un iedarbīga kompensācija par tiem nodarīto kaitējumu. [..]”
4
Šīs regulas 4. pantā “Definīcijas” ir noteikts:
“Šajā regulā:
1)
“personas dati” ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu (“datu subjekts”); [..]
2)
“apstrāde” ir jebkura darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem un ko piemēro personas datiem vai datu kopumam [..];
[..]
7)
“pārzinis” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus; [..]
[..]
10)
“trešā persona” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai struktūra, kura nav datu subjekts, pārzinis, apstrādātājs un personas, kuras pārziņa vai apstrādātāja tiešā pakļautībā ir pilnvarotas apstrādāt personas datus;
[..]
12)
“personas datu aizsardzības pārkāpums” ir drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem
[..].”
5
Minētās regulas 5. pantā “Personas datu apstrādes principi” ir paredzēts:
“1.   Personas dati:
a)
tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”);
[..]
f)
tiek apstrādāti tādā veidā, lai tiktu nodrošināta atbilstoša personas datu drošība, tostarp aizsardzība pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu, izmantojot atbilstošus tehniskos vai organizatoriskos pasākumus (“integritāte un konfidencialitāte”).
2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”
6
Saskaņā ar šīs pašas regulas 24. pantu “Pārziņa atbildība”:
“1.   Ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.
2.   Ja tas ir samērīgi attiecībā uz apstrādes darbībām, 1. punktā minētajos pasākumos ietver to, ka pārzinis īsteno atbilstīgu politiku attiecībā uz datu aizsardzību.
3.   Atbilstību apstiprinātam rīcības kodeksam, kā minēts 40. pantā, vai apstiprinātam sertifikācijas mehānismam, kā minēts 42. pantā, var izmantot kā elementu, ar ko apliecina pārziņa pienākumu izpildi.”
7
VDAR 32. pants “Apstrādes likumīgums” nosaka:
“1.   Ņemot vērā tehn[oloģiju] līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes risku attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas atbilst riskam, tostarp attiecīgā gadījumā cita starpā:
a)
personas datu pseidonimizāciju un šifrēšanu;
b)
spēju nodrošināt apstrādes sistēmu un pakalpojumu nepārtrauktu konfidencialitāti, integritāti, pieejamību un noturību;
c)
spēju laicīgi atjaunot personas datu pieejamību un piekļuvi tiem gadījumā, ja ir noticis fizisks vai tehnisks negadījums;
d)
procesu regulārai tehnisko un organizatorisko pasākumu efektivitātes testēšanai, izvērtēšanai un novērtēšanai, lai nodrošinātu apstrādes drošību.
2.   Novērtējot atbilstīgo drošības līmeni, ņem vērā jo īpaši riskus, ko rada apstrāde, jo īpaši nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.
3.   Atbilstību apstiprinātam rīcības kodeksam, kā minēts 40. pantā, vai apstiprinātam sertifikācijas mehānismam, kā minēts 42. pantā, var izmantot kā elementu, ar ko apliecina šā panta 1. punktā izklāstīto prasību izpildi.
[..]”
8
Šīs regulas 79. panta “Tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini vai apstrādātāju” 1. punkts noteic:
“Neskarot pieejamos administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, tai skaitā tiesības iesniegt sūdzību uzraudzības iestādē, ievērojot 77. pantu, ikvienam datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja viņš uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas tādas viņa personas datu apstrādes rezultātā, kura neatbilst šai regulai.”
9
Minētās regulas 82. panta “Tiesības uz kompensāciju un atbildība” 1.–3. punktā ir noteikts:
“1.   Jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu.
2.   Jebkurš apstrādē iesaistītais pārzinis ir atbildīgs par kaitējumu, kas nodarīts ar apstrādi, kura pārkāpj šo regulu. [..]
3.   Pārzini vai apstrādātāju atbrīvo no atbildības saskaņā ar 2. punktu, ja tas pierāda, ka nekādā veidā nav atbildīgs par notikumu, ar ko nodarīts attiecīgais kaitējums.”
Pamatlieta un prejudiciālie jautājumi
10
NAP ir Bulgārijas finanšu ministra padotībā esoša iestāde. Pildot savus uzdevumus, kas citastarp ietver publisko līdzekļu uzskaiti, glabāšanu un iekasēšanu, tā ir personas datu apstrādes pārzinis VDAR 4. panta 7. punkta izpratnē.
11
2019. gada 15. jūlijā plašsaziņas līdzekļi atklāja, ka ir notikusi neatļauta piekļuve NAP IT sistēmai un ka pēc šī kiberuzbrukuma tīmeklī ir publicēti minētajā sistēmā ietvertie personas dati.
12
Šie notikumi skāra vairāk nekā sešus miljonus fizisku personu – Bulgārijas vai ārvalstu pilsoņus. Daži simti no tiem, tostarp prasītāja pamatlietā, cēla pret NAP prasības atlīdzināt nemateriālo kaitējumu, kas esot radies, izpaužot to personas datus.
13
Šajā kontekstā prasītāja pamatlietā cēla prasību Administrativen sad Sofia‑grad (Sofijas pilsētas Administratīvā tiesa, Bulgārija), lai panāktu, ka NAP viņai izmaksā 1000 Bulgārijas levu (BGN) (aptuveni 510 EUR) kā kaitējuma atlīdzību, pamatojoties uz VDAR 82. pantu un Bulgārijas tiesību normām. Šī lūguma pamatojumam tā apgalvoja, ka tai ir nodarīts nemateriāls kaitējums, kas izriet no personas datu aizsardzības pārkāpuma VDAR 4. panta 12. punkta izpratnē, konkrētāk, drošības pārkāpuma, kurš esot radies tāpēc, ka NAP nav izpildījis tam citastarp šīs regulas 5. panta 1. punkta f) apakšpunktā, kā arī 24. un 32. pantā paredzētos pienākumus. Tai nodarītais morālais kaitējums izpaužoties kā bažas, ka personas dati, kas publicēti bez viņas piekrišanas, nākotnē varētu tikt ļaunprātīgi izmantoti vai ka pret viņu varētu tikt vērsta šantāža, uzbrukums vai pat nolaupīšana.
