T-354/22 Thomas Bindl

PRESUDA OPĆEG SUDA (šesto prošireno vijeće)

8. siječnja 2025. ( *1 )

„Obrada osobnih podataka – Zaštita fizičkih osoba u pogledu obrade osobnih podataka koju izvršavaju institucije, tijela, uredi i agencije Unije – Uredba (EU) 2018/1725 – Pojam ‚prijenos osobnih podataka trećim zemljama’ – Prijenos podataka prilikom posjeta internetskoj stranici – EU Login – Tužba za poništenje – Akt koji se ne može pobijati – Nedopuštenost – Tužba zbog propusta – Stajalište kojim se okončava propuštanje – Obustava postupka – Tužba za naknadu štete – Dovoljno ozbiljna povreda pravnog pravila kojim se dodjeljuju prava pojedincima – Uzročna veza – Neimovinska šteta”

U predmetu T‑354/22,

Thomas Bindl, sa stalnom adresom u Münchenu (Njemačka), kojeg zastupa T. Herbrich, odvjetnik,

tužitelj,

protiv

Europske komisije, koju zastupaju A. Bouchagiar, B. Hofstötter i H. Kranenborg, u svojstvu agenata,

tuženika,

OPĆI SUD (šesto prošireno vijeće),

u sastavu: M. J. Costeira (izvjestiteljica), predsjednica, M. Kancheva, U. Öberg, P. Zilgalvis i E. Tichy‑Fisslberger, suci,

tajnik: S. Jund, administratorica,

uzimajući u obzir pisani dio postupka,

uzimajući u obzir mjeru upravljanja postupkom od 21. srpnja 2023. i Komisijine i intervenijentove odgovore podnesene tajništvu Općeg suda 7. odnosno 8. rujna 2023.,

nakon rasprave održane 17. listopada 2023.,

uzimajući u obzir mjeru upravljanja postupkom od 9. veljače 2024. i Komisijine i tužiteljeve odgovore podnesene tajništvu Općeg suda 12. odnosno 13. ožujka 2024.,

donosi sljedeću

Presudu

Svojom tužbom koja se temelji na člancima 263., 265. i 268. UFEU‑a tužitelj Thomas Bindl od Općeg suda zahtijeva, kao prvo, da poništi prijenose njegovih osobnih podataka trećim zemljama koje nemaju odgovarajuću razinu zaštite, kao drugo, da utvrdi da je Europska komisija nezakonito propustila zauzeti stajalište o njegovu zahtjevu za informacije od 1. travnja 2022. i, kao treće, da nadoknadi neimovinsku štetu koju je pretrpio zbog, s jedne strane, povrede njegova prava na pristup informacijama i, s druge strane, zbog prijenosa njegovih osobnih podataka.

Okolnosti spora i činjenice nastale nakon podnošenja tužbe

2	Tužitelj je njemački državljanin koji se bavi pitanjima u području informatike i zaštite osobnih podataka.

3	Komisijina Glavna uprava za komunikaciju nadzornik je za obradu osobnih podataka za potrebe internetske stranice Konferencije o budućnosti Europe na adresi https://futureu.europa.eu (u daljnjem tekstu: internetske stranice CAE‑a).

Tužitelj je u više navrata posjetio internetsku stranicu CAE‑a tijekom 2021. i 2022. On je, među ostalim, posjetio tu internetsku stranicu 30. ožujka 2022. i prijavio se na događaj „GoGreen”, koji se na njoj nalazio, putem svojeg Facebook računa te je 8. lipnja 2022. ponovno posjetio navedenu internetsku stranicu.

Porukom elektroničke pošte od 9. studenoga 2021. (u daljnjem tekstu: zahtjev za informacije od 9. studenoga 2021.), tužitelj je od Komisijina službenika za zaštitu podataka zatražio da mu dostavi podatke na temelju Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL 2018., L 295, str. 39.).

U navedenoj poruci elektroničke pošte tužitelj je, kao prvo, naveo da je primijetio da je, kada se spojio na CAE‑ovu internetsku stranicu, aktivirana veza s trećim dobavljačima, kao što je američko društvo Amazon Web Services; drugo, zatražio je da se navedu koji su osobni podaci koji se odnose na njega obrađeni ili pohranjeni i koji su, ovisno o slučaju, preneseni trećim stranama; kao treće, zatražio je informacije o pravnoj osnovi takvog prijenosa kao i o postojanju mogućih zaštitnih mjera u pogledu prijenosa trećim zemljama koje nemaju odgovarajuću razinu zaštite.

Porukom elektroničke pošte od 3. prosinca 2021. Komisijina Glavna uprava za komunikaciju poslala je tužitelju elektroničku poveznicu te ga je obavijestila da mu ta poveznica omogućuje izravno stvaranje popisa osobnih podataka koji su obrađeni prilikom posjeta internetskoj stranici CAE‑a. Osim toga, ona je obavijestila tužitelja, s jedne strane, da njegovi osobni podaci nisu preneseni primateljima koji se nalaze izvan Europske unije i, s druge strane, da se oni pohranjuju i obrađuju putem CAE‑ove internetske stranice, koja koristi mrežu za dostavljanje sadržaja kojom upravlja Amazon Web Services EMEA SARL (u daljnjem tekstu: AWS EMEA), sa sjedištem u Luxembourgu (Luksemburg). Usto, pojasnila je da se u okviru ugovornih sporazuma sklopljenih između Komisije i društva AWS EMEA voditelj obrade podataka nije koristio uslugama koje zahtijevaju prijenos podataka partnerima AWS EMEA‑e koji se nalaze u Sjedinjenim Američkim Državama i da prijenos podataka izvan područja Unije u načelu nije dopušten.

Porukom elektroničke pošte od 1. travnja 2022. tužitelj je od Komisije na temelju Uredbe 2018/1725 zatražio informacije o obradi njegovih podataka (u daljnjem tekstu: zahtjev za informacije od 1. travnja 2022.). Kao prvo, naveo je da je primijetio da je, kada se spojio na CAE‑ovu internetsku stranicu, uspostavljena veza s trećim pružateljima usluga kao što je AWS EMEA i da je uspostavljena veza s društvom Microsoft u trenutku kada je koristio svoje podatke za povezivanje s Facebookom kako bi se registrirao na toj internetskoj stranici. Kao drugo, zatražio je da mu se navede koji su osobni podaci koji se odnose na njega obrađeni ili pohranjeni i koji su, ovisno o slučaju, preneseni trećim osobama. Kao treće, zatražio je informacije o pravnoj osnovi takvog prijenosa kao i o postojanju mogućih zaštitnih mjera u pogledu prijenosa trećim zemljama koje nemaju odgovarajuću razinu zaštite. Kao četvrto, zatražio je primjerak svojih podataka, uključujući one koje su pohranile ili obradile treće strane kao što je Facebook.

9	Dopisima od 22. travnja i 2. svibnja 2022. tužitelj je ustrajao da mu Komisija pruži odgovor na zahtjev za informacije od 1. travnja 2022.

10	Tužbom podnesenom tajništvu Općeg suda 9. lipnja 2022. tužitelj je pokrenuo ovaj postupak.

11	Porukom elektroničke pošte od 30. lipnja 2022. Komisija je obavijestila tužitelja da smatra da je zahtjev za informacije od 1. travnja 2022. bio gotovo istovjetan zahtjevu za informacije od 9. studenoga 2021. i da je na njega već odgovorila porukom elektroničke pošte od 3. prosinca 2021.

12	Amazon Web Services je društvo sa sjedištem u Sjedinjenim Američkim Državama, a AWS EMEA je društvo sa sjedištem u Luksemburgu. Ta su dva društva društva kćeri američkog trgovačkog društva Amazon.com, Inc.

Zahtjevi stranaka

Tužitelj od Općeg suda zahtijeva da:

–	poništi prijenose njegovih osobnih podataka trećim zemljama koje nemaju odgovarajuću razinu zaštite do kojih je došlo 30. ožujka i 8. lipnja 2022.;

–	utvrdi da je Komisija nezakonito propustila zauzeti stajalište o zahtjevu za informacije od 1. travnja 2022.;

–

naloži Komisiji da mu isplati iznos od 1200 eura, uvećan za kamate, koji odgovara, s jedne strane, iznosu od 800 eura na ime naknade neimovinske štete pretrpljene zbog povrede njegova prava na pristup informacijama i, s druge strane, iznosu od 400 eura za naknadu neimovinske štete pretrpljene zbog navedenih prijenosa njezinih podataka;

–	naloži Komisiji snošenje troškova.

Komisija od Općeg suda zahtijeva da:

–	odbaci zahtjev za poništenje i zahtjev zbog propusta kao nedopuštene;

–	podredno, obustavi postupak o zahtjevu zbog propusta;

–	odbije zahtjev za naknadu štete kao neosnovan;

–	naloži tužitelju snošenje troškova.

Pravo

Uvodna razmatranja o zaštiti osobnih podataka koju pružaju institucije, tijela, uredi i agencije Unije

15	Članak 16. stavak 1. UFEU‑a i članak 8. stavak 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) određuju da svatko ima pravo na zaštitu svojih osobnih podataka.

Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1.) utvrđuje opća pravila za zaštitu pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (članak 1. stavak 1. Uredbe 2016/679).

Uredba 2018/1725 utvrđuje pravila o zaštiti pojedinaca u pogledu obrade osobnih podataka u institucijama i tijelima te pravila povezana sa slobodnim kretanjem osobnih podataka među njima ili prema drugim primateljima koji imaju poslovni nastan u Uniji (članak 1. stavak 1. Uredbe 2018/1725). Tom se uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka (članak 1. stavak 2. Uredbe 2018/1725). Primjenjuje se na obradu osobnih podataka u svim institucijama i tijelima Unije (članak 2. stavak 1. Uredbe 2018/1725).

U uvodnoj izjavi 5. Uredbe 2018/1725 podsjeća se na to da, u skladu sa sudskom praksom Suda, svaki put kad odredbe Uredbe 2018/1725 slijede ista načela kao i odredbe Uredbe 2016/679, te bi skupove odredbi trebalo tumačiti ujednačeno, posebno zato što bi strukturu Uredbe 2018/1725 trebalo shvatiti kao istovjetnu strukturi Uredbe (EU) 2016/679. U tom pogledu, iz zajedničkog tumačenja odredbi članka 2. stavka 3. Uredbe 2016/679 i članka 99. Uredbe 2018/1725 proizlazi da je potonja uredba prilagođena načelima i pravilima Uredbe 2016/679.

Dopuštenost

Dopuštenost zahtjeva za poništenje

19	Prvim dijelom svojeg tužbenog zahtjeva tužitelj zahtijeva poništenje prijenosa njegovih osobnih podataka trećim zemljama koje nemaju odgovarajuću razinu zaštite, do kojih je došlo 30. ožujka i 8. lipnja 2022. (u daljnjem tekstu: sporni prijenosi).

20	U svojem odgovoru na tužbu Komisija ističe nedopuštenost tog zahtjeva za poništenje zato što on nije usmjeren protiv akta koji se može pobijati u smislu članka 263. UFEU‑a, nego traži da joj se izda nalog.

Tužitelj tvrdi da je zahtjev za poništenje dopušten, ističući da su sporni prijenosi akti koji proizvode obvezujuće pravne učinke i utječu na njegov pravni položaj ugrožavajući njegovo temeljno pravo na zaštitu osobnih podataka zajamčeno člankom 8. Povelje. Svako drugo tumačenje ne bi bilo u skladu s temeljnim pravom na djelotvornu sudsku zaštitu, dok se člankom 64. stavkom 1. Uredbe 2018/1725 izričito priznaje to pravo.

22	Kao što je navedeno u članku 64. stavku 1. i uvodnoj izjavi 79. Uredbe 2018/1725, svatko ima pravo na učinkovit pravni lijek pred Sudom Europske unije u skladu s Ugovorima ako smatra da su prekršena njegova prava iz te uredbe.

23	Iz toga slijedi da, u okviru Uredbe 2018/1725, svaka osoba na koju se to odnosi ima, među ostalim, pravo podnijeti tužbu za poništenje pod uvjetima predviđenima u članku 263. UFEU‑a.

Prema ustaljenoj sudskoj praksi, tužba za poništenje predviđena člankom 263. UFEU‑a dostupna je u odnosu na sve akte institucija, bez obzira na njihov oblik, čiji je cilj proizvesti obvezujuće pravne učinke koji utječu na interese tužitelja, mijenjajući na bitan način njegov pravni položaj (vidjeti presude od 19. siječnja 2017., Komisija/Total i Elf Aquitaine, C‑351/15 P, EU:C:2017:27, t. 35. i 36. i navedenu sudsku praksu i od 16. srpnja 2020., Inclusion Alliance for Europe/Komisija, C‑378/16 P, EU:C:2020:575, t. 71. i navedenu sudsku praksu).

