Väliaikainen versio
UNIONIN TUOMIOISTUIMEN TUOMIO (neljäs jaosto)
19 päivänä maaliskuuta 2026 (*)
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 12 artiklan 5 kohta – 15 artiklan 1 kohta – Rekisteröidyn oikeus saada tutustua häntä koskeviin henkilötietoihin – Rekisterinpitäjän oikeus kieltäytyäsuorittamasta pyydettyä toimea – Pyynnön kohtuuttomuus – Oikeuden väärinkäyttö – Ensimmäinen tietopyyntö – Vastuu ja oikeus korvauksen saamiseen – 82 artiklan 1 kohta – Tietoihin tutustumista koskevan oikeuden loukkaamiseen perustuva kanne – Aineeton vahinko – Henkilötietojen hallitsemiskyvyn menettäminen
Asiassa C‑526/24,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Amtsgericht Arnsberg (Arnsbergin alioikeus, Saksa) on esittänyt 31.7.2024 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen samana päivänä, saadakseen ennakkoratkaisun asiassa
Brillen Rottler GmbH & Co. KG
vastaan
TC,
UNIONIN TUOMIOISTUIN (neljäs jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja I. Jarukaitis, unionin tuomioistuimen presidentti K. Lenaerts, joka hoitaa neljännen jaoston puheenjohtajan tehtäviä, sekä tuomarit M. Condinanzi, N. Jääskinen ja R. Frendo (esittelevä tuomari),
julkisasiamies: M. Szpunar,
kirjaaja: hallintovirkamies I. Illéssy,
ottaen huomioon kirjallisessa käsittelyssä ja 5.6.2025 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet:
–        Brillen Rottler GmbH & Co. KG, edustajanaan J. Tröber, Rechtsanwalt,
–        TC, edustajanaan P. Brandt, Rechtsanwalt,
–        Euroopan komissio, asiamiehinään A. Bouchagiar, M. Heller ja H. Kranenborg,
kuultuaan julkisasiamiehen 18.9.2025 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1        Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 4 artiklan 2 alakohdan, 12 artiklan 5 kohdan ja 82 artiklan 1 kohdan tulkintaa.
2        Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat optikkoalan perheyritys Brillen Rottler GmbH & Co. KG ja yksityishenkilö TC ja jossa on kyse siitä, että kyseinen yritys kieltäytyi toteuttamasta TC:n yleisen tietosuoja-asetuksen 15 artiklan nojalla esittämän pyynnön saada tutustua henkilötietoihinsa.
Asiaa koskevat oikeussäännöt
3        Yleisen tietosuoja-asetuksen johdanto-osan 4, 10, 11, 63, 85, 141 ja 146 perustelukappaleessa todetaan seuraavaa:
”4)      Henkilötietojen käsittely olisi suunniteltava niin, että se palvelee ihmiskuntaa. Oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Tässä asetuksessa kunnioitetaan kaikkia perusoikeuksia ja otetaan huomioon [Euroopan unionin perusoikeuskirjassa (jäljempänä perusoikeuskirja)] tunnustetut vapaudet ja periaatteet sellaisina kuin ne ovat vahvistettuina perussopimuksissa, erityisesti jokaisen oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan, oikeus henkilötietojen suojaan, ajatuksen, omantunnon ja uskonnon vapaus, sananvapaus ja tiedonvälityksen vapaus, elinkeinovapaus, oikeus tehokkaisiin oikeussuojakeinoihin ja oikeudenmukaiseen oikeudenkäyntiin sekä oikeus kulttuuriseen, uskonnolliseen ja kielelliseen monimuotoisuuteen.
– –
(10)      Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja
‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
(11)      Henkilötietojen suojaaminen tehokkaasti kaikkialla unionissa edellyttää rekisteröityjen oikeuksien ja henkilötietoja käsittelevien ja henkilötietojen käsittelyä määrittävien velvollisuuksien vahvistamista ja täsmentämistä samoin kuin samantasoisia valtuuksia valvoa henkilötietojen suojaa koskevien sääntöjen noudattamista ja samantasoisia seuraamuksia sääntöjen rikkomisesta jäsenvaltioissa.
– –
(63)      Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. – –
(85)      Jos henkilötietojen tietoturvaloukkaukseen ei puututa riittävän tehokkaasti ja nopeasti, siitä voi aiheutua luonnollisille henkilöille fyysisiä, aineellisia tai aineettomia vahinkoja, kuten omien henkilötietojen hallitsemiskyvyn menettäminen tai omien oikeuksien rajoittaminen, syrjintää, identiteettivarkaus tai petos, taloudellisia menetyksiä, pseudonymisoinnin luvaton purkautuminen, maineen vahingoittuminen, salassapitovelvollisuuden alaisten henkilötietojen luottamuksellisuuden menetys tai muuta merkittävää taloudellista tai sosiaalista vahinkoa. – –
– –
(141)      Jokaisella rekisteröidyllä olisi oltava oikeus tehdä valitus yhdelle valvontaviranomaiselle, erityisesti asuinjäsenvaltiossaan, sekä oikeus soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti, jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu – –
– –
(146)      Rekisterinpitäjän – – olisi korvattava luonnollisille henkilöille vahingot, jotka ovat aiheutuneet tietojenkäsittelystä, jossa on rikottu tätä asetusta. Rekisterinpitäjä – – olisi vapautettava korvausvelvollisuudesta, jos se osoittaa, ettei se ole millään tavalla vastuussa kyseisestä vahingosta. Vahingon käsite olisi tulkittava laajasti unionin tuomioistuimen oikeuskäytännön perusteella ja tavalla, jossa tämän asetuksen tavoitteet otetaan kaikilta osin huomioon. – – Rekisteröityjen olisi saatava täysi ja tosiasiallinen korvaus aiheutuneesta vahingosta. – –”
4        Kyseisen asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
– –
2)      ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,
– –”
5        Mainitun asetuksen 12 artiklan, jonka otsikko on ”Läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten”, 1, 2 ja 5 kohdassa säädetään seuraavaa:
”1.      Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15–22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot – –
2. Rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. – –
– –
5.      Jäljempänä olevan 13 ja 14 artiklan nojalla toimitetut tiedot ja kaikki 15–22 ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko
a)      periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset; tai
b)      kieltäytyä suorittamasta pyydettyä toimea.
Näissä tapauksissa rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.”
