62023CJ0655_RES
Lieta C‑655/23
IP
pret
Quirin Privatbank AG
(Bundesgerichtshof lūgums sniegt prejudiciālu nolēmumu)
Tiesas (ceturtā palāta) 2025. gada 4. septembra spriedums
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – Datu subjekta tiesības – 17. pants – Tiesības uz datu dzēšanu – 18. pants – Tiesības ierobežot apstrādi – 79. pants – Tiesības uz efektīvu tiesību aizsardzību tiesā – Personas datu nelikumīga apstrāde – Tiesību aizsardzības līdzeklis, ar kuru panākt, lai pārzinim liktu atturēties no jaunas nelikumīgas apstrādes nākotnē – Pamatojums – Nosacījumi – 82. panta 1. punkts – Tiesības saņemt atlīdzinājumu – Jēdziens “nemateriālais kaitējums” – Atlīdzinājuma apmēra noteikšana – Pārziņa vainas pakāpes iespējama ņemšana vērā – “Rīkojuma par atturēšanos” panākšanas iespējamā ietekme
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesību aizsardzības līdzekļi – Pienākums dalībvalstīm paredzēt tiesību aizsardzības līdzekli, kas ļautu panākt, lai pārzinim liktu atturēties no jaunas nelikumīgas apstrādes – Neesība – Valsts tiesiskais regulējums, kas ļauj izmantot šādu tiesību aizsardzības līdzekli savā tiesību sistēmā – Pieļaujamība
(Eiropas Savienības Pamattiesību hartas 8. panta 1. un 2. punkts; Eiropas Parlamenta un Padomes Regulas 2016/679 1., 10. un 11. apsvērums, kā arī 1. pants, 4. panta 1. punkts, 5., 6., 17., 18. un 77.–79. pants)
(skat. 38.–52. punktu, kā arī rezolutīvās daļas 1. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz kompensāciju un atbildība – Tiesības uz nodarītā kaitējuma atlīdzinājumu – Nemateriāls kaitējums – Jēdziens – Negatīvas izjūtas, kas datu subjektam radušās pēc neatļautas viņa personas datu nosūtīšanas trešai personai – Iekļaušana – Nosacījumi – Nepieciešamība pierādīt, ka šādas izjūtas un no tām izrietošās negatīvās sekas ir radušās šīs regulas pārkāpuma dēļ
(Eiropas Parlamenta un Padomes Regulas 2016/679 1., 10., 75., 85. un 146. apsvērums, kā arī 1. pants un 82. panta 1. punkts)
(skat. 55., 56. un 58.–64. punktu, kā arī rezolutīvās daļas 2. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz kompensāciju un atbildība – Tiesības uz nodarītā kaitējuma atlīdzinājumu – Atlīdzinājuma apmēra un veida noteikšana – Valsts tiesiskais regulējums, kas veicamā nemateriālā kaitējuma atlīdzinājuma apmēra noteikšanai atļauj ņemt vērā kaitējuma nodarītāja vainas pakāpi – Nepieļaujamība
(Eiropas Parlamenta un Padomes Regulas 2016/679 146. apsvērums, kā arī 82. un 83. pants)
(skat. 66., 67., 69.–73. punktu, kā arī rezolutīvās daļas 3. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz kompensāciju un atbildība – Tiesības uz nodarītā kaitējuma atlīdzinājumu – Atlīdzinājuma apmēra un veida noteikšana – Rīkojuma atturēties no šīs regulas pārkāpuma atkārtošanas ņemšana vērā, lai mazinātu par nemateriālo kaitējumu maksājamā finansiālā atlīdzinājuma apmēru vai šo atlīdzinājumu izslēgtu – Nepieļaujamība
(Eiropas Parlamenta un Padomes Regulas 2016/679 82. pants)
(skat. 77.–79., 81.–83. punktu, kā arī rezolutīvās daļas 4. punktu)
Rezumējums
Izskatot Bundesgerichtshof (Federālā augstākā tiesa, Vācija) lūgumu sniegt prejudiciālu nolēmumu, Tiesa precizē, kāds ir to tiesību apjoms, ko dažādas VDAR (
1
) normas piešķir datu subjektam viņa personas datu nelikumīgas apstrādes gadījumā.
