62023CJ0655_RES
Asia C‑655/23
IP
vastaan
Quirin Privatbank AG
(Bundesgerichtshofin esittämä ennakkoratkaisupyyntö)
Unionin tuomioistuimen tuomio (neljäs jaosto) 4.9.2025
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – Rekisteröidyn oikeudet – 17 artikla – Oikeus tietojen poistamiseen – 18 artikla – Oikeus käsittelyn rajoittamiseen – 79 artikla – Oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimissa – Henkilötietojen lainvastainen käsittely – Oikeussuojakeino, jolla vaaditaan rekisterinpitäjälle kieltoa toteuttaa uusi lainvastainen käsittely tulevaisuudessa – Peruste – Edellytykset – 82 artiklan 1 kohta – Oikeus korvaukseen – Aineettoman vahingon käsite – Korvauksen arviointi – Rekisterinpitäjän tuottamuksen vakavuuden mahdollinen huomioon ottaminen – Kieltomääräyksen saamisen mahdollinen vaikutus
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeussuojakeinot – Jäsenvaltioiden velvollisuus säätää oikeussuojakeinosta, jolla voidaan vaatia rekisterinpitäjälle kieltoa toteuttaa uusi lainvastainen käsittely – Ei ole – Kansallinen lainsäädäntö, jonka mukaan tällaista oikeussuojakeinoa voidaan käyttää sisäisessä oikeusjärjestyksessä – Hyväksyttävyys
(Euroopan unionin perusoikeuskirjan 8 artiklan 1 ja 2 kohta; Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 1, 10 ja 11 perustelukappale, 1 artikla, 4 artiklan 1 kohta, 5, 6, 17, 18 ja 77-79 artikla)
(ks. 38–52 kohta ja tuomiolauselman 1 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeus korvaukseen ja vastuu – Oikeus korvaukseen aiheutuneesta vahingosta – Aineeton vahinko – Käsite – Rekisteröidyn tuntemat kielteiset tunteet, kun hänen henkilötietojaan on välitetty luvatta kolmannelle osapuolelle – Kuuluminen soveltamisalaan – Edellytykset – Tarve osoittaa tällaisten tunteiden olemassaolo ja niiden kielteiset vaikutukset, jotka johtuvat tämän asetuksen rikkomisesta
(Euroopan parlamentin ja neuvoston asetuksen N:o 2016/679 johdanto-osan 1, 10, 75, 85 ja 146 perustelukappale ja 82 artiklan 1 kohta)
(ks. 55, 56 ja 58–64 kohta sekä tuomiolauselman 2 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeus korvaukseen ja vastuu – Oikeus korvaukseen aiheutuneesta vahingosta – Korvauksen määrän ja muodon määrittäminen – Kansallinen lainsäädäntö, jossa sallitaan vahingon aiheuttajan tuottamuksen asteen huomioon ottaminen aineettoman vahingon korvaamisen arvioinnissa – Ei voida hyväksyä
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 146 perustelukappale ja 82 ja 83 artikla)
(ks. 66, 67 ja 69–73 kohta sekä tuomiolauselman 3 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeus korvaukseen ja vastuu – Oikeus korvaukseen aiheutuneesta vahingosta – Korvauksen määrän ja muodon määrittäminen – Loukkauksen uusimisen kieltävän määräyksen huomioon ottaminen aineettoman vahingon rahamääräisen korvauksen vähentämiseksi tai poissulkemiseksi – Ei voida hyväksyä
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 82 artikla)
(ks. 77–79 ja 81–83 kohta sekä tuomiolauselman 4 kohta)
Tiivistelmä
Unionin tuomioistuin, jolle Bundesgerichtshof (liittovaltion ylin yleinen tuomioistuin, Saksa) on esittänyt ennakkoratkaisupyynnön, täsmentää niiden oikeuksien laajuutta, joita rekisteröidylle on yleisen tietosuoja-asetuksen (
1
) eri säännöksissä annettu hänen henkilötietojensa lainvastaisen käsittelyn tapauksessa.
IP haki online-verkoston välityksellä työtä Quirin Privatbankista, joka on Saksan oikeuden mukaan perustettu yhtiö. Tämän jälkeen eräs yhtiön työntekijä käytti kyseisen verkoston sähköpostipalvelua lähettääkseen kolmannelle, joka ei osallistunut työhönottomenettelyyn, ainoastaan IP:lle tarkoitetun viestin, jossa hän ilmoitti viimeksi mainitulle hänen palkkatoiveensa hylkäämisestä ja ehdotti hänelle toisenlaista palkkiota. Tämä kolmas henkilö, joka oli aikaisemmin työskennellyt IP:n kanssa, välitti viestin tälle ja kysyi, etsikö tämä uutta työpaikkaa.
