FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT

M. CAMPOS SÁNCHEZ-BORDONA

fremsat den 6. oktober 2022 ( 1 )

Sag C-300/21

UI

mod

Österreichische Post AG

(anmodning om præjudiciel afgørelse indgivet af Oberster Gerichtshof (øverste domstol, Østrig))

»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – ikke-økonomisk tab som følge af ulovlig databehandling – betingelser for retten til erstatning – skade, der overstiger en vis alvorstærskel«

1. Forordning (EU) 2016/679 ( 2 ) giver enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af dens bestemmelser, ret til erstatning fra den dataansvarlige eller databehandleren.

2. Muligheden for at gøre denne ret gældende for en retsinstans forelå allerede i den foregående retsakt (artikel 23 i direktiv 95/46/EF ( 3 )), selv om den sjældent blev udøvet ( 4 ). Medmindre jeg tager fejl, fik Domstolen aldrig lejlighed til specifikt at fortolke den nævnte artikel.

3. Under databeskyttelsesforordningen har erstatningssøgsmål fået en større betydning ( 5 ). Der er sket en mærkbar stigning i disse søgsmål for medlemsstaternes retter, og denne stigning afspejles i de præjudicielle forelæggelser ( 6 ). I denne sag har Oberster Gerichtshof (øverste domstol, Østrig) anmodet Domstolen om at præcisere nogle af fællestrækkene ved den ordning for civilretligt erstatningsansvar, som databeskyttelsesforordningen indfører.

I. Retsforskrifter. Databeskyttelsesforordningen

4. Navnlig 75., 85. og 146. betragtning, som findes i præamblen til databeskyttelsesforordningen, er relevante med henblik på denne sag:

5. Af artikel 6 (»Lovlig behandling«) fremgår: »1. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende: a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål. […]«

6. Artikel 79 med overskriften »Adgang til effektive retsmidler over for en dataansvarlig eller databehandler« bestemmer i stk. 1 følgende: »Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77, skal den enkelte registrerede have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning.«

7. Artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« foreskriver i stk. 1: »Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.«

II. De faktiske omstændigheder, hovedsagen og de præjudicielle spørgsmål

8. Siden 2017 har Österreichische Post AG, som er en virksomhed, der driver et adresseforlag, indsamlet oplysninger om den østrigske befolknings sympati for bestemte politiske partier. Ved hjælp af en algoritme definerede virksomheden »målgruppeadresser« med sociodemografiske kendetegn.

9. UI er en fysisk person, med hensyn til hvem Österreichische Post foretog en statistisk ekstrapolering med henblik på at placere den pågældende i de potentielle målgrupper for valgreklame fra forskellige politiske partier. Det fremgik af denne ekstrapolering, at UI nærede stor sympati for et af disse partier. Disse oplysninger blev ikke videregivet til tredjemand.

10. UI, der ikke havde givet samtykke til behandlingen af sine personoplysninger, var vred over, at hans personoplysninger vedrørende sympati for bestemte politiske partier var blevet lagret, og vred og forurettet over den sympati, som Österreichische Post havde tilskrevet ham.

11. UI har nedlagt påstand om en erstatning på 1000 EUR for den immaterielle skade (følelsesmæssigt ubehag). UI har anført, at den politiske sympati, som han tilskrives, er en fornærmelse og skammeligt og skadeligt for hans omdømme. Österreichische Posts adfærd har ikke alene gjort ham meget utilfreds og undergravet hans tillid, men har også givet ham fornemmelsen af at være blevet udstillet.

12. Retten i første instans frifandt Österreichische Post for UI’s erstatningspåstand ( 7 ).

13. Appeldomstolen stadfæstede dommen i første instans. Appeldomstolen fastslog, at der ikke automatisk opstår en immateriel skade ved enhver overtrædelse af databeskyttelsesforordningen, og at: – Idet østrigsk ret finder supplerende anvendelse i forhold til databeskyttelsesforordningen, er det kun en skadevoldende følge, der går videre end den utilfredshed eller følelsesmæssige skade (»Gefühlsschaden«), som overtrædelsen af sagsøgerens rettigheder har medført, der berettiger til erstatning. – Der må holdes fast i det østrigske erstatningsretlige princip om, at alle må finde sig i følelser af rent ubehag og uvilje, uden at dette udløser en ret til erstatning. Med andre ord kræver retten til erstatning, at den påberåbte skade har en vis betydning.

14. Der er iværksat revisionsanke af appeldomstolens dom ved Oberster Gerichtshof (øverste domstol, Østrig), som har forelagt Domstolen disse præjudicielle spørgsmål: »1) Er det en forudsætning for at kunne tilkende erstatning i henhold til artikel 82 i [databeskyttelsesforordningen], at det ud over at det fastslås, at bestemmelser i den generelle forordning om databeskyttelse er overtrådt, også konstateres, at sagsøgeren har lidt en skade, eller er selve overtrædelsen af bestemmelser i den generelle forordning om databeskyttelse nok til at kunne tilkende en erstatning? 2) Opstiller EU-retten for så vidt angår fastsættelse af erstatningen også andre bestemmelser end effektivitetsprincippet og ækvivalensprincippet? 3) Er det foreneligt med EU-retten at lægge til grund, at det er en forudsætning for at tilkende erstatning for immateriel skade, at en konsekvens eller følge af overtrædelsen i det mindste har en vis betydning, der går videre end den vrede, som overtrædelsen har udløst?«

III. Procedure

15. Anmodningen om præjudiciel afgørelse indgik til Domstolen den 12. maj 2021.

16. UI, Österreichische Post, den østrigske og den tjekkiske regering, Irland og Europa-Kommissionen har indgivet skriftlige indlæg. Det blev ikke anset for nødvendigt at afholde et retsmøde.

IV. Bedømmelse

A. Indledende bemærkninger

1. Formaliteten

17. UI har gjort gældende, at det første præjudicielle spørgsmål ikke er relevant for tvisten, eftersom UI’s søgsmål ikke støtter sig på en »simpel« overtrædelse af en bestemmelse i databeskyttelsesforordningen, men derimod på konsekvenserne eller virkningerne af en sådan overtrædelse.

18. Formalitetsindsigelsen bør forkastes. Selv om det fastslås, at databehandlingen overtrådte databeskyttelsesforordningen uden at medføre skade for UI, kan sidstnævnte have ret til erstatning i henhold til databeskyttelsesforordningens artikel 82, hvis det bekræftes, at en simpel overtrædelse af en bestemmelse om databehandling skaber en sådan ret, således som den forelæggende ret ønsker oplyst.

19. Ifølge UI kunne Domstolen også afvise det andet præjudicielle spørgsmål, idet det er meget åbent hvad angår indholdet og alt for begrænset med hensyn til kravene i EU-retten, uden at nogen konkrete krav nævnes.

20. Selv om denne indsigelse er mere begrundet end den foregående, kan den heller ikke tages til følge. En retsinstans kan med føje ønske oplyst, om den ud over at overholde effektivitetsprincippet og ækvivalensprincippet skal tage hensyn til andre krav, der følger af EU-retten, med henblik på at vurdere skaden.

2. Afgrænsning af genstanden for dette forslag til afgørelse

21. Databeskyttelsesforordningens artikel 82 består af seks stykker. Den forelæggende ret har ikke nævnt nogen specifikke stykker, men henviser indirekte til stk. 1. Den forelæggende ret har heller ikke præciseret, hvilken bestemmelse der giver ret til erstatning.

22. Mit forslag til afgørelse bygger på følgende grundlag: – Behandlingen af UI’s personoplysninger fandt sted uden indhentning af vedkommendes samtykke som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, litra a). – Enhver, som har lidt skade, har ret til erstatning. I denne sag er UI, som er en identificeret fysisk person, der er berørt af behandlingen, den »registrerede« ( 8 ). – Databeskyttelsesforordningen omhandler erstatning for materiel og immateriel skade. UI’s krav er begrænset til sidstnævnte form for skade og har et økonomisk indhold.

B. Det første præjudicielle spørgsmål

23. Den forelæggende ret ønsker med sit første spørgsmål i det væsentlige oplyst, om en simpel overtrædelse af databeskyttelsesforordningens bestemmelser i sig selv giver ret til erstatning, uanset om der er opstået en skade.

24. På grundlag af den forelæggende rets argumenter og de indlæg, der er indgivet til Domstolen, kan det udledes, at spørgsmålet også kan læses på en anden og noget mere kompliceret måde: Det drejer sig om at afklare, om der ved en overtrædelse af databeskyttelsesforordningens bestemmelser nødvendigvis indtræder en skade, der giver anledning til en ret til erstatning, uden at sagsøgte har mulighed for at bevise det modsatte.

25. Der er en vis (teoretisk) forskel mellem disse to tilgange: Ved den første er skaden ikke en forudsætning for erstatning, hvilket den derimod er ved den anden tilgang. I praksis forsvinder kravet om, at sagsøgeren skal føre bevis for skaden, i begge tilfælde; vedkommende skal heller ikke føre bevis for årsagssammenhængen mellem overtrædelsen og denne skade ( 9 ).

26. Under alle omstændigheder vil jeg indledningsvist anføre, at ingen af de to læsninger af det første spørgsmål efter min opfattelse bør besvares bekræftende. Jeg vil behandle disse læsninger særskilt.

1. Erstatning uden skade?

27. Hævdes det, at der foreligger en ret til erstatning, selv om en overtrædelse af databeskyttelsesforordningen ikke giver anledning til en skade hos den registrerede, giver dette anledning til åbenlyse vanskeligheder, først og fremmest med hensyn til ordlyden af den nævnte forordnings artikel 82, stk. 1.

28. I henhold til denne bestemmelse ydes der netop erstatning ( 10 ), fordi der har været en forudgående skade. Det kræves således utvetydigt, at den fysiske person har lidt skade eller tab som følge af en overtrædelse af databeskyttelsesforordningen.

29. En fortolkning, der automatisk forbinder begrebet »overtrædelse« med begrebet »erstatning«, uden at der foreligger en skade, er således ikke forenelig med ordlyden af databeskyttelsesforordningens artikel 82. Den er heller ikke forenelig med det primære mål om civilretligt erstatningsansvar, som databeskyttelsesforordningen indfører, hvilket er at fyldestgøre den registrerede, netop gennem en »fuld erstatning« for den skade, som vedkommende har lidt ( 11 ).

