T-354/22

62022TJ0354

ROZSUDOK

VŠEOBECNÉHO SÚDU (šiesta rozšírená komora)

z 8. januára 2025 ( *1 )

[Znenie opravené uznesením z 3. júna 2025]

„Spracúvanie osobných údajov – Ochrana fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie – Nariadenie (EÚ) 2018/1725 – Pojem ‚prenos osobných údajov do tretej krajiny‘ – Prenos údajov pri návšteve webového sídla – EU Login – Žaloba o neplatnosť – Akt, ktorý nie je možné napadnúť žalobou – Neprípustnosť – Žaloba na nečinnosť – Vyjadrenie, ktoré ukončuje nečinnosť – Zastavenie konania – Žaloba o náhradu škody – Dostatočne závažné porušenie právnej normy, ktorá priznáva práva jednotlivcom – Príčinná súvislosť – Nemajetková ujma“

Vo veci T‑354/22,

v zložení: predsedníčka komory M. J. Costeira (spravodajkyňa), sudcovia M. Kănčeva, U. Öberg, P. Zilgalvis a E. Tichy‑Fisslberger,

tajomník: S. Jund, referentka,

so zreteľom na písomnú časť konania,

so zreteľom na opatrenie na zabezpečenie priebehu konania z 21. júla 2023 a odpovede Komisie a žalobcu podané do kancelárie Všeobecného súdu 7. a 8. septembra 2023,

po pojednávaní zo 17. októbra 2023,

so zreteľom na opatrenie na zabezpečenie priebehu konania z 9. februára 2024 a odpovede Komisie a žalobcu podané do kancelárie Všeobecného súdu 12. a 13. marca 2024,

Žalobca je nemecký občan, ktorý sa zaujíma o témy v oblasti IT a ochrany osobných údajov.

3

Generálne riaditeľstvo Komisie pre komunikáciu je zodpovedné za spracúvanie osobných údajov na účely webového sídla Konferencie o budúcnosti Európy na adrese „https://futureu.europa.eu“ (ďalej len „webové sídlo KBE“).

4

Žalobca v priebehu rokov 2021 a 2022 niekoľkokrát navštívil webové sídlo KBE. Toto webové sídlo navštívil najmä 30. marca 2022 a zaregistroval sa na podujatie „GoGreen“, ktoré sa na ňom uvádzalo, prostredníctvom svojho účtu na Facebooku, a 8. júna 2022 opäť navštívil uvedené webové sídlo.

5

8

[Opravené uznesením z 3. júna 2025] E‑mailom z 1. apríla 2022 žalobca požiadal Komisiu podľa nariadenia 2018/1725 o informácie o spracúvaní jeho údajov (ďalej len „žiadosť o informácie z 1. apríla 2022“). Po prvé uviedol, že si všimol, že keď sa prihlásil na webové sídlo KBE, bolo vytvorené spojenie s poskytovateľmi, ktorí sú tretími stranami, ako je AWS EMEA, a že spojenie so spoločnosťou Meta Platforms bolo vytvorené, keď použil svoje prihlasovacie údaje na Facebooku na registráciu na tomto webovom sídle. Po druhé požiadal, aby mu bolo oznámené, ktoré jeho osobné údaje boli spracované alebo uchované a ktoré boli prípadne prenesené tretím osobám. Po tretie požiadal o informácie o právnom základe takéhoto prenosu, ako aj o existencii prípadných záruk týkajúcich sa prenosu do tretích krajín, ktoré nemajú primeranú úroveň ochrany. Po štvrté požiadal o kópiu svojich údajov, vrátane údajov uchovávaných alebo spracúvaných tretími osobami, ako je Facebook.

9

E‑mailmi z 22. apríla a 2. mája 2022 žalobca trval na tom, aby mu Komisia poskytla odpoveď na žiadosť o informácie z 1. apríla 2022.

10

Návrhom podaným do kancelárie Všeobecného súdu 9. júna 2022 žalobca podal túto žalobu.

Žalobca navrhuje, aby Všeobecný súd:

–

zrušiť prenosy jeho osobných údajov do tretích krajín, ktoré nemajú primeranú úroveň ochrany, ku ktorým došlo 30. marca a 8. júna 2022,

–

konštatoval, že Komisia konala protiprávne, keď nezaujala stanovisko k žiadosti o informácie z 1. apríla 2022,

–

zamietol návrhy na zrušenie a návrhy na určenie nečinnosti ako neprípustné,

–

subsidiárne vyhlásil, že konanie o návrhoch na určenie nečinnosti sa zastavuje,

–

zamietol návrhy na náhradu škody ako nedôvodné,

–

Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 ) definuje všeobecné pravidlá na ochranu fyzických osôb pri spracúvaní osobných údajov a na zabezpečenie voľného pohybu osobných údajov (článok 1 ods. 1 nariadenia 2016/679).

17

Nariadenie 2018/1725 stanovuje pravidlá týkajúce sa ochrany fyzických osôb so zreteľom na spracúvanie osobných údajov inštitúciami a orgánmi Únie a pravidlá týkajúce sa voľného pohybu osobných údajov medzi nimi alebo smerom k iným príjemcom, ktorí sú usadení v Únii (článok 1 ods. 1 nariadenia 2018/1725). Týmto nariadením sa chránia základné práva a slobody fyzických osôb, a najmä ich právo na ochranu osobných údajov (článok 1 ods. 2 nariadenia 2018/1725). Toto nariadenie sa uplatňuje na spracúvanie osobných údajov všetkými inštitúciami a orgánmi Únie (článok 2 ods. 1 nariadenia 2018/1725).

18

Odôvodnenie

5 nariadenia 2018/1725 pripomína, že v súlade s judikatúrou Súdneho dvora ak ustanovenia nariadenia 2018/1725 vychádzajú z rovnakých princípov ako ustanovenia nariadenia (2016/679, mali by sa obe ustanovenia vykladať rovnako, najmä preto, že režim nariadenia 2018/1725 by sa mal považovať za ekvivalent režimu nariadenia 2016/679. V tejto súvislosti z výkladu ustanovení článku 2 ods. 3 nariadenia 2016/679 v spojení s článkom 99 nariadenia 2018/1725 ďalej vyplýva, že toto posledné uvedené nariadenie je prispôsobené zásadám a pravidlám nariadenia 2016/679.

21

Žalobca uvádza, že návrh na zrušenie je prípustný, pričom tvrdí, že sporné prenosy sú akty, ktoré vyvolávajú záväzné právne účinky a ovplyvňujú jeho právne postavenie tým, že zasahujú do jeho základného práva na ochranu osobných údajov zaručeného článkom 8 Charty. Akýkoľvek iný výklad by bol nezlučiteľný so základným právom na účinnú súdnu ochranu, zatiaľ čo článok 64 ods. 1 nariadenia 2018/1725 toto právo výslovne uznáva.

