Дело T‑354/22
Thomas Bindl
срещу
Европейска комисия
Решение (шести разширен състав) от 8 януари 2025 година
„ Обработване на лични данни — Защита на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза — Регламент (ЕС) 2018/1725 — Понятие „предаване на лични данни на трета държава“ — Предаване на данни при посещаване на уебсайт — EU Login — Жалба за отмяна — Акт, неподлежащ на обжалване — Недопустимост — Иск за установяване на неправомерно бездействие — Произнасяне, с което се преустановява неправомерното бездействие — Липса на основание за произнасяне — Иск за обезщетение — Достатъчно съществено нарушение на правна норма, с която се предоставят права на частноправните субекти — Причинно-следствена връзка — Неимуществени вреди “
1.      Жалба за отмяна — Актове, подлежащи на обжалване — Понятие — Актове, които произвеждат задължително правно действие — Операции, които могат да доведат до предаване на лични данни на трета държава — Изключване
(член 263 ДФЕС; съображение 79, член 2, параграф 5, член 3, точка 3 и член 64, параграф 1 от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 22—25 и 30—34)
2.      Иск за обезщетение — Самостоятелност по отношение на жалбата за отмяна и иска за установяване на неправомерно бездействие — Недопустимост на жалбата за отмяна и липса на основание за произнасяне по иска за установяване на неправомерно бездействие — Искане за обезщетение, което не е насочено към същия резултат като жалбата за отмяна — Допустимост
(членове 263 и 265 и член 340, втора алинея ДФЕС)
(вж. т. 35, 43, 56 и 57)
3.      Извъндоговорна отговорност — Условия — Действителна и сигурна вреда, причинена от незаконосъобразен акт — Неимуществена вреда, причинена от неспазването на срока за уведомяване на заявителя за причините, поради които администраторът на лични данни не е предприел действия — Изключване
(член 340, втора алинея ДФЕС; член 14, параграф 4 и член 65 от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 77—80 и 83—85)
4.      Институции на Европейския съюз — Защита на физическите лица във връзка с обработването на лични данни — Регламент 2018/1725 — Прехвърляне на лични данни към трети страни — Понятие — Прехвърляне на тези данни на установен в Съюза получател при посещаване на уебсайт — Изключване
(съображение 63 и член 3, параграфи 1 и 46 от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 92—98, 100—105, 125, 126 и 129—131)
5.      Извъндоговорна отговорност — Условия — Незаконосъобразност — Достатъчно съществено нарушение на правото на Съюза — Риск трета страна да получи достъп до лични данни — Изключване — Право на зачитане на личния живот, право на защита на личните данни и право на ефективни правни средства за защита — Липса на нарушение
(член 340, втора алинея ДФЕС; членове 7, 8 и 47 от Хартата на основните права на Европейския съюз; член 46 и член 48, параграф 1 и параграф 2), буква б) от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 133—137, 139 и 140)
6.      Извъндоговорна отговорност — Условия — Причинно-следствена връзка — Неимуществена вреда, произтичаща от загубата на контрола върху лични данни — Предаване на тези данни на трета страна при посещаване на уебсайт на институция — Предаване, което се дължи на поведението на съответното лице — Липса на причинно-следствена връзка между вредата и поведението на институцията
(член 340, втора алинея ДФЕС; член 65 от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 146—149 и 156—164)
7.      Извъндоговорна отговорност — Условия — Незаконосъобразност — Достатъчно съществено нарушение на правото на Съюза — Предаване на лични данни на трета страна — Прехвърляне на тези данни от институция чрез хипервръзка, позволяваща посредством Facebook да бъде осъществено свързване със страница на уебсайт — Липса на решение на институцията относно адекватното ниво на защита или на подходящи гаранции относно тази страна — Включване
(член 340, втора алинея ДФЕС; членове 46 и 47 и член 48, параграфи 1 и 2 от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 186—193)
8.      Извъндоговорна отговорност — Вреда — Вреда, подлежаща на обезщетяване — Предаване на лични данни на трета страна — Прехвърляне на тези данни от институция чрез хипервръзка, позволяваща посредством Facebook да бъде осъществено свързване с уебстраницата на услугата за потребителска автентификация на тази институция — Неимуществена вреда, причинена на ищеца поради несигурност относно обработването на личните му данни — Включване
(член 340, втора алинея ДФЕС; членове 46 и 65 от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 196—200)
Резюме
Произнасяйки се в разширен състав, Общият съд уважава частично претенциите на ищеца г‑н Bindl за обезщетение. В това отношение Общият съд тълкува за първи път разпоредбите на Регламент 2018/1725(1) и за първи път се произнася по последиците от решение „Schrems II“(2) в рамките на прилагането на този регламент, както и на „принципа“ за еднакво тълкуване на аналогичните разпоредби на Регламенти 2016/679(3) и 2018/1725.
Ищецът посещава уебсайта на Конференцията за бъдещето на Европа (наричана по-нататък „КБЕ“) на 30 март и се записва за участие в упоменатото там събитие „GoGreen“ посредством своя Facebook профил. На 8 юни 2022 г. той отново посещава посочения уебсайт. Европейската комисия е администратор на лични данни за целите на този уебсайт.
