Domstolens dom (åttonde avdelningen) den 4 oktober 2024

I mål C‑507/23, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Augstākā tiesa (Senāts) (Högsta domstolen, Lettland) genom beslut av den 7 augusti 2023, som inkom till domstolen den 8 augusti 2023, i målet

DOMSTOLEN (åttonde avdelningen) sammansatt av avdelningsordföranden N. Piçarra samt domarna N. Jääskinen (referent) och M. Gavalec, generaladvokat: M. Szpunar, justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

med beaktande av de yttranden som avgetts av: Lettlands regering, av J. Davidoviča och K. Pommere, båda i egenskap av ombud, Europeiska kommissionen, av A. Bouchagiar, H. Kranenborg och I. Naglis, samtliga i egenskap av ombud,

med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,

följande

Dom

Tillämpliga bestämmelser

Unionsrätt

Lettisk rätt

Målet vid den nationella domstolen och tolkningsfrågorna

Prövning av tolkningsfrågorna

Den första frågan

Den andra frågan

Den tredje frågan

Rättegångskostnader

1 Begäran om förhandsavgörande avser tolkningen av artikel 82.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).

2 Begäran har framställts i ett mål mellan A och Patērētāju tiesību aizsardzības centrs (Konsumentkyddsmyndigheten i Lettland) (nedan kallad Konsumentskyddsmyndigheten). Målet rör ersättning för den immateriella skada som A påstår sig ha lidit till följd av att denna myndighet behandlat vissa av hans personuppgifter utan tillstånd från honom.

3 Skälen 1, 75, 85, 146 och 148 i dataskyddsförordningen har följande lydelse:

4 I artikel 1 i dataskyddsförordningen, med rubriken Syfte, föreskrivs följande i punkt 2:

5 I artikel 4 i förordningen, med rubriken Definitioner, föreskrivs följande:

6 I artikel 6 i samma förordning, med rubriken Laglig behandling av personuppgifter, föreskrivs i punkt 1 att behandling av personuppgifter endast är laglig om och i den mån som åtminstone ett av de villkor som räknas upp i punkten är uppfyllt.

7 Kapitel VIII i dataskyddsförordningen, med rubriken Rättsmedel, ansvar och sanktioner, innehåller artiklarna 77–84.

8 Artikel 82 i dataskyddsförordningen har rubriken Ansvar och rätt till ersättning, och där föreskrivs följande i punkterna 1 och 2:

9 I artikel 83 i dataskyddsförordningen, med rubriken Allmänna villkor för påförande av administrativa sanktionsavgifter, föreskrivs följande i punkt 2:

10 I artikel 84 i förordningen, med rubriken Sanktioner, föreskrivs följande i punkt 1:

11 I artikel 14 i Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (lagen om ersättning för skada som orsakats av myndigheter) av den 2 juni 2005 (Latvijas Vēstnesis 2005, nr 96), i den lydelse som är tillämplig i det nationella målet (nedan kallad 2005 års lag), med rubriken Fastställande ersättningen för immateriell skada, föreskrivs följande:

12 Klaganden i det nationella målet är en journalist som i Lettland är känd för att vara expert inom bilområdet.

13 Inom ramen för en kampanj som syftade till att öka konsumenternas medvetenhet om riskerna i samband med köp av begagnade fordon, spridde konsumentskyddsmyndigheten på flera webbplatser ett videoklipp i vilket det bland annat förekommer en person som imiterar A, utan A gett sitt samtycke till detta.

14 Trots att A motsatte sig framtagningen och spridningen av detta videoklipp, har den fortsatt varit tillgänglig online. Konsumentskyddsmyndigheten avslog dessutom A:s uttryckliga begäran att denna spridning skulle upphöra och hans skadeståndsanspråk i anledning av att hans anseende hade skadats.