IP, izmantojot profesionālu tiešsaistes sociālo tīklu, pieteicās darbam saskaņā ar Vācijas tiesībām dibinātajā sabiedrībā Quirin Privatbank. Pēc tam kāda šīs sabiedrības darbiniece, izmantojot šā tīkla ziņojumapmaiņas pakalpojumu, kādai ar šo darbā pieņemšanas procesu nesaistītai trešai personai nosūtīja saraksti, kas bija adresēta vienīgi IP un kurā viņa informēja IP par to, ka šī sabiedrība nepiedāvās viņa tīkoto atalgojumu, un piedāvāja viņam citu atalgojumu. Tā kā šī trešā persona iepriekš bija strādājusi kopā ar IP, tā viņam pārsūtīja šo saraksti un jautāja, vai viņš meklē darbu.
IP cēla prasību Landgericht Darmstadt (Darmštates apgabaltiesa, Vācija), lūdzot, lai Quirin Privatbank tiktu piespriests, pirmkārt, atturēties no jebkādas tādas personas datu apstrādes saistībā ar viņa kandidatūru, kuras gaitā atkārtotos šo datu neatļauta izpaušana, un, otrkārt, samaksāt viņam atlīdzinājumu par nodarīto nemateriālo kaitējumu. Pirmās instances tiesa šos prasījumus apmierināja.
Pēc tam, kad Quirin Privatbank bija iesniegusi apelācijas sūdzību Oberlandesgericht
Frankfurt (Federālās zemes Augstākā tiesa Frankfurtē pie Mainas, Vācija), minētais spriedums tika daļēji grozīts, noraidot prasību par kaitējuma atlīdzinājumu. Proti, minētās tiesas ieskatā, IP nebija iesniedzis pierādījumus par konkrētu kaitējumu un, pat pieņemot, ka viņš bija izjutis pazemojumu, šis apstāklis neesot kvalificējams kā nemateriālais kaitējums.
Gan IP, gan Quirin Privatbank katrs iesniedza revīzijas sūdzību (Revision) iesniedzējtiesā – Bundesgerichtshof (Federālā augstākā tiesa, Vācija).
Šaubīdamās par vairāku VDAR normu interpretāciju, šī augstā tiesa iztaujāja Tiesu par to, cik plaši ir tiesību aizsardzības līdzekļi, kāds ir tiesību saņemt nodarītā kaitējuma atlīdzinājumu tvērums un ar kādiem kritērijiem var novērtēt atlīdzināmā nemateriālā kaitējuma apmēru.
Tiesas vērtējums
Pirmām kārtām, Tiesai nākas izspriest, vai VDAR normas paredz nelikumīgi apstrādātu personas datu subjektam, kurš nepieprasa šo datu dzēšanu, tiesību aizsardzības līdzekli, kas tam ļautu preventīvi panākt, ka pārzinim tiek likts nākotnē atturēties no jaunas nelikumīgas apstrādes, un vai – gadījumā, ja tā tas nav – šīs tiesību normas liedz dalībvalstīm noteikt šādu tiesību aizsardzības līdzekli savās tiesību sistēmās.
Šajā ziņā tā norāda, ka VDAR nav ietvertas tiesību normas, kurās tieši vai netieši būtu paredzēts, ka datu subjektam ir tiesības, ceļot prasību tiesā, preventīvi panākt, lai personas datu pārzinis turpmāk atturētos no šīs regulas normu pārkāpuma, konkrēti – nelikumīgas apstrādes atkārtošanas veidā.
Tiesa arī konstatē, ka nevienā no šīs regulas tiesību normām, kas attiecas uz tiesību aizsardzības līdzekļiem (
2
), dalībvalstīm nav noteikts pienākums ieviest preventīvu tiesību aizsardzības līdzekli. Konkrēti VDAR 79. panta 1. punkts, kurā ir nostiprinātas tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini, nenoteic dalībvalstīm pienākumu paredzēt kādu konkrētu tiesību aizsardzības līdzekli, kas ļautu ar tiesā celtu prasību preventīvi panākt rīkojumu par atturēšanos.
Tomēr – ņemot vērā it īpaši apstākli, ka ikviena datu subjekta tiesības uz efektīvu tiesību aizsardzību tiesā, ja viņš uzskata, ka viņam šajā regulā piešķirtās tiesības ir pārkāptas tādas viņa personas datu apstrādes rezultātā, kura neatbilst VDAR, šajā regulā ir atzītas, “neskarot” jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus – Tiesa uzskata, ka dalībvalstīm nav liegts paredzēt šādu preventīvu tiesību aizsardzības līdzekli, lai liktu pārzinim atturēties no jebkāda turpmāka šajā regulā datu subjektam piešķirto tiesību pārkāpuma.