IP nosti Landgericht Darmstadtissa (Darmstadtin alueellinen alioikeus, Saksa) kanteen, jossa hän vaati, että yhtäältä Quirin Privatbankia kielletään käsittelemästä hänen työhönottomenettelyyn liittyviä henkilötietojaan tavalla, jolla toistettaisiin niiden luvaton luovuttaminen, ja toisaalta se velvoitetaan maksamaan hänelle vahingonkorvausta aiheutuneesta aineettomasta vahingosta. Ensimmäisen oikeusasteen tuomioistuin hyväksyi nämä vaatimukset.
Quirin Privatbankin Oberlandesgericht Frankfurtiin (osavaltion ylioikeus, Frankfurt, Saksa) tekemän valituksen johdosta kyseistä tuomiota muutettiin osittain siten, että vahingonkorvausvaatimus hylättiin. Kyseisen tuomioistuimen mukaan IP ei nimittäin ollut esittänyt näyttöä tosiasiallisesta vahingosta, ja että vaikka oletettaisiin hänen kokeneen nöyryytystä, sitä ei voitu pitää aineettomana vahinkona.
IP ja Quirin Privatbank tekivät kumpikin tästä tuomiosta valituksen Bundesgerichtshofiin (liittovaltion ylin yleinen tuomioistuin, Saksa), joka on ennakkoratkaisua pyytänyt tuomioistuin.
Koska ylin tuomioistuin epäili useiden yleisen tietosuoja-asetuksen säännösten tulkintaa, se esitti unionin tuomioistuimelle kysymyksiä oikeussuojakeinojen laajuudesta, aiheutuneen vahingon korvaamista koskevan oikeuden laajuudesta ja korvattavan aineettoman vahingon arviointiperusteista.
Unionin tuomioistuimen arviointi asiasta
Aluksi unionin tuomioistuinta pyydetään lausumaan siitä, säädetäänkö yleisen tietosuoja-asetuksen säännöksissä henkilötietojen laittoman käsittelyn kohteena olevan rekisteröidyn hyväksi tuomioistuimessa käytettävästä oikeussuojakeinosta, jonka avulla hän voi ennaltaehkäisevästi saada kielletyksi rekisterinpitäjältä sen, että se toteuttaa uuden lainvastaisen käsittelyn tulevaisuudessa, jos rekisteröity ei vaadi tietojensa poistamista, ja jos tähän vastataan kieltävästi, estävätkö nämä säännökset jäsenvaltioita säätämästä tällaisesta oikeussuojakeinosta omissa oikeusjärjestyksissään.
Se toteaa tältä osin, että yleisessä tietosuoja-asetuksessa ei ole säännöksiä, joissa säädettäisiin nimenomaisesti tai implisiittisesti, että rekisteröidyllä on oikeus saada ennaltaehkäisevästi oikeusteitse kiellettyä henkilötietojen rekisterinpitäjää rikkomasta kyseisen asetuksen säännöksiä tulevaisuudessa, erityisesti toistamasta laitonta käsittelyä.
Unionin tuomioistuin toteaa lisäksi, että yhdessäkään kyseisen asetuksen oikeussuojakeinoja koskevassa säännöksessä (
2
) ei velvoiteta jäsenvaltioita ottamaan käyttöön ennalta ehkäisevää oikeussuojakeinoa. Erityisesti yleisen tietosuoja-asetuksen 79 artiklan 1 kohdassa, jossa vahvistetaan oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää vastaan, ei velvoiteta jäsenvaltioita säätämään erityisestä oikeussuojakeinosta, joka mahdollistaa kieltomääräyksen saamisen ennaltaehkäisevästi oikeusteitse.
Kun otetaan huomioon yleisessä tietosuoja-asetuksessa tunnustettu jokaisen rekisteröidyn oikeus tehokkaisiin oikeussuojakeinoihin, jos rekisteröity katsoo, että hänen kyseiseen asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tätä asetusta, ”sanotun kuitenkaan rajoittamatta” muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja, unionin tuomioistuin katsoo, että jäsenvaltioita ei estetä säätämästä tällaisesta ennaltaehkäisevästä oikeussuojakeinosta, jolla pyritään siihen, että rekisterinpitäjää kielletään loukkaamasta tällä asetuksella rekisteröidylle annettuja oikeuksia uudelleen.