30. Såfremt der ikke findes en skade, har erstatningen ikke længere en godtgørende funktion i forhold til de negative konsekvenser, som overtrædelsen har medført, men derimod en anden karakter, der snarere minder om en sanktion.

31. Det forholder sig imidlertid således, at en medlemsstats lovgivning kan kræve betaling af en erstatning med karakter af straf ( 12 ). Herved forstås en pligt til at betale et væsentligt beløb ud over skadeserstatning i snæver forstand.

32. Ved erstatning med karakter af straf kræves det som regel, at der først er indtrådt en skade. Med dette udgangspunkt sondres der imidlertid mellem skadens økonomiske konsekvenser og erstatningens størrelse, der står i forhold til denne skade.

33. Det er dog ikke svært at forestille sig, at en erstatning med karakter af straf ser bort fra skaden eller anser den for irrelevant med henblik på fyldestgørelsen af den part, der har fremsat kravet.

34. Svaret på det første præjudicielle spørgsmål kræver, at jeg undersøger, om denne form for erstatning er omfattet af databeskyttelsesforordningen, især fordi der i forelæggelsesafgørelsen og i parternes og procesdeltagernes indlæg er blevet henvist hertil.

2. Erstatning med karakter af straf?

a) Ordlydsfortolkning

35. Det civilretlige erstatningsansvars traditionelle funktion kan suppleres af andre funktioner med karakter af »straf« eller med »eksemplarisk« karakter, hvorefter erstatningens størrelse som nævnt ikke svarer til den lidte skade, men derimod forøges eller endda mangedobles.

36. EU-retten er i princippet ikke til hinder for denne form for erstatning, når der er tale om en overtrædelse af EU-retlige bestemmelser, hvis denne erstatning kan tilkendes som led i lignende søgsmål på grundlag af national ret ( 13 ).

37. Erstatning med karakter af straf har et afskrækkende formål. Dette samme formål kan forekomme, når medlemsstaterne i tilfælde af en overtrædelse af et direktiv skal træffe foranstaltninger, der har til formål at have en »reelt afskrækkende virkning« ( 14 ). Nogle direktiver bestemmer udtrykkeligt, at erstatning, der har form af sanktioner, skal være afskrækkende ( 15 ).

38. I andre tekster har lovgiver anført, at formålet med et direktiv »[ikke] er […] at indføre en pligt til at fastsætte en erstatning, der har karakter af straf« ( 16 ), eller at medlemsstaterne skal undgå denne form for erstatning i forbindelse med gennemførelsen af det pågældende direktiv ( 17 ). Inden for EU-retten sker der kun undtagelsesvist direkte tilkendelse af en såkaldt »erstatning, der har karakter af straf« ( 18 ).

39. Databeskyttelsesforordningen indeholder imidlertid ingen henvisninger til den sanktionslignende karakter af erstatningen for materiel eller immateriel skade, eller til, at beregningen af erstatningens størrelse skal afspejle denne karakter, eller at denne erstatning skal være afskrækkende (hvilken egenskab imidlertid tilskrives strafferetlige sanktioner og administrative bøder) ( 19 ). I betragtning af ordlyden kan der således ikke tilkendes erstatning med karakter af straf.

b) Fortolkning i lyset af bestemmelsens tilblivelseshistorie

40. Forgængeren for databeskyttelsesforordningens artikel 82, stk. 1, er artikel 23, stk. 1, i direktiv 95/46. Sidstnævnte indgik i en ordning, der havde virkning med henblik på offentlig og privat håndhævelse ( 20 ), men hvori (privat) erstatning og (offentlige) sanktioner var adskilt ( 21 ). Overvågningen af reglernes overholdelse blev især foretaget af uafhængige tilsynsmyndigheder ( 22 ).

41. Databeskyttelsesforordningen anvender den samme model, men har styrket de redskaber, der skal sikre virkningen af dens bestemmelser, som nu er mere detaljerede og af de fastlagte reaktioner, som nu er mere omfattende i tilfælde af overtrædelser eller risiko for overtrædelser: – På den ene side øges tilsynsmyndighedernes opgaver, idet disse bl.a. får til opgave at pålægge de harmoniserede sanktioner, der er fastlagt i databeskyttelsesforordningen ( 23 ). Dermed understreges den offentlige håndhævelse af reglerne. – På den anden side bestemmes det, at borgerne skal forsvare de rettigheder, som databeskyttelsesforordningen giver dem ( 24 ), enten ved at aktivere tilsynsmyndighederne (artikel 77) eller ved at anlægge et søgsmål (artikel 79 og 82). Desuden kan visse enheder i henhold til artikel 80 anlægge gruppesøgsmål ( 25 ), hvilket fremmer beskyttelsen af borgernes almene interesser ( 26 ).

42. Udviklingen af den fælles ordning for civilretligt erstatningsansvar for skader i databeskyttelsesforordningen var begrænset. De aspekter, der kunne herske tvivl om i direktiv 95/46, såsom at gøre immateriel skade erstatningsberettiget ( 27 ), blev hurtigt afklaret. Forhandlingerne drejede sig om andre aspekter ved den nævnte ordning ( 28 ).

43. Jeg har i forarbejderne ikke fundet nogen diskussion om den eventuelle straffende funktion af det civilretlige erstatningsansvar, der er omhandlet i databeskyttelsesforordningen. Det kan således ikke udledes, at en sådan funktion indgår i artikel 82, eftersom der ikke har været nogen diskussion herom, så meget desto mindre, eftersom der derimod har været diskussion om, hvorvidt denne funktion skulle indgå i andre EU-retlige tekster ( 29 ).

44. Under disse omstændigheder er jeg af den opfattelse, at databeskyttelsesforordningens artikel 82, stk. 1, blev udtænkt med henblik på og tilpasset det civilretlige erstatningsansvar typiske funktioner: skadeserstatning (til skadelidte) og, subsidiært, forebyggelse af fremtidig skade (med hensyn til den krænkende part).

c) Fortolkning ud fra sammenhængen

45. Databeskyttelsesforordningens artikel 82 er som nævnt en del af en ordning til sikring af virkningen af regler, hvori det private initiativ supplerer den offentlige håndhævelse. Erstatning, der ydes af dataansvarlige eller databehandlere, bidrager til denne virkning.

46. Pligten til at yde erstatning fungerer (ideelt set) som et incitament til at gå mere forsigtigt til værks i fremtiden, overholde reglerne og således undgå nye skader. Således bidrager alle enkeltpersoner, der kræver erstatning på egne vegne, til reglernes overordnede virkning.

47. I denne forbindelse er erstatnings- og straffefunktionen adskilt: – Sidstnævnte er forbundet med bøder, som tilsynsmyndighederne eller domstolene kan pålægge (databeskyttelsesforordningens artikel 83, stk. 1 og 9), og andre sanktioner, som medlemsstaterne træffer i henhold til databeskyttelsesforordningens artikel 84 ( 30 ). – Førstnævnte er forbundet med borgernes klager (artikel 77) og retssager (artikel 79). Det tilkommer imidlertid ikke tilsynsmyndighederne at træffe afgørelse om retten til erstatning.

48. I samme retning, i hvilken forbindelse funktionerne erstatning og sanktion er adskilte, gælder følgende: – En myndighed skal ved pålæggelsen af en bøde og fastsættelsen af dens størrelse tage højde for de i databeskyttelsesforordningens artikel 83 nævnte faktorer, som ikke gælder inden for det civilretlige erstatningsansvar, og som i princippet ikke kan overføres til beregningen af erstatning ( 31 ). – Hvis graden af den skade, som de berørte har lidt, er en faktor i forbindelse med bødestørrelsen ( 32 ), skal beregningen heraf ikke nødvendigvis tage hensyn til den erstatning, som den pågældende har kunnet modtage ( 33 ).

49. Ud fra et teoretisk perspektiv medfører en fortolkning, der, idet der ikke foreligger nogen skade, giver det civilretlige erstatningsansvar en straffende funktion, en risiko for, at erstatningsmekanismerne bliver overflødige i forhold til sanktionsmekanismerne.

50. I praksis kan den omstændighed, at det er let at få en gevinst med karakter af »straf« i form af en erstatning, medføre, at registrerede vælger denne tilgang frem for retsmidlet i databeskyttelsesforordningens artikel 77. Såfremt denne tilgang bliver udbredt, fratages tilsynsmyndighederne et redskab (den registreredes klage) til at træffe afgørelse og dermed til at undersøge og sanktionere mulige overtrædelser af databeskyttelsesforordningen, hvilket er til skade for de instrumenter, der er bedst egnede til at forsvare den almene interesse.

d) Formålsfortolkning

51. Der er i det væsentlige to formål med databeskyttelsesforordningen, som fremgår af dens titel: a) dels »beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger« og b) dels, at denne beskyttelse sker på en måde, således at den »fri[e] udveksling af personoplysninger« i Unionen hverken indskrænkes eller forbydes ( 34 ).

52. Jeg er af den opfattelse, at databeskyttelsesforordningen for at opnå disse formål ikke kræver, at erstatning forbindes med en simpel overtrædelse af den bestemmelse, der regulerer behandlingen, ved at give det civilretlige erstatningsansvar straffende funktioner.

53. Med hensyn til det første formål er det for at opfylde det ikke nødvendigt gennem en fortolkning at udvide anvendelsesområdet for databeskyttelsesforordningens artikel 82, således at denne bestemmelse omfatter tilfælde, hvor der er sket overtrædelse af en bestemmelse, uden at der er indtrådt en skade. En sådan udvidelse kan derimod påvirke det andet formål i negativ retning.

54. Databeskyttelsesforordningen indeholder som nævnt flere ordninger, der skal sikre, at dens bestemmelser overholdes, hvilke ordninger sameksisterer og supplerer hinanden. Medlemsstaterne skal ikke (og kan reelt heller ikke) vælge mellem mekanismerne i kapitel VIII med henblik på at sikre beskyttelsen af oplysninger. I tilfælde af en overtrædelse, der ikke giver anledning til en skade, har den registrerede stadig (som minimum) ret til at indgive klage til en tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 77, stk. 1.

