Esialgne tõlge
EUROOPA KOHTU OTSUS (neljas koda)
19. märts 2026(*)
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 12 lõige 5 – Artikli 15 lõige 1 – Andmesubjekti õigus tutvuda oma isikuandmetega – Vastutava töötleja õigus keelduda andmetega tutvumise taotluse menetlemisest – Taotluse ülemäärasus – Õiguste kuritarvitamine – Esimene andmetega tutvumise taotlus – Õigus hüvitisele ja vastutus – Artikli 82 lõige 1 – Andmetega tutvumise õiguse rikkumisel
põhinev hagi – Mittevaraline kahju – Isikuandmete üle kontrolli kaotamine
Kohtuasjas C‑526/24,
mille ese on ELTL artikli 267 alusel Amtsgericht Arnsbergi (Arnsbergi esimese astme kohus, Saksamaa) 31. juuli 2024. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse samal päeval, menetluses
Brillen Rottler GmbH & Co. KG
versus
TC,
EUROOPA KOHUS (neljas koda),
koosseisus: koja president I. Jarukaitis, Euroopa Kohtu president K. Lenaerts neljanda koja kohtuniku ülesannetes, kohtunikud M. Condinanzi, N. Jääskinen ja R. Frendo (ettekandja),
kohtujurist: M. Szpunar,
kohtusekretär: ametnik I. Illéssy,
arvestades kirjalikku menetlust ja 5. juuni 2025. aasta kohtuistungil esitatut,
arvestades seisukohti, mille esitasid:
–        Brillen Rottler GmbH & Co. KG, esindaja: Rechtsanwalt J. Tröber,
–        TC, esindaja: Rechtsanwalt P. Brandt,
–        Euroopa Komisjon, esindajad: A. Bouchagiar, M. Heller ja H. Kranenborg,
olles 18. septembri 2025. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
on teinud järgmise
kohtuotsuse
1        Eelotsusetaotlus käsitleb Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 4
punkti 2, artikli 12 lõike 5 ja artikli 82 lõike 1 tõlgendamist.
2        Taotlus on esitatud optikaettevõtja,
perefirma Brillen Rottler GmbH & Co. KG (edaspidi „Brillen Rottler“) ja üksikisiku TC vahelises kohtuvaidluses selle üle, et nimetatud ettevõtja keeldus rahuldamast TC isikuandmetega tutvumise taotlust, mille ta esitas isikuandmete kaitse üldmääruse artikli 15 alusel.
Õiguslik raamistik
3        Isikuandmete kaitse üldmääruse põhjendustes 4, 10, 11, 63, 85, 141 ja 146 on märgitud:
„(4)      Isikuandmete töötlemine peaks olema mõeldud teenima inimesi. Õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele. Käesolevas määruses austatakse kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja [Euroopa Liidu põhiõiguste hartas (edaspidi „harta“)] tunnustatud põhimõtetest, eelkõige õigusest era- ja perekonnaelu, kodu ja edastatavate sõnumite saladuse austamisele, isikuandmete kaitsest, mõtte-, südametunnistuse- ja usuvabadusest, sõna- ja teabevabadusest, ettevõtlusvabadusest, õigusest tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele ning kultuurilisele, usulisele ja keelelisele mitmekesisusele.
[…]
(10)      Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel [Euroopa L]iidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. […]
(11)      Tõhusaks isikuandmete kaitseks kogu liidus tuleb tugevdada ja täpsustada andmesubjektide õigusi ning isikuandmete töötlejate ja töötlemise üle otsustajate kohustusi, aga ka nendele vastavaid volitusi isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel, ning rikkujatele määratavaid karistusi liikmesriikides.
[…]
(63)      Selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada. […]
(85)      Isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigeaegselt ei käsitleta, võib põhjustada füüsilistele isikutele füüsilise, materiaalse või mittemateriaalse kahju, nagu kontrolli kaotamine oma isikuandmete üle või õiguste piiramine, diskrimineerimine, identiteedivargus või pettus, rahaline kahju, pseudonümiseerimise loata tühistamine, maine kahjustamine, ametisaladusega kaitstud andmete konfidentsiaalsuse kadu või mõni muu tõsine majanduslik või sotsiaalne kahju asjaomasele füüsilisele isikule. […]
[…]
(141)      Igal andmesubjektil peaks olema õigus esitada kaebus ühele järelevalveasutusele, eelkõige liikmesriigis, kus on tema alaline elukoht, ja õigus tõhusale õiguskaitsevahendile kooskõlas harta artikliga 47, kui andmesubjekt on seisukohal, et tema käesoleva määruse kohaseid õigusi on rikutud […].
[…]
(146)      Vastutav töötleja […] peaks hüvitama igasuguse kahju, mida füüsilisele isikule võib põhjustada töötlemine, mis ei ole käesoleva määrusega kooskõlas. Vastutav töötleja […] tuleks sellest vastutusest vabastada, kui ta tõendab, et ta ei ole kahju eest mingil viisil vastutav. Kahju mõistet tuleks Euroopa Kohtu praktikat arvestades tõlgendada laialt ja sellisel viisil, mis kajastab täielikult käesoleva määruse eesmärke. […] Andmesubjektid peaksid saama täieliku ja tõhusa hüvitise kahju eest, mida nad on kandnud. […]“.
4        Sama määruse artiklis 4 „Mõisted“ on sätestatud:
„Käesolevas määruses kasutatakse järgmisi mõisteid:
[…]
2)      „isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine;
[…]“.
5        Määruse artikli 12 „Selge teave, teavitamine ja andmesubjekti õiguste teostamise kord“ lõigetes 1, 2 ja 5 on sätestatud:
„1.      Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest […].
2.      Vastutav töötleja aitab kaasa artiklite 15–22 kohaste andmesubjekti õiguste kasutamisele. […]
[…]
5.      Artiklite 13 ja 14 kohase teabe esitamine ning artiklite 15–22 ja 34 kohane teavitamine ja meetmete võtmine on tasuta. Kui andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib vastutav töötleja kas:
a)      küsida mõistlikku tasu, võttes arvesse halduskulu, mis kaasneb teabe esitamise või teavitamise või taotletud meetmete võtmisega, või
b)      keelduda taotletud meetmete võtmisest.
