ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τρίτο τμήμα) της 20ής Ιουνίου 2024
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 82 – Δικαίωμα αποζημίωσης για ζημία που επήλθε λόγω επεξεργασίας δεδομένων κατά παράβαση του κανονισμού αυτού – Έννοια της “μη υλικής ζημίας” – Αποζημίωση επέχουσα θέση κύρωσης ή επιτελούσα απλώς αντισταθμιστική λειτουργία και λειτουργία παροχής ικανοποίησης – Ελάχιστη ή συμβολική αποζημίωση – Κλοπή δεδομένων προσωπικού χαρακτήρα καταχωρισμένων σε ηλεκτρονική εφαρμογή trading – Κατάχρηση ή υποκλοπή ταυτότητας»
Στις συνεκδικαζόμενες υποθέσεις C‑182/22 και C‑189/22,
με αντικείμενο αιτήσεις προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, τις οποίες υπέβαλε το Amtsgericht München (ειρηνοδικείο Μονάχου, Γερμανία) με αποφάσεις της 3ης Μαρτίου 2022, οι οποίες περιήλθαν στο Δικαστήριο στις 10 και 11 Μαρτίου 2022, στο πλαίσιο των δικών
JU (C‑182/22),
SO (C‑189/22)
κατά
Scalable Capital GmbH,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),
συγκείμενο από τους K. Jürimäe, πρόεδρο τμήματος, N. Piçarra και N. Jääskinen (εισηγητή), δικαστές,
γενικός εισαγγελέας: A. M. Collins
γραμματέας: A. Calot Escobar
έχοντας υπόψη την έγγραφη διαδικασία,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– ο SO, εκπροσωπούμενος από τον M. Ruigrok van de Werve, Rechtsanwalt,
– η Scalable Capital GmbH, εκπροσωπούμενη από τον M. C. Mekat, Rechtsanwalt,
– η Ιρλανδία, εκπροσωπούμενη από την M. Browne, Chief State Solicitor, τον A. Joyce και τον M. Tierney, επικουρούμενους από τον D. Fennelly, BL,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον A. Μπουχάγιαρ, την M. Heller και τον H. Kranenborg,
αφού άκουσε τον γενικό εισαγγελέα, που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 26ης Οκτωβρίου 2023,
εκδίδει την ακόλουθη Απόφαση
1 Οι αιτήσεις προδικαστικής αποφάσεως αφορούν την ερμηνεία του άρθρου 82 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).
2 Οι αιτήσεις αυτές υποβλήθηκαν στο πλαίσιο δύο ένδικων διαφορών μεταξύ, αφενός του JU και του SO, αντιστοίχως, και αφετέρου της Scalable Capital GmbH, με αντικείμενο την καταβολή αποζημίωσης λόγω μη υλικής ζημίας την οποία ισχυρίζονται ότι υπέστησαν τα εν λόγω φυσικά πρόσωπα κατόπιν της κλοπής, από τρίτα πρόσωπα αγνώστων στοιχείων, των προσωπικών δεδομένων τους τα οποία είχαν καταχωρίσει σε ηλεκτρονική εφαρμογή trading (εφαρμογή επενδυτικών συναλλαγών) που διαχειριζόταν η εταιρία αυτή.
Το νομικό πλαίσιο
3 Οι αιτιολογικές σκέψεις 75, 85 και 146 του ΓΚΠΔ έχουν ως εξής:
«(75) Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ποικίλης πιθανότητας και σοβαρότητας, είναι δυνατόν να προκύπτουν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία θα μπορούσε να οδηγήσει σε σωματική, υλική ή μη υλική βλάβη, ιδίως όταν η επεξεργασία μπορεί να οδηγήσει σε διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, βλάβη φήμης, απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο, παράνομη άρση της ψευδωνυμοποίησης, ή οποιοδήποτε άλλο σημαντικό οικονομικό ή κοινωνικό μειονέκτημα· όταν τα υποκείμενα των δεδομένων θα μπορούσαν να στερηθούν των δικαιωμάτων και ελευθεριών τους ή να εμποδίζονται από την άσκηση ελέγχου επί των δεδομένων τους προσωπικού χαρακτήρα· όταν υπόκεινται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα τα οποία αποκαλύπτουν φυλετική ή εθνοτική καταγωγή, πολιτικά φρονήματα, θρησκεία ή φιλοσοφικές πεποιθήσεις ή συμμετοχή σε συνδικάτα και γίνεται επεξεργασία γενετικών δεδομένων, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή ή ποινικές καταδίκες και αδικήματα ή σχετικά μέτρα ασφάλειας· όταν αξιολογούνται προσωπικές πτυχές, ιδίως όταν επιχειρείται ανάλυση ή πρόβλεψη πτυχών που αφορούν τις επιδόσεις στην εργασία, την οικονομική κατάσταση, την υγεία, προσωπικές προτιμήσεις ή συμφέροντα, την αξιοπιστία ή τη συμπεριφορά, τη θέση ή μετακινήσεις, προκειμένου να δημιουργηθούν ή να χρησιμοποιηθούν προσωπικά προφίλ· όταν υποβάλλονται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα ευάλωτων φυσικών προσώπων, ιδίως παιδιών· ή όταν η επεξεργασία περιλαμβάνει μεγάλη ποσότητα δεδομένων προσωπικού χαρακτήρα και επηρεάζει μεγάλο αριθμό υποκειμένων των δεδομένων.
[…]
(85) Η παραβίαση δεδομένων προσωπικού χαρακτήρα μπορεί, εάν δεν αντιμετωπιστεί κατάλληλα και έγκαιρα, να έχει ως αποτέλεσμα σωματική, υλική ή μη υλική βλάβη για φυσικά πρόσωπα, όπως απώλεια του ελέγχου επί των δεδομένων τους προσωπικού χαρακτήρα ή ο περιορισμός των δικαιωμάτων τους, διακρίσεις, κατάχρηση ή υποκλοπή ταυτότητας, οικονομική απώλεια, παράνομη άρση της ψευδωνυμοποίησης, βλάβη της φήμης, απώλεια της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που προστατεύονται από επαγγελματικό απόρρητο ή άλλο σημαντικό οικονομικό ή κοινωνικό μειονέκτημα για το ενδιαφερόμενο φυσικό πρόσωπο. […]
[…]
(146) […] Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία θα πρέπει να απαλλάσσονται από την υποχρέωση αποζημίωσης εάν αποδείξουν ότι δεν φέρουν καμία ευθύνη για τη ζημία. Η έννοια της ζημίας θα πρέπει να ερμηνεύεται διασταλτικά με γνώμονα τη νομολογία του Δικαστηρίου κατά τρόπον ώστε να λαμβάνονται πλήρως υπόψη οι στόχοι του παρόντος κανονισμού. […] Τα υποκείμενα των δεδομένων θα πρέπει να λαμβάνουν πλήρη και ουσιαστική αποζημίωση για τη ζημία που υπέστησαν. […]»
4 Το άρθρο 4 του κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», προβλέπει τα ακόλουθα:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· […]
[…]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· […]
[…]
10) “τρίτος”: οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα,
[…]
12) “παραβίαση δεδομένων προσωπικού χαρακτήρα”: η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία,
[…]».
