Domstolens dom (åttonde avdelningen) den 4 oktober 2024
I mål C‑507/23, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Augstākā tiesa (Senāts) (Högsta domstolen, Lettland) genom beslut av den 7 augusti 2023, som inkom till domstolen den 8 augusti 2023, i målet
DOMSTOLEN (åttonde avdelningen) sammansatt av avdelningsordföranden N. Piçarra samt domarna N. Jääskinen (referent) och M. Gavalec, generaladvokat: M. Szpunar, justitiesekreterare: A. Calot Escobar,
efter det skriftliga förfarandet,
med beaktande av de yttranden som avgetts av: Lettlands regering, av J. Davidoviča och K. Pommere, båda i egenskap av ombud, Europeiska kommissionen, av A. Bouchagiar, H. Kranenborg och I. Naglis, samtliga i egenskap av ombud,
med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,
följande
Dom
1. Begäran om förhandsavgörande avser tolkningen av artikel 82.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).
2. Begäran har framställts i ett mål mellan A och Patērētāju tiesību aizsardzības centrs (Konsumentkyddsmyndigheten i Lettland) (nedan kallad Konsumentskyddsmyndigheten). Målet rör ersättning för den immateriella skada som A påstår sig ha lidit till följd av att denna myndighet behandlat vissa av hans personuppgifter utan tillstånd från honom.
Tillämpliga bestämmelser
Unionsrätt
3. Skälen 1, 75, 85, 146 och 148 i dataskyddsförordningen har följande lydelse:
(”(1) Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
…
(75) Risken för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till … skadat anseende … eller annan betydande ekonomisk eller social nackdel, om registrerade kan berövas sina rättigheter och friheter eller hindras att utöva kontroll över sina personuppgifter, …
…
(85) En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan för fysiska personer leda till fysisk, materiell eller immateriell skada, såsom förlust av kontrollen över de egna personuppgifterna eller till begränsning av deras rättigheter, … skadat anseende, … eller till annan ekonomisk eller social nackdel för den berörda fysiska personen. …
…
(146) Den personuppgiftsansvarige eller personuppgiftsbiträdet bör ersätta all skada som en person kan komma att lida till följd av behandling som strider mot denna förordning. … Begreppet skada bör tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar denna förordnings mål. Detta påverkar inte skadeståndsanspråk till följd av överträdelser av andra bestämmelser i unionsrätten eller i medlemsstaternas nationella rätt. … Registrerade bör få full och effektiv ersättning för den skada de lidit. …
…
(148) För att stärka verkställigheten av denna förordning bör det utdömas sanktioner, inbegripet administrativa sanktionsavgifter, för överträdelser av denna förordning … Vederbörlig hänsyn bör dock tas till överträdelsens karaktär, svårighetsgrad och varaktighet och huruvida den har skett uppsåtligen, vilka åtgärder som vidtagits för att lindra skadan, graden av ansvar … och eventuella andra försvårande eller förmildrande faktorer. …”
4. I artikel 1 i dataskyddsförordningen, med rubriken ”Syfte”, föreskrivs följande i punkt 2:
”Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.”
5. I artikel 4 i förordningen, med rubriken ”Definitioner”, föreskrivs följande:
”I denna förordning avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), …
…
7. personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; …
…
12. personuppgiftsincident: en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats,
…”
6. I artikel 6 i samma förordning, med rubriken ”Laglig behandling av personuppgifter”, föreskrivs i punkt 1 att behandling av personuppgifter endast är laglig om och i den mån som åtminstone ett av de villkor som räknas upp i punkten är uppfyllt.
7. Kapitel VIII i dataskyddsförordningen, med rubriken ”Rättsmedel, ansvar och sanktioner”, innehåller artiklarna 77–84.
8. Artikel 82 i dataskyddsförordningen har rubriken ”Ansvar och rätt till ersättning”, och där föreskrivs följande i punkterna 1 och 2:
”1. Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.
2. Varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot denna förordning. …”
9. I artikel 83 i dataskyddsförordningen, med rubriken ”Allmänna villkor för påförande av administrativa sanktionsavgifter”, föreskrivs följande i punkt 2:
”… Vid beslut om huruvida administrativa sanktionsavgifter ska påföras och om beloppet för de administrativa sanktionsavgifterna i varje enskilt fall ska vederbörlig hänsyn tas till följande:
a) Överträdelsens karaktär, svårighetsgrad och varaktighet med beaktande av den aktuella uppgiftsbehandlingens karaktär, omfattning eller syfte samt antalet berörda registrerade och den skada som de har lidit.
b) Om överträdelsen skett med uppsåt eller genom oaktsamhet.
c) De åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit för att lindra den skada som de registrerade har lidit.