Vastutaval töötlejal lasub kohustus tõendada, et taotlus on selgelt põhjendamatu või ülemäärane.“
6        Sama määruse artikli 15 „Andmesubjekti õigus tutvuda andmetega“ lõikes 1 on sätestatud:
„Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitust selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse, ning sellisel juhul tutvuda isikuandmete ja järgmise teabega:
[…]“.
7        Isikuandmete kaitse üldmääruse artikli 26 „Kaasvastutavad töötlejad“ lõikes 1 on sätestatud:
„Kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. […]“.
8        Määruse artikli 30 „Isikuandmete töötlemise toimingute registreerimine“ lõikes 1 on sätestatud:
„Vastutav töötleja ja asjakohasel juhul vastutava töötleja esindaja registreerib tema vastutusel tehtavad isikuandmete töötlemise toimingud. […]“.
9        Määruse artikli 57 „Ülesanded“ lõigetes 1 ja 4 on sätestatud:
„1.      Ilma et see piiraks muude käesoleva määrusega sätestatud ülesannete täitmist, teeb järelevalveasutus oma territooriumil järgmist:
[…]
f)      käsitleb andmesubjekti, asutuse, organisatsiooni või ühenduse poolt artikli 80 kohaselt esitatud kaebusi, uurib asjakohasel määral kaebuste sisu […];
[…]
4.      Kui taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib järelevalveasutus nõuda halduskuludel põhinevat mõistlikku tasu või keelduda taotlust menetlemast. Järelevalveasutus on kohustatud tõendama taotluse selgelt põhjendamatut või ülemäärast iseloomu.“
10      Määruse artikli 79 „Õigus tõhusale õiguskaitsevahendile vastutava töötleja või volitatud töötleja vastu“ lõikes 1 on sätestatud:
„Ilma et see piiraks mis tahes kättesaadava haldusliku kaitsevahendi või kohtuvälise heastamisvahendi kohaldamist, sealhulgas õigust esitada järelevalveasutusele artikli 77 kohaselt kaebus, on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui ta leiab, et tema käesolevast määrusest tulenevaid õigusi on rikutud tema isikuandmete tema isikuandmete sellise töötlemise tulemusel, millega rikutakse käesolevat määrust.“
11      Isikuandmete kaitse üldmääruse artikli 82 „Õigus hüvitisele ja vastutus“ lõigetes 1, 2 ja 4 on sätestatud:
„1.      Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest.
2.      Kõnealuse töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse käesolevat määrust. […]
[…]
4.      Kui sama töötlemisega on seotud rohkem kui üks vastutav töötleja või volitatud töötleja või nii vastutav kui ka volitatud töötleja ning nad on lõigete 2 ja 3 kohaselt vastutavad töötlemisega tekitatud kahju eest, võetakse vastutav töötleja või volitatud töötleja vastutusele kogu kahju eest, et tagada andmesubjektile tõhus hüvitamine.“
Põhikohtuasi ja eelotsuse küsimused
12      Austrias elav füüsiline isik TC registreerus 2023. aasta märtsis Arnsbergis (Saksamaa) asuva optikaettevõtja, perefirma
Brillen Rottler uudiskirja tellijaks, sisestades oma isikuandmed selle ettevõtja veebisaidil registreerumisvormi, ja andis nõusoleku nende andmete töötlemiseks. Kolmteist päeva hiljem saatis TC Brillen Rottlerile isikuandmete kaitse üldmääruse artikli 15 alusel andmetega tutvumise taotluse.
13      Brillen Rottler lükkas õigusaktides ettenähtud ühekuulise tähtaja jooksul andmetega tutvumise taotluse tagasi põhjendusel, et see on kuritarvituslik isikuandmete kaitse üldmääruse artikli 12 lõike 5 esimese lõigu teise lause tähenduses. Ta palus TC-l taotlusest lõplikult loobuda.
14      Kuna viimati
nimetatu jäi oma andmetega tutvumise taotluse juurde ja lisas sellele isikuandmete kaitse üldmääruse artikli 82 alusel kahju hüvitamise nõude summas 1000 eurot, esitas Brillen Rottler eelotsusetaotluse esitanud kohtule, Amtsgericht Arnsbergile (Arnsbergi esimese astme kohus, Saksamaa), negatiivse tuvastushagi, milles palus tuvastada, et TC-l ei ole õigust hüvitisele.
15      Oma nõude põhjenduseks väidab Brillen Rottler, et erinevatest veebis avaldatud teadetest ja advokaatide blogide
postitustest nähtub, et TC on esitanud süstemaatiliselt ja õigust kuritarvitades andmetega tutvumise taotlusi üksnes selleks, et saada hüvitist, tuginedes isikuandmete kaitse üldmääruse rikkumisele, mida ta kutsub tahtlikult esile. TC tegutsemisviis seisneb selles, et ta esmalt registreerub uudiskirja tellijaks, seejärel esitab andmetega tutvumise taotluse ja lõpuks kahju hüvitamise nõude.
16      TC väidab eelotsusetaotluse esitanud kohtus, et Brillen Rottlerile esitatud andmetega tutvumise taotlus on õiguspärane, et see on talle isikuandmete kaitse üldmääruse artikliga 15 antud õiguse andmetega tutvuda väljendus ning et äriühing püüab õigusvastaselt piirata talle selle määrusega antud õigusi. Vastuhagis palub ta, et Brillen Rottlerilt mõistetaks tema kasuks välja hüvitis vähemalt 1000 eurot mittevaralise kahju eest, mis tekkis seetõttu, et äriühing keeldus võimaldamast tal tutvuda tema isikuandmetega.
17      Eelotsusetaotluse esitanud kohtus soovib esiteks teada, kas andmesubjekti esimest andmetega tutvumise taotlust võib pidada „ülemääraseks taotluseks“ isikuandmete kaitse üldmääruse artikli 12 lõike 5 tähenduses ja seega õiguse kuritarvitamiseks ning millised on asjaolud, mis võimaldavad tuvastada, et see on ülemäärane. Täpsemalt küsib ta, kas vastutav töötleja võib selle sätte alusel andmetega tutvumise taotluse tagasilükkamisel tugineda avalikule teabele, millest nähtub, et sama isik on esitanud teistele vastutavatele töötlejatele palju taotlusi oma andmetega tutvumiseks ja kahju hüvitamiseks.
18      Teiseks esitab see kohus küsimuse, kas isikuandmete kaitse üldmääruse artikli 15 lõike 1 alusel esitatud andmetega tutvumise taotlus ja/või vastus sellele taotlusele kujutavad endast „töötlemist“ selle määruse artikli 4
punkti 2 tähenduses.
19      Kolmandaks kahtleb eelotsusetaotluse esitanud kohus sellise kahju kindlakstegemise kriteeriumides, mida võidakse isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel hüvitada, ja eelkõige selles, kas isegi töötlemise puudumisel annab see artikkel õiguse hüvitisele üksnes selle määruse artikli 15 lõikes 1 ette nähtud andmetega tutvumise õiguse rikkumise tõttu.
20      Neil asjaoludel otsustas Amtsgericht Arnsberg (Arnsbergi esimese astme kohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1.      Kas isikuandmete kaitse üldmääruse artikli 12 lõike 5 [esimese lõigu] teist lauset tuleb tõlgendada nii, et andmesubjekti poolt vastutavale töötlejale esitatud esimest taotlust andmetega tutvuda ei saa pidada ülemääraseks taotluseks?
2.      Kas isikuandmete kaitse üldmääruse artikli 12 lõike 5 [esimese lõigu] teist lauset tuleb tõlgendada nii, et vastutav töötleja võib tagasi lükata andmesubjekti taotluse tutvuda andmetega, juhul kui andmesubjekt on esitanud taotluse kavatsusega saada vastutavalt töötlejalt hüvitist?
3.      Kas isikuandmete kaitse üldmääruse artikli 12 lõike 5 [esimese lõigu] teist lauset tuleb tõlgendada nii, et avalik teave andmesubjekti kohta, mis võimaldab järeldada, et andmesubjekt esitab andmekaitsenõuete rikkumise korral paljudel juhtudel vastutavate töötlejate vastu kahju hüvitamise nõudeid, võib õigustada andmetega tutvumise taotluse tagasilükkamist?
4.      Kas isikuandmete kaitse üldmääruse artikli 4
punkti 2 tuleb tõlgendada nii, et andmesubjekti poolt selle määruse artikli 15 lõike 1 alusel vastutavale töötlejale esitatud andmetega tutvumise taotlus ja/või sellele vastamine kujutab endast isikuandmete töötlemist [esimese viidatud sätte] tähenduses?
5.      Kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1, lähtudes selle määruse põhjenduse 146 esimesest lausest, tuleb tõlgendada nii, et hüvitamisele kuulub üksnes kahju, mida andmesubjektile on põhjustanud isikuandmete töötlemine? Kas see tähendab, et selle määruse artikli 82 lõike 1 kohase hüvitise saamise õiguse tingimuseks on andmesubjekti isikuandmete töötlemine (eeldusel, et andmesubjektile põhjustatud kahju puhul on olemas põhjuslik seos)?
6.      Kui vastus viiendale küsimusele on jaatav, kas see toob endaga kaasa selle, et andmesubjektil ei ole isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel õigust nõuda kahju hüvitamist üksnes selle määruse artikli 15 lõikes 1 ette nähtud andmetega tutvumise õiguse rikkumise tõttu (eeldusel, et selle rikkumisega on andmesubjektile tekkinud kahju)?
7.      Kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et liidu õiguse alusel ei saa vastutav töötleja esitada andmesubjekti andmetega tutvumise taotlusele vastuväidet, et tegemist õiguse kuritarvitamisega, mis seisneb selles, et andmesubjekt on oma isikuandmete töötlemise esile kutsunud üksnes või just nimelt selleks, et kasutada oma õigust kahju hüvitamisele?
8.      Kui viiendale ja kuuendale küsimusele vastatakse eitavalt,
kas isikuandmete kaitse üldmääruse artikli 15 lõike 1 rikkumise tõttu kujutab üksnes andmesubjekti kontrolli kaotamine oma isikuandmete töötlemise üle ja/või tema ebakindlus küsimuses, kas tema isikuandmeid on töödeldud, endast andmesubjektile tekkinud mittevaralist kahju isikuandmete kaitse üldmääruse artikli 82 lõike 1 tähenduses või on ka vaja, et andmesubjekt on saanud kahju täiendava (objektiivse või subjektiivse) piiramise ja/või (olulise) kahjustamise tõttu?“
Eelotsuse küsimuste analüüs
Esimene kuni kolmas ja seitsmes küsimus
21      Esimese kuni kolmanda ja seitsmenda küsimusega, mida tuleb analüüsida koos ja esimesena, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 12 lõiget 5 tuleb tõlgendada nii, et esimest isikuandmetega tutvumise taotlust, mille andmesubjekt on selle määruse artikli 15 alusel esitanud vastutavale töötlejale, saab pidada „ülemääraseks“ artikli 12 lõike 5 tähenduses, ning kui see on nii, siis millised asjaolud võimaldavad vajaduse korral tuvastada, et see on ülemäärane.
22      Sellega seoses tuleb märkida, et isikuandmete kaitse üldmääruse artikli 15 lõige 1 tagab andmesubjekti õiguse saada vastutavalt töötlejalt kinnitus selle kohta, kas tema isikuandmeid töödeldakse või mitte, ning kui neid töödeldakse, siis andmesubjekti õiguse tutvuda nende andmetega ja nendega seotud teabega (vt selle kohta 26. oktoobri 2023. aasta kohtuotsus FT (tervisetoimiku koopiad), C‑307/22, EU:C:2023:811, punkt 31).
