Simpla incalcare a Regulamentului GDPR nu constituie temeiul unui drept la despagubiri

Incepand cu anul 2017, A�sterreichische Post a colectat informatii cu privire la afinitatile politice ale populatiei austriece. Cu ajutorul unui algoritm, aceasta a definit ``adresele grupurilor-tinta`` pe baza unor criterii sociale si demografice. Datele astfel colectate au determinat A�sterreichische Post sa concluzioneze ca un anumit cetatean avea o afinitate ridicata cu un anumit partid politic austriac. In schimb, datele prelucrate nu au fost transferate catre terti.

Cetateanul in cauza, care nu consimtise la prelucrarea datelor sale cu caracter personal, afirma ca a resimtit o contrarietate profunda, o pierdere a increderii, precum si un sentiment de umilire, ca urmare a stabilirii unei afinitati speciale cu partidul in discutie. Acesta reclama in fata instantelor austriece o suma de 1 000 de euro cu titlu de despagubiri pentru prejudiciul moral pe care considera ca l-a suferit.

Curtea Suprema a Austriei si-a exprimat indoiala cu privire la domeniul de aplicare al dreptului la despagubiri pe care Regulamentul general privind protectia datelor il prevede in cazul unui prejudiciu material sau moral ca urmare a unei incalcari a acestui regulament. Aceasta instanta solicita Curtii de Justitie sa stabileasca daca simpla incalcare a GDPR este suficienta pentru a conferi acest drept si daca despagubirea nu este posibila decat peste un anumit grad de gravitate a prejudiciului moral suferit. Aceasta doreste de asemenea sa afle care sunt cerintele dreptului Uniunii in ceea ce priveste stabilirea cuantumului daunelor interese.

In hotararea sa, Curtea arata, in primul rand, ca dreptul la despagubiri prevazut de GDPR este subordonat in mod univoc indeplinirii a trei conditii cumulative: o incalcare a GDPR, un prejudiciu material sau moral rezultat din aceasta incalcare si o legatura de cauzalitate intre prejudiciu si incalcare. Prin urmare, nu orice incalcare a GDPR confera, in sine, dreptul la despagubiri . O alta interpretare ar fi contrara modului clar de redactare a GDPR.

In plus, potrivit considerentelor GDPR referitoare, in mod specific, la dreptul la despagubiri, incalcarea regulamentului mentionat nu determina in mod necesar un prejudiciu si, pentru a intemeia un drept la despagubiri, trebuie sa existe o legatura de cauzalitate intre incalcarea in cauza si prejudiciul suferit. Astfel, actiunea in despagubire se distinge de alte cai de atac prevazute de GDPR, in special de cele care permit aplicarea unor amenzi administrative, pentru care nu trebuie demonstrata existenta unui prejudiciu individual .

In al doilea rand, Curtea constata ca dreptul la despagubiri nu este rezervat prejudiciilor morale care ating un anumit prag de gravitate. GDPR nu mentioneaza o asemenea cerinta si o asemenea restrictie ar contrazice conceptia larga a notiunilor de ``dauna`` sau de ``prejudiciu`` retinuta de legiuitorul Uniunii. In plus, conditionarea despagubirii pentru un prejudiciu moral de un anumit prag de gravitate ar risca sa aduca atingere coerentei regimului instituit prin GDPR. Astfel, graduarea de care ar depinde posibilitatea sau imposibilitatea de a obtine despagubiri ar putea fluctua in functie de aprecierea instantelor sesizate.

In ceea ce priveste, in al treilea si ultimul rand, normele referitoare la evaluarea daunelor interese, Curtea arata ca GDPR nu contine dispozitii care sa aiba un asemenea obiect . Revine, asadar, ordinii juridice din fiecare stat membru sarcina de a stabili modalitatile actiunilor destinate sa asigure protectia drepturilor conferite de GDPR justitiabililor in aceasta privinta si in special criteriile care permit determinarea intinderii despagubirii datorate in acest cadru, sub rezerva respectarii principiilor echivalentei si efectivitatii. In aceasta privinta, Curtea subliniaza functia compensatorie a dreptului la despagubiri prevazut de GDPR si aminteste ca acest instrument urmareste sa asigure o despagubire integrala si eficace pentru prejudiciul suferit.

Hotararea CJUE in cauza C-300/21 | A�sterreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal)