Неокончателна редакция на заключението на генералния адвокат Антъни Колинс, представено на 26 октомври 2023 година по обединени дела C‑182/22 и C‑189/22
Заключението е във връзка с преюдициално запитване, отправено от Amtsgericht München (Районен съд Мюнхен, Германия) по Регламент (ЕС) 2016/679 – член 82, параграф 1 относно право на обезщетение за вредите, причинени от обработването на данни, извършено в нарушение на този регламент.
С два до голяма степен идентични иска, предявени срещу Scalable Capital GmbH (наричано по-нататък „Scalable Capital“) от JU (дело C‑182/22) и SO (дело C‑189/22), ищците претендират обезщетение за нематериални вреди, изразяващи се в болки и страдания, които твърдят, че са им причинени от описаното от запитващата юрисдикция като кражба от неизвестни трети лица на личните им данни, съхранявани в управлявано от Scalable Capital приложение за търговия. До този момент третите лица не са използвали данните за измамни или други цели. Районният съд на Мюнхен моли Съда да предостави насоки относно тълкуването на понятието „нематериални вреди“ по член 82 от Регламент (ЕС) 2016/679 и условията, при които се предоставя обезщетение за такива вреди. Той иска по-специално да се установи дали кражбата на тези данни представлява „кражба на самоличност“ по смисъла на съображение 75 от ОРЗД.
JU и SO си откриват сметки за ценни книжа в приложение за търговия, управлявано от Scalable Capital. За да удостовери самоличността си, всеки от тях вписва в заявлението свои лични данни, включително име, дата на раждане, пощенски адрес и адрес на електронна поща, като съхранява и цифрово копие на личната си карта. Безспорно е, че тези данни са откраднати от неизвестни извършители.
Amtsgericht München счита, че откраднатите данни са относително чувствителни, и установява, че JU и SO имат право на обезщетение по член 82 от ОРЗД. Тъй като според посочения съд размерът на обезщетението, което трябва да се присъди на JU и SO, зависи от тълкуването на член 82 от ОРЗД, той решава да спре производството по делото и да постави на Съда следните преюдициални въпроси:
„1. Трябва ли член 82 от [ОРЗД] да се тълкува в смисъл, че правото на обезщетение за вреди, включително и в контекста на определянето на размера на обезщетението, няма характер на санкция, по-специално няма обща или специална възпираща функция, а има само компенсаторна функция и евентуално функция на удовлетворение?
2.a. Трябва ли за целите на определянето на размера на правото на обезщетение за неимуществени вреди да се приеме, че правото на обезщетение за вреди има и индивидуална функция на удовлетворение – в случая разбирана като наличието на личен интерес на увреденото лице от наказването на причинилото вредата поведение, или правото на обезщетение за вреди има само компенсаторна функция – в случая разбирана като функция по обезщетяване на претърпените неблагоприятни последици?
2.б.1. Ако се приеме, че правото на обезщетение за неимуществени вреди има както компенсаторна функция, така и функция на удовлетворение: трябва ли при определяне на размера му да се приеме, че компенсаторната функция има структурно предимство спрямо функцията на удовлетворение или най-малкото предимство, произтичащо от обстоятелството, че помежду им е налице отношение на правило и изключение? Означава ли това, че функцията на удовлетворение може да е налице само в случай на нарушения, извършени с умисъл или груба небрежност?
2.б.2. Ако правото на обезщетение за неимуществени вреди няма функция на удовлетворение: при определянето на размера на обезщетението имат ли допълнително утежняващо значение само нарушенията на защитата на данни, причинени с умисъл или груба небрежност, при оценката на приноса за причиняването на вреди?
- За разбирането на обезщетението за неимуществени вреди при определянето на размера му трябва ли да се приеме, че е налице структурно предимство или най-малкото предимство, произтичащо от отношението на правило и изключение, при което претърпяването на неблагоприятни последици в резултат от нарушение на защитата на данни има по-малка тежест отколкото претърпяването на неблагоприятни последици и болка, свързани с телесна повреда?