6        Saman asetuksen 15 artiklan, jonka otsikko on ”Rekisteröidyn oikeus saada tutustua tietoihin”, 1 kohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot:
– – ”
7        Yleisen tietosuoja-asetuksen 26 artiklan, jonka otsikko on ”Yhteisrekisterinpitäjät”, 1 kohdassa säädetään seuraavaa:
”Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. – –”
8        Kyseisen asetuksen 30 artiklan, jonka otsikko on ”Seloste käsittelytoimista”, 1 kohdassa säädetään seuraavaa:
”Jokaisen rekisterinpitäjän ja tarvittaessa rekisterinpitäjän edustajan on ylläpidettävä selostetta vastuullaan olevista käsittelytoimista. – –”
9        Mainitun asetuksen 57 artiklan, jonka otsikko on ”Tehtävät”, 1 ja 4 kohdassa säädetään seuraavaa:
”1.      Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan
– –
f)      käsiteltävä rekisteröidyn tai 80 artiklan mukaisen elimen, järjestön tai yhdistyksen tekemiä valituksia ja tutkittava siinä määrin kuin se on asianmukaista valituksen kohdetta – –;
– –
4.      Jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, valvontaviranomainen voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea. Valvontaviranomaisen on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.”
10      Saman asetuksen 79 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan”, 1 kohdassa säädetään seuraavaa:
”Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tätä asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle.”
11      Yleisen tietosuoja-asetuksen 82 artiklan, jonka otsikko on ”Vastuu ja oikeus korvauksen saamiseen”, 1, 2 ja 4 kohdassa säädetään seuraavaa:
”1.      Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.
2.      Kukin tietojenkäsittelyyn osallistunut rekisterinpitäjä on vastuussa vahingosta, joka on aiheutunut käsittelystä, jolla on rikottu tätä asetusta. – –
– –
4.      Jos samaan tietojenkäsittelyyn osallistuu useampi kuin yksi rekisterinpitäjä tai henkilötietojen käsittelijä taikka sekä rekisterinpitäjä että henkilötietojen käsittelijä, ja jos ne ovat 2 ja 3 kohdan mukaisesti vastuussa käsittelystä aiheutuneesta mahdollisesta vahingosta, kukin rekisterinpitäjä tai henkilötietojen käsittelijä on vastuussa koko vahingosta, jotta voidaan varmistaa, että rekisteröity saa tosiasiallisen korvauksen.”
Pääasia ja ennakkoratkaisukysymykset
12      TC, joka on Itävallassa asuva luonnollinen henkilö, tilasi maaliskuussa 2023 Brillen Rottlerin, joka on Arnsbergiin (Saksa) sijoittautunut optikkoalan perheyritys, uutiskirjeen antamalla henkilötietonsa kyseisen yrityksen verkkosivuston tilauslomakkeessa ja suostumuksensa näiden tietojen käsittelyyn. TC esitti 13 päivää myöhemmin Brillen Rottlerille yleisen tietosuoja-asetuksen 15 artiklan mukaisen tietopyynnön.
13      Brillen Rottler hylkäsi tietopyynnön laissa säädetyssä yhden kuukauden määräajassa pitäen sitä yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan ensimmäisen alakohdan toisessa virkkeessä tarkoitettuna väärinkäyttönä. Se vaati TC:tä luopumaan lopullisesti pyynnöstään.
14      Koska TC pysytti tietopyyntönsä ja lisäsi siihen yleisen tietosuoja-asetuksen 82 artiklan mukaisen määrältään 1 000 euron korvausvaatimuksen, Brillen Rottler nosti Amtsgericht Arnsbergissä (Arnsbergin alioikeus, Saksa), joka on ennakkoratkaisua pyytänyt tuomioistuin, kanteen, jossa se vaati toteamaan, ettei TC:llä ole oikeutta minkäänlaiseen korvaukseen.
15      Brillen Rottler vetoaa vaatimuksensa tueksi siihen, että erilaisista uutisista, blogikirjoituksista ja asianajajien tiedotteista ilmenee, että TC esittää pyyntöjä saada tutustua henkilötietoihinsa järjestelmällisesti ja niitä väärinkäyttäen ainoastaan saadakseen korvauksia yleiseen tietosuoja-asetukseen perustuvien oikeuksiensa väitetyn rikkomisen perusteella, jonka hän tarkoituksellisesti aiheuttaa. TC:n toimintatapa koostuu siitä, että ensiksi hän tilaa uutiskirjeen, esittää sen jälkeen tietopyynnön ja lopuksi esittää vahingonkorvausvaatimuksen.
16      TC väittää ennakkoratkaisua pyytäneessä tuomioistuimessa, että sen Brillen Rottlerille esittämä tietopyyntö on legitiimi, että se ilmentää hänelle yleisen tietosuoja-asetuksen 15 artiklassa annettua tietoihin tutustumista koskevaa oikeutta ja että kyseinen yhtiö pyrkii lainvastaisesti rajoittamaan hänelle kyseisellä asetuksella annettuja oikeuksia. Hän vaatii vastakanteella, että Brillen Rottler velvoitetaan maksamaan hänelle vähintään 1 000 euron suuruinen korvaus aineettomasta vahingosta, joka on aiheutunut siitä, että kyseinen yhtiö kieltäytyi antamasta hänelle oikeutta tutustua henkilötietoihinsa.
17      Ennakkoratkaisua pyytänyt tuomioistuin pohtii ensinnäkin sitä, voidaanko rekisteröidyn esittämää ensimmäistä tietopyyntöä pitää yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa tarkoitettuna ”kohtuuttomana pyyntönä” ja näin ollen oikeuden väärinkäyttönä, ja missä olosuhteissa tällainen kohtuuttomuus voidaan todeta. Se pohtii erityisesti sitä, voiko rekisterinpitäjä hylätessään kyseisen säännöksen perusteella tietopyynnön tukeutua julkisiin tietoihin, joista ilmenee, että tämä sama henkilö on esittänyt lukuisia tieto- ja korvauspyyntöjä muille rekisterinpitäjille.
18      Toiseksi kyseinen tuomioistuin kysyy, onko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan nojalla esitetty tietopyyntö ja/tai vastaus siihen kyseisen asetuksen 4 artiklan 2 alakohdassa tarkoitettua ”käsittelyä”.