14
Aizstāvībai NAP vispirms apgalvoja, ka prasītāja pamatlietā tam nav lūgusi informāciju, kādi tieši dati ir tikuši izpausti. Pēc tam NAP iesniedza dokumentus, lai pierādītu, ka tas iepriekš ir veicis visus vajadzīgos pasākumus, lai novērstu pārkāpumus pret tās datorsistēmā esošajiem personas datiem, kā arī vēlāk ierobežotu pārkāpuma sekas un lai nomierinātu iedzīvotājus. Turklāt NAP uzskata, ka nepastāv cēloņsakarība starp apgalvoto nemateriālo kaitējumu un minēto pārkāpumu. Visbeidzot, NAP norādīja, ka, tā kā to pašu ir skārusi personu, kas nebija tās darbinieki, ļaunprātība, to nevar saukt pie atbildības par šī aizskāruma radītajām nelabvēlīgajām sekām.
15
Ar 2020. gada 27. novembra lēmumu Administrativen sad Sofia‑grad (Sofijas pilsētas Administratīvā tiesa) noraidīja prasītājas pamatlietā prasību. Šī tiesa uzskatīja, pirmkārt, ka neatļauta piekļuve NAP datubāzei ir radusies trešo personu īstenotas sistēmu uzlaušanas rezultātā un, otrkārt, ka prasītāja pamatlietā nav pierādījusi NAP bezdarbību attiecībā uz drošības pasākumu veikšanu. Turklāt tā uzskatīja, ka šai prasītājai nav nodarīts nemateriālais kaitējums, kas radītu tiesības uz kompensāciju.
16
Prasītāja pamatlietā par minēto nolēmumu iesniedza kasācijas sūdzību Varhoven administrativen sad (Augstākā administratīvā tiesa, Bulgārija), kas ir iesniedzējtiesa šajā lietā. Kasācijas sūdzības pamatojumam tā apgalvo, ka pirmās instances tiesa ir pieļāvusi tiesību kļūdu, sadalot pierādīšanas pienākumu saistībā ar NAP veiktajiem drošības pasākumiem, un ka pēdējais minētais nav pierādījis, ka šajā ziņā tas nebija pieļāvis bezdarbību. Turklāt prasītāja pamatlietā apgalvo, ka bažas par viņas personas datu iespējamu ļaunprātīgu izmantošanu nākotnē ir reāls, nevis hipotētisks nemateriālais kaitējums. NAP aizstāvēdamies apstrīd visus šos argumentus.
17
Vispirms iesniedzējtiesa apsver iespējamību, ka personas datu aizsardzības pārkāpuma konstatēšana pati par sevi ļauj secināt, ka šo datu pārziņa veiktie pasākumi nav “atbilstoši” VDAR 24. un 32. panta izpratnē.
18
Tomēr gadījumā, ja šis konstatējums nebūtu pietiekams, lai izdarītu šādu secinājumu, tā jautā, pirmkārt, par tās pārbaudes apjomu, kura valsts tiesām ir jāveic, lai novērtētu attiecīgo pasākumu atbilstību, un, otrkārt, par noteikumiem par pierādījumu iegūšanu, kas ir jāpiemēro šajā ziņā gan attiecībā uz pierādīšanas pienākumu, gan uz pierādīšanas līdzekļiem, it īpaši, ja šajās tiesās ir celta prasība par kaitējuma atlīdzību, pamatojoties uz šīs regulas 82. pantu.
19
Turpinājumā šī tiesa vēlas noskaidrot, vai, ņemot vērā minētās regulas 82. panta 3. punktu, tas, ka personas datu aizsardzības pārkāpums izriet no trešo personu rīcības, šajā gadījumā kiberuzbrukuma, ir faktors, kas šo datu pārzini sistemātiski atbrīvo no atbildības par datu subjektam nodarīto kaitējumu.
20
Visbeidzot minētā tiesa jautā, vai personas paustās bažas, ka tās dati varētu tikt ļaunprātīgi izmantoti nākotnē – šajā gadījumā pēc neatļautas piekļuves un pēc tam, kad kibernoziedznieki ir tos izpauduši –, pašas par sevi var būt “nemateriāls kaitējums” VDAR 82. panta 1. punkta izpratnē. Apstiprinošas atbildes gadījumā šī persona būtu atbrīvota no pienākuma pierādīt, ka trešās personas – vēl pirms celta prasība par kaitējuma atlīdzību – ir nelikumīgi izmantojušas šos datus, piemēram, viltojušas tās identitāti.
21
Šajos apstākļos Varhoven administrativen sad (Augstākā administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1)
Vai [VDAR] 24. un 32. pants ir jāinterpretē tādējādi, ka ar konstatējumu par to, ka personas datu neatļautu izpaušanu vai piekļuvi tiem [VDAR] 4. panta 12. punkta izpratnē ir izdarījušas personas, kuras nav pārziņa iestādes darbinieki un nav pakļautas tās kontrolei, ir pietiekami, lai varētu atzīt, ka pārziņa veiktie tehniskie un organizatoriskie pasākumi nav atbilstīgi?
2)
Ja atbilde uz pirmo jautājumu būtu noliedzoša, kas un kādā apjomā ir jāizvērtē, veicot likumības pārbaudi tiesā saistībā ar vērtējumu par to, vai [VDAR] 32. pantā minētie tehniskie un organizatoriskie pasākumi, kurus veicis pārzinis, ir atbilstīgi?
3)
Ja atbilde uz pirmo jautājumu būtu noliedzoša, vai pārskatatbildības princips [VDAR] 5. panta 2. punkta un [šīs regulas] 24. panta – kopsakarā ar tās 74. apsvērumu – izpratnē ir jāinterpretē tādējādi, ka tiesvedībā atbilstoši [minētās regulas] 82. panta 1. punktam pārzinim ir pienākums pierādīt, ka tehniskie un organizatoriskie pasākumi, kas veikti saskaņā ar [šīs pašas regulas] 32. pantu, ir atbilstīgi?
Vai eksperta atzinuma saņemšana ir uzskatāma par nepieciešamu un pietiekamu pierādījumu tam, lai konstatētu, vai pārziņa veiktie tehniskie un organizatoriskie pasākumi tādā situācijā kā šeit aplūkojamā bija atbilstīgi, ja neatļautā piekļuve personas datiem un to neatļautā izpaušana ir “hakeru uzbrukuma” sekas?
4)
Vai [VDAR] 82. panta 3. punkts ir jāinterpretē tādējādi, ka personas datu neatļautā izpaušana vai piekļuve tiem [VDAR] 4. panta 12. punkta izpratnē, ko, izmantojot “hakeru uzbrukumu”, ir veikušas personas, kuras nav pārziņa iestādes darbinieki un kuras nav pakļautas tās kontrolei, kā tas noticis izskatāmajā lietā, ir uzskatāma par notikumu, par ko pārzinis nekādā veidā nav atbildīgs un kas attaisno tā atbrīvošanu no atbildības?