- Ако се приеме, че е налице вреда, може ли поради липса на достатъчно тежест националният съд да присъди обезщетение за вреди, което по същество е незначително и поради това може евентуално да се възприеме от увреденото лице или общо за символично?
- Трябва ли за разбирането на обезщетението за неимуществени вреди при оценката на последиците му да се приеме, че кражба на самоличност по смисъла на съображение 75 от [ОРЗД] е налице само ако извършител на неправомерно деяние действително е приел самоличността на субекта на данните, т.е. представил се е за субекта на данните под някаква форма, или самото обстоятелство, че междувременно извършители на неправомерно деяние разполагат с данни, които позволяват субектът на данни да бъде идентифициран, представлява такава кражба на самоличност?“.
С решение от 19 април 2022 г. председателят на Съда съединява дела C‑182/22 и C‑189/22 за целите на писмената и устната фаза на производството, както и за целите на постановяването на съдебното решение.
На 1 юни 2022 г. председателят на Съда отхвърля искането на Scalable Capital за запазване на анонимността в настоящото производство на основание член 95, параграф 2 от Процедурния правилник на Съда.
Писмени становища представят SO, Scalable Capital, Ирландия и Европейската комисия.
Най-напред ще разгледам възраженията срещу допустимостта на поставените въпроси, след което ще предложа на Съда съобразно неговото искане как да отговори на петия въпрос.
Анализ
По допустимостта
Според Scalable Capital загубата на контрол върху личните данни, без други последици за засегнатото лице, не води до нематериални вреди по смисъла на член 82, параграф 1 от ОРЗД. Текстът, общата структура и целта на член 82 от ОРЗД не подкрепят тезата за наличието на презумпция, че тези вреди настъпват като последица от загубата на контрол. Ето защо запитващата юрисдикция е допуснала грешка, като е приела, че JU и SO са претърпели нематериални вреди. Следователно преюдициалните запитвания са ирелевантни за решаването на споровете, с които е сезирана запитващата юрисдикция, и поради това са недопустими.
Комисията счита, че релевантността на петия въпрос за решаването на споровете, с които е сезирана запитващата юрисдикция, не е ясна. Запитващата юрисдикция се позовава само на различното тълкуване на закона от страните и отбелязва, че „кражба на самоличност е налице едва когато някой използва незаконно получените данни, за да се представи за субекта на данни“. Освен това с петия въпрос не се иска от Съда да тълкува конкретна разпоредба от ОРЗД.
В съответствие с постоянната практика на Съда поставените от националния съд въпроси относно тълкуването на правото на Съюза се ползват с презумпция за релевантност. Съдът може да откаже да се произнесе по тези въпроси само ако е видно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, ако проблемът е от хипотетично естество или още ако Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на посочения въпрос.
Възражението на Scalable Capital срещу допустимостта на всички преюдициални въпроси е основано на неговото тълкуване на член 82 от ОРЗД, на правото на обезщетение и на твърдяната липса на нематериални вреди. Преюдициалните въпроси се отнасят до правото на субектите на данни на обезщетение по член 82 от ОРЗД. Установяването на наличието на вреди е необходима предпоставка за получаване на такова обезщетение. Следователно възражението на Scalable Capital срещу допустимостта на преюдициалните запитвания се отнася до съществото на повдигнатите в тях въпроси. По своето естество доводите, отнасящи се до съществото на поставените в преюдициалното запитване въпроси, не могат да повлияят на допустимостта на запитването.
Що се отнася до възражението на Комисията срещу допустимостта на петия въпрос, не е очевидно, че този въпрос не е свързан с исковете, с които е сезирана запитващата юрисдикция, или че е от хипотетично естество. Запитващата юрисдикция е сезирана с искове за обезщетение по ОРЗД. Между страните е спорно дали кражбата на лични данни представлява кражба на самоличност по смисъла на съображение 75 от ОРЗД, или дали за да е налице кражба на самоличност, е необходимо „извършител на неправомерно деяние действително [да] е приел самоличността на субекта на данните“. Макар съображенията на запитващата юрисдикция по петия ѝ въпрос да са оскъдни, от актовете за преюдициално запитване е видно, че този въпрос е свързан с останалите четири въпроса относно понятието „нематериални вреди“ и правото на обезщетение по член 82 от ОРЗД.