…
k) Eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet, såsom ekonomisk vinst som görs eller förlust som undviks, direkt eller indirekt, genom överträdelsen.”
10. I artikel 84 i förordningen, med rubriken ”Sanktioner”, föreskrivs följande i punkt 1:
”Medlemsstaterna ska fastställa regler om andra sanktioner för överträdelser av denna förordning, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83, och vidta alla nödvändiga åtgärder för att säkerställa att de genomförs. Dessa sanktioner ska vara effektiva, proportionella och avskräckande.”
Lettisk rätt
11. I artikel 14 i Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (lagen om ersättning för skada som orsakats av myndigheter) av den 2 juni 2005 (Latvijas Vēstnesis 2005, nr 96), i den lydelse som är tillämplig i det nationella målet (nedan kallad 2005 års lag), med rubriken ”Fastställande ersättningen för immateriell skada”, föreskrivs följande:
”1. Skyldigheten att ersätta immateriell skada ska åläggas i förhållande till vikten av de lagligen skyddade rättigheter och intressen som kränkts och allvaret i kränkningen i fråga, mot bakgrund av motiveringen och de faktiska och rättsliga grunderna för myndighetens handlande, den skadelidandes beteende och medansvar samt andra omständigheter som är relevanta för det aktuella fallet.
2. Ersättning för immateriell skada ska ske genom att den situation som rådde innan skadan orsakades återställs eller, om detta är helt eller delvis omöjligt eller om en sådan lösning är olämplig, genom framförandet av en ursäkt eller genom betalning av ett skäligt skadestånd.
3. Om myndigheten eller domstolen, efter att ha bedömt omständigheterna i det aktuella fallet, finner att intrånget i den enskildes rättigheter eller rättsligt skyddade intressen inte är allvarligt, kan en skriftlig eller offentlig ursäkt utgöra självständig eller kompletterande ersättning för den immateriella skadan.
4. Ersättningen för immateriell skada kan bestämmas till högst 7000 euro. Vid allvarlig immateriell skada kan ersättningen bestämmas till högst 10000 euro, men vid skada på liv eller särskilt allvarlig skada för hälsa kan det högsta ersättningsbeloppet bestämmas till högst 30000 euro.”
Målet vid den nationella domstolen och tolkningsfrågorna
12. Klaganden i det nationella målet är en journalist som i Lettland är känd för att vara expert inom bilområdet.
13. Inom ramen för en kampanj som syftade till att öka konsumenternas medvetenhet om riskerna i samband med köp av begagnade fordon, spridde konsumentskyddsmyndigheten på flera webbplatser ett videoklipp i vilket det bland annat förekommer en person som imiterar A, utan A gett sitt samtycke till detta.
14. Trots att A motsatte sig framtagningen och spridningen av detta videoklipp, har den fortsatt varit tillgänglig online. Konsumentskyddsmyndigheten avslog dessutom A:s uttryckliga begäran att denna spridning skulle upphöra och hans skadeståndsanspråk i anledning av att hans anseende hade skadats.
15. A väckte då talan vid administratīvā rajona tiesa (Förvaltningsdomstolen i första instans, Lettland) och yrkade dels att det skulle fastställas att Konsumentskyddsmyndigheten hade agerat rättsstridigt genom att utan tillstånd använda och sprida A:s personuppgifter, dels att A skulle erhålla ersättning för immateriell skada i form av framförande av en ursäkt och ett skadestånd på 2000 euro. Efter att ha slagit fast att dessa ageranden var rättsstridiga, ålade nämnda domstol Konsumentskyddsmyndigheten att upphöra med agerandena och att offentligt be A om ursäkt samt att betala ett skadestånd på 100 euro till A som ersättning för den immateriella skada han lidit.