15 A väckte då talan vid administratīvā rajona tiesa (Förvaltningsdomstolen i första instans, Lettland) och yrkade dels att det skulle fastställas att Konsumentskyddsmyndigheten hade agerat rättsstridigt genom att utan tillstånd använda och sprida A:s personuppgifter, dels att A skulle erhålla ersättning för immateriell skada i form av framförande av en ursäkt och ett skadestånd på 2000 euro. Efter att ha slagit fast att dessa ageranden var rättsstridiga, ålade nämnda domstol Konsumentskyddsmyndigheten att upphöra med agerandena och att offentligt be A om ursäkt samt att betala ett skadestånd på 100 euro till A som ersättning för den immateriella skada han lidit.

16 Efter överklagande fastställde Administratīvā apgabaltiesa (Regionala förvaltningsdomstolen, Lettland), i dom av den 20 maj 2023, att Konsumentskyddsmyndighetens behandling av personuppgifter med stöd av artikel 6 i dataskyddsförordningen var olaglig. Med tillämpning av artikel 14 i 2005 års lag ålade nämnda domstol Konsumentskyddsmyndigheten att upphöra med agerandet samt att offentliggöra en ursäkt på de webbplatser som hade spridit videoklippet. Däremot ogillade nämnda domstol yrkandet om ekonomisk ersättning för den immateriella skada som A hade lidit. Härvidlag fann den nationella domstolen bland annat att åsidosättandet inte varit allvarligt, eftersom syftet med videoklippet var att utföra en uppgift av allmänt intresse och inte att skada A:s anseende, heder och värdighet. Vidare ansåg nämnda domstol att åsidosättandet berodde på att Konsumentskyddsmyndigheten hade gjort en felaktig tolkning av komplexa lagbestämmelser.

17 I sitt överklagande till Augstākā tiesa (Senāts) (Högsta domstolen, Lettland), som är den hänskjutande domstolen i förevarande mål, har A bestritt denna dom i den del han nekats ekonomisk ersättning för immateriell skada. A har i huvudsak gjort gällande att domstolen i andra instans gjorde en felaktig bedömning av hur allvarligt åsidosättandet av hans rättigheter var och av den skada som detta åsidosättande hade orsakat. Han har även gjort gällande att en ersättning i form av framförandet av en ursäkt varken är rättvis eller lämplig mot bakgrund av artikel 82 i dataskyddsförordningen.

18 För det första anser den hänskjutande domstolen, mot bakgrund av domen av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) ( C‑300/21, EU:C:2023:370) (nedan kallad domen Österreichische Post), att artikel 82 i dataskyddsförordningen inte gör det möjligt att besluta om ersättning för ett åsidosättande av denna förordning utan att det först har fastställts att det föreligger en skada som orsakats av detta åsidosättande. Enligt den hänskjutande domstolen har domstolen i andra instans i förevarande fall åsidosatt artikel 82 genom att besluta om sådan ersättning utan att ha konstaterat att A:s anseende, heder och värdighet hade kränkts. Den hänskjutande domstolen vill i detta sammanhang få klarhet i huruvida en olaglig behandling av personuppgifter, mot bakgrund av artikel 1.2 i dataskyddsförordningen och skälen 75, 85 och 146 däri, i sig kan utgöra en kränkning av den grundläggande rätten till skydd av personuppgifter, vilken garanteras i artikel 8.1 i stadgan, och följaktligen utgöra en skada i den mening som avses i nämnda artikel 82, även när det inte har visats att den registrerades anseende, heder eller värdighet har skadats.

19 För det andra vill den hänskjutande domstolen få klarhet angående skälig ersättning för en immateriell skada enligt artikel 82.1 i dataskyddsförordningen, såsom den tolkats i dom av den 4 maj 2023, Österreichische Post ( C‑300/21, EU:C:2023:370). Den hänskjutande domstolen vill få klarhet i huruvida skyldigheten att framföra en ursäkt till den skadelidande, som enligt lettisk rätt kan utgöra en självständig eller kompletterande form av ersättning, i vissa fall kan anses utgöra en tillräcklig ersättning med avseende på nämnda artikel 82.1.

