T-354/22 Thomas Bindl

BENDROJO TEISMO (šeštoji išplėstinė kolegija) SPRENDIMAS

2025 m. sausio 8 d. ( *1 )

(Tekstas ištaisytas 2025 m. birželio 3 d. nutartimi)

„Asmens duomenų tvarkymas – Fizinių asmenų apsauga Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis – Reglamentas (ES) 2018/1725 – Sąvoka „asmens duomenų perdavimas į trečiąsias valstybes“ – Duomenų perdavimas per apsilankymą interneto svetainėje – EU Login – Ieškinys dėl panaikinimo – Aktas, dėl kurio negali būti pareikštas ieškinys – Nepriimtinumas – Ieškinys dėl neveikimo – Pozicijos pareiškimas, kuriuo nutraukiamas neveikimas – Pagrindo priimti sprendimą nebuvimas – Ieškinys dėl žalos atlyginimo – Pakankamai aiškus teisės normos, suteikiančios teisių privatiems asmenims, pažeidimas – Priežastinis ryšys – Neturtinė žala“

Byloje T‑354/22

Thomas Bindl, gyvenantis Miunchene (Vokietija), atstovaujamas advokato T. Herbrich,

ieškovas,

prieš

Europos Komisiją, atstovaujamą A. Bouchagiar, B. Hofstötter ir H. Kranenborg,

atsakovę,

BENDRASIS TEISMAS (šeštoji išplėstinė kolegija),

kurį sudaro kolegijos pirmininkė M. J. Costeira (pranešėja), teisėjai, M. Kancheva, U. Öberg, P. Zilgalvis ir E. Tichy-Fisslberger,

posėdžio sekretorė S. Jund, administratorė,

atsižvelgęs į rašytinę proceso dalį,

atsižvelgęs į 2023 m. liepos 21 d. proceso organizavimo priemonę ir Komisijos bei ieškovo atsakymus, kuriuos Bendrojo Teismo kanceliarija gavo atitinkamai 2023 m. rugsėjo 7 ir 8 d.,

įvykus 2023 m. spalio 17 d. posėdžiui,

atsižvelgęs į 2024 m. vasario 9 d. proceso organizavimo priemonę ir Komisijos bei ieškovo atsakymus, kuriuos Bendrojo Teismo kanceliarija gavo atitinkamai 2024 m. kovo 12 ir 13 d.,

priima šį

Sprendimą

SESV 263, 265 ir 268 straipsniais grindžiamu ieškiniu ieškovas Thomas Bindl prašo Bendrojo Teismo, pirma, panaikinti jo asmens duomenų perdavimo į trečiąsias valstybes, kuriose neužtikrinama tinkamo lygio apsauga, operacijas, antra, konstatuoti, kad Europos Komisija neteisėtai nepareiškė pozicijos dėl jo 2022 m. balandžio 1 d. prašymo pateikti informacijos ir, trečia, atlyginti neturtinę žalą, kurią patyrė dėl jo teisės susipažinti su informacija pažeidimo ir jo asmens duomenų perdavimo.

Ginčo aplinkybės ir aplinkybės, susiklosčiusios po ieškinio pareiškimo

2	Ieškovas, Vokietijos pilietis, domisi informatikos ir asmens duomenų apsaugos klausimais.

3	Komisijos komunikacijos generalinis direktoratas yra atsakingas už asmens duomenų tvarkymą administruojant Konferencijos dėl Europos ateities interneto svetainę, kurios adresas „https://futureu.europa.eu“ (toliau – KEA interneto svetainė).

4	2021 ir 2022 m. ieškovas ne kartą lankėsi KEA interneto svetainėje. Pavyzdžiui, šioje svetainėje jis lankėsi 2022 m. kovo 30 d. ir naudodamasis savo Facebook paskyra užsiregistravo ten skelbtam renginiui „GoGreen“; 2022 m. birželio 8 d. jis dar kartą lankėsi minėtoje interneto svetainėje.

2021 m. lapkričio 9 d. el. laiške (toliau – 2021 m. lapkričio 9 d. prašymas pateikti informacijos) ieškovas paprašė Komisijos duomenų apsaugos pareigūno pateikti informacijos pagal 2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentą (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018, p. 39).

Tame laiške ieškovas pirmiausia nurodė pastebėjęs, kad jungiantis prie KEA interneto svetainės buvo aktyvuotas ryšys su paslaugas teikiančiais trečiaisiais asmenimis, kaip antai JAV įmone Amazon Web Services; antra, jis paprašė nurodyti, kokie jo asmens duomenys buvo tvarkomi ar saugomi ir kokie, jeigu taikytina, buvo perduoti tretiesiems asmenims; trečia, jis paprašė informacijos apie tokio perdavimo teisinį pagrindą ir apie galimų garantijų, susijusių su perdavimu į tinkamo apsaugos lygio neužtikrinančias trečiąsias valstybes, egzistavimą.

2021 m. gruodžio 3 d. el. laišku Komisijos komunikacijos generalinis direktoratas nusiuntė ieškovui elektroninę nuorodą ir jį informavo, kad ši nuoroda leidžia jam tiesiogiai sugeneruoti asmens duomenų, kurie buvo tvarkomi lankantis KEA interneto svetainėje, sąrašą. Be to, jis nurodė ieškovui, pirma, kad jo asmens duomenys nebuvo perduoti gavėjams už Europos Sąjungos ribų ir, antra, kad jie saugomi ir tvarkomi KEA interneto svetainėje, naudojančioje Liuksemburge (Liuksemburgas) įsteigtos įmonės Amazon Web Services EMEA SARL (toliau – AWS EMEA) administruojamą paskirstytąjį turinio perdavimo tinklą. Direktoratas taip pat patikslino, kad pagal Komisijos ir AWS EMEA sudarytus sutartimi įformintus susitarimus duomenų valdytojas nesinaudoja paslaugomis, dėl kurių reikia perduoti duomenis AWS EMEA partneriams Jungtinėse Valstijose, ir kad duomenų perdavimas už Sąjungos teritorijos ribų iš principo neleidžiamas.

(Ištaisyta 2025 m. birželio 3 d. nutartimi) 2022 m. balandžio 1 d. el. laišku ieškovas pagal Reglamentą 2018/1725 paprašė Komisijos pateikti informacijos apie jo duomenų tvarkymą (toliau – 2022 m. balandžio 1 d. prašymas pateikti informacijos). Pirma, jis nurodė pastebėjęs, kad jungiantis prie KEA interneto svetainės buvo užmegztas ryšys su paslaugas teikiančiais trečiaisiais asmenimis, kaip antai AWS EMEA, o registracijos toje interneto svetainėje tikslais naudojant savo Facebook prisijungimo duomenis – su bendrove Meta Platforms. Antra, ieškovas paprašė nurodyti, kokie jo asmens duomenys buvo tvarkomi ar saugomi ir kokie, jeigu taikoma, buvo perduoti tretiesiems asmenims. Trečia, jis paprašė informacijos apie tokio perdavimo teisinį pagrindą ir apie galimų garantijų, susijusių su perdavimu į tinkamo apsaugos lygio neužtikrinančias trečiąsias valstybes, egzistavimą. Ketvirta, ieškovas paprašė pateikti jo duomenų, įskaitant saugomus arba tvarkomus trečiųjų asmenų, kaip antai Facebook, kopiją.