23      Lisaks on isikuandmete kaitse üldmääruse artikli 12 lõikes 5 sätestatud põhimõte, et andmetega tutvumise õiguse kasutamisega ei kaasne andmesubjektile mingeid kulusid. Samas on selles sättes ette nähtud kaks põhjust, miks vastutav töötleja võib kas nõuda mõistlikku tasu, võttes arvesse halduskulu, või keelduda andmetega tutvumise taotluse menetlemisest. Need põhjused on seotud õiguste kuritarvitamise juhtumitega, mille puhul tuleb andmesubjekti taotlusi pidada „selgelt põhjendamatuks“ või „ülemääraseks“, eelkõige seetõttu, et need on korduvad (26. oktoobri 2023. aasta kohtuotsus FT (tervisetoimiku koopiad), C‑307/22, EU:C:2023:811, punkt 31).
24      Mis puudutab esiteks küsimust, kas esimest andmetega tutvumise taotlust, mille andmesubjekt on isikuandmete kaitse üldmääruse artikli 15 alusel esitanud vastutavale töötlejale, võib pidada „ülemääraseks“, siis tuleb märkida, et kuna mõistet „ülemäärased taotlused“ ei ole selles määruses määratletud, tuleb väljakujunenud kohtupraktika kohaselt selle tõlgendamiseks arvesse võtta nii selle määruse artikli 12 lõike 5 sõnastust, lähtudes selle harjumuspärasest tähendusest argikeeles, kui ka õigusnormi konteksti ja selle õigusaktiga taotletavaid eesmärke, mille osa see säte on (vt 17. novembri 1983. aasta kohtuotsus Merck, 292/82, EU:C:1983:335, punkt 12, ja 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punkt 24 ja seal viidatud kohtupraktika).
25      Mis puudutab artikli 12 lõike 5 sõnastust ja eelkõige mõiste „ülemäärased taotlused“ tähendust argikeeles, siis omadussõna „ülemäärane“ tähistab midagi, mis ületab tavalist või mõistlikku mõõtu või läheb soovitavast või lubatud mõõdust kaugemale (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punkt 43). Ainuüksi selle omadussõna kasutamine, mis on seotud nii kvalitatiivsete kui ka kvantitatiivsete omadustega, ei võimalda seega välistada, et esimene andmetega tutvumise taotlus on ülemäärane.
26      Teisalt nähtub isikuandmete kaitse üldmääruse artikli 12 lõike 5 sõnastusest, et taotlused võivad olla ülemäärased „eelkõige oma korduva iseloomu tõttu“. Ühe isiku esitatud taotluste paljusus võib seega olla märk sellest, et taotlused on ülemäärased (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punkt 57). Siiski, nagu kohtujurist oma ettepaneku punktis 28 sisuliselt rõhutas, on korduvus selles sättes mainitud üksnes näitlikuna, ja andmetega tutvumise taotluse kvalifitseerimine „ülemääraseks“ ei eelda, et see taotlus kuuluks tingimata sama isiku poolt
paljude taotluste esitamise konteksti.
27      Isikuandmete kaitse üldmääruse artikli 12 lõike 5 grammatilist tõlgendust arvestades ei saa seega välistada, et esimest andmetega tutvumise taotlust saab pidada selle sätte tähenduses „ülemääraseks“.
28      Seda järeldust kinnitab ka isikuandmete kaitse üldmääruse artikli 12 lõike 5 esimese lõigu teise lause kontekst. Sellega seoses tuleb korrata, et artiklis 12, mis asub selle määruse III peatükis, milles on sätestatud andmesubjekti õigused, on esitatud vastutava töötleja üldised kohustused seoses teabe ja teavitamise läbipaistvusega ning kehtestatud andmesubjekti õiguste kasutamise kord. Nimetatud artikli 12
lõike 2 esimese lause kohaselt peab vastutav töötleja aitama kaasa nende õiguste kasutamisele, mis on andmesubjektile antud muu hulgas selle määruse artikliga 15, mis täiendab selle määrusega loodud läbipaistvusraamistikku, andes andmesubjektile õiguse tutvuda oma isikuandmetega (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punktid 45 ja 46).
29      Seega, andes põhjendamatute või ülemääraste taotluste korral vastutavatele töötlejatele ka võimaluse nõuda halduskuludel põhinevat mõistlikku tasu või keelduda taotluse menetlemisest, on selle artikli 12 lõikega 5 kehtestatud muu hulgas erand andmetega tutvumise õiguse hõlbustamise kohustusest, mida tuleb tõlgendada kitsalt (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punkt 33).
30      Samas nähtub Euroopa Kohtu praktikast isikuandmete kaitse üldmääruse artikli 57 lõikes 4 sisalduva mõiste „ülemäärased taotlused“ tõlgendamise kohta – mis on käesolevale kohtuasjale ülekantav, sest see säte on sõnastatud sisuliselt analoogselt selle määruse artikli 12 lõikega 5 ja sellel on sama eesmärk kui viimati nimetatud artiklil –, et see väljendab liidu õiguse üldpõhimõtet, mille kohaselt ei tohi õigussubjektid liidu õigusnorme ära kasutada pettuse või kuritarvituse eesmärgil (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punkt 49). Nimelt ei saa liidu õigusnorme kohaldada nii laialt, et need hõlmaksid tehinguid, mida tehakse kuritarvitamise eesmärgil (vt selle kohta 19. septembri 2024. aasta kohtuotsus
Matmut, C‑236/23, EU:C:2024:761, punkt 52 ja seal viidatud kohtupraktika).
31      Seega ei määra ainuüksi andmesubjekti poolt vastutavale töötlejale esitatud andmetega tutvumise taotluste arv kindlaks vastutava töötleja õigust kasutada talle isikuandmete kaitse üldmääruse artikli 12 lõikega 5 antud võimalust keelduda taotluse menetlemisest, mistõttu võib vastutav töötleja seda kasutada isegi esimese andmetega tutvumise taotluse puhul, kui ta tõendab iga juhtumi kõiki asjasse puutuvaid asjaolusid arvestades, et sellel isikul oli kuritarvituslik kavatsus (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punkt 50).