20 För det tredje vill den hänskjutande domstolen, mot bakgrund av punkt 58 i domen Österreichische Post, få klarhet i huruvida artikel 82.1 i dataskyddsförordningen gör det möjligt att vid bedömningen av formen och storleken på den ersättning som denna bestämmelse ger rätt till beakta omständigheter som omgav, eller till och med motiverade, agerandet hos den som gjort sig skyldig till överträdelsen av bestämmelserna i denna förordning.

21 Mot denna bakgrund beslutade Augstākā tiesa (Senāts) (Högsta domstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

22 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen, jämförd med artikel 8.1 i stadgan, ska tolkas så, att ett åsidosättande av bestämmelserna i denna förordning är tillräckligt i sig för att utgöra en skada i den mening som avses i nämnda artikel 82.1.

23 I artikel 82.1 i dataskyddsförordningen anges att [v]arje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.

24 Domstolen har vid upprepade tillfällen tolkat denna artikel 82.1 så, att enbart ett åsidosättande av denna förordning inte är tillräckligt för att ge rätt till ersättning baserat på denna bestämmelse, eftersom förekomsten av en materiell eller immateriell skada som har lidits utgör ett av villkoren för den rätt till ersättning som föreskrivs i nämnda bestämmelse, liksom att det ska föreligga en överträdelse av bestämmelserna i nämnda förordning och ett orsakssamband mellan denna skada och denna överträdelse, varvid dessa tre villkor är kumulativa. Den som begär ersättning för en immateriell skada med stöd av denna bestämmelse är således skyldig att visa inte bara att bestämmelserna i denna förordning har åsidosatts, utan även att denna överträdelse har orsakat vederbörande en sådan skada (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 32, 33, 42 och 50, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 41 och 42, och dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkterna 22, 24, 25 och 27).

25 Eftersom dessa tre kumulativa villkor är nödvändiga och tillräckliga för att ha rätt till ersättning i den mening som avses i artikel 82.1 i dataskyddsförordningen (dom av den 14 december 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punkt 14), kan denna rätt inte villkoras av att det ytterligare visas att den registrerade, såsom denne definieras i artikel 4 led 1 i förordningen, har utsatts för ett oberättigat ingrepp i det rättsliga intresse som förordningen syftar till att skydda, det vill säga en sådan persons rätt till skydd av sina personuppgifter.

26 Vidare har domstolen understrukit att även om den bestämmelse i dataskyddsförordningen som har åsidosatts skulle ge fysiska personer rättigheter, kan ett sådant åsidosättande inte i sig utgöra en immateriell skada, i den mening som avses i förordningen, och grunda en rätt till ersättning enligt denna förordning, eftersom det enligt förordningen krävs att även de två andra villkor som det erinrats om i punkt 24 ovan är uppfyllda (se, för ett liknande resonemang, dom av den 11 april 2024, juris, C‑741/21, EU:C:2024:288, punkt 40).

27 Denna tolkning av artikel 82.1 i dataskyddsförordningen stöds av skälen 75, 85 och 146 i förordningen. Av dessa skäl följer nämligen, för det första, att uppkomsten av en skada inom ramen för en olaglig behandling av personuppgifter endast är en potentiell, och inte automatisk, konsekvens av en sådan behandling, för det andra, att ett åsidosättande av dataskyddsförordningen inte nödvändigtvis medför en skada och, för det tredje, att det måste finnas ett orsakssamband mellan den ifrågavarande överträdelsen och den skada som den registrerade har lidit för att rätt till ersättning ska föreligga (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkt 37).

28 Denna tolkning kan således säkerställa skyddet av personuppgifter som en grundläggande rättighet som stadfästs i artikel 8.1 i stadgan, till vilken det hänvisas i skäl 1 i dataskyddsförordningen.

29 Mot bakgrund av ovanstående ska den första frågan besvaras enligt följande: Artikel 82.1 i dataskyddsförordningen, jämförd med artikel 8.1 i stadgan, ska tolkas så, att ett åsidosättande av bestämmelserna i denna förordning inte är tillräckligt i sig för att utgöra en skada i den mening som avses i nämnda artikel 82.1.