9	2022 m. balandžio 22 d. ir gegužės 2 d. el. laiškais ieškovas pakartotinai paprašė Komisijos atsakyti į 2022 m. balandžio 1 d. prašymą pateikti informacijos.

10	2022 m. birželio 9 d. Bendrojo Teismo kanceliarija gavo šį ieškovo ieškinį.

11	2022 m. birželio 30 d. el. laišku Komisija informavo ieškovą, kad, jos nuomone, 2022 m. balandžio 1 d. prašymas pateikti informacijos yra beveik identiškas 2021 m. lapkričio 9 d. prašymui pateikti informacijos, į kurį ji jau atsakė 2021 m. gruodžio 3 d. el. laišku.

12	Amazon Web Services yra Jungtinėse Valstijose įsteigta įmonė, o AWS EMEA – Liuksemburge įsteigta įmonė. Jos abi yra pagal JAV teisę įsteigtos įmonės Amazon.com, Inc. patronuojamosios įmonės.

Šalių reikalavimai

Ieškovas Bendrojo Teismo prašo:

–	panaikinti 2022 m. kovo 30 d. ir birželio 8 d. atliktą jo asmens duomenų perdavimo į trečiąsias valstybes, kuriose neužtikrinama tinkamo lygio apsauga, operaciją;

–	konstatuoti, kad Komisija neteisėtai nepareiškė pozicijos dėl 2022 m. balandžio 1 d. prašymo pateikti informacijos;

–	priteisti iš Komisijos 1200 EUR sumą kartu su palūkanomis, kurią sudaro, pirma, 800 EUR neturtinės žalos, patirtos dėl jo teisės susipažinti su informacija pažeidimo, atlyginimas ir, antra, 400 eurų neturtinės žalos, patirtos dėl minėtų duomenų perdavimo, atlyginimas;

–	priteisti iš Komisijos bylinėjimosi išlaidas.

Komisija Bendrojo Teismo prašo:

–	atmesti reikalavimą dėl panaikinimo ir reikalavimą dėl neveikimo kaip nepriimtinus;

–	alternatyviai – pripažinti, kad nebėra pagrindo priimti sprendimo, kiek tai susiję su reikalavimu dėl neveikimo;

–	atmesti reikalavimą dėl žalos atlyginimo kaip nepagrįstą;

–	priteisti iš ieškovo bylinėjimosi išlaidas.

Dėl teisės

Pirminės pastabos dėl Sąjungos institucijų, įstaigų, tarnybų ir agentūrų užtikrinamos asmens duomenų apsaugos

15	SESV 16 straipsnio 1 dalyje ir Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 1 dalyje nustatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą.

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1) nustatytos bendrosios taisyklės, kuriomis siekiama užtikrinti fizinių asmenų apsaugą tvarkant asmens duomenis ir laisvą tokių duomenų judėjimą (Reglamento 2016/679 1 straipsnio 1 dalis).

Reglamentu 2018/1725 nustatomos taisyklės, susijusios su fizinių asmenų apsauga Sąjungos institucijoms ir organams tvarkant asmens duomenis, ir taisyklės, susijusios su laisvu asmens duomenų judėjimu tarp šių institucijų ir organų arba perdavimu kitiems Sąjungoje įsteigtiems gavėjams (Reglamento 2018/1725 1 straipsnio 1 dalis). Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą (Reglamento 2018/1725 1 straipsnio 2 dalis). Jis taikomas visų Sąjungos institucijų ir organų atliekamam asmens duomenų tvarkymui (Reglamento 2018/1725 2 straipsnio 1 dalis).

Reglamento 2018/1725 5 konstatuojamojoje dalyje priminta, kad pagal Teisingumo Teismo jurisprudenciją, jei Reglamento 2018/1725 nuostatos grindžiamos tais pačiais principais kaip ir Reglamento 2016/679 nuostatos, abi nuostatas reikia aiškinti vienodai, visų pirma todėl, kad Reglamento 2018/1725 sistemą reikėtų laikyti lygiaverte Reglamento 2016/679 sistemai. Šiuo atžvilgiu iš kartu aiškinamų Reglamento 2016/679 2 straipsnio 3 dalies ir Reglamento 2018/1725 99 straipsnio nuostatų matyti, kad pastarasis reglamentas atitinka Reglamento 2016/679 principus ir taisykles.

Dėl priimtinumo

Reikalavimo dėl panaikinimo priimtinumas

19	Pirmuoju reikalavimu ieškovas prašo panaikinti jo asmens duomenų perdavimo į trečiąsias valstybes, kuriose neužtikrinama tinkamo lygio apsauga, operacijas, įvykusias 2022 m. kovo 30 d. ir birželio 8 d. (toliau – ginčijamos duomenų perdavimo operacijos).

20	Atsiliepime į ieškinį Komisija teigia, kad šis prašymas dėl panaikinimo nepriimtinas, nes pateiktas ne dėl akto, dėl kurio galima pareikšti ieškinį, kaip tai suprantama pagal SESV 263 straipsnį, ir juo siekiama nustatyti Komisijai įpareigojimą.

Ieškovas tvirtina, kad prašymas dėl panaikinimo yra priimtinas, ir nurodo, kad ginčijamos duomenų perdavimo operacijos yra aktai, sukeliantys privalomų teisinių pasekmių ir darantys poveikį jo teisinei padėčiai, nes pažeidžia jo pagrindinę teisę į asmens duomenų apsaugą, užtikrinamą Chartijos 8 straipsnyje. Kitoks aiškinimas būtų nesuderinamas su pagrindine teise į veiksmingą teisminę apsaugą, juo labiau kad ši teisė aiškiai pripažįstama Reglamento 2018/1725 64 straipsnio 1 dalyje.

22	Kaip priminta Reglamento 2018/1725 64 straipsnio 1 dalyje ir 79 konstatuojamojoje dalyje, kiekvienas asmuo turi teisę į veiksmingą teisminę teisių gynimo priemonę Europos Sąjungos Teisingumo Teisme pagal Sutartis, jeigu mano, kad jo teisės pagal šį reglamentą buvo pažeistos.

23	Darytina išvada, kad pagal Reglamentą 2018/1725 kiekvienas duomenų subjektas, be kita ko, turi teisę SESV 263 straipsnyje numatytomis sąlygomis pareikšti ieškinį dėl panaikinimo.