5)
Vai [VDAR] 82. panta 1. un 2. punkts – kopsakarā ar [šīs regulas] 85. un 146. apsvērumu – ir jāinterpretē tādējādi, ka tādā situācijā kā šeit aplūkojamā, kad noticis personas datu aizsardzības pārkāpums, kas izpaužas kā neatļauta piekļuve personas datiem un to neatļauta izpaušana “hakeru uzbrukuma” rezultātā, ja šāda ļaunprātīga izmantošana nav konstatēta un/vai ja datu subjektam nav nodarīts citāds kaitējums, plaši interpretējamajā nemateriālā kaitējuma jēdzienā ietilpst – un dod tiesības saņemt attiecīgu kompensāciju – jau datu subjekta rūpes, bažas un bailes par personas datu iespējamu ļaunprātīgu izmantošanu nākotnē?”
Par prejudiciālajiem jautājumiem
Par pirmo jautājumu
22
Ar pirmo jautājumu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 24. un 32. pants ir jāinterpretē tādējādi, ka ar personas datu neatļautu izpaušanu vai “trešo personu” šīs regulas 4. panta 10. punkta izpratnē neatļautu piekļuvi šādiem datiem ir pietiekami, lai uzskatītu, ka attiecīgā pārziņa īstenotie tehniskie un organizatoriskie pasākumi nav “atbilstoši” 24. un 32. panta izpratnē.
23
Vispirms jāatgādina, ka saskaņā ar pastāvīgo judikatūru tādas Savienības tiesību normas teksts kā VDAR 24. un 32. pants, kurā tās satura un piemērošanas jomas noskaidrošanai nav nevienas tiešas norādes uz dalībvalstu tiesībām, parasti visā Savienībā ir interpretējams autonomi un vienveidīgi, ņemot vērā it īpaši attiecīgās tiesību normas formulējumu, tās mērķus un kontekstu, kādā tā ietilpst (šajā nozīmē skat. spriedumus, 1984. gada 18. janvāris, Ekro, 327/82, EU:C:1984:11, 11. punkts; 2019. gada 1. oktobris, Planet49, C‑673/17, EU:C:2019:801, 47. un 48. punkts, kā arī 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 29. punkts).
24
Pirmkārt, attiecībā uz atbilstošo tiesību normu formulējumu ir jānorāda, ka VDAR 24. pantā personas datu pārzinim ir paredzēts vispārējs pienākums īstenot atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka minētā apstrāde tiek veikta saskaņā ar šo regulu, un lai to varētu pierādīt.
25
Tālab šī 24. panta 1. punktā ir uzskaitīti vairāki kritēriji, kas jāņem vērā, lai novērtētu šādu pasākumu atbilstīgumu, proti, apstrādes raksturs, apmērs, konteksts un nolūki, kā arī dažādas iespējamības un nopietnības pakāpes riski attiecībā uz fizisku personu tiesībām un brīvībām. Šajā normā ir piebilsts, ka minētos pasākumus vajadzības gadījumā pārskata un atjaunina.
26
Šai nolūkā VDAR 32. pantā ir precizēti pārziņa un iespējamā apstrādātāja pienākumi attiecībā uz šīs apstrādes drošību. Tā šī panta 1. punktā ir noteikts, ka dalībvalstīm ir jāīsteno atbilstoši tehniskie un organizatoriskie pasākumi, lai nodrošinātu šī sprieduma iepriekšējā punktā minētajiem riskiem atbilstošu drošības līmeni, ņemot vērā pašreizējās tehnoloģijas, īstenošanas izmaksas, kā arī attiecīgās apstrādes raksturu, apmēru, kontekstu un nolūkus.
27
Tāpat minētā panta 2. punktā ir noteikts, ka, novērtējot atbilstīgu drošības līmeni, īpaši ņem vērā apstrādes radītos riskus, ko citastarp rada personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai neatļauta piekļuve šādiem datiem nejaušā vai nelikumīgā veidā.
28
Turklāt gan šīs regulas 24. panta 3. punktā, gan tās 32. panta 3. punktā ir norādīts, ka pārzinis vai apstrādātājs var pierādīt, ka ir izpildījis šo pantu 1. punkta prasības, pamatojoties uz to, ka pārzinis vai apstrādātājs piemēro apstiprinātu rīcības kodeksu vai apstiprinātu sertifikācijas mehānismu, kā paredzēts minētās regulas 40. un 42. pantā.
29
VDAR 32. panta 1. un 2. punktā ietvertā atsauce uz “drošības līmeni, kas atbilst riskam,” un “atbilstīgu drošības līmeni” liecina par to, ka ar šo regulu ir izveidots riska pārvaldības režīms un ka ar to nekādi netiek mēģināts novērst personas datu aizsardzības pārkāpumu riskus.
30
Tādējādi no VDAR 24. un 32. panta formulējuma izriet, ka šajās tiesību normās pārzinim ir tikai noteikts pienākums veikt tehniskus un organizatoriskus pasākumus, lai, cik vien iespējams, novērstu jebkādu personas datu aizsardzības pārkāpumu. Šādu pasākumu piemērotība ir konkrēti jāizvērtē, pārbaudot, vai šis pārzinis pasākumus ir veicis, ņemot vērā minētajos pantos paredzētos dažādos kritērijus un ar attiecīgo apstrādi saistītās datu aizsardzības vajadzības, kā arī ar šo apstrādi saistītos riskus.
31
Līdz ar to VDAR 24. un 32. pantu nevar saprast tādējādi, ka ar personas datu neatļautu izpaušanu vai trešās personas neatļautu piekļuvi šādiem datiem pietiek, lai secinātu, ka attiecīgā pārziņa veiktie pasākumi nav atbilstoši šo tiesību normu izpratnē, pat neļaujot šim pārzinim sniegt pierādījumus par pretējo.
32
Šāda interpretācija ir nepieciešama vēl jo vairāk tāpēc, ka VDAR 24. pantā ir skaidri paredzēts, ka pārzinim ir jāspēj pierādīt īstenoto pasākumu atbilstību šai regulai, un šī iespēja tam tiktu liegta, ja tiktu pieļauta neatspēkojama prezumpcija.