19      Kolmanneksi mainitulla tuomioistuimella on epäilyksiä yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan nojalla korvattavien vahinkojen yksilöimisperusteista ja erityisesti siitä, myönnetäänkö kyseisessä artiklassa oikeus korvaukseen myös käsittelyn puuttuessa, pelkästään kyseisen asetuksen 15 artiklan 1 kohdassa säädetyn tiedonsaantioikeuden loukkaamisen perusteella.
20      Näissä olosuhteissa Amtsgericht Arnsberg on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)      Onko yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan [ensimmäisen alakohdan] toista virkettä tulkittava siten, että rekisteröidyn ensimmäistä rekisterinpitäjälle esittämää tietopyyntöä ei voida pitää kohtuuttomana?
2)      Onko yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan [ensimmäisen alakohdan] toista virkettä tulkittava siten, että rekisterinpitäjä voi hylätä rekisteröidyn tietopyynnön, jos rekisteröidyllä on aikomus esittää rekisterinpitäjälle sen perusteella korvausvaatimuksia?
3)      Onko yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan [ensimmäisen alakohdan] toista virkettä tulkittava siten, että tietopyynnön hylkääminen voidaan perustella sellaisilla julkisesti saatavilla olevilla rekisteröityä koskevilla tiedoilla, joiden perusteella voidaan päätellä, että rekisteröity on vedonnut rekisterinpitäjää vastaan oikeuteensa saada korvausta useissa tietosuojan rikkomista koskevissa tapauksissa?
4)      Onko yleisen tietosuoja-asetuksen 4 artiklan 2 alakohtaa tulkittava siten, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukainen rekisteröidyn rekisterinpitäjälle esittämä tietopyyntö ja/tai siihen vastaaminen on [ensiksi mainitussa säännöksessä] tarkoitettua käsittelyä?
5)      Onko yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa, luettuna yhdessä kyseisen asetuksen johdanto-osan 146 perustelukappaleen ensimmäisen virkkeen kanssa, tulkittava siten, että korvauskelpoisia ovat ainoastaan vahingot, jotka rekisteröidylle aiheutuvat tai ovat aiheutuneet tietojen käsittelystä? Tarkoittaako tämä sitä, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan mukainen oikeus korvauksen saamiseen – jos rekisteröidylle on aiheutunut kausaalista vahinkoa – edellyttää ehdottomasti sitä, että rekisteröidyn henkilötietoja on täytynyt käsitellä?
6)      Jos viidenteen kysymykseen vastataan myöntävästi: seuraako tästä, että rekisteröidyllä ei ole yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan mukaista oikeutta saada korvausta – jos rekisteröidylle on aiheutunut kausaalista vahinkoa – jo pelkästään sillä perusteella, että hänen yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaista oikeuttaan saada tutustua tietoihin loukataan?
7)      Onko yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa tulkittava siten, että rekisterinpitäjän väite, jonka mukaan rekisteröidyn tietopyynnössä on kyse oikeuden väärinkäytöstä, ei voi unionin oikeuden nojalla perustua siihen, että rekisteröity on aiheuttanut henkilötietojensa käsittelyn yksinomaan tai muun muassa siksi, että hän voisi vedota oikeuteensa saada korvausta?
8)      Jos viidenteen ja kuudenteen kysymykseen vastataan kieltävästi:
aiheuttaako jo pelkästään yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan rikkomiseen liittyvä rekisteröidyn henkilötietojen hallitsemiskyvyn menettäminen ja/tai rekisteröidyn henkilötietojen käsittelyyn liittyvä epätietoisuus yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa tarkoitettua aineetonta vahinkoa rekisteröidylle, vai onko siitä täytynyt aiheutua rekisteröidylle (objektiivista tai subjektiivista) muutakin rajoitusta ja/tai (havaittavissa olevaa) haittaa?”
Ennakkoratkaisukysymykset
Ensimmäinen, toinen, kolmas ja seitsemäs kysymys
21      Ensimmäisellä, toisella, kolmannella ja seitsemännellä kysymyksellään, joita on tarkasteltava yhdessä ja ensimmäiseksi, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 12 artiklan 5 kohtaa tulkittava siten, että rekisteröidyn kyseisen asetuksen 15 artiklan nojalla rekisterinpitäjälle esittämää ensimmäistä pyyntöä saada tutustua henkilötietoihin voidaan pitää kyseisen 12 artiklan 5 kohdassa tarkoitetulla tavalla ”kohtuuttomana”, ja jos näin on, mitkä ovat ne seikat, joiden perusteella tällainen kohtuuttomuus voidaan tarvittaessa todeta.
22      Tältä osin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa taataan rekisteröidyn oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, tämän henkilön oikeus saada tutustua näihin tietoihin ja niihin liittyviin tietoihin (ks. vastaavasti tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista), C‑307/22, EU:C:2023:811, 31 kohta).
23      Lisäksi yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa säädetään periaate, jonka mukaan tämän tiedonsaantioikeuden käyttämisestä ei aiheudu kustannuksia rekisteröidylle. Tässä viimeksi mainitussa säännöksessä esitetään kuitenkin kaksi syytä, joiden perusteella rekisterinpitäjä voi joko periä kohtuullisen maksun ottaen huomioon hallinnolliset kustannukset tai kieltäytyä suorittamasta pyydettyä toimea. Kyseiset syyt liittyvät oikeuden väärinkäytön tilanteisiin, joissa rekisteröidyn pyyntöjä on pidettävä ”ilmeisen perusteettomina” tai ”kohtuuttomina”, erityisesti jos niitä esitetään toistuvasti (tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista), C‑307/22, EU:C:2023:811, 31 kohta).
24      Ensinnäkin siitä kysymyksestä, voidaanko rekisteröidyn yleisen tietosuoja-asetuksen 15 artiklan nojalla rekisterinpitäjälle esittämää ensimmäistä tietopyyntöä pitää ”kohtuuttomana”, on todettava, että koska käsitettä ”kohtuuttomat pyynnöt” ei ole määritelty kyseisessä asetuksessa, vakiintuneen oikeuskäytännön mukaan sen tulkitsemiseksi on otettava huomioon sekä mainitun asetuksen 12 artiklan 5 kohdan sanamuoto sen tavanomaisen merkityksen mukaisesti, joka sillä on yleiskielessä, että kyseisen säännöksen asiayhteys ja sillä lainsäädännöllä tavoitellut päämäärät, jonka osa se on (ks. vastaavasti tuomio 17.11.1983, Merck, 292/82, EU:C:1983:335, 12 kohta ja tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 24 kohta oikeuskäytäntöviittauksineen).
25      Tältä osin kyseisen 12 artiklan 5 kohdan sanamuodosta ja erityisesti käsitteen ”kohtuuttomat pyynnöt” tavanomaisesta merkityksestä yleiskielessä on todettava, että adjektiivilla ”kohtuuton” tarkoitetaan tavanomaisen tai kohtuullisen mittasuhteen ylittävää tai toivottavan tai sallitun mittasuhteen ylittävää (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 43 kohta). Pelkästään tämän adjektiivin, joka liittyy sekä laadullisiin että määrällisiin ominaisuuksiin, käytön perusteella ei siis voi sulkea pois ensimmäisen tietopyynnön kohtuuttomuutta.
26      Lisäksi yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan ensimmäisen alakohdan toisesta virkkeestä tosin ilmenee, että pyynnöt voivat olla kohtuuttomia ”erityisesti jos niitä esitetään toistuvasti”. Henkilön tekemien pyyntöjen runsaus voi siis olla osoitus niiden kohtuuttomuudesta (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 57 kohta). Kuten julkisasiamies on pääasiallisesti korostanut ratkaisuehdotuksensa 28 kohdassa, koska toistuvuus mainitaan kyseisessä säännöksessä vain suuntaa-antavasti, tietopyynnön luonnehtiminen ”kohtuuttomaksi” ei kuitenkaan edellytä sitä, että pyyntö välttämättä liittyisi asiayhteyteen, jossa sama rekisteröity on esittänyt useita pyyntöjä.
27      Kun otetaan huomioon yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan sanamuodon mukainen tulkinta, ei siis voida sulkea pois sitä, että ensimmäistä tietopyyntöä voidaan pitää kyseisessä säännöksessä tarkoitetulla tavalla ”kohtuuttomana”.
28      Tätä toteamusta tukee asiayhteys, johon yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan ensimmäisen alakohdan toinen virke kuuluu. Tältä osin on huomattava, että 12 artiklassa, joka kuuluu kyseisen asetuksen III lukuun, jossa vahvistetaan rekisteröidyn oikeudet,
säädetään informoinnin ja viestinnän läpinäkyvyyttä koskevista rekisterinpitäjän yleisistä velvollisuuksista ja vahvistetaan rekisteröidyn oikeuksien käyttöä koskevat yksityiskohtaiset säännöt. Mainitun 12 artiklan 2 kohdan ensimmäisen virkkeen mukaan rekisterinpitäjän on helpotettava muun muassa kyseisen asetuksen 15 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä; tämä artikla täydentää samassa asetuksessa säädettyä läpinäkyvyyskehystä antaessaan rekisteröidylle oikeuden saada tutustua henkilötietoihinsa (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 45 ja 46 kohta).
29      Kun kyseisen 12 artiklan 5 kohdassa säädetään myös siitä, että saadessaan ilmeisen perusteettomia tai kohtuuttomia pyyntöjä rekisterinpitäjät voivat periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea, siinä otetaan näin ollen käyttöön poikkeus velvollisuudesta helpottaa muun muassa oikeutta saada tutustua tietoihin, ja kyseistä poikkeusta on tulkittava suppeasti (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 33 kohta).
30      Unionin tuomioistuimen oikeuskäytännöstä, joka koskee yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa olevan käsitteen ”kohtuuttomat pyynnöt” tulkintaa ja jota voidaan soveltaa nyt käsiteltävään asiaan, koska kyseisen säännöksen sanamuoto vastaa olennaisilta osin kyseisen asetuksen 12 artiklan 5 kohdan sanamuotoa ja sillä on sama tavoite kuin tällä viimeksi mainitulla artiklalla, ilmenee kuitenkin, että kyseinen artikla on ilmaus unionin oikeuden yleisestä periaatteesta, jonka mukaan yksityiset eivät saa vedota unionin oikeussääntöihin vilpillisesti tai väärinkäyttönä pidettävällä tavalla (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 49 kohta). Unionin säännöstön soveltamista ei näet voida ulottaa kattamaan toimia, jotka toteutetaanväärinkäytöstarkoituksessa (ks. vastaavasti tuomio 19.9.2024, Matmut, C‑236/23, EU:C:2024:761, 52 kohta oikeuskäytäntöviittauksineen).
31      Näin ollen rekisteröidyn rekisterinpitäjälle esittämien tietopyyntöjen määrä ei yksin määritä rekisterinpitäjälle yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa myönnettyä mahdollisuutta olla suorittamatta pyydettyä toimea, joten rekisterinpitäjä voi käyttää tätä mahdollisuutta myös
saadessaan ensimmäisen tietopyynnön, jos se osoittaa kunkin tapauksen kaikki merkitykselliset olosuhteet huomioon ottaen, että kyseisellä henkilöllä on väärinkäytösaikomus (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 50 kohta).
32      Tämä asiayhteyteen perustuva tulkinta on yleisen tietosuoja-asetuksen tavoitteiden mukainen. Tältä osin on todettava, että kyseisen asetuksen tarkoituksena on sen johdanto-osan 10 ja 11 perustelukappaleessa todetun tavoin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu unionissa sekä vahvistaa ja täsmentää rekisteröityjen oikeuksia. Näin ollen mainitun asetuksen 12 artiklassa säädetyt rekisterinpitäjän velvollisuudet, jotka liittyvät muun muassa saman asetuksen 15 artiklan mukaiseen viestintään, on tarkoitettu mekanismiksi, jolla voidaan tehokkaasti turvata rekisteröityjen oikeudet ja edut (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 38 ja 39 kohta oikeuskäytäntöviittauksineen).
33      Yleisen tietosuoja-asetuksen johdanto-osan 4 perustelukappaleessa todetaan kuitenkin, että oikeus henkilötietojen suojaan ei siis ole absoluuttinen, koska sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Unionin tuomioistuin on lisäksi jo korostanut, että käsillä olevien eri oikeuksien ja etujen välisen oikeudenmukaisen tasapainon löytämiseksi käytettävät mekanismit löytyvät itse yleisestä tietosuoja-asetuksesta (tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 54 kohta oikeuskäytäntöviittauksineen).
34      Jotta voidaan varmistaa tämän oikeudenmukaisen tasapainon toteuttaminen kyseisellä poikkeuksella ja poikkeuksen tehokas vaikutus, väärinkäytösluonteisen käyttäytymisen toteamisen kannalta merkityksellinen peruste on näin ollen tämän tuomion 26 kohdan mukaisesti laadullisesti arvioidun tietopyynnön kohtuuttomuus, mikä ei voi riippua yksin rekisteröidyn tekemien tietopyyntöjen lukumäärästä eikä siis siitä, että on kyse tämän ensimmäisestä pyynnöstä.