Pagal suformuotą jurisprudenciją SESV 263 straipsnyje numatytą ieškinį dėl panaikinimo galima pareikšti dėl visų institucijų aktų, neatsižvelgiant į jų formą, sukeliančių privalomų teisinių pasekmių, kurie daro įtaką ieškovo interesams, aiškiai pakeisdami jo teisinę padėtį (žr. 2017 m. sausio 19 d. Sprendimo Komisija /Total ir Elf Aquitaine, C‑351/15 P, EU:C:2017:27, 35 ir 36 punktus ir juose nurodytą jurisprudenciją ir 2020 m. liepos 16 d. Sprendimo Inclusion Alliance for Europe / Komisija, C‑378/16 P, EU:C:2020:575, 71 punktą ir jame nurodytą jurisprudenciją).

Siekiant nustatyti, ar aktas sukelia privalomų teisinių padarinių, vadovaujantis Teisingumo Teismo suformuota jurisprudencija, reikia remtis šio akto esme ir šiuos padarinius vertinti remiantis objektyviais kriterijais, pavyzdžiui, to akto turiniu, prireikus atsižvelgiant į jo priėmimo aplinkybes ir jį priėmusios Sąjungos institucijos, įstaigos ar organo įgaliojimus (žr. 2021 m. liepos 15 d. Sprendimo FBF, C‑911/19, EU:C:2021:599, 38 punktą ir jame nurodytą jurisprudenciją).

Nagrinėjamu atveju ieškovas prašo panaikinti ginčijamas duomenų perdavimo operacijas, kurios, anot jo, įvyko tris kartus. Pirma, 2022 m. kovo 30 d. lankantis KEA interneto svetainėje (toliau – ginčijamas duomenų perdavimas 2022 m. kovo 30 d. lankantis KEA interneto svetainėje), jo asmens duomenys, visų pirma IP adresas, ir informacija apie naršyklę ir terminalą buvo perduoti JAV įmonei Amazon Web Services, kuri veikia kaip paskirstytojo turinio perdavimo tinklo Amazon CloudFront, naudojamo minėtoje interneto svetainėje, operatorė.

Antra, 2022 m. kovo 30 d. ieškovui jungiantis prie Komisijos naudotojo tapatybės patvirtinimo paslaugos EU Login per jo Facebook paskyrą siekiant KEA interneto svetainėje užsiregistruoti į renginį „GoGreen“ (toliau – ginčijamas duomenų perdavimas 2022 m. kovo 30 d. jungiantis prie EU Login), jo asmens duomenys, visų pirma IP adresas ir informacija apie naršyklę ir terminalą, buvo perduoti JAV įmonei Meta Platforms, Inc.

28	Trečia, 2022 m. birželio 8 d. ieškovui lankantis KEA interneto svetainėje (toliau – ginčijamas duomenų perdavimas 2022 m. birželio 8 d. lankantis KEA interneto svetainėje) jo asmens duomenys buvo perduoti į Amazon CloudFront serverį, esantį Niuarke (Naujasis Džersis, Jungtinės Valstijos).

Be to, ieškinyje ieškovas nurodo, kad 2021 m. lapkričio 9 d. lankėsi KEA interneto svetainėje ir tą dieną joje užsiregistravo per savo Facebook paskyrą. Tačiau jis nenurodo nieko konkretaus, kas leistų daryti išvadą, kad jo prašymas panaikinti ginčijamas duomenų perdavimo operacijas susijęs su šiomis aplinkybėmis. Taigi reikia atsižvelgti tik į šio sprendimo 26–28 punktuose paminėtas ginčijamas duomenų perdavimo operacijas.

Pažymėtina, kad šio sprendimo 26–28 punktuose paminėtos ginčijamos duomenų perdavimo operacijos, kurias ieškovas prašo panaikinti, anot paties ieškovo, atitinka duomenų perkėlimo IT operacijas, inicijuotas iš Komisijos IT sistemų arba tarnybų, be kita ko, iš KEA interneto svetainės, į serverius, priklausančius už Sąjungos teritorijos ribų įsteigtoms trečiosioms įmonėms.

Žinoma, asmens duomenų perdavimas iš Sąjungos institucijos ar organo į trečiąją valstybę savaime yra asmens duomenų tvarkymas, kaip jis suprantamas pagal Reglamento 2018/1725 3 straipsnio 3 punktą, atliekamas Sąjungos teritorijoje, o tokiam tvarkymui šis reglamentas taikomas pagal jo 2 straipsnio 5 dalį (pagal analogiją žr. 2020 m. liepos 16 d. Sprendimo Facebook Ireland ir Schrems, C‑311/18, toliau – Sprendimas Schrems II, EU:C:2020:559, 83 punktą).

32	Vis dėlto ne visos operacijos, per kurias gali būti perduodami asmens duomenys, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 3 punktą, yra aktai, dėl kurių galima pareikšti ieškinį pagal SESV 263 straipsnį, kaip jis aiškinamas 24 punkte primintoje jurisprudencijoje.

Nagrinėjamu atveju konstatuotina, kad ginčijamos duomenų perdavimo operacijos (preziumuojant, kad jos yra įrodytos) yra realiniai, o ne teisiniai aktai. Ieškinyje aprašytos ginčijamos duomenų perdavimo operacijos yra IT duomenų perkėlimo iš vieno terminalo ar serverio į kitą operacijos, nulemtos ieškovo ir Komisijos IT sistemų ar tarnybų sąveikos lankantis KEA interneto svetainėje arba jungiantis prie EU Login paslaugos. Ginčijamos duomenų perdavimo operacijos savo ruožtu nėra privalomų teisinių padarinių sukeliantys Komisijos aktai, t. y. jie nėra skirti teisinei padėčiai sureguliuoti ir, kaip matyti iš paties jų pobūdžio, Komisija visiškai neketino jiems suteikti tokį poveikį.

Todėl ginčijamos duomenų perdavimo operacijos negali sukelti privalomų teisinių padarinių, galinčių turėti įtakos ieškovo interesams ir aiškiai pakeisti jo teisinę padėtį, kaip nurodyta šio sprendimo 24 punkte primintoje jurisprudencijoje. Taigi jie negali būti laikomi aktais, dėl kurių galima pareikšti ieškinį pagal SESV 263 straipsnį.

35	Darytina išvada, kad ieškovo reikalavimas dėl panaikinimo turi būti atmestas kaip nepriimtinas.

Reikalavimo dėl neveikimo priimtinumas

36	Antruoju reikalavimu ieškovas Bendrojo Teismo prašo konstatuoti, kad Komisija neteisėtai nepareiškė pozicijos dėl 2022 m. balandžio 1 d. prašymo pateikti informacijos.

Atsiliepime į ieškinį Komisija teigia, kad prašymas dėl neveikimo konstatavimo yra nepriimtinas, nes nebuvo raginimo imtis veiksmų, kaip tai suprantama pagal SESV 265 straipsnio antrą pastraipą. Alternatyviai Komisija teigia, kad atsižvelgiant į jos 2022 m. birželio 30 d. el. laiške išdėstytą atsakymą ieškovui, nebėra pagrindo priimti sprendimo dėl prašymo dėl neveikimo.