22

Ako sa pripomína v článku 64 ods. 1 a odôvodnení 79 nariadenia 2018/1725, každý má právo na účinný súdny prostriedok nápravy pred Súdnym dvorom Európskej únie v súlade so Zmluvami, ak sa domnieva, že boli porušené jeho práva podľa uvedeného nariadenia.

23

Z toho vyplýva, že v rámci nariadenia 2018/1725 má každá dotknutá osoba najmä právo podať žalobu o neplatnosť za podmienok stanovených v článku 263 ZFEÚ.

27

V druhom rade, keď sa žalobca 30. marca 2022 prihlásil do služby Komisie na overovanie používateľov EU Login prostredníctvom svojho účtu na Facebooku, aby sa zaregistroval na podujatie „GoGreen“ na webovom sídle KBE (ďalej len „sporný prenos pri prihlásení do EU Login 30. marca 2022“), boli jeho osobné údaje, najmä jeho IP adresa, ako aj informácie o jeho prehliadači a termináli, prenesené americkej spoločnosti Meta Platforms, Inc.

28

V treťom rade pri návštevách webového sídla KBE zo strany žalobcu 8. júna 2022 (ďalej len „sporný prenos pri návštevách webového sídla KBE 8. júna 2022“) boli jeho osobné údaje údajne prenesené na server spoločnosti Amazon CloudFront nachádzajúci sa v Newarku (New Jersey, Spojené štáty).

29

Okrem toho žalobca vo svojej žalobe uvádza, že 9. novembra 2021 sa pripojil na webové sídlo KBE a že sa v tento deň zaregistroval na webovom sídle KBE prostredníctvom svojho účtu na Facebooku. Neuvádza však nijakú konkrétnu skutočnosť, ktorá by umožňovala dospieť k záveru, že na tieto okolnosti sa vzťahuje jeho návrh na zrušenie sporných prenosov. Treba teda zohľadniť len sporné prenosy uvedené v bodoch 26 až 28 vyššie.

33

V prejednávanej veci je za predpokladu, že by sa sporné prenosy preukázali, potrebné konštatovať, že ide o materiálne úkony, a nie právne akty. Sporné prenosy, ako sú opísané v žalobe, sú totiž IT operáciami migrácie údajov z jedného terminálu alebo z jedného servera na iný, ktoré vyplývajú z interakcií medzi žalobcom a IT systémami alebo službami Komisie pri jeho návštevách webového sídla KBE alebo služby EU Login. Naproti tomu sporné prenosy nie sú aktmi Komisie so záväznými právnymi účinkami, teda ich cieľom nie je upraviť právnu situáciu, a ako vyplýva z ich samotnej povahy, Komisia nemala vôbec v úmysle im takéto účinky priznať.

34

Sporné prenosy teda nemôžu mať záväzné právne účinky, ktoré by mohli ovplyvniť záujmy žalobcu tým, že by spôsobili podstatnú zmenu jeho právneho postavenia v súlade s judikatúrou uvedenou v bode 24 vyššie. Nemožno ich teda považovať za napadnuteľné akty v zmysle článku 263 ZFEÚ.

35

Z toho vyplýva, že návrhy žalobcu na zrušenie sa musia zamietnuť ako neprípustné.

Žalobca v podstate tvrdí, že Komisia je stále povinná odpovedať na žiadosť o informácie z 1. apríla 2022, keďže informácie, ktoré poskytla vo svojom e‑maile z 30. júna 2022, sú nedostatočné a nepresné.

39

Podľa ustálenej judikatúry je opravný prostriedok stanovený v článku 265 ZFEÚ založený na myšlienke, že protiprávna nečinnosť napadnutej inštitúcie umožňuje obrátiť sa na Súdny dvor Únie, aby vyhlásil, že nečinnosť je v rozpore so Zmluvou, ak dotknutá inštitúcia túto nečinnosť nenapravila (rozsudok z 12. júla 1988, Parlament/Rada, 377/87 , EU:C:1988:387 , bod 9 ; pozri tiež rozsudok zo 16. decembra 2015, Švédsko/Komisia, T‑521/14 , neuverejnený, EU:T:2015:976 , bod 33 a citovanú judikatúru).

40

V prípade ak je akt, ktorého nevydanie bolo predmetom sporu, prijatý po podaní žaloby, ale pred vyhlásením rozsudku, vyhlásenie súdu Únie konštatujúce protiprávnosť pôvodnej nečinnosti už nemôže viesť k dôsledkom stanoveným v článku 266 ZFEÚ. Z toho vyplýva, že v takom prípade predmet žaloby zanikol, v dôsledku čoho sa konanie zastaví (rozsudok z 12. júla 1988, Parlament/Rada, 377/87 , EU:C:1988:387 , body 10 a 11 ; pozri tiež uznesenie z 13. decembra 2000, Sodima/Komisia, C‑44/00 , EU:C:2000:686 , bod 83 a citovanú judikatúru).

41

44

Vo svojom treťom žalobnom návrhu žalobca podáva dva návrhy na náhradu škody. V prvom rade sa domáha zaplatenia 800 eur ako náhrady nemajetkovej ujmy, ktorú údajne utrpel z dôvodu, že Komisia nedodržala jeho právo na prístup k informáciám v rozpore s článkom 14 ods. 3 a 4 a článkom 17 ods. 1 a 2 nariadenia 2018/1725, ako aj z dôvodu nedodržania zásady transparentnosti stanovenej v článku 4 ods. 1 písm. a) uvedeného nariadenia. V druhom rade sa domáha zaplatenia 400 eur ako náhrady nemajetkovej ujmy, ktorú údajne utrpel v dôsledku sporných prenosov, ku ktorým došlo v rozpore s článkom 46, článkom 48 ods. 1 a článkom 48 ods. 2 písm. b) nariadenia 2018/1725.

45

Komisia navrhuje, aby boli návrhy na náhradu škody zamietnuté.

Úvodné poznámky k podmienkam vzniku mimozmluvnej zodpovednosti Únie v rámci nariadenia 2018/1725

46

Kumulatívna povaha týchto podmienok predpokladá, že ak jedna z nich nie je splnená, žaloba o náhradu škody sa musí zamietnuť v celom rozsahu bez toho, aby bolo potrebné preskúmať ostatné podmienky (rozsudok z 9. septembra 1999, Lucaccioni/Komisia, C‑257/98 P , EU:C:1999:402 , body 14 a 63 ; pozri tiež rozsudok z 25. februára 2021, Dalli/Komisia, C‑615/19 P , EU:C:2021:133 , bod 42 a citovanú judikatúru).

50

Pokiaľ ide o prvú podmienku, ustálená judikatúra vyžaduje, aby sa preukázalo dostatočne závažné porušenie právnej normy, ktorej cieľom je priznať práva jednotlivcom (pozri rozsudok zo 4. júla 2000, Bergaderm a Goupil/Komisia, C‑352/98 P , EU:C:2000:361 , bod 42 a citovanú judikatúru).