35      Tästä seuraa, että yleisen tietosuoja-asetuksen 15 artiklan nojalla esitettyä ensimmäistä tietopyyntöä rekisterinpitäjälle voidaan pitää kyseisen asetuksen 12 artiklan 5 kohdassa tarkoitetulla tavalla ”kohtuuttomana”. Koska kohtuuttomien pyyntöjen käsitettä on kuitenkin tulkittava suppeasti, kuten tämän tuomion 29 kohdasta ilmenee, rekisterinpitäjä voi vedota tällaiseen kohtuuttomuuteen vain poikkeuksellisesti ja – kuten julkisasiamies on todennut ratkaisuehdotuksensa 34 kohdassa – perusteiden, joiden perusteella ensimmäistä tietopyyntöä voidaan pitää kohtuuttomana, on oltava tiukkoja. On myös korostettava, että yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan toisesta alakohdasta ilmenee nimenomaisesti, että rekisterinpitäjän on osoitettava tämä kohtuuttomuus.
36      Toiseksi olosuhteista, joissa rekisteröidyn ensimmäistä tietopyyntöä voidaan pitää yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa tarkoitetussa merkityksessä ”kohtuuttomana” ja joissa sitä voidaan näin ollen pitää tämän tuomion 21 ja 28 kohdassa mainitussa oikeuskäytännössä tarkoitettuna oikeuden väärinkäyttönä, on todettava, että väärinkäytön osoittaminen edellyttää yhtäältä sellaista objektiivisten olosuhteiden kokonaisuutta, josta ilmenee, että vaikka unionin säännöstössä vahvistettuja edellytyksiä on muodollisesti noudatettu, säännöstöllä tavoiteltua päämäärää ei ole saavutettu, ja toisaalta sellaista subjektiivista osatekijää, joka koskee rekisteröidyn tahtoa saada unionin säännöstöstä johtuva etu toteuttamalla keinotekoisesti edellytykset tämän edun saamiseksi. Tällainen luonnehtiminen edellyttää lisäksi, että otetaan huomioon kaikki kyseisen yksittäistapauksen tosiseikat ja olosuhteet (ks. vastaavasti tuomio 21.12.2023, BMW Bank ym. (C‑38/21, C‑47/21 ja C‑232/21, EU:C:2023:1014, 285 ja 286 kohta oikeuskäytäntöviittauksineen).
37      Ensinnäkin väärinkäytön objektiivisesta osatekijästä on todettava, että yleisen tietosuoja-asetuksen 15 artiklan, luettuna kyseisen asetuksen johdanto-osan 63 perustelukappaleen valossa, tarkoituksena on antaa rekisteröidylle oikeus tutustua hänestä kerättyihin henkilötietoihin ja käyttää tätä oikeutta helposti ja kohtuullisin väliajoin, jotta hän voi muun muassa saada tiedon kyseisten tietojen käsittelystä ja tarkastaa sen lainmukaisuuden voidakseen täten tarvittaessa käyttää oikeuttaan tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen samoin kuin henkilötietojen käsittelyn vastustamista koskevaa oikeuttaan sekä oikeussuojakeinoja, jos hänelle aiheutuu vahinkoa (ks. vastaavasti tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C‑154/21, EU:C:2023:3, 37 ja 38 kohta).
38      Kuten unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, käsiteltävässä tapauksessa TC teki pääasiassa kyseessä olevan tietopyynnön tilattuaan Brillen Rottlerin uutiskirjeen ja annettuaan Brillen Rottlerille kyseisen tilauksen yhteydessä tiettyjä henkilötietoja, joten tämä tietopyyntö voisi muodollisesti merkitä TC:n tietoihin tutustumista koskevan oikeuden toteuttamista kyseisen säännöstön päämäärän saavuttamiseksi.
39      Kun otetaan huomioon tämän tuomion 36 kohdassa mainittu oikeuskäytäntö, yleisen tietosuoja-asetuksen 15 artiklan soveltamisedellytysten muodollinen noudattaminen ei kuitenkaan yksinään riitä sulkemaan pois tietopyynnön ”kohtuuttomuutta” ja siis oikeuden väärinkäyttöä.
40      Tältä osin on toiseksi todettava väärinkäytön subjektiivisesta osatekijästä, että voidakseen luonnehtia tietopyynnön yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa tarkoitetuksi ”kohtuuttomaksi” tietopyynnöksi rekisterinpitäjän on osoitettava kunkin tapauksen kaikki merkitykselliset olosuhteet huomioon ottaen, että rekisteröidyllä on väärinkäytösaikomus, ja tällainen aikomus voidaan todeta silloin, kun rekisteröity tekee pyynnön muuta päämäärää varten kuin saadakseen tiedon tietojen käsittelystä ja tarkistaakseen sen lainmukaisuuden, jotta hän voi tämän jälkeen saada suojaa kyseisen asetuksen perusteella hänelle kuuluville oikeuksille (ks. vastaavasti tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt), C‑416/23, EU:C:2025:3, 50 ja 56 kohta).
41      Erityisesti tämän tuomion 35 kohdassa esitetty huomioon ottaen
rekisterinpitäjän on näin ollen käsiteltävässä tapauksessa osoitettava yksiselitteisesti, että rekisteröity ei ole tehnyt yleisen tietosuoja-asetuksen 15 artiklan nojalla tietopyyntöä saadakseen tiedon tästä käsittelystä vaan se on tehnyt sen luodakseen keinotekoisesti edellytykset korvauksen saamiselle mainitulta rekisterinpitäjältä.
42      Tältä osin on otettava huomioon kaikki käsiteltävän asian olosuhteet, erityisesti se, että rekisteröity on antanut henkilötietojaan ilman pakkkoa, näiden tietojen antamisen päämäärä, niiden antamisen ja tietopyynnön välillä kulunut aika sekä kyseisen henkilön toiminta.