38	Ieškovas iš esmės teigia, kad Komisija vis dar privalo atsakyti į 2022 m. balandžio 1 d. prašymą pateikti informacijos, nes informacija, kurią ji pateikė 2022 m. birželio 30 d. el. laiške, yra nepakankama ir netiksli.

Pagal suformuotą jurisprudenciją SESV 265 straipsnyje numatyta teisių gynimo priemonė grindžiama mintimi, kad atitinkamos institucijos neteisėtas neveikimas suteikia pagrindo kreiptis į Sąjungos teismą, kad šis pripažintų neveikimą prieštaraujančiu Sutarčiai, jeigu atitinkama institucija šio neveikimo neištaisė (1988 m. liepos 12 d. Sprendimo Parlamentas / Taryba, 377/87, EU:C:1988:387, 9 punktas; taip pat žr. 2015 m. gruodžio 16 d. Sprendimo Švedija / Komisija, T‑521/14, nepaskelbtas Rink., EU:T:2015:976, 33 punktą ir jame nurodytą jurisprudenciją).

Tuo atveju, kai aktas, dėl kurio nebuvimo kilo ginčas, buvo priimtas jau pareiškus ieškinį, bet prieš paskelbiant teismo sprendimą, Sąjungos teismo pripažinimas, kad pirminis neveikimas yra neteisėtas, nebegali sukelti SESV 266 straipsnyje numatytų pasekmių. Tai reiškia, kad tokiu atveju ieškinio dalykas išnyko, todėl nebėra pagrindo priimti sprendimo (1988 m. liepos 12 d. Sprendimo Parlamentas / Taryba, 377/87, EU:C:1988:387, 10 ir 11 punktai; taip pat žr. 2000 m. gruodžio 13 d. Nutarties Sodima / Komisija, C‑44/00 P, EU:C:2000:686, 83 punktą ir jame nurodytą jurisprudenciją).

Nagrinėjamu atveju konstatuotina, kad į 2022 m. balandžio 1 d. prašymą pateikti informacijos Komisija atsakė 2022 m. birželio 30 d. el. laišku (žr. šio sprendimo 11 punktą). Taigi Komisija nutraukė šiame ieškinyje ieškovo nurodytą neveikimą po to, kai buvo pareikštas ieškinys. Todėl antrasis reikalavimas, kuriuo siekiama, kad remiantis SESV 265 straipsniu būtų konstatuotas Komisijos neveikimas, nes ji neatsakė į 2022 m. balandžio 1 d. prašymą pateikti informacijos, neteko dalyko.

Šiuo atžvilgiu reikšmės neturi tai, kad 2022 m. birželio 30 d. Komisijos el. laiško turinys neatitinka ieškovo pageidauto atsakymo. Aplinkybė, kad institucijos pozicija netenkina ieškovo, šiuo aspektu iš tiesų yra nesvarbi, nes SESV 265 straipsnyje kalbama apie neveikimą, kai nesiimama veiksmų ar neapibrėžiama pozicija, o ne apie situaciją, kai priimamas kitas aktas nei šalies pageidautas ar laikytas būtinu (žr. 2017 m. balandžio 6 d. Nutarties Brancheforeningen for Regulerkraft i Danmark / Komisija, T‑203/16, nepaskelbta Rink., EU:T:2017:279, 22 punktą ir jame nurodytą jurisprudenciją).

43	Darytina išvada, kad nebėra pagrindo priimti sprendimo dėl ieškovo reikalavimo dėl neveikimo konstatavimo ir nereikia nuspręsti dėl Komisijos nurodyto reikalavimo nepriimtinumo.

Dėl reikalavimo atlyginti žalą

Nurodydamas trečiąjį reikalavimą ieškovas pateikia du prašymus atlyginti žalą. Pirma, jis prašo atlyginti 800 EUR neturtinę žalą, kurią tariamai patyrė dėl to, kad Komisija nepaisė jo teisės susipažinti su informacija, taip pažeisdama Reglamento 2018/1725 14 straipsnio 3 ir 4 dalis ir 17 straipsnio 1 ir 2 dalis ir minėto reglamento 4 straipsnio 1 dalies a punkte numatytą skaidrumo principą. Antra, jis prašo atlyginti 400 EUR neturtinę žalą, kurią tariamai patyrė dėl ginčijamos duomenų perdavimo operacijos, atliktos pažeidžiant Reglamento 2018/1725 46 straipsnį ir 48 straipsnio 1 dalį ir 2 dalies b punktą.

45	Komisija prašo atmesti reikalavimą atlyginti žalą.

Pirminės pastabos dėl Sąjungos deliktinės atsakomybės atsiradimo pagal Reglamentą 2018/1725 sąlygų

46	Reglamento 2018/1725 65 straipsnyje numatyta, kad bet kuris asmuo, patyręs turtinę ar neturtinę žalą dėl minėto reglamento pažeidimo, turi teisę iš Sąjungos institucijos ar organo gauti kompensaciją už patirtą žalą laikantis „Sutartyse nustatytų sąlygų“.

Šį Reglamento 2018/1725 65 straipsnį reikia aiškinti kaip numatantį, kad teisei reikalauti iš Sąjungos institucijos ar organo atlyginti dėl šio reglamento pažeidimo patirtą žalą taikomos SESV 340 straipsnio antros pastraipos sąlygos: pagal šią nuostatą Sąjunga pagal bendrus valstybių narių įstatymams būdingus principus atlygina bet kokią žalą, kurią eidami savo pareigas padaro jos institucijos ar tarnautojai.

Pagal suformuotą jurisprudenciją tam, kad kiltų Sąjungos deliktinė atsakomybė, turi būti įvykdytos trys kumuliacinės sąlygos, t. y. skundžiamas institucijos elgesys turi būti neteisėtas, žala turi būti reali ir turi egzistuoti priežastinis ryšys tarp šio elgesio ir nurodomos žalos (šiuo klausimu žr. 2000 m. liepos 4 d. Sprendimo Bergaderm ir Goupil / Komisija, C‑352/98 P, EU:C:2000:361, 39–42 punktus ir 2021 m. spalio 28 d. Sprendimo Vialto Consulting / Komisija, C‑650/19 P, EU:C:2021:879, 138 punktą).

Kumuliatyvus šių sąlygų pobūdis reiškia, kad jeigu viena iš jų neįvykdyta, turi būti atmestas visas ieškinys ir nereikia nagrinėti kitų sąlygų (1999 m. rugsėjo 9 d. Sprendimo Lucaccioni / Komisija, C‑257/98 P, EU:C:1999:402, 14 ir 63 punktai; taip pat žr. 2021 m. vasario 25 d. Sprendimo Dalli / Komisija, C‑615/19 P, EU:C:2021:133, 42 punktą ir jame nurodytą jurisprudenciją).