16. Efter överklagande fastställde Administratīvā apgabaltiesa (Regionala förvaltningsdomstolen, Lettland), i dom av den 20 maj 2023, att Konsumentskyddsmyndighetens behandling av personuppgifter med stöd av artikel 6 i dataskyddsförordningen var olaglig. Med tillämpning av artikel 14 i 2005 års lag ålade nämnda domstol Konsumentskyddsmyndigheten att upphöra med agerandet samt att offentliggöra en ursäkt på de webbplatser som hade spridit videoklippet. Däremot ogillade nämnda domstol yrkandet om ekonomisk ersättning för den immateriella skada som A hade lidit. Härvidlag fann den nationella domstolen bland annat att åsidosättandet inte varit allvarligt, eftersom syftet med videoklippet var att utföra en uppgift av allmänt intresse och inte att skada A:s anseende, heder och värdighet. Vidare ansåg nämnda domstol att åsidosättandet berodde på att Konsumentskyddsmyndigheten hade gjort en felaktig tolkning av komplexa lagbestämmelser.
17. I sitt överklagande till Augstākā tiesa (Senāts) (Högsta domstolen, Lettland), som är den hänskjutande domstolen i förevarande mål, har A bestritt denna dom i den del han nekats ekonomisk ersättning för immateriell skada. A har i huvudsak gjort gällande att domstolen i andra instans gjorde en felaktig bedömning av hur allvarligt åsidosättandet av hans rättigheter var och av den skada som detta åsidosättande hade orsakat. Han har även gjort gällande att en ersättning i form av framförandet av en ursäkt varken är rättvis eller lämplig mot bakgrund av artikel 82 i dataskyddsförordningen.
18. För det första anser den hänskjutande domstolen, mot bakgrund av domen av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) ( C‑300/21, EU:C:2023:370) (nedan kallad domen Österreichische Post), att artikel 82 i dataskyddsförordningen inte gör det möjligt att besluta om ersättning för ett åsidosättande av denna förordning utan att det först har fastställts att det föreligger en skada som orsakats av detta åsidosättande. Enligt den hänskjutande domstolen har domstolen i andra instans i förevarande fall åsidosatt artikel 82 genom att besluta om sådan ersättning utan att ha konstaterat att A:s anseende, heder och värdighet hade kränkts. Den hänskjutande domstolen vill i detta sammanhang få klarhet i huruvida en olaglig behandling av personuppgifter, mot bakgrund av artikel 1.2 i dataskyddsförordningen och skälen 75, 85 och 146 däri, i sig kan utgöra en kränkning av den grundläggande rätten till skydd av personuppgifter, vilken garanteras i artikel 8.1 i stadgan, och följaktligen utgöra en ”skada” i den mening som avses i nämnda artikel 82, även när det inte har visats att den registrerades anseende, heder eller värdighet har skadats.
19. För det andra vill den hänskjutande domstolen få klarhet angående skälig ersättning för en immateriell skada enligt artikel 82.1 i dataskyddsförordningen, såsom den tolkats i dom av den 4 maj 2023, Österreichische Post ( C‑300/21, EU:C:2023:370). Den hänskjutande domstolen vill få klarhet i huruvida skyldigheten att framföra en ursäkt till den skadelidande, som enligt lettisk rätt kan utgöra en självständig eller kompletterande form av ersättning, i vissa fall kan anses utgöra en tillräcklig ersättning med avseende på nämnda artikel 82.1.
20. För det tredje vill den hänskjutande domstolen, mot bakgrund av punkt 58 i domen Österreichische Post, få klarhet i huruvida artikel 82.1 i dataskyddsförordningen gör det möjligt att vid bedömningen av formen och storleken på den ersättning som denna bestämmelse ger rätt till beakta omständigheter som omgav, eller till och med motiverade, agerandet hos den som gjort sig skyldig till överträdelsen av bestämmelserna i denna förordning.
21. Mot denna bakgrund beslutade Augstākā tiesa (Senāts) (Högsta domstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1) Ska artikel 82.1 i [dataskyddsförordningen] tolkas så, att en olaglig behandling av personuppgifter, som utgör ett åsidosättande [av denna förordning], i sig kan utgöra en oberättigad kränkning av en persons subjektiva rätt till skydd av personuppgifter och en skada för denna person?
2) Ska artikel 82.1 i [dataskyddsförordningen] tolkas så, att den tillåter att en skyldighet att be om ursäkt åläggs som enda kompensation för en immateriell skada när det inte finns någon möjlighet att återställa den situation som rådde innan skadan uppkom?