33
Otrkārt, šādu VDAR 24. un 32. panta interpretāciju apstiprina kontekstuālie un teleoloģiskie elementi.
34
Pirmām kārtām, attiecībā uz kontekstu, kādā iekļaujas šie abi panti, ir jānorāda, ka no VDAR 5. panta 2. punkta izriet, ka pārzinim ir jāspēj pierādīt, ka tas ir ievērojis minētā panta 1. punktā noteiktos personas datu apstrādes principus. Šis pienākums ir pārņemts un precizēts šīs regulas 24. panta 1. un 3. punktā, kā arī 32. panta 3. punktā saistībā ar pienākumu īstenot tehniskus un organizatoriskus pasākumus, lai aizsargātu šādus datus šī pārziņa veiktās apstrādes laikā. Šādam pienākumam pierādīt šo pasākumu atbilstīgumu nebūtu jēgas, ja pārzinim būtu jānovērš jebkāds minēto datu aizskārums.
35
Turklāt VDAR 74. apsvērumā ir uzsvērts, ka ir svarīgi, lai pārzinis īstenotu piemērotus un efektīvus pasākumus un pierādītu apstrādes darbību atbilstību šai regulai, tostarp to pasākumu efektivitāti, kuros būtu jāņem vērā kritēriji, kas saistīti ar attiecīgās apstrādes īpatnībām un ar tās radīto risku un kas arī minēti šīs regulas 24. un 32. pantā.
36
Tāpat saskaņā ar šīs regulas 76. apsvērumu riska iespējamība un nopietnība ir atkarīga no attiecīgās apstrādes rakstura un šis risks būtu jānovērtē objektīvi.
37
Turklāt no VDAR 82. panta 2. un 3. punkta izriet, ka, lai gan pārzinis ir atbildīgs par kaitējumu, ko radījusi apstrāde, kas ir šīs regulas pārkāpums, tas tomēr ir atbrīvots no atbildības, ja tas pierāda, ka par notikumu, kas izraisījis kaitējumu, tas nekādi nav vainojams.
38
Otrām kārtām, šī sprieduma 31. punktā sniegto interpretāciju apstiprina arī VDAR 83. apsvērums, kura pirmajā teikumā ir noteikts, ka, “lai saglabātu drošību un novērstu tādu apstrādi, kurā tiek pārkāpta šī regula, pārzinim vai apstrādātājam būtu jānovērtē apstrādei raksturīgie riski un jāīsteno pasākumi šo risku mazināšanai”. Šādi rīkojoties, Savienības likumdevējs ir paudis savu nodomu “mazināt” personas datu pārkāpuma riskus, neapgalvojot, ka tos būtu iespējams novērst.
39
Ņemot vērā iepriekš izklāstītos apsvērumus, uz pirmo jautājumu ir jāatbild, ka VDAR 24. un 32. pants ir jāinterpretē tādējādi, ka ar personas datu neatļautu izpaušanu vai “trešo personu” šīs regulas 4. panta 10. punkta izpratnē neatļautu piekļuvi šādiem datiem nav pietiekami, lai uzskatītu, ka attiecīgā pārziņa īstenotie tehniskie un organizatoriskie pasākumi nav “atbilstoši” 24. un 32. panta izpratnē.
Par otro jautājumu
40
Ar otro jautājumu iesniedzējtiesa būtībā vaicā, vai VDAR 32. pants ir jāinterpretē tādējādi, ka pārziņa saskaņā ar šo pantu veikto tehnisko un organizatorisko pasākumu atbilstīgums valsts tiesām ir jānovērtē konkrēti, it īpaši ņemot vērā ar attiecīgo apstrādi saistītos riskus.
41
Šajā ziņā jāatgādina, kā uzsvērts atbildē uz pirmo jautājumu, ka VDAR 32. pantā ir prasīts, ka pārzinim – un attiecīgi apstrādātājam – jāveic atbilstoši tehniski un organizatoriski pasākumi, lai nodrošinātu riskam atbilstošu drošības līmeni, ņemot vērā šī panta 1. punktā uzskaitītos izvērtējuma kritērijus. Turklāt šī panta 2. punktā neizsmeļošā veidā ir uzskaitīti vairāki faktori, kas jāņem vērā, lai izvērtētu drošības līmeni, kāds būtu atbilstošs ar attiecīgo apstrādi saistītajiem riskiem.
42
No minētā 32. panta 1. un 2. punkta izriet, ka šādu tehnisku un organizatorisku pasākumu atbilstīgums ir jānovērtē divos posmos. Pirmkārt, ir jāidentificē attiecīgās apstrādes radītie personas datu aizsardzības pārkāpuma riski un to iespējamā ietekme uz fizisku personu tiesībām un brīvībām. Šis vērtējums ir jāveic konkrēti, ņemot vērā identificēto risku iespējamību un to smaguma pakāpi. Otrkārt, ir jāpārbauda, vai pārziņa veiktie pasākumi ir pielāgoti šiem riskiem, ņemot vērā tehnoloģiju līmeni, īstenošanas izmaksas, kā arī šīs apstrādes raksturu, apjomu, kontekstu un nolūkus.
43
Protams, pārzinim ir zināma rīcības brīvība veikt atbilstošus tehniskos un organizatoriskos pasākumus, lai garantētu riskam atbilstošu drošības līmeni, kā prasīts VDAR 32. panta 1. punktā. Tomēr valsts tiesai ir jābūt iespējai pārbaudīt pārziņa veikto sarežģīto vērtējumu un, to darot, pārliecināties, ka tā veiktie pasākumi ir atbilstoši šāda drošības līmeņa garantēšanai.
44
Šāda interpretācija turklāt var nodrošināt, pirmkārt, personas datu aizsardzības efektivitāti, kas uzsvērta šīs regulas 11. un 74. apsvērumā, un, otrkārt, tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini – tās ir aizsargātas ar minētās regulas 79. panta 1. punktu, lasot to kopsakarā ar šīs pašas regulas 4. apsvērumu.
45
Līdz ar to, lai pārbaudītu saskaņā ar VDAR 32. pantu īstenoto tehnisko un organizatorisko pasākumu atbilstīgumu, valsts tiesai ir nevis tikai jākonstatē, kādā veidā attiecīgais pārzinis ir iecerējis izpildīt tam šajā pantā paredzētos pienākumus, bet gan jāpārbauda šie pasākumi pēc būtības, ņemot vērā visus šajā pantā uzskaitītos kritērijus, kā arī konkrētās lietas īpašos apstākļus un pierādījumus, kas šajā ziņā ir šīs tiesas rīcībā.