43      Ennakkoratkaisua pyytänyt tuomioistuin pohtii käsittelemänsä
asian yhteydessä mahdollisuutta ottaa oikeuden väärinkäytön arvioimiseksi huomioon julkiset tiedot, joiden mukaan TC on järjestelmällisesti esittänyt eri rekisterinpitäjille pyyntöjä saada tutustua henkilötietoihinsa ja vahingonkorvausvaatimuksia sellaisen menettelytavan mukaisesti, joka on rinnastettavissa nyt käsiteltävässä asiassa noudatettuun menettelytapaan. Tältä osin on todettava, että tämä seikka voidaan tietenkin ottaa huomioon rekisteröidyn väärinkäytösaikomusten osoittamiseksi, kunhan muut merkitykselliset seikat tukevat sitä.
44      Nyt käsiteltävässä asiassa ennakkoratkaisua pyytäneen tuomioistuimen on näin ollen kaikki merkitykselliset olosuhteet huomioon ottaen tarkistettava, onko Brillen Rottler osoittanut, että TC esitti kyseisen tietopyynnön väärinkäytösaikomuksessa.
45      Edellä esitetyn perusteella ensimmäiseen, toiseen, kolmanteen ja seitsemänteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 12 artiklan 5 kohtaa on tulkittava siten, että rekisteröidyn kyseisen asetuksen 15 artiklan nojalla rekisterinpitäjälle esittämää ensimmäistä pyyntöä saada tutustua henkilötietoihin voidaan pitää 12 artiklan 5 kohdassa tarkoitetussa merkityksessä ”kohtuuttomana”, kun rekisterinpitäjä osoittaa kaikki yksittäistapauksen merkitykselliset olosuhteet huomioon ottaen, että vaikka näissä säännöksissä säädettyjä edellytyksiä on muodollisesti noudatettu, rekisteröity ei ole esittänyt tätä pyyntöä saadakseen tiedon näiden tietojen käsittelystä ja tarkistaakseen sen lainmukaisuuden, jotta hän voisi tämän jälkeen saada suojaa mainittuun asetukseen perustuville oikeuksilleen, vaan väärinkäytösaikomuksessa, kuten luodakseen keinotekoisesti vaadittavat edellytykset saman asetuksen mukaisen edun saamiseksi. Se, että rekisteröity on julkisesti saatavilla olevien tietojen mukaan esittänyt useita pyyntöjä saada tutustua henkilötietoihinsa ja tämän jälkeen
vahingonkorvausvaatimuksia eri rekisterinpitäjille, voidaan ottaa huomioon tällaisen väärinkäytösaikomuksen olemassaolon osoittamiseksi.
Viides ja kuudes kysymys
46      Viidennellä ja kuudennella kysymyksellään, joita on tarkasteltava yhdessä ja toiseksi, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa tulkittava siten, että sen mukaan rekisteröidyllä on oikeus korvaukseen vahingosta, joka on aiheutunut kyseisen asetuksen 15 artiklan 1 kohdassa säädetyn tietoihin tutustumista koskevan oikeuden
loukkaamisesta.
47      Kuten tämän tuomion 24 kohdassa on muistutettu, vakiintuneen oikeuskäytännön mukaan unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto myös asiayhteys ja sillä tavoitellut päämäärät.
48      Yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan sanamuodosta ilmenee, että jos henkilölle aiheutuu ”tämän asetuksen rikkomisesta” aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. On todettava, että kyseisessä säännöksessä ei viitata ”käsittelyyn”, joten oikeutta korvaukseen ei voida rajoittaa henkilötietojen käsittelystä aiheutuneisiin vahinkoihin.
49      Tätä toteamusta tukee ensinnäkin mainitun säännöksen asiayhteyteen perustuva arviointi, kun tätä säännöstä luetaan yleisen tietosuoja-asetuksen johdanto-osan 141 perustelukappaleen valossa, jossa todetaan, että jokaisella rekisteröidyllä olisi oltava oikeus soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti, ”jos rekistreröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu”. Yleisen tietosuoja-asetuksen 82 artiklan 1 kohta sisältyy nimittäin kyseisen asetuksen VIII lukuun, jossa säädetään oikeussuojakeinoista, vastuusäännöistä ja seuraamuksista, joilla nämä oikeudet voidaan suojata. Nämä oikeudet kuitenkin käsittävät rekisteröidyn sekä mainitun asetuksen 12 artiklassa säädetyn tiedonsaantioikeuden että saman asetuksen 15 artiklan 1 kohtaan perustuvan oikeuden saada tutustua tietoihin, joten niitä on suojattava saman asetuksen 82 artiklassa, jota on siis tulkittava siten, että sitä sovelletaan myös vahinkoihin, jotka johtuvat 12 ja 15 artiklan rikkomisesta.
50      Tällaista tulkintaa ei voida kyseenalaistaa yhtäältä sillä, että yleisen tietosuoja-asetuksen johdanto-osan 146 perustelukappaleesta ilmenee, että rekisterinpitäjän olisi korvattava vahinko, joka henkilölle voi aiheutua ”tietojenkäsittelystä”, jossa on rikottu kyseistä asetusta, ja toisaalta sillä, että mainitun asetuksen 82 artiklan 2 ja 4 kohdassa mainitaan käsittelystä aiheutunut vahinko.
51      Kuten komissio nimittäin lähinnä väittää kirjallisissa huomautuksissaan, jos yleisen tietosuoja-asetuksen III luvun säännöksissä säädettyjä oikeuksia, erityisesti oikeutta saada tutustua tietoihin, oikeutta tietojen oikaisemiseen,
oikeutta tietojen poistamiseen, oikeutta käsittelyn rajoittamiseen ja oikeutta siirtämiseen, loukataan, väitetty loukkaus ei voi johtua henkilötietojen tosiasiallisesta käsittelystä sellaisenaan vaan pikemminkin kieltäytymisestä toteuttaa rekisteröidyn pyyntö näiden oikeuksien käyttämisestä. Näin ollen jos yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan mukaisen vahingonkorvausoikeuden edellytykseksi asetettaisiin se, että käsittelystä sellaisenaan aiheutuu vahinkoja, tällaiset tapaukset jätettäisiin tämän säännöksen soveltamisalan ulkopuolelle ja näin ollen sen tehokas vaikutus heikentyisi.