Посредством две искания за предоставяне на информация от 9 ноември 2021 г. и от 1 април 2022 г., отправени отново на 22 април и на 2 май 2022 г., ищецът претендира Комисията да му предостави информация за обработването на неговите данни, както и за евентуалното им предаване на трети страни. Той посочва по-специално, че е забелязал, че когато се е свързал на уебсайта на КБЕ, се е активирала връзка с трети страни — доставчици, като например американското предприятие Amazon Web Services.
С електронно писмо от 3 декември 2021 г. Комисията изпраща на ищеца списък с обработените му лични данни и посочва, че данните му не са били предадени на получатели извън Европейския съюз и че уебсайтът на КБЕ използва мрежа за разпространение на съдържание, управлявана от Amazon Web Services EMEA SARL (наричано по-нататък „AWS EMEA“), установено в Люксембург (Люксембург).
На 9 юни 2022 г. ищецът подава настоящата искова молба.
Съображения на Общия съд
На първо място, Общият съд се произнася по допустимостта на исканията за отмяна на предаванията на лични данни на трети страни, осъществени на 30 март и 8 юни 2022 г. (наричани по-нататък „спорните предавания“).
В това отношение Общият съд подчертава, че не всички операции, които могат да доведат до предаване на лични данни по смисъла на Регламент 2018/1725, представляват актове, подлежащи на обжалване по смисъла на член 263 ДФЕС.
В случая, дори да се предположи, че спорните предавания на данни бъдат доказани, Общият съд констатира, че те представляват фактически, а не правни актове. Всъщност тези предавания на данни са компютърни операции за миграция на данни от един терминал или от един сървър към друг, които са резултат от взаимодействието между ищеца и информационните системи или услуги на Комисията.
Следователно, доколкото спорните прехвърляния не са актове на Комисията, които произвеждат задължително правно действие, те не могат да породят задължителни правни последици, годни да засегнат интересите на ищеца, и следователно не могат да се считат за обжалваеми актове по смисъла на член 263 ДФЕС.
На второ място, Общият съд се произнася по основателността на четирите направени от ищеца искания за обезщетение.
Най-напред, що се отнася до първото искане за поправяне на неимуществената вреда, произтичаща от нарушение на правото на достъп до информация, Общият съд счита, че в случая такава неимуществена вреда не е доказана.
Всъщност единствената незаконосъобразност, установена в случая, е неспазването от страна на Комисията на едномесечния срок, предвиден в Регламент 2018/1725(4), що се отнася до искането за информация от 1 април 2022 г. Доколкото обаче, от една страна, този срок не е бил превишен с повече от два месеца, и от друга страна, към 3 декември 2021 г. ищецът е получил поне частичен отговор на искането си за предоставяне на информация, тази незаконосъобразност не изглежда да е от естество да причини на ищеца твърдяната неимуществена вреда, изразяваща се във възпрепятстването му да упражнява контрол върху обработването на личните му данни.
Поради това Общият съд отхвърля първото искане на ищеца за обезщетение.
По-нататък, що се отнася до второто искане за поправяне на неимуществената вреда, произтичаща от спорното предаване на данни при посещаването на уебсайта на КБЕ на 30 март 2022 г., Общият съд посочва, че при това посещаване е било налице предаване на лични данни на ищеца по смисъла на Регламент 2018/1725, по-специално на неговия IP адрес. Общият съд обаче отбелязва също така, че в настоящия случай не е доказано, че при това посещаване на уебсайта на КБЕ лични данни на ищеца са били предадени на трета страна(5), и по-специално на Съединените щати.
Освен това, сам по себе си рискът трета страна да получи достъп до лични данни, в случай че AWS EMEA, поради качеството си на дъщерно дружество на американско предприятие, не е в състояние да се противопостави на искане на американските органи за достъп до данни, съхранявани от разположени на територията на Европейското икономическо пространство (ЕИП) сървъри, не може да се приравни на предаване на данни по смисъла на Регламент 2018/1725. С други думи, рискът от нарушение на Регламент 2018/1725 не може да се приравни на пряко нарушение на посочения регламент. В това отношение сам по себе си рискът от нарушение на разпоредбите на Регламент 2018/1725 относно предаването на лични данни на трети страни при всички положения не е достатъчен, за да се установи виновно поведение от страна на Комисията, съответстващо на достатъчно съществено нарушение на тези разпоредби.
Освен това, що се отнася до третото искане за поправяне на неимуществената вреда, произтичаща от спорното предаване на данни при посещаването от ищеца на уебсайта на КБЕ на 8 юни 2022 г., Общият съд разглежда в случая дали използването от Комисията на услугата Amazon CloudFront като мрежа за доставяне на съдържание на уебсайта на КБЕ е пряката причина за твърдяната неимуществена вреда, състояща се в загуба на контрол върху личните данни на ищеца.