46
Lai veiktu šādu pārbaudi, ir jāanalizē konkrēta personas datu apstrādātāja īstenoto pasākumu raksturs un saturs, veids, kādā šie pasākumi ir tikuši īstenoti, un to praktiskā ietekme uz drošības līmeni, kas tam bija jāpanāk, ņemot vērā šai apstrādei raksturīgos riskus.
47
Līdz ar to uz otro jautājumu ir jāatbild, ka VDAR 32. pants ir jāinterpretē tādējādi, ka pārziņa saskaņā ar šo pantu īstenoto tehnisko un organizatorisko pasākumu atbilstīgums valsts tiesām ir jānovērtē konkrēti, ņemot vērā ar attiecīgo apstrādi saistītos riskus un novērtējot, vai šo pasākumu raksturs, saturs un īstenošana ir piemēroti šiem riskiem.
Par trešo jautājumu
Par trešā jautājuma pirmo daļu
48
Ar trešā jautājuma pirmo daļu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 5. panta 2. punktā paredzētais un tās 24. pantā konkretizētais pārziņa atbildības princips ir jāinterpretē tādējādi, ka uz šīs regulas 82. pantu balstītā prasībā par kaitējuma atlīdzību attiecīgajam pārzinim ir pienākums pierādīt to drošības pasākumu atbilstīgumu, kurus tas ir īstenojis saskaņā ar minētās regulas 32. pantu.
49
Šajā ziņā, pirmkārt, ir jāatgādina, ka VDAR 5. panta 2. punktā ir noteikts atbildības princips, saskaņā ar kuru pārzinis ir atbildīgs par šā panta 1. punktā izklāstīto personas datu apstrādes principu ievērošanu, un tajā paredzēts, ka minētajam pārzinim ir jāspēj pierādīt, ka šie principi ir ievēroti.
50
Pārzinim saskaņā ar šīs regulas 5. panta 1. punkta f) apakšpunktā noteikto personas datu integritātes un konfidencialitātes principu ir it īpaši jānodrošina, lai šādi dati tiktu apstrādāti tādā veidā, kas garantē to atbilstīgu drošību, tostarp aizsardzību pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu, izmantojot atbilstīgus tehniskus vai organizatoriskus pasākumus, un tam ir jāspēj pierādīt, ka šis princips ir ievērots.
51
Tāpat jānorāda, ka gan VDAR 24. panta 1. punktā, lasot to kopsakarā ar tās 74. apsvērumu, gan šīs regulas 32. panta 1. punktā pārzinim ir noteikts pienākums attiecībā uz jebkuru personas datu apstrādi, ko veic pats pārzinis vai kas tiek veikta tā vārdā, īstenot atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu pierādīt, ka apstrāde tiek veikta saskaņā ar minēto regulu.
52
No VDAR 5. panta 2. punkta, 24. panta 1. punkta un 32. panta 1. punkta formulējuma nepārprotami izriet, ka pienākums pierādīt, ka personas dati tiek apstrādāti tā, lai nodrošinātu to pienācīgu drošību šīs regulas 5. panta 1. punkta f) apakšpunkta un 32. panta izpratnē, ir attiecīgajam pārzinim (pēc analoģijas skat. spriedumus, 2023. gada 4. maijs, Bundesrepublik Deutschland (Tiesu elektroniskā pastkaste), C‑60/22, EU:C:2023:373, 52. un 53. punkts, kā arī 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 95. punkts).
53
Tādējādi šajos trīs pantos ir ietverts vispārpiemērojams noteikums, kurš, ja VDAR nav norādīts citādi, ir jāpiemēro arī saistībā ar prasību par kaitējuma atlīdzību, kas pamatota ar šīs regulas 82. pantu.
54
Otrkārt, ir jākonstatē, ka iepriekš minēto gramatisko interpretāciju apstiprina VDAR izvirzītie mērķi.
55
Pirmām kārtām, tā kā VDAR paredzētais aizsardzības līmenis ir atkarīgs no personas datu pārziņu veiktajiem drošības pasākumiem, tad ar pienākumu pierādīt šo pasākumu atbilstību tie ir jāmudina darīt visu iespējamo, lai novērstu šai regulai neatbilstošas apstrādes darbības.
56
Otrām kārtām, ja būtu jāuzskata, ka pierādīšanas pienākums par minēto pasākumu atbilstīgumu gulstas uz datu subjektiem, kā tie definēti VDAR 4. panta 1. punktā, no tā izrietētu, ka tās 82. panta 1. punktā paredzētajām tiesībām uz kompensāciju tiktu atņemta būtiska to lietderīgās iedarbības daļa, lai gan Savienības likumdevējs ir vēlējies gan pastiprināt šo personu tiesības, gan pārziņu pienākumus salīdzinājumā ar tiesību normām, kas bija spēkā pirms šīs regulas, kā norādīts tās 11. apsvērumā.
57
Uz trešā jautājuma pirmo daļu tātad ir jāatbild, ka VDAR 5. panta 2. punktā paredzētais un tās 24. pantā konkretizētais pārziņa atbildības princips ir jāinterpretē tādējādi, ka uz šīs regulas 82. pantu balstītā prasībā par kaitējuma atlīdzību attiecīgajam pārzinim ir pienākums pierādīt to drošības pasākumu atbilstīgumu, kurus tas ir īstenojis saskaņā ar minētās regulas 32. pantu.
Par trešā jautājuma otro daļu
58
Ar trešā jautājuma otro daļu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 32. pants un Savienības tiesību efektivitātes princips ir jāinterpretē tādējādi, ka, lai novērtētu to drošības pasākumu atbilstīgumu, kurus pārzinis ir veicis saskaņā ar šo pantu, eksperta atzinums ir nepieciešams un pietiekams pierādīšanas līdzeklis.