52      Unionin tuomioistuin on lisäksi jo todennut, että se, että rekisterinpitäjä rikkoo yleisen tietosuoja-asetuksen 26 ja 30 artiklaa, joista ensimmäinen koskee sellaisen sopimuksen tekemistä, jossa määritetään rekisterinpitäjien tehtävät ja niiden suhteet rekisteröityihin, ja toinen käsittelytoimia koskevan selosteen ylläpitämistä, ei ole pidettävä lainvastaisena käsittelynä, jonka perusteella rekisteröidyllä on oikeus tietojen poistamiseen tai käsittelyn rajoittamiseen. Tällainen rikkominen on siis korjattava turvautumalla muihin yleisessä tietosuoja-asetuksessa säädettyihin toimenpiteisiin, erityisesti rekisterinpitäjän mahdollisesti aiheuttaman vahingon korvaamiseen kyseisen asetuksen 82 artiklan nojalla (ks. vastaavasti tuomio 4.5.2023, Saksan liittotasavalta (Sähköinen tuomioistuinasioiden postilaatikko), C‑60/22, EU:C:2023:373, 66 ja 67 kohta).
53      Toiseksi tämän tuomion 48 kohdassa esitettyä toteamusta tukee yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan teleologinen tulkinta, koska kyseisellä artiklalla pyritään varmistamaan kyseisen asetuksen tavoitteiden, joihin kuuluvat muun muassa mainitun asetuksen johdanto-osan 11 perustelukappaleessa mainittu tavoite vahvistaa rekisteröityjen oikeuksia ja henkilötietoja käsittelevien ja henkilötietojen käsittelyä määrittävien velvollisuuksia, toteuttaminen. Kuten julkisasiamies on lähinnä todennut ratkaisuehdotuksensa 72 kohdassa, näitä oikeuksia, joihin ennakkoratkaisua pyytäneen tuomioistuimen tarkoittama oikeus saada tutustua tietoihin juuri kuuluu, heikennettäisiin merkittävästi, jos 82 artiklan 1 kohtaa olisi tulkittava siten, että se kattaa ainoastaan vahingot, jotka aiheutuvat lainvastaisista toimista, joissa käsitellään tietoja.
54      Tästä seuraa, että rekisteröity voi vedota yleisen tietosuojaasetuksen 82 artiklassa säädettyyn korvausoikeuteen, vaikka kyse olisi
kyseisen asetuksen rikkomisesta, joka ei sellaisenaan sisällä tietojen käsittelyä.
55      Edellä esitetyn perusteella viidenteen ja kuudenteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa on tulkittava siten, että siinä myönnetään rekisteröidylle oikeus korvaukseen vahingosta, joka aiheutuu kyseisen asetuksen 15 artiklan 1 kohdassa säädetyn tietoihin tutustumista koskevan oikeuden loukkaamisesta.
Neljäs kysymys
56      Kun otetaan huomioon viidenteen ja kuudenteen ennakkoratkaisukysymykseen annettu vastaus, neljänteen kysymykseen ei ole tarpeen vastata.
Kahdeksas ennakkoratkaisukysymys
57      Kahdeksannella kysymyksellään, jota on syytä tarkastella kolmanneksi ja viimeiseksi, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa tulkittava siten, että rekisteröidylle aiheutunut aineeton vahinko sisältää hänen henkilötietojensa hallitsemiskyvyn menettämisen tai hänen epätietoisuutensa näiden tietojen käsittelystä.
58      Koska yleisessä tietosuoja-asetuksessa ei viitata jäsenvaltioiden oikeuteen kyseisessä säännöksessä olevien ilmaisujen, erityisesti käsitteiden ”aineellinen tai aineeton vahinko” ja ”korvaus aiheutuneesta vahingosta”, merkityksen ja ulottuvuuden osalta, näitä ilmaisuja on mainittua asetusta sovellettaessa pidettävä unionin oikeuden itsenäisinä käsitteinä, joita on tulkittava yhtenäisesti kaikissa jäsenvaltioissa
(ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 30 kohta ja tuomio 4.9.2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, 55 kohta oikeuskäytäntöviittauksineen).
59      Tältä osin on muistutettava, että ei voida katsoa, että yleisen tietosuoja-asetuksen säännösten ”rikkominen” yksinään antaisi rekisteröidylle oikeuden korvauksen saamiseen. Yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa nimittäin säädetään, että ”jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta”. Siitä ilmenee selvästi, että ”aiheutuneen vahingon” olemassaolo on yksi mainitussa säännöksessä säädetyn korvauksen saamista koskevan oikeuden kolmesta kumulatiivisesta edellytyksestä samoin kuin se, että yleistä tietosuoja-asetusta on rikottu ja että vahingon ja kyseisen rikkomisen välillä on syy-yhteys (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 31–33 kohta ja tuomio 4.9.2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, 56 kohta oikeuskäytäntöviittauksineen).
60      Näin ollen henkilön, joka vaatii korvausta aineettomasta vahingosta tämän säännöksen perusteella, on näytettävä toteen paitsi yleisen tietosuoja-asetuksen säännösten rikkominen myös se, että tästä rikkomisesta on aiheutunut hänelle tällaista vahinkoa. Tällaista vahinkoa ei siis voida olettaa pelkästään siitä syystä, että mainittu rikkominen on tapahtunut (tuomio 4.10.2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 141 kohta oikeuskäytäntöviittauksineen).
61      Unionin tuomioistuin on kuitenkin jo todennut, että yleisen tietosuoja-asetuksen johdanto-osan 85 perustelukappaleen ensimmäisessä virkkeessä olevasta havainnollistavasta luettelosta, joka koskee vahinkoja, jotka voivat aiheutua rekisteröidyille, ilmenee, että unionin lainsäätäjä on tarkoittanut sisällyttää tähän käsitteeseen muun muassa jo pelkän heidän omien henkilötietojen hallitsemiskyvyn menettämisen kyseisen asetuksen rikkomisen seurauksena, vaikka kyseessä olevia henkilötietoja ei olisikaan konkreettisesti käytetty väärin (tuomio 4.10.2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 145 kohta oikeuskäytäntöviittauksineen).
62      Unionin tuomioistuin on myös katsonut, että aineettoman vahingon käsitettä ei voida rajata pelkästään tietynsuuruisiin vahinkoihin. Erityisesti on niin, että kansallisella lainsäädännöllä tai käytännöllä ei voida pätevästi vahvistaa ”vähimmäisrajaa”
yleisen tietosuoja-asetuksen rikkomisesta aiheutuneelle aineettomalle vahingolle. Rekisteröidyn on kuitenkin osoitettava yhtäältä, että hänelle on tosiasiallisesti aiheutunut tällainen vahinko, vaikka se olisi vähäinen, ja toisaalta, että tästä rikkomisesta aiheutuneet seuraukset, jotka hän väittää kärsineensä, muodostavat vahingon, joka eroaa pelkästä kyseisen asetuksen säännösten rikkomisesta (ks. vastaavasti tuomio 14.12.2023,
Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, 22 ja 23 kohta).