55. Udsigten til at opnå erstatning uden nogen form for skade vil sandsynligvis tilskynde til flere civile søgsmål med krav, som måske ikke altid er begrundede ( 35 ), og kan i denne forbindelse bremse behandlingen af oplysninger ( 36 ).

3. Formodning for skade?

56. I nogle af indlæggene fra sagens parter foreslås en anden læsning af det første præjudicielle spørgsmål end den, jeg har behandlet indtil videre. Hvis jeg har forstået deres synspunkt korrekt ( 37 ), synes de at anføre, at der foreligger en uanfægtelig formodning for skade, når overtrædelsen af bestemmelsen har fundet sted.

57. Parterne har tilføjet, at denne overtrædelse nødvendigvis indebærer et tab af kontrol over oplysningerne, hvilket i sig selv udgør en erstatningsberettiget skade i henhold til databeskyttelsesforordningens artikel 82, stk. 1.

58. I teorien tillader denne formodning ikke, at der ses bort fra skaden, og dermed respekteres det civilretlige erstatningsansvars typiske opbygning samt ordlyden af bestemmelsen i databeskyttelsesforordningen. I praksis ville virkningerne af at anerkende en sådan formodning imidlertid svare til virkningerne af at knytte erstatningen i databeskyttelsesforordningens artikel 82, stk. 1, til den blotte overtrædelse af bestemmelsen.

59. Jeg vil atter benytte de sædvanlige fortolkningskriterier til at forklare, hvorfor jeg ikke er enig i denne fortolkning.

a) Ordlydsfortolkning

60. Når lovgiver inden for andre områder af EU-retten har været af den opfattelse, at retten til erstatning automatisk følger af overtrædelsen af en bestemmelse, har lovgiver ikke haft nogen betænkeligheder ved at fastslå det ( 38 ). Dette er ikke tilfældet med databeskyttelsesforordningen, der indeholder regler med hensyn til bevisførelse, eller regler, der har direkte virkninger for bevisførelsen ( 39 ), men ikke denne automatiske tilknytning, hverken direkte eller gennem en uigendrivelig formodning.

61. Henvisningerne til kontrollen over oplysningerne (eller tabet af denne kontrol), som fremgår af 75. ( 40 ) og 85. ( 41 ) betragtning til databeskyttelsesforordningen, opvejer efter min opfattelse ikke dette fravær. Ud over at der er tale om betragtninger, som således ingen normativ værdi har, anføres det ikke i nogen af dem, at en overtrædelse af en bestemmelse i sig selv indebærer en skade, der giver ret til erstatning: – Det anføres i 75. betragtning, at kontrollen over personoplysningerne hindres som en af de mulige risici ved behandlingen. – 85. betragtning nævner kontroltabet som en af de konsekvenser, der kan opstå som følge af et brud på persondatasikkerheden ( 42 ).

62. Tabet af kontrollen over oplysningerne medfører ikke nødvendigvis en skade. Formuleringen kan forstås som en sproglig tilladelse til at henvise til skader, der opstår som følge af et sådant kontroltab, såfremt de måtte opstå ( 43 ).

b) Fortolkning i lyset af tilblivelseshistorien

63. En analyse af tilblivelseshistorien understøtter heller ikke en sådan formodning, som ikke fremgik af direktiv 95/46 ( 44 ), og de dokumenter fra Kommissionen, Europa-Parlamentet og Rådet forud for vedtagelsen af databeskyttelsesforordningen, som jeg har undersøgt, indeholder heller ikke denne formodning.

c) Fortolkning ud fra sammenhængen

64. Ordningen i databeskyttelsesforordningen indeholder elementer, der taler for, at den omtvistede formodning ikke gælder, idet der henvises til den registreredes samtykke ( 45 ). Dette samtykke, som er afgørende for den registreredes kontrol over oplysningerne, lovliggør behandlingen af disse oplysninger på samme niveau som andre retsgrundlag (databeskyttelsesforordningens artikel 6) ( 46 ).

65. En lovlig behandling af personoplysninger er mulig uden den registreredes samtykke og således uden den kontrol, som beslutningen om at give eller nægte at give dette samtykke udgør. Denne kontrol har imidlertid ikke en absolut vægt inden for ordningen.

66. Desuden omfatter databeskyttelsesforordningen andre muligheder for at udøve denne kontrol: heriblandt retten til sletning, som pålægger den dataansvarlige »uden unødig forsinkelse« at slette de pågældende oplysninger ( 47 ).

67. For den person, hvis data behandles, fungerer denne ret som en sikkerhedsventil i beskyttelsesordningen: den gælder (som hovedregel), når den dataansvarlige ikke har indhentet samtykke fra den registrerede, samt når der ikke findes et andet grundlag, der begrunder behandlingen af oplysningerne, og den afhænger ikke af, at behandlingen forårsager skade ( 48 ).

d) Formålsfortolkning

1) Er det et formål med databeskyttelsesforordningen, at den registrerede har kontrol over sine oplysninger?

68. Et automatisk sammenfald mellem en behandling af personoplysninger, i hvilken forbindelse der ikke er indhentet samtykke fra den registrerede, og en skade, som giver ret til erstatning, forudsætter, at den nævnte kontrol, som samtykket er afgørende for, har værdi i sig selv.

69. Jeg erkender, at dette synspunkt ved første øjekast ikke savner opbakning. Målet om, at borgerne har kontrol over deres oplysninger, fremgår af Kommissionens forslag som en af de vigtigste grunde til lovændringen ( 49 ). Det fremgår af syvende betragtning til databeskyttelsesforordningen, at »[f]ysiske personer bør have kontrol over deres personoplysninger«.

70. Det forholder sig således, at dette begreb skal fortolkes med varsomhed, samt at det har givet anledning til diskussion i retslitteraturen. I databeskyttelsesforordningen findes der ingen præcis definition af »kontrol« (som jeg heller ikke har fundet et andet sted) ( 50 ). Begrebet kan indeholde mindst to betydninger, som ikke udelukker hinanden gensidigt: »magt« eller »ejendom« og »tilsyn«.

71. Affattelsen af syvende betragtning til databeskyttelsesforordningen skaber en vis usikkerhed, eftersom den varierer efter sprogversionerne ( 51 ). Henset til dens indhold er jeg af den opfattelse, at databeskyttelsesforordningen giver registrerede beføjelser til at overvåge og gribe ind i aktiviteter, som andre udfører med oplysningerne, som et instrument (sammen med andre instrumenter) til beskyttelse af disse oplysninger.

72. Den registrerede bidrager selv til og er ansvarlig for beskyttelsen af den information, der er repræsenteret i oplysningerne, i det omfang – niveau og nærmere regler – som databeskyttelsesforordningen foreskriver. Omfanget af et individuelt søgsmål er begrænset: Med hensyn til de i databeskyttelsesforordningen opregnede rettigheder kan et sådant søgsmål kun anlægges på visse betingelser.

73. Den registreredes samtykke, som er det ypperste udtryk for kontrol ( 52 ), er blot et af retsgrundlagene for, at behandlingen er lovlig, men samtykket kan ikke afhjælpe en manglende opfyldelse af de øvrige forpligtelser og betingelser, der påhviler den dataansvarlige og databehandleren.

74. Det er efter min opfattelse ikke let at udlede, at databeskyttelsesforordningen skulle have til formål at give den registrerede kontrol over personoplysninger som en værdi i sig selv. Ej heller, at den registrerede skal have størst mulig kontrol over disse oplysninger.

75. Denne konstatering er ikke overraskende. Dels er det ikke indlysende, at kontrol, forstået som ejendomsret over oplysningerne, er en del af kerneindholdet i den grundlæggende ret til beskyttelse af personoplysninger ( 53 ). Dels er der langt fra enighed om forståelsen af denne ret som en selvbestemmelsesret med hensyn til personoplysninger: Chartrets artikel 8 anvender ikke disse udtryk ( 54 ).

76. I samme retning blev en betragtning, hvorefter »[r]etten til beskyttelse af personoplysninger er baseret på den registreredes ret til at kontrollere de behandlede personoplysninger« ( 55 ), ikke medtaget i databeskyttelsesforordningens endelige affattelse.

77. På baggrund af de ovenstående betragtninger, som måske er for abstrakte, kan jeg konkludere, at når den registrerede ikke giver samtykke til en behandling, og denne behandling gennemføres uden et andet gyldigt retsgrundlag, skal den pågældende ikke nødvendigvis kompenseres økonomisk som følge af tabet af kontrol over sine oplysninger, som om dette tab i sig selv medførte en skade, som giver ret til erstatning ( 56 ). Det er uafklaret, om den pågældende desuden har lidt skade (hvilket skal godtgøres) ( 57 ).

2) Den registreredes kontrol i den konkrete sammenhæng

78. Jeg finder det endelig hensigtsmæssigt at minde om, at beskyttelsen af personoplysninger anføres som et mål med databeskyttelsesforordningen sammen med målet om at fremme den frie udveksling af disse oplysninger ( 58 ).

79. En forbedring af borgernes kontrol over deres personoplysninger i det digitale miljø er et af de anerkendte formål i forbindelse med moderniseringen af ordningen for beskyttelse af personoplysninger, men ikke et selvstændigt eller særskilt formål.

80. I den meddelelse, der ledsagede forslaget til databeskyttelsesforordningen, forbandt Kommissionen et højt databeskyttelsesniveau med tilliden til onlinetjenesterne, som gør det muligt at udnytte den digitale økonomis potentiale og dermed skabe incitament til »økonomisk vækst og bedre konkurrenceevne i EU’s erhvervsliv«. Fornyelsen (og den øgede harmonisering) af EU-lovgivningen »styrker […] databeskyttelsens vægt i det indre marked« ( 59 ).

81. I betragtning af beviserne for (personlige og ikke-personlige) oplysningers værdi for det økonomiske og sociale fremskridt i Europa har databeskyttelsesforordningen ikke til formål at øge den enkeltes kontrol over de oplysninger, der vedrører vedkommende, og uden videre rette sig efter vedkommendes præferencer, men derimod at forene enhvers ret til beskyttelse af personoplysninger med tredjemands og samfundets interesser ( 60 ).

