CJUE: Încălcarea GDPR nu este suficientă în sine pentru a vorbi de un prejudiciu și a da dreptul la despăgubiri. Scuzele pot constitui o reparație însă

În cauza C‑507/23, Curtea stabilește că o încălcare a GDPR nu este suficientă pentru a demonstra un prejudiciu, că scuzele pot fi o despăgubire adecvată, dar că intenția operatorului nu trebuie luată în considerare la stabilirea despăgubirilor. Pe scurt, un jurnalist din Letonia a dat în judecată Centrul pentru Protecția Drepturilor Consumatorilor (PTAC) pentru utilizarea imaginii sale fără consimțământ într-o campanie publicitară. Instanțele naționale au constatat că PTAC a încălcat GDPR, dar au refuzat să acorde despăgubiri pecuniare, limitându-se la obligarea PTAC să-și prezinte scuze. 

Curtea Supremă din Letonia a adresat CJUE trei întrebări preliminare referitoare la interpretarea art. 82 alin. (1) din GDPR:

1. Este suficientă încălcarea GDPR pentru a constitui un prejudiciu care să dea dreptul la despăgubiri?
2. Poate prezentarea de scuze să fie considerată o despăgubire adecvată pentru prejudiciul moral?
3. Pot fi luate în considerare atitudinea și motivația operatorului pentru a acorda o despăgubire mai mică?

„Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit”, stabilește prevederea în cauză.

CJUE a confirmat că încălcarea GDPR nu este suficientă prin sine însăși pentru a constitui un prejudiciu. CJUE a subliniat că, pentru a avea dreptul la despăgubiri, trebuie demonstrate cumulativ trei condiții: existența unei încălcări a GDPR, existența unui prejudiciu material sau moral și existența unei legături de cauzalitate între încălcare și prejudiciu. Aceste trei condiții sunt necesare și suficiente pentru a avea dreptul la despăgubiri. De asemenea, este important de reținut că o încălcare a GDPR, chiar dacă aceasta ar acorda drepturi persoanelor fizice, nu poate fi considerată, în sine, un „prejudiciu moral” și nu poate justifica un drept la despăgubiri, dacă nu sunt îndeplinite și celelalte două condiții.

Mai departe, Curtea a precizat că statele membre pot stabili modalitățile de reparare a prejudiciului moral, dar acestea trebuie să respecte principiile echivalenței (cu alte forme de despăgubire disponibile în dreptul intern pentru situații similare) și efectivității în a compensa integral prejudiciul moral suferit de persoana vizată. Scuzele, fie ele scrise sau publice, pot constitui o reparație autonomă sau complementară, dar „prezentarea de scuze poate constitui o despăgubire adecvată a unui prejudiciu moral (...) cu condiția ca această formă de despăgubire să fie de natură să compenseze integral prejudiciul suferit de persoana vizată”.

CJUE a explicat că funcția art. 82 alin. (1) din GDPR este exclusiv compensatorie, spre deosebire de alte dispoziții din GDPR care au o finalitate punitivă: „articolul 82 alineatul (1) din RGPD se opune ca atitudinea și motivația operatorului să poată fi luate în considerare pentru a acorda, dacă este cazul, persoanei vizate o despăgubire inferioară prejudiciului pe care l‑a suferit în mod concret”.