51

Táto požiadavka dostatočne závažného porušenia práva Únie má bez ohľadu na povahu dotknutého protiprávneho aktu za cieľ zabrániť tomu, aby hrozba povinnosti nahradiť škodu, ktorú údajne utrpeli dotknuté osoby, neobmedzovala schopnosť príslušnej inštitúcie vykonávať v plnom rozsahu a vo všeobecnom záujme svoje právomoci, a to tak v legislatívnej oblasti alebo v oblasti zahrňujúcej rozhodnutia hospodárskej politiky, ako aj vo sfére administratívnych právomocí tejto inštitúcie, a to bez toho, aby jednotlivci museli znášať dôsledky závažných a neospravedlniteľných porušení povinností (pozri v tomto zmysle rozsudok zo 14. decembra 2018, East West Consulting/Komisia, T‑298/16 , EU:T:2018:967 , bod 124 a citovanú judikatúru).

52

Z toho vyplýva, že záver o vzniku zodpovednosti Spoločenstva umožňuje vyvodiť len také zistenie pochybenia, ktorého by sa za podobných okolností nedopustil primerane prezieravý a starostlivý správny orgán. Súd Únie preto musí potom, ako konštatuje, či dotknutá inštitúcia disponuje voľnou úvahou, vziať do úvahy komplexnosť situácie, ktorá sa má vyriešiť, ťažkosti pri uplatňovaní alebo výklade textov, stupeň jasnosti a presnosti porušenej normy, ako aj úmyselný alebo neospravedlniteľný charakter pochybenia, ku ktorému došlo (rozsudok z 3. marca 2010, Artegodan/Komisia, T‑429/05 , EU:T:2010:60 , bod 62 ).

54

Pokiaľ ide o podmienku týkajúcu sa existencie ujmy, táto ujma musí byť skutočná a určitá, čo musí preukázať žalobca (pozri rozsudok z 9. novembra 2006, Agraz a i./Komisia, C‑243/05 P , EU:C:2006:708 , bod 27 a citovanú judikatúru). Naproti tomu čisto hypotetická a neurčitá škoda nezakladá právo na náhradu škody (pozri rozsudok z 26. októbra 2011, Dufour/ECB, T‑436/09 , EU:T:2011:634 , bod 192 , a citovanú judikatúru).

55

Pokiaľ ide o podmienku týkajúcu sa príčinnej súvislosti, týka sa existencie dostatočne priamej príčinnej súvislosti medzi vytýkaným konaním inštitúcie a škodou, pričom túto súvislosť musí preukázať žalobca tak, že vytýkané konanie musí byť rozhodujúcou príčinou ujmy (pozri rozsudok z 13. decembra 2018, Európska únia/ASPLA a Armando Álvarez, C‑174/17 P a C‑222/17 P , EU:C:2018:1015 , bod 23 a citovanú judikatúru).

56

59

Vo svojom prvom návrhu na náhradu škody sa žalobca domáha toho, aby bola Komisii uložená povinnosť zaplatiť mu sumu 800 eur ako náhradu nemajetkovej ujmy, ktorú utrpel v dôsledku porušenia jeho práva na prístup k informáciám.

60

V prvom rade žalobca vytýka Komisii, že neodpovedala na žiadosť o informácie z 1. apríla 2022 v stanovenej lehote a že mu neoznámila dôvody svojej nečinnosti, čím porušila článok 14 ods. 3 a 4 a článok 17 ods. 1 a 2 nariadenia 2018/1725, ako aj zásadu transparentnosti stanovenú v článku 4 ods. 1 písm. a) toho istého nariadenia. Okrem toho Komisia nedodržala článok 17 ods. 1 písm. c) a článok 17 ods. 2 nariadenia 2018/1725, keďže vyhlásenie o ochrane súkromia, ktoré je uvedené na webovom sídle KBE, neobsahuje informácie týkajúce sa prenosu osobných údajov do tretích krajín a prípadných primeraných záruk na účely uvedeného prenosu, ako to vyžaduje článok 48 uvedeného nariadenia. Navyše v e‑maile z 3. decembra 2021 Komisia poskytla nesprávne informácie, keďže poprela prenos osobných údajov žalobcu príjemcom nachádzajúcim sa v Spojených štátoch.

61

Žalobca ďalej tvrdí, že zavinená nečinnosť Komisie mu zabránila kontrolovať spracúvanie jeho osobných údajov, čo predstavuje nemajetkovú ujmu v zmysle odôvodnenia 46 nariadenia 2018/1725. Napokon tvrdí, že táto nemajetková ujma, ktorú odhaduje na 800 eur, je priamo spôsobená protiprávnym konaním Komisie.

65

Okrem toho článok 14 ods. 3 nariadenia 2018/1725 stanovuje lehotu jedného mesiaca pre prevádzkovateľa osobných údajov, aby odpovedal na žiadosti o informácie. Navyše článok 14 ods. 4 tohto nariadenia ukladá prevádzkovateľovi osobných údajov, aby v prípade, že na základe žiadosti dotknutej osoby neprijme opatrenia, najneskôr do jedného mesiaca od doručenia žiadosti informoval dotknutú osobu o dôvodoch nekonania a o možnosti podania sťažnosti Európskemu dozornému úradníkovi pre ochranu údajov (EDPS) a uplatnenia súdneho prostriedku nápravy. Tieto ustanovenia sú teda pravidlami správneho konania, ktoré prispievajú k uplatňovaniu práva na prístup k informáciám o osobných údajoch dotknutej osoby tým, že ho konkretizujú a upravujú. Tieto ustanovenia navyše prispievajú ku konkretizácii práva priznaného každému podľa článku 41 Charty, aby inštitúcie a orgány Únie vybavovali jeho záležitosti v primeranej lehote.

66

Ustanovenia článku 4 ods. 1 písm. a), článku 14 ods. 3 a 4 a článku 17 ods. 1 písm. c) nariadenia 2018/1725, vykladané spoločne, teda predstavujú právne normy, ktorých cieľom je priznať práva jednotlivcom v zmysle judikatúry uvedenej v bode 50 vyššie.

67

Ďalej treba preskúmať, či je v prejednávanej veci preukázané porušenie týchto ustanovení Komisiou.

71

V každom prípade v prejednávanej veci zo znenia uvedeného vyhlásenia o ochrane súkromia, pripojeného k žalobe, vyplýva, že toto vyhlásenie obsahuje informácie o príjemcoch alebo kategóriách príjemcov, ktorým boli alebo budú osobné údaje sprístupnené. V bode 7 uvedeného vyhlásenia sa najmä uvádza, že prístup k údajom sa „poskytuje oprávneným zamestnancom [Komisie] a jej zmluvným partnerom povereným vykonaním dotknutého spracúvania v súlade so zásadou ‚need‑to‑know‘ (potreba poznať)“. Okrem toho tvrdenie žalobcu založené na tom, že uvedené vyhlásenie neobsahuje informácie o prenose osobných údajov príjemcom usadeným v tretích krajinách, je založené na predpoklade, že návšteva webového sídla KBE zahŕňa prenos osobných údajov používateľov do tretej krajiny. Tento návrh na náhradu škody je však založený na porušení práva na prístup k informáciám, a nie na porušení ustanovení týkajúcich sa prenosu osobných údajov do tretích krajín, ktoré je okrem iného základom druhého návrhu na náhradu škody.