3) Ska artikel 82.1 i [dataskyddsförordningen] tolkas så, att den tillåter att omständigheter som visar den personuppgiftsansvariges avsikt och motiv (exempelvis behovet av att utföra en uppgift av allmänt intresse, att det inte fanns någon avsikt att skada den enskilde eller svårigheter att förstå de tillämpliga bestämmelserna) kan utgöra grund för att fastställa en lägre ersättning för sådan skada?”
Prövning av tolkningsfrågorna
Den första frågan
22. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen, jämförd med artikel 8.1 i stadgan, ska tolkas så, att ett åsidosättande av bestämmelserna i denna förordning är tillräckligt i sig för att utgöra en skada i den mening som avses i nämnda artikel 82.1.
23. I artikel 82.1 i dataskyddsförordningen anges att ”[v]arje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan”.
24. Domstolen har vid upprepade tillfällen tolkat denna artikel 82.1 så, att enbart ett åsidosättande av denna förordning inte är tillräckligt för att ge rätt till ersättning baserat på denna bestämmelse, eftersom förekomsten av en materiell eller immateriell ”skada” som har ”lidits” utgör ett av villkoren för den rätt till ersättning som föreskrivs i nämnda bestämmelse, liksom att det ska föreligga en överträdelse av bestämmelserna i nämnda förordning och ett orsakssamband mellan denna skada och denna överträdelse, varvid dessa tre villkor är kumulativa. Den som begär ersättning för en immateriell skada med stöd av denna bestämmelse är således skyldig att visa inte bara att bestämmelserna i denna förordning har åsidosatts, utan även att denna överträdelse har orsakat vederbörande en sådan skada (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 32, 33, 42 och 50, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 41 och 42, och dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkterna 22, 24, 25 och 27).
25. Eftersom dessa tre kumulativa villkor är nödvändiga och tillräckliga för att ha rätt till ersättning i den mening som avses i artikel 82.1 i dataskyddsförordningen (dom av den 14 december 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punkt 14), kan denna rätt inte villkoras av att det ytterligare visas att den registrerade, såsom denne definieras i artikel 4 led 1 i förordningen, har utsatts för ett oberättigat ingrepp i det rättsliga intresse som förordningen syftar till att skydda, det vill säga en sådan persons rätt till skydd av sina personuppgifter.
26. Vidare har domstolen understrukit att även om den bestämmelse i dataskyddsförordningen som har åsidosatts skulle ge fysiska personer rättigheter, kan ett sådant åsidosättande inte i sig utgöra en ”immateriell skada”, i den mening som avses i förordningen, och grunda en rätt till ersättning enligt denna förordning, eftersom det enligt förordningen krävs att även de två andra villkor som det erinrats om i punkt 24 ovan är uppfyllda (se, för ett liknande resonemang, dom av den 11 april 2024, juris, C‑741/21, EU:C:2024:288, punkt 40).
27. Denna tolkning av artikel 82.1 i dataskyddsförordningen stöds av skälen 75, 85 och 146 i förordningen. Av dessa skäl följer nämligen, för det första, att uppkomsten av en skada inom ramen för en olaglig behandling av personuppgifter endast är en potentiell, och inte automatisk, konsekvens av en sådan behandling, för det andra, att ett åsidosättande av dataskyddsförordningen inte nödvändigtvis medför en skada och, för det tredje, att det måste finnas ett orsakssamband mellan den ifrågavarande överträdelsen och den skada som den registrerade har lidit för att rätt till ersättning ska föreligga (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkt 37).
28. Denna tolkning kan således säkerställa skyddet av personuppgifter som en grundläggande rättighet som stadfästs i artikel 8.1 i stadgan, till vilken det hänvisas i skäl 1 i dataskyddsförordningen.
29. Mot bakgrund av ovanstående ska den första frågan besvaras enligt följande: Artikel 82.1 i dataskyddsförordningen, jämförd med artikel 8.1 i stadgan, ska tolkas så, att ett åsidosättande av bestämmelserna i denna förordning inte är tillräckligt i sig för att utgöra en skada i den mening som avses i nämnda artikel 82.1.
Den andra frågan
30. Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen ska tolkas så, att framförandet av en ursäkt kan utgöra lämplig ersättning för en immateriell skada med stöd av denna bestämmelse, bland annat när det är omöjligt att återställa den situation som rådde innan skadan uppkom.
31. Enligt fast rättspraxis ankommer det på varje medlemsstat att i sin rättsordning fastställa de processuella regler som gäller för taleformer som syftar till att säkerställa skyddet av enskildas rättigheter, enligt principen om processuell autonomi. Dessa regler får emellertid, i fall som omfattas av unionsrätten, varken vara mindre förmånliga än dem som reglerar liknande nationella situationer (likvärdighetsprincipen) eller medföra att det i praktiken blir omöjligt eller orimligt svårt att utöva rättigheter som följer av unionsrätten (effektivitetsprincipen) (dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkt 53, och dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 32).
32. Eftersom dataskyddsförordningen inte innehåller någon bestämmelse som syftar till att fastställa regler för bedömningen av skadestånd som ska utgå enligt den rätt till ersättning som föreskrivs i artikel 82 i förordningen, ska i förevarande fall de nationella domstolarna, vid denna bedömning tillämpa varje medlemsstats interna bestämmelser om den ekonomiska ersättningens omfattning, under förutsättning att principerna om likvärdighet och effektivitet i unionsrätten iakttas (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 54 och 59, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 27 och 33, och dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 40).
33. Vad gäller iakttagandet av likvärdighetsprincipen har domstolen inte tagit del av några uppgifter som tyder på att nämnda princip skulle kunna ha någon konkret inverkan i det nationella målet.
34. Såvitt gäller iakttagandet av effektivitetsprincipen innebär den omständigheten att rätten till ersättning enligt artikel 82 i dataskyddsförordningen uteslutande fungerar som kompensation att de kriterier som ska användas för att bedöma den ersättning som denna artikel ger rätt till ska fastställas i varje medlemsstats rättsordning, varvid denna ersättning ska vara full och effektiv utan att det för en sådan fullständig ersättning är nödvändigt att utkräva skadestånd med en bestraffande funktion (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 57 och 58, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 23, 24, 35, 36 och 43, och dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 42).
35. Domstolen har dessutom medgett att en nationell domstol, när den skada som den registrerade har lidit inte är allvarlig, kan kompensera skadan genom att bevilja denna person en ersättning med ett ringa belopp, förutsatt att det låga skadeståndsbelopp som således beviljas fullt ut kompenserar skadan, vilket det ankommer på den hänskjutande domstolen att kontrollera (se, för ett liknande resonemang, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 46).
36. Artikel 82.1 i dataskyddsförordningen utgör inte heller hinder för att en ursäkt kan utgöra en självständig eller kompletterande ersättning för en immateriell skada, såsom i förevarande fall föreskrivs i artikel 14 i 2005 års lag, under förutsättning att en sådan form av ersättning är förenlig med likvärdighetsprincipen och effektivitetsprincipen, i synnerhet eftersom den ska göra det möjligt att fullt ut kompensera den immateriella skada som faktiskt har lidits till följd av åsidosättandet av denna förordning, vilket det ankommer på den nationella domstolen att pröva mot bakgrund av omständigheterna i varje enskilt fall.
37. Mot bakgrund av ovanstående ska den andra frågan besvaras enligt följande: Artikel 82.1 dataskyddsförordningen ska tolkas så, att framförandet av en ursäkt kan utgöra lämplig ersättning för en immateriell skada med stöd av denna bestämmelse, bland annat när det är omöjligt att återställa den situation som rådde innan skadan uppkom. Detta gäller dock under förutsättning att denna form av ersättning fullt ut kompenserar den skada som den registrerade lidit.
Den tredje frågan
38. Den hänskjutande domstolen har ställt den tredje frågan för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen ska tolkas så, att den utgör hinder för att den personuppgiftsansvariges hållning och motiv beaktas i syfte att, i förekommande fall, bevilja den registrerade en ersättning som är lägre än den faktiska skada som vederbörande har lidit.
39. För det första framgår det av artikel 83 i dataskyddsförordningen, jämförd med skäl 148 i förordningen, att det vid beslut om huruvida en administrativ sanktionsavgift ska påföras och vid fastställandet av sanktionsavgiftens belopp bland annat ska tas hänsyn till kriterier som rör den personuppgiftsansvariges hållning och motiv, såsom en ”försvårande eller förmildrande faktor”. Dessa kriterier nämns däremot inte i artikel 82 i förordningen, och för övrigt inte heller i skäl 146 i förordningen, som särskilt avser rätten till ersättning enligt artikel 82.