Kako bi se utvrdilo proizvodi li pobijani akt obvezujuće pravne učinke, treba, u skladu s ustaljenom sudskom praksom Suda, razmotriti njegovu bit, a njegovi se učinci moraju ocijeniti s obzirom na objektivne kriterije, poput sadržaja tog akta, uzimajući u obzir, prema potrebi, kontekst njegova donošenja i ovlasti institucije, tijela, ureda ili agencije Unije koja ga je donijela (vidjeti presudu od 15. srpnja 2021., FBF, C‑911/19, EU:C:2021:599, t. 38. i navedenu sudsku praksu).

U ovom slučaju tužitelj zahtijeva poništenje spornih prijenosa koji su, prema njegovu mišljenju, izvršeni u tri navrata. Kao prvo, prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022. (u daljnjem tekstu: sporni prijenos prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022.), osobni podaci koji mu pripadaju, osobito njegova IP adresa kao i informacije o njegovu pregledniku i terminalu, preneseni su američkom poduzetniku Amazon Web Services, u svojstvu operatora mreže za distribuciju sadržaja nazvane Amazon CloudFront, kojom se koristi navedena internetska stranica.

Kao drugo, prilikom veze koju je 30. ožujka 2022. uspostavio tužitelj s Komisijinom uslugom za autentifikaciju korisnika EU Login uz pomoć svojeg Facebook računa, kako bi se na internetskoj stranici CAE‑a prijavio na događaj „GoGreen” (u daljnjem tekstu: sporni prijenos prilikom povezivanja s EU Loginom od 30. ožujka 2022.), osobni podaci koji mu pripadaju, osobito njegova IP adresa kao i informacije o njegovu pregledniku i terminalu, preneseni su američkom poduzetniku Meta Platforms, Inc.

Kao treće, tijekom tužiteljeva posjeta internetskoj stranici CAE‑a od 8. lipnja 2022. (u daljnjem tekstu: sporni prijenos prilikom posjete internetskoj stranici CAE‑a od 8. lipnja 2022.), osobni podaci koji mu pripadaju preneseni su na poslužitelj društva Amazon CloudFront u Newarku (New Jersey, Sjedinjene Američke Države).

Osim toga, tužitelj u svojoj tužbi navodi da je 9. studenoga 2021. pristupio internetskoj stranici CAE‑a i da se na taj datum registrirao na internetskoj stranici CAE‑a uz pomoć svojeg Facebook računa. Međutim, on ne navodi nijedan konkretan element na temelju kojeg bi se moglo zaključiti da su te okolnosti obuhvaćene njegovim zahtjevom za poništenje spornih prijenosa. Stoga valja uzeti u obzir samo sporne prijenose navedene u točkama 26. do 28. ove presude.

Valja istaknuti da sporni prijenosi čije poništenje tužitelj traži, navedeni u točkama 26. do 28. ove presude, odgovaraju, prema njegovu mišljenju, informatičkim operacijama migracije podataka koje su pokrenuli Komisijini informatički sustavi ili usluge, osobito internetska stranica CAE‑a, na poslužitelje koji pripadaju trećim poduzetnicima s poslovnim nastanom izvan područja Unije.

Točno je da postupak prijenosa osobnih podataka iz institucije ili tijela Unije trećoj zemlji kao takav predstavlja obradu osobnih podataka u smislu članka 3. točke 3. Uredbe 2018/1725 koja se provodi na području Unije i na koju se ta uredba primjenjuje na temelju njezina članka 2. stavka 5. (vidjeti po analogiji presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, u daljnjem tekstu: presuda Schrems II, EU:C:2020:559, t. 83.).

32	Međutim, sve transakcije koje mogu dovesti do prijenosa osobnih podataka u smislu članka 3. točke 3. Uredbe 2018/1725 nisu akti koji se mogu pobijati u smislu članka 263. UFEU‑a, kako ga tumači sudska praksa navedena u točki 24. ove presude.

U ovom slučaju, pod pretpostavkom da su sporni prijenosi dokazani, valja utvrditi da oni predstavljaju materijalne akte, a ne pravne akte. Naime, sporni prijenosi, kako su opisani u tužbi, jesu informatičke operacije migracije podataka s jednog terminala ili poslužitelja na drugi, koje su rezultat interakcija između tužitelja i Komisijinih informatičkih sustava ili usluga prilikom njegove posjete internetskoj stranici CAE‑a ili korištenja usluge EU Login. Nasuprot tomu, sporni prijenosi nisu akti Komisije koji proizvode obvezujuće pravne učinke, odnosno njihov cilj nije urediti pravnu situaciju i, kao što to proizlazi iz same njihove naravi, Komisija uopće nije imala namjeru dodijeliti im takve učinke.

Prema tome, sporni prijenosi ne mogu proizvesti obvezujuće pravne učinke koji mogu utjecati na tužiteljeve interese, mijenjajući na bitan način njegov pravni položaj, u skladu sa sudskom praksom navedenom u točki 24. ove presude. Oni se stoga ne mogu smatrati aktima koji se mogu pobijati u smislu članka 263. UFEU‑a.

35	Iz toga slijedi da tužiteljev zahtjev za poništenje treba odbaciti kao nedopušten.

Dopuštenost zahtjeva zbog propusta

36	Drugim dijelom svojeg tužbenog zahtjeva tužitelj od Općeg suda zahtijeva da utvrdi da je Komisija nezakonito propustila zauzeti stajalište o zahtjevu za informacije od 1. travnja 2022.

U svojem odgovoru na tužbu Komisija ističe nedopuštenost te tužbe zbog propusta zbog nepostojanja poziva na djelovanje u smislu članka 265. drugog stavka UFEU‑a. Podredno, Komisija ističe da valja obustaviti postupak povodom zahtjeva zbog propusta, s obzirom na njezin odgovor tužitelju porukom elektroničke pošte od 30. lipnja 2022.

38	Tužitelj u biti tvrdi da je Komisija i dalje obvezna odgovoriti na zahtjev za informacije od 1. travnja 2022. s obzirom na to da su informacije koje je dostavila porukom elektroničke pošte od 30. lipnja 2022. nedostatne i netočne.

Prema ustaljenoj sudskoj praksi, pravno sredstvo predviđeno člankom 265. UFEU‑a temelji se na ideji da nezakonito nedjelovanje tužene institucije omogućuje pokretanje postupka pred sudom Unije kako bi on proglasio da je propuštanje djelovanja protivno Ugovoru, ako predmetna institucija nije ispravila tu suzdržanost (presuda od 12. srpnja 1988., Parlament/Vijeće, 377/87, EU:C:1988:387, t. 9.; vidjeti također presudu od 16. prosinca 2015., Švedska/Komisija, T‑521/14, neobjavljenu, EU:T:2015:976, t. 33. i navedenu sudsku praksu).

U slučaju kada je akt, propuštanje kojega je predmet spora, donesen nakon podnošenja tužbe, ali prije objave presude, izjava suda Unije kojom se utvrđuje nezakonitost prvotnog propuštanja više ne može dovesti do posljedica predviđenih člankom 266. UFEU‑a. Iz toga proizlazi da je u takvom slučaju predmet tužbe nestao, pa postupak treba obustaviti (presuda od 12. srpnja 1988., Parlament/Vijeće, 377/87, EU:C:1988:387, t. 10. i 11.; vidjeti također rješenje od 13. prosinca 2000., Sodima/Komisija, C‑44/00 P, EU:C:2000:686, t. 83. i navedenu sudsku praksu).

U ovom slučaju valja utvrditi da je Komisija na zahtjev za informacije od 1. travnja 2022. odgovorila porukom elektroničke pošte od 30. lipnja 2022. (vidjeti točku 11. ove presude). Komisija je stoga okončala propust koji tužitelj navodi u okviru ove tužbe nakon podnošenja te tužbe. Drugi dio tužbenog zahtjeva kojim se traži da se na temelju članka 265. UFEU‑a utvrdi Komisijin propust jer nije odgovorila na zahtjev za informacije od 1. travnja 2022. stoga je postao bespredmetan.

Činjenica da sadržaj Komisijine poruke elektroničke pošte od 30. lipnja 2022. ne odgovara odgovoru koji je tužitelj želio nije relevantna u tom pogledu. Naime, okolnost prema kojoj to stajalište institucije ne zadovoljava tužitelja u tom je pogledu nebitna jer se članak 265. UFEU‑a odnosi na propust do kojeg je došlo zbog propuštanja odlučivanja ili zauzimanja stajališta, a ne donošenja akta različitog od onog koji je ta stranka željela ili smatrala potrebnim (vidjeti rješenje od 6. travnja 2017., Brancheforeningen for Regulerkraft i Danmark/Komisija, T‑203/16, neobjavljeno, EU:T:2017:279, t. 22. i navedenu sudsku praksu).

43	Iz toga slijedi da se obustavlja postupak o tužiteljevu zahtjevu zbog propusta i da nije potrebno odlučiti o nedopuštenosti tog zahtjeva koji je istaknula Komisija.

Zahtjev za naknadu štete

Trećim dijelom svojeg tužbenog zahtjeva tužitelj podnosi dva zahtjeva za naknadu štete. Kao prvo, zahtijeva da se isplati 800 eura na ime naknade neimovinske štete koju je pretrpio zbog Komisijina nepoštovanja njegova prava na pristup informacijama, čime je povrijeđen članak 14. stavci 3. i 4. i članak 17. stavci 1. i 2. Uredbe 2018/1725 te načelo transparentnosti predviđeno člankom 4. stavkom 1. točkom (a) navedene uredbe. Kao drugo, zahtijeva isplatu 400 eura na ime naknade neimovinske štete koju je pretrpio zbog spornih prijenosa, koji su provedeni protivno članku 46. i članku 48. stavku 1. i članku 48. stavku 2. točki (b) Uredbe 2018/1725.

45	Komisija zahtijeva da se zahtjev za naknadu štete odbije.

Uvodna razmatranja o uvjetima utvrđivanja izvanugovorne odgovornosti Unije u okviru Uredbe 2018/1725

46	Članak 65. Uredbe 2018/1725 predviđa da svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja te uredbe ima pravo „pod uvjetima iz Ugovora” na naknadu za pretrpljenu štetu od institucije ili tijela Unije.

Taj članak 65. Uredbe 2018/1725 valja tumačiti na način da se njime predviđa da pravo na naknadu štete pretrpljene zbog povrede te uredbe koju je počinila institucija ili tijelo Unije podliježe uvjetima iz članka 340. drugog stavka UFEU‑a, na temelju kojeg je Unija, u skladu s općim načelima koja su zajednička pravima država članica, dužna naknaditi svaku štetu koju njezine institucije ili službenici prouzroče pri obavljanju svojih dužnosti.

Prema ustaljenoj sudskoj praksi, postojanje izvanugovorne odgovornosti Unije uvjetovano je ispunjenjem triju uvjeta, odnosno postupanje prigovoreno instituciji Unije mora biti nezakonito, šteta mora biti stvarna te između tog postupanja i te štete mora postojati uzročna veza (vidjeti, u tom pogledu, presude od 4. srpnja 2000., Bergaderm i Goupil/Komisija, C‑352/98 P, EU:C:2000:361, t. 39. do 42., i od 28. listopada 2021., Vialto Consulting/Komisija, C‑650/19 P, EU:C:2021:879, t. 138.).

Kumulativni karakter tih uvjeta podrazumijeva da, ako jedan od njih nije ispunjen, tužba za naknadu štete mora se u cijelosti odbiti a da nije potrebno ispitati ostale uvjete (presuda od 9. rujna 1999., Lucaccioni/Komisija, C‑257/98 P, EU:C:1999:402, t. 14. i 63.; vidjeti i presudu od 25. veljače 2021., Dalli/Komisija, C‑615/19 P, EU:C:2021:133, t. 42. i navedenu sudsku praksu).

50	Što se tiče prvog uvjeta, sudska praksa zahtijeva da se utvrdi dovoljno ozbiljna povreda pravnog pravila kojim se dodjeljuju prava pojedincima (vidjeti presudu od 4. srpnja 2000., Bergaderm i Goupil/Komisija, C‑352/98 P, EU:C:2000:361, t. 42. i navedenu sudsku praksu).

Cilj je tog zahtjeva dovoljno ozbiljne povrede pravnog pravila Unije, ma kakva bila narav predmetnog nezakonitog akta, izbjegavanje da rizik od naknađivanja šteta koje su zatražile odnosne osobe ograniči sposobnost predmetne institucije da u potpunosti ispunjava svoje ovlasti u općem interesu, kako u okviru normativne aktivnosti ili aktivnosti koja uključuje izbore ekonomske politike tako i u području upravne nadležnosti, a da unatoč tome ne optereti pojedince posljedicama očitih povreda za koje nema izgovora (vidjeti u tom smislu presudu od 14. prosinca 2018., East West Consulting/Komisija, T‑298/16, EU:T:2018:967, t. 124. i navedenu sudsku praksu).