72

V prejednávanej veci sa teda nepreukázalo, že Komisia porušila článok 17 ods. 1 písm. c) a článok 17 ods. 2 nariadenia 2018/1725, pokiaľ ide o vyhlásenie o ochrane súkromia, ktoré je uvedené na webovom sídle KBE.

73

Na druhej strane žalobca Komisii vytýka, že neodpovedala na žiadosť o informácie z 1. apríla 2022 v stanovenej lehote a že mu neoznámila dôvody jej nečinnosti, čím porušila článok 14 ods. 3 a 4 a článok 17 ods. 1 a 2 nariadenia 2018/1725, ako aj zásadu transparentnosti. Komisia mu navyše v e‑maile z 3. decembra 2021 poskytla nesprávne informácie.

77

Pokiaľ ide o výhradu žalobcu založenú na porušení článku 14 ods. 3 a 4 nariadenia 2018/1725, zo spisu vyplýva, že Komisia odpovedala na žiadosť o informácie z 9. novembra 2021 v lehote jedného mesiaca stanovenej v článku 14 ods. 3 nariadenia 2018/1725 (pozri body 5 a 7 vyššie). Pokiaľ ide o žiadosť o informácie z 1. apríla 2022, Komisia informovala žalobcu e‑mailom z 30. júna 2022, že sa domnieva, že žiadosť o informácie z 1. apríla 2022 je takmer totožná so žiadosťou o informácie z 9. novembra 2021 a že na túto žiadosť už odpovedala e‑mailom z 3. decembra 2021 (pozri bod 11 vyššie).

78

Z toho vyplýva, že pokiaľ ide o žiadosť o informácie z 1. apríla 2022, Komisia nedodržala lehotu jedného mesiaca stanovenú v článku 14 ods. 4 nariadenia 2018/1725 (pozri bod 65 vyššie).

79

Z bodov 68 až 78 vyššie vyplýva, že jedinou protiprávnosťou vytýkanou Komisii, ktorá bola v prejednávanej veci preukázaná, je nedodržanie lehoty stanovenej v článku 14 ods. 4 nariadenia 2018/1725.

83

Treba však konštatovať, že takáto nemajetková ujma nie je v prejednávanej veci preukázaná. Jediná protiprávnosť preukázaná v prejednávanej veci totiž spočíva v tom, že Komisia nedodržala lehotu jedného mesiaca stanovenú v článku 14 ods. 4 nariadenia 2018/1725 (pozri bod 79 vyššie). Táto lehota však nebola prekročená o viac ako dva mesiace (pozri bod 77 vyššie). Okrem toho žiadosti o informácie z 9. novembra 2021 a 1. apríla 2022 boli v podstate rovnaké (pozri body 5 a 8 vyššie), takže žalobca už dostal odpoveď aspoň na časť svojej žiadosti o informácie 3. decembra 2021, keď Komisia odpovedala na žiadosť o informácie z 9. novembra 2021 (pozri bod 7 vyššie).

84

Okrem toho tvrdenie žalobcu založené na poskytnutí nesprávnych informácií (pozri bod 75 vyššie) sa týka dôvodnosti informácií a nie dodržania procesného pravidla, ktorého porušenie bolo stanovené v bode 78 vyššie, a teda nie je relevantné na preukázanie uplatňovanej nemajetkovej ujmy.

85

Z toho vyplýva, že sa nepreukázalo, že nedodržanie lehoty stanovenej v článku 14 ods. 4 nariadenia 2018/1725 Komisiou mohlo žalobcovi spôsobiť uvádzanú nemajetkovú ujmu.

Žalobca v podstate tvrdí, že sporné prenosy boli vykonané smerom k príjemcom usadeným v Spojených štátoch, teda v krajine, ktorá nemá primeranú úroveň ochrany. Komisia neuviedla žiadnu z primeraných záruk, ktoré by mohli odôvodniť tieto prenosy, stanovených v kapitole V nariadenia 2018/1725, a teda porušila článok 46 a článok 48 ods. 1 a článok 48 ods. 2 písm. b) tohto nariadenia, ako aj články 7, 8 a 47 Charty. Sporné prenosy viedli k riziku prístupu bezpečnostných a spravodajských služieb tejto krajiny k údajom žalobcu, a preto mu spôsobili nemajetkovú ujmu v zmysle odôvodnenia 46 nariadenia 2018/1725, keďže bol zbavený svojich práv a slobôd a nemohol vykonávať kontrolu nad svojimi údajmi.

89

Komisia spochybňuje tieto tvrdenia a v podstate tvrdí, že podmienky vzniku mimozmluvnej zodpovednosti nie sú v prejednávanej veci splnené.

– Úvodné poznámky k ustanoveniam týkajúcim sa prenosu osobných údajov do tretej krajiny

90

V prvom rade treba poznamenať, že podľa článku 2 ods. 5 nariadenia 2018/1725 sa toto nariadenie uplatňuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými ako automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.

94

Z odôvodnenia 63 nariadenia 2018/1725 však vyplýva, že prenosy, na ktoré sa vzťahujú ustanovenia kapitoly V tohto nariadenia, sa týkajú osobných údajov prenášaných z inštitúcií a orgánov Únie prevádzkovateľom, sprostredkovateľom alebo iným príjemcom v tretích krajinách alebo medzinárodným organizáciám.

95

Navyše zo systematického výkladu nariadenia 2018/1725 vyplýva, že prenos osobných údajov do tretích krajín v zmysle jeho článku 46 vyžaduje v prvom rade, aby prevádzkovateľ dotknutých údajov patril inštitúcii alebo orgánu Únie, a teda podliehal uvedenému nariadeniu (článok 1 nariadenia 2018/1725); v druhom rade, aby prevádzkovateľ prenosom alebo iným spôsobom sprístupnil osobné údaje príjemcovi, najmä inej fyzickej alebo právnickej osobe (článok 3 body 3 a 13 nariadenia 2018/1725), a v treťom rade, aby bol tento príjemca usadený v tretej krajine (článok 46 nariadenia 2018/1725), teda v krajine, ktorá nie je členom Únie ani Európskeho hospodárskeho priestoru (EHP).

96

V piatom rade treba konštatovať, že cieľom ustanovení kapitoly V nariadenia 2018/1725 je zachovať pri prenose osobných údajov do tretích krajín alebo medzinárodným organizáciám úroveň ochrany fyzických osôb zaručenú v Únii v súlade s cieľom spresneným v jeho odôvodnení 63.

100

Z toho vyplýva, že ku dňu sporných prenosov neexistovalo vo vzťahu k Spojeným štátom žiadne rozhodnutie o primeranosti v zmysle článku 47 nariadenia 2018/1725.