59
Šajā ziņā jāatgādina, ka atbilstoši pastāvīgajai judikatūrai gadījumā, ja attiecīgajā jomā nav Savienības noteikumu, katras dalībvalsts iekšējā tiesību sistēmā ir jāparedz procesuālā kārtība, kādā tiesā ir iesniedzamas prasības, kuru mērķis ir nodrošināt personu tiesību aizsardzību saskaņā ar procesuālās autonomijas principu, tomēr ar nosacījumu, ka šī kārtība Savienības tiesībās ietilpstošajās situācijās nav mazāk labvēlīga par kārtību, kāda ievērojama līdzīgās situācijās, uz kurām attiecas valsts tiesības (līdzvērtības princips), un ka tā nepadara praktiski neiespējamu vai pārmērīgi neapgrūtina to tiesību īstenošanu, kas ir piešķirtas Savienības tiesībās (efektivitātes princips) (spriedums, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi)C‑300/21, EU:C:2023:370, 53. punkts un tajā minētā judikatūra).
60
Šajā gadījumā jānorāda, ka VDAR nav noteikumu par tāda pierādījuma kā eksperta atzinums pieņemamību un pierādījuma spēku, kas jāpiemēro valsts tiesām, kurās celta prasība par kaitējuma atlīdzību, pamatojoties uz šīs regulas 82. pantu, un kuru pienākums, ņemot vērā tās 32. pantu, ir novērtēt attiecīgā pārziņa īstenoto drošības pasākumu atbilstīgumu. Līdz ar to saskaņā ar šī sprieduma iepriekšējā punktā atgādināto un tā kā attiecīgajā jomā nav Savienības tiesību noteikumu, katras dalībvalsts tiesību sistēmā ir jāparedz sīki izstrādāti noteikumi prasībām, lai nodrošinātu to tiesību aizsardzību, kuras ieinteresētajām pusēm izriet no 82. panta, un it īpaši noteikumi par pierādīšanas līdzekļiem, kas ļauj novērtēt šādu pasākumu atbilstīgumu šajā kontekstā, ar nosacījumu, ka tiek ievēroti minētie līdzvērtības un efektivitātes principi (pēc analoģijas skat. spriedumus, 2022. gada 21. jūnijs, Ligue des droits humains, C‑817/19, EU:C:2022:491, 297. punkts, kā arī 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 54. punkts).
61
Šajā tiesvedībā Tiesas rīcībā nav neviena elementa, kas radītu šaubas par līdzvērtības principa ievērošanu. Citādi ir attiecībā uz atbilstību efektivitātes principam, jo trešā jautājuma otrās daļas formulējumā eksperta atzinums ir minēts kā “nepieciešams un pietiekams pierādīšanas līdzeklis”.
62
It īpaši valsts procesuālo tiesību norma, saskaņā ar kuru sistemātiski būtu “nepieciešams”, lai valsts tiesas uzdotu veikt ekspertīzi, var būt pretrunā efektivitātes principam. Proti, šādas ekspertīzes sistemātiska izmantošana var izrādīties lieka, ņemot vērā citus pierādījumus, kas ir tiesas, kura izskata lietu, rīcībā, it īpaši, kā Bulgārijas valdība norādījusi savos rakstveida apsvērumos, ņemot vērā neatkarīgas un tiesību aktos paredzētas iestādes veiktās personas datu aizsardzības pasākumu ievērošanas pārbaudes rezultātus, ja vien šī pārbaude ir nesena, jo minētie pasākumi saskaņā ar VDAR 24. panta 1. punktu vajadzības gadījumā ir jāpārskata un jāatjaunina.
63
Turklāt, kā rakstveida apsvērumos norādījusi Eiropas Komisija, efektivitātes princips varētu tikt pārkāpts gadījumā, ja jēdziens “pietiekams” būtu jāsaprot tādējādi, ka valsts tiesai no eksperta ziņojuma ir tikai vai automātiski jāsecina, ka attiecīgā pārziņa veiktie drošības pasākumi ir “atbilstīgi” VDAR 32. panta izpratnē. Taču ar šo regulu piešķirto tiesību, uz kurām vērsts minētais efektivitātes princips, un it īpaši tās 79. panta 1. punktā garantēto tiesību uz efektīvu tiesību aizsardzību tiesā pret pārzini aizsardzība prasa, lai neatkarīga tiesa objektīvi izvērtētu attiecīgo pasākumu atbilstīgumu, nevis aprobežotos ar šādu dedukciju (šajā nozīmē skat. spriedumu, 2023. gada 12. janvāris, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 50. punkts).
64
Ņemot vērā iepriekš minētos iemeslus, uz trešā jautājuma otro daļu ir jāatbild, ka VDAR 32. pants un Savienības tiesību efektivitātes princips ir jāinterpretē tādējādi, ka, lai novērtētu to drošības pasākumu atbilstīgumu, kurus pārzinis ir veicis saskaņā ar šo pantu, eksperta atzinums nevar būt sistemātiski nepieciešams un pietiekams pierādīšanas līdzeklis.
Par ceturto jautājumu
65
Ar ceturto jautājumu iesniedzējtiesa būtībā vaicā, vai VDAR 82. panta 3. punkts ir jāinterpretē tādējādi, ka pārzinis ir atbrīvots no pienākuma saskaņā ar šīs regulas 82. panta 1. un 2. punktu kompensēt personai radīto kaitējumu tikai tādēļ, ka šis kaitējums izriet no personas datu neatļautas izpaušanas vai “trešo personu” minētās regulas 4. panta 10. punkta izpratnē neatļautas piekļuves šādiem datiem.
66
Vispirms jāprecizē, ka no VDAR 4. panta 10. punkta izriet, ka “trešās personas” statuss citastarp ir personām, kas nav personas, kuras pārziņa vai apstrādātāja tiešā pakļautībā ir pilnvarotas apstrādāt personas datus. Šī definīcija attiecas uz personām, kuras nav pārziņa darbinieki un kuras neatrodas tā kontrolē, kā norādīts uzdotajā jautājumā.
67
Turpinājumā jāatgādina, pirmām kārtām, ka VDAR 82. panta 2. punktā ir noteikts, ka “jebkurš apstrādē iesaistītais pārzinis ir atbildīgs par kaitējumu, kas nodarīts ar apstrādi, kura pārkāpj šo regulu”, un ka šī panta 3. punktā ir paredzēts, ka pārzinis vai attiecīgā gadījumā apstrādātājs ir atbrīvots no šādas atbildības, “ja tas pierāda, ka nekādā veidā nav atbildīgs par notikumu, ar ko nodarīts attiecīgais kaitējums”.
68
Turklāt VDAR 146. apsvēruma, kas attiecas konkrēti uz tās 82. pantu, pirmajā un otrajā teikumā ir noteikts, ka “pārzinim vai apstrādātājam būtu jākompensē jebkurš kaitējums, kurš personai var būt nodarīts tādas apstrādes rezultātā, kura pārkāpj šo regulu”, un [tas] “būtu jāatbrīvo no atbildības, ja tas pierāda, ka nekādā veidā nav atbildīgs par kaitējumu”.