30 Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen ska tolkas så, att framförandet av en ursäkt kan utgöra lämplig ersättning för en immateriell skada med stöd av denna bestämmelse, bland annat när det är omöjligt att återställa den situation som rådde innan skadan uppkom.

31 Enligt fast rättspraxis ankommer det på varje medlemsstat att i sin rättsordning fastställa de processuella regler som gäller för taleformer som syftar till att säkerställa skyddet av enskildas rättigheter, enligt principen om processuell autonomi. Dessa regler får emellertid, i fall som omfattas av unionsrätten, varken vara mindre förmånliga än dem som reglerar liknande nationella situationer (likvärdighetsprincipen) eller medföra att det i praktiken blir omöjligt eller orimligt svårt att utöva rättigheter som följer av unionsrätten (effektivitetsprincipen) (dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkt 53, och dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 32).

32 Eftersom dataskyddsförordningen inte innehåller någon bestämmelse som syftar till att fastställa regler för bedömningen av skadestånd som ska utgå enligt den rätt till ersättning som föreskrivs i artikel 82 i förordningen, ska i förevarande fall de nationella domstolarna, vid denna bedömning tillämpa varje medlemsstats interna bestämmelser om den ekonomiska ersättningens omfattning, under förutsättning att principerna om likvärdighet och effektivitet i unionsrätten iakttas (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 54 och 59, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 27 och 33, och dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 40).

33 Vad gäller iakttagandet av likvärdighetsprincipen har domstolen inte tagit del av några uppgifter som tyder på att nämnda princip skulle kunna ha någon konkret inverkan i det nationella målet.

34 Såvitt gäller iakttagandet av effektivitetsprincipen innebär den omständigheten att rätten till ersättning enligt artikel 82 i dataskyddsförordningen uteslutande fungerar som kompensation att de kriterier som ska användas för att bedöma den ersättning som denna artikel ger rätt till ska fastställas i varje medlemsstats rättsordning, varvid denna ersättning ska vara full och effektiv utan att det för en sådan fullständig ersättning är nödvändigt att utkräva skadestånd med en bestraffande funktion (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 57 och 58, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 23, 24, 35, 36 och 43, och dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 42).

35 Domstolen har dessutom medgett att en nationell domstol, när den skada som den registrerade har lidit inte är allvarlig, kan kompensera skadan genom att bevilja denna person en ersättning med ett ringa belopp, förutsatt att det låga skadeståndsbelopp som således beviljas fullt ut kompenserar skadan, vilket det ankommer på den hänskjutande domstolen att kontrollera (se, för ett liknande resonemang, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 46).

36 Artikel 82.1 i dataskyddsförordningen utgör inte heller hinder för att en ursäkt kan utgöra en självständig eller kompletterande ersättning för en immateriell skada, såsom i förevarande fall föreskrivs i artikel 14 i 2005 års lag, under förutsättning att en sådan form av ersättning är förenlig med likvärdighetsprincipen och effektivitetsprincipen, i synnerhet eftersom den ska göra det möjligt att fullt ut kompensera den immateriella skada som faktiskt har lidits till följd av åsidosättandet av denna förordning, vilket det ankommer på den nationella domstolen att pröva mot bakgrund av omständigheterna i varje enskilt fall.

37 Mot bakgrund av ovanstående ska den andra frågan besvaras enligt följande: Artikel 82.1 dataskyddsförordningen ska tolkas så, att framförandet av en ursäkt kan utgöra lämplig ersättning för en immateriell skada med stöd av denna bestämmelse, bland annat när det är omöjligt att återställa den situation som rådde innan skadan uppkom. Detta gäller dock under förutsättning att denna form av ersättning fullt ut kompenserar den skada som den registrerade lidit.

38 Den hänskjutande domstolen har ställt den tredje frågan för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen ska tolkas så, att den utgör hinder för att den personuppgiftsansvariges hållning och motiv beaktas i syfte att, i förekommande fall, bevilja den registrerade en ersättning som är lägre än den faktiska skada som vederbörande har lidit.