5 Το άρθρο 82 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα αποζημίωσης και ευθύνη», ορίζει στις παραγράφους 1 έως 3 τα εξής:
«1. Κάθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος κανονισμού δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη.
2. Κάθε υπεύθυνος επεξεργασίας που συμμετέχει στην επεξεργασία είναι υπεύθυνος για τη ζημία που προκάλεσε η εκ μέρους του επεξεργασία που παραβαίνει τον παρόντα κανονισμό. Ο εκτελών την επεξεργασία ευθύνεται για τη ζημία που προκάλεσε η επεξεργασία μόνο εφόσον δεν ανταποκρίθηκε στις υποχρεώσεις του παρόντος κανονισμού που αφορούν ειδικότερα τους εκτελούντες την επεξεργασία ή υπερέβη ή ενήργησε αντίθετα προς τις νόμιμες εντολές του υπευθύνου επεξεργασίας.
3. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία απαλλάσσεται από την ευθύνη που έχουν δυνάμει της παραγράφου 2, εάν αποδεικνύει ότι δεν φέρει καμία ευθύνη για το γενεσιουργό γεγονός της ζημίας.»
Οι διαφορές των κύριων δικών και τα προδικαστικά ερωτήματα
6 Η Scalable Capital, εταιρία γερμανικού δικαίου, διαχειρίζεται ηλεκτρονική εφαρμογή trading, στην οποία οι ενάγοντες των κύριων δικών, οι JU και SO, είχαν δημιουργήσει λογαριασμό. Στο πλαίσιο αυτό, οι JU και SO καταχώρισαν ορισμένα δεδομένα προσωπικού χαρακτήρα στους αντίστοιχους λογαριασμούς τους, μεταξύ άλλων το ονοματεπώνυμό τους, την ημερομηνία γέννησής τους, την ταχυδρομική τους διεύθυνση, τη διεύθυνση ηλεκτρονικού ταχυδρομείου τους καθώς και ψηφιακό αντίγραφο του δελτίου ταυτότητάς τους. Οι ενάγοντες των κύριων δικών κατέβαλαν επίσης το αναγκαίο για τη δημιουργία των εν λόγω λογαριασμών ποσό, το οποίο ανερχόταν σε πολλές χιλιάδες ευρώ.
7 Στη διάρκεια του 2020, δεδομένα προσωπικού χαρακτήρα καθώς και δεδομένα σχετικά με το χαρτοφυλάκιο τίτλων των εναγόντων των κύριων δικών αποτέλεσαν αντικείμενο κλοπής τελεσθείσας από τρίτους των οποίων η ταυτότητα παραμένει άγνωστη. Κατά τη Scalable Capital, τα εν λόγω προσωπικά δεδομένα δεν έχουν χρησιμοποιηθεί δολίως μέχρι σήμερα.
8 Στο πλαίσιο αυτό, οι ενάγοντες των κύριων δικών άσκησαν ενώπιον του αιτούντος δικαστηρίου, του Amtsgericht München (ειρηνοδικείου Μονάχου, Γερμανία), αγωγές με αίτημα την επιδίκαση αποζημίωσης για τη μη υλική ζημία την οποία ισχυρίζονται ότι υπέστησαν λόγω της κλοπής των προσωπικών δεδομένων τους.
9 Κατά πρώτον, η αβεβαιότητα του αιτούντος δικαστηρίου οφείλεται στις αποκλίνουσες προσεγγίσεις των γερμανικών δικαστηρίων όσον αφορά τον υπολογισμό της αποζημίωσης που πρέπει να επιδικάζεται σε τέτοιες περιπτώσεις. Τούτο έχει ως συνέπεια να ποικίλει ουσιωδώς το ύψος του ποσού της αποζημίωσης που επιδικάζεται σε περιπτώσεις που είναι, εντούτοις, αντίστοιχες προς τις επίμαχες των κύριων δικών, ιδίως αναλόγως του αν επιδιώκεται παράλληλα αποτρεπτικό αποτέλεσμα ή δεν επιδιώκεται τέτοιο αποτέλεσμα. Το αιτούν δικαστήριο επισημαίνει ότι, εν προκειμένω, η επίμαχη απώλεια των δεδομένων αφορά δεκάδες χιλιάδες πρόσωπα και, ως εκ τούτου, θα πρέπει να εφαρμοστεί ενιαίος τρόπος υπολογισμού.
10 Κατά δεύτερον, όσον αφορά την αποτίμηση της μη υλικής ζημίας, το αιτούν δικαστήριο, στηριζόμενο στο γερμανικό δίκαιο, διακρίνει μεταξύ του σκοπού της «αντιστάθμισης» και του σκοπού της «ικανοποίησης του ζημιωθέντος». Η λειτουργία της αντιστάθμισης της ζημίας αποσκοπεί στην παροχή αντισταθμίσματος για τις προκληθείσες και προβλέψιμες συνέπειες της ζημίας την οποία ισχυρίζεται ότι υπέστη ο ζημιωθείς, ενώ η λειτουργία της ικανοποίησης του ζημιωθέντος αφορά την αποκατάσταση του αισθήματος αδικίας που βιώνει το πρόσωπο αυτό λόγω της προκληθείσας ζημίας. Το εν λόγω δικαστήριο επισημαίνει ότι, κατά το γερμανικό δίκαιο, ο σκοπός της ικανοποίησης του ζημιωθέντος επέχει δευτερεύοντα μόνον ρόλο και εκτιμά ότι, εν προκειμένω, η συγκεκριμένη λειτουργία ουδόλως πρέπει να επηρεάσει τον υπολογισμό της αποζημίωσης που ζητούν οι ενάγοντες.
11 Κατά τρίτον, το αιτούν δικαστήριο τονίζει ότι, στο γερμανικό δίκαιο, δεν υφίσταται συγκεκριμένη κλίμακα για τον καθορισμό του ποσού της αποζημίωσης που πρέπει να επιδικαστεί σε δεδομένη περίπτωση που ζητείται η καταβολή της. Ωστόσο, λόγω του μεγάλου αριθμού των αποφάσεων που έχουν εκδοθεί, καθίσταται δυνατός ο προσδιορισμός ενός πλαισίου αναφοράς και, επομένως, μια συστηματοποίηση της μεθόδου υπολογισμού των αποζημιώσεων. Συναφώς, στη γερμανική έννομη τάξη, χρηματική αποζημίωση λόγω προσβολής της προσωπικότητας χορηγείται μόνον εφόσον πρόκειται για ιδιαιτέρως σοβαρή προσβολή. Στην περίπτωση πρόκλησης σωματικής βλάβης, η χρηματική αποτίμηση της ζημίας καθίσταται περισσότερο αντικειμενική. Το αιτούν δικαστήριο φρονεί, επομένως, ότι η απώλεια των δεδομένων θα πρέπει να αντιμετωπιστεί ως ελαφρύτερη προσβολή σε σχέση με τη σωματική βλάβη.
12 Κατά τέταρτον, το εν λόγω δικαστήριο διερωτάται ως προς τη δυνατότητα επιδίκασης αποζημιώσεων χαμηλού ύψους, οι οποίες θα μπορούσαν να θεωρηθούν και ως συμβολικές, στις περιπτώσεις που η ζημία που οφείλεται σε παράβαση του ΓΚΠΔ είναι επουσιώδης.