Ето защо предлагам на Съда да отхвърли различните възражения срещу допустимостта на въпросите, отправени от Amtsgericht München.
Б. По същество
Доводи на страните
Според SO съображение 85 от ОРЗД съдържа ясно разграничение между кражба на самоличност и измама с фалшива самоличност. Кражбата на самоличност предполага, че извършителят на неправомерно деяние може да злоупотреби със самоличността на дадено лице, като въведе в заблуждение други лица относно тази самоличност. Измама с фалшива самоличност може да бъде извършена след кражба на самоличност. Следователно, за да е налице кражба на самоличност, не е необходима действителна злоупотреба със самоличността на дадено лице. Естеството и обемът на откраднатите в настоящия случай данни позволяват да се презумира, че е налице кражба на самоличност, която поражда право на обезщетение на това основание.
Scalable Capital поддържа, че кражба на самоличност е налице, когато някой злоупотребява с личните данни на физическо лице с цел да се представи за това лице. Кражбата на определени данни може да доведе до кражба на самоличност или да я улесни, но сама по себе си не представлява кражба на самоличност. Систематичното тълкуване на съображение 75 от ОРЗД подкрепя този подход, тъй като останалите примери в тази разпоредба сочат, че възможността да се използват някои лични данни не представлява кражба на самоличност. Целта на член 82 от ОРЗД е да се предостави обезщетение за вредите, които физическите лица действително са претърпели. Разширително тълкуване на понятието „кражба на самоличност“ е в противоречие с тази цел, тъй като би обосновало иск за обезщетение на абстрактната възможност за настъпване на вреди в бъдеще.
Ирландия поддържа, че кражбата на самоличност се отнася до обстоятелства, при които субект действително приема самоличността на лицето, чиито данни са били незаконно присвоени. Следователно, за да се осъществи кражба на самоличност, не е достатъчно този субект да разполага с данни, които идентифицират дадено лице. Обезщетението за нематериални вреди по член 82 от ОРЗД във всички случаи следва да се преценява в зависимост от обстоятелствата по същество във всеки отделен случай.
Комисията отбелязва, че ОРЗД не съдържа определение на кражба на самоличност. В съображения 75 и 85 от ОРЗД кражбата на самоличност се посочва като пример за обработване на лични данни, което би могло да доведе до физически, материални или нематериални вреди. Според Комисията кражбата на самоличност, посочена в тези съображения, представлява незаконно придобиване на данни с цел „представяне“ за засегнатото лице. За да се докаже кражба на самоличност, трябва да се установи намерението на извършителя на неправомерното деяние да се представи за засегнатото лице, като се посочат конкретни подготвителни действия или стъпки за това. Тъй като съгласно постоянната съдебна практика вредата трябва да бъде „действителна и сигурна“, самото притежаване на данни, идентифициращи засегнатото лице, без да са предприети действия за представяне като това лице, не представлява кражба на самоличност.
Анализ
С петия си въпрос запитващата юрисдикция иска да се установи дали самата кражба на чувствителни лични данни на субект на данни от неизвестен извършител представлява кражба на самоличност, която поражда право на обезщетение, или, за да е налице кражба на самоличност, извършителят трябва действително да приеме самоличността на субекта на данни или да предприеме действия за тази цел. Този въпрос е зададен в контекста на констатацията, че неизвестни извършители са откраднали някои чувствителни лични данни на JU и SO от приложението за търговия на Scalable Capital. Въпреки че не изглежда да е имало по-нататъшно (представляващо злоупотреба) използване на данните, тъй като самоличността на извършителите е неизвестна и те не са заловени, не е възможно да се изключи такова (представляващо злоупотреба) използване в бъдеще.
Член 82 от ОРЗД потвърждава в общи линии правото на обезщетение на всеки субект на данни, който е претърпял „материални или нематериални вреди“ поради нарушение на ОРЗД, и разпределя отговорността между администратора и/или обработващия лични данни. Тази разпоредба не посочва нито конкретното естество, нито формата на вредите. За определянето на смисъла и обхвата на понятието „нематериални вреди“ ОРЗД не препраща към правото на държавите членки. От това следва, че този термин трябва да се разглежда като самостоятелно понятие на правото на Съюза и да се тълкува еднакво във всички държави членки.
Обезщетението по член 82 от ОРЗД се дължи при доказване на нарушение на ОРЗД, „действително претърпени вреди“ и причинно-следствена връзка между нарушението и вредите. ОРЗД не предвижда система на обективна отговорност. Компенсаторният характер на въведения с член 82, параграф 1 от ОРЗД режим също изключва присъждането на наказателни обезщетения. Обезщетението трябва да е пълно и действително, като е необходимо „да се обезщети изцяло конкретната вреда, претърпяна в резултат на нарушението на [ОРЗД]“. Не е необходимо претърпените от субекта на данни нематериални вреди да са достигнали определена степен на значимост. Въпреки че няма минимален праг по отношение на размера на нематериалните вреди, трябва да са налице ясни и точни доказателства, че субектът на данни ги е претърпял. Потенциалните или хипотетичните вреди или просто притеснението, свързано с кражбата на лични данни, не са достатъчни.
Член 82, параграф 3 от ОРЗД освобождава администратора или обработващия лични данни от отговорност, „ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата“. Съдът не е имал повод да разгледа подробно член 82, параграф 3 от ОРЗД. При буквално тълкуване на тази разпоредба изглежда, че всяка небрежност (съпричиняване) или пропуск от страна на администратора или обработващия лични данни са достатъчни, за да не се прилага освобождаването. Освен това поради доказателствената тежест, която тази разпоредба налага на администратора(ите) или обработващия(ите) лични данни, които искат да се възползват от освобождаването, може да е необходимо прилагането на постоянни мерки, насочени към предотвратяване на нарушения на сигурността на данните.
Кражбата на лични данни на субект на данни поражда право на обезщетение за нематериални вреди по член 82, параграф 1 от ОРЗД, когато са изпълнени трите условия, посочени в решение Österreichische Post. Съгласно съображение 7 от ОРЗД „[ф]изическите лица следва да имат контрол върху собствените си лични данни“. Ако субектите на данни бъдат „лишени […] от упражняване на контрол върху своите лични данни“ или ако физическите лица загубят „контрол върху личните [си] данни“, това може да породи нематериални вреди. Именно в този контекст запитващата юрисдикция иска да установи дали кражбата на лични данни представлява кражба на самоличност.
В разпоредбите на ОРЗД нито се споменава кражба на самоличност, нито се съдържа определение за нея. В съображения 75 и 85 от ОРЗД само се споменава „кражба на самоличност или измама с фалшива самоличност“. В съображение 75 понятието „кражба на самоличност или измама с фалшива самоличност“ е включено в неизчерпателен списък с примери за риск за упражняването на правата и свободите на физическите лица поради обработването на техните лични данни. В съображение 85 от ОРЗД по подобен начин се споменава „кражба на самоличност или измама с фалшива самоличност“ като пример за вреда, дължаща се на нарушаване на сигурността на лични данни, което не е овладяно по подходящ и навременен начин.
В някои съображения и разпоредби от други актове на правото на Съюза се споменават понятия като „кражба на самоличност“, „измама с фалшива самоличност“ и „кражба на самоличност или измама с фалшива самоличност“. Не открих нито една разпоредба от правото на Съюза, която да съдържа определение на тези понятия. Следователно законодателят на Съюза споменава тези понятия с илюстративна цел.