82. Jeg understreger, at databeskyttelsesforordningen ikke har til formål systematisk at begrænse behandlingen af personoplysninger, men derimod at tillade en sådan behandling på strenge betingelser. Dette formål understøttes navnlig ved at fremme den registreredes tillid til, at behandlingen foregår i en sikker sammenhæng ( 61 ), som den pågældende selv bidrager til. Således skabes der et incitament hos den pågældende til frivilligt at tillade adgang til og anvendelse af vedkommendes oplysninger, bl.a. på området for online handelstransaktioner.

C. Det andet præjudicielle spørgsmål

83. Den forelæggende ret ønsker oplyst om »EU-retten for så vidt angår fastsættelse af erstatningen [opstiller] andre bestemmelser end effektivitetsprincippet og ækvivalensprincippet«.

84. Egentlig synes ækvivalensprincippet ikke at spile en vigtig rolle her: den harmoniserede ordning i databeskyttelsesforordningen gælder umiddelbart på dette område, og artikel 82 finder anvendelse på alle immaterielle skader, der indtræder som følge af en overtrædelse, uanset hvor de stammer fra.

85. Med hensyn til effektivitetsprincippet gør samme betragtning sig gældende. En anden sag er, om erstatningen, idet det, der er anført i 146. betragtning til databeskyttelsesforordningen, tages i betragtning (registrerede bør have fuld [og effektiv] erstatning for den skade, som de har lidt), skal have et nærmere bestemt indhold.

86. Det eneste krav, som databeskyttelsesforordningens artikel 82 opstiller, er, at en overtrædelse af denne forordnings regler skal medføre en materiel eller immateriel skade, som en hvilken som helst person har lidt. Med hensyn til den nærmere beregning af størrelsen af erstatningen for disse skader fastsætter bestemmelsen ikke retningslinjer for de nationale retter.

87. I betragtning af den ovennævnte betegnelse (fuld [og effektiv]) afhænger erstatningen for det første af den påstand, som hver enkelt sagsøger nedlægger.

88. Hvis denne påstand består i et krav om erstatning med karakter af straf ( 62 ), er svaret på det første præjudicielle spørgsmål tilstrækkeligt: Denne form for erstatning findes ikke i databeskyttelsesforordningen. I denne forordning fungerer det civilretlige erstatningsansvar som en »privat« erstatning, mens bøder og strafferetlige sanktioner har en offentlig funktion, der består i at afskrække og eventuelt at straffe.

89. Det kan ikke afvises, at en erstatning, der kræves for immateriel skade, indeholder andre elementer end en rent økonomisk erstatning, f.eks. anerkendelse af, at der er sket en overtrædelse, hvorved sagsøgeren får en vis moralsk oprejsning. Selv om Domstolens dom af 15. april 2021 ( 63 ) blev afsagt i forbindelse med et område, der ikke er sammenfaldende med området for databeskyttelse, giver den analogt mulighed for at tiltræde dette argument.

90. I de retsordener, hvori dette er fastsat, er det muligt, at ordningen for civilretligt erstatningsansvar indebærer straffe med henblik på genvinding af en rettighed (betaling af en symbolsk erstatning) eller neutralisering af en uretmæssig fordel (overdragelse af den gevinst, der er opnået uretmæssigt).

91. Førstnævnte understøttes af idéen om at skabe kontinuitet og virkeliggøre retten (»Rechtsfortsetzungsfunktion«) gennem en rent symbolsk erstatning ledsaget af en erklæring af, at sagsøgte har begået en lovovertrædelse og har tilsidesat sagsøgerens rettigheder. Databeskyttelsesforordningens artikel 82 omhandler ikke en sådan tanke, som heller ikke kan anes i forarbejderne, hvilket ikke er overraskende, fordi den ikke er almindelig i medlemsstaternes retssystemer ( 64 ) og heller ikke er uomtvistet i de retssystemer, hvor den findes ( 65 ).

92. Ordningen i databeskyttelsesforordningen og dens formål er imidlertid ikke til hinder for, at de medlemsstater, der har kendskab til dette retsmiddel, tilbyder det til personer, der er berørt af overtrædelsen af en bestemmelse, inden for rammerne af de retsmidler, der er omhandlet i denne forordnings artikel 79, i tilfælde af at der slet ikke foreligger en skade. Når sagsøgeren derimod gør gældende, at vedkommende har lidt økonomisk skade, er situationen omfattet af databeskyttelsesforordningens artikel 82, og den omstændighed, at det er vanskeligt at bevise skaden, bør ikke føre til en symbolsk erstatning ( 66 ).

93. Med hensyn til straffe, der består i overdragelse af det beløb, der stammer fra overtrædelsen af en rettighed, kan de have til formål at fratage lovovertræderen den opnåede gevinst. Uden for området for intellektuelle ejendomsrettigheder ( 67 ) er dette formål ikke almindeligt i erstatningsretten, som snarere ser mod skadelidtes tab end mod den krænkende parts gevinst ( 68 ). Databeskyttelsesforordningens bestemmelser omfatter ikke dette formål.

94. Jeg tilvejebringer disse overvejelser for at lette den forelæggende rets arbejde i betragtning af omfanget af dens andet præjudicielle spørgsmål. Jeg er imidlertid godt klar over, at de kan være til ringe nytte med henblik på spørgsmålet om, hvorvidt sagsøgeren skal gives medhold, eller sagsøgte skal frifindes i et søgsmål, hvor den registrerede har fremsat krav om en rent økonomisk erstatning for immateriel skade.

D. Det tredje præjudicielle spørgsmål

95. Den forelæggende ret ønsker oplyst, om anerkendelse af en immateriel skade forudsætter, »at en konsekvens eller følge af overtrædelsen i det mindste har en vis betydning, der går videre end den vrede, som overtrædelsen har udløst«.

96. Som kriterium for, hvad der giver ret til erstatning, henvises der i anmodningen om præjudiciel afgørelse til intensiteten af den registreredes oplevelse. Det ønskes derimod ikke oplyst (i det mindste ikke direkte), om en bestemt følelse eller fornemmelse er relevant eller irrelevant med henblik på databeskyttelsesforordningens artikel 82, stk. 1, som følge af indholdet heraf ( 69 ).

97. Der rejses således tvivl om, hvorvidt medlemsstaterne kan betinge erstatning for immateriel skade af de konsekvenser, der følger af overtrædelsen af bestemmelsen, og kun godtage de konsekvenser, der overstiger en vis alvorstærskel. Spørgsmålet handler således ikke om begreber om ret til erstatning ( 70 ) eller om erstatningens størrelse, men derimod om, hvorvidt der findes en nedre tærskel for den berørtes reaktion, hvorunder den pågældende ikke modtager erstatning.

98. Databeskyttelsesforordningens artikel 82 giver ikke et direkte svar på spørgsmålet. Det gør 75. eller 85. betragtning efter min opfattelse heller ikke. Disse betragtninger indeholder en eksemplificerende opregning af skader, som ender i en åben bestemmelse, der synes at begrænse skader, som giver ret til erstatning, til skader, der er »betydelige«.

99. Jeg er imidlertid ikke af den opfattelse, at disse bestemmelser er nyttige med henblik på at afklare den forelæggende rets tvivl: – Den første betragtning vedrører identificering og evaluering af risiciene ved behandlingen af oplysninger samt foranstaltninger, der kan træffes for at undgå eller begrænse disse risici. Den viser de uønskede konsekvenser ved enhver behandling og fremhæver (»navnlig«) nogle af dem, formentlig på grund af deres mere alvorlige karakter. – Den anden vedrører brud på datasikkerheden og fremhæver, at konsekvenserne heraf kan være betydelige.

100. Der fremgår heller ikke kriterier af erklæringen i 146. betragtning til databeskyttelsesforordningen (de ansvarlige bør yde erstatning for »enhver skade« ( 71 )), som gør det muligt at besvare dette spørgsmål.

101. Overførelsen af denne betragtning til databeskyttelsesforordningens tekst var afgørende for, at sidstnævnte udtrykkeligt kom til at omfatte immateriel skade i stedet for tavsheden desangående i direktiv 95/46 ( 72 ). Navnlig det spørgsmål, der nu er rejst for Domstolen, blev imidlertid ikke behandlet.

102. Det anføres i 146. betragtning til databeskyttelsesforordningen, at »[b]egrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning«.

103. Jeg er ikke sikker på, at denne angivelse er særlig nyttig i forbindelse med databeskyttelse, eftersom Domstolen endnu ikke havde taget stilling til dette punkt, da databeskyttelsesforordningen blev vedtaget ( 73 ). Hvis lovgiver havde ønsket at henvise til domme om det civilretlige erstatningsansvar, der er omhandlet i andre direktiver eller forordninger, havde en henvisning til analoge bestemmelser været velkommen.

104. I virkeligheden har Domstolen ikke udarbejdet en generel definition af begrebet »skade«, der finder anvendelse uden forskel på ethvert område ( 74 ). For så vidt angår den foreliggende sag (immateriel skade) kan følgende udledes af Domstolens praksis: – Når formålet (eller et af formålene) med den bestemmelse, der fortolkes, er at beskytte enkeltpersoner eller en bestemt kategori af enkeltpersoner ( 75 ), bør begrebet skade defineres bredt. – Sammenholdt med dette kriterium yder der også erstatning for immateriel skade, selv om denne skade ikke er nævnt i den bestemmelse, der fortolkes ( 76 ).

105. Selv om det i henhold til Domstolens praksis kan gøres gældende, at der i EU-retten som beskrevet ovenfor findes et princip om erstatning for immateriel skade, kan der efter min opfattelse derimod ikke udledes en regel heraf, hvorefter al immateriel skade, uanset hvor alvorlig den er, giver ret til erstatning.

106. Domstolen har fastslået, at EU-retten er forenelig med en national lovgivning, der med henblik på beregning af erstatning sondrer mellem immateriel skade i forbindelse med legemsbeskadigelse som følge af en ulykke alt efter ulykkens årsag ( 77 ).

107. Domstolen har også vurderet, hvilke omstændigheder der er i stand til forårsage immateriel skade i forhold til den bestemmelse, der finder anvendelse i hvert tilfælde ( 78 ), men har ikke udtrykkeligt (medmindre jeg tager fejl) taget stilling til kravet om, at denne skade skal være alvorlig ( 79 ).