13 Κατά πέμπτον, το αιτούν δικαστήριο σημειώνει ότι οι διάδικοι των κύριων δικών ερμηνεύουν με διαφορετικό τρόπο ο καθένας την έννοια της «κατάχρησης ταυτότητας». Συναφώς, εκτιμά ότι κατάχρηση ταυτότητας στοιχειοθετείται μόνον στην περίπτωση που τα παρανόμως αποκτηθέντα δεδομένα χρησιμοποιούνται από τρίτο πρόσωπο με σκοπό την υποκλοπή της ταυτότητας του υποκειμένου των δεδομένων.
14 Υπό τις συνθήκες αυτές, το Amtsgericht München (ειρηνοδικείο Μονάχου) αποφάσισε να αναστείλει τις ενώπιόν του διαδικασίες στις υποθέσεις C‑182/22 και C‑189/22 και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα, τα οποία διατυπώνονται με πανομοιότυπο τρόπο για αμφότερες τις υποθέσεις:
«1) Έχει το άρθρο 82 του [ΓΚΠΔ] την έννοια ότι η αξίωση για αποζημίωση, ακόμη και στο πλαίσιο της επιμέτρησης του ύψους της, δεν έχει τον χαρακτήρα κυρώσεως, ιδίως δεν επιτελεί λειτουργία γενικής ή ειδικής αποτροπής, αλλά ότι η αξίωση για αποζημίωση έχει μόνον αντισταθμιστική λειτουργία και, υπό ορισμένες συνθήκες, λειτουργία παροχής ικανοποίησης στον ζημιωθέντα;
2) Πρέπει, όσον αφορά την επιμέτρηση της χρηματικής ικανοποίησης για μη υλική ζημία, να θεωρηθεί ότι η αξίωση για αποζημίωση έχει επίσης λειτουργία παροχής ικανοποίησης σε ατομικό επίπεδο, νοουμένης εν προκειμένω υπό την έννοια του απτομένου της ιδιωτικής σφαίρας συμφέροντος του ζημιωθέντος να δει ότι τιμωρείται η ζημιογόνος συμπεριφορά, ή μήπως η αξίωση για αποζημίωση επιτελεί μόνον αντισταθμιστική λειτουργία, νοούμενη εν προκειμένω υπό την έννοια της λειτουργίας που αποσκοπεί να αντισταθμίσει τις βλάβες που προκλήθηκαν;
Σε περίπτωση που γίνει δεκτό ότι η χρηματική ικανοποίηση για μη υλική ζημία επιτελεί συγχρόνως αντισταθμιστική λειτουργία και λειτουργία παροχής ικανοποίησης στον ζημιωθέντα: Πρέπει, κατά την επιμέτρηση της χρηματικής ικανοποίησης, να θεωρηθεί ότι η αντισταθμιστική λειτουργία υπερισχύει, από απόψεως δομής, της λειτουργίας παροχής ικανοποίησης στον ζημιωθέντα ή, τουλάχιστον, ότι υπερισχύει υπό την έννοια της υπάρξεως μεταξύ των δύο λειτουργιών σχέσεως κανόνα-εξαιρέσεως; Μήπως αυτό σημαίνει ότι η λειτουργία παροχής ικανοποίησης στον ζημιωθέντα λαμβάνεται υπόψη μόνο σε περίπτωση παραβιάσεων που διαπράττονται από δόλο ή βαριά αμέλεια;
Σε περίπτωση που η χρηματική ικανοποίηση για μη υλική ζημία δεν επιτελεί λειτουργία παροχής ικανοποίησης στον ζημιωθέντα: Έχουν, κατά την επιμέτρηση της χρηματικής ικανοποίησης, μεγαλύτερη βαρύτητα, όσον αφορά την εκτίμηση των παραγόντων με αιτιώδη συμβολή, μόνον οι παραβιάσεις δεδομένων που διαπράττονται από δόλο ή βαριά αμέλεια;
3) Έχει η χρηματική ικανοποίηση για μη υλική ζημία την έννοια ότι κατά την επιμέτρησή της πρέπει να γίνει δεκτό ότι υφίσταται σχέση ιεράρχησης από απόψεως δομής ή, τουλάχιστον, σχέση ιεράρχησης με τη μορφή σχέσης κανόνα-εξαιρέσεως, στο πλαίσιο της οποίας η αίσθηση της βλάβης που προκαλείται από την παραβίαση δεδομένων είναι ήσσονος βαρύτητας σε σχέση με την αίσθηση της βλάβης και του πόνου που συνδέονται με τη σωματική βλάβη;
4) Σε περίπτωση που γίνει δεκτή η ύπαρξη ζημίας, έχει το εθνικό δικαστήριο τη δυνατότητα, λαμβανομένου υπόψη ότι η ζημία δεν είναι σοβαρή, να επιδικάσει αποζημίωση η οποία, από υλικής απόψεως, είναι πολύ μικρή και, επομένως, υπό ορισμένες συνθήκες, εκλαμβάνεται από τον ζημιωθέντα, ή γενικότερα, ως απλώς συμβολική;
5) Έχει η χρηματική ικανοποίηση για μη υλική ζημία την έννοια ότι κατά την εκτίμηση των συνεπειών της πρέπει να γίνει δεκτό ότι κατάχρηση ταυτότητας, κατά την έννοια της αιτιολογικής σκέψεως 75 του [ΓΚΠΔ], υφίσταται μόνο εάν ο δράστης έχει πράγματι οικειοποιηθεί την ταυτότητα του υποκειμένου των δεδομένων, δηλαδή έχει υποδυθεί, με οποιονδήποτε τρόπο, το υποκείμενο των δεδομένων, ή η κατάχρηση ταυτότητας έγκειται ήδη στο γεγονός ότι οι δράστες διαθέτουν δεδομένα που καθιστούν δυνατή την ταυτοποίηση του υποκειμένου των δεδομένων;»
Η διαδικασία ενώπιον του Δικαστηρίου
15 Με απόφαση του Προέδρου του Δικαστηρίου της 19ης Απριλίου 2022, διατάχθηκε η συνεκδίκαση των υποθέσεων C‑182/22 και C‑189/22 προς διευκόλυνση της έγγραφης και της προφορικής διαδικασίας και προς έκδοση κοινής απόφασης.
16 Την 1η Ιουνίου 2022 ο Πρόεδρος του Δικαστηρίου απέρριψε την αίτηση που υπέβαλε η Scalable Capital δυνάμει του άρθρου 95, παράγραφος 2, του Κανονισμού Διαδικασίας του Δικαστηρίου περί μη δημοσιοποίησης των ονομάτων των μετεχόντων στην παρούσα διαδικασία.
Επί του παραδεκτού των αιτήσεων προδικαστικής αποφάσεως
17 Η Scalable Capital υποστηρίζει, κατ’ ουσίαν, ότι οι υπό κρίση αιτήσεις προδικαστικής αποφάσεως είναι απαράδεκτες καθόσον δεν είναι πρόσφορες για την επίλυση των διαφορών των κύριων δικών. Εκτιμά ότι μια απώλεια ελέγχου δεδομένων, όπως εν προκειμένω, δεν μπορεί να χαρακτηριστεί κατά τρόπο αφηρημένο ως «ζημία», κατά την έννοια του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, δεδομένου ότι η απώλεια αυτή δεν έχει επιφέρει συγκεκριμένες συνέπειες και, επομένως, δεν πληρούνται οι προϋποθέσεις εφαρμογής του εν λόγω άρθρου. Συγκεκριμένα, ένας τέτοιος χαρακτηρισμός θα συνεπαγόταν ότι κάθε παράβαση του κανονισμού τεκμαίρεται ότι προκαλεί ζημία, όπερ προσκρούει στο γράμμα, τη γενική οικονομία και το ιστορικό θεσπίσεως του άρθρου 82 του ΓΚΠΔ.
18 Συναφώς, κατά πάγια νομολογία του Δικαστηρίου, εναπόκειται αποκλειστικώς στο εθνικό δικαστήριο, το οποίο έχει επιληφθεί της διαφοράς και φέρει την ευθύνη της δικαστικής απόφασης που πρόκειται να εκδοθεί, να εκτιμήσει, λαμβάνοντας υπόψη τις ιδιαιτερότητες της υπόθεσης, τόσο την ανάγκη υποβολής προδικαστικού ερωτήματος για την έκδοση της δικής του απόφασης όσο και το λυσιτελές των ερωτημάτων που υποβάλλει στο Δικαστήριο, τα οποία θεωρούνται κατά τεκμήριο λυσιτελή. Συνεπώς, εφόσον τα υποβαλλόμενα ερωτήματα αφορούν την ερμηνεία ή το κύρος κανόνα του δικαίου της Ένωσης, το Δικαστήριο οφείλει κατ’ αρχήν να απαντήσει, εκτός αν προκύπτει προδήλως ότι η ερμηνεία την οποία ζητεί το εθνικό δικαστήριο ουδεμία σχέση έχει με το υποστατό ή με το αντικείμενο της διαφοράς της κύριας δίκης ή αν το πρόβλημα είναι υποθετικής φύσεως ή ακόμη αν το Δικαστήριο δεν διαθέτει τα πραγματικά και νομικά στοιχεία που είναι αναγκαία προκειμένου να δώσει χρήσιμη απάντηση στο ερώτημα [βλ. αποφάσεις της 5ης Μαΐου 2022, Zagrebačka banka, C‑567/20, EU:C:2022:352, σκέψη 43, και της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 23].
19 Εν προκειμένω, αρκεί να υπομνησθεί ότι όταν δεν προκύπτει προδήλως ότι η ερμηνεία διάταξης του δικαίου της Ένωσης ουδεμία σχέση έχει με το υποστατό ή το αντικείμενο της διαφοράς της κύριας δίκης, η ένσταση περί έλλειψης δυνατότητας εφαρμογής της διάταξης στην υπόθεση της κύριας δίκης δεν αφορά το παραδεκτό της αιτήσεως προδικαστικής αποφάσεως, αλλά την ουσία των ερωτημάτων (πρβλ. αποφάσεις της 13ης Ιουλίου 2006, Manfredi κ.λπ., C‑295/04 έως C‑298/04, EU:C:2006:461, σκέψη 30, της 4ης Ιουλίου 2019, Kirschstein, C‑393/17, EU:C:2019:563, σκέψη 28, και της 24ης Ιουλίου 2023, Lin, C‑107/23 PPU, EU:C:2023:606, σκέψη 66).
20 Συνακόλουθα, οι υπό κρίση αιτήσεις προδικαστικής αποφάσεως είναι παραδεκτές.
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος και του πρώτου σκέλους του δεύτερου προδικαστικού ερωτήματος
21 Με το πρώτο προδικαστικό ερώτημα και το πρώτο σκέλος του δεύτερου προδικαστικού ερωτήματος, τα οποία πρέπει να συνεξεταστούν, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι το προβλεπόμενο στη διάταξη αυτή δικαίωμα αποζημίωσης επιτελεί αντισταθμιστική λειτουργία, καθόσον η στηριζόμενη στην εν λόγω διάταξη χρηματική αποζημίωση πρέπει να καθιστά δυνατή την πλήρη αποκατάσταση της ζημίας που προκλήθηκε από την παράβαση του κανονισμού, ή αν επέχει επίσης θέση κυρώσεως προς τον σκοπό, μεταξύ άλλων, της ικανοποιήσεως των ατομικών συμφερόντων του υποκειμένου των δεδομένων.
22 Συναφώς, το Δικαστήριο έχει κρίνει ότι το άρθρο 82 του ΓΚΠΔ δεν επιτελεί τιμωρητική, αλλά αντισταθμιστική λειτουργία, αντιθέτως προς άλλες διατάξεις του κανονισμού αυτού οι οποίες περιλαμβάνονται επίσης στο κεφάλαιο VIII του κανονισμού, ήτοι στα άρθρα 83 και 84, τα οποία έχουν κατ’ ουσίαν τιμωρητικό σκοπό, δεδομένου ότι επιτρέπουν αντιστοίχως την επιβολή διοικητικών προστίμων και άλλων κυρώσεων. Η σχέση μεταξύ των κανόνων του άρθρου 82 και των κανόνων των άρθρων 83 και 84 καταδεικνύει ότι υπάρχει διαφορά μεταξύ των δύο αυτών κατηγοριών διατάξεων, αλλά και συμπληρωματικότητα, όσον αφορά την ενθάρρυνση της τήρησης του ΓΚΠΔ, με την επισήμανση ότι το δικαίωμα κάθε προσώπου να ζητήσει την καταβολή αποζημίωσης ενισχύει την αποτελεσματικότητα των κανόνων προστασίας του ΓΚΠΔ και δύναται να αποθαρρύνει την επανάληψη παράνομων συμπεριφορών [βλ., μεταξύ άλλων, αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 38 και 40, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 59].
23 Κατά συνέπεια, το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι το δικαίωμα αποζημίωσης που προβλέπεται στη διάταξη αυτή, ιδίως όσον αφορά την περίπτωση μη υλικής ζημίας, επιτελεί αποκλειστικώς αντισταθμιστική λειτουργία, καθόσον η στηριζόμενη στη διάταξη αυτή χρηματική αποζημίωση πρέπει να καθιστά δυνατή την πλήρη αποκατάσταση της ζημίας που προκλήθηκε συγκεκριμένα από το γεγονός της παράβασης του κανονισμού αυτού, και όχι αποτρεπτική ή τιμωρητική λειτουργία [πρβλ. αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 57 και 58, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 61].
24 Κατά συνέπεια, στο πρώτο προδικαστικό ερώτημα και στο πρώτο σκέλος του δεύτερου προδικαστικού ερωτήματος πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι το προβλεπόμενο στη διάταξη αυτή δικαίωμα αποζημίωσης επιτελεί αποκλειστικώς αντισταθμιστική λειτουργία, καθόσον η στηριζόμενη στην εν λόγω διάταξη χρηματική αποζημίωση πρέπει να καθιστά δυνατή την πλήρη αποκατάσταση της προκληθείσας ζημίας.