32      See kontekstipõhine tõlgendus on kooskõlas isikuandmete kaitse üldmääruse eesmärkidega. Sellega seoses tuleb märkida, et selle määruse eesmärk on – nagu on märgitud selle põhjendustes 10 ja 11 – tagada liidus füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning tugevdada ja täpsustada andmesubjektide õigusi. Seega on määruse artiklis 12 ette nähtud vastutava töötleja kohustused, mis puudutavad eelkõige sama määruse artikli 15 kohast teavitamist, kavandatud mehhanismina, mis suudab tõhusalt kaitsta andmesubjektide õigusi ja huve (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punktid 38 ja 39 ning seal viidatud kohtupraktika).
33      Samas on isikuandmete kaitse üldmääruse artiklis 4 sätestatud, et õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele. Lisaks on Euroopa Kohus juba rõhutanud, et mehhanismid, mis võimaldavad leida õiglase tasakaalu erinevate asjasse puutuvate õiguste ja huvide vahel, leiduvad isikuandmete kaitse üldmääruses endas (21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 54 ja seal viidatud kohtupraktika).
34      Seega, et tagada õiglase tasakaalu leidmine selle erandi abil ja selle kasulik mõju, on kuritarvitusliku käitumise tuvastamisel asjakohane kriteerium see, et andmetega tutvumise taotlus on ülemäärane, mida vastavalt käesoleva kohtuotsuse punktile 26 hinnatakse kvalitatiivselt, ja see ei saa sõltuda üksnes asjaomase isiku esitatud andmetega tutvumise taotluste arvust ega seega asjaolust, et tegemist on tema esimese taotlusega.
35      Sellest järeldub, et isikuandmete kaitse üldmääruse artikli 15 alusel vastutavale töötlejale esitatud esimest andmetega tutvumise taotlust saab pidada „ülemääraseks“ selle määruse artikli 12 lõike 5 tähenduses. Samas, kuna mõistet „ülemäärased taotlused“ tuleb tõlgendada kitsalt, nagu nähtub käesoleva kohtuotsuse punktist 29, võib vastutav töötleja tugineda ülemäärasusele üksnes erandkorras, ning nagu märkis kohtujurist oma ettepaneku punktis 34, peavad esimese dokumentidega tutvumise taotluse ülemääraseks kvalifitseerimise kriteeriumid olema ranged. Samuti on oluline rõhutada, et isikuandmete kaitse üldmääruse artikli 12 lõike 5 teisest lõigust tuleneb sõnaselgelt, et vastutaval töötlejal lasub kohustus tõendada, et taotlus on ülemäärane.
36      Teiseks, mis puudutab asjaolusid, mille korral võib andmesubjekti esimese andmetega tutvumise taotluse kvalifitseerida „ülemääraseks“ isikuandmete kaitse üldmääruse artikli 12 lõike 5 tähenduses ja mille puhul võib seega olla tegemist õiguste kuritarvitamisega käesoleva kohtuotsuse punktides 23 ja 30 viidatud kohtupraktika tähenduses, siis tuleb märkida, et kuritarvituse tõendamine eeldab ühelt poolt objektiivsete asjaolude kogumit, millest tuleneb, et vaatamata liidu õigusnormides ette nähtud tingimuste formaalsele täitmisele ei ole nende õigusnormidega taotletavat eesmärki saavutatud, ning teiselt poolt subjektiivset elementi, milleks on andmesubjekti tahe saada liidu õigusnormidest tulenev eelis, luues kunstlikult selle saamiseks vajalikud tingimused. Selline kvalifikatsioon eeldab ka, et arvesse võetakse kõik juhtumi faktid ja asjaolud (vt selle kohta 21. detsembri 2023. aasta kohtuotsus BMW Bank jt, C‑38/21, C‑47/21 ja C‑232/21, EU:C:2023:1014, punktid 285 ja 286 ning seal viidatud kohtupraktika).
37      Esimesena tuleb märkida kuritarvituse objektiivse elemendi kohta, et isikuandmete kaitse üldmääruse põhjendusest 63 lähtudes on selle artikli 15 eesmärk anda andmesubjektile õigus tutvuda tema kohta kogutud isikuandmetega ja kasutada seda õigust lihtsalt ja mõistlike ajavahemike järel, et olla teadlik nende andmete töötlemisest ja kontrollida selle seaduslikkust, et ta saaks vajaduse korral kasutada oma õigust andmete parandamisele, kustutamisele ja töötlemise piiramisele, õigust esitada vastuväiteid ning õigust õiguskaitsevahendile tekkinud kahju korral (vt selle kohta 12. jaanuari 2023. aasta kohtuotsus Österreichische Post (teave isikuandmete vastuvõtjate kohta), C‑154/21, EU:C:2023:3, punktid 37 ja 38).
38      Nagu nähtub Euroopa Kohtu käsutuses olevast toimikust, esitas TC kõnealusel juhul põhikohtuasjas käsitletava andmetega tutvumise taotluse pärast seda, kui ta oli registreerunud Brillen Rottleri uudiskirja tellijaks ja edastanud viimasele selle registreerimise käigus teatud isikuandmed, mistõttu võib see andmetega tutvumise taotlus vormiliselt kujutada endast TC andmetega tutvumise õiguse rakendamist nende õigusnormide eesmärgi saavutamiseks.
39      Arvestades aga käesoleva kohtuotsuse punktis 36 viidatud kohtupraktikat, ei võimalda isikuandmete kaitse üldmääruse artikli 15 kohaldamise tingimuste vormiline järgimine iseenesest välistada, et andmetega tutvumise taotlus on „ülemäärane“ ja seega esineb õiguse kuritarvitamine.
40      Mis teisena puudutab kuritarvituse subjektiivset elementi, siis tuleb märkida, et andmetega tutvumise taotluse kvalifitseerimiseks „ülemääraseks“ isikuandmete kaitse üldmääruse artikli 12 lõike 5 tähenduses peab vastutav töötleja iga juhtumi kõiki asjasse puutuvaid asjaolusid arvestades tõendama, et andmesubjektil on kuritarvituslik kavatsus, kusjuures sellise kavatsuse võib tuvastada, kui see isik esitab selle taotluse muul eesmärgil kui selleks, et olla teadlik nende andmete töötlemisest ja kontrollida selle õiguspärasust, et seejärel oleks tal võimalik saada sellest määrusest tulenevate õiguste kaitse (vt selle kohta 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused), C‑416/23, EU:C:2025:3, punktid 50 ja 56).