Kiek tai susiję su pirmąja sąlyga, pagal jurisprudenciją reikalaujama įrodyti pakankamai aiškų teisės normos, kuria siekiama suteikti teisių privatiems asmenims, pažeidimą (žr. 2000 m. liepos 4 d. Sprendimo Bergaderm ir Goupil / Komisija, C‑352/98 P, EU:C:2000:361, 42 punktą ir jame nurodytą jurisprudenciją).

Reikalavimu, kad Sąjungos teisės pažeidimas būtų pakankamai aiškus, nesvarbu, kokio pobūdžio yra nagrinėjamas neteisėtas veiksmas, siekiama išvengti situacijos, kai dėl pavojaus, jog reikės atlyginti suinteresuotųjų asmenų tariamai patirtą žalą, atitinkama institucija negali visapusiškai atlikti savo funkcijų, skirtų bendrajam interesui užtikrinti, tiek vykdydama norminę veiklą arba ekonominės politikos sprendimus apimančią veiklą, tiek įgyvendindama savo administracinę kompetenciją, ir kartu neužkrauti privatiems asmenims akivaizdaus ir nepateisinamo pažeidimo pasekmių naštos (šiuo klausimu žr. 2018 m. gruodžio 14 d. Sprendimo East West Consulting / Komisija, T‑298/16, EU:T:2018:967, 124 punktą ir jame nurodytą jurisprudenciją).

Lemiamas pažeidimo pripažinimo pakankamai aiškiu kriterijus yra tai, ar atitinkama Sąjungos institucija arba organas akivaizdžiai ir šiurkščiai pažeidė jos diskrecijai nustatytas ribas. Kai institucija ar organas turi tik labai ribotą diskreciją arba jos visai neturi, pakankamai aiškiam pažeidimui įrodyti gali pakakti paprasto Sąjungos teisės pažeidimo (žr. 2002 m. gruodžio 10 d. Sprendimo Komisija / Camar ir Tico, C‑312/00 P, EU:C:2002:736, 54 punktą ir jame nurodytą jurisprudenciją). Vis dėlto pagal šią jurisprudenciją negalima daryti išvados, kad jei atitinkama institucija neturi diskrecijos, tai savaime pažeidimas pripažįstamas pakankamai aiškiu Sąjungos teisės pažeidimu (2010 m. kovo 3 d. Sprendimo Artegodan / Komisija, T‑429/05, EU:T:2010:60, 59 punktas). Net jeigu atitinkamos institucijos diskrecijos apimtis turi lemiamą reikšmę, ji nėra išimtinis kriterijus. Šiuo klausimu Teisingumo Teismas yra ne kartą priminęs, kad pagal SESV 340 straipsnio antrą pastraipą jo išplėtotoje sistemoje, be kita ko, atsižvelgiama ir į spręstinų situacijų sudėtingumą ir teisės aktų taikymo bei aiškinimo sunkumus (žr. 2011 m. lapkričio 23 d. Sprendimo Sison / Taryba, T‑341/07, EU:T:2011:687, 36 ir 37 punktus ir juose nurodytą jurisprudenciją) arba, bendriau kalbant, į sritį, sąlygas ir kontekstą, kuriems esant pažeista norma yra privaloma atitinkamai Sąjungos institucijai ar organui (žr. 2017 m. balandžio 4 d. Sprendimo Ombudsmenas / Staelen, C‑337/15 P, EU:C:2017:256, 40 punktą ir jame nurodytą jurisprudenciją).

Vadinasi, Sąjungos atsakomybė gali kilti tik konstatavus pažeidimą, kurio tokiomis pačiomis aplinkybėmis nepadarytų įprastai apdairi ir rūpestinga administracija. Todėl Sąjungos teismas, pirmiausia nustatęs, ar atitinkama institucija turėjo diskreciją, toliau turi atsižvelgti į reguliuotinų situacijų sudėtingumą, teisės aktų taikymo ir aiškinimo sunkumus, pažeistos normos aiškumo ir tikslumo laipsnį bei galimos teisės klaidos tyčinį ar nepateisinamą pobūdį (2010 m. kovo 3 d. Sprendimo Artegodan / Komisija, T‑429/05, EU:T:2010:60, 62 punktas).

Dėl žalos realumo sąlygos pažymėtina, kad žala turi būti reali ir tikra, o tai turi įrodyti ieškovas (žr. 2006 m. lapkričio 9 d. Sprendimo Agraz ir kt. / Komisija, C‑243/05 P, EU:C:2006:708, 27 punktą ir jame nurodytą jurisprudenciją). Visiškai hipotetinė ir neapibrėžta žala, priešingai, nesuteikia teisės į jos atlyginimą (žr. 2011 m. spalio 26 d. Sprendimo Dufour / BCE, T‑436/09, EU:T:2011:634, 192 punktą ir jame nurodytą jurisprudenciją).

Apie priežastinio ryšio sąlygą pasakytina, kad turi egzistuoti pakankamai tiesioginis priežastinis ryšys tarp skundžiamo institucijos elgesio ir žalos (tą ryšį turi įrodyti ieškovas), taigi skundžiamas elgesys turi būti pagrindinė žalos priežastis (žr. 2018 m. gruodžio 13 d. Sprendimo Europos Sąjunga / ASPLA ir Armando Álvarez, C‑174/17 P ir C‑222/17 P, EU:C:2018:1015, 23 punktą ir jame nurodytą jurisprudenciją).

Be to, primintina, kad ieškinys dėl žalos atlyginimo, grindžiamas SESV 340 straipsnio antra pastraipa, buvo įtvirtintas kaip savarankiška priemonė, kuri turi ypatingą paskirtį teisių gynimo priemonių sistemoje, ir jai taikomos įgyvendinimo sąlygos, sukurtos atsižvelgiant į jos specifinį tikslą, todėl prašymo dėl panaikinimo pripažinimas nepriimtinu automatiškai nelemia reikalavimo atlyginti žalą nepriimtinumo (žr. 2019 m. rugsėjo 5 d. Sprendimo Europos Sąjunga / Guardian Europe ir Guardian Europe / Europos Sąjunga, C‑447/17 P ir C‑479/17 P, EU:C:2019:672, 49 punktą ir jame nurodytą jurisprudenciją).

Vadinasi, prašymo dėl panaikinimo atmetimas kaip nepriimtino ir prašymo dėl neveikimo konstatavimo atmetimas dėl to, kad nebėra pagrindo priimti sprendimą, kaip nurodyta šio sprendimo 35 ir 43 punktuose, dar nereiškia, kad šio sprendimo 44 punkte nurodyti prašymai atlyginti žalą turi būti atmesti kaip nepriimtini.

58	Atsižvelgiant būtent į šiuos aspektus reikia išnagrinėti prašymuose atlyginti žalą išdėstytus ieškovo teiginius.

Dėl pirmojo prašymo atlyginti neturtinę žalą, patirtą dėl teisės susipažinti su informacija pažeidimo

59	Pirmuoju prašymu atlyginti žalą ieškovas prašo priteisti iš Komisijos 800 EUR sumą neturtinei žalai, patirtai dėl jo teisės susipažinti su informacija pažeidimo, atlyginti.