39 För det första framgår det av artikel 83 i dataskyddsförordningen, jämförd med skäl 148 i förordningen, att det vid beslut om huruvida en administrativ sanktionsavgift ska påföras och vid fastställandet av sanktionsavgiftens belopp bland annat ska tas hänsyn till kriterier som rör den personuppgiftsansvariges hållning och motiv, såsom en försvårande eller förmildrande faktor. Dessa kriterier nämns däremot inte i artikel 82 i förordningen, och för övrigt inte heller i skäl 146 i förordningen, som särskilt avser rätten till ersättning enligt artikel 82.

40 Avsaknaden av en hänvisning till sådana kriterier motiveras av att artikel 82 i dataskyddsförordningen uteslutande fyller en kompenserande funktion, eftersom en ersättning, i synnerhet ekonomisk sådan, med stöd av artikel 82 ska göra det möjligt att fullt ut kompensera den lidna skadan, till skillnad från andra bestämmelser i förordningen som också återfinns i kapitel VIII i förordningen, nämligen artiklarna 83 och 84. Dessa bestämmelser har huvudsakligen ett bestraffande syfte, eftersom de gör det möjligt att ålägga administrativa sanktionsavgifter och andra sanktioner (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 38 och 40, och dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 22).

41 Med hänsyn till skillnaderna i ordalydelse och syfte mellan artikel 82 i dataskyddsförordningen, jämförd med skäl 146 i samma förordning, och artikel 83 i förordningen, jämförd med skäl 148 i förordningen, kan således de bedömningskriterier som särskilt anges i artikel 83 inte anses gälla i tillämpliga delar inom ramen för artikel 82 (dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 43 och där angiven rättspraxis). Detta konstaterande gäller särskilt för fastställandet av storleken på det skadestånd som ska betalas som ersättning för en skada som grundas på nämnda artikel 82 (se, för ett liknande resonemang, dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkterna 39 och 44) och, mer allmänt, för att fastställa formen, ekonomisk eller annan, och storleken på en sådan ersättning.

42 För det andra utgör den omständigheten att den rätt till ersättning som föreskrivs i artikel 82.1 dataskyddsförordningen uteslutande fungerar som kompensation hinder för att det vad gäller ersättning för skada på grundval av denna bestämmelse tas hänsyn till allvaret i den personuppgiftsansvariges överträdelse av förordningen och till huruvida överträdelsen eventuellt har skett uppsåtligen (se, för ett liknande resonemang, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 28–30).

43 Med hänsyn till att rätten till ersättning enbart fyller en kompenserande, och inte bestraffande, funktion, kan allvaret i ett sådant åsidosättande inte påverka storleken på det skadestånd som beviljas med stöd av artikel 82.1 och detta belopp kan inte fastställas till en nivå som överstiger full ersättning för denna skada (se, för ett liknande resonemang, dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 41 och där angiven rättspraxis). Endast den faktiska skada som den registrerade har lidit ska beaktas vid fastställandet av storleken på en sådan ekonomisk ersättning (se, för ett liknande resonemang, dom av den 11 april 2024, juris, C‑741/21, EU:C:2024:288, punkt 64).

44 På samma sätt skulle den uteslutande kompensatoriska funktionen som artikel 82.1 har inte iakttas om den personuppgiftsansvariges hållning och motiv beaktades vid fastställandet av formen för den ersättning som beviljas med stöd av denna bestämmelse eller för att bevilja en ersättning som är lägre än den fullständiga ersättningen för den skada som den registrerade har lidit, såsom den hänskjutande domstolen har övervägt i förevarande mål.

45 Mot bakgrund av ovanstående ska den tredje frågan besvaras enligt följande: Artikel 82.1 i dataskyddsförordningen ska tolkas så, att den utgör hinder för att den personuppgiftsansvariges hållning och motiv beaktas i syfte att, i förekommande fall, bevilja den registrerade en ersättning som är lägre än den faktiska skada som vederbörande har lidit.

46 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

1 Rättegångsspråk: lettiska.