41      Seega, võttes käesoleval juhul eelkõige arvesse käesoleva kohtuotsuse punktis 35 esitatut, peab vastutav töötleja üheselt mõistetavalt tõendama, et andmesubjekt esitas isikuandmete kaitse üldmääruse artikli 15 alusel andmetega tutvumise taotluse mitte selleks, et saada teada sellest töötlemisest, vaid et luua kunstlikult tingimused, mis on nõutavad vastutavalt töötlejalt hüvitise saamiseks.
42      Seejuures tuleb arvesse võtta kõiki juhtumi asjaolusid, muu hulgas asjaolu, et andmesubjekt edastas isikuandmed vabatahtlikult, nende andmete edastamise eesmärki, nende andmete edastamise ja andmetega tutvumise taotluse vahele jäänud aega ning selle isiku käitumist.
43      Selles kontekstis soovib eelotsusetaotluse esitanud kohus teada, kas hindamisel, kas õigusi on kuritarvitatud, on võimalik arvesse võtta avalikku teavet, mis viitab sellele, et TC on süstemaatiliselt esitanud oma isikuandmetega tutvumise taotlusi ja kahju hüvitamise taotlusi erinevatele vastutavatele töötlejatele käesoleval juhul kasutatud tegevusviisiga sarnaselt. Sellega seoses tuleb märkida, et seda asjaolu võib tõepoolest arvesse võtta asjaomase isiku kuritarvitusliku kavatsuse tuvastamisel, kui seda kinnitavad muud asjakohased asjaolud.
44      Seega peab eelotsusetaotluse esitanud kohus käesoleval juhul kontrollima, kas kõiki asjasse puutuvaid asjaolusid arvestades on Brillen Rottler tõendanud, et TC‑l oli asjaomase andmetega tutvumise taotluse esitamisel kuritarvituslik kavatsus.
45      Eeltoodud kaalutlusi arvestades tuleb esimesele kuni kolmandale ja seitsmendale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 12 lõiget 5 tuleb tõlgendada nii, et esimest isikuandmetega tutvumise taotlust, mille andmesubjekt on esitanud vastutavale töötlejale selle määruse artikli 15 alusel, võib pidada „ülemääraseks“ artikli 12 lõike 5 tähenduses, kui vastutav töötleja kõigist juhtumi asjakohastest asjaoludest lähtudes tõendab, et vaatamata nendes sätetes ette nähtud tingimuste vormilisele täitmisele, ei esitanud andmesubjekt seda taotlust mitte selleks, et saada teada nende andmete töötlemisest ja kontrollida selle õiguspärasust, et tal oleks seejärel võimalik saada sellest määrusest tulenevate õiguste kaitse, vaid sellise kuritarvitusliku kavatsusega nagu sellest määrusest tuleneva eelise saamiseks nõutavate tingimuste kunstlik tekitamine. Sellise kuritarvitusliku kavatsuse tuvastamisel võib arvesse võtta asjaolu, et avaliku teabe kohaselt on see andmesubjekt esitanud mitu taotlust oma isikuandmetega tutvumiseks, millele järgnesid kahju hüvitamise nõuded erinevatele vastutavatele töötlejatele.
Viies ja kuues küsimus
46      Viienda ja kuuenda küsimusega, mida tuleb analüüsida koos ja teises järjekorras, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et see annab andmesubjektile õiguse saada hüvitist kahju eest, mis tuleneb selle määruse artikli 15 lõikes 1 ette nähtud õiguse tutvuda andmetega rikkumisest.
47      Nagu on märgitud käesoleva kohtuotsuse punktis 24, tuleb väljakujunenud kohtupraktika kohaselt liidu õigusnormi tõlgendamisel arvesse võtta mitte ainult selle sõnastust, vaid ka konteksti ja sellega taotletavaid eesmärke.
48      Isikuandmete kaitse üldmääruse artikli 82 lõike 1 sõnastusest tuleneb, et igal isikul, kes on kandnud selle määruse rikkumise tulemusel varalist või mittevaralist kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest. Tuleb tõdeda, et see säte ei sisalda ühtegi viidet „töötlemisele“, mistõttu ei saa see õigus hüvitisele piirduda isikuandmete töötlemisega tekitatud kahjuga.
49      Seda järeldust kinnitab esiteks see, kui analüüsida seda sätet kontekstipõhiselt, lähtudes isikuandmete kaitse üldmääruse põhjendusest 141, mille kohaselt peab igal andmesubjektil olema õigus tõhusale õiguskaitsevahendile vastavalt harta artiklile 47, „kui ta leiab, et tema […] määruse kohaseid õigusi on rikutud“. Isikuandmete kaitse üldmääruse artikli 82 lõige 1 on nimelt selle määruse VIII peatükis, mis reguleerib õiguskaitsevahendeid, vastutust käsitlevaid norme ja karistusi, mis võimaldavad neid õigusi kaitsta. Need õigused hõlmavad samas nii andmesubjekti õigust teabele, mis on ette nähtud selle määruse artiklis 12, kui ka tema õigust tutvuda andmetega selle määruse artikli 15 lõike 1 alusel, mistõttu tuleb neid kaitsta sama määruse artikliga 82, mida tuleb seega tõlgendada nii, et see on kohaldatav ka artiklite 12 ja 15 rikkumisest tuleneva kahju suhtes.
50      Sellist tõlgendust ei sea kahtluse alla asjaolu, et ühelt poolt nähtub isikuandmete kaitse üldmääruse põhjendusest 146, et vastutav töötleja peab hüvitama igasuguse kahju, mida füüsilisele isikule võib põhjustada „töötlemine“, mis ei ole selle määrusega kooskõlas, ja et teiselt poolt on selle määruse artikli 82 lõigetes 2 ja 4 nimetatud „töötlemisega tekitatud kahju“.