Επί του δεύτερου σκέλους του δεύτερου προδικαστικού ερωτήματος
25 Λαμβανομένης υπόψη της απάντησης που δόθηκε στο πρώτο προδικαστικό ερώτημα και στο πρώτο σκέλος του δεύτερου προδικαστικού ερωτήματος, παρέλκει η απάντηση στο δεύτερο σκέλος του δεύτερου προδικαστικού ερωτήματος.
Επί του τρίτου σκέλους του δεύτερου προδικαστικού ερωτήματος
26 Με το τρίτο σκέλος του δεύτερου προδικαστικού ερωτήματος, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, κατά τον καθορισμό της οφειλόμενης βάσει της διάταξης αυτής αποζημίωσης, απαιτείται να λαμβάνεται υπόψη η βαρύτητα της παράβασης του κανονισμού καθώς και ενδεχόμενη πρόθεση εκ μέρους του υπεύθυνου επεξεργασίας για τέλεση της παράβασης.
27 Όσον αφορά τον υπολογισμό της αποζημίωσης που ενδεχομένως οφείλεται δυνάμει του άρθρου 82 του ΓΚΠΔ, ελλείψει σχετικής διάταξης στον κανονισμό διέπουσας το ζήτημα αυτό, τα εθνικά δικαστήρια οφείλουν να εφαρμόζουν τους εσωτερικούς κανόνες κάθε κράτους μέλους σχετικά με την έκταση της χρηματικής αποζημίωσης, υπό την προϋπόθεση ότι τηρούνται οι αρχές της ισοδυναμίας και της αποτελεσματικότητας του δικαίου της Ένωσης [πρβλ. αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 53, 54 και 59, και της 25ης Ιανουαρίου 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, σκέψη 53].
28 Επιβάλλεται ωστόσο να επισημανθεί, αφενός, ότι η θεμελίωση ευθύνης του υπευθύνου επεξεργασίας βάσει του άρθρου 82 του ΓΚΠΔ εξαρτάται από την ύπαρξη υπαιτιότητάς του, η οποία τεκμαίρεται, εκτός αν αυτός αποδείξει ότι ουδόλως μπορεί να του καταλογιστεί ευθύνη για το ζημιογόνο γεγονός, και, αφετέρου, ότι το άρθρο 82 δεν απαιτεί να λαμβάνεται υπόψη ο βαθμός υπαιτιότητας κατά τον καθορισμό του ποσού της αποζημίωσης που επιδικάζεται για μη υλική ζημία βάσει της διάταξης αυτής (αποφάσεις της 21ης Δεκεμβρίου 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, σκέψη 103, και της 25ης Ιανουαρίου 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, σκέψη 52).
29 Επιπλέον, λόγω της αποκλειστικώς αντισταθμιστικής λειτουργίας που επιτελεί η αποζημίωσης του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, αποκλείεται η συνεκτίμηση ενδεχόμενης πρόθεσης για τέλεση της παράβασης την οποία τεκμαίρεται ότι διέπραξε ο υπεύθυνος επεξεργασίας, στο πλαίσιο του καθορισμού του ποσού της αποζημίωσης που επιδικάζεται για μη υλική ζημία βάσει της συγκεκριμένης διάταξης. Εντούτοις, το ποσό αυτό πρέπει να καθορίζεται κατά τρόπον ώστε να αποκαθίσταται πλήρως η ζημία που προκλήθηκε συγκεκριμένα από το γεγονός της παράβασης του κανονισμού (βλ., κατ’ αναλογίαν, αποφάσεις της 21ης Δεκεμβρίου 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, σκέψη 102, και της 25ης Ιανουαρίου 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, σκέψη 54).
30 Λαμβανομένων υπόψη των ανωτέρω σκέψεων, στο τρίτο σκέλος του δεύτερου προδικαστικού ερωτήματος πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι δεν επιτάσσει να λαμβάνεται υπόψη, κατά τον καθορισμό της οφειλόμενης βάσει της διάταξης αυτής αποζημίωσης, η βαρύτητα της παράβασης του κανονισμού καθώς και η ενδεχόμενη πρόθεση του υπεύθυνου επεξεργασίας για τέλεση της παράβασης.
Επί του τρίτου προδικαστικού ερωτήματος
31 Με το τρίτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, κατά τον καθορισμό του ποσού της αποζημίωσης που οφείλεται δυνάμει του δικαιώματος αποζημίωσης για μη υλική ζημία, πρέπει να γίνει δεκτό ότι μια τέτοια ζημία που έχει προκληθεί από παραβίαση δεδομένων προσωπικού χαρακτήρα είναι, ως εκ της φύσεώς της, λιγότερο σημαντική από μια σωματική βλάβη.
32 Συναφώς, πρέπει να υπομνησθεί ότι, κατά πάγια νομολογία, ελλείψει κανόνων της Ένωσης προς ρύθμιση ορισμένου ζητήματος, εναπόκειται στην εσωτερική έννομη τάξη κάθε κράτους μέλους να θεσπίσει τους δικονομικούς κανόνες των ενδίκων βοηθημάτων που αποσκοπούν στη διασφάλιση των δικαιωμάτων των υποκειμένων δικαίου, δυνάμει της αρχής της δικονομικής αυτονομίας, υπό τον όρο, ωστόσο, ότι οι κανόνες αυτοί δεν είναι, στις καταστάσεις που διέπονται από το δίκαιο της Ένωσης, λιγότερο ευμενείς από τους διέποντες παρόμοιες καταστάσεις που εμπίπτουν στο εσωτερικό δίκαιο (αρχή της ισοδυναμίας) και δεν καθιστούν πρακτικώς αδύνατη ή υπερβολικά δυσχερή την άσκηση των δικαιωμάτων που απονέμει το δίκαιο της Ένωσης (αρχή της αποτελεσματικότητας) [πρβλ. αποφάσεις της 13ης Δεκεμβρίου 2017, El Hassani, C‑403/16, EU:C:2017:960, σκέψη 26, και της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 53].
33 Εν προκειμένω, επισημαίνεται ότι ο ΓΚΠΔ δεν περιέχει διάταξη με αντικείμενο τον καθορισμό των κανόνων σχετικά με τον υπολογισμό της αποζημίωσης την οποία το υποκείμενο των δεδομένων, κατά την έννοια του άρθρου 4, σημείο 1, του κανονισμού αυτού, δικαιούται να λάβει δυνάμει του άρθρου 82 του ίδιου κανονισμού, στην περίπτωση που έχει υποστεί ζημία λόγω παράβασης του κανονισμού. Ως εκ τούτου, ελλείψει σχετικών κανόνων του δικαίου της Ένωσης, εναπόκειται στην έννομη τάξη κάθε κράτους μέλους να καθορίσει τους λεπτομερείς κανόνες άσκησης μέσων έννομης προστασίας που αποσκοπούν στη διασφάλιση των δικαιωμάτων που οι πολίτες αντλούν από το άρθρο 82 και, ειδικότερα, τα κριτήρια καθορισμού της έκτασης της οφειλόμενης στο πλαίσιο αυτό αποζημίωσης, υπό την επιφύλαξη της τήρησης των αρχών της ισοδυναμίας και της αποτελεσματικότητας [απόφαση της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 54]
34 Δεδομένου ότι από κανένα στοιχείο της δικογραφίας που έχει στη διάθεσή του το Δικαστήριο δεν προκύπτει ότι η αρχή της ισοδυναμίας ασκεί επιρροή στο πλαίσιο της υπό κρίση υπόθεσης, πρέπει να δοθεί έμφαση στην αρχή της αποτελεσματικότητας. Συναφώς, εναπόκειται στο αιτούν δικαστήριο να κρίνει αν οι κανόνες που προβλέπονται στο γερμανικό δίκαιο σχετικά με τον δικαστικό προσδιορισμό της αποζημίωσης που οφείλεται δυνάμει του σχετικού δικαιώματος που κατοχυρώνεται στο άρθρο 82 του ΓΚΠΔ καθιστούν πρακτικώς αδύνατη ή υπερβολικά δυσχερή την άσκηση των δικαιωμάτων που απορρέουν από το δίκαιο της Ένωσης, και ειδικότερα από τον ΓΚΠΔ.
