62023CJ0655_RES
C‑655/23. sz. ügy
IP
kontra
Quirin Privatbank AG
(a Bundesgerichtshof [Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (negyedik tanács), 2025. szeptember 4.
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – Az érintett jogai – 17. cikk – Az adatok törléséhez való jog – 18. cikk – Az adatkezelés korlátozásához való jog – 79. cikk – A tényleges bírósági jogorvoslathoz való jog – A személyes adatok jogellenes kezelése – Az adatkezelő arra való kötelezésére irányuló kereset, hogy a jövőben tartózkodjon minden további jogellenes adatkezeléstől – Alap – Feltételek – A 82. cikk (1) bekezdése – Kártérítéshez való jog – A »nem vagyoni kár« fogalma – A kártérítés értékelése – Az adatkezelő vétkessége súlyosságának esetleges figyelembevétele – A »tartózkodásra kötelezés« elrendelésének esetleges hatása”
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Jogorvoslati lehetőségek – A tagállamok azon kötelezettsége, hogy olyan jogorvoslati lehetőséget biztosítsanak, amely lehetővé teszi az adatkezelő arra való kötelezését, hogy tartózkodjon minden további jogellenes adatkezeléstől – Hiány – Ilyen jogorvoslati lehetőség nemzeti jogrendben történő gyakorlását lehetővé tévő nemzeti szabályozás – Megengedhetőség
(Az Európai Unió Alapjogi Chartája, 8. cikk, (1) és (2) bekezdés; 2016/679 európai parlamenti és tanácsi rendelet, (1), (10) és (11) preambulumbekezdés, valamint 1. cikk, 4. cikk, 1. pont, 5., 6., 17., 18. és 77–79. cikk)
(lásd: 38–52. pont és a rendelkező rész 1. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Kártérítéshez való jog és felelősség – Az elszenvedett kár megtérítéséhez való jog – Nem vagyoni kár – Fogalom – Az érintett által a személyes adatainak harmadik fél részére történő jogosulatlan továbbítása miatt táplált negatív érzések – Bennfoglaltság – Feltételek – Az ilyen érzések és az e rendelet megsértése miatti negatív következményeik bizonyításának szükségessége
(2016/679 európai parlamenti és tanácsi rendelet, (1), (10), (75), (85) és (146) preambulumbekezdés, valamint 1. cikk, és 82. cikk, (1) bekezdés)
(lásd: 55., 56., 58–64. pont és a rendelkező rész 2. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Kártérítéshez való jog és felelősség – Az elszenvedett kár megtérítéséhez való jog – A kártérítés összegének és formájának meghatározása – Nemzeti szabályozás, amely lehetővé teszi a károkozó vétkessége mértékének a nem vagyoni kár megtérítésének értékelése céljából történő figyelembevételét – Megengedhetetlenség
(2016/679 európai parlamenti és tanácsi rendelet, (146) preambulumbekezdés, valamint 82. és 83. cikk)
(lásd: 66., 67., 69–73. pont és a rendelkező rész 3. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Kártérítéshez való jog és felelősség – Az elszenvedett kár megtérítéséhez való jog – A kártérítés összegének és formájának meghatározása – Az e rendelet megsértésének megismétlésétől való tartózkodásra való kötelezésnek a nem vagyoni kár pénzbeli megtérítésének csökkentése vagy kizárása érdekében történő figyelembevétele – Megengedhetetlenség
(2016/679 európai parlamenti és tanácsi rendelet, 82. cikk)
(lásd: 77–79., 81–83. pont és a rendelkező rész 4. pontja)
Összefoglalás
A Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország) által előterjesztett előzetes döntéshozatal iránti kérelem alapján a Bíróság pontosítja az általános adatvédelmi rendelet különböző rendelkezései (
1
) által az érintett számára a személyes adatainak jogellenes kezelése esetén biztosított jogok terjedelmét.
IP online szakmai közösségi hálózaton keresztül állásra jelentkezett egy német jog szerinti társaságnál, a Quirin Privatbanknál. Ezt követően e társaság egyik alkalmazottja e hálózat e‑mail‑szolgáltatását arra használta, hogy a felvételi eljárás által nem érintett harmadik személynek egy kizárólag IP‑nek szánt üzenetet küldjön, amelyben tájékoztatta IP‑t a bérköveteléseinek elutasításáról, és másik díjazást ajánlott neki. E harmadik személy, aki korábban IP‑vel dolgozott, továbbította neki ezt az üzenetet, és megkérdezte tőle, hogy keres‑e állást.