51      Nimelt, nagu komisjon oma kirjalikes seisukohtades sisuliselt väidab, võib isikuandmete kaitse üldmääruse III peatüki sätetes ette nähtud õiguste, eelkõige andmetega tutvumise ja parandamise ning kustutamise, töötlemise piiramise ja ülekandmise õiguse väidetav rikkumine tuleneda mitte isikuandmete tegelikust töötlemisest kui sellisest, vaid pigem keeldumisest menetleda andmesubjekti taotlust nende õiguste kasutamise kohta. Seega, kui seada isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel hüvitise saamise õigus sõltuvusse töötlemisest kui sellisest tuleneva kahju olemasolust, jääksid sellised juhtumid selle sätte kohaldamisalast välja ja sellega kahjustataks selle sätte soovitavat toimet.
52      Lisaks olgu märgitud, et Euroopa Kohus on juba otsustanud, et vastutava töötleja poolt isikuandmete kaitse üldmääruse artiklite 26 ja 30 rikkumine –
seejuures käsitleb esimene artikkel sellise kokkuleppe sõlmimist, milles määratakse kindlaks vastutavate töötlejate vastavad rollid ja nende suhted andmesubjektidega, ning teine töötlemistoimingute registri pidamist – ei kujuta endast „õigusvastast töötlemist“, mis annaks andmesubjektile õiguse andmete kustutamisele või töötlemise piiramisele. Selline rikkumine tuleb seetõttu heastada muude isikuandmete kaitse üldmääruses ette nähtud meetmetega, muu hulgas vastutava töötleja tekitatud kahju hüvitamisega isikuandmete kaitse üldmääruse artikli 82 alusel (vt selle kohta 4. mai 2023. aasta kohtuotsus Bundesrepublik Deutschland (kohtu elektrooniline postkast), C‑60/22, EU:C:2023:373, punktid 66 ja 67).
53      Teiseks kinnitab käesoleva kohtuotsuse punktis 48 esitatud järeldust isikuandmete kaitse üldmääruse artikli 82 lõike 1 teleoloogiline tõlgendus, kuna selle artikli eesmärk on tagada selle määruse eesmärkide elluviimine, milleks on muu hulgas tugevdada andmesubjektide õigusi ning isikuandmete töötlejate ja nende töötlemise üle otsustajate kohustusi, nagu on märgitud selle määruse põhjenduses 11. Nagu kohtujurist oma ettepaneku punktis 72 sisuliselt märkis, nõrgestaks see märkimisväärselt neid õigusi, mille hulka kuulub just nimelt eelotsusetaotluse esitanud kohtu käsitletav andmetega tutvumise õigus, kui artikli 82 lõiget 1 tõlgendataks nii, et see piirdub üksnes kahjuga, mis on tekitatud andmete töötlemist hõlmavate õigusvastaste tegudega.
54      Sellest järeldub, et isegi kui tegemist on isikuandmete kaitse üldmääruse rikkumisega, mis iseenesest ei hõlma andmete töötlemist, võib andmesubjekt tugineda selle määruse artiklis 82 ette nähtud õigusele hüvitisele.
55      Eeltoodut arvestades tuleb viiendale ja kuuendale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et see annab andmesubjektile õiguse saada hüvitist kahju eest, mis tuleneb selle määruse artikli 15 lõikes 1 ette nähtud õiguse tutvuda andmetega rikkumisest.
Neljas küsimus
56      Arvestades viiendale ja kuuendale eelotsuse küsimusele antud vastust, ei ole neljandale küsimusele vaja vastata.
Kaheksas küsimus
57      Kaheksanda küsimusega, mida tuleb analüüsida kolmandana ja viimasena, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et andmesubjektil tekkinud mittevaraline kahju hõlmab kontrolli kaotamist oma isikuandmete üle või ebakindlust küsimuses, kas tema andmeid on töödeldud.
58      Kuna isikuandmete kaitse üldmäärus ei viita liikmesriikide õigusele seoses selles sättes kasutatud mõistete – täpsemalt mõistete „materiaalne või mittemateriaalne kahju“ ja „hüvitis tekitatud kahju eest“ – tähenduse ja ulatusega, tuleb neid mõisteid pidada selle määruse kohaldamisel liidu õiguse autonoomseteks mõisteteks, mida tuleb kõikides liikmesriikides tõlgendada ühetaoliselt (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punkt 30, ja 4. septembri 2025. aasta kohtuotsus Quirin Privatbank, C‑655/23, EU:C:2025:655, punkt 55 ja seal viidatud kohtupraktika).
59      Sellega seoses tuleb korrata, et ei saa asuda seisukohale, et isikuandmete kaitse üldmääruse sätete mis tahes „rikkumine“ iseenesest annab andmesubjektile õiguse hüvitisele. Nimelt on isikuandmete kaitse üldmääruse artikli 82 lõikes 1 sätestatud, et „[i]gal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest“. Selle sätte sõnastusest nähtub selgelt, et „kantud“ või „tekitatud“ „kahju“ olemasolu on üks selles sättes ette nähtud hüvitise saamise õiguse tingimustest, nagu ka isikuandmete kaitse üldmääruse rikkumise toimumine
ning põhjuslik seos kahju ja rikkumise vahel, kusjuures need kolm tingimust on kumulatiivsed (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 31–33, ning 4. septembri 2025. aasta kohtuotsus Quirin Privatbank, C‑655/23, EU:C:2025:655, punkt 56 ja seal viidatud kohtupraktika).
60      Seega ei pea isik, kes nõuab mittevaralise kahju hüvitamist selle sätte alusel, mitte ainuüksi tõendama, et on rikutud isikuandmete kaitse üldmääruse sätteid, vaid peab lisaks tõendama ka seda, et see rikkumine põhjustas talle sellise kahju. Sellist kahju ei saa seega eeldada üksnes rikkumise toimumise tõttu
(4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 141 ja seal viidatud kohtupraktika).
61      Euroopa Kohus on juba otsustanud, et isikuandmete kaitse üldmääruse põhjenduse 85 esimeses lauses toodud näitlikust loetelust „kahju“ kohta, mida andmesubjekt võib kanda, nähtub, et liidu seadusandja soovis hõlmata andmesubjekti kantud „kahju“ mõistega muu hulgas ka pelka „kontrolli kaotamist“ oma isikuandmete üle selle määruse rikkumise tagajärjel, isegi kui nende andmete kuritarvitamist ei ole tegelikult toimunud (4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 145 ja seal viidatud kohtupraktika).