40. Avsaknaden av en hänvisning till sådana kriterier motiveras av att artikel 82 i dataskyddsförordningen uteslutande fyller en kompenserande funktion, eftersom en ersättning, i synnerhet ekonomisk sådan, med stöd av artikel 82 ska göra det möjligt att fullt ut kompensera den lidna skadan, till skillnad från andra bestämmelser i förordningen som också återfinns i kapitel VIII i förordningen, nämligen artiklarna 83 och 84. Dessa bestämmelser har huvudsakligen ett bestraffande syfte, eftersom de gör det möjligt att ålägga administrativa sanktionsavgifter och andra sanktioner (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punkterna 38 och 40, och dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkt 22).
41. Med hänsyn till skillnaderna i ordalydelse och syfte mellan artikel 82 i dataskyddsförordningen, jämförd med skäl 146 i samma förordning, och artikel 83 i förordningen, jämförd med skäl 148 i förordningen, kan således de bedömningskriterier som särskilt anges i artikel 83 inte anses gälla i tillämpliga delar inom ramen för artikel 82 (dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 43 och där angiven rättspraxis). Detta konstaterande gäller särskilt för fastställandet av storleken på det skadestånd som ska betalas som ersättning för en skada som grundas på nämnda artikel 82 (se, för ett liknande resonemang, dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkterna 39 och 44) och, mer allmänt, för att fastställa formen, ekonomisk eller annan, och storleken på en sådan ersättning.
42. För det andra utgör den omständigheten att den rätt till ersättning som föreskrivs i artikel 82.1 dataskyddsförordningen uteslutande fungerar som kompensation hinder för att det vad gäller ersättning för skada på grundval av denna bestämmelse tas hänsyn till allvaret i den personuppgiftsansvariges överträdelse av förordningen och till huruvida överträdelsen eventuellt har skett uppsåtligen (se, för ett liknande resonemang, dom av den 20 juni 2024, Scalable Capital, C‑182/22 och C‑189/22, EU:C:2024:531, punkterna 28–30).
43. Med hänsyn till att rätten till ersättning enbart fyller en kompenserande, och inte bestraffande, funktion, kan allvaret i ett sådant åsidosättande inte påverka storleken på det skadestånd som beviljas med stöd av artikel 82.1 och detta belopp kan inte fastställas till en nivå som överstiger full ersättning för denna skada (se, för ett liknande resonemang, dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkt 41 och där angiven rättspraxis). Endast den faktiska skada som den registrerade har lidit ska beaktas vid fastställandet av storleken på en sådan ekonomisk ersättning (se, för ett liknande resonemang, dom av den 11 april 2024, juris, C‑741/21, EU:C:2024:288, punkt 64).
44. På samma sätt skulle den uteslutande kompensatoriska funktionen som artikel 82.1 har inte iakttas om den personuppgiftsansvariges hållning och motiv beaktades vid fastställandet av formen för den ersättning som beviljas med stöd av denna bestämmelse eller för att bevilja en ersättning som är ”lägre än” den fullständiga ersättningen för den skada som den registrerade har lidit, såsom den hänskjutande domstolen har övervägt i förevarande mål.
45. Mot bakgrund av ovanstående ska den tredje frågan besvaras enligt följande: Artikel 82.1 i dataskyddsförordningen ska tolkas så, att den utgör hinder för att den personuppgiftsansvariges hållning och motiv beaktas i syfte att, i förekommande fall, bevilja den registrerade en ersättning som är lägre än den faktiska skada som vederbörande har lidit.
Rättegångskostnader
46. Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (åttonde avdelningen) följande:
1) Artikel 82.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), jämförd med artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna, ska tolkas så, att ett åsidosättande av bestämmelserna i denna förordning inte är tillräckligt i sig för att utgöra en skada i den mening som avses i nämnda artikel 82.1.
2) Artikel 82.1 i förordning 2016/679 ska tolkas så, att framförandet av en ursäkt kan utgöra lämplig ersättning för en immateriell skada med stöd av denna bestämmelse, bland annat när det är omöjligt att återställa den situation som rådde innan skadan uppkom. Detta gäller dock under förutsättning att denna form av ersättning fullt ut kompenserar den skada som den registrerade lidit.
3) Artikel 82.1 i förordning 2016/679 ska tolkas så, att den utgör hinder för att den personuppgiftsansvariges hållning och motiv beaktas i syfte att, i förekommande fall, bevilja den registrerade en ersättning som är lägre än den faktiska skada som vederbörande har lidit.
1 Rättegångsspråk: lettiska.