Odlučujući kriterij koji omogućuje utvrđenje da je povreda dovoljno ozbiljna sastoji se u očitom i teškom nepoštovanju institucije ili odnosnog tijela Unije granica njegove diskrecijske ovlasti. Kada ta institucija ili to tijelo ima znatno smanjenu ili nema nikakvu marginu prosudbe, obična povreda prava Unije dostatna je za utvrđivanje postojanja dovoljno ozbiljne povrede (vidjeti presudu od 10. prosinca 2002., Komisija/Camar i Tico, C‑312/00 P, EU:C:2002:736, t. 54. i navedenu sudsku praksu). Međutim, ta sudska praksa ne uspostavlja nikakvu automatsku vezu između, s jedne strane, nedostatka diskrecijske ocjene dotične institucije, i s druge strane, kvalifikacije dovoljno ozbiljne povrede prava Unije (presuda od 3. ožujka 2010., Artegodan/Komisija, T‑429/05, EU:T:2010:60, t. 59.). Naime, iako ima odlučujući karakter, doseg diskrecijske ovlasti institucije na koju se to odnosi nije isključivi kriterij. U tom pogledu, Sud u pravilu navodi da sustav koji je razvio na temelju članka 340. stavka 2. UFEU‑a, osim toga, osobito uzima u obzir složenost situacija koje treba urediti i teškoće u primjeni ili tumačenju tekstova (vidjeti presudu od23. studenoga 2011., Sison/Vijeće, T‑341/07, EU:T:2011:687, t. 36. i 37. i navedenu sudsku praksu) ili, općenitije, područje, uvjete i kontekst u kojima se povrijeđeno pravilo nameće predmetnoj instituciji ili tijelu Unije (vidjeti presudu od 4. travnja 2017., Ombudsman/Staelen, C‑337/15 P, EU:C:2017:256, t. 40. i navedenu sudsku praksu).

Iz toga slijedi da samo utvrđenje nepravilnosti koju u sličnim okolnostima razborito i savjesno administrativno tijelo ne bi počinilo, može dovesti do izvanugovorne odgovornosti Unije. Stoga je na sudu Unije da – nakon određivanja raspolaže li institucija na koju se to odnosi marginom prosudbe – uzme u obzir složenost situacije koju treba riješiti, teškoće primjene ili tumačenja tekstova, stupanj jasnoće i preciznosti povrijeđenog pravila i namjeru ili neoprostivost počinjene pogreške (presuda od 3. ožujka 2010., Artegodan/Komisija, T‑429/05, EU:T:2010:60, t. 62).

Što se tiče uvjeta koji se odnosi na stvarnost štete, ona mora biti stvarna i izvjesna, što je na tužitelju da dokaže (vidjeti presudu od 9. studenoga 2006., Agraz i dr./Komisija, C‑243/05 P, EU:C:2006:708, t. 27. i navedenu sudsku praksu). Nasuprot tomu, šteta koja je isključivo hipotetska i neodređena ne daje pravo na naknadu štete (vidjeti presudu od 26. listopada 2011., Dufour/ESB, T‑436/09, EU:T:2011:634, t. 192. i navedenu sudsku praksu).

Što se tiče uvjeta u pogledu uzročne veze, on se odnosi na dovoljno izravnu uzročnu povezanost između postupanja institucija Unije i štete, koju mora dokazati tužitelj, tako da postupanje koje se stavlja na teret mora biti odlučujući uzrok štete (vidjeti presudu od 13. prosinca 2018., Europska unija/ASPLA i Armando Álvarez, C‑174/17 P i C‑222/17 P, EU:C:2018:1015, t. 23. i navedenu sudsku praksu).

Usto valja podsjetiti na to da je tužba za naknadu štete, koja se zasniva na članku 340. drugom stavku UFEU‑a, uspostavljena kao samostalno pravno sredstvo, s obzirom na njezinu posebnu ulogu u okviru sustava pravnih sredstava te s obzirom na to da je njezino korištenje, zbog njezinog specifičnog predmeta, uvjetovano ispunjenjem određenih pretpostavki, tako da proglašenje nedopuštenim zahtjeva za poništenje ne dovodi automatski do nedopuštenosti zahtjeva za naknadu štete (vidjeti presudu od 5. rujna 2019., Europska unija/Guardian Europe i Guardian Europe/Europska unija, C‑447/17 P i C‑479/17 P, EU:C:2019:672, t. 49. i navedenu sudsku praksu).

57	Iz toga slijedi da odbacivanje zahtjeva za poništenje kao nedopuštenog i odbacivanje zahtjeva zbog propusta radi obustave postupka, u skladu s točkama 35. i 43. ove presude, posljedično ne podrazumijeva odbacivanje kao nedopuštenih zahtjeva za naknadu štete navedenih u točki 44. ove presude.

58	S obzirom na ta razmatranja valja ispitati tužiteljeve prigovore u okviru njegovih zahtjeva za naknadu štete.

Prvi zahtjev za naknadu štete koji se odnosi na neimovinsku štetu nastalu povredom prava na pristup informacijama

59	Svojim prvim zahtjevom za naknadu štete tužitelj zahtijeva da se Komisiji naloži da mu isplati iznos od 800 eura na ime naknade neimovinske štete pretrpljene zbog povrede njegova prava na pristup informacijama.

Prije svega, tužitelj prigovara Komisiji da nije odgovorila na zahtjev za informacije od 1. travnja 2022. u određenom roku i da mu nije priopćila razloge za njezino nedjelovanje, čime je povrijedila članak 14. stavke 3. i 4. i članak 17. stavke 1. i 2. Uredbe 2018/1725 kao i načelo transparentnosti, predviđeno člankom 4. stavkom 1. točkom (a) iste uredbe. Usto, Komisija nije poštovala članak 17. stavak 1. točku (c) i članak 17. stavak 2. Uredbe 2018/1725 jer izjava o zaštiti privatnosti, koja se nalazi na internetskoj stranici CAE‑a, ne sadržava informacije o prijenosu osobnih podataka trećim zemljama i eventualnim prikladnim zaštitnim mjerama u svrhu navedenog prijenosa, kao što se to zahtijeva člankom 48. navedene uredbe. Usto, u poruci elektroničke pošte od 3. prosinca 2021. Komisija je dostavila pogrešne informacije jer je zanijekala prijenos tužiteljevih osobnih podataka primateljima koji se nalaze u Sjedinjenim Američkim Državama.

Nadalje, tužitelj tvrdi da ga je Komisijino skrivljeno nedjelovanje spriječilo u nadzoru obrade njegovih osobnih podataka, što predstavlja neimovinsku štetu u smislu uvodne izjave 46. Uredbe 2018/1725. Naposljetku, tvrdi da je ta neimovinska šteta, koju procjenjuje na 800 eura, izravno uzrokovana Komisijinim nezakonitim postupanjem.

62	Komisija osporava te argumente ističući, u biti, da u ovom slučaju nije ispunjen nijedan od uvjeta za utvrđivanje izvanugovorne odgovornosti.

63	Prije svega, što se tiče uvjeta koji se odnosi na nezakonitost postupanja koje se stavlja na teret, valja provjeriti je li se tužitelj pozvao na povredu pravnih pravila kojima se dodjeljuju prava pojedincima.

U tom pogledu valja primijetiti da se člankom 17. stavkom 1. točkom (c) Uredbe 2018/1725 utvrđuje pravo dotične osobe na pristup informacijama o primateljima kojima su njezini osobni podaci otkriveni, posebno primateljima u trećim zemljama. Tom se odredbom stoga konkretizira načelo utvrđeno u članku 4. stavku 1. točki (a) Uredbe 2018/1725, prema kojem sve informacije i sva komunikacija o obradi osobnih podataka moraju biti lako dostupne.

Osim toga, člankom 14. stavkom 3. Uredbe 2018/1725 voditelju obrade osobnih podataka utvrđuje se rok od mjesec dana za odgovor na zahtjeve za informacije. Usto, člankom 14. stavkom 4. te uredbe nalaže se voditelju obrade osobnih podataka da, ako odluči ne postupiti po zahtjevu ispitanika, da u roku od mjesec dana izvijesti ispitanika o razlozima zbog kojih nije postupio i o mogućnosti podnošenja pritužbe Europskom nadzorniku za zaštitu podataka (EDPS) i traženja pravnog lijeka. Te su odredbe stoga pravila upravnog postupka koja doprinose provedbi prava na pristup informacijama o osobnim podacima osobe čiji se podaci obrađuju konkretiziranjem i modulacijom. Štoviše, te odredbe pridonose konkretizaciji prava koje je svakoj osobi dodijeljeno na temelju članka 41. Povelje da institucije i tijela Unije njezin predmet rješavaju u razumnom roku.

66	Slijedom toga, odredbe članka 4. stavka 1. točke (a), članka 14. stavaka 3. i 4. i članka 17. stavka 1. točke (c) Uredbe 2018/1725, tumačene zajedno, pravna su pravila kojima se dodjeljuju prava pojedincima u smislu sudske prakse navedene u točki 50. ove presude.

67	Nadalje, valja ispitati je li u ovom slučaju dokazana Komisijina povreda tih odredbi.

S jedne strane, tužitelj tvrdi da je Komisija povrijedila članak 17. stavak 1. točku (c) i članak 17. stavak 2. Uredbe 2018/1725 jer izjava o zaštiti privatnosti koja se nalazi na internetskoj stranici CAE‑a ne sadržava informacije o prijenosu osobnih podataka primateljima u trećim zemljama, eventualnim prikladnim zaštitnim mjerama u vezi s navedenim prijenosom ili o identifikaciji ugovaratelja kao primatelja tih podataka.

Kao što je to navedeno u točki 64. ove presude, člankom 17. stavkom 1. točkom (c) i člankom 17. stavkom 2. Uredbe 2018/1725 predviđa se da osoba čiji se podaci obrađuju ima, među ostalim, pravo na dobivanje informacija o primateljima u trećim zemljama kojima su osobni podaci otkriveni kao i o odgovarajućim zaštitnim mjerama u vezi s prijenosom podataka tim primateljima.

Iz toga slijedi da se tim odredbama utvrđuje pravo dotične osobe na pristup određenim informacijama, ali se njima ne predviđa da se navedene informacije obvezno moraju nalaziti u određenom dokumentu, odnosno u izjavi o zaštiti privatnosti, poput one koja se nalazi na internetskoj stranici CAE‑a. Drugim riječima, iz tih odredbi ne proizlazi da predmetne informacije moraju biti otkrivene putem navedene izjave. S obzirom na to, tužitelj, kao i svaka dotična osoba, zadržava pravo na dobivanje takvih informacija ostvarivanjem svojeg prava na pristup informacijama, utvrđenog u članku 17. stavku 1. točki (c) i članku 17. stavku 2. Uredbe 2018/1725, što je pitanje koje prelazi doseg nezakonitosti koju tužitelj prigovara Komisiji, a koja je ograničena na sadržaj izjave o zaštiti privatnosti (vidjeti točku 68. ove presude).

U svakom slučaju, konkretno iz teksta navedene izjave o zaštiti privatnosti, priložene tužbi, proizlazi da ona sadržava informacije koje se odnose na primatelje ili kategorije primatelja kojima su osobni podaci bili otkriveni ili će to biti. Tako je u točki 7. navedene izjave osobito navedeno da se pristup podacima „odobrava ovlaštenom osoblju [Komisije] i njezinim ugovarateljima koji su zaduženi za provedbu postupka obrade o kojem je riječ, u skladu s načelom ‚nužnosti pristupa’”. Usto, tužiteljev argument koji se temelji na tome da navedena izjava ne sadržava informacije o prijenosu osobnih podataka primateljima u trećim zemljama temelji se na pretpostavci prema kojoj pregledavanje internetske stranice CAE‑a podrazumijeva prijenos osobnih podataka korisnika u treću zemlju. Međutim, ovaj zahtjev za naknadu štete temelji se na povredi prava na pristup informacijama, a ne na povredi odredbi o prijenosu osobnih podataka trećim zemljama na kojem se, uostalom, temelji drugi zahtjev za naknadu štete.

72	Stoga u ovom slučaju nije dokazano da je Komisija povrijedila članak 17. stavak 1. točku (c) i članak 17. stavak 2. Uredbe 2018/1725 u pogledu izjave o zaštiti privatnosti koja se nalazi na internetskoj stranici CAE‑a.

S druge strane, tužitelj prigovara Komisiji da nije odgovorila na zahtjev za informacije od 1. travnja 2022. u određenom roku i da ga nije obavijestila o razlozima za njezino nedjelovanje, čime je povrijedila članak 14. stavke 3. i 4. i članak 17. stavke 1. i 2. Uredbe 2018/1725 kao i načelo transparentnosti. Usto, Komisija mu je dostavila pogrešne informacije u poruci elektroničke pošte od 3. prosinca 2021.

Najprije valja primijetiti da tužitelj ne iznosi nijedan konkretan argument u prilog povredi načela transparentnosti. Taj argument stoga nema samostalan sadržaj u odnosu na prigovor koji se temelji na nepoštovanju roka za odgovor na zahtjev za informacije i obveze priopćavanja razloga zbog kojih je taj rok prekoračen.