101

Ak Komisia neprijme rozhodnutie o primeranosti vo vzťahu k Spojeným štátom, uplatňuje sa článok 48 ods. 1 nariadenia 2018/1725, podľa ktorého sa prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii môže uskutočniť len vtedy, ak prevádzkovateľ alebo sprostredkovateľ poskytol primerané záruky, a pod podmienkou, že dotknuté osoby majú k dispozícii vymožiteľné práva a účinné právne prostriedky nápravy.

102

Primerané záruky uvedené v článku 48 ods. 1 nariadenia 2018/1725, vymenované v článku 48 ods. 2 a 3 tohto nariadenia, sa môžu stanoviť najmä prostredníctvom štandardných doložiek o ochrane údajov, ktoré prijala Komisia v súlade s článkom 48 ods. 2 písm. b) tohto nariadenia.

106

V prejednávanej veci treba na úvod poznamenať, že druhý návrh žalobcu na náhradu škody je založený na tom, že Komisia porušila ustanovenia článku 46, článku 48 ods. 1 a článku 48 ods. 2 písm. b) nariadenia 2018/1725, ako aj článkov 7, 8 a 47 Charty. Z bodov 91 až 105 vyššie však vyplýva, že uvedené ustanovenia nariadenia 2018/1725 konkretizujú také základné práva, ako sú práva stanovené v článkoch 7 a 8 Charty, a ako celok majú zabezpečiť kontinuitu vysokej úrovne ochrany osobných údajov v prípade prenosu týchto údajov do tretích krajín alebo medzinárodným organizáciám.

107

Z toho vyplýva, že ustanovenia, ktorých porušenie uvádza žalobca na podporu svojho druhého návrhu na náhradu škody, majú za cieľ chrániť osobný záujem dotknutých osôb, a tak predstavujú právne normy, ktorých cieľom je priznať práva jednotlivcom v zmysle judikatúry pripomenutej v bode 50 vyššie.

108

Teraz je potrebné overiť, či sú splnené podmienky vzniku mimozmluvnej zodpovednosti Komisie v súvislosti s každým z troch sporných prenosov uvedených v bode 87 vyššie.

Zo spisu, najmä z odpovedí účastníkov konania na opatrenie na zabezpečenie priebehu konania z 21. júla 2023, ako aj z ich prednesov a odpovedí na pojednávaní, ktoré sa konalo 17. októbra 2023, vyplýva, že v prvom rade služba Amazon CloudFront je internetovou službou, ktorá urýchľuje distribúciu internetového obsahu, v prejednávanej veci obsahu webového sídla KBE, používateľom. Služba Amazon CloudFront šíri obsah prostredníctvom globálnej siete serverov alebo dátových centier nazývaných „periférne miesta“ alebo „periférne servery“.

112

V druhom rade služba Amazon CloudFront je založená na „routing“ mechanizme, v rámci ktorého je požiadavka používateľa webového sídla KBE smerovaná na periférny server, ktorý poskytuje dobu najmenšieho oneskorenia na základe zásady blízkosti s terminálom používateľa tak, aby bol obsah používateľovi poskytnutý za najlepších možných podmienok. Ak najmä z dôvodu technických ťažkostí nie je k dispozícii periférny server s najmenším oneskorením, spojenie sa nadviaže so serverom s druhým najmenším oneskorením, atď.

113

V treťom rade sa služba Amazon CloudFront používa pre webové sídlo KBE na základe zmluvy č. 2020 – 1742 podpísanej medzi Komisiou a AWS EMEA, ktorá je dcérskou spoločnosťou, ktorú vlastní podnik Amazon.com založený podľa amerického práva, a ktorá má sídlo v Luxembursku (pozri bod 12 vyššie).

114

117

V siedmom rade ustanovenia zmluvy medzi Komisiou a AWS EMEA stanovujú najmä toto:

–

AWS EMEA musí byť schopná zabezpečiť, že údaje zostanú neaktívne a prenášané na území EHP (oddiel 11.2 zmluvy),

–

AWS EMEA nie je oprávnená zmeniť lokalizáciu spracúvania údajov bez predchádzajúceho súhlasu Komisie [oddiel 12.2.3 písm. a) zmluvy],

–

AWS EMEA musí zabezpečiť, aby sa tieto opatrenia vykonali aj v prípade využitia subdodávateľov (oddiel 1.8.8 zmluvy).

118

V ôsmom rade Komisia konzultovala vyššie uvedené zmluvné ustanovenia s EDPS, ktorý ich však formálne nepovolil podľa článku 48 ods. 3 písm. a) nariadenia 2018/1725.

– Sporný prenos pri návšteve webového sídla KBE z 30. marca 2022

119

122

V tejto súvislosti treba konštatovať, že IP adresa sa musí kvalifikovať ako osobný údaj v zmysle článku 3 bodu 1 nariadenia 2018/1725, pretože spĺňa obe podmienky, ktoré sú v ňom stanovené. Na jednej strane sa táto informácia vzťahuje k fyzickej osobe a na druhej strane sa týka identifikovanej alebo identifikovateľnej osoby, v prejednávanej veci žalobcu (rozsudok z 26. apríla 2023, SRB/EDPS, T‑557/20 , vec v odvolacom konaní, EU:T:2023:219 , bod 59 ; pozri tiež v tomto zmysle analogicky rozsudky z 24. novembra 2011, Scarlet Extended, C‑70/10 , EU:C:2011:771 , bod 51 , a z 19. októbra 2016, Breyer, C‑582/14 , EU:C:2016:779 , bod 49 ). Aj takzvané „dynamické“ IP adresy, ktoré sú svojou povahou premenlivé, totiž zodpovedajú presnej identite v danom okamihu, ktorá sa v prejednávanej veci zhoduje s okamihom, keď došlo k návšteve webového sídla KBE.

123

Je tiež preukázané, že prenos údajov uvedený v bode 121 vyššie bol spustený cez webové sídlo KBE v rámci služby Amazon CloudFront na server, ktorého IP adresa je 18.66.192.74.

124

Je takisto preukázané, že v čase skutkových okolností bola IP adresa 18.66.192.74 pridelená serveru nachádzajúcemu sa v Mníchove (Nemecko) a že tento server patril podniku A 100 ROW GmbH, so sídlom v Nemecku a bol súčasťou zoznamu podnikov uvedených v bode 116 vyššie.

128

Z toho vyplýva, že pri návšteve webového sídla KBE 30. marca 2022 boli osobné údaje žalobcu poskytnuté príjemcovi usadenému v Únii.

129

Okrem toho, aj keby sa pripustilo, že osobné údaje žalobcu neopustili územie Únie, tieto údaje boli napriek tomu prenesené na server, ktorý patrí do siete periférnych miest v rámci služby Amazon CloudFront, ktorá, pokiaľ ide o sprístupňovanie obsahu webového sídla KBE, zahŕňa sieť periférnych miest, ktorá sa neobmedzuje na územie EHP, ale presahuje ho (pozri bod 116 vyššie).

