CJEU: Odgovornost za nematerialno škodo
Sodišče EU je odločilo, da posamezniku odškodnina v primeru kršitve varnosti podatkov lahko pripada tudi, če je vzrok za kršitev varnosti podatkov malomarno delo zaposlenega.
Sodba je bila objavljena 11.4.2024
V primeru ECJ, C-741/21 gre za spor glede odškodnine za nematerialno škodo, ki naj bi jo posameznik utrpel zaradi izgube nadzora nad svojimi osebnimi podatki, kljub ugovoru zoper obdelavo. Upravljavec je v svoji obrambi trdil, da je do zamude pri obravnavi ugovora pritožnika prišlo bodisi zaradi tega, ker uslužbenec ni upošteval navodil, bodisi zato, ker bi bilo obravnavanje teh ugovorov pretirano drago.
Sodišče EU je odločilo:
1. V skladu s svojimi prejšnjimi sodbami, na primer v C‑300/21 (Österreichische Post), C‑340/21 (Natsionalna agentsia za prihodite) ali nedavno v C‑687/21 (MediaMarktSaturn), Sodišče EU poudarja, da sama kršitev GDPR, ne glede na resnost kršitve, ne zadošča za pridobitev pravice do odškodnine, ampak morajo za upravičenost do odškodnine veljati vsi naslednji pogoji:
škoda posamezniku,
kršitev GDPR in
vzročna zveza med škodo in kršitvijo.
2. Upravljavec ne more biti oproščen odgovornosti na podlagi člena 82 GDPR zgolj s sklicevanjem na malomarnost ali napačno ravnanje osebe, ki je kršitev zakrivila.
V zvezi s tem dokazovanje, da je upravljavec dal navodila zaposlenim pod njegovo pristojnostjo, ne zadostuje za upravičenost do te izjeme, ampak mora dokazati, da ni vzročne zveze med morebitno kršitvijo obveznosti varstva podatkov in povzročeno škodo posamezniku.
3. Merila, ki se uporabljajo za določitev zneskov glob (kaznovalna funkcija), se ne morejo uporabiti za določitev višine odškodnin po 82. členu GDPR (kompenzacijska funkcija).
Na drugi strani pa dejstva, da je upravljavec zakrivil več kršitev zoper istega posameznika, ni mogoče šteti kot relevantno merilo za določitev odškodnine, temveč je treba upoštevati le dejansko škodo, ki jo je posameznik utrpel.
Celotna sodba je na voljo tukaj
Vir: Curia Europa