Usto, tužiteljevi argumenti koji se temelje na povredi članka 17. stavaka 1. i 2. Uredbe 2018/1725 kao i na činjenici da mu je Komisija dostavila pogrešne informacije u poruci elektroničke pošte od 3. prosinca 2021. počivaju na pretpostavki prema kojoj pregledavanje internetske stranice CAE‑a podrazumijeva prijenos osobnih podataka korisnika trećoj zemlji. Međutim, kako se navodi u točki 71. ove presude, ovaj zahtjev za naknadu štete temelji se na povredi prava na pristup informacijama, a ne na povredi odredbi o prijenosu osobnih podataka trećim zemljama na kojem se, uostalom, temelji drugi zahtjev za naknadu štete.

76	Stoga u ovom slučaju nije dokazano da je Komisija povrijedila članak 17. stavke 1. i 2. Uredbe 2018/1725.

Što se tiče tužiteljeva prigovora koji se temelji na povredi članka 14. stavaka 3. i 4. Uredbe 2018/1725, iz spisa proizlazi da je Komisija odgovorila na zahtjev za informacije od 9. studenoga 2021. u roku od mjesec dana predviđenom u članku 14. stavku 3. Uredbe 2018/1725 (vidjeti točke 5. i 7. ove presude). Što se tiče zahtjeva za informacije od 1. travnja 2022., Komisija je porukom elektroničke pošte od 30. lipnja 2022. obavijestila tužitelja da smatra da je zahtjev za informacije od 1. travnja 2022. bio gotovo istovjetan zahtjevu za informacije od 9. studenoga 2021. i da je na njega već odgovorila porukom elektroničke pošte od 3. prosinca 2021. (vidjeti točku 11. ove presude).

78	Iz toga slijedi da, što se tiče zahtjeva za informacije od 1. travnja 2022., Komisija nije poštovala rok od mjesec dana predviđen člankom 14. stavkom 4. Uredbe 2018/1725 (vidjeti točku 65. ove presude).

79	Iz točaka 68. do 78. ove presude proizlazi da je u ovom slučaju dokazana jedino nezakonitost koja se stavlja na teret Komisiji zbog nepoštovanja roka predviđenog člankom 14. stavkom 4. Uredbe 2018/1725.

U tim okolnostima i neovisno o pitanju predstavlja li Komisijino nepoštovanje navedenog roka dovoljno ozbiljnu povredu pravnog pravila, najprije valja ispitati je li nepoštovanje tog roka tužitelju uzrokovalo stvarnu i odredivu neimovinsku štetu u smislu sudske prakse navedene u točki 54. ove presude.

Što se tiče stvarnog postojanja navodno pretrpljene neimovinske štete, valja podsjetiti da, iako se podnošenje dokaznih prijedloga ne smatra nužno pretpostavkom za njezino priznavanje, na tužitelju je barem da dokaže da mu je postupanje koje se stavlja na teret predmetnoj instituciji moglo uzrokovati takvu štetu (presuda od 16. srpnja 2009., SELEX Sistemi Integrati/Komisija, C‑481/07 P, neobjavljena, EU:C:2009:461, t. 38.; vidjeti u tom smislu također presudu od 2. srpnja 2019., Fulmen/Vijeće, T‑405/15, EU:T:2019:469, t. 188. i navedenu sudsku praksu).

82	U ovom slučaju tužitelj zahtijeva naknadu neimovinske štete u iznosu od 800 eura, navodeći da ga je postupanje koje se stavlja na teret Komisiji spriječilo u nadzoru obrade njegovih osobnih podataka.

Međutim, valja utvrditi da takva neimovinska šteta nije dokazana u ovom slučaju. Naime, u ovom je slučaju jedina nezakonitost utvrđena u slučaju Komisijina nepoštovanja jednomjesečnog roka predviđenog člankom 14. stavkom 4. Uredbe 2018/1725 (vidjeti točku 79. ove presude). Međutim, taj rok nije prekoračen za više od dva mjeseca (vidjeti točku 77. ove presude). Usto, zahtjevi za informacije od 9. studenoga 2021. i 1. travnja 2022. u osnovi su bili isti (vidjeti točke 5. i 8. ove presude), tako da je tužitelj već primio odgovor na barem jedan dio svojeg zahtjeva za informacije 3. prosinca 2021., na datum na koji je Komisija odgovorila na zahtjev za informacije od 9. studenoga 2021. (vidjeti točku 7. ove presude).

Osim toga, tužiteljev argument koji se temelji na priopćavanju pogrešnih informacija (vidjeti točku 75. ove presude) odnosi se na osnovanost informacija, a ne na poštovanje postupovnog pravila čija je povreda utvrđena u točki 78. ove presude i stoga nije relevantan za dokazivanje neimovinske štete na koju se poziva.

85	Iz toga slijedi da nije dokazano da je Komisijino nepoštovanje roka predviđenog člankom 14. stavkom 4. Uredbe 2018/1725 tužitelju moglo uzrokovati navodnu neimovinsku štetu.

86	Slijedom toga, budući da nije ispunjen jedan od kumulativnih uvjeta za utvrđivanje izvanugovorne odgovornosti Unije iz članka 340. drugog stavka UFEU‑a, valja odbiti prvi tužiteljev zahtjev za naknadu štete.

Drugi zahtjev za naknadu štete koji se odnosi na naknadu neimovinske štete nastale spornim prijenosima

Svojim drugim zahtjevom za naknadu štete tužitelj zahtijeva isplatu 400 eura na ime naknade neimovinske štete koju je pretrpio zbog spornih prijenosa navedenih u točkama 26. do 28. ove presude, odnosno spornog prijenosa prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022., spornog prijenosa prilikom povezivanja s EU Loginom 30. ožujka 2022. i spornog prijenosa prilikom posjeta internetskoj stranici CAE‑a od 8. lipnja 2022.

Tužitelj u biti tvrdi da su sporni prijenosi izvršeni primateljima u Sjedinjenim Američkim Državama, zemlji koja nema odgovarajuću razinu zaštite. Komisija nije navela nijednu od odgovarajućih zaštitnih mjera kojima bi se mogli opravdati ti prijenosi, predviđenih u poglavlju V. Uredbe 2018/1725, te je stoga povrijedila članak 46. i članak 48. stavak 1. i članak 48. stavak 2. točku (b) te uredbe kao i članke 7., 8. i 47. Povelje. Sporni prijenosi doveli su do opasnosti da sigurnosne i obavještajne službe te zemlje pristupe tužiteljevim podacima te su mu slijedom toga prouzročili neimovinsku štetu u smislu uvodne izjave 46. Uredbe 2018/1725 jer su mu uskraćena njegova prava i slobode te je bio spriječen u izvršavanju nadzora nad svojim podacima.

89	Komisija osporava te argumente ističući, u biti, da u ovom slučaju nije ispunjen nijedan od uvjeta za utvrđivanje izvanugovorne odgovornosti.

– Uvodna razmatranja o odredbama o prijenosu osobnih podataka trećoj zemlji

Kao prvo, valja primijetiti da se, u skladu s njezinim člankom 2. stavkom 5., Uredba 2018/1725 primjenjuje na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

91	Kao drugo, pojam „osobni podaci” valja tumačiti na način da se odnosi na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, u skladu s člankom 3. točkom 1. Uredbe 2018/1725.

92	Kao treće, valja primijetiti da je prijenos podataka postupak „obrade” podataka u smislu članka 3. točke 3. Uredbe 2018/1725.

93	Kao četvrto, valja primijetiti da su „prijenosi osobnih podataka trećim zemljama ili međunarodnim organizacijama” uređeni poglavljem V. Uredbe 2018/1725, koje ih međutim ne definira.

Međutim, iz uvodne izjave 63. Uredbe 2018/1725 proizlazi da se prijenosi na koje se odnose odredbe poglavlja V. te uredbe odnose na osobne podatke koji se iz institucija i tijela Unije prenose voditeljima obrade, izvršiteljima obrade ili drugim primateljima u trećim zemljama ili međunarodnim organizacijama.

Usto, iz sustavnog tumačenja Uredbe 2018/1725 proizlazi da prijenos osobnih podataka u treće zemlje, u smislu njezina članka 46., zahtijeva, kao prvo, da je voditelj obrade predmetnih podataka u nadležnosti institucije ili tijela Unije i da se stoga na njega primjenjuje navedena uredba (članak 1. Uredbe 2018/1725); kao drugo, voditelj obrade mora staviti na raspolaganje, prijenosom ili na drugi način, osobne podatke primatelju, osobito drugoj fizičkoj ili pravnoj osobi (članak 3. točke 3. i 13. Uredbe 2018/1725) i, kao treće, da je taj primatelj u trećoj zemlji (članak 46. Uredbe 2018/1725), odnosno zemlji koja nije članica ni Unije ni Europskog gospodarskog prostora (EGP).

96	Kao peto, valja utvrditi da se odredbama poglavlja V. Uredbe 2018/1725 nastoji očuvati, prilikom prijenosa osobnih podataka u treće zemlje ili međunarodne organizacije, razina zaštite pojedinaca zajamčena u Uniji, u skladu s ciljem navedenim u njezinoj uvodnoj izjavi 63.

97	Kao šesto, člankom 46. Uredbe 2018/1725 predviđa se opće načelo prema kojem se prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može izvršiti samo ako, u skladu s drugim odredbama te uredbe, voditelj obrade i izvršitelj obrade poštuju uvjete iz njezina poglavlja V.

Kao sedmo, što se tiče uvjeta utvrđenih u poglavlju V. Uredbe 2018/1725, valja primijetiti da se člankom 47. stavkom 1. te uredbe predviđa da se prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može izvršiti ako je Komisija odlukom o primjerenosti, među ostalim, na temelju članka 45. stavka 3. Uredbe 2016/679 odlučila da predmetna zemlja ili međunarodna organizacija osigurava odgovarajuću razinu zaštite i da se prijenos osobnih podataka obavlja isključivo kako bi se omogućilo izvršavanje zadaća za koje je nadležan voditelj obrade.

U tom pogledu valja podsjetiti na to da su dvije Komisijine odluke o primjerenosti u pogledu Sjedinjenih Američkih Država proglašene nevaljanima. S jedne strane, Sud je presudom od 6. listopada 2015., Schrems (C‑362/14, EU:C:2015:650) proglasio nevaljanom Odluku Komisije 2000/520/EZ od 26. srpnja 2000. sukladno s Direktivom 95/46/EZ Europskog parlamenta i Vijeća o primjerenosti zaštite koju pružaju načela privatnosti „sigurne luke” i uz njih vezana često postavljana pitanja koje je izdalo Ministarstvo trgovine SAD‑a (SL 2000., L 215, str. 7.). S jedne strane, presudom Schrems II Sud je proglasio nevaljanom Provedbenu odluku Komisije (EU) 2016/1250 od 12. srpnja 2016., o primjerenosti zaštite u okviru europsko‑američkog sustava zaštite privatnosti u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća (SL 2016., L 207, str. 1.).

100	Iz toga slijedi da na dan spornih prijenosa u pogledu Sjedinjenih Američkih Država nije postojala nikakva odluka o primjerenosti u smislu članka 47. Uredbe 2018/1725.

101

Ako Komisija nije donijela odluku o primjerenosti u pogledu Sjedinjenih Američkih Država, primjenjuje se članak 48. stavak 1. Uredbe 2018/1725, prema kojem voditelj obrade ili izvršitelj obrade može prenijeti osobne podatke trećoj zemlji ili međunarodnoj organizaciji samo ako je predvidio odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkoviti pravni lijekovi.

102	Odgovarajuće zaštitne mjere iz članka 48. stavka 1. Uredbe 2018/1725, navedene u članku 48. stavcima 2. i 3. te uredbe, mogu se pružiti, među ostalim, standardnim klauzulama o zaštiti podataka koje je Komisija donijela u skladu s člankom 48. stavkom 2. točkom (b) te uredbe.

103	Međutim, standardne klauzule o zaštiti podataka predviđene člankom 48. stavkom 2. točkom (b) Uredbe 2018/1725 mogu zahtijevati donošenje dodatnih mjera kako bi se osiguralo poštovanje odgovarajuće razine zaštite s obzirom na pravo Unije (vidjeti, po analogiji, presudu Schrems II, t. 133. i 134.).

104

Usto, odgovarajuće zaštitne mjere iz članka 48. stavka 1. Uredbe 2018/1725 mogu se pružiti, među ostalim, ugovornim klauzulama predviđenima u članku 48. stavku 3. točki (a) navedene uredbe, sklopljenima između, s jedne strane, voditelja obrade ili izvršitelja obrade i, s druge strane, voditelja obrade, izvršitelja obrade ili primatelja osobnih podataka u trećoj zemlji, podložno odobrenju EDPS‑a.

105	Osim toga, valja podsjetiti da članci 7., 8. i 47. Povelje uspostavljaju pravo na poštovanje privatnog života, pravo na zaštitu osobnih podataka i pravo na djelotvoran pravni lijek i na pošteno suđenje.