IP keresetet indított a Landgericht Darmstadt (darmstadti regionális bíróság, Németország) előtt, amelyben azt kérte, hogy a bíróság kötelezze a Quirin Privatbankot egyrészt arra, hogy az tartózkodjon a pályázatával kapcsolatos minden olyan személyesadat‑kezeléstől, amely megismétli ezen adatok engedély nélküli hozzáférhetővé tételét, másrészt pedig kötelezze a Quirin Privatbankot az őt ért nem vagyoni kár megtérítésére. Az elsőfokú bíróság helyt adott e kérelmeknek.
A Quirin Privatbank által az Oberlandesgericht Frankfurthoz (Frankfurt regionális felsőbíróság, Németország) benyújtott fellebbezést követően ezen ítéletet részben megváltoztatták akként, hogy a kártérítési keresetet elutasították. E bíróság álláspontja szerint ugyanis IP nem bizonyította a konkrét kárt, és még ha feltételezzük is, hogy IP megalázást élt át, azt nem lehet nem vagyoni kárnak minősíteni.
IP és a Quirin Privatbank felülvizsgálati kérelmet nyújtott be a kérdést előterjesztő bírósághoz, a Bundesgerichtshofhoz (szövetségi legfelsőbb bíróság, Németország).
E bíróság, mivel kétségei voltak az általános adatvédelmi rendelet több rendelkezésének értelmezését illetően, kérdést intézett a Bírósághoz a jogorvoslati lehetőségek terjedelmével, az elszenvedett kár megtérítéséhez való jog terjedelmével és a megtérítendő nem vagyoni kár értékelését lehetővé tevő szempontokkal kapcsolatban.
A Bíróság álláspontja
Először is a Bíróságnak arról kell határoznia, hogy az általános adatvédelmi rendelet rendelkezései a személyes adatok jogellenes kezelésével érintett azon személy számára, aki nem kéri azok törlését, olyan bírósági jogorvoslatot biztosítanak‑e, amely lehetővé teszi számára, hogy megelőző jelleggel kérje, hogy az adatkezelőt kötelezzék arra, hogy a jövőben tartózkodjon az újabb jogellenes adatkezeléstől, és hogy nemleges válasz esetén e rendelkezések megakadályozzák‑e a tagállamokat abban, hogy saját jogrendjükben ilyen jogorvoslatot biztosítsanak.
E tekintetben rámutat arra, hogy az általános adatvédelmi rendelet nem tartalmaz olyan rendelkezéseket, amelyek kifejezetten vagy hallgatólagosan előírnák, hogy az érintettnek joga lenne ahhoz, hogy bírósági eljárás útján megelőző jelleggel elérje, hogy a személyes adatok kezelőjének a jövőben tartózkodnia kell e rendelet rendelkezéseinek – különösen a jogellenes adatkezelés megismétlésével történő – megsértésétől.
Egyébiránt a Bíróság megállapítja, hogy e rendeletnek a jogorvoslatokra vonatkozó (
2
) egyetlen rendelkezése sem kötelezi a tagállamokat megelőző jogorvoslat bevezetésére. Közelebbről, az általános adatvédelmi rendelet 79. cikkének (1) bekezdése, amely az adatkezelővel szembeni hatékony bírósági jogorvoslathoz való jogot rögzíti, nem kötelezi a tagállamokat arra, hogy olyan konkrét jogorvoslati lehetőséget írjanak elő, amely lehetővé teszi, hogy bírósági eljárásban megelőző jelleggel eltiltó határozatot hozzanak.
Mindemellett, tekintettel többek között arra, hogy az általános adatvédelmi rendelet elismeri minden egyes érintett hatékony bírósági jogorvoslathoz való jogát, ha úgy ítéli meg, hogy személyes adatainak az említett rendeletet sértő kezelése következtében megsértették az e rendelet szerinti jogait, a Bíróság úgy véli, hogy a tagállamok nem akadályozhatók meg abban, hogy ilyen megelőző jogorvoslatot írjanak elő annak érdekében, hogy az adatkezelőt arra kötelezzék, hogy tartózkodjon az e rendelet által az érintett számára biztosított jogok további megsértésétől.
A Bíróság e tekintetben hangsúlyozza, hogy az általános adatvédelmi rendelet több rendelkezése kifejezetten lehetővé teszi a tagállamok számára, hogy további, szigorúbb vagy eltérő nemzeti szabályokat írjanak elő, amelyek mérlegelési mozgásteret hagynak a tagállamok számára e rendelkezések végrehajtásának módját illetően („engedő rendelkezések”). Ebben az összefüggésben megjegyzi, hogy bár az általános adatvédelmi rendeletnek a jogorvoslatokra vonatkozó rendelkezései nem tartalmaznak kifejezetten ilyen nyitó záradékot, az uniós jogalkotó nem kívánta kimerítően harmonizálni az e rendelet megsértése esetén rendelkezésre álló jogorvoslati lehetőségeket, és különösen nem zárta ki a megelőző jogorvoslat e lehetőségét.
A Bíróság hozzáteszi, hogy ezt az értelmezést megerősítik az általános adatvédelmi rendelet által követett célok. Az érintett azon lehetősége ugyanis, hogy keresetet indítson annak érdekében, hogy az adatkezelőt kötelezzék arra, hogy a jövőben tartózkodjon az általános adatvédelmi rendelet anyagi jogi rendelkezéseinek megsértésétől, erősítheti e rendelkezések hatékony érvényesülését, és így az érintettek magas szintű védelmét a személyes adataik kezelése tekintetében.
A Bíróság ebből azt a következtetést vonja le, hogy az általános adatvédelmi rendelettel nem ellentétes az olyan jogorvoslathoz való jog, amely olyan intézkedés elrendelésére irányul, amely lehetővé teszi az e rendelet anyagi jogi rendelkezései megsértésének többek között a jogellenes adatkezelés esetleges megismétlése révén történő esetleges elkövetésének megelőzését, valamely tagállam jogának az eljáró nemzeti bíróság előtt alkalmazandó rendelkezései alapján.
Másodszor, a Bíróság pontosítja a „nem vagyoni kár” fogalmát, amely az általános adatvédelmi rendelet értelmében (
3
) feljogosítja az érintettet arra, hogy az adatkezelőtől kártérítést kapjon.
Ennek keretében a Bíróság emlékeztet arra, hogy az általános adatvédelmi rendelet kártérítéshez való jogra vonatkozó 82. cikkének (1) bekezdésével ellentétes az olyan nemzeti szabály vagy gyakorlat, amely a „nem vagyoni kár” megtérítését attól a feltételtől teszi függővé, hogy az érintett által elszenvedett kár elér‑e bizonyos súlyossági fokot. E rendelkezés nem követeli meg, hogy az érintett által hivatkozott nem vagyoni kárnak „de minimis küszöböt” kell elérnie ahhoz, hogy e kár megtéríthető legyen. (
4
)
Ezenkívül a Bíróság megjegyzi, hogy az alapeljárásban hivatkozottakhoz hasonló, a személyes adatok megsértéséből eredő „jó hírnév sérelmére” vagy az ilyen adatok feletti „ellenőrzés elvesztésére” vonatkozó helyzetek kifejezetten szerepelnek az általános adatvédelmi rendeletben felsorolt lehetséges károk példái között. (
5
)
Emlékeztet arra is, hogy az érintett által érzékelt azon félelem, hogy személyes adatait a jövőben az általános adatvédelmi rendelet megsértését követően visszaélésszerűen használják fel, önmagában „nem vagyoni kárnak” minősülhet, feltéve hogy e félelem, annak negatív következményeivel együtt, megfelelően bizonyított, aminek vizsgálata az eljáró nemzeti bíróság feladata. (
6
)
Így a Bíróság elismeri, hogy bár egyébként részét képezhetik a mindennapi életben rejlő általános kockázatoknak, a kérdést előterjesztő bíróság által említett negatív érzelmek, különösen a félelem vagy az elégedetlenség, az általános adatvédelmi rendelet értelmében vett „nem vagyoni kárnak” minősülhetnek, amennyiben az érintett bizonyítja, hogy ilyen érzelmekkel szembesül, éppen e rendelet szóban forgó megsértése miatt, mint például személyes adatainak harmadik személy részére történő jogosulatlan továbbítása, amely ezen adatok visszaélésszerű felhasználásának kockázatával jár, aminek értékelése az eljáró nemzeti bíróságok feladata.
A Bíróság hangsúlyozza, hogy ez az értelmezés megfelel az általános adatvédelmi rendelet 82. cikke (1) bekezdése szövegének, amelyet e rendelet (85) és (146) preambulumbekezdésével összefüggésben kell értelmezni, amelyek a „nem vagyoni kár” fogalmának tág értelmezését írják elő, és azt megerősíti az említett rendelet azon célja, hogy biztosítsa a természetes személyek magas szintű védelmét a személyes adatok kezelése tekintetében.