Šajā ziņā Tiesa uzsver, ka vairākas VDAR normas skaidri paver iespēju dalībvalstīm papildus noteikt stingrākus vai atkāpes paredzošus noteikumus, kas dod tām rīcības brīvību, lemjot par to, kādā veidā šīs tiesību normas var tikt īstenotas (“atvērējklauzulas”). Šajā kontekstā tā norāda, ka, lai gan VDAR tiesību normās, kas attiecas uz tiesību aizsardzības līdzekļiem, nav īpaši ietverta šāda atvērējklauzula, Savienības likumdevējs nav grasījies pilnībā saskaņot regulas normu pārkāpumu gadījumā pieejamos tiesību aizsardzības līdzekļus un konkrēti – nav izslēdzis šādu tiesību aizsardzības līdzekļa iespēju.
Tiesa piebilst, ka apstiprinājums šīs interpretācijas pareizībai ir rodams arī VDAR izvirzītajos mērķos. Proti, iespēja datu subjektam celt prasību tiesā, lai panāktu, ka pārzinim tiek likts nākotnē atturēties no VDAR materiālo tiesību normu pārkāpuma, pastiprina šo normu lietderīgo iedarbību un tādējādi arī augsta līmeņa aizsardzību datu subjektiem attiecībā uz viņu personas datu apstrādi.
Tiesa no tā secina, ka VDAR nav pretrunā tas, ka tiesības celt prasību – lai panāktu rīkojumu, kas ļauj novērst, ka eventuāli tiek pārkāptas šīs regulas materiālo tiesību normas, tostarp iespējami atkārtojot nelikumīgu apstrādi – ir pieejamas, pamatojoties uz dalībvalsts tiesību normām, kas būtu piemērojamas lietu izskatošajā valsts tiesā.
Otrām kārtām, Tiesa sniedz precizējumus par jēdzienu “nemateriāls kaitējums”, kas saskaņā ar VDAR (
3
) dod datu subjektam tiesības saņemt no pārziņa atlīdzinājumu par nodarīto kaitējumu.
Šajā ziņā tā atgādina, ka VDAR 82. panta, kas reglamentē tiesības saņemt atlīdzinājumu, 1. punktam ir pretrunā tāda valsts tiesību norma vai prakse, saskaņā ar kuru “nemateriāla kaitējuma” atlīdzināmība ir pakārtota nosacījumam, ka datu subjektam nodarītais kaitējums ir sasniedzis noteiktu smaguma pakāpi. Minētajā tiesību normā nav prasīts, lai datu subjekta apgalvotais nemateriālais kaitējums sasniegtu “de minimis slieksni”, lai šis kaitējums būtu atlīdzināms (
4
).
Tiesa arī norāda, ka tādas situācijas kā pamatlietā minētās, kurās no personas datu aizsardzības pārkāpuma izriet “kaitējums reputācijai” vai “iespējas kontrolēt” šādus datus “zaudēšana”, ir skaidri norādītas kā vieni no VDAR uzskaitītajiem iespējama kaitējuma piemēriem (
5
).
Vienlīdz tā atgādina, ka bažas, ko datu subjekts izjūt par to, ka viņa personas dati VDAR pārkāpuma dēļ nākotnē tiktu ļaunprātīgi izmantoti, pašas par sevi var būt “nemateriāls kaitējums”, ja vien šīs bažas ar no tām izrietošajam negatīvajām sekām ir pienācīgi pierādītas; un šo apstākli pārbaudīt ir lietu izskatošās valsts tiesas ziņā (
6
).
Tādējādi Tiesa atzīst – lai gan iesniedzējtiesas minētās negatīvās izjūtas, konkrēti bažas vai neapmierinātība, var būt arī daļa no vispārīgiem ikdienas dzīves riskiem, tās var būt “nemateriāls kaitējums” VDAR izpratnē, ja vien datu subjekts pierāda, ka viņam šādas izjūtas ar to negatīvajām sekām radušās tieši tāpēc, ka noticis attiecīgais šīs regulas pārkāpums, piemēram, neatļauta viņa personas datu nosūtīšana trešai personai, kas rada šo datu ļaunprātīgas izmantošanas risku; un šo apstākli pārbaudīt ir lietu izskatošo valsts tiesu ziņā.