108. På denne baggrund bør det tredje præjudicielle spørgsmål efter min opfattelse besvares bekræftende.

109. Til støtte for min opfattelse minder jeg om, at databeskyttelsesforordningen ikke alene har til formål at beskytte den grundlæggende ret til beskyttelse af personoplysninger ( 80 ), og at dens system af garantier omfatter mekanismer af forskellig art ( 81 ).

110. I denne forbindelse er den sondring, som Domstolen er blevet foreslået, mellem immateriel skade, der giver ret til erstatning, og andre ulemper som følge af den manglende overholdelse af loven, som på grund af deres ubetydelige karakter ikke nødvendigvis giver ret til erstatning, relevant.

111. Denne sondring findes i nationale lovgivninger som en uundgåelig følgevirkning af samfundslivet ( 82 ). Domstolen er ikke uvidende om denne sondring, som den har tiltrådt, når den har henvist til problemer og gener som en selvstændig kategori i forhold til skader på områder, hvor der efter Domstolens opfattelse bør ydes erstatning for disse ( 83 ). Der er intet til hinder for at overføre denne sondring til databeskyttelsesforordningen.

112. I øvrigt er retten til erstatning i databeskyttelsesforordningens artikel 82, stk. 1, efter min opfattelse ikke det rette instrument til at bekæmpe overtrædelser i forbindelse med behandlingen af personoplysninger, hvis det eneste, disse overtrædelser medfører for den registrerede, er vrede eller utilfredshed.

113. Enhver overtrædelse af en bestemmelse om beskyttelse af personoplysninger skaber som regel en negativ reaktion hos den registrerede. En erstatning, der alene er baseret på en følelse af ubehag i forbindelse med andres manglende overholdelse af loven, kan let forveksles med en erstatning uden skade, som jeg tidligere har forkastet.

114. Ud fra et praktisk synspunkt er det ikke hensigtsmæssigt at lade en immateriel skade, der giver ret til erstatning, omfatte simpel utilfredshed, henset til de ulemper og vanskeligheder, der kendetegner en retssag for sagsøgeren ( 84 ) og forsvaret for sagsøgte ( 85 ).

115. Såfremt den registrerede nægtes ret til erstatning for svage og forbigående følelser ( 86 ) i forbindelse med overtrædelsen af regler om behandlingen, står den pågældende ikke fuldstændig uden retsbeskyttelse. Som jeg nævnte i forbindelse med det første spørgsmål, indeholder ordningen i databeskyttelsesforordningen andre retsmidler.

116. Jeg er ikke i tvivl om, at grænsen mellem simpel utilfredshed (som ikke er erstatningsberettiget) og reel immateriel skade (som er erstatningsberettiget) er vag, og jeg ser ikke bort fra, at det er vanskeligt at foretage en teoretisk afgrænsning af de to kategorier og anvende dem i praksis på en sag. Denne vanskelige opgave er tillagt medlemsstaternes retter, som i deres domme sandsynligvis ikke kan unddrage sig den opfattelse, der til enhver tid hersker i samfundet om den accepterede tolerance, når de subjektive konsekvenser af overtrædelsen af en bestemmelse på dette område ikke overstiger en minimumsgrænse ( 87 ).

V. Forslag til afgørelse

117. På baggrund af det ovenstående foreslår jeg, at Domstolen svarer Oberster Gerichtshof (øverste domstol, Østrig) således: »Artikel 82 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) skal fortolkes som følger: Med henblik på anerkendelse af retten til erstatning for en skade, som en person har lidt som følge af en overtrædelse af den nævnte forordning, er en simpel overtrædelse af en bestemmelse i sig selv ikke tilstrækkelig, hvis denne overtrædelse ikke ledsages af en deraf følgende materiel eller immateriel skade. Den erstatning for immateriel skade, som nævnte forordning omhandler, omfatter ikke den utilfredshed, som den berørte person kan føle som følge af overtrædelsen af bestemmelserne i forordning 2016/679. Det tilkommer de nationale retter at afgøre, hvornår en subjektiv fornemmelse af ubehag på grund af dens kendetegn i hvert enkelt tilfælde kan anses for en immateriel skade.«

( 1 ) – Originalsprog: spansk.

( 2 ) – Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) (herefter »databeskyttelsesforordningen«).

( 3 ) – Europa-Parlamentet og Rådets direktiv af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31).

( 4 ) – Jf. rapporten Access to data protection remedies in the EU Member States fra Den Europæiske Unions Agentur for Grundlæggende Rettigheder (FRA), Den Europæiske Unions Publikationskontor, 2013, punkt 3 og 4.

( 5 ) – Den lovgivningsmæssige anerkendelse af denne ret er i vid udstrækning en særegenhed i Unionens beskyttelsesordning. Undersøgelsen af gyldigheden af retsakter vedrørende overførsel af personoplysninger til tredjelande tager navnlig højde for, hvorvidt der findes en bestemmelse med det samme formål. Jf. præmis 226 og 227 i udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017 (EU:C:2017:592), og dom af 16.7.2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559), og af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491).

( 6 ) – På tidspunktet for udarbejdelsen af dette forslag til afgørelse foreligger syv andre anmodninger om præjudiciel afgørelse om dette emne (C-340/21, C-667/21, C-687/21, C-741/21, C-182/22, C-189/22 og C-456/22). Sideløbende er Europa-Parlamentets Udvalg for Andragender blevet anmodet om at »præcisere betragtningerne til databeskyttelsesforordningen navnlig med hensyn til immateriel skade med henblik på at undgå flere uretfærdige domme fra de tyske domstole« (anmodning nr. 0386/2021).

( 7 ) – Retten tog begæringen om nedlæggelse af forbud til følge, hvilken afgørelse blev stadfæstet af appeldomstolen. Österreichische Posts revisionsanke, som var anlagt til prøvelse af afgørelsen om nedlæggelse af forbud, blev forkastet.

( 8 ) – Jeg anvender dette begreb i den forstand, hvori det er anvendt i databeskyttelsesforordningens artikel 4, nr. 1).

( 9 ) – I visse tilfælde skal den registrerede ikke engang bevise, at vedkommende ikke gav samtykke, eftersom det følger af databeskyttelsesforordningens artikel 7, stk. 1, at »[h]vis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger«. Det kan derimod kræves, at sagsøgeren fremlægger materiale, der gør det muligt at fastslå skadens omfang.

( 10 ) – Begrebet »indemnización« (»erstatning«) anvendes i den spanske og den portugisiske version (»indemnização«). Begrebet »Schadenersatz« i den tyske version er også meget udtryksfuldt. I den franske version anvendes ikke »indemnisation«, men derimod »réparation«, og i den engelske anvendes begrebet »compensation«. I alle disse samt andre tilsvarende versioner er resultatet efter min opfattelse det samme: skaden er et afgørende element i det civilretlige erstatningsansvar.

( 11 ) – 146. betragtning til databeskyttelsesforordningen. Erstatningen har til formål at genoprette ligevægten i den retsstilling, der blev ændret i negativ retning (skadet) som følge af overtrædelsen af loven.

( 12 ) – Erstatning med karakter af straf (punitive damages) er kendetegnende for angelsaksisk ret. Andre retsordener anvender denne form for erstatning i forbindelse med særligt forsætlige eller groft uagtsomme handlinger. Til tider forbindes de med evaluering af det ikke-økonomiske tab, der følger af en skade på individets fysiske integritet eller intimsfære.

( 13 ) – Dom af 13.7.2006, Manfredi m.fl. (C-295/04 – C-298/04, EU:C:2006:461, præmis 92): »For så vidt angår tildelingen af skadeserstatning og en eventuel mulighed for at tilkende en godtgørelse tilkommer det den nationale retsorden i hver enkelt medlemsstat, når der ikke findes fællesskabsretlige bestemmelser på området, at fastsætte de kriterier, der giver mulighed for at bestemme erstatningens omfang, idet ækvivalens- og effektivitetsprincipperne overholdes.« Min fremhævelse.

( 14 ) – Dom af 11.10.2007, Paquay (C-460/06, EU:C:2007:601, præmis 44 ff.), sammenholdt med artikel 6 i Rådets direktiv 76/207/EØF af 9.2.1976 om gennemførelse af princippet om ligebehandling af mænd og kvinder for så vidt angår adgang til beskæftigelse, erhvervsuddannelse, forfremmelse samt arbejdsvilkår (EFT 1976, L 39, s. 40).

( 15 ) – Artikel 28 i Europa-Parlamentets og Rådets direktiv 2004/109/EF af 15.12.2004 om harmonisering af gennemsigtighedskrav i forbindelse med oplysninger om udstedere, hvis værdipapirer er optaget til handel på et reguleret marked, og om ændring af direktiv 2001/34/EF (EUT 2004, L 390, s. 38), eller artikel 25 i Europa-Parlamentets og Rådets direktiv 2006/54/EF af 5.7.2006 om gennemførelse af princippet om lige muligheder for og ligebehandling af mænd og kvinder i forbindelse med beskæftigelse og erhverv (EUT 2006, L 204, s. 23).

( 16 ) – Jf. 26. betragtning til Europa-Parlamentets og Rådets direktiv 2004/48/EF af 29.4.2004 om håndhævelsen af intellektuelle ejendomsrettigheder (EUT 2004, L 157, s. 45[,berigtiget i EUT 2004, L 195, s. 16]). I dette tilfælde er fastsættelsen af en såkaldt »erstatning, der har karakter af straf«, ikke forbudt, men er heller ikke obligatorisk: dom af 25.1.2017, Stowarzyszenie Oławska Telewizja Kablowa (C-367/15, EU:C:2017:36, præmis 28).

( 17 ) – Artikel 3, stk. 3, i Europa-Parlamentets og Rådets direktiv 2014/104/EU af 26.11.2014 om visse regler for søgsmål i henhold til national ret angående erstatning for overtrædelser af bestemmelser i medlemsstaternes og Den Europæiske Unions konkurrenceret (EUT 2014, L 349, s. 1), eller 10. og 42. betragtning til Europa-Parlamentets og Rådets direktiv (EU) 2020/1828 af 25.11.2020 om adgang til anlæggelse af gruppesøgsmål til beskyttelse af forbrugernes kollektive interesser og om ophævelse af direktiv 2009/22/EF (EUT 2020, L 409, s. 1), der omhandler databeskyttelse.