Visų pirma ieškovas teigia, kad Komisija per nustatytą terminą neatsakė į 2022 m. balandžio 1 d. prašymą pateikti informacijos ir nenurodė neveikimo motyvų, taip pažeisdama Reglamento 2018/1725 14 straipsnio 3 ir 4 dalis ir 17 straipsnio 1 ir 2 dalis ir to paties reglamento 4 straipsnio 1 dalies a punkte numatytą skaidrumo principą. Be to, anot jo, Komisija nepaisė Reglamento 2018/1725 17 straipsnio 1 dalies c punkto ir 2 dalies, nes KEA interneto svetainėje paskelbtame pareiškime dėl privatumo apsaugos nėra informacijos apie asmens duomenų perdavimą į trečiąsias valstybes ir apie galimų tinkamų apsaugos priemonių taikymą tokiam duomenų perdavimui, kaip to reikalaujama pagal minėto reglamento 48 straipsnį. Be to, 2021 m. gruodžio 3 d. el. laiške Komisija pateikė klaidingą informaciją, nes paneigė ieškovo asmens duomenų perdavimo JAV esantiems duomenų gavėjams faktą.

Toliau ieškovas teigia, kad dėl neteisėto Komisijos neveikimo negalėjo kontroliuoti savo asmens duomenų tvarkymo, o tai reiškia neturtinę žalą, kaip ji suprantama pagal Reglamento 2018/1725 46 konstatuojamąją dalį. Galiausiai jis tvirtina, kad 800 eurų įvertinta neturtinė žala tiesiogiai kilo dėl kaltų Komisijos veiksmų.

62	Komisija ginčija šiuos argumentus ir iš esmės teigia, kad šiuo atveju netenkinama nė viena deliktinės atsakomybės atsiradimo sąlyga.

63	Visų pirma, kalbant apie skundžiamo neteisėto elgesio sąlygą, reikia patikrinti, ar ieškovas rėmėsi teisės normų, kuriomis siekiama suteikti teisių privatiems asmenims, pažeidimu.

Šiuo klausimu pažymėtina, kad Reglamento 2018/1725 17 straipsnio 1 dalies c punkte įtvirtinta duomenų subjekto teisė susipažinti su informacija apie gavėjus, kuriems buvo atskleisti jo asmens duomenys, visų pirma duomenų gavėjus trečiosiose valstybėse. Taigi šia nuostata sukonkretinamas Reglamento 2018/1725 4 straipsnio 1 dalies a punkte įtvirtintas principas, pagal kurį bet kokia informacija apie asmens duomenų tvarkymą ir jų atskleidimą turi būti lengvai prieinama.

Reglamento 2018/1725 14 straipsnio 3 dalyje asmens duomenų valdytojui nustatytas vieno mėnesio terminas atsakyti į prašymus pateikti informacijos. Be to, pagal šio reglamento 14 straipsnio 4 dalį tuo atveju, kai asmens duomenų valdytojas nusprendžia netenkinti prašymo, jis privalo per vieną mėnesį informuoti prašytoją apie neveikimo priežastis ir apie galimybę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui (EDAPP) ir pasinaudoti teismine teisių gynimo priemone. Taigi šios nuostatos yra administracinės procedūros taisyklės, padedančios įgyvendinti teisę susipažinti su informacija apie asmens duomenis, ją sukonkretindamos ir formuodamos. Šios nuostatos taip pat leidžia sukonkretinti kiekvienam asmeniui pagal Chartijos 41 straipsnį suteiktą teisę į tai, kad Sąjungos institucijos ir organai jo reikalus tvarkytų per kiek įmanoma trumpesnį laiką.

66	Taigi kartu aiškinamos Reglamento 2018/1725 4 straipsnio 1 dalies a punkto, 14 straipsnio 3 ir 4 dalių ir 17 straipsnio 1 dalies c punkto nuostatos yra teisės normos, kuriomis siekiama suteikti teisių privatiems asmenims, kaip tai suprantama pagal šio sprendimo 50 punkte nurodytą jurisprudenciją.

67	Toliau reikia išnagrinėti, ar nagrinėjamu atveju Komisija pažeidė šias nuostatas.

Pirma, ieškovas teigia, kad Komisija pažeidė Reglamento 2018/1725 17 straipsnio 1 dalies c punktą ir 2 dalį, nes KEA interneto svetainėje paskelbtame pareiškime dėl privatumo apsaugos nėra informacijos apie asmens duomenų perdavimą duomenų gavėjams trečiosiose valstybėse, apie galimas su minėtu perdavimu susijusias apsaugos priemones arba apie rangovų, kaip antai šių duomenų gavėjų, tapatybę.

Kaip nurodyta šio sprendimo 64 punkte, Reglamento 2018/1725 17 straipsnio 1 dalies c punkte ir 2 dalyje numatyta, kad duomenų subjektas, be kita ko, turi teisę gauti informaciją apie duomenų gavėjus trečiosiose valstybėse, kuriems buvo atskleisti asmens duomenys, ir apie tinkamas apsaugos priemones, susijusias su duomenų perdavimu jiems.

Tai reiškia, kad šiose nuostatose įtvirtinta duomenų subjekto teisė susipažinti su tam tikra informacija, tačiau nenumatyta, kad ši informacija būtinai turi būti išdėstyta konkrečiame dokumente ar net pareiškime dėl privatumo apsaugos, kaip antai paskelbtame KEA interneto svetainėje. Kitaip tariant, iš šių nuostatų nematyti, kad nagrinėjama informacija turi būti atskleista minėto pareiškimo forma. Vis dėlto ieškovas, kaip ir bet kuris duomenų subjektas, išsaugo teisę gauti tokią informaciją naudodamasis Reglamento 2018/1725 17 straipsnio 1 dalies c punkte ir 2 dalyje įtvirtinta teise susipažinti su informacija, o šis klausimas yra platesnis nei neteisėti veiksmai, kuriais ieškovas kaltina Komisiją ir kurie apsiriboja pareiškimo dėl privatumo apsaugos turiniu (žr. šio sprendimo 68 punktą).

Bet kuriuo atveju šioje byloje iš minėto pareiškimo dėl privatumo apsaugos, pridėto prie ieškinio, matyti, kad jame yra informacijos apie gavėjus ar jų kategorijas, kuriems asmens duomenys buvo ar bus atskleisti. Minėto pareiškimo 7 punkte, be kita ko, nurodyta, kad prieiga prie duomenų „leidžiama įgaliotiems [Komisijos] darbuotojams ir jos rangovams, atsakingiems už konkrečios duomenų tvarkymo operacijos vykdymą, laikantis būtinybės žinoti principo“. Be to, ieškovo argumentas, kad minėtame pareiškime nėra informacijos apie asmens duomenų perdavimą duomenų gavėjams trečiosiose valstybėse, grindžiamas prielaida, kad lankantis KEA interneto svetainėje naudotojų asmens duomenys perduodami į trečiąją valstybę. Tačiau šis prašymas atlyginti žalą grindžiamas teisės susipažinti su informacija, o ne nuostatų, susijusių su asmens duomenų perdavimu į trečiąsias valstybes, pažeidimu, kuris, beje, sudaro antrojo prašymo atlyginti žalą pagrindą.