69
No šīm tiesību normām izriet, pirmkārt, ka attiecīgajam pārzinim principā ir jāatlīdzina šīs regulas pārkāpuma rezultātā radies kaitējums, kurš saistīts ar šo apstrādi, un, otrkārt, ka tas var tikt atbrīvots no atbildības tikai tad, ja pierāda, ka nekādā veidā nav atbildīgs par kaitējumu.
70
Tādējādi, kā liecina fakts, ka likumdošanas procedūras laikā nepārprotami pievienots apstākļa vārds “nekādi”, apstākļiem, kādos pārzinis var pretendēt uz atbrīvojumu no civiltiesiskās atbildības saskaņā ar VDAR 82. pantu, var būt vienīgi tādi, kuros šis pārzinis var pierādīt, ka tas pats nav atbildīgs par kaitējumu.
71
Ja, kā tas ir šajā gadījumā, personas datu aizsardzības pārkāpumu VDAR 4. panta 12. punkta izpratnē ir izdarījuši kibernoziedznieki un tātad “trešās personas” šīs regulas 4. panta 10. punkta izpratnē, par šo pārkāpumu nevar būt atbildīgs pārzinis, ja vien tas nav pavēris iespēju šī pārkāpuma izdarīšanai, neizpildīdams kādu no VDAR paredzētajiem pienākumiem, it īpaši datu aizsardzības pienākumu, kas tam jāpilda saskaņā ar šīs pašas regulas 5. panta 1. punkta f) apakšpunktu un 24. un 32. pantu.
72
Tādējādi trešās personas izdarīta personas datu pārkāpuma gadījumā pārzinis var tikt atbrīvots no atbildības, pamatojoties uz VDAR 82. panta 3. punktu, pierādot, ka nav nekādas cēloņsakarības starp iespējamo datu aizsardzības pienākuma pārkāpumu un fiziskai personai nodarīto kaitējumu.
73
Otrām kārtām, iepriekš izklāstītā 82. panta 3. punkta interpretācija atbilst arī VDAR mērķim nodrošināt augstu aizsardzības līmeni fiziskām personām attiecībā uz viņu personas datu apstrādi, kā norādīts šīs regulas 10. un 11. apsvērumā.
74
Ņemot vērā visus šos apsvērumus, uz ceturto jautājumu jāatbild, ka VDAR 82. panta 3. punkts ir jāinterpretē tādējādi, ka pārzini nevar atbrīvot no pienākuma saskaņā ar šīs regulas 82. panta 1. un 2. punktu kompensēt personai radīto kaitējumu tikai tādēļ, ka šis kaitējums izriet no personas datu neatļautas izpaušanas vai “trešo personu” minētās regulas 4. panta 10. punkta izpratnē neatļautas piekļuves šādiem datiem, jo minētajam pārzinim ir jāpierāda, ka tas nekādā veidā nav atbildīgs par notikumu, kas izraisījis attiecīgo kaitējumu.
Par piekto jautājumu
75
Ar piekto jautājumu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka [datu subjekta] bažas par to, ka trešās personas varētu ļaunprātīgi izmantot tā personas datus šīs regulas pārkāpuma dēļ, pašas par sevi var būt “nemateriāls kaitējums” šīs tiesību normas izpratnē.
76
Pirmkārt, attiecībā uz VDAR 82. panta 1. punkta tekstu ir jānorāda, ka tajā ir paredzēts, ka “jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu”.
77
Šajā ziņā Tiesa ir norādījusi, ka no VDAR 82. panta 1. punkta formulējuma skaidri izriet, ka “nodarīta”“kaitējuma” esamība ir viens no minētajā tiesību normā paredzēto tiesību uz kompensāciju nosacījumiem, tāpat kā šīs regulas pārkāpuma esamība un cēloņsakarība starp šo kaitējumu un šo pārkāpumu, un šie trīs nosacījumi ir kumulatīvi (spriedums, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 32. punkts).
78
Turklāt, balstīdamās uz vienlīdz gramatiskiem, sistēmiskiem un teleoloģiskiem apsvērumiem, Tiesa VDAR 82. panta 1. punktu ir interpretējusi tādējādi, ka tam ir pretrunā tāda valsts tiesību norma vai prakse, saskaņā ar kuru “nemateriālā kaitējuma” atlīdzināmība šīs tiesību normas izpratnē ir pakārtota nosacījumam, ka datu subjektam nodarītais kaitējums ir sasniedzis noteiktu smaguma pakāpi (spriedums, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi)C‑300/21, EU:C:2023:370, 51. punkts).
79
Kad tas ir atgādināts, šajā gadījumā ir jāuzsver, ka VDAR 82. panta 1. punktā nav nošķirti gadījumi, kuros pēc pierādīta šīs regulas normu pārkāpuma datu subjekta apgalvotais “nemateriālais kaitējums” vai nu ir saistīts ar to, ka brīdī, kad tas ir lūdzis atlīdzināt kaitējumu, trešās personas jau ir ļaunprātīgi izmantojušas viņa personas datus, vai arī ir saistīts ar šīs personas bažām, ka šāda izmantošana varētu notikt nākotnē.
80
Līdz ar to VDAR 82. panta 1. punkta formulējums neizslēdz, ka šajā tiesību normā ietvertais jēdziens “nemateriālais kaitējums” attiecas uz tādu situāciju kā iesniedzējtiesas aprakstītā, kurā datu subjekts, lai saņemtu kompensāciju, pamatojoties uz šo tiesību normu, atsaucas uz bažām, ka trešās personas šīs regulas pārkāpuma dēļ nākotnē ļaunprātīgi izmantos tā personas datus.
81
Otrkārt, šo gramatisko interpretāciju apstiprina VDAR 146. apsvērums, kurš konkrēti attiecas uz tiesībām uz kompensāciju saskaņā ar šīs regulas 82. panta 1. punktu un kura trešajā teikumā ir minēts, ka “kaitējuma jēdziens būtu plaši jāinterpretē, ņemot vērā Tiesas judikatūru, tādā veidā, kas pilnībā atbilst šīs regulas mērķiem”. Jēdziena “nemateriālais kaitējums” 82. panta 1. punkta izpratnē tāda interpretācija, kas neietvertu situācijas, kurās persona, kuru skāris minētās regulas pārkāpums, atsaucas uz savām bažām, ka tās personas dati nākotnē tiks ļaunprātīgi izmantoti, neatbilstu plašai šī jēdziena izpratnei, kādu bija iecerējis Savienības likumdevējs (pēc analoģijas skat. spriedumu, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi)C‑300/21, EU:C:2023:370, 37. un 46. punkts).