Tiesa uzsver, ka šī interpretācija atbilst VDAR 82. panta 1. punkta formulējumam, lasot to šīs regulas 85. un 146. apsvēruma gaismā, kuros ir pausts aicinājums jēdzienu “nemateriāls kaitējums” interpretēt plaši, un tās pareizību apstiprina arī minētās regulas mērķis nodrošināt augsta līmeņa aizsardzību fiziskām personām attiecībā uz personas datu apstrādi.
Trešām kārtām, Tiesa konstatē, ka VDAR 82. panta, kas reglamentē tiesības saņemt atlīdzinājumu, 1. punkts liedz ņemt vērā pārziņa vainas pakāpi, lai noteiktu saskaņā ar šo pantu veicamā nemateriālā kaitējuma atlīdzinājuma apmēru.
Šajā ziņā tā atgādina, ka, ņemot vērā tiesībām saņemt atlīdzinājumu piemītošo tikai un vienīgi kompensējošo funkciju, valsts tiesām jānodrošina “pilna un iedarbīga” nodarītā kaitējuma atlīdzināšana, un šāda pilnīga atlīdzinājuma nodrošināšanai nav nepieciešams noteikt pienākumu maksāt sodošu kaitējuma atlīdzinājumu (
7
).
Tā paskaidro, ka VDAR paredzētajām tiesībām saņemt atlīdzinājumu piemītošā tikai vienīgi kompensējošā funkcija liedz to, ka pārziņa izdarīta šīs regulas pārkāpuma smaguma pakāpe un iespējamais tīšums tiek ņemti vērā, lai atlīdzinātu kaitējumu uz tā pamata. Tādējādi pārziņa attieksmi un motivāciju nevar ņemt vērā, lai attiecīgā gadījumā datu subjektam piešķirtu atlīdzinājumu, kas apmēra vai veida ziņā ir mazāks par viņam konkrēti nodarīto kaitējumu.
Visbeidzot, ceturtām kārtām, Tiesa atzīst, ka VDAR 82. panta 1. punkts liedz apstākli, ka datu subjekts saskaņā ar piemērojamajām valsts tiesībām ir panācis pārzinim saistošu rīkojumu atturēties no šīs regulas pārkāpuma atkārtošanas, ņemt vērā, lai mazinātu saskaņā ar šo pantu par nemateriālo kaitējumu maksājamā finansiālā atlīdzinājuma apmēru vai a fortiori šo atlīdzinājumu aizstātu.
Tiesa atgādina savu jau agrāk izteikto atziņu, ka, ievērojot no efektivitātes principa izrietošās robežas, noteikti apstākļi var ietekmēt saskaņā ar VDAR 82. pantu veicamā atlīdzinājuma apmēra noteikšanu, it īpaši, lai ierobežotu šo atlīdzinājumu. Savukārt piemērojamajās valsts tiesībās paredzētu atlīdzinājuma veidu var uzskatīt par atbilstīgu VDAR tikai tad, ja tas pēc savas iedabas ir tāds, kas nodrošina pilnīgu un iedarbīgu datu subjektam nodarītā kaitējuma atlīdzināšanu. Konkrēti, atlīdzinājums, kas pienākas saskaņā ar VDAR 82. pantu, nevar tikt daļēji vai pilnībā piešķirts atturēšanās rīkojuma formā tāpēc, ka tiesībām uz kaitējuma atlīdzinājumu ir tikai un vienīgi kompensējoša funkcija, savukārt kaitējuma nodarītājam saistoša atturēšanās rīkojuma mērķis ir tīri preventīvs.
(
1
)	Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 17., 18., 79. un 82. pants.
(
2
)	Proti, VDAR VIII nodaļā “Tiesību aizsardzības līdzekļi, atbildība un sankcijas”, kurā ir ietverti arī tās 77.–79. pants.
(
3
)	VDAR 82. panta 1. punkts.
(
4
)	Šajā nozīmē skat. spriedumus, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi) (C‑300/21, EU:C:2023:370, 51. punkts), kā arī 2024. gada 4. oktobris, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, 147. un 149. punkts).
(
5
)	Skat. VDAR 75. un 85. apsvērumu.
(
6
)	Šajā nozīmē skat. spriedumus, 2024. gada 20. jūnijs, PS (Nepareiza adrese) (C‑590/22, EU:C:2024:536, 32., 35. un 36. punkts), kā arī 2024. gada 4. oktobris, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, 143., 144. un 155. punkts, kā arī tajos minētā judikatūra).
(
7
)	Šajā nozīmē skat. spriedumus, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi) (C‑300/21, EU:C:2023:370, 57. un 58. punkts), kā arī 2024. gada 4. oktobris, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, 34. punkts).