Harmadszor, a Bíróság megállapítja, hogy az általános adatvédelmi rendelet kártérítéshez való jogra vonatkozó 82. cikkének (1) bekezdésével ellentétes, ha az adatkezelő által elkövetett kötelességszegés súlyossági fokát figyelembe veszik az e cikk alapján járó nem vagyoni kár megtérítésének értékelése során.
E tekintetben emlékeztet arra, hogy figyelembe véve a kártérítéshez való jog kizárólagos kompenzációs funkcióját, a nemzeti bíróságok kötelesek biztosítani az elszenvedett kár „teljes és tényleges” megtérítését, anélkül hogy az ilyen teljes kártérítés érdekében büntető jellegű kártérítés fizetését kellene előírni. (
7
)
Pontosítja, hogy az általános adatvédelmi rendelet szerinti kártérítéshez való jog kizárólag kompenzációs funkciójával ellentétes, hogy e rendelet adatkezelő általi megsértésének súlyossági fokát és esetleges szándékosságát figyelembe vegyék az említett rendelkezés alapján megítélendő kártérítés szempontjából. Így az adatkezelő hozzáállása és motivációja nem vehető figyelembe annak érdekében, hogy adott esetben az érintettnek az általa konkrétan elszenvedett kárnál alacsonyabb összegű kártérítést biztosítsanak, akár e kártérítés összegét, akár formáját illetően.
Végül negyedszer, a Bíróság úgy ítéli meg, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdésével ellentétes az, hogy az e cikk alapján járó pénzbeli kártérítés mértékének csökkentése, vagy a fortiori e kártérítés helyettesítése érdekében figyelembe vegyék azt a körülményt, hogy az érintett az alkalmazandó nemzeti jog alapján az e rendelet megsértésének megismétlésétől való tartózkodásra vonatkozó meghagyást kapott, amelyet az adatkezelővel szemben lehet érvényesíteni.
A Bíróság emlékeztet arra, hogy már elismerte, hogy a tényleges érvényesülés elvéből eredő korlátok között bizonyos körülmények befolyásolhatják az általános adatvédelmi rendelet 82. cikke alapján fizetendő kártérítés értékelését, különösen e kártérítés korlátozása érdekében. Márpedig az alkalmazandó nemzeti jogban előírt kártérítési formát csak akkor lehet az általános adatvédelmi rendelettel összeegyeztethetőnek tekinteni, ha az alkalmas az érintett által elszenvedett kár teljes és tényleges jóvátételének biztosítására. Közelebbről, az általános adatvédelmi rendelet 82. cikke alapján járó kártérítés nem ítélhető meg – részben vagy egészben – tartózkodást elrendelő határozat formájában, mivel a kártérítéshez való jog kizárólag kompenzációs funkciót tölt be, míg a károkozóval szemben hozott, tartózkodást elrendelő végzésnek tisztán megelőző célja van.
(
1
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 rendelet (általános adatvédelmi rendelet) (HL 2016. L 119, 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.) 17., 18., 79. és 82. cikke.
(
2
)	Az általános adatvédelmi rendelet „Jogorvoslat, felelősség és szankciók” című VIII. fejezete, amely magában foglalja többek között e rendelet 77–79. cikkét.
(
3
)	Az általános adatvédelmi rendelet 82. cikkének (1) bekezdése.
(
4
)	Lásd ebben az értelemben: 2023. május 4‑iÖsterreichische Post (Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár) ítélet (C 300/21, EU:C:2023:370, 51. pont); 2024. október 4‑iAgentsia po vpisvaniyata ítélet (C 200/23, EU:C:2024:827, 147. és 149. pont).
(
5
)	Lásd az általános adatvédelmi rendelet (75) és (85) preambulumbekezdését.
(
6
)	Lásd ebben az értelemben: 2024. június 20‑iPS (Téves ügy) ítélet (C‑590/22, EU:C:2024:536, 32., 35. és 36. pont); 2024. október 4‑iAgentsia po vpisvaniyata ítélet (C 200/23, EU:C:2024:827, 143., 144. és 155. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
7
)	Lásd ebben az értelemben: 2023. május 4‑iÖsterreichische Post (Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár) ítélet (C 300/21, EU:C:2023:370, 57. és 58. pont); 2024. október 4‑iPatērētāju tiesību aizsardzības centrs ítélet (C‑507/23, EU:C:2024:854, 34. pont).