130

Konkrétne okolnosti opísané v bode 127 vyššie však nepreukazujú existenciu prenosu osobných údajov príjemcom usadeným mimo územia EHP, najmä v Spojených štátoch.

134

Tvrdenie žalobcu sa teda netýka priameho porušenia ustanovení kapitoly V nariadenia 2018/1725, ale len rizika takéhoto porušenia v prípade, ak by AWS EMEA nemohla z dôvodu svojho postavenia dcérskej spoločnosti americkej spoločnosti namietať proti žiadosti amerických orgánov o prístup k údajom uchovávaným na serveroch umiestnených na území EHP.

135

Samotné riziko prístupu tretej krajiny k osobným údajom však nemôže zodpovedať prenosu údajov v zmysle článku 46 nariadenia 2018/1725, ako je vyložený v bode 93 vyššie, keďže nie je preukázané, že došlo k prenosu alebo sprístupneniu osobných údajov žalobcu príjemcovi usadenému v tretej krajine akýmkoľvek iným spôsobom. Inak povedané, riziko porušenia uvedeného článku 46 nemožno stotožňovať s priamym porušením tohto ustanovenia.

136

Navyše treba pripomenúť, že v rámci tohto návrhu na náhradu škody sa preskúmanie Všeobecného súdu týka overenia podmienok vzniku mimozmluvnej zodpovednosti Komisie, a najmä podmienky týkajúcej sa protiprávnosti konania Komisie, ktorá vyžaduje, aby sa preukázalo dostatočne závažné porušenie ustanovení nariadenia 2018/1725 a Charty, na ktoré sa žalobca odvoláva.

140

Keďže teda nie je splnená jedna z kumulatívnych podmienok vzniku mimozmluvnej zodpovednosti Únie stanovených v článku 340 druhom odseku ZFEÚ, treba zamietnuť druhý návrh na náhradu škody, pokiaľ ide o sporný prenos pri návšteve webového sídla KBE 30. marca 2022 bez toho, aby bolo potrebné preskúmať ostatné tvrdenia žalobcu.

– Sporný prenos pri návštevách webového sídla KBE 8. júna 2022

141

Žalobca tvrdí, že pri návštevách webového sídla KBE 8. júna 2022 došlo k prenosu jeho osobných údajov, najmä jeho IP adresy, na servery Amazon CloudFront nachádzajúce sa v Spojených štátoch. Podľa žalobcu tieto prenosy nevyplývajú z jeho činnosti ako používateľa webového sídla, ale sú výsledkom fungovania služby Amazon CloudFront, v rámci ktorej je riziko prenosu údajov do Spojených štátov vlastné celosvetovej infraštruktúre, na ktorej je táto služba založená. Situácia žalobcu nie je odlišná od situácie občana Únie, ktorý navštívi webové sídlo KBE napríklad počas služobnej cesty do Spojených štátov. Komisia nepreukázala všetku náležitú starostlivosť s cieľom zabrániť prenosu údajov do Spojených štátov, keďže namiesto čisto európskeho riešenia hostingu si zvolila sieť na sprístupňovanie obsahu založenú na globálnej štruktúre.

142

V prejednávanej veci Všeobecný súd považuje za vhodné zaoberať sa najprv podmienkou týkajúcou sa existencie príčinnej súvislosti medzi údajným protiprávnym konaním Komisie a uplatňovanou nemajetkovou ujmou.

146

Z judikatúry pripomenutej v bode 55 vyššie vyplýva, že podmienka príčinnej súvislosti sa týka existencie dostatočne priamej príčinnej súvislosti medzi konaním, ktoré je inštitúcii vytýkané, a škodou, pričom túto súvislosť musí preukázať žalobca, takže vytýkané konanie musí byť rozhodujúcou príčinou ujmy.

147

Navyše z judikatúry vyplýva, že príčinná súvislosť potrebná na vznik mimozmluvnej zodpovednosti Únie v zmysle článku 340 ZFEÚ druhého odseku sa preukáže v prípade, keď je škoda priamym dôsledkom dotknutého protiprávneho aktu (rozsudok z 28. júna 2007, Internationaler Hilfsfonds/Komisia, C‑331/05 P , EU:C:2007:390 , bod 23 ).

148

151

V tejto súvislosti po prvé zo spisu, ako aj z odpovedí účastníkov konania na otázky položené na pojednávaní vyplýva, že žalobca bol 8. júna 2022 v Mníchove a že viackrát navštívil webové sídlo KBE. Počas týchto návštev vytvorila IP adresa žalobcu následné spojenia s rôznymi servermi služby Amazon CloudFront, ktoré sú geograficky vzájomne veľmi vzdialené. O 7.13 hod. tak došlo k pripojeniu na server nachádzajúci sa v Mníchove, o 11.13 hod. na server nachádzajúci sa v Londýne (Spojené kráľovstvo), o 12.56 hod. na server nachádzajúci sa v Hillsboro (Oregon, Spojené štáty), o 13.05 hod. na server nachádzajúci sa v Newarku a o 19.12 hod. na server nachádzajúci sa vo Frankfurte nad Mohanom (Nemecko).

152

Po druhé zo spisu vyplýva, že IP adresa žalobcu bola prenesená na rôzne servery služby Amazon CloudFront uvedené v bode 151 vyššie, vrátane serverov nachádzajúcich sa v Spojených štátoch.

153

Po tretie treba pripomenúť, že IP adresa žalobcu predstavuje osobný údaj.

157

Za týchto okolností nemohlo byť spojenie IP adresy žalobcu so servermi nachádzajúcimi sa v Spojených štátoch v čase, keď sa nachádzal v Nemecku, výsledkom bežného fungovania služby Amazon CloudFront, ale skôr technického nastavenia, ktoré žalobca vykonal na účely zmeny jeho uvádzanej polohy tým, že sa v online priestore prezentoval tak, akoby sa v ten istý deň postupne nachádzal na miestach v blízkosti Mníchova, Londýna, Hillsboro, Newarku a Frankfurtu nad Mohanom.

158

Z toho vyplýva, že je síce pravda, že to bolo fungovanie služby Amazon CloudFront s jej „routing“ mechanizmom, ktorý funguje podľa zásady blízkosti a ktorý pokrýva širšiu geografickú oblasť ako územie EHP, vrátane najmä Spojených štátov (pozri body 112 a 114 vyššie), ktoré umožnilo, aby IP adresa žalobcu pri návšteve webového sídla KBE vytvorila spojenie so servermi Amazon CloudFront umiestnenými v Spojených štátoch.

159

No hoci je použitie služby Amazon CloudFront Komisiou nevyhnutnou podmienkou na to, aby došlo k prenosom osobných údajov do Spojených štátov, spomenutým v bode 152 vyššie, táto okolnosť nestačí za podmienok prejednávanej veci na preukázanie dostatočne priamej príčinnej súvislosti medzi nemajetkovou ujmou uplatňovanou žalobcom a údajne protiprávnym konaním Komisie spočívajúcim v používaní takejto služby v rozpore s ustanoveniami kapitoly V nariadenia 2018/1725.