35 Από τη νομολογία που υπομνήσθηκε στη σκέψη 23 της παρούσας αποφάσεως προκύπτει συναφώς ότι, λαμβανομένης υπόψη της αποκλειστικώς αντισταθμιστικής λειτουργίας της αποζημίωσης του άρθρου 82, παράγραφος 1, του κανονισμού, χρηματική αποζημίωση επιδικαζόμενη βάσει της διάταξης αυτής πρέπει να θεωρηθεί «πλήρης και ουσιαστική» εφόσον παρέχει τη δυνατότητα πλήρους αποκατάστασης της ζημίας που προκλήθηκε συγκεκριμένα από το γεγονός της παράβασης του κανονισμού.
36 Υπό το πρίσμα αυτό, η αιτιολογική σκέψη 146 του κανονισμού διαλαμβάνει άλλωστε ότι «[η] έννοια της ζημίας θα πρέπει να ερμηνεύεται διασταλτικά με γνώμονα τη νομολογία του Δικαστηρίου κατά τρόπον ώστε να λαμβάνονται πλήρως υπόψη οι στόχοι του παρόντος κανονισμού», καθώς και ότι «[τ]α υποκείμενα των δεδομένων θα πρέπει να λαμβάνουν πλήρη και ουσιαστική αποζημίωση για τη ζημία που υπέστησαν».
37 Επισημαίνεται επίσης ότι οι αιτιολογικές σκέψεις 75 και 85 του ΓΚΠΔ απαριθμούν πλείονες περιπτώσεις που μπορούν να χαρακτηριστούν ως «σωματικές, υλικές ή μη υλικές βλάβες», χωρίς ιεράρχηση των περιπτώσεων αυτών και χωρίς να αναφέρεται ότι οι βλάβες που οφείλονται σε παραβίαση δεδομένων είναι, ως εκ της φύσεώς τους, λιγότερο σημαντικές από τις σωματικές βλάβες.
38 Πλην όμως, αν υποτεθεί, κατ’ αρχήν, ότι μια σωματική βλάβη είναι, ως εκ της φύσεώς της, πιο ουσιώδης από τη μη υλική ζημία, τότε θα υπάρχει ο κίνδυνος υπονόμευσης της εφαρμογής της αρχής της πλήρους και ουσιαστικής αποκατάστασης της προκληθείσας ζημίας.
39 Λαμβανομένων υπόψη των ανωτέρω σκέψεων, στο τρίτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, κατά τον καθορισμό του ποσού της αποζημίωσης που οφείλεται δυνάμει του δικαιώματος αποζημίωσης για μη υλική ζημία, πρέπει να γίνει δεκτό ότι μια τέτοια ζημία που έχει προκληθεί από παραβίαση δεδομένων προσωπικού χαρακτήρα δεν είναι, ως εκ της φύσεώς της, λιγότερο σημαντική από μια σωματική βλάβη.
Επί του τέταρτου προδικαστικού ερωτήματος
40 Με το τέταρτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, στην περίπτωση που διαπιστωθεί ζημία, ένα εθνικό δικαστήριο μπορεί, εφόσον δεν πρόκειται για σοβαρή ζημία, να επιδικάσει υπέρ του υποκειμένου των δεδομένων ελάχιστη χρηματική αποζημίωση, η οποία θα μπορούσε να θεωρηθεί και συμβολική.
41 Υπενθυμίζεται ότι από πάγια νομολογία προκύπτει ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι η απλή παράβαση του κανονισμού αυτού δεν αρκεί για τη θεμελίωση δικαιώματος αποζημίωσης, δεδομένου ότι η ύπαρξη υλικής ή μη υλικής «ζημίας» την οποία «υπέστη» το πρόσωπο συνιστά μία από τις προϋποθέσεις γένεσης του δικαιώματος αποζημίωσης που προβλέπεται στο εν λόγω άρθρο 82, παράγραφος 1, από κοινού με τη διαπίστωση παράβασης του εν λόγω κανονισμού και την ύπαρξη αιτιώδους συνάφειας μεταξύ ζημίας και παράβασης, προϋποθέσεις οι οποίες πρέπει να συντρέχουν σωρευτικώς [αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψη 32, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 34].
42 Επομένως, το πρόσωπο που ζητεί αποζημίωση για μη υλική ζημία βάσει της διάταξης αυτής οφείλει να αποδείξει όχι μόνον την παράβαση των διατάξεων του κανονισμού, αλλά και ότι η παράβαση αυτή του προκάλεσε τέτοια ζημία, η οποία δεν μπορεί, επομένως, να τεκμαίρεται απλώς από την ύπαρξη της παράβασης [πρβλ. αποφάσεις της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), C‑300/21, EU:C:2023:370, σκέψεις 42 και 50, και της 11ης Απριλίου 2024, juris, C‑741/21, EU:C:2024:288, σκέψη 35].
43 Εφόσον ένα πρόσωπο αποδείξει ότι η παράβαση του ΓΚΠΔ προκάλεσε σε αυτόν υλική ή μη υλική ζημία, κατά την έννοια του άρθρου 82 του εν λόγω κανονισμού, από τη σκέψη 33 της παρούσας αποφάσεως προκύπτει, κατ’ ουσίαν, ότι τα κριτήρια υπολογισμού της οφειλόμενης αποζημίωσης, στο πλαίσιο μέσων έννομης προστασίας που αποσκοπούν στη διασφάλιση των δικαιωμάτων που τα υποκείμενα δικαίου αντλούν από το συγκεκριμένο άρθρο, καθορίζονται από την έννομη τάξη κάθε κράτους μέλους, υπό την προϋπόθεση ότι η αποζημίωση είναι πλήρης και ουσιαστική.
44 Συναφώς, το Δικαστήριο έχει κρίνει ότι, εφόσον στοιχειοθετείται παράβαση των διατάξεων του κανονισμού, το άρθρο 82, παράγραφος 1, του ΓΚΠΔ δεν απαιτεί, για τη γένεση δικαιώματος αποζημίωσης, η ζημία την οποία προβάλλει το υποκείμενο των δεδομένων να υπερβαίνει ένα «ελάχιστο κατώτατο όριο» (πρβλ. απόφαση της 14ης Δεκεμβρίου 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, σκέψη 18).