106

U ovom slučaju najprije valja primijetiti da se tužiteljev drugi zahtjev za naknadu štete temelji na Komisijinoj povredi odredbi članka 46. i članka 48. stavka 1. te članka 48. stavka 2. točke (b) Uredbe 2018/1725 kao i članaka 7., 8. i 47. Povelje. Međutim, iz točaka 91. do 105. ove presude proizlazi da se navedenim odredbama Uredbe 2018/1725 konkretiziraju temeljna prava, kao što su ona utvrđena u člancima 7. i 8. Povelje, te se njima u cjelini nastoji osigurati kontinuitet visoke razine zaštite osobnih podataka u slučaju prijenosa tih podataka trećim zemljama ili međunarodnim organizacijama.

107	Iz toga slijedi da odredbe na čiju se povredu tužitelj poziva u prilog svojem drugom zahtjevu za naknadu štete imaju za cilj zaštititi osobni interes dotičnih osoba i stoga predstavljaju pravna pravila kojima se dodjeljuju prava pojedincima, u smislu sudske prakse navedene u točki 50. ove presude.

108	Sada valja provjeriti jesu li ispunjeni uvjeti za utvrđivanje izvanugovorne odgovornosti Komisije za svaki od triju spornih prijenosa navedenih u točki 87. ove presude.

109

Budući da su sporni prijenosi navedeni u točkama 26. i 28. ove presude provedeni zbog toga što se na internetskoj stranici CAE‑a upotrebljavala mreža za dostavljanje sadržaja ili „MES” (na engleskom jeziku „content delivery network” ili „CDN”) pod nazivom Amazon CloudFront (u daljnjem tekstu: usluga Amazon CloudFront), najprije valja istražiti uvjete funkcioniranja te usluge u okviru te internetske stranice.

– Funkcioniranje usluge Amazon CloudFront u okviru CAE‑ove internetske stranice

110	U ovom slučaju nesporno je da se CAE‑ova internetska stranica koristi mrežom za dostavljanje sadržaja Amazon CloudFront i da se ta mreža aktivira svaki put kad korisnik posjeti navedenu internetsku stranicu.

111

Iz spisa proizlazi, osobito iz odgovora stranaka na mjeru upravljanja postupkom od 21. srpnja 2023., kao i iz njihovih izlaganja i odgovora na raspravi održanoj 17. listopada 2023., da je, kao prvo, usluga Amazon CloudFront internetska usluga koja ubrzava distribuciju internetskih sadržaja, u ovom slučaju sadržaja CAE‑ove internetske stranice, korisnicima. Usluga Amazon CloudFront dostavlja sadržaj putem globalne mreže poslužitelja ili podatkovnih centara nazvanih „periferne lokacije” ili „periferni poslužitelji”.

112

Kao drugo, usluga Amazon CloudFront temelji se na mehanizmu preusmjeravanja kojim se zahtjev korisnika internetske stranice CAE‑a usmjerava na periferni poslužitelj koji osigurava najkraće vrijeme latencije, u skladu s načelom blizine korisničkom terminalu, kako bi se sadržaj prenio korisniku u najboljim mogućim uvjetima. Ako, među ostalim, zbog tehničkih poteškoća nije dostupan periferni poslužitelj s najnižom latencijom, uspostavlja se veza s perifernim poslužiteljem s drugom najnižom latencijom, i tako dalje.

113	Kao treće, usluga Amazon CloudFront upotrebljava se za CAE‑ovu internetsku stranicu na temelju ugovora br. 2020 – 1742 koji su potpisali Komisija i društvo AWS EMEA, koje je društvo kći u vlasništvu američkog trgovačkog društva Amazon.com sa sjedištem u Luksemburgu (vidjeti točku 12. ove presude).

114

Kao četvrto, u okviru tog ugovora Komisija se u pogledu internetske stranice CAE‑a odlučila za zemljopisno područje pod nazivom „Sjeverna Amerika (Sjedinjene Američke Države, Meksiko, Kanada), Europa i Izrael”. To znači da se sadržaj te internetske stranice ne širi putem globalne mreže perifernih lokacija Amazon CloudFront, nego samo putem onih koji se nalaze u prethodno navedenim zemljopisnim područjima, odnosno u SAD‑u, Meksiku, Kanadi, Europi i Izraelu.

115

Kao peto, zbog načela blizine navedenog u točki 112. ove presude, zahtjevi korisnika Unije za pregledavanje internetske stranice CAE‑a obično se usmjeravaju prema perifernim poslužiteljima mreže Amazon CloudFront smještenima na tom području, dok su slučajevi u kojima su ti zahtjevi upućeni poslužiteljima izvan Unije rijetki.

116

Kao šesto, što se tiče infrastrukture mreže perifernih lokacija Amazon CloudFronta, iz spisa proizlazi da je pruža niz poduzetnika, od kojih neki pripadaju grupi Amazon, a neki su treći poduzetnici čiji se popis može pregledati na internetskoj stranici Amazon Web Servicesa, ovisno o predmetnom zemljopisnom području. U pogledu zemljopisnog područja pod nazivom „Sjeverna Amerika (Sjedinjene Američke Države, Meksiko, Kanada), Europa i Izrael”, dotični poduzetnici imaju poslovni nastan i u državama članicama Europske unije i izvan Unije, posebno u Sjedinjenim Američkim Državama, Izraelu, Meksiku, Švicarskoj ili Ujedinjenoj Kraljevini. Svaki poduzetnik upravlja poslužiteljima u zemlji u kojoj ima poslovni nastan i stoga zemljopisni položaj poslužitelja koji su uključeni u pružanje usluge Amazon CloudFront ovisi i o lokaciji predmetnih poduzetnika.

117

Kao sedmo, odredbe ugovora između Komisije i društva AWS EMEA predviđaju, među ostalim, sljedeće:

–	AWS EMEA mora moći osigurati da podaci ostanu u mirovanju i u tranzitu unutar EGP‑a (odjeljak 11.2. ugovora);

–	AWS EMEA nije ovlašten promijeniti lokaciju obrade podataka bez prethodnog odobrenja Komisije (odjeljak 12.2.3.(a) ugovora);

–	svaki prijenos osobnih podataka na temelju ugovora trećim zemljama ili međunarodnim organizacijama mora biti u potpunosti u skladu sa zahtjevima utvrđenima u poglavlju V. Uredbe 2018/1725 (odjeljak 12.2.3(b) ugovora);

–	AWS EMEA ne smije prenijeti nikakve osobne podatke u zemlju izvan EGP‑a, osim ako Komisija prethodno nije dala svoje pisano odobrenje za takav prijenos i ako je prijenos obavljen u skladu s uvjetima iz poglavlja V. (odjeljak 1.8.9. ugovora);

–	AWS EMEA mora poslati Komisiji sve zahtjeve za pristup osobnim podacima i koristiti se svim pravnim lijekovima dostupnima protiv tih zahtjeva (odjeljci 1.8.3., 1.8.4. i 1.8.5. ugovora);

–	AWS EMEA mora osigurati da se te mjere provode i u slučaju izvršiteljima obrade (odjeljak 1.8.8. ugovora).

118	Kao osmo, Komisija se savjetovala s EDPS‑om o gore navedenim ugovornim odredbama, ali one nisu bile predmet njegova formalnog odobrenja na temelju članka 48. stavka 3. točke (a) Uredbe 2018/1725.

– Sporni prijenos prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022.

119

Tužitelj u biti tvrdi da je prilikom posjete internetskoj stranici CAE‑a od 30. ožujka 2022. utvrdio da su određeni osobni podaci koji mu pripadaju, osobito njegova IP adresa i informacije o njegovu pregledniku i terminalu, preneseni u SAD. Naime, kao prvo, navedena internetska stranica koristila se mrežom za dostavljanje sadržaja nazvanom „Amazon CloudFront”, čiji je operator Amazon Web Services, američko društvo kći američkog poduzetnika Amazon.com. Kao drugo, tijekom te posjete, tužiteljevi osobni podaci poslani su usluzi Amazon CloudFront, konkretnije poslužitelju Amazon.com smještenom u Seattleu (Washington, SAD), čija je IP adresa 18.66.192.74. Kao treće, Amazon je dostavio sigurnosni ključ koji je koristila CAE‑ova internetska stranica (takozvani „SSL certifikat”), zbog čega valja pretpostaviti da je on imao mogućnost dekriptirati sve tužiteljeve osobne podatke prenesene na njegove poslužitelje, uključujući njegova mišljenja o budućnosti Europe. Kao četvrto, poduzetnik koji pruža uslugu Amazon CloudFront podliježe američkim zakonima i stoga je obvezan dostaviti informacije sigurnosnim i nadzornim službama SAD‑a, i to čak i ako se poslužitelji nalaze izvan te zemlje. Usto, Komisija nije donijela „dodatne mjere” u smislu presude Schrems II, kako bi zajamčila odgovarajuću razinu zaštite podataka prenesenih u SAD.

120	Komisija osporava te argumente.

121	Što se tiče posjeta internetskoj stranici CAE‑a od 30. ožujka 2022., iz spisa proizlazi da je tužitelj na taj datum posjetio tu internetsku stranicu (vidjeti točku 3. ove presude) i da je prilikom te posjete obavljen prijenos njegove IP adrese i informacija o pregledniku i terminalu.

122

U tom pogledu valja utvrditi da IP adresu treba kvalificirati kao osobne podatke u smislu članka 3. točke 1. Uredbe 2018/1725 jer ispunjava dva uvjeta koja su njime predviđena. S jedne strane, ta se informacija odnosi na pojedinca i, s druge strane, odnosi se na pojedinca čiji je identitet utvrđen ili se može utvrditi, u ovom slučaju tužitelja (presuda od 26. travnja 2023., SRB/EDPS, T‑557/20, u žalbenom postupku, EU:T:2023:219, t. 59.; vidjeti također u tom smislu i po analogiji presude od 24. studenoga 2011., Scarlet Extended, C‑70/10, EU:C:2011:771, t. 51. i od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 49.). Naime, čak i „dinamičke” IP adrese, koje su po svojoj prirodi promjenjive, odgovaraju točnom identitetu u određenom trenutku, koji se u ovom slučaju podudara s trenutkom kada je došlo do posjeta CAE‑ovoj internetskoj stranici.

123	Također je dokazano da je prijenos podataka naveden u točki 121. ove presude pokrenula CAE‑ova internetska stranica putem usluge Amazon CloudFront na poslužitelj čija je IP adresa 18.66.192.74.

124

Također je dokazano da je u trenutku nastanka činjenica IP adresa 18.66.192.74 bila dodijeljena poslužitelju smještenom u Münchenu (Njemačka) i da je taj poslužitelj pripadao poduzetniku A 100 ROW GmbH, koji je imao sjedište u Njemačkoj i bio je na popisu poduzetnika navedenom u točki 116. ove presude.

125	Iz toga slijedi da je točno da je prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022. došlo do prijenosa tužiteljevih osobnih podataka u smislu članka 3. točke 1. Uredbe 2018/1725, osobito njegove IP adrese.

126	Međutim, u ovom slučaju nije dokazano da je prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022. došlo do prijenosa tužiteljevih osobnih podataka trećoj zemlji i, konkretno, Sjedinjenim Američkim Državama.

127

Suprotno tomu, iz točaka 121. do 124. ove presude proizlazi da je, prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022., pokrenut prijenos tužiteljevih osobnih podataka, preko CAE‑ove internetske stranice putem službe Amazon CloudFront, na poslužitelj smješten u Münchenu. Navedeni poslužitelj pripadao je poduzetniku sa sjedištem u Njemačkoj, koji je bio dio mreže pružatelja infrastrukture usluge Amazon CloudFront, koja se pružala Komisiji na temelju ugovora s društvom AWS EMEA, poduzetnikom sa sjedištem u Luksemburgu.

128	Iz toga slijedi da su prilikom pregledavanja CAE‑ove internetske stranice od 30. ožujka 2022. tužiteljevi osobni podaci preneseni primatelju u Uniji.

129

Osim toga, čak i pod pretpostavkom da tužiteljevi osobni podaci nisu napustili područje Unije, ti su podaci ipak preneseni na poslužitelj koji pripada mreži perifernih mjesta usluge Amazon CloudFront, koja u pogledu širenja sadržaja internetske stranice CAE‑a obuhvaća mrežu perifernih mjesta koja nije ograničena na područje EGP‑a, već ga nadilazi (vidjeti točku 116. ove presude).

130	Međutim, konkretne okolnosti opisane u točki 127. ove presude ne dokazuju postojanje prijenosa osobnih podataka primateljima izvan EGP‑a, osobito u Sjedinjenim Američkim Državama.

131

Sporni prijenos prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022. stoga ne odgovara prijenosu osobnih podataka trećoj zemlji u smislu članka 46. Uredbe 2018/1725, s obzirom na to da koncept prijenosa trećoj zemlji zahtijeva da se osobni podaci stave na raspolaganje primatelju izvan EGP‑a (vidjeti točku 93. ove presude).