163

Zo všetkých vyššie uvedených skutočností vyplýva, že pokiaľ ide o sporný prenos pri návštevách webového sídla KBE 8. júna 2022, nebola preukázaná dostatočne priama príčinná súvislosť medzi údajne protiprávnym konaním Komisie a uplatňovanou nemajetkovou ujmou.

164

Keďže nie je splnená jedna z kumulatívnych podmienok vzniku mimozmluvnej zodpovednosti Únie, treba návrh na náhradu škody, pokiaľ ide o sporný prenos pri návštevách webového sídla KBE 8. júna 2022, zamietnuť bez toho, aby bolo potrebné preskúmať ostatné podmienky vzniku uvedenej zodpovednosti.

– Sporný prenos pri pripojení k EU Login 30. marca 2022

165

Komisia tieto tvrdenia spochybňuje. V podstate tvrdí, že nepreniesla ani neiniciovala žiadne prenosy údajov do spoločnosti Meta Platforms. Pre účasť na podujatí „GoGreen“ nie je povinná registrácia prostredníctvom EU Login a aj pri použití EU Login mal žalobca rôzne možnosti autentifikácie, vrátane možností, ktoré nevyžadujú použitie účtu na sociálnych sieťach. Bolo teda voľbou žalobcu pripojiť sa k službe EU Login prostredníctvom svojho účtu na Facebooku, a bol to teda on, a nie Komisia, kto spôsobil prepojenie s webovým sídlom Facebooku. Navyše z technického hľadiska sa možnosť autentifikácie prostredníctvom Facebooku vykonáva hypertextovém odkazom zobrazeným na webovom sídle EU Login, ktorý neobsahuje žiadne osobné údaje používateľa. Na rozdiel od toho, čo tvrdí žalobca, sa údaje zhromaždené prostredníctvom súborov cookie, ktoré používa Facebook, nezasielajú Komisii počas pripojenia k službe EU Login, a nespadajú do jej zodpovednosti. Tieto súbory cookie sú výsledkom výmeny informácií medzi Facebookom a žalobcom na základe súhlasov, ktoré udelil, pričom Komisia sa na tejto výmene nezúčastnila. Okrem toho Komisia tvrdí, že judikatúra, na ktorú sa odvoláva žalobca, nie je v prejednávanej veci uplatniteľná a že tvrdenie žalobcu založené na údajnej spoločnej zodpovednosti Komisie a spoločnosti Meta Platforms je v každom prípade novým žalobným dôvodom uvedeným po prvýkrát v štádiu repliky, ktorý je v dôsledku toho neprípustný.

167

V prejednávanej veci treba najprv preskúmať skutkový rámec, v ktorom sa sporný prenos pri pripojení k EU Login 30. marca 2022 uskutočnil, s prihliadnutím na skutočnosti, ktoré vyplývajú zo spisu, ako aj na odpovede účastníkov konania na otázky položené Všeobecným súdom na pojednávaní a v opatrení na zabezpečenie priebehu konania z 9. februára 2024.

171

EU Login zobrazuje na svojom webovom sídle viacero možností pripojenia. Prvou možnosťou je priame pripojenie k EU Login, a to buď vyplnením prihlasovacích údajov do už existujúceho účtu EU Login, alebo vytvorením účtu pre túto službu. Druhou možnosťou je použitie elektronického preukazu totožnosti „eID“, ktorý je k dispozícii pre občanov niektorých členských štátov. Tretia možnosť, ktorá je k dispozícii pre obmedzený počet služieb, spočíva v použití účtu, ktorý používateľ už má na platformách Facebook, Twitter alebo Google, kliknutím na príslušný hypertextový odkaz zobrazený na webovom sídle EU Login.

172

Možnosť prihlásiť sa do EU Login prostredníctvom účtu na Facebooku vyplýva zo skutočnosti, že Komisia sa domnievala, že používatelia by mali mať možnosť voľby prihlásiť sa do EU Login prostredníctvom už existujúcich účtov na platformách, aby sa im ponúkol jednoduchší a rýchlejší prístup, ako aj možnosť autentifikovať sa bez potreby vytvorenia účtu EU Login a vyhnúť sa tak znásobeniu počtu účtov a subjektov, s ktorými musia používatelia zdieľať svoje osobné údaje. Komisia sa tiež domnievala, že Facebook je vzhľadom na opatrenia, ktoré zaviedol, spoľahlivý na účely overovania e‑mailových adries používateľov. Hypertextový odkaz, ktorý umožňuje používateľom pripojiť sa prostredníctvom už existujúceho účtu na Facebooku, je však dostupný len na EU Login pre webové sídla alebo aplikácie vyžadujúce len základnú úroveň zabezpečenia.

173

Žalobca si zvolil možnosť pripojiť sa k EU Login prostredníctvom svojho účtu na Facebooku pomocou hypertextového odkazu „Sign in with Facebook“, ktorý je zobrazený na webovom sídle EU Login (ďalej len „hypertextový odkaz ‚Sign in with Facebook‘“).

177

Presnejšie, informácie, ktoré sú obsiahnuté v hypertextovom odkaze „Sign in with Facebook“, sú tieto:

–

po prvé časť „client_id=1200572836629487“ obsahuje „jedinečný identifikačný kód“, ktorý identifikuje EU Login ako aplikáciu. Toto identifikačné číslo je rovnaké pre všetkých používateľov, ktorí sa chcú autentifikovať na EU Login pomocou Facebooku,

–

po druhé časť „redirect_uri=https%3A%2Fecas.ec.europa.eu%2Fcas%2FoAuthCallback“ obsahuje všeobecnú adresu URL služby EU Login, čo je adresa, na ktorú musí Facebook priviesť používateľa po tom, čo používateľ vyjadrí súhlas s prenosom svojich osobných údajov Facebookom do EU Login,

178

Hneď ako používateľ získa prístup k adrese URL Facebooku, ocitne sa na tomto webovom sídle, kde sa najprv zobrazí okno, v ktorom je používateľ požiadaný, aby súhlasil s používaním súborov „cookie“ Facebookom. Ďalej, ak sú súbory cookie akceptované, otvorí sa ďalšie okno, ktoré umožňuje vyplniť používateľské meno a heslo pre účet používateľa na Facebooku. Napokon, po prihlásení sa do svojho účtu na Facebooku môže používateľ povoliť Facebooku používanie súborov cookie v iných aplikáciách a na webových sídlach tak, že odpovie na otázku „Allow Facebook to use cookie and similar technologies placed on other apps and websites?“. Ak používateľ súhlasí s týmto používaním, bude následne vyzvaný, aby súhlasil s tým, že Facebook poskytne službe EU Login meno, priezvisko, profilovú fotografiu a e‑mailovú adresu, ktoré sú spojené s jeho účtom na Facebooku. Okrem toho môže používateľ počas celého tohto procesu prerušiť autentifikáciu prostredníctvom svojho účtu na Facebooku tým, že zvolí možnosť „Cancel“. V tomto prípade je presmerovaný na webové sídlo EU Login, kde sa opäť zobrazí stránka s možnosťami prihlásenia.