45 Ωστόσο, η παραδοχή αυτή δεν σημαίνει ότι τα εθνικά δικαστήρια δεν μπορούν να επιδικάσουν χαμηλό ποσό αποζημίωσης, εφόσον η αποζημίωση αυτή αποκαθιστά πλήρως τη ζημία, περίσταση της οποίας τη συνδρομή οφείλει να εξακριβώσει το αιτούν δικαστήριο, και εφόσον τηρούνται οι αρχές που υπενθυμίστηκαν στη σκέψη 43 της παρούσας αποφάσεως.
46 Λαμβανομένων υπόψη των ανωτέρω σκέψεων, στο τέταρτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, στην περίπτωση που διαπιστωθεί ζημία, ένα εθνικό δικαστήριο μπορεί, εφόσον δεν πρόκειται για σοβαρή ζημία, να επιδικάσει υπέρ του υποκειμένου των δεδομένων ελάχιστη χρηματική αποζημίωση, υπό την προϋπόθεση ότι η αποζημίωση αυτή αποκαθιστά πλήρως την προκληθείσα ζημία.
Επί του πέμπτου προδικαστικού ερωτήματος
Επί του παραδεκτού
47 Με τις γραπτές παρατηρήσεις της, η Ευρωπαϊκή Επιτροπή διερωτήθηκε ως προς τη λυσιτέλεια του πέμπτου προδικαστικού ερωτήματος προκειμένου να επιλυθούν οι διαφορές των κύριων δικών, καθόσον διαπιστώνει ότι το αιτούν δικαστήριο δεν μνημονεύει καμία συγκεκριμένη διάταξη του δικαίου της Ένωσης.
48 Συναφώς, το πέμπτο προδικαστικό ερώτημα αφορά την έννοια της «κατάχρησης ταυτότητας», κατά την αιτιολογική σκέψη 75 του ΓΚΠΔ και δεν αφορά τυπικώς το άρθρο 82 του κανονισμού αυτού. Εντούτοις, από το γεγονός και μόνον ότι το Δικαστήριο καλείται να αποφανθεί γενικά και αφηρημένα δεν μπορεί να συναχθεί ότι η αίτηση προδικαστικής αποφάσεως είναι απαράδεκτη (απόφαση της 15ης Νοεμβρίου 2007, International Mail Spain,C‑162/06, EU:C:2007:681, σκέψη 24).
49 Τούτου δοθέντος, με το συγκεκριμένο προδικαστικό ερώτημα το αιτούν δικαστήριο ζητεί από το Δικαστήριο να προβεί στην ερμηνεία της έννοιας της «κατάχρησης ταυτότητας» που περιλαμβάνεται στην αιτιολογική σκέψη 75 του ΓΚΠΔ, προκειμένου να καθορίσει το ποσό της χρηματικής αποζημίωσης του άρθρου 82 του ΓΚΠΔ. Επομένως, το εν λόγω προδικαστικό ερώτημα αφορά σαφώς διάταξη του δικαίου της Ένωσης. Κατά τα λοιπά, η απάντηση στο ερώτημα αυτό είναι επίσης λυσιτελής καθόσον ούτε το αιτούν δικαστήριο ούτε οι διάδικοι των κύριων δικών συμφωνούν ως προς τον ορισμό της εν λόγω έννοιας προς τον σκοπό της εκτίμησης της προκληθείσας ζημίας στις υποθέσεις των κύριων δικών.
50 Υπό τις ανωτέρω συνθήκες, το πέμπτο προδικαστικό ερώτημα είναι παραδεκτό.
Επί της ουσίας
51 Κατά πάγια νομολογία, στο πλαίσιο της διαδικασίας συνεργασίας μεταξύ των εθνικών δικαστηρίων και του Δικαστηρίου την οποία θεσπίζει το άρθρο 267 ΣΛΕΕ, στο Δικαστήριο απόκειται να δώσει στο εθνικό δικαστήριο χρήσιμη απάντηση που να του παρέχει τη δυνατότητα να επιλύσει τη διαφορά της οποίας έχει επιληφθεί. Υπό το πρίσμα αυτό, το Δικαστήριο μπορεί να αναδιατυπώσει, εφόσον είναι αναγκαίο, τα προδικαστικά ερωτήματα που του έχουν υποβληθεί. Επιπλέον, το Δικαστήριο ενδέχεται να χρειαστεί να λάβει υπόψη του κανόνες του δικαίου της Ένωσης στους οποίους δεν αναφέρθηκε ο εθνικός δικαστής με το ερώτημά του (απόφαση της 7ης Σεπτεμβρίου 2023, Groenland Poultry, C‑169/22, EU:C:2023:638, σκέψη 47 και εκεί μνημονευόμενη νομολογία).
52 Εν προκειμένω, το πέμπτο προδικαστικό ερώτημα αφορά το δικαίωμα αποζημίωσης που προβλέπεται στο άρθρο 82, παράγραφος 1, του ΓΚΠΔ, και ειδικότερα την έννοια της «κατάχρησης ταυτότητας» που περιλαμβάνεται στην αιτιολογική σκέψη 75 του ΓΚΠΔ. Πλην όμως, επισημαίνεται ότι, πέραν της συγκεκριμένης αιτιολογικής σκέψης, η έννοια αυτή περιλαμβάνεται και στην αιτιολογική σκέψη 85 του ίδιου κανονισμού.
53 Κατά συνέπεια, πρέπει να γίνει δεκτό ότι, με το πέμπτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 82, παράγραφος 1, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα των αιτιολογικών σκέψεων 75 και 85 του κανονισμού αυτού, έχει την έννοια ότι, για να στοιχειοθετηθεί «κατάχρηση ταυτότητας» και να θεμελιωθεί αξίωση αποζημίωσης για μη υλική ζημία βάσει της εν λόγω διάταξης, πρέπει η ταυτότητα του προσώπου του οποίου τα δεδομένα προσωπικού χαρακτήρα εκλάπησαν να έχει όντως αποτελέσει αντικείμενο υποκλοπής από τρίτο ή, αντιθέτως, αν μια τέτοια κατάχρηση ταυτότητας στοιχειοθετείται εφόσον ο τρίτος διαθέτει δεδομένα που καθιστούν δυνατή την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων.
54 Ο ΓΚΠΔ δεν παρέχει ορισμό της έννοιας της κατάχρησης ταυτότητας. Εντούτοις, η «κατάχρηση» ή η «υποκλοπή» ταυτότητας απαριθμούνται στην αιτιολογική σκέψη 75 του κανονισμού αυτού στο πλαίσιο ενός μη εξαντλητικού καταλόγου των συνεπειών που μπορεί να επιφέρει μια επεξεργασία δεδομένων προσωπικού χαρακτήρα προκαλώντας σωματική, υλική ή μη υλική βλάβη. Στην αιτιολογική σκέψη 85 του εν λόγω κανονισμού, η «κατάχρηση» ή η «υποκλοπή» ταυτότητας απαριθμούνται εκ νέου και από κοινού στο πλαίσιο καταλόγου σωματικών, υλικών και ή μη υλικών βλαβών τις οποίες μπορεί να επιφέρει μια παραβίαση δεδομένων προσωπικού χαρακτήρα.