Unionin tuomioistuin toteaa tästä, että yleisen tietosuoja-asetuksen useilla säännöksillä annetaan kuitenkin jäsenvaltioille nimenomaisesti mahdollisuus säätää tiukemmista tai poikkeavista kansallisista täydentävistä säännöistä, jotka jättävät niille harkintavaltaa sen suhteen, miten nämä säännökset voidaan panna täytäntöön (ns. avoimet lausekkeet). Se toteaa tässä yhteydessä, että vaikka yleisen tietosuoja-asetuksen oikeussuojakeinoja koskevissa säännöksissä ei säädetä nimenomaisesti tällaisesta avoimesta lausekkeesta, unionin lainsäätäjän tarkoituksena ei ole ollut yhdenmukaistaa tyhjentävästi oikeussuojakeinoja, jotka ovat käytettävissä kyseisen asetuksen rikkomisen varalta, eikä se etenkään ole evännyt tällaisen ennaltaehkäisevän kanteen mahdollisuutta.
Unionin tuomioistuin lisää, että yleisen tietosuoja-asetuksen tavoitteet vahvistavat tämän tulkinnan. Rekisteröidyn mahdollisuus nostaa kanne tuomioistuimessa, jotta rekisterinpitäjää kielletään rikkomasta yleisen tietosuoja-asetuksen aineellisia säännöksiä tulevaisuudessa, on nimittäin omiaan vahvistamaan näiden säännösten tehokasta vaikutusta ja siten rekisteröityjen suojan korkeaa tasoa heidän henkilötietojensa käsittelyssä.
Unionin tuomioistuin johtaa tästä, että yleinen tietosuoja-asetus ei ole esteenä sille, että jäsenvaltion oikeuden säännösten, jotka olisivat sovellettavissa asiaa käsittelevässä kansallisessa tuomioistuimessa, perusteella olisi käytettävissä oikeussuojakeino sellaisen määräyksen saamiseksi, jolla voidaan estää kyseisen asetuksen aineellisten säännösten mahdollinen loukkaaminen muun muassa mahdollisesti toistamalla laiton käsittely.
Toiseksi unionin tuomioistuin täsmentää aineettoman vahingon käsitettä, joka antaa rekisteröidylle yleisen tietosuoja-asetuksen (
3
) nojalla oikeuden saada rekisterinpitäjältä korvaus aiheutuneesta vahingosta.
Tässä yhteydessä se huomauttaa, että korvausoikeuteen liittyvä yleisen tietosuoja-asetuksen 82 artiklan 1 kohta on esteenä kansalliselle oikeussäännölle tai käytännölle, jonka mukaan ”aineettoman vahingon” korvaaminen edellyttää, että rekisteröidylle aiheutunut vahinko on vakavuudeltaan tietynasteinen. Mainitussa säännöksessä ei edellytetä, että aineettoman vahingon, johon rekisteröity vetoaa, on ylitettävä tietty vähimmäismäärä, jotta vahinko voidaan korvata (
4
).
Lisäksi unionin tuomioistuin huomauttaa, että pääasiassa kyseessä olevan kaltaiset tilanteet, jotka koskevat henkilötietojen tietoturvaloukkauksesta johtuvaa ”maineen vahingoittumista” tai tällaisten tietojen ”hallitsemiskyvyn menettämistä”, kuuluvat nimenomaisesti yleisessä tietosuoja-asetuksessa (
5
) lueteltuihin mahdollisiin vahinkoihin.
Se toteaa myös, että rekisteröidyn pelko siitä, että hänen henkilötietojaan käytetään tulevaisuudessa väärin yleisen tietosuoja-asetuksen rikkomisen tähden, voi sellaisenaan olla ”aineetonta vahinkoa”, jos tämä pelko ja sen kielteiset seuraukset on asianmukaisesti näytetty toteen, mikä kansallisen tuomioistuimen, jonka käsiteltäväksi asia on saatettu, on selvitettävä (
6
).
Näin ollen unionin tuomioistuin myöntää, että vaikka ennakkoratkaisua pyytäneen tuomioistuimen mainitsemat kielteiset tunteet, erityisesti pelko tai harmi, voivat olla jokapäiväiseen elämään kuuluvia yleisiä riskejä, ne voivat muodostaa yleisessä tietosuoja-asetuksessa tarkoitetun ”aineettoman vahingon”, kunhan rekisteröity osoittaa, että hänellä on tällaisia tunteita ja että niillä on kielteisiä seurauksia nimenomaan tämän asetuksen kyseessä olevan rikkomisen – kuten hänen henkilötietojensa kolmannelle tapahtuneen luvattoman siirtämisen –, josta aiheutuu vaara henkilötietojen väärinkäytöstä, vuoksi, ja kansallisen tuomioistuimen, jonka käsiteltäväksi asia on saatettu, on arvioitava tätä.