62      Euroopa Kohus on samuti asunud seisukohale, et mõiste „mittevaraline kahju“ ei saa piirduda üksnes teatava raskusastmega kahjuga. Eelkõige ei saa liikmesriigi õigusnormides või praktikas kehtestada „miinimumkünnist“ isikuandmete kaitse üldmääruse rikkumisest tekkinud mittevaralisele kahjule. Andmesubjekt peab siiski tõendama esiteks, et talle on tegelikult tekkinud selline kahju, isegi kui see on minimaalne, ja teiseks, et selle rikkumise tagajärjed, mida ta väidab end olevat kandnud, kujutavad endast kahju, mis on eraldiseisev pelgalt selle määruse sätete rikkumisest (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punktid 22 ja 23).
63      Seega ei saa andmesubjekti pelk väide, et ta kardab kontrolli kaotamist oma isikuandmete üle, anda alust isikuandmete kaitse üldmääruse artikli 82 lõike 1 kohasele hüvitisele (vt selle kohta 20. juuni 2024. aasta kohtuotsus PS (vale aadress), C‑590/22, EU:C:2024:536, punktid 33 ja 35). Seega juhul, kui selle sätte alusel hüvitist nõudev isik tugineb kartusele, et tema isikuandmeid hakatakse tulevikus kuritarvitama, kuna asjaomase määruse rikkumine on toimunud, peab asja menetlev liikmesriigi kohus kontrollima, kas kartust võib pidada põhjendatuks, arvestades konkreetseid asjaolusid ja andmesubjekti isikut (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 143 ja seal viidatud kohtupraktika).
64      Käesoleva kohtuotsuse punktides 59–63 esitatud kaalutlused on kohaldatavad ka olukorras, kus andmesubjekt leiab, et ei ole kindel, kas tema isikuandmeid on töödeldud või mitte.
65      Eelotsusetaotluse esitanud kohtule tarviliku vastuse andmiseks tuleb veel märkida, et asjaomase isiku käitumine võib katkestada põhjusliku seose väidetava rikkumise ja väidetava kahju vahel, kui see käitumine on kahju tekkimise määrav põhjus. Selline
tegevus võib seisneda muu hulgas kahjustatud isiku otsuses, kuid tingimusel, et ta ei olnud sunnitud seda otsust tegema (vt analoogia alusel 18. detsembri 2025. aasta kohtuotsus WS jt vs. Frontex (ühine tagasisaatmisoperatsioon), C‑679/23 P, EU:C:2025:976, punktid 151 ja 152 ning seal viidatud kohtupraktika).
66      Lisaks nähtub käesoleva kohtuotsuse punktis 59
viidatud kohtupraktikast, et põhjusliku seose olemasolu isikuandmete kaitse üldmääruse väidetava rikkumise ja andmesubjektile väidetavalt tekitatud kahju vahel on selle määruse artikli 82 lõike 1 alusel hüvitise saamise õiguse conditio sine qua non. Järelikult ei saa andmesubjektile selle sätte alusel välja mõista hüvitist kahju eest, mis talle väidetavalt tekkis sellest, et ta kaotas kontrolli oma isikuandmete üle või ei olnud kindel, kas neid töödeldi, kui põhjuslik seos katkes selle isiku käitumise tõttu, kuna kontrolli kaotamise või selle ebakindluse põhjustas selle isiku otsus edastada need andmed vastutavale töötlejale eesmärgiga luua kunstlikult selle sätte kohaldamiseks nõutavad tingimused.
67      Eeltoodud kaalutlusi arvestades tuleb kaheksandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et andmesubjektile tekkinud mittevaraline kahju hõlmab kontrolli kaotamist oma isikuandmete üle või tema ebakindlust küsimuses, kas tema andmeid on töödeldud, kui muu hulgas on tõendatud, et see isik on tegelikult sellist kahju kandnud ja et tema käitumine ei olnud selle kahju tekkimise määrav põhjus.
Kohtukulud
68      Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse sama kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.
Esitatud põhjendustest lähtudes Euroopa Kohus (neljas koda) otsustab:
1.      Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 12 lõiget 5
tuleb tõlgendada nii, et
esimest isikuandmetega tutvumise taotlust, mille andmesubjekt on esitanud vastutavale töötlejale selle määruse artikli 15 alusel, võib pidada „ülemääraseks“ artikli 12 lõike 5 tähenduses, kui vastutav töötleja kõigist juhtumi asjakohastest asjaoludest lähtudes tõendab, et vaatamata nendes sätetes ette nähtud tingimuste vormilisele täitmisele, ei esitanud andmesubjekt seda taotlust mitte selleks, et saada teada nende andmete töötlemisest ja kontrollida selle õiguspärasust, et tal oleks seejärel võimalik saada sellest määrusest tulenevate õiguste kaitse, vaid sellise kuritarvitusliku kavatsusega nagu sellest määrusest tuleneva eelise saamiseks nõutavate tingimuste kunstlik tekitamine. Sellise kuritarvitusliku kavatsuse tuvastamisel võib arvesse võtta asjaolu, et avaliku teabe kohaselt on see andmesubjekt esitanud mitu taotlust oma isikuandmetega tutvumiseks, millele järgnesid kahju hüvitamise nõuded erinevatele vastutavatele töötlejatele.
2.      Määruse 2016/679 artikli 82 lõiget 1
tuleb tõlgendada nii, et
see annab andmesubjektile õiguse saada hüvitist kahju eest, mis tuleneb selle määruse artikli 15 lõikes 1 ette nähtud õiguse tutvuda andmetega rikkumisest.
3.      Määruse 2016/679 artikli 82 lõiget 1
tuleb tõlgendada nii, et
andmesubjektile tekkinud mittevaraline kahju hõlmab kontrolli kaotamist oma isikuandmete üle või tema ebakindlust küsimuses, kas tema andmeid on töödeldud, kui muu hulgas on tõendatud, et see isik on tegelikult sellist kahju kandnud ja et tema käitumine ei olnud selle kahju tekkimise määrav põhjus.
Allkirjad
*      Kohtumenetluse keel: saksa.