82
Turklāt VDAR 85. apsvēruma pirmajā teikumā ir teikts, ka tad, “ja uz personas datu aizsardzības pārkāpumu nereaģē pienācīgi un savlaicīgi, tas fiziskām personām var izraisīt tādu fizisku, materiālu vai nemateriālu kaitējumu kā, piemēram, iespējas kontrolēt savus personas datus zaudēšana vai to tiesību ierobežošana, diskriminācija, identitātes zādzība vai viltošana, finansiāls zaudējums [..] vai jebkāda cita attiecīgajai fiziskajai personai īpaši nelabvēlīga ekonomiskā vai sociālā situācija”. No šī ilustratīvā tādu “kaitējumu” uzskaitījuma, kas var tikt nodarīti attiecīgajām personām, izriet, ka Savienības likumdevējs ir vēlējies šajos jēdzienos iekļaut it īpaši vienkāršu “kontroles zaudēšanu” pār saviem datiem pēc šīs regulas pārkāpuma, pat ja attiecīgo datu ļaunprātīga izmantošana nav notikusi konkrēti par sliktu minētajām personām.
83
Visbeidzot treškārt, šī sprieduma 80. punktā ietverto interpretāciju apstiprina VDAR mērķi, kas ir pilnībā jāņem vērā, lai definētu jēdzienu “kaitējums”, kā norādīts šīs regulas 146. apsvēruma trešajā teikumā. Tāda VDAR 82. panta 1. punkta interpretācija, saskaņā ar ko jēdziens “nemateriāls kaitējums” šīs tiesību normas izpratnē neietver situācijas, kurās datu subjekts atsaucas tikai uz bažām, ka trešās personas nākotnē varētu ļaunprātīgi izmanot tā datus, neatbilstu šajā instrumentā minētajai fizisku personu augsta līmeņa aizsardzības garantijai attiecībā uz personas datu apstrādi Savienībā.
84
Tomēr jāuzsver, ka personai, kuru skāris VDAR pārkāpums un kurai no tā ir radušās negatīvas sekas, ir jāpierāda, ka šīs sekas rada nemateriālo kaitējumu šīs regulas 82. panta izpratnē (šajā nozīmē skat. spriedumu, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi)C‑300/21, EU:C:2023:370, 50. punkts).
85
It īpaši, ja persona, kas uz šī pamata prasa kompensāciju, atsaucas uz bažām, ka nākotnē notiks tās personas datu ļaunprātīga izmantošana šāda pārkāpuma dēļ, valsts tiesai, kas izskata lietu, ir jāpārbauda, vai šīs bažas var tikt uzskatītas par pamatotām konkrētajos īpašajos apstākļos un attiecībā uz šo datu subjektu.
86
Ņemot vērā iepriekš minētos iemeslus, uz piekto jautājumu ir jāatbild, ka VDAR 82. panta 1. punkts ir jāinterpretē tādējādi, ka [datu subjekta] bažas par to, ka trešās personas varētu ļaunprātīgi izmantot tā personas datus šīs regulas pārkāpuma dēļ, pašas par sevi var būt “nemateriāls kaitējums” šīs tiesību normas izpratnē.
Par tiesāšanās izdevumiem
87
Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.
Ar šādu pamatojumu Tiesa (trešā palāta) nospriež:
1)
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 24. un 32. pants
ir jāinterpretē tādējādi, ka
ar personas datu neatļautu izpaušanu vai “trešo personu” šīs regulas 4. panta 10. punkta izpratnē neatļautu piekļuvi šādiem datiem nav pietiekami, lai uzskatītu, ka attiecīgā pārziņa īstenotie tehniskie un organizatoriskie pasākumi nav “atbilstoši” 24. un 32. panta izpratnē.
2)
Regulas 2016/679 32. pants
ir jāinterpretē tādējādi, ka
pārziņa saskaņā ar šo pantu īstenoto tehnisko un organizatorisko pasākumu atbilstīgums valsts tiesām ir jāizvērtē konkrēti, ņemot vērā ar attiecīgo apstrādi saistītos riskus un novērtējot, vai šo pasākumu raksturs, saturs un īstenošana ir piemēroti šiem riskiem.
3)
Regulas 2016/679 5. panta 2. punktā paredzētais un tās 24. pantā konkretizētais pārziņa atbildības princips
ir jāinterpretē tādējādi, ka
uz šīs regulas 82. pantu balstītā prasībā par kaitējuma atlīdzību attiecīgajam pārzinim ir pienākums pierādīt to drošības pasākumu atbilstīgumu, kurus tas ir īstenojis saskaņā ar minētās regulas 32. pantu.
4)
Regulas 2016/679 32. pants un Savienības tiesību efektivitātes princips
ir jāinterpretē tādējādi, ka,
lai novērtētu to drošības pasākumu atbilstīgumu, kurus pārzinis ir veicis saskaņā ar šo pantu, eksperta atzinums nevar būt sistemātiski nepieciešams un pietiekams pierādīšanas līdzeklis.
5)
Regulas 2016/679 82. panta 3. punkts
ir jāinterpretē tādējādi, ka
pārzini nevar atbrīvot no pienākuma saskaņā ar šīs regulas 82. panta 1. un 2. punktu kompensēt personai radīto kaitējumu tikai tādēļ, ka šis kaitējums izriet no personas datu neatļautas izpaušanas vai “trešo personu” minētās regulas 4. panta 10. punkta izpratnē neatļautas piekļuves šādiem datiem, jo minētajam pārzinim ir jāpierāda, ka tas nekādā veidā nav atbildīgs par notikumu, kas izraisījis attiecīgo kaitējumu.
6)
Regulas 2016/679 82. panta 1. punkts
ir jāinterpretē tādējādi, ka
[datu subjekta] bažas par to, ka trešās personas varētu ļaunprātīgi izmantot tā personas datus šīs regulas pārkāpuma dēļ, pašas par sevi var būt “nemateriāls kaitējums” šīs tiesību normas izpratnē.
[Paraksti]
(
*1
)	Tiesvedības valoda – bulgāru.