132	Tužiteljev argument koji se temelji na činjenici da je društvo AWS EMEA, kao društvo kći američkog poduzetnika, obvezno proslijediti osobne podatke američkim tijelima, čak i ako su ti podaci pohranjeni na području Unije, ne dovodi u pitanje taj zaključak.

133

Iako je točno da pristup osobnim podacima koje tijela treće zemlje obrađuju u EGP‑u na temelju zakonodavstva te zemlje predstavlja prijenos osobnih podataka trećoj zemlji u smislu članka 46. Uredbe 2018/1725, u ovom slučaju ipak nije utvrđeno da je takav pristup ostvaren. Naime, tužitelj nije ni dokazao ni tvrdio da je američkim tijelima prenio bilo koji osobni podatak koji mu pripada niti je dokazao ili naveo postojanje zahtjeva tih tijela u vezi s podacima koji su preneseni na navedeni poslužitelj Amazona CloudFront, smješten u Münchenu.

134

Stoga se tužiteljev argument ne odnosi na izravnu povredu odredbi poglavlja V. Uredbe 2018/1725, nego samo na opasnost od takve povrede u slučaju da se društvo AWS EMEA, zbog svojeg svojstva društva kćeri američkog poduzetnika, ne može usprotiviti zahtjevu američkih tijela koji se odnosi na pristup podacima pohranjenima na poslužiteljima smještenima na području EGP‑a.

135

Međutim, sama opasnost od toga da treća zemlja pristupi osobnim podacima ne može odgovarati prijenosu podataka u smislu članka 46. Uredbe 2018/1725, kako je protumačen u točki 93. ove presude, jer nije dokazano da su tužiteljevi osobni podaci preneseni ili na drugi način stavljeni na raspolaganje primatelju u trećoj zemlji. Drugim riječima, opasnost od povrede navedenog članka 46. ne može se izjednačiti s izravnom povredom te odredbe.

136

Usto, valja podsjetiti na to da se, u okviru ovog zahtjeva za naknadu štete, ispitivanje Općeg suda odnosi na provjeru uvjeta za utvrđivanje izvanugovorne odgovornosti Komisije i osobito na uvjet koji se odnosi na nezakonitost Komisijina postupanja, kojim se zahtijeva da se utvrdi dovoljno ozbiljna povreda odredbi Uredbe 2018/1725 i Povelje na koje se poziva tužitelj.

137	U tom pogledu, sam rizik od povrede odredbi poglavlja V. Uredbe 2018/1725 ni u kojem slučaju nije dovoljan da se utvrdi Komisijino protuzakonito postupanje koje odgovara dovoljno ozbiljnoj povredi tih odredbi.

138

Taj se zaključak ne dovodi u pitanje tužiteljevim argumentima koji proizlaze iz presude Schrems II. Naime, valja primijetiti da je u toj presudi Sud odlučivao o određenim uvjetima pod kojima se mogu izvršiti prijenosi osobnih podataka u SAD, a ne o uvjetima u kojima društva kćeri društava uređenih pravom SAD‑a, kao što je AWS EMEA, mogu obrađivati takve podatke na području EGP‑a.

139

Iz svega prethodno navedenog proizlazi da, što se tiče spornog prijenosa prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022., tužitelj nije dokazao da je Komisija počinila dovoljno ozbiljnu povredu, u smislu sudske prakse navedene u točki 50. ove presude, odredbi članka 46. i članka 48. stavka 1. i članka 48. stavka 2. točke (b) Uredbe 2018/1725 te članaka 7., 8. i 47. Povelje.

140

Slijedom toga, budući da nije ispunjen jedan od kumulativnih uvjeta za utvrđivanje izvanugovorne odgovornosti Unije iz članka 340. drugog stavka UFEU‑a, valja odbiti drugi zahtjev za naknadu štete u pogledu spornog prijenosa prilikom posjeta CAE‑ovoj internetskoj stranici od 30. ožujka 2022. a da pritom nije potrebno ispitati druge tužiteljeve argumente.

– Sporni prijenos prilikom posjeta internetskoj stranici CAE‑a od 8. lipnja 2022.

141

Tužitelj tvrdi da je prilikom pregledavanja internetske stranice CAE‑a 8. lipnja 2022. došlo do prijenosa njegovih osobnih podataka, osobito njegove IP adrese, na poslužitelje Amazon CloudFronta koji se nalaze u Sjedinjenim Američkim Državama. Prema tužiteljevu mišljenju, ti prijenosi ne proizlaze iz njegove djelatnosti kao korisnika internetske stranice, nego su rezultat funkcioniranja usluge Amazon CloudFront, u okviru koje je rizik prijenosa podataka prema Sjedinjenim Američkim Državama svojstven svjetskoj infrastrukturi na kojoj počiva ta usluga. Tužiteljeva situacija nije drukčija od one građanina Unije koji posjećuje internetsku stranicu CAE‑a prilikom, primjerice, poslovnog putovanja u SAD. Komisija nije postupala s dužnom pažnjom kako bi izbjegla prijenose podataka u SAD, s obzirom na to da se odlučila za mrežu za dostavljanje sadržaja utemeljenu na strukturi na svjetskoj razini, umjesto isključivo europskog rješenja.

142

Tužitelj smatra da mu je navedeni prijenos osobnih podataka prouzročio neimovinsku štetu, u smislu uvodne izjave 46. Uredbe 2018/1725, jer je izgubio kontrolu nad svojim podacima koji su preneseni u SAD i koji su predmet nezakonitog nadzora američkih tijela te su mu uskraćena njegova prava i slobode.

143	Komisija osporava te argumente.

144

Uvodno i s obzirom na tužiteljevu argumentaciju, valja podsjetiti na to da se, u okviru ovog zahtjeva za naknadu štete, ispitivanje Općeg suda ne odnosi izravno na zakonitost Komisijine odluke da se koristi uslugom Amazon CloudFront za širenje sadržaja internetske stranice CAE‑a, nego na provjeru uvjeta za nastanak izvanugovorne odgovornosti Komisije u pogledu spornog prijenosa tijekom posjeta internetskoj stranici CAE‑a od 8. lipnja 2022.

145	U ovom slučaju, Opći sud smatra prikladnim najprije razmotriti uvjet koji se odnosi na postojanje uzročne veze između navodnog protupravnog postupanja Komisije i neimovinske štete na koju se poziva.

146

Iz sudske prakse na koju se podsjeća u točki 55. ove presude proizlazi da se uvjet u vezi s uzročnom vezom odnosi na dovoljno izravnu uzročnu povezanost između postupanja institucija Unije i štete, koju mora dokazati tužitelj, tako da postupanje koje se stavlja na teret mora biti odlučujući uzrok štete.

147

Usto, uzročna veza koja je potrebna da bi postojala izvanugovorna odgovornost Unije na temelju drugog stavka članka 340. UFEU‑a ustanovljena je kada je šteta izravna posljedica predmetne štetne radnje (presuda od 28. lipnja 2007., Internationaler Hilfsfonds/Komisija, C‑331/05 P, EU:C:2007:390, t. 23.).

148

Što se tiče izravne naravi uzročne veze, Opći sud je već presudio da šteta mora proizlaziti izravno iz nezakonitosti na koju se poziva, a ne iz tužiteljeva izbora u pogledu načina reagiranja na navodno nezakonit akt. Stoga se smatralo da sama činjenica da je nezakonito postupanje predstavljalo nužan uvjet (conditio sin qua non) za nastanak štete, u smislu da do njega ne bi došlo da nije bilo tog postupanja, nije dovoljna da bi se utvrdila dovoljno izravna uzročna veza u smislu sudske prakse Unije (vidjeti u tom smislu i po analogiji presude od 30. studenoga 2011., Transnational Company Kazchrome i ENRC Marketing/Vijeće i Komisija, T‑107/08, EU:T:2011:704, t. 80. i navedenu sudsku praksu i od 23. svibnja 2019., Remag Metallhandel i Jaschinsky/Komisija, T‑631/16, neobjavljenu, EU:T:2019:352, t. 52. i navedenu sudsku praksu).

149

Stoga iz sudske prakse proizlazi da takva uzročna veza nije dokazana kada je šteta na koju se poziva izravna posljedica vlastite odluke ili tužiteljeva slobodnog izbora i stoga se ne može pripisati predmetnoj instituciji ili tijelu (u tom smislu i po analogiji vidjeti presude od 28. lipnja 2007., Internationaler Hilfsfonds/Komisija, C‑331/05 P, EU:C:2007:390, t. 22. do 29.; od 17. veljače 2017., Novar/EUIPO, T‑726/14, EU:T:2017:99, t. 31. i 32. i od 28. veljače 2018., Vakakis kai Synergates/Komisija, T‑292/15, EU:T:2018:103, t. 173. i navedenu sudsku praksu).

150

U ovom slučaju stoga valja ispitati je li postupanje koje se stavlja na teret Komisiji, odnosno korištenje uslugom Amazon CloudFront kao mrežom za dostavljanje sadržaja internetske stranice CAE‑a, izravan uzrok navodne neimovinske štete, koja se sastoji od gubitka kontrole nad tužiteljevim osobnim podacima koji su bili preneseni u SAD prilikom njegovih posjeta navedenoj internetskoj stranici od 8. lipnja 2022.

151

U tom pogledu, kao prvo, iz spisa i odgovora stranaka na pitanja postavljena na raspravi proizlazi da je 8. lipnja 2022. tužitelj bio u Münchenu i da je nekoliko puta posjetio internetsku stranicu CAE‑a. Tijekom tih posjeta, tužiteljeva IP adresa uspostavila je uzastopne veze s različitim poslužiteljima službe Amazon CloudFront, koji su zemljopisno vrlo udaljeni jedni od drugih. Tako se u 7.13 sati spojila na poslužitelj smješten u Münchenu, u 11.13 sati na poslužitelj smješten u Londonu (Ujedinjena Kraljevina), u 12.56 sati na poslužitelj smješten u Hillsboru (Oregon, Sjedinjene Američke Države), u 13.05 na poslužitelj smješten u Newarku i u 19.12 sati na poslužitelj smješten u Frankfurtu na Majni (Njemačka).

152	Kao drugo, iz spisa proizlazi da je tužiteljeva IP adresa prenesena na različite poslužitelje usluge Amazon CloudFront navedene u točki 151. ove presude, uključujući one koji se nalaze u Sjedinjenim Američkim Državama.

153	Kao treće, valja podsjetiti na to da je tužiteljeva IP adresa osobni podatak.

154

Kao četvrto, valja primijetiti da je 8. lipnja 2022. CAE‑ova internetska stranica zabilježila 4548 pristupa i 18 različitih IP adresa. Među njima je samo jedna IP adresa, to jest tužiteljeva adresa, uspostavila vezu s poslužiteljima smještenima izvan Unije, odnosno u Sjedinjenim Američkim Državama i Ujedinjenoj Kraljevini. U tom pogledu valja primijetiti da nije dokazano, pa čak ni navedeno, da je 8. lipnja 2022. usluga Amazon CloudFront za internetsku stranicu CAE‑a imala tehničke ili druge probleme, koji bi spriječili uobičajeno funkcioniranje njezina mehanizma preusmjeravanja prema načelu blizine, koje zahtjeve korisnika internetske stranice CAE‑a usmjerava prema perifernom poslužitelju koji pruža slabiju latenciju prema zemljopisnom položaju korisnika (vidjeti točku 112. ove presude).

155

Kao peto, što se tiče okolnosti veza utvrđenih između tužiteljeve IP adrese s poslužiteljima u Sjedinjenim Američkim Državama, s jedne strane, iz spisa kao i odgovora stranaka na raspravi proizlazi da tužitelj tvrdi da su te veze bile rezultat funkcioniranja Amazon CloudFronta, a ne bilo kakve manipulacije koju je ostvario. S druge strane, Komisija primjećuje da su te veze netipične i da se mogu objasniti samo tužiteljevim tehničkim manipuliranjem.

156

U tom pogledu valja utvrditi da okolnosti opisane u točki 151. ove presude dokazuju da različite lokacije poslužitelja na koje se spajala tužiteljeva IP adresa ne mogu proizlaziti iz tužiteljevih fizičkih putovanja istog dana, koja bi bila nemoguća s obzirom na predmetne udaljenosti i vremenske intervale. Štoviše, nije dokazana niti čak navedena nijedna neispravnost usluge Amazon CloudFront, na temelju čega se može zaključiti da je 8. lipnja 2022. ta usluga funkcionirala u skladu s načelom blizine korisničkom terminalu, s obzirom na to da njezin mehanizam usmjeravanja usmjeravao zahtjeve korisnika internetske stranice CAE‑a prema perifernom poslužitelju koji je pružao najkraće vrijeme latencije (vidjeti točku 154. ove presude).

157

U tim okolnostima, povezanost tužiteljeve IP adrese s poslužiteljima smještenima u Sjedinjenim Američkim Državama, dok se on nalazio u Njemačkoj, ne može proizlaziti iz uobičajenog funkcioniranja usluge Amazon CloudFront, nego iz tehničkog podešavanja koje je tužitelj proveo kako bi promijenio svoju očitu lokaciju time što se predstavio u digitalnom području kao da se istog dana nalazio uzastopno na mjestima bliskima Münchenu, Londonu, Hillsboru, Newarku i Frankfurtu na Majni.