72	Taigi šiuo atveju neįrodyta, kad Komisija pažeidė Reglamento 2018/1725 17 straipsnio 1 dalies c punktą ir 2 dalį, kiek tai susiję su KEA interneto svetainėje paskelbtu pareiškimu dėl privatumo apsaugos.

Antra, ieškovas teigia, kad Komisija per nustatytą terminą neatsakė į 2022 m. balandžio 1 d. prašymą pateikti informacijos ir nenurodė neveikimo motyvų, taip pažeisdama Reglamento 2018/1725 14 straipsnio 3 ir 4 dalis ir 17 straipsnio 1 ir 2 dalis ir skaidrumo principą. Be to, anot jo, 2021 m. gruodžio 3 d. el. laiške Komisija jam pateikė klaidingą informaciją.

Pirmiausia pažymėtina, kad ieškovas nenurodo jokio konkretaus argumento, pagrindžiančio skaidrumo principo pažeidimą. Taigi šio argumento turinys nėra savarankiškas, lyginant su teiginiu, kad nesilaikyta atsakymo į prašymą pateikti informacijos termino ir pareigos nurodyti šio termino praleidimo priežastis.

Be to, ieškovo argumentai, grindžiami Reglamento 2018/1725 17 straipsnio 1 ir 2 dalių pažeidimu ir tuo, kad 2021 m. gruodžio 3 d. el. laiške Komisija jam pateikė klaidingą informaciją, paremti prielaida, kad lankantis KEA interneto svetainėje naudotojų asmens duomenys perduodami į trečiąją valstybę. Kaip nurodyta šio sprendimo 71 punkte, šis prašymas atlyginti žalą grindžiamas teisės susipažinti su informacija, o ne nuostatų, susijusių su asmens duomenų perdavimu į trečiąsias valstybes, pažeidimu, kuris sudaro antrojo prašymo atlyginti žalą pagrindą.

76	Taigi nagrinėjamu atveju nebuvo įrodyta, kad Komisija pažeidė Reglamento 2018/1725 17 straipsnio 1 ir 2 dalis.

Kiek tai susiję su ieškovo teiginiu, grindžiamu Reglamento 2018/1725 14 straipsnio 3 ir 4 dalių pažeidimu, iš bylos medžiagos matyti, kad Komisija į 2021 m. lapkričio 9 d. prašymą pateikti informacijos atsakė per Reglamento 2018/1725 14 straipsnio 3 dalyje numatytą vieno mėnesio terminą (žr. šio sprendimo 5 ir 7 punktus). Dėl 2022 m. balandžio 1 d. prašymo pažymėtina, kad Komisija 2022 m. birželio 30 d. el. laišku informavo ieškovą, kad 2022 m. balandžio 1 d. prašymas pateikti informacijos, jos nuomone, yra beveik identiškas 2021 m. lapkričio 9 d. prašymui pateikti informacijos, į kurį ji jau atsakė 2021 m. gruodžio 3 d. el. laišku (žr. šio sprendimo 11 punktą).

78	Darytina išvada, kad, kiek tai susiję su 2022 m. balandžio 1 d. prašymu pateikti informacijos, Komisija nesilaikė Reglamento 2018/1725 14 straipsnio 4 dalyje nustatyto vieno mėnesio termino (žr. šio sprendimo 65 punktą).

79	Iš šio sprendimo 68–78 punktų matyti, kad vienintelis šioje byloje įrodytas pažeidimas, kuriuo kaltinama Komisija, yra Reglamento 2018/1725 14 straipsnio 4 dalyje nustatyto termino nesilaikymas.

Šiomis aplinkybėmis, neatsižvelgiant į klausimą, ar tai, kad Komisija nesilaikė minėto termino, yra pakankamai aiškus teisės normos pažeidimas, pirmiausia reikia išnagrinėti, ar dėl šio termino nesilaikymo ieškovas patyrė realią ir tikrą neturtinę žalą, kaip tai suprantama pagal šio sprendimo 54 punkte primintą jurisprudenciją.

Dėl tariamai patirtos neturtinės žalos realumo primintina, kad pasiūlymo pateikti įrodymų pateikimas nebūtinai laikomas būtina neturtinės žalos pripažinimo sąlyga, tačiau ieškovas turi įrodyti bent tai, kad skundžiamas tam tikros institucijos elgesys galėjo jam sukelti tokią žalą (2009 m. liepos 16 d. Sprendimo SELEX Sistemi Integrati / Komisija, C‑481/07 P, nepaskelbtas Rink., EU:C:2009:461, 38 punktas; taip pat žr. 2019 m. liepos 2 d. Sprendimo Fulmen / Taryba, T‑405/15, EU:T:2019:469, 188 punktą ir jame nurodytą jurisprudenciją).

82	Nagrinėjamu atveju ieškovas prašo atlyginti 800 EUR neturtinę žalą ir teigia, kad dėl skundžiamo Komisijos elgesio jam buvo užkirstas kelias kontroliuoti savo asmens duomenų tvarkymą.

Vis dėlto konstatuotina, kad šiuo atveju tokia neturtinė žala nebuvo įrodyta. Vienintelis šioje byloje įrodytas pažeidimas yra tai, kad Komisija nesilaikė Reglamento 2018/172514 straipsnio 4 dalyje numatyto vieno mėnesio termino (žr. šio sprendimo 79 punktą). Tačiau šis terminas nebuvo viršytas daugiau kaip dviem mėnesiais (žr. šio sprendimo 77 punktą). Be to, 2021 m. lapkričio 9 d. ir 2022 m. balandžio 1 d. prašymai pateikti informacijos iš esmės buvo tapatūs (žr. šio sprendimo 5 ir 8 punktus), taigi 2021 m. gruodžio 3 d., kai Komisija atsakė į 2021 m. lapkričio 9 d. prašymą pateikti informacijos, ieškovas bent iš dalies gavo atsakymą į savo prašymą pateikti informacijos (žr. šio sprendimo 7 punktą).

84	Be to, ieškovo argumentas, kad buvo pateikta klaidinga informacija (žr. šio sprendimo 75 punktą), yra susijęs su informacijos pagrįstumu, o ne su procedūrinės taisyklės, kurios pažeidimas buvo nustatytas šio sprendimo 78 punkte, laikymusi, todėl neturi reikšmės įrodinėjant tariamą neturtinę žalą.

85	Vadinasi, nebuvo įrodyta, kad ieškovas galėjo patirti nurodytą neturtinę žalą dėl to, kad Komisija nesilaikė Reglamento 2018/1725 14 straipsnio 4 dalyje nustatyto termino.