( 18 ) – Et eksempel, der ofte anvendes, er artikel 18, stk. 2, i Kommissionens forordning (EF) nr. 1768/95 af 24.7.1995 om gennemførelsesbestemmelser vedrørende landbrugsundtagelsen i artikel 14, stk. 3, i Rådets forordning (EF) nr. 2100/94 om EF-sortsbeskyttelse (EFT 1995, L 173, s. 14): »[Pligten til at] erstatte indehaveren eventuel yderligere opstået skade […] skal mindst omfatte et engangsbeløb svarende til det firedobbelte af det gennemsnitlige beløb, der opkræves […]«

( 19 ) – Jf. punkt 47.

( 20 ) – Her anvender jeg begreberne »offentlig håndhævelse« og »privat håndhævelse« i den forstand, hvori de er anvendt i direktiv 2014/104.

( 21 ) – 55. betragtning beskrev indholdet af kapitel III (»Retsmidler, ansvar og sanktioner«) i direktiv 95/46. Artikel 22, 23 og 24 omhandlede de respektive begreber. Kapitel VI omhandlede tilsynsmyndigheder.

( 22 ) – Domstolen har bekræftet, at disse myndigheder spiller en afgørende rolle i systemet: f.eks. i dom af 9.3.2010, Kommissionen mod Tyskland (C-518/07, EU:C:2010:125, præmis 23). Der henvises til disse myndigheder i artikel 8, stk. 3, i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) og i artikel 16, stk. 2, in fine, TEUF.

( 23 ) – Estland og Danmark har en særordning, som er nævnt i 151. betragtning til databeskyttelsesforordningen.

( 24 ) – På trods af, at databeskyttelsesforordningen ikke direkte nævner betydningen af den private håndhævelse af reglerne, således som tredje betragtning til direktiv 2014/104 gør.

( 25 ) – Muligheden for kollektive søgsmål forelå allerede inden databeskyttelsesforordningen: dom af 29.7.2019, Fashion ID (C-40/17, EU:C:2019:629). I henhold til databeskyttelsesforordningens artikel 80, stk. 1, kan enheder, der beskæftiger sig med beskyttelse af registreredes rettigheder, ikke gøre krav på erstatning, medmindre det er fastsat i medlemsstaternes nationale ret, og den registrerede giver den nødvendige bemyndigelse hertil. Situationen kan ændre sig som følge af direktiv 2020/1828.

( 26 ) – Som generaladvokat Richard de la Tour anførte i sit forslag til afgørelse Meta Platforms Ireland (C-319/20, EU:C:2021:979), er søgsmål i henhold til databeskyttelsesforordningens artikel 80 egnede til at beskytte særinteresser og almene interesser. Den pågældende sag omhandlede et søgsmål med påstand om forbud.

( 27 ) – Navnlig i medlemsstater, der er tilbageholdende med at tillade erstatning for immateriel skade uden en lovbestemmelse desangående.

( 28 ) – Som f.eks. status som sagsøgt, fritagelsesgrunde og ansvarsordningen for fælles dataansvarlige og fælles databehandlere. Følgende spørgsmål fra den belgiske delegation fremgår af et dokument fra Rådet: »whether a violation of the principles of the Regulation was enough to constitute a damage or whether the data subject had to prove a specific damage«. Kommissionens svar var, at der kræves bevis for skaden: jf. note fra formandskabet nr. 17831/13 af 16.12.2013, fodnote 541. Dette spørgsmål var tilsyneladende ikke genstand for større diskussion.

( 29 ) – Jeg henviser til forarbejderne til direktiv 2004/48 og 2014/104. En fortolkning, der udvider databeskyttelsesforordningens artikel 82 til at omfatte erstatning med karakter af straf, vil have betydelige konsekvenser for medlemsstaterne: de vil f.eks. skulle afgøre, hvem der skal være modtager for den erstatning, der fungerer som sanktion, hvordan den skal beregnes, således at den opfylder formålet, og hvordan den skal sammensættes sammen med administrative bøder og strafferetlige sanktioner for at undgå en for høj straf.

( 30 ) – Disse »andre sanktioner«, som har strafferetlig eller administrativ karakter, er ikke blevet harmoniseret. Ligesom bøder skal disse sanktioner »være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning« (artikel 84, stk. 1, in fine).

( 31 ) – Jeg udelukker ikke, at nogle af disse i teorien også kunne overføres til det civilretlige erstatningsansvar [her tænker jeg f.eks. på spørgsmålet, om den krænkende part har handlet »forsætligt eller uagtsomt«, jf. databeskyttelsesforordningens artikel 83, stk. 2, litra b)] eller afspejles i erstatningen [»de kategorier af personoplysninger, der er berørt af overtrædelsen«, jf. samme bestemmelses litra g)]. I disse tilfælde sker der imidlertid ikke en automatisk overførsel af hver enkelt faktor fra det ene til det andet område.

( 32 ) – Databeskyttelsesforordningens artikel 83, stk. 2, litra a).

( 33 ) – Hverken som et parameter ved beregningen eller med henblik på at trække erstatningen fra bødebeløbet.

( 34 ) – Databeskyttelsesforordningens artikel 1 samt 6., 9. og 170. betragtning til denne forordning. Det anføres i niende betragtning, at dette var målsætningerne i direktiv 95/46, og det fremhæves, at de stadig er gyldige. Det betones som regel, at formålet om fri udveksling af personoplysninger havde forrang for beskyttelsen i direktiv 95/46, mens det modsatte gør sig gældende i databeskyttelsesforordningen, hvilket forklares ved den formelle anerkendelse af retten i chartrets artikel 8, som skulle overføres til den nye lovgivning. Databeskyttelsesforordningens artikel 1 er ikke desto mindre tydelig med hensyn til ønsket om at forene beskyttelsen af personoplysninger og den frie udveksling af disse. Dette betyder naturligvis, at det skal sikres, at beskyttelsesniveauet er det samme i alle medlemsstaterne, ved at undgå hindringer, der skyldes fragmenterede regler, men også, at borgernes modstand mod at dele eller tilvejebringe personoplysninger med henblik på behandling nedbringes ved at skabe tillid til, at disse oplysninger beskyttes.

( 35 ) – Irland har i sit skriftlige indlæg, punkt 53, anført følgende: »[…] very many claims for compensation under Article 82 GDPR arise in the context of very minor, marginal or speculative non-material damage« (min fremhævelse). I Tyskland advares der i retslitteraturen om risikoen for misbrug af søgsmål og nødvendigheden af at undgå, at der opstår en »datenschutzrechtliche Klageindustrie«: T. Wybitul, L. Neu, M. Strauch, »Schadensersatzrisiken für Unternehmen bei Datenschutzverstößen«, Zeitschrift für Datenschutz, 2018, s. 202 ff., navnlig s. 206, B.P. Paal, I. Kritzer, »Geltendmachung von DS-GVO-Ansprüchen als Geschäftsmodell«, Neue Juristische Wochenschrift, 2022, s. 2433 ff.

( 36 ) – En lokkevare- eller multiplikatoreffekt som følge af vellykkede civile erstatningssøgsmål uden skade kan ikke afvises. Dette vil øge sandsynligheden for, at økonomiske aktører skal udsættes for kollektive søgsmål eller en lang række individuelle søgsmål (som er mere eller mindre urimelige) ud over mulige administrative eller strafferetlige sanktioner.

( 37 ) – I parternes indlæg foreslås dette blot, uden at det uddybes. Det anføres f.eks. ikke, om der er tale om en uigendrivelig eller en afkræftelig formodning. Den første mulighed er mest i overensstemmelse med den forelæggende rets spørgsmål, og jeg vil derfor blot behandle den.

( 38 ) – Jf. artikel 7 i Europa-Parlamentets og Rådets forordning (EF) nr. 261/2004 af 11.2.2004 om fælles bestemmelser om kompensation og bistand til luftfartspassagerer ved boardingafvisning og ved aflysning eller lange forsinkelser og om ophævelse af forordning (EØF) nr. 295/91 (EUT 2004, L 46, s. 1), eller artikel 19 i Europa-Parlamentets og Rådets forordning (EU) nr. 1177/2010 af 24.11.2010 om passagerers rettigheder ved sørejser og rejser på indre vandveje og om ændring af forordning (EF) nr. 2006/2004 (EUT 2010, L 334, s. 1).

( 39 ) – Ikke mindst i databeskyttelsesforordningens artikel 82, stk. 3 og 4.

( 40 ) –

( 41 ) –

( 42 ) – De konsekvenser, der er opregnet i den nævnte betragtning, er ikke automatiske. I henhold til databeskyttelsesforordningens artikel 34 skal den dataansvarlige i hvert enkelt tilfælde vurdere, om det er nødvendigt at underrette den registrerede om bruddet på persondatasikkerheden.

( 43 ) – De følelsesmæssige konsekvenser, der er forbundet med tabet af kontrollen over oplysningerne, såsom frygt eller angst for, hvad der kan ske med dem, følger af tabet, men er ikke identiske med tabet.

( 44 ) – Nogle medlemsstater har indført en formodning for skader på områder, der er beslægtede med databeskyttelse. I Spanien bestemte artikel 9, stk. 3, i Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (lov nr. 1/1982 af 5.5.1982 om civil beskyttelse af retten til beskyttelse af ære, til privatliv og familieliv og til retten til eget portræt, BOE nr. 115 af 14.5.1982, s. 12546-12548), at »det formodes, at der foreligger en skade, såfremt der kan dokumenteres et ulovligt indgreb [i de rettigheder, der er sikret ved denne lov]«.

( 45 ) – Jeg minder om, at adfærdens ulovlige karakter i denne sag netop er forbundet med den registreredes manglende samtykke. Argumenterne om placeringen af retten til erstatning blandt garantierne for overholdelse af databeskyttelsesforordningens bestemmelser gælder også her.