158

Iz toga slijedi da je točno da je funkcioniranje usluge Amazon CloudFront, sa svojim mehanizmom usmjeravanja koji djeluje u skladu s načelom blizine i obuhvaća zemljopisno područje šire od područja EGP‑a, uključujući, među ostalim, Sjedinjene Američke Države (vidjeti točke 112. i 114. ove presude), omogućilo da tijekom posjeta internetskoj stranici CAE‑a tužiteljeva IP adresa uspostavi vezu s poslužiteljima Amazon CloudFronta koji se nalaze u Sjedinjenim Američkim Državama.

159

Međutim, iako je Komisijino korištenje usluge Amazon CloudFront nužan uvjet za nastanak prijenosa osobnih podataka u SAD, navedenih u točki 152. ove presude, ta okolnost u ovom slučaju nije dovoljna da se utvrdi dovoljno izravna uzročna veza između neimovinske štete na koju se poziva tužitelj i navodno nezakonitog postupanja Komisije, koje se sastoji od korištenja takve usluge povredom odredbi poglavlja V. Uredbe 2018/1725.

160	Naime, treba smatrati da tužiteljevo postupanje predstavlja izravan i neposredan uzrok navodne neimovinske štete, a ne pogrešku koju je Komisija navodno počinila koristeći se uslugom Amazon CloudFront.

161

Stoga je tužitelj taj koji je uspostavio potrebne uvjete za stvaranje veza s poslužiteljima u Sjedinjenim Američkim Državama putem funkcioniranja usluge Amazon CloudFront. Upravo je tužiteljevo postupanje uzrokovalo upućivanje njegovih zahtjeva za posjetom internetske stranice CAE‑a, putem mehanizma preusmjeravanja službe Amazon CloudFront, na poslužitelje smještene u Sjedinjenim Američkim Državama jer su potonji imali najslabiju latenciju u odnosu na tužiteljevu očitu lokaciju u digitalnom području, iako ona nije odgovarala njegovoj stvarnoj lokaciji.

162

Osim toga, tužitelj je neosnovano postupao s ciljem postizanja određenog rezultata (odnosno prijenosa svojih osobnih podataka trećoj zemlji) i, slijedom toga, zahtijeva naknadu štete koja je navodno prouzročena tim rezultatom, čiji je nastanak izravno prouzročen njegovim postupanjem. Stoga, suprotno onomu što tvrdi tužitelj, u okviru tužbe za naknadu štete kao što je ona u ovom slučaju, njegova se situacija ne može ocijeniti na sličan način kao situacija korisnika koji se stvarno preselio u Sjedinjene Američke Države i koji je, slijedom toga, pristupio internetskoj stranici CAE‑a iz te zemlje.

163	Iz svega prethodno navedenog proizlazi da u pogledu spornog prijenosa tijekom posjeta internetskoj stranici CAE‑a od 8. lipnja 2022. nije dokazana dovoljno izravna uzročna veza između navodno nezakonitog postupanja Komisije i neimovinske štete na koju se poziva.

164

Budući da nije ispunjen jedan od kumulativnih uvjeta za utvrđivanje izvanugovorne odgovornosti Unije, valja odbiti zahtjev za naknadu štete u pogledu spornog prijenosa prilikom posjeta CAE‑ovoj internetskoj stranici 8. lipnja 2022. a da pritom nije potrebno ispitati druge uvjete za utvrđivanje navedene odgovornosti.

– Sporni prijenos prilikom povezivanja s EU Loginom od 30. ožujka 2022.

165

Tužitelj tvrdi da su 30. ožujka 2022. prilikom prijave na događaj „GoGreen” dostupan na internetskoj stranici CAE‑a njegova IP adresa, kao i informacije o njegovu pregledniku i terminalu, prenesene društvu Meta Platforms, sa sjedištem u Sjedinjenim Američkim Državama, koje je vlasnik društvene mreže Facebook. Naime, prilikom te prijave, tužitelj je bio upućen na Unijinu uslugu za autentifikaciju EU Login, koja, među ostalim, nudi spajanje putem različitih društvenih mreža. Tužitelj se odlučio za spajanje putem svojeg Facebook računa te je, kada je kliknuo na poveznicu koja ga je preusmjeravala na Facebook, ta poveznica dovela do prijenosa njegove IP adrese Facebooku. Tužitelj je prihvatio samo Facebookove „bitne kolačiće”. Druge tužiteljeve osobne podatke, odnosno njegovu adresu elektroničke pošte, ime i fotografiju profila, Facebook je prikupio pomoću kolačića, osobito kolačića pod nazivom „sb”, i prenio na poslužitelje Meta Platformsa. Iz sudske prakse proizlazi da su operatori internetskih stranica koji se na svojim internetskim stranicama koriste Facebookom, kao što je to slučaj s Komisijom, zajedno s Facebookom odgovorni za poštovanje prava Unije o zaštiti podataka. Komisija je stoga suodgovorna za postavljanje kolačića koje pohranjuje Facebook. Tužitelj je izgubio kontrolu nad svojim osobnim podacima proslijeđenima Facebooku i uskraćena su mu njegova prava i sloboda, što predstavlja neimovinsku štetu u smislu uvodne izjave 46. Uredbe 2018/1725.

166

Komisija osporava te argumente. U biti tvrdi da nije izvršio ni pokrenuo prijenos podataka društvu Meta Platforms. Nije obvezno prijaviti se preko EU Logina kako bi sudjelovao u događaju „GoGreen” te je tužitelj, čak i koristeći se EU Loginom, imao različite mogućnosti autentifikacije, uključujući mogućnosti koje ne zahtijevaju korištenje računa na društvenim mrežama. Stoga je tužiteljev odabir bio povezati se s uslugom EU Login sa svojim Facebook računom pa je on, a ne Komisija, pokrenuo pristup Facebookovoj internetskoj stranici. Usto, u tehničkom pogledu, Facebookova opcija autentifikacije provodila bi se hiperpoveznicom prikazanom na internetskoj stranici EU Login, koja ne sadržava korisnikove osobne podatke. Suprotno onomu što tvrdi tužitelj, podaci prikupljeni kolačićima kojima se koristi Facebook ne prenose se Komisiji prilikom povezivanja s EU Loginom i nisu obuhvaćeni njezinom odgovornošću. Ti su kolačići rezultat komunikacije između Facebooka i tužitelja, na temelju njegovih odobrenja, s obzirom na to da Komisija nije bila uključena u tu komunikaciju. Osim toga, Komisija tvrdi da sudska praksa na koju se tužitelj poziva nije primjenjiva u ovom predmetu i da je, u svakom slučaju, tužiteljev argument koji se temelji na navodnoj zajedničkoj odgovornosti Komisije i Meta Platformsa novi tužbeni razlog koji je prvi put istaknut u fazi replike i koji je stoga nedopušten.

167

U ovom slučaju najprije valja ispitati činjenični okvir u kojem se nalazi sporni prijenos prilikom povezivanja s EU Loginom od 30. ožujka 2022., uzimajući u obzir elemente koji proizlaze iz spisa kao i odgovore stranaka na pitanja koja je postavio Opći sud na raspravi i u mjeri upravljanja postupkom od 9. veljače 2024.

168	U tom pogledu valja utvrditi da je događaj „GoGreen”, koji je organiziralo tijelo sa sjedištem u Nizozemskoj, objavljen na internetskoj stranici CAE‑a. Prijava na taj događaj mogla se izvršiti, među ostalim, na internetskoj stranici CAE‑a, posredstvom usluge EU Login.

169	Tužitelj je odlučio prijaviti se na internetskoj stranici CAE‑a koristeći se EU Loginom.

170

EU Login je Komisijina usluga autentifikacije korisnika koja štiti više stotina internetskih stranica i aplikacija povezanih s Unijom. U ovom slučaju veza s EU Loginom, u svrhu prijave na događaj „GoGreen”, imala je za cilj osigurati da se ta prijava izvrši putem provjerene adrese elektroničke pošte, tako da se smanje rizici povezani s registracijom lažnih korisnika ili zlouporabom identiteta.

171

EU Login na svojoj internetskoj stranici prikazuje više mogućnosti povezivanja. Prva je mogućnost izravno povezivanje s EU Loginom, popunjavanjem podataka o vezi za postojeći račun EU Logina ili stvaranjem računa za tu uslugu. Druga je mogućnost upotreba elektroničke osobne iskaznice „eID” dostupne građanima nekih država članica. Treća mogućnost, koja je dostupna za ograničen broj usluga, sastoji se od korištenja računa koji korisnik već ima na Facebooku, Twitteru ili Googleu, klikom na odgovarajuću poveznicu prikazanu na internetskoj stranici EU Logina.

172

Mogućnost spajanja na EU Login putem Facebook računa proizlazi iz činjenice da je Komisija smatrala da bi korisnicima trebalo dati izbor da se priključe na EU Login putem postojećih računa na platformama kako bi im se omogućio lakši i brži pristup, kao i mogućnost autentifikacije bez potrebe otvaranja računa EU Logina, čime bi se izbjeglo povećanje broja računa i subjekata s kojima korisnici moraju dijeliti svoje osobne podatke. Osim toga, Komisija je smatrala da je Facebook pouzdan za provjeru adresa elektroničke pošte korisnika, uzimajući u obzir mjere koje je on uveo. Međutim, poveznica koja omogućuje spajanje putem prethodno postojećeg Facebook računa dostupna je na EU Loginu samo za internetske stranice ili aplikacije koje zahtijevaju samo osnovnu razinu sigurnosti.

173	Tužitelj je odabrao mogućnost spajanja na EU Login putem svojeg Facebook računa koristeći poveznicu „Sign in with Facebook” koja se prikazuje na internetskoj stranici EU Logina (u daljnjem tekstu: poveznica „spajanje s Facebookom”).

174	Poveznica „spajanje s Facebookom” sadržava poveznicu na internetsku stranicu izvan Komisije. Kada se ta poveznica aktivira, klikom, ona omogućuje pristup URL adresi Facebookove internetske stranice, odnosno pojedinačnoj adresi te internetske stranice.

175

Pristup URL adresi internetske stranice Facebooka dovodi do komunikacije između preglednika korisnika i navedene internetske stranice, u okviru koje preglednik prenosi IP adresu korisnika predmetnoj internetskoj stranici. Taj je prijenos sličan onomu do kojeg dolazi kada korisnik izravno unese URL adresu bilo koje internetske stranice u svoj preglednik jer IP adresu nužno mora priopćiti svaki korisnik interneta koji želi pristupiti internetskoj stranici.

176	Hiperpoveznicom „spajanje s Facebookom”, EU Login šalje određene informacije Facebooku, koje su potrebne za postupak autentifikacije i imaju oblik sljedećeg primjera:

177

Konkretnije, informacije sadržane u hiperpoveznici „spajanje s Facebookom” jesu sljedeće:

–	prvo, dio „client_id=1200572836629487” sadržava „jedinstvenu identifikacijsku oznaku” kojom se EU Login identificira kao aplikacija. Taj je identifikacijski broj isti za sve korisnike koji se žele autentificirati na EU Loginu upotrebom Facebooka;

–	kao drugo, dio „redirect_uri=https%3A%2F%2Fecas.ec.europa.eu%2Fcas%2FoAuthCallback” sadržava opću URL adresu EU Logina, a to je adresa na koju Facebook mora vratiti korisnika nakon što je pristao da Facebook njegove osobne podatke proslijedi EU Loginu;

–	kao treće, dio „scope=email” sadržava podatke koje Facebook treba prenijeti EU Loginu kako bi zajamčio uspješnu autentifikaciju korisnika, uključujući korisnikovu adresu elektroničke pošte te ime i prezime koji su prilikom otvaranja Facebook računa navedeni na Facebookovoj internetskoj stranici;

–

četvrto, dio „state=useFacebook” upućuje na to da je sljedeći dugi lanac znakova nasumična sigurnosna vrijednost koja se upotrebljava za sprečavanje sigurnosnih napada i ima vremenski ograničeno razdoblje valjanosti. Tu nasumičnu sigurnosnu vrijednost EU Login stvara nasumično i ima funkciju tajne rečenice, koju Facebook mora ponoviti pri prijenosu podataka EU Loginu kako bi EU Login mogao znati da se priopćena adresa elektroničke pošte, ime i prezime odnose na korisnika koji je pokrenuo metodu autentifikacije. Nakon što istekne rok ili se korisnik autentificira, više nije moguće koristiti se sigurnosnom vrijednošću; i

–

kao peto, u dijelu „response_type=code” navodi se da je prijenos podataka putem Facebooka na EU Login i dalje popraćen jedinstvenim kodom. Taj jedinstveni kod uključuje prethodno navedenu nasumičnu sigurnosnu vrijednost. Jedinstveni kod jednak je jedinstvenom registracijskom broju ili serijskom broju koji autentificira podatke koje Facebook prenosi EU Loginu.