Unionin tuomioistuin korostaa, että tämä tulkinta on yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan sanamuodon mukainen, kun sitä luetaan yhdessä tämän asetuksen johdanto-osan 85 ja 146 perustelukappaleen kanssa, joiden mukaan aineettoman vahingon käsitettä olisi tulkittava laajasti, ja sitä tukee mainitun asetuksen tavoite, jona on varmistaa luonnollisten henkilöiden korkeatasoinen suojelu henkilötietojen käsittelyssä.
Kolmanneksi unionin tuomioistuin toteaa, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa on tulkittava siten, että se on esteenä sille, että rekisterinpitäjän tuottamuksen vakavuusaste otetaan huomioon arvioitaessa aineettomasta vahingosta kyseisen artiklan nojalla suoritettavaa korvausta.
Tältä osin se toteaa, että kun otetaan huomioon vahingonkorvausta koskevan oikeuden yksinomainen korvaustehtävä, kansallisten tuomioistuinten on varmistettava ”täysi ja tosiasiallinen” korvaus aiheutuneesta vahingosta ilman, että tällainen täysimittainen korvaus edellyttäisi rangaistusluonteisten vahingonkorvausten määräämistä maksettavaksi (
7
).
Se tarkentaa, että tämän yleisen tietosuoja-asetuksen mukaisen korvauksen saamista koskevan oikeuden yksinomainen vahingonkorvaustehtävä on esteenä sille, että kyseisen asetuksen rikkomisen, johon rekisterinpitäjä on syyllistynyt, vakavuusaste ja mahdollinen tahallisuus otetaan huomioon määritettäessä tämän säännöksen perusteella vahingosta suoritettavaa korvausta. Näin ollen rekisterinpitäjän asennetta ja motivaatiota ei voida ottaa huomioon, jotta rekisteröidylle tarvittaessa myönnetään korvaus, joka on hänelle konkreettisesti aiheutunutta vahinkoa pienempi, olipa kyse korvauksen määrästä tai muodosta.
Neljänneksi ja viimeiseksi unionin tuomioistuin katsoi, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohta on esteenä sille, että rekisteröidyn sovellettavan kansallisen oikeuden nojalla saama määräys, jolla kielletään kyseisen asetuksen rikkomisen uusiminen ja johon voidaan vedota rekisterinpitäjää vastaan, otetaan huomioon kyseisen artiklan nojalla aineettomasta vahingosta suoritettavan rahallisen korvauksen määrän alentamiseksi tai etenkin sen katsomiseksi tämän korvauksen sijaan tulleeksi.
Unionin tuomioistuin muistuttaa jo todenneensa, että tehokkuusperiaatteesta johtuvissa rajoissa tietyt olosuhteet voivat vaikuttaa yleisen tietosuoja-asetuksen 82 artiklan nojalla suoritettavan korvauksen arviointiin erityisesti tämän korvauksen rajoittamiseksi. Sovellettavassa kansallisessa lainsäädännössä säädettyä korvausmuotoa voidaan kuitenkin pitää yleisen tietosuoja-asetuksen mukaisena vain, jos sillä voidaan varmistaa rekisteröidylle aiheutuneesta vahingosta täysi ja tosiasiallinen korvaus. Erityisesti yleisen tietosuoja-asetuksen 82 artiklan nojalla suoritettavaa korvausta ei voida myöntää osittain tai kokonaan kieltomääräyksen muodossa, koska vahingonkorvausta koskevalla oikeudella on yksinomaan vahingonkorvaustehtävä, kun taas vahingon aiheuttajalle määrätyllä kiellolla on puhtaasti ennaltaehkäisevä tarkoitus.
(
1
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) (jäljempänä yleinen tietosuoja-asetus) 17, 18, 79 ja 82 artikla.
(
2
)	Yleisen tietosuoja-asetuksen VIII luku, jonka otsikko on ”Oikeussuojakeinot, vastuu ja seuraamukset”, sisältää kyseisen asetuksen 77–79 artiklan.
(
3
)	Yleisen tietosuoja-asetuksen 82 artiklan 1 kohta.
(
4
)	Ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 51 kohta ja tuomio 4.10.2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 147 ja 149 kohta).
(
5
)	Ks. yleisen tietosuoja-asetuksen johdanto-osan 75 ja 85 perustelukappale.
(
6
)	Ks. vastaavasti tuomio 20.6.2024, PS (Väärä osoite), C‑590/22, EU:C:2024:536, 32, 35 ja 36 kohta ja tuomio 4.10.2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 143, 144 ja 155 kohta oikeuskäytäntöviittauksineen).
(
7
)	Ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 57 ja 58 kohta ja tuomio 4.10.2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 34 kohta).