( 46 ) – Der er imidlertid blot tale om ét grundlag for lovlig behandling, og alle de grundlag, som databeskyttelsesforordningen opregner, har samme værdi. Jf. Artikel 29-gruppens udtalelse nr. 6/2014 om den registeransvarliges legitime interesser som omhandlet i artikel 7 i direktiv 95/46/EF, som blev vedtaget den 9.4.2014, s. 10. Den dataansvarlige kan dog ikke ændre grundlaget for behandlingen, når denne behandling er påbegyndt: Det Europæiske Databeskyttelsesråd, Retningslinjer 5/2020 vedrørende samtykke i henhold til forordning (EU) 2016/679, punkt 121-123.

( 47 ) – Databeskyttelsesforordningens artikel 17, stk. 1. Dette betyder ikke, at der ikke foreligger en ret til erstatning for skader, som den behandling, der blev foretaget frem til sletningen, har medført.

( 48 ) – Dom af 13.5.2014, Google Spain og Google (C-131/12, EU:C:2014:317, domskonklusionens punkt 4).

( 49 ) – Forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) (COM(2012) 011 final), s. 2, og sjette betragtning til den foreslåede tekst. Jf. også punkt 2 i Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget, »Beskyttelse af privatlivets fred i en forbundet verden. En europæisk databeskyttelsesramme til det 21. århundrede« (COM(2012) 9 final).

( 50 ) – Denne manglende definition er efter min opfattelse ikke tilfældig. Ud over de begrebsmæssige udredninger om personoplysningernes ejerskab er spørgsmålet, om en anerkendelse af, at kontrollen over oplysningerne svarer til, at fysiske personer har ejendomsret over de oplysninger, der vedrører dem (hvilket sandsynligvis ikke ville være foreneligt med tredjemands interesser og samfundet som helhed). Anbefalingen om at anerkende en ejendomsret til personoplysninger fremgår af Det Europæiske Økonomiske og Sociale Udvalgs udtalelse om »forslag til Europa-Parlamentets og Rådets forordning om europæisk datastyring (forordning om datastyring)« (COM(2020) 767 final) (EUT 2021, C 286, s. 38), i afsnit 4.18: »[…] EØSU anbefaler […] en anerkendelse af europæisk ejendomsret til digitale data med henblik på at sætte borgerne (arbejdstagere, forbrugere og erhvervsdrivende) i stand til at kontrollere og forvalte brugen af deres data eller forbyde brugen af dem« (min fremhævelse). Med hensyn til synspunktet om, at oplysninger ikke kan betragtes som en vare, jf. fodnote 53, in fine.

( 51 ) – I den spanske version anføres det, at »las personas físicas deben tener el control de sus propios datos personales« [»Fysiske personer bør have kontrol over deres personoplysninger«] (min fremhævelse); mens det i den engelske anføres, at »natural persons should have control of their own personal data« (og ikke the control). Det fremgår af andre versioner, såsom den portugisiske, at »as pessoas singulares deverão poder controlar a utilização que é feita dos seus dados pessoais«. I henhold til databeskyttelsesforordningens artikel 4 vedrører kontrollen over personoplysninger den information, som de repræsenterer. Kontrollen over anvendelsen af oplysningerne vedrører snarere behandlingen af disse.

( 52 ) – I praksis er samtykket begrænset til en accept af eller et afslag på en anmodning fra en aktør, der ønsker at behandle oplysningerne.

( 53 ) – Jeg afviser ikke, at udviklingen i retsordenen går i retning af en anerkendelse af den registreredes ejendomsret. Jeg nærer imidlertid tvivl om, hvorvidt dette medfører den størst mulige individuelle kontrol: Den registreredes magt over personoplysningerne er ikke nødvendigvis ret forenelig med den økonomiske udvikling og innovation; det kan diskuteres, om den er forenelig med omfanget af den grundlæggende ret. Jf. 24. betragtning til Europa-Parlamentets og Rådets direktiv (EU) 2019/770 af 20.5.2019 om visse aspekter af aftaler om levering af digitalt indhold og digitale tjenester (EUT 2019, L 136, s. 1): »Selv om dette direktiv fuldt ud anerkender, at beskyttelse af personoplysninger er en grundlæggende rettighed, og at personoplysninger derfor ikke kan betragtes som en vare […]« Min fremhævelse.

( 54 ) – Formuleringer som f.eks. forslaget til artikel 19 i præsidiets note – Projet de Charte des Droits Fondamentaux de l’Union Européenne, Charte 4284/1/00 REV 1, af 11.5.2000, blev ikke vedtaget: »Toute personne a le droit de décider elle-même de la divulgation et de l’utilisation de ses données personnelles«. Den formulering, der fremgår i forbindelse med samme bestemmelse i præsidiets note – Projet de Charte des Droits Fondamentaux de l’Union Européenne, Charte 4333/00, af 4.6.2000, blev heller ikke vedtaget: »Toute personne a le droit de décider elle-même de la collecte, de l’utilisation et de la divulgation des données à caractère personnel la concernant«. På nationalt plan har idéen om en selvbestemmelsesret med hensyn til personoplysninger vundet indpas i nogle medlemsstater som f.eks. i Tyskland efter Bundesverfassungsgerichts (forbundsdomstol i forfatningsretlige sager) afgørelse af 15.12.1983, 1 BvR 209/83. I Spanien, jf. f.eks. Tribunal Constitucionals (forfatningsdomstol) dom nr. 292/2000 af 30.11.2000 (BOE af 4.1.2001). Jeg er ikke sikker på, at dette er tilfældet i Unionen, selv om generaladvokat Szpunars forslag til afgørelse Orange Romania (C-61/19, EU:C:2020:158, punkt 37) peger i denne retning: »Det overordnede princip, som danner grundlaget for EU’s databeskyttelseslovgivning, er den autonome beslutning, som en borger, der er i stand til at træffe valg om anvendelsen og behandlingen af sine oplysninger, træffer«, netop med henvisning til tysk retspraksis.

( 55 ) – Udkast til betænkning om forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD)), PE501.927v04-00, af 16.1.2013, ændringsforslag 29.

( 56 ) – Jeg antyder ikke, at overtrædelsen af bestemmelsen skal forblive ustraffet: Det, jeg siger, er, at en erstatning ikke er det rette middel, hvis ikke der er indtrådt en skade.

( 57 ) – Idet det udelukkes, at det i sig selv er et mål med databeskyttelsesforordningen at give den enkelte kontrol over sine oplysninger, afviser jeg ikke at anvende tabet af kontrol som en rettesnor for at anerkende immateriel skade, således at der tages hensyn til reaktionerne på dette tab.

( 58 ) – Jf. punkt 51 i dette forslag til afgørelse. Den frie udveksling af data er det eneste mål i forbindelse med andre data end personoplysninger: artikel 1 i Europa-Parlamentets og Rådets forordning (EU) 2018/1807 af 14.11.2018 om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union (EUT 2018, L 303, s. 59).

( 59 ) – Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget »Beskyttelse af privatlivets fred i en forbundet verden. En europæisk databeskyttelsesramme til det 21. århundrede« (COM(2012) 9 final), første afsnit. Efterfølgende på s. 5.: »Bekymringen for privatlivets fred [er] blandt de hyppigste grunde til, at folk undlader at købe varer og tjenester online.«

( 60 ) – Anden betragtning til databeskyttelsesforordningen: »[…] bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed samt en økonomisk union og til økonomiske og sociale fremskridt, styrkelse af og konvergens mellem økonomierne inden for det indre marked og fysiske personers velfærd«. Følgende fremgår af fjerde betragtning: »[…] Retten til beskyttelse af personoplysninger er ikke en absolut ret; den skal ses i sammenhæng med sin funktion i samfundet […]« Jf. i samme retning dom af 24.9.2019, Google (Territorial rækkevidde af retten til at få fjernet links) (C-507/17, EU:C:2019:772, præmis 60 og den deri nævnte retspraksis).

( 61 ) – Dette formål indgår også i den lovramme, der har til formål at styrke det indre marked for data. I denne retning fremgår følgende af Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget »En europæisk strategi for data«, COM(2020) 66 final, afsnit 1: »I et samfund, hvor borgerne genererer stadig stigende mængder data, skal den enkeltes interesser komme i første række med hensyn til den måde, hvorpå dataene indsamles og anvendes, i overensstemmelse med europæiske værdier, grundlæggende rettigheder og regler. Borgerne vil kun have tillid til og tage datadrevet innovation til sig, hvis de har tiltro til, at enhver deling af personoplysninger i EU er underlagt fuld overholdelse af EU’s strenge databeskyttelsesregler.«

( 62 ) – Det synes at bekymre den forelæggende ret (forelæggelsesafgørelsen, afsnit 5 i begrundelsen for spørgsmålene), at erstatningen får karakter af straf, eftersom databeskyttelsesforordningen allerede omfatter store bøder, og dermed kræver dens virkning ikke, at der også ydes stor erstatning for ikke-økonomisk skade.

( 63 ) – Sag C-30/19, Braathens Regional Aviation (EU:C:2021:269, præmis 49): »[…] [B]etaling af et pengebeløb [er] ikke tilstrækkeligt til at imødekomme de påstande, som nedlægges af en person, der som erstatning for den lidte ikke-økonomiske skade først og fremmest ønsker at få anerkendt, at den pågældende har været udsat for forskelsbehandling, hvilket indebærer, at betalingen i denne forbindelse ikke kan anses for at have en tilfredsstillende erstatningsfunktion.« Den pågældende sag drejede sig om Rådets direktiv 2000/43/EF af 29.6.2000 om gennemførelse af princippet om ligebehandling af alle uanset race eller etnisk oprindelse (EFT 2000, L 180, s. 22).

( 64 ) – Jf. U. Magnus, »Comparative Report on the Law of Damages«, i Unification of Tort Law: Damages, Kluwer Law International, 2001, s. 187, afsnit 14 og 15.