179

V prejednávanej veci, keď žalobca klikol na hypertextový odkaz „Sign in with Facebook“, jeho internetový prehliadač získal prístup k adrese URL webového sídla Facebooku, a následne oznámil svoju IP adresu tomuto webovému sídlu. Ďalej, keď sa žalobca nachádzal na webovom sídle Facebooku, zvolil možnosti, ktoré Facebooku umožňujú používať len základné súbory cookie, potom sa prihlásil do svojho účtu na Facebooku a nakoniec povolil Facebooku, aby oznámil službe EU Login jeho meno, priezvisko, profilovú fotografiu a e‑mailovú adresu, ako ich uviedol vo svojom účte na Facebooku.

183

Okrem toho treba uviesť, že zobrazenie tohto hypertextového odkazu na webové sídlo EU Login sa riadi všeobecnými podmienkami platformy Facebook, ktoré sú sprístupnené na internetovej adrese „https://developers.facebook.com/terms“.

184

S prihliadnutím na tieto úvahy treba preskúmať, či sú splnené podmienky vzniku mimozmluvnej zodpovednosti Komisie.

185

Žalobca v podstate tvrdí, že pri jeho pripojení k EU Login 30. marca 2022 došlo k prenosu jeho osobných údajov, najmä z jeho IP adresy, na servery sociálnej siete Facebook, ktorej vlastník je usadený v Spojených štátoch. Tento prenos bol údajne vykonaný v rozpore s článkom 46 nariadenia 2018/1725 a spôsobil žalobcovi nemajetkovú ujmu spočívajúcu v strate kontroly nad jeho údajmi a v zbavení jeho práv a slobôd.

189

Okrem toho je v prejednávanej veci preukázané, že v čase tohto prenosu údajov, teda 30. marca 2022, neexistovalo vo vzťahu k Spojeným štátom žiadne rozhodnutie o primeranosti v zmysle článku 47 nariadenia 2018/1725, pokiaľ ide o Spojené štáty (pozri bod 100 vyššie).

190

Ak Komisia neprijme rozhodnutie o primeranosti vo vzťahu k Spojeným štátom, prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť len vtedy, ak prevádzkovateľ alebo sprostredkovateľ poskytol primerané záruky a pod podmienkou, že dotknuté osoby majú vymožiteľné práva a účinné právne prostriedky nápravy v súlade s článkom 48 ods. 1 nariadenia 2018/1725 (pozri bod 101 vyššie).

191

V prejednávanej veci Komisia nepreukázala ani netvrdila existenciu primeranej záruky, najmä štandardnej doložky o ochrane údajov alebo zmluvnej podmienky prijatých za podmienok stanovených v článku 48 ods. 2 a 3 nariadenia 2018/1725 (pozri body 102 až 104 vyššie). Naopak je preukázané, že zobrazenie hypertextového odkazu „Sign in with Facebook“ na webovom sídle EU Login sa jednoducho riadi všeobecnými podmienkami platformy Facebook (pozri bod 183 vyššie).

195

Žalobca tvrdí, že protiprávny prenos jeho IP adresy na podnik so sídlom v Spojených štátoch mu spôsobil nemajetkovú ujmu spočívajúcu v strate kontroly nad jeho údajmi a zbavení jeho práv a slobôd.

196

V tejto súvislosti treba konštatovať, že článok 65 nariadenia 2018/1725 zakladá právo na náhradu nielen majetkovej, ale aj nemajetkovej ujmy utrpenej v dôsledku tohto nariadenia bez toho, aby bolo potrebné preukázať akúkoľvek hranicu závažnosti [pozri v tomto zmysle a analogicky rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21 , EU:C:2023:370 , body 45 a 51 ].

197

V prejednávanej veci sa musí nemajetková ujma uplatňovaná žalobcom považovať za skutočnú a určitú v zmysle judikatúry pripomenutej v bode 54 vyššie, keďže prenos uvedený v bode 188 vyššie, uskutočnený v rozpore s článkom 46 nariadenia 2018/1725, dostal žalobcu do situácie neistoty, pokiaľ ide o spracúvanie jeho osobných údajov, najmä jeho IP adresy.

O trovách

201

Podľa článku 134 ods. 3 Rokovacieho poriadku Všeobecného súdu ak mali účastníci konania úspech len v časti predmetu konania, každý z nich znáša svoje vlastné trovy konania. Ak sa to však zdá oprávnené vzhľadom na okolnosti prípadu, Všeobecný súd môže rozhodnúť, že účastník konania znáša svoje vlastné trovy konania a je povinný nahradiť časť trov konania druhého účastníka konania.

202

V prejednávanej veci žalobca nemal úspech vo svojom prvom a druhom žalobnom návrhu, ako aj v časti svojho tretieho žalobného návrhu. Tretiemu žalobnému návrhu sa však čiastočne vyhovelo a Komisia je povinná zaplatiť náhradu škody, ktorú žalobca požadoval z dôvodu náhrady nemajetkovej ujmy, ktorú utrpel v dôsledku sporného prenosu pri pripojení k EU Login 30. marca 2022. Za týchto okolností je opodstatnené rozhodnúť, že Komisia znáša svoje vlastné trovy konania a je povinná nahradiť polovicu trov konania, ktoré vznikli žalobcovi. Žalobca znáša polovicu svojich vlastných trov konania.

Z týchto dôvodov

3.

Komisia je povinná zaplatiť pánovi T. Bindlovi sumu 400 eur ako náhradu utrpenej nemajetkovej ujmy.

4.

Návrhy na náhradu škody sa v zostávajúcej časti zamietajú.

5.

Komisia znáša svoje vlastné trovy konania a je povinná nahradiť polovicu trov konania, ktoré vznikli pánovi T. Bindlovi.

Tichy‑Fisslberger

Rozsudok

bol vyhlásený na verejnom pojednávaní v Luxemburgu 8. januára 2025.

Podpisy

Obsah

Okolnosti predchádzajúce sporu a skutkové okolnosti, ktoré nastali po podaní žaloby

Návrhy účastníkov konania

Úvodné poznámky k podmienkam vzniku mimozmluvnej zodpovednosti Únie v rámci nariadenia 2018/1725

O prvom návrhu na náhradu škody smerujúcom k náhrade nemajetkovej ujmy spôsobenej porušením práva na prístup k informáciám

O druhom návrhu na náhradu škody smerujúcom k náhrade nemajetkovej ujmy vyplývajúcej zo sporných prenosov

– Úvodné poznámky k ustanoveniam týkajúcim sa prenosu osobných údajov do tretej krajiny

– O fungovaní služby Amazon CloudFront v rámci webového sídla KBE

– Sporný prenos pri návšteve webového sídla KBE z 30. marca 2022