Общият съд констатира, че действително функционирането на услугата Amazon CloudFront, с нейния механизъм за маршрутиране, която се предоставя в съответствие с принципа на близост и обхваща по-широка географска зона от територията на ЕИП, включваща по-специално Съединените щати, е позволило при посещаванията на уебсайта на КБЕ IP адресът на ищеца да установи връзки със сървъри на Amazon CloudFront, разположени в Съединените щати.
При все това, макар използването от Комисията на услугата Amazon CloudFront да е необходимо условие за осъществяването на предаването на лични данни към Съединените щати, това обстоятелство не е достатъчно, за да се установи достатъчно пряка причинно-следствена връзка между изтъкнатата от ищеца неимуществена вреда и твърдяното неправомерно поведение на Комисията. Всъщност именно поведението на ищеца трябва да се разглежда като пряка и непосредствена причина за твърдяната неимуществена вреда, а не нарушението, което се твърди, че Комисията е допуснала при използването на услугата Amazon CloudFront. Така ищецът, който се е намирал в Германия и извършил технически настройки с цел промяна на явното си местонахождение, е създал необходимите условия за създаване на връзки със сървъри в Съединените щати посредством функционирането на услугата Amazon CloudFront, като е предизвикал препращането — посредством механизма за маршрутиране на тази услуга — на неговите заявки за посещаване на уебсайта на КБЕ към разположени в Съединените щати сървъри.
Освен това ищецът не е имал основание да следва поведение, насочено към постигането на определен резултат (а именно предаването на личните му данни на трета държава), и вследствие на това да иска поправяне на вредите, за които твърди, че произтичат от този резултат, причинен пряко от неговото поведение. Така Общият съд счита, че положението на ищеца не може да се преценява по начин, подобен на този относно потребител, който действително се е преместил в Съединените щати и който съответно е имал достъп до уебсайта на КБЕ от тази държава.
Накрая, що се отнася до четвъртото искане за поправяне на неимуществената вреда, произтичаща от спорното предаване на данни при свързването с EU Login на 30 март 2022 г., Общият съд посочва, че в случая е доказано, първо, че сред възможностите за свързване с EU Login ищецът е избрал да се свърже посредством своя Facebook профил. Второ, хипервръзката „свързване посредством Facebook“ съдържа връзка към URL адрес на уебсайта на Facebook. Трето, когато ищецът е активирал тази хипервръзка чрез кликване върху нея, неговият интернет браузър е получил достъп до URL адреса на уебсайта на Facebook и поради това е съобщил IP адреса му на този уебсайт.
От това Общият съд прави извода, че чрез хипервръзката „свързване посредством Facebook“, публикувана на интернет страницата на EU Login, Комисията е създала условията IP адресът на ищеца да бъде предаден на Facebook. Този IP адрес обаче попада в обхвата на личните данни на ищеца, които чрез посочената хипервръзка са били предадени на предприятието Meta Platforms, установено в Съединените щати. Следователно това предаване съответства на предаване на лични данни на трета страна по смисъла на Регламент 2018/1725.
Освен това към момента на предаването на данните, а именно 30 март 2022 г., по отношение на Съединените щати не е съществувало каквото и да е решение относно адекватното ниво на защита по смисъла на Регламент 2018/1725(6). При липса на такова решение предаването на лични данни на трета страна или международна организация може да се извърши само ако администраторът или обработващият лични данни е предвидил подходящи гаранции и при условие че на субекта на данни са предоставени изпълняеми права и ефективни правни средства за защита в съответствие с Регламент 2018/1725(7).
В случая Комисията не доказва, нито дори твърди съществуването на подходяща гаранция, по-специално на типова клауза за защита на данните или на договорна клауза. За сметка на това е доказано, че поместването на хипервръзката „свързване посредством Facebook“ на уебсайта на EU Login се урежда само от общите условия на платформата Facebook.
Поради това Комисията е създала условия лични данни на ищеца да бъдат предадени на трета страна, без обаче да спази условията, предвидени в Регламент 2018/1725(8). Ето защо твърдяната от ищеца неимуществена вреда трябва да се счита за действителна и сигурна, доколкото посоченото предаване на данни, извършено в нарушение на Регламент 2018/1725, поставя ищеца в положение на несигурност относно обработването на личните му данни, и по-специално на неговия IP адрес.
С оглед на гореизложеното Общият съд осъжда Комисията да заплати на ищеца обезщетение в размер на 400 евро за претърпяната неимуществена вреда в резултат от спорното предаване на данни при свързването с EU Login на 30 март 2022 г.
1      Глава V от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 2018 г., стр. 39).
2      Решение от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, EU:C:2020:559).
3      Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).
4      Съгласно член 14, параграф 4 от Регламент 2018/1725, ако администраторът на лични данни не предприеме действия по искането за информация, той трябва да уведоми заявителя в срок от един месец за причините за това.
5      Член 46 от Регламент 2018/1725.
6      Член 47 от Регламент 2018/1725.
7      Член 48, параграф 1 от Регламент 2018/1725.
8      Член 46 от Регламент 2018/1725.