( 65 ) – Typisk i common law-systemer, navnlig i USA, hvor krav om symbolsk erstatning fungerer som den sidste mulighed for at forsvare forfatningsmæssige rettigheder. Med henblik på en sammenfatning af diskussionerne om dens betydning i USA, jf. M-B. Grealish, »A Dollar for Your Thoughts: Determining Whether Nominal Damages Prevent an Otherwise Moot Case from Being an Advisory Opinion«, i Fordham L. Rev., bind 87, s. 733; og senest USA’s øverste domstols afgørelse af 8.3.2021 i sagen Uzuegbunam mod Preczewski. De såkaldte nominal damages er heller ikke uomtvistede i Det Forenede Kongerige: det antages, at interessen i at få tilkendt en nominel erstatning i praksis afhænger af, om den begunstigede part anses for at have vundet sagen med henblik på fastsættelse af sagsomkostningerne, hvilket ikke sker automatisk efter afgørelsen i sagen Anglo-Cyprian Trade Agencies Ltd mod Paphos Wine Industries Ltd [1951] 1 All ER 873.

( 66 ) – I forbindelse med den (daværende) artikel 215 i EØF-traktaten krævede Domstolen bevis for skaden, selv om sagsøgeren, for hvem det var vanskeligt at bevise den, havde nedlagt påstand om en symbolsk erstatning: dom af 21.5.1976, Roquette Frères mod Kommissionen (26/74, EU:C:1976:69, præmis 23 og 24).

( 67 ) – I forbindelse med intellektuelle ejendomsrettigheder har erstatningen som en reaktion på overtrædelsen af en bestemmelse til formål at opnå det mål, der er kernen i emnet, om at beskytte rettighedens økonomiske integritet. Artikel 13, stk. 1, litra a), i direktiv 2004/48 nævner »den krænkende parts uberettigede fortjeneste« som et af de aspekter, som de retslige myndigheder skal tage hensyn til ved fastsættelsen af erstatningen.

( 68 ) – En tilsvarende bestemmelse findes i artikel 94, stk. 2, i Rådets forordning (EF) nr. 2100/94 af 27.7.1994 om EF-sortsbeskyttelse (EFT 1994, L 227, s. 1): »Ved simpel uagtsomhed kan dette krav nedsættes i forhold til graden af den simple uagtsomhed, men dog ikke så meget, at det bliver mindre end den fordel, den krænkende part har haft som følge af krænkelsen.«

( 69 ) – Følelser eller fornemmelsers ubeskrivelige karakter, navnlig når de forbindes med risikoen for, hvad der kan ske med oplysningerne i fremtiden, har betydet, at de ikke anses for skader som følge af den manglende konkrete karakter eller som følge af deres hypotetiske karakter.

( 70 ) – Dvs. om chefs de préjudice eller heads of damage.

( 71 ) – Ifølge denne betragtning bør registrerede have »fuld [og effektiv]« erstatning. Denne konstatering er efter min opfattelse ikke relevant i forbindelse med det tredje præjudicielle spørgsmål, idet den ikke nævner kategorier af skader, der giver ret til erstatning, men derimod beregningen af erstatningens størrelse (et logisk nok efterfølgende skridt, som ikke kan forveksles med identificeringen af, hvad der giver ret til erstatning). I betragtning af forarbejderne til databeskyttelsesforordningen sikrer betoningen af en »fuld [og effektiv]« erstatning, at deltagelsen af flere dataansvarlige eller databehandlere ikke medfører en blot delvis erstatning til den registrerede. Derfor anføres det i databeskyttelsesforordningens artikel 82, stk. 4, at »en dataansvarlig og en databehandler […] hæfter […] solidarisk for hele skaden for at sikre fuld erstatning til den registrerede«.

( 72 ) – Artikel 23 i direktiv 95/46 præciserede ikke de skader, der giver ret til erstatning, hvilket gav anledning til diskussion om de skader, der var dækket. Forhandlingerne forud for databeskyttelsesforordningen drejede sig om at afklare tvivlen om, hvorvidt immateriel skade skulle omfattes. 118. betragtning til Kommissionens forslag, som er nævnt i fodnote 49, henviste til erstatning for [enhver] skade. I de senere faser af den fælles lovgivningsprocedure nævntes »skade, uanset om den er økonomisk eller ej«, som blev erstattet med formuleringen »ikkeøkonomisk skade« og i sidste ende endte med den nuværende formulering »immateriel skade«.

( 73 ) – Det havde Domstolen ikke gjort med hensyn til artikel 23 i direktiv 95/46 og har endnu ikke gjort det med hensyn til databeskyttelsesforordningens artikel 82. Det har Domstolen, medmindre jeg tager fejl, heller ikke gjort med hensyn til artikel 56 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89) eller artikel 19 i den ophævede rammeafgørelse.

( 74 ) – Domstolen har heller ikke fastlagt en foretrukken fortolkningsmetode – selvstændig fortolkning eller en fortolkning med henvisning til de nationale lovgivninger: Det afhænger af det område, der er genstand for undersøgelsen. Sammenhold dom af 10.5.2001, Veedfald (C-203/99, EU:C:2001:258, præmis 27), vedrørende defekte produkter, af 6.5.2010, Walz (C-63/09, EU:C:2010:251, præmis 21), vedrørende luftfartsselskabers erstatningsansvar; eller af 10.6.2021, Van Ameyde España (C-923/19, EU:C:2021:475, præmis 37 ff.), vedrørende erstatningsansvarsordningen for skader, der forvoldes ved færdsel med motorkøretøjer. Dokumenter vedrørende forhandlingerne om databeskyttelsesforordningen afspejler medlemsstaternes tvivl om, hvorvidt begreberne skade og erstatning i (den daværende) artikel 77 burde være selvstændige, og vidner om de forskellige synspunkter herom. Kommissionen var fortaler for at overlade spørgsmålet til Domstolen. Jf. Rådet for Den Europæiske Union, note fra formandskabet nr. 17831/13 af 16.12.2013, fodnote 539.

( 75 ) – F.eks. forbrugere af produkter eller ofre for trafikulykker.

( 76 ) – Med hensyn til pakkerejser, dom af 12.3.2002, Leitner (C-168/00, EU:C:2002:163), med hensyn til erstatningsansvar for motorkøretøjer, dom af 24.10.2013, Haasová (C-22/12, EU:C:2013:692, præmis 47-50), af 24.10.2013, Drozdovs (C-277/12, EU:C:2013:685, præmis 40), og af 23.1.2014, Petillo (C-371/12, EU:C:2014:26, præmis 35).

( 77 ) – Dom af 23.1.2014, Petillo (C-371/12, EU:C:2014:26, domskonklusionen): EU-retten er ikke til hinder for »en national lovgivning […], der fastsætter en særlig ordning med erstatning for ikke-økonomiske skader i forbindelse med mindre legemsbeskadigelse som følge af færdselsulykker, og hvorved erstatningen for disse skader er begrænset sammenlignet med den erstatning, der indrømmes for identiske skader, som følger af andre årsager end disse ulykker«.

( 78 ) – F.eks. dom af 12.3.2002, Leitner (C-168/00, EU:C:2002:163), vedrørende mistede ferieoplevelser, og af 6.5.2010, Walz (C-63/09, EU:C:2010:251), vedrørende tab af bagage i forbindelse med en pakkerejse.

( 79 ) – Dom af 17.3.2016, Liffers (C-99/15, EU:C:2016:173, præmis 17), om fortolkningen af direktiv 2004/48 fremhævede, at et ikke-økonomisk tab udgør en komponent i det tab, som reelt er blevet lidt, »forudsat at det er godtgjort«. En godtgørelse af skaden forudsætter naturligvis, at den er virkelig, hvilket er forbundet med idéen om, at skaden skal være alvorlig, men dog ikke er sammenfaldende hermed.

( 80 ) – Punkt 51 ovenfor.

( 81 ) – Punkt 45 ff. ovenfor.

( 82 ) – Senest, med hensyn til databeskyttelse, i Italien, Tribunale di Palermo, sez. I civile, sentenza 05/10/2017 nr. 5261, samt Cass Civ. Ord. Sez 6, nr. 17383/2020. I Tyskland, bl.a. AG Diez, 07.11.2018 – 8 C 130/18; LG Karlsruhe, 02.08.2019 – 8 O 26/19; og AG Frankfurt am Main, 10.07.2020 – 385 C 155/19 (70). I Østrig, OGH 6 Ob 56/21k.

( 83 ) – Jf. dom af 23.10.2012, Nelson m.fl. (C-581/10 og C-629/10, EU:C:2012:657, præmis 51), med hensyn til sondringen mellem »skader« som omhandlet i artikel 19 i konventionen om indførelse af visse ensartede regler for international luftbefordring, indgået i Montreal den 28.5.1999, og »gener« som omhandlet i forordning nr. 261/2004, som er omfattet af en kompensationsret i henhold til sidstnævntes artikel 7; jf. dom af 19.11.2009, Sturgeon m.fl. (C-402/07 og C-432/07, EU:C:2009:716). Ligesom inden for passagerbefordring til søs og på indre vandveje, som er omhandlet i forordning nr. 1177/2010, har EU-lovgiver på dette område kunnet anerkende en abstrakt kategori, eftersom det element, der skaber problemet, og dets essens er det samme for alle de berørte parter. Denne følgeslutning er efter min opfattelse ikke mulig på området for databeskyttelse.

( 84 ) – En karakteristisk mekanisme til udøvelse af retten i databeskyttelsesforordningens artikel 82 er anlæggelse af et almindeligt søgsmål. Effektivitetsprincippet kan naturligvis betinge anvendelsen af de nationale regler om aspekter såsom sagsomkostninger eller bevisførelse. Den omstændighed, at det er vanskeligt at tiltræde, at simple gener giver ret til erstatning, skyldes ikke blot misforholdet mellem deres økonomiske værdi og omkostningerne ved en retssag (ud over den omstændighed, at omkostningerne til retsvæsenet ikke blot bæres af parterne). På baggrund af den manglende regulering i databeskyttelsesforordningen er det efter min opfattelse ikke begrundet at kræve, at medlemsstaterne udformer en ad hoc-procedure.

( 85 ) – Jeg minder om, at det følger af databeskyttelsesforordningens artikel 82, stk. 3, at en dataansvarlig eller databehandler kun er fritaget for erstatningsansvar, hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte skaden.

( 86 ) – Med disse overvejelser berører jeg ikke spørgsmålet, om UI i denne sag befandt sig i den ene eller anden kategori, hvilket det tilkommer den forelæggende ret at afgøre.

( 87 ) – Det samme gør sig gældende for erstatningens størrelse.