86	Taigi, kadangi neįvykdyta viena iš SESV 340 straipsnio antroje pastraipoje numatytų kumuliacinių Sąjungos deliktinės atsakomybės atsiradimo sąlygų, reikia atmesti pirmąjį ieškovo prašymą atlyginti žalą.

Dėl antrojo prašymo atlyginti neturtinę žalą, patirtą dėl ginčijamo duomenų perdavimo

Antruoju prašymu atlyginti žalą ieškovas prašo atlyginti 400 EUR neturtinę žalą, kurią tariamai patyrė dėl šio sprendimo 26–28 punktuose nurodytų ginčijamų duomenų perdavimo operacijų, t. y. ginčijamo duomenų perdavimo 2022 m. kovo 30 d. lankantis KEA interneto svetainėje, ginčijamo duomenų perdavimo 2022 m. kovo 30 d. jungiantis prie EU Login ir ginčijamo duomenų perdavimo 2022 m. birželio 8 d. lankantis KEA interneto svetainėje.

Ieškovas iš esmės teigia, kad per ginčijamas operacijas duomenys buvo perduoti gavėjams Jungtinėse Valstijose, t. y. valstybėje, kurioje neužtikrinama tinkamo lygio apsauga. Anot jo, Komisija nenurodė jokių Reglamento 2018/1725 V skyriuje numatytų tinkamų apsaugos priemonių, galinčių pateisinti tokį perdavimą, todėl pažeidė šio reglamento 46 straipsnį, 48 straipsnio 1 dalį ir 2 dalies b punktą ir Chartijos 7, 8 ir 47 straipsnius. Dėl ginčijamų duomenų perdavimo operacijų kilo pavojus, kad tos valstybės saugumo ir žvalgybos tarnybos galės turėti prieigą prie ieškovo duomenų, todėl jam buvo padaryta neturtinė žala, kaip tai suprantama pagal Reglamento 2018/1725 46 konstatuojamąją dalį, nes jis neteko galimybės naudotis savo teisėmis ir laisvėmis ir jam buvo užkirstas kelias kontroliuoti savo duomenis.

89	Komisija ginčija šiuos argumentus ir iš esmės teigia, kad šiuo atveju nebuvo įvykdytos deliktinės atsakomybės atsiradimo sąlygos.

– Pirminės pastabos dėl nuostatų, susijusių su asmens duomenų perdavimu į trečiąją valstybę

Pirmiausia pažymėtina, kad, remiantis Reglamento 2018/1725 2 straipsnio 5 dalimi, jis taikomas asmens duomenų tvarkymui visiškai arba iš dalies automatizuotomis priemonėmis ir asmens duomenų tvarkymui neautomatizuotomis priemonėmis, kai šie duomenys laikomi arba juos ketinama laikyti susistemintame rinkinyje.

91	Antra, sąvoka „asmens duomenys“ pagal Reglamento 2018/1725 3 straipsnio 1 punktą turi būti suprantama kaip bet kokia informacija apie fizinį asmenį, kurio tapatybė yra arba gali būti nustatyta.

92	Trečia, pažymėtina, kad duomenų perdavimas yra „duomenų tvarkymo“ operacija, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 3 punktą.

93	Ketvirta, „asmens duomenų perdavimas į trečiąsias valstybes arba tarptautinėms organizacijoms“ reglamentuojamas Reglamento 2018/1725 V skyriuje, tačiau ten jis nėra apibrėžtas.

Vis dėlto iš Reglamento 2018/1725 63 konstatuojamosios dalies matyti, kad šio reglamento V skyriaus nuostatose nurodytas duomenų perdavimas apima asmens duomenis, kurie iš Sąjungos institucijų ir organų perduodami duomenų valdytojams, duomenų tvarkytojams ar kitiems gavėjams trečiosiose valstybėse arba tarptautinėms organizacijoms.

Be to, iš sisteminio Reglamento 2018/1725 aiškinimo matyti, kad perduodant asmens duomenis į trečiąsias valstybes, kaip tai suprantama pagal jo 46 straipsnį, reikalaujama, kad, pirma, atitinkamas duomenų valdytojas priklausytų Sąjungos institucijai ar organui, taigi jam būtų taikomas minėtas reglamentas (Reglamento 2018/1725 1 straipsnis), antra, duomenų valdytojas persiųsdamas asmens duomenis arba kitu būdu suteiktų duomenų gavėjui, visų pirma kitam fiziniam ar juridiniam asmeniui, galimybę jais naudotis (Reglamento 2018/1725 3 straipsnio 3 ir 13 punktai), ir, trečia, duomenų gavėjas būtų įsisteigęs trečiojoje valstybėje (Reglamento 2018/1725 46 straipsnis), t. y. valstybėje, kuri nėra nei Sąjungos, nei Europos ekonominės erdvės (EEE) narė.

Penkta, konstatuotina, kad Reglamento 2018/1725 V skyriaus nuostatomis siekiama, atsižvelgiant į jo 63 konstatuojamojoje dalyje nurodytą tikslą, užtikrinti Sąjungoje fiziniams asmenims garantuojamą apsaugos lygį, kai asmens duomenys perduodami į trečiąsias valstybes arba tarptautinėms organizacijoms.

Šešta, Reglamento 2018/1725 46 straipsnyje numatytas bendrasis principas, pagal kurį asmens duomenys į trečiąją valstybę arba tarptautinei organizacijai gali būti perduodami tik tuo atveju, jeigu duomenų valdytojas ir duomenų tvarkytojas, paisydami kitų šio reglamento nuostatų, laikosi jo V skyriuje nustatytų sąlygų.

Septinta, dėl Reglamento 2018/1725 V skyriuje apibrėžtų sąlygų pažymėtina, kad jo 47 straipsnio 1 dalyje numatyta, jog asmens duomenys gali būti perduodami į trečiąją valstybę arba tarptautinei organizacijai, jeigu Komisija, be kita ko, pagal Reglamento 2016/679 45 straipsnio 3 dalį priimtu sprendimu dėl tinkamumo nusprendė, kad atitinkama valstybė arba tarptautinė organizacija užtikrina tinkamo lygio apsaugą, o asmens duomenys perduodami vien tam, kad būtų galima atlikti duomenų valdytojo kompetencijai priskirtinas užduotis.

Šiuo klausimu primintina, kad abu dėl Jungtinių Valstijų priimti Komisijos sprendimai dėl tinkamumo buvo pripažinti negaliojančiais. 2015 m. spalio 6 d. Sprendime Schrems (C‑362/14, EU:C:2015:650) Teisingumo Teismas pripažino negaliojančiu 2000 m. liepos 26 d. Komisijos sprendimą 2000/520/EB dėl Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl saugaus uosto privatumo principų teikiamos apsaugos pakankamumo ir su jais susijusių JAV komercijos departamento pateiktų Dažnai užduodamų klausimų (OL L 215, 2000, p. 7; 2004 m. specialusis leidimas lietuvių k., 16 sk., 1 