178

Nakon što korisnik pristupi Facebookovoj URL adresi, on se nalazi na toj internetskoj stranici, na kojoj se najprije prikaže prozor kojim se od korisnika traži da prihvati Facebookovu upotrebu identifikatora veze ili „kolačića”. Nadalje, ako su kolačići prihvaćeni, otvara se drugi prozor koji omogućuje popunjavanje korisničkog imena i lozinke korisničkog računa na Facebooku. Naposljetku, nakon što je spojen na svoj Facebook račun, korisnik može ovlastiti Facebook da koristi kolačiće na drugim aplikacijama i internetskim stranicama, odgovarajući na pitanje „Allow Facebook to use cookies and similar technologies placed on other apps and websites?” Ako korisnik pristane na tu uporabu, nakon toga će ga se pozvati da pristane na to da Facebook EU Loginu dostavi ime, prezime, fotografiju profila i adresu elektroničke pošte povezane s njegovim Facebook računom. Osim toga, tijekom cijelog tog postupka korisnik može prekinuti autentifikaciju putem svojeg Facebook računa, odabirom opcije „Cancel”. U tom se slučaju preusmjerava na internetsku stranicu EU Logina na kojoj se ponovno prikazuje stranica s opcijama za povezivanje.

179

U ovom slučaju, kada je tužitelj kliknuo na poveznicu „spajanje s Facebookom”, njegov internetski preglednik pristupio je URL adresi Facebookove internetske stranice te je stoga svoju IP adresu priopćio toj internetskoj stranici. Nadalje, kada se nalazio na Facebookovoj internetskoj stranici, tužitelj je odabrao opcije na temelju kojih Facebook može koristiti samo ključne kolačiće, zatim se spojio sa svojim Facebook računom i, naposljetku, ovlastio Facebook da EU Loginu priopći njegovo ime, prezime, fotografiju profila i adresu elektroničke pošte, kako ih je naveo na svojem Facebook računu.

180	Nakon što je tužitelj dao odobrenja, Facebook ga je uputio na internetsku stranicu EU Logina, u skladu s naznakama sadržanima u hiperpoveznici „spajanje s Facebookom” (vidjeti točku 177., prvu i drugu alineju ove presude).

181

Istodobno je Facebook priopćio EU Loginu nasumičnu sigurnosnu vrijednost i jedinstveni kod naveden u točki 177. četvrtoj i petoj alineji ove presude. S jedne strane, ta komunikacija Facebooka omogućila je EU Loginu da sazna da su se osobni podaci koje je Facebook stavio na raspolaganje odnosili na korisnika koji je pokrenuo postupak autentifikacije, odnosno, u ovom slučaju, na tužitelja. S druge strane, ona je EU Loginu omogućila da u ograničenom razdoblju pristupi osobnim podacima navedenima u točki 177. trećoj alineji ove presude, odnosno, među ostalim, tužiteljevu imenu, prezimenu i adresi elektroničke pošte, kako ih je naveo na svojem Facebook računu. Facebook je prenio te podatke EU Loginu putem njihove šifrirane veze. EU Login je na temelju podataka koje mu je stavio na raspolaganje Facebook autentificirao tužiteljevu adresu elektroničke pošte.

182	Osim toga, valja napomenuti da je društvena mreža Facebook u vlasništvu Meta Platformsa, društva sa sjedištem u Sjedinjenim Američkim Državama.

183	Osim toga, valja istaknuti da je prikazivanje te poveznice na internetskoj stranici EU Logina uređeno općim uvjetima poslovanja platforme Facebook koji se objavljuju na internetskoj stranici „https://developers.facebook.com/terms”.

184	Upravo s obzirom na ta razmatranja valja ispitati jesu li ispunjeni uvjeti za utvrđivanje izvanugovorne odgovornosti Komisije.

185

Tužitelj u biti tvrdi da je prilikom njegova povezivanja s EU Loginom 30. ožujka 2022. došlo do prijenosa osobnih podataka koji mu pripadaju, osobito njegove IP adrese, na poslužitelje društvene mreže Facebook, čiji je vlasnik društvo u Sjedinjenim Američkim Državama. Tim prijenosom povrijeđen je članak 46. Uredbe 2018/1725 te je tužitelju prouzročena neimovinska šteta koja se sastoji od gubitka kontrole nad njegovim podacima i uskraćivanja njegovih prava i sloboda.

186

Uvodno valja podsjetiti na to da, kao što to proizlazi iz točke 95. ove presude, prijenos osobnih podataka trećoj zemlji, u smislu članka 46. Uredbe 2018/1725, zahtijeva da institucija ili tijelo Unije prijenosom ili na drugi način stavi osobne podatke na raspolaganje primatelju s poslovnim nastanom u trećoj zemlji, odnosno zemlji koja nije članica ni Unije ni EGP‑a.

187

U ovom slučaju dokazano je, kao prvo, da se među opcijama povezivanja s EU Loginom tužitelj odlučio povezati sa svojim Facebook računom. Kao drugo, poveznica „spajanje s Facebookom” sadržava vezu s URL adresom internetske stranice Facebooka. Kao treće, kada je tužitelj aktivirao tu poveznicu klikom, njegov preglednik posjetio je URL adresu internetske stranice Facebooka te je nakon toga svoju IP adresu proslijedio Facebooku (vidjeti točke 173. do 175. ove presude).

188

Iz toga slijedi da je Komisija putem poveznice „spajanje s Facebookom”, koja se nalazi na internetskoj stranici EU Logina, stvorila uvjete koji omogućuju da se tužiteljeva IP adresa prenese Facebooku. Međutim, ta IP adresa predstavlja tužiteljev osobni podatak (vidjeti točku 122. ove presude) koji je putem te poveznice proslijeđen Meta Platformsu, društvu sa sjedištem u Sjedinjenim Američkim Državama. Taj prijenos stoga odgovara prijenosu osobnih podataka trećoj zemlji u smislu članka 46. Uredbe 2018/1725.

189	Usto, u ovom se slučaju dokazuje da u trenutku tog prijenosa podataka, odnosno 30. ožujka 2022., u pogledu Sjedinjenih Američkih Država nije postojala nikakva odluka o primjerenosti u smislu članka 47. Uredbe 2018/1725 (vidjeti točku 100. ove presude).

190

Ako Komisija nije donijela odluku o primjerenosti u pogledu Sjedinjenih Američkih Država, prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može se izvršiti samo ako je voditelj obrade ili izvršitelj obrade predvidio odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkoviti pravni lijekovi u skladu s člankom 48. stavkom 1. Uredbe 2018/1725 (vidjeti točku 101. ove presude).

191

U ovom slučaju Komisija nije dokazala, pa čak ni tvrdila, da postoji odgovarajuće jamstvo, osobito standardne klauzule o zaštiti podataka ili ugovorne odredbe donesene u uvjetima predviđenima u članku 48. stavcima 2. i 3. Uredbe 2018/1725 (vidjeti točke 102. do 104. ove presude). Suprotno tomu, dokazano je da je prikazivanje poveznice „spajanje s Facebookom” na internetskoj stranici EU Logina jednostavno uređeno općim uvjetima platforme Facebook (vidjeti točku 183. ove presude).

192	Slijedom toga, Komisija je stvorila uvjete za prijenos osobnih podataka tužitelja trećoj zemlji a da pritom nije ispunila uvjete utvrđene u članku 46. Uredbe 2018/1725.

193

Stoga valja zaključiti, a da pritom nije potrebno ispitati druge tužiteljeve argumente, da je Komisija počinila dovoljno ozbiljnu povredu, u smislu sudske prakse navedene u točki 50. ove presude, članka 46. Uredbe 2018/1725 u pogledu spornog prijenosa prilikom povezivanja s EU Loginom od 30. ožujka 2022.

194	Stoga valja ispitati jesu li u ovom slučaju ispunjeni drugi uvjeti za nastanak izvanugovorne odgovornosti Komisije, koji se odnose na štetu i uzročnu vezu.

195	Tužitelj tvrdi da mu je nezakonit prijenos njegove IP adrese društvu sa sjedištem u SAD‑u prouzročio neimovinsku štetu koja se sastoji od gubitka kontrole nad njegovim podacima i uskraćivanja njegovih prava i sloboda.

196

U tom pogledu valja smatrati da članak 65. Uredbe 2018/1725 daje pravo na naknadu ne samo imovinske štete nego i neimovinske štete pretrpljene zbog povrede te uredbe a da pritom nije potrebno dokazati nikakav prag težine povrede (vidjeti osobito presudu od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 45. i 51.).

197

U ovom slučaju neimovinsku štetu na koju se poziva tužitelj treba smatrati stvarnom i izvjesnom, u smislu sudske prakse navedene u točki 54. ove presude, jer je prijenosom navedenim u točki 188. ove presude, provedenim protivno članku 46. Uredbe 2018/1725, tužitelj doveden u situaciju nesigurnosti u pogledu obrade njegovih osobnih podataka, osobito njegove IP adrese.

198	Usto, postoji dovoljno izravna uzročna veza, u smislu sudske prakse navedene u točki 55. ove presude, između Komisijine povrede članka 46. Uredbe 2018/1725 i neimovinske štete koju je pretrpio tužitelj.

199	U okolnostima ovog slučaja valja ex æquo et bono procijeniti iznos neimovinske štete koju je Komisija prouzročila na iznos od 400 eura.

200	Slijedom toga, Komisiji valja naložiti da tužitelju isplati iznos od 400 eura na ime neimovinske štete pretrpljene zbog spornog prijenosa prilikom povezivanja s EU Loginom od 30. ožujka 2022.

Troškovi

201	U skladu s člankom 134. stavkom 3. Poslovnika Općeg suda svaka stranka snosi vlastite troškove ako stranke djelomično uspiju u svojim zahtjevima. Međutim, ako se to čini opravdanim u danim okolnostima, Sud može odlučiti da, osim vlastitih troškova, jedna stranka snosi i dio troškova druge stranke.

202

U ovom slučaju tužitelj nije uspio u prvom i drugom dijelu svojeg tužbenog zahtjeva ni u jednom dijelu trećeg dijela svojeg tužbenog zahtjeva. Međutim, treći dio tužbenog zahtjeva djelomično je prihvaćen i Komisiji se nalaže da plati naknadu koju je tužitelj zatražio na ime naknade neimovinske štete koju je pretrpio zbog spornog prijenosa prilikom povezivanja s EU Loginom od 30. ožujka 2022. U tim okolnostima valja odlučiti da će Komisija snositi vlastite troškove i polovicu tužiteljevih troškova. Tužitelj će snositi polovicu vlastitih troškova.

Slijedom navedenog,

OPĆI SUD (šesto prošireno vijeće)

proglašava i presuđuje:

1.	Tužba se odbija kao nedopuštena u pogledu zahtjeva za poništenje.

2.	Obustavlja se postupak o zahtjevu za utvrđenje da je Komisija nezakonito propustila zauzeti stajalište o zahtjevu za informacije Thomasa Bindla od 1. travnja 2022.

3.	Nalaže se Komisiji da Thomasu Bindlu isplati iznos od 400 eura na ime naknade pretrpljene neimovinske štete.

4.	Zahtjevi za naknadu štete u preostalom se dijelu odbijaju.

5.	Nalaže se Komisiji da snosi vlastite troškove te pola troškova Thomasa Bindla.

6.	Nalaže se Thomasu Bindlu da snosi polovicu vlastitih troškova.

Costeira

Kancheva

Öberg

Zilgalvis

Tichy‑Fisslberger

Objavljeno na javnoj raspravi u Luxembourgu 8. siječnja 2025.

Potpisi

Sadržaj

	Okolnosti spora i činjenice nastale nakon podnošenja tužbe
	Zahtjevi stranaka
	Pravo
	Uvodna razmatranja o zaštiti osobnih podataka koju pružaju institucije, tijela, uredi i agencije Unije
	Dopuštenost
	Dopuštenost zahtjeva za poništenje
	Dopuštenost zahtjeva zbog propusta
	Zahtjev za naknadu štete
	Uvodna razmatranja o uvjetima utvrđivanja izvanugovorne odgovornosti Unije u okviru Uredbe 2018/1725
	Prvi zahtjev za naknadu štete koji se odnosi na neimovinsku štetu nastalu povredom prava na pristup informacijama
	Drugi zahtjev za naknadu štete koji se odnosi na naknadu neimovinske štete nastale spornim prijenosima
	– Uvodna razmatranja o odredbama o prijenosu osobnih podataka trećoj zemlji
	– Funkcioniranje usluge Amazon CloudFront u okviru CAE‑ove internetske stranice
	– Sporni prijenos prilikom posjeta internetskoj stranici CAE‑a od 30. ožujka 2022.
	– Sporni prijenos prilikom posjeta internetskoj stranici CAE‑a od 8. lipnja 2022.
	– Sporni prijenos prilikom povezivanja s EU Loginom od 30. ožujka 2022.
	Troškovi

( *1 ) Jezik postupka: njemački

Eureka dodaje poveznice…