Това е видно и от анализа на тези понятия в съображения 75 и 85 от ОРЗД на различните езици. Докато на немски (Identitätsdiebstahl oder -betrug), английски (identity theft or fraud), естонски (identiteedivargust või -pettust), ирландски (goid aitheantais nó calaois aitheantais), литовски (būti pavogta ar suklastota tapatybė), нидерландски (identiteitsdiefstal of -fraude), полски (kradzieżą tożsamości lub oszustwem dotyczącym tożsamości), румънски (furt sau fraudă a identității) и словашки (krádeži totožnosti alebo podvodu) тези понятия са до голяма степен сходни, на други езици те се различават в различна степен от тях, а именно на чешки (krádeži či zneužití identity), френски (vol ou une usurpation d’identité), гръцки (κατάχρηση ή υποκλοπή ταυτότητας), португалски (usurpação ou roubo da identidade), италиански (furto o usurpazione d’identità) и испански (usurpación de identidad o fraude). Текстовете на различните езици на разглежданите съображения от ОРЗД показват, че понятията „кражба на самоличност“, „измама с фалшива самоличност“, „злоупотреба със самоличност“, „неправомерно използване на самоличност“, „неправомерно приемане на самоличност“ и „присвояване на самоличност“ се припокриват и могат да се разглеждат, поне до определена степен, като взаимозаменяеми. От това следва, че противно на доводите на SO, изложени в точка 18 от настоящото заключение, в съображения 75 и 85 от ОРЗД не се прави ясно разграничение между кражба на самоличност и измама с фалшива самоличност.
В съображения 75 и 85 от ОРЗД се прави разграничение между примера за „загуба на контрол“ или лишаване от „упражняване на контрол“ върху лични данни и примера за „кражба на самоличност или измама с фалшива самоличност“. Следователно самата кражба на лични данни не представлява кражба на самоличност, дори ако тази кражба може да доведе в бъдеще до (представляващо злоупотреба) използване на данните. За да е налице кражба на самоличност, се изисква допълнително действие или стъпка с вредни последици за субекта на данните, които надхвърлят кражбата на лични данни. Лице, което открадва лични данни на субект на данни, трябва да ги използва (злоупотребявайки с тях) или да предприема конкретни стъпки да ги използва (злоупотребявайки с тях) за незаконни цели без съгласието на това лице. Тези действия по принцип включват измама или друга форма на въвеждане в заблуждение и обикновено се извършват с цел финансова или друга печалба или с цел да се навреди на субекта на данни или на неговото обкръжение.
От изложеното по-горе следва, че макар кражбата на лични данни да не представлява кражба на самоличност или измама с фалшива самоличност, тази кражба може да доведе до нематериални вреди и до право на обезщетение по член 82, параграф 1 от ОРЗД. Доказването на нематериални вреди може да е по-лесно, ако се установи, че субектът на данни е станал жертва на кражба на самоличност или измама с фалшива самоличност в резултат на кражбата на личните му данни. Правото на обезщетение за нематериални вреди по член 82, параграф 1 от ОРЗД поради кражба на лични данни не зависи обаче от наличието на кражба на самоличност или измама с фалшива самоличност. Нематериалните вреди и правото на обезщетение по член 82, параграф 1 от ОРЗД трябва да се преценяват във всеки отделен случай, като се отчитат всички релевантни обстоятелства.
По изложените по-горе съображения предлагам на Съда да отговори на петия въпрос, поставен от Amtsgericht München, както следва:
„Член 82, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че кражбата от неизвестен извършител на чувствителни лични данни на субект на данни може да породи право на обезщетение за нематериални вреди след доказване на нарушение на Общия регламент относно защитата на данните, действително нанесени вреди и причинно-следствена връзка между вредите и нарушението. За присъждането на обезщетение не е необходимо извършителят да е приел самоличността на субекта на данните, а притежаването на данни, идентифициращи субекта на данните, не представлява само по себе си кражба на самоличност“.