63      Näin ollen pelkkä rekisteröidyn väite pelosta, joka aiheutuu siitä, että hän menettää
kykynsä hallita henkilötietojaan, ei voi johtaa vahingonkorvaukseen yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan nojalla (ks. vastaavasti tuomio 20.6.2024, PS, (Väärä osoite), C‑590/22, EU:C:2024:536, 33 ja 35 kohta). Näin ollen silloin, kun henkilö, joka vaatii korvausta kyseisen säännöksen perusteella, vetoaa pelkoonsa siitä, että hänen henkilötietojaan käytetään tulevaisuudessa väärin kyseisen asetuksen rikkomisen tähden, asiaa käsittelevän kansallisen tuomioistuimen on selvitettävä, voidaanko tämä pelko asiaan liittyvissä erityisissä olosuhteissa ja rekisteröidyn kannalta katsoa perustelluksi (ks. vastaavasti tuomio 4.10.2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 143 kohta oikeuskäytäntöviittauksineen).
64      Tämän tuomion 59–63 kohdassa esitettyjä toteamuksia sovelletaan myös tilanteessa, jossa rekisteröity katsoo vallitsevan epätietoisuutta siitä, onko hänen henkilötietojaan käsitelty.
65      Jotta ennakkoratkaisua pyytäneelle tuomioistuimelle voidaan antaa hyödyllinen vastaus, on vielä todettava, että väitetyn rikkomisen ja väitetyn vahingon välinen syy-yhteys voi katketa rekisteröidyn käyttäytymisen vuoksi, kun tämä käyttäytyminen osoittautuu kyseisen vahingon ratkaisevaksi syyksi. Tällainen toimi voi olla muun muassa vahinkoa kärsineen henkilön päätös edellyttäen kuitenkin, ettei kyseinen henkilö ollut pakotettu tekemään sitä (ks. analogisesti tuomio 18.12.2025, WS ym. v. Frontex (Yhteinen palautusoperaatio), C‑679/23 P, EU:C:2025:976, 151 ja 152 kohta oikeuskäytäntöviittauksineen).
66      Lisäksi tämän tuomion 59 kohdassa mainitusta oikeuskäytännöstä ilmenee, että yleisen tietosuoja-asetuksen väitetyn rikkomisen ja rekisteröidylle väitetysti aiheutuneen vahingon välinen syy-yhteys on välttämätön edellytys oikeudelle saada korvausta kyseisen asetuksen 82 artiklan 1 kohdan nojalla. Näin ollen rekisteröidylle ei voida kyseisen säännöksen nojalla myöntää korvausta vahingoista, joita hän väittää kärsineensä sen vuoksi, että hän on menettänyt henkilötietojensa hallitsemiskyvyn tai että hän on epätietoinen siitä, onko hänen henkilötietojaan käsitelty, kun syy-yhteys on katkennut kyseisen henkilön käyttäytymisen vuoksi, koska tämä hallitsemiskyvyn menettäminen tai epätietoisuus on aiheutunut mainitun henkilön päätöksestä antaa nämä tiedot rekisterinpitäjälle tarkoituksena luoda keinotekoisesti mainitun säännöksen soveltamiseksi vaadittavat edellytykset.
67      Edellä esitetyn perusteella kahdeksanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa on tulkittava siten, että rekisteröidylle aiheutunut aineeton vahinko sisältää hänen henkilötietojensa hallitsemiskyvyn menettämisen tai hänen epätietoisuutensa siitä, onko hänen tietojaan käsitelty, kunhan osoitetaan erityisesti, että rekisteröidylle on tosiasiallisesti aiheutunut tällainen vahinko ja että hänen käyttäytymisensä ei ole ollut tämän vahingon ratkaiseva syy.
Oikeudenkäyntikulut
68      Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (neljäs jaosto) on ratkaissut asian seuraavasti:
1)      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 12 artiklan 5 kohtaa
on tulkittava siten, että
rekisteröidyn kyseisen asetuksen 15 artiklan nojalla rekisterinpitäjälle esittämää ensimmäistä pyyntöä saada tutustua henkilötietoihin voidaan pitää 12 artiklan 5 kohdassa tarkoitetussa merkityksessä ”kohtuuttomana”, kun rekisterinpitäjä osoittaa kaikki yksittäistapauksen merkitykselliset olosuhteet huomioon ottaen, että vaikka näissä säännöksissä säädettyjä edellytyksiä on muodollisesti noudatettu, rekisteröity ei ole esittänyt tätä pyyntöä saadakseen tiedon näiden tietojen käsittelystä ja tarkistaakseen sen lainmukaisuuden, jotta hän voisi tämän jälkeen saada suojaa mainittuun asetukseen perustuville oikeuksilleen, vaan väärinkäytösaikomuksessa, kuten luodakseen keinotekoisesti vaadittavat edellytykset saman asetuksen mukaisen edun saamiseksi. Se, että rekisteröity on julkisesti saatavilla olevien tietojen mukaan esittänyt useita pyyntöjä saada tutustua henkilötietoihinsa ja tämän jälkeen vahingonkorvausvaatimuksia eri rekisterinpitäjille, voidaan ottaa huomioon tällaisen väärinkäytösaikomuksen olemassaolon osoittamiseksi.
2)      Direktiivin 2016/679 82 artiklan 1 kohtaa
on tulkittava siten, että
siinä myönnetään rekisteröidylle oikeus korvaukseen vahingosta, joka aiheutuu kyseisen asetuksen 15 artiklan 1 kohdassa säädetyn tietoihin tutustumista koskevan oikeuden loukkaamisesta.
3)      Direktiivin 2016/679 82 artiklan 1 kohtaa
on tulkittava siten, että
rekisteröidylle aiheutunut aineeton vahinko sisältää hänen henkilötietojensa hallitsemiskyvyn menettämisen tai hänen epätietoisuutensa siitä, onko hänen tietojaan käsitelty, kunhan osoitetaan erityisesti, että rekisteröidylle on tosiasiallisesti aiheutunut tällainen vahinko ja että hänen käyttäytymisensä ei ole ollut tämän vahingon ratkaiseva syy.
Allekirjoitukset
*      Oikeudenkäyntikieli: saksa.