55 Όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 29 των προτάσεών του, οι διάφορες γλωσσικές αποδόσεις των αιτιολογικών σκέψεων 75 και 85 του ΓΚΠΔ αναφέρουν τους όρους «κατάχρηση ταυτότητας», «υποκλοπή ταυτότητας», «κλοπή ταυτότητας», «υπεξαίρεση ταυτότητας» και «αντιποίηση ταυτότητας» οι οποίοι χρησιμοποιούνται αδιακρίτως. Κατά συνέπεια, οι έννοιες της «κατάχρησης» και της «υποκλοπής» ταυτότητας χρησιμοποιούνται εκ περιτροπής και δεν μπορούν να διακριθούν μεταξύ τους. Οι δύο τελευταίες αυτές έννοιες δημιουργούν τεκμήριο βούλησης οικειοποιήσεως της ταυτότητας ενός προσώπου του οποίου τα δεδομένα προσωπικού χαρακτήρα έχουν προηγουμένως αποτελέσει αντικείμενο κλοπής.
56 Επιπλέον, όπως επισήμανε και ο γενικός εισαγγελέας στο σημείο 30 των προτάσεών του, μεταξύ των διαφόρων εννοιών που απαριθμούνται στις αιτιολογικές σκέψεις 75 και 85 του ΓΚΠΔ, η «απώλεια ελέγχου» ή η παρεμπόδιση της «άσκησης ελέγχου» επί δεδομένων προσωπικού χαρακτήρα διακρίνονται από την «κατάχρηση» ή την «υποκλοπή» ταυτότητας. Επομένως, η πρόσβαση και η απόκτηση ελέγχου επί τέτοιων δεδομένων, πράξεις που θα μπορούσαν να εξομοιωθούν με κλοπή των δεδομένων αυτών, δεν μπορούν, άνευ ετέρου, να εξομοιωθούν με «κατάχρηση» ή «υποκλοπή» ταυτότητας. Με άλλα λόγια, η κλοπή δεδομένων προσωπικού χαρακτήρα δεν συνιστά αφ’ εαυτής κατάχρηση ή υποκλοπή ταυτότητας.
57 Εντούτοις, πρέπει να διευκρινιστεί, συναφώς, ότι η δυνάμει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ αποζημίωση για μη υλική ζημία που προκλήθηκε από κλοπή δεδομένων προσωπικού χαρακτήρα δεν μπορεί να περιορίζεται στις περιπτώσεις όπου αποδεικνύεται ότι μια τέτοια κλοπή δεδομένων επέφερε περαιτέρω κατάχρηση ή υποκλοπή ταυτότητας. Συγκεκριμένα, η κλοπή δεδομένων προσωπικού χαρακτήρα ενός υποκειμένου δεδομένων γεννά δικαίωμα αποζημίωσης για μη υλική ζημία δυνάμει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ, εφόσον πληρούνται οι τρεις προϋποθέσεις τις οποίες θέτει η συγκεκριμένη διάταξη, ήτοι εφόσον έχει πραγματοποιηθεί επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά παράβαση των διατάξεων του ΓΚΠΔ, διαπιστώνεται υλική ή μη υλική ζημία σε βάρος του υποκειμένου των δεδομένων και υφίσταται αιτιώδης συνάφεια μεταξύ της παράνομης επεξεργασίας και της διαπιστωθείσας ζημίας [πρβλ. απόφαση της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα) (C‑300/21, EU:C:2023:370, σκέψεις 32 και 36)].
58 Για τους λόγους αυτούς, στο πέμπτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα των αιτιολογικών σκέψεων 75 και 85 του κανονισμού αυτού, έχει την έννοια ότι, για να στοιχειοθετηθεί «κατάχρηση ταυτότητας» και να θεμελιωθεί αξίωση αποζημίωσης για μη υλική ζημία βάσει της εν λόγω διάταξης, πρέπει η ταυτότητα του προσώπου του οποίου τα δεδομένα προσωπικού χαρακτήρα εκλάπησαν να έχει όντως αποτελέσει αντικείμενο υποκλοπής από τρίτο. Εντούτοις, η καταβολή αποζημίωσης, δυνάμει της διάταξης αυτής, για μη υλική ζημία που προκλήθηκε από κλοπή δεδομένων προσωπικού χαρακτήρα δεν μπορεί να περιορίζεται στις περιπτώσεις όπου αποδεικνύεται ότι μια τέτοια κλοπή δεδομένων επέφερε περαιτέρω κατάχρηση ή υποκλοπή ταυτότητας.
Επί των δικαστικών εξόδων
59 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους των κύριων δικών τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:
1) Το άρθρο 82, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
το προβλεπόμενο στη διάταξη αυτή δικαίωμα αποζημίωσης επιτελεί αποκλειστικώς αντισταθμιστική λειτουργία, καθόσον η στηριζόμενη στην εν λόγω διάταξη χρηματική αποζημίωση πρέπει να καθιστά δυνατή την πλήρη αποκατάσταση της προκληθείσας ζημίας.
2) Το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
δεν επιτάσσει να λαμβάνεται υπόψη, κατά τον καθορισμό της οφειλόμενης βάσει της διάταξης αυτής αποζημίωσης, η βαρύτητα της παράβασης του κανονισμού καθώς και η ενδεχόμενη πρόθεση του υπεύθυνου επεξεργασίας για τέλεση της παράβασης.
3) Το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
κατά τον καθορισμό του ποσού της αποζημίωσης που οφείλεται δυνάμει του δικαιώματος αποζημίωσης για μη υλική ζημία, πρέπει να γίνει δεκτό ότι μια τέτοια ζημία που έχει προκληθεί από παραβίαση δεδομένων προσωπικού χαρακτήρα δεν είναι, ως εκ της φύσεώς της, λιγότερο σημαντική από μια σωματική βλάβη.
4) Το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
στην περίπτωση που διαπιστωθεί ζημία, ένα εθνικό δικαστήριο μπορεί, εφόσον δεν πρόκειται για σοβαρή ζημία, να επιδικάσει υπέρ του υποκειμένου των δεδομένων ελάχιστη χρηματική αποζημίωση, υπό την προϋπόθεση ότι η αποζημίωση αυτή αποκαθιστά πλήρως την προκληθείσα ζημία.
5) Το άρθρο 82, παράγραφος 1, του κανονισμού 2016/679, ερμηνευόμενο υπό το πρίσμα των αιτιολογικών σκέψεων 75 και 85 του κανονισμού αυτού,
έχει την έννοια ότι:
για να στοιχειοθετηθεί «κατάχρηση ταυτότητας» και να θεμελιωθεί αξίωση αποζημίωσης για μη υλική ζημία βάσει της εν λόγω διάταξης, πρέπει η ταυτότητα του προσώπου του οποίου τα δεδομένα προσωπικού χαρακτήρα εκλάπησαν να έχει όντως αποτελέσει αντικείμενο υποκλοπής από τρίτο. Εντούτοις, η καταβολή αποζημίωσης, δυνάμει της διάταξης αυτής, για μη υλική ζημία που προκλήθηκε από κλοπή δεδομένων προσωπικού χαρακτήρα δεν μπορεί να περιορίζεται στις περιπτώσεις όπου αποδεικνύεται ότι μια τέτοια κλοπή δεδομένων επέφερε περαιτέρω κατάχρηση ή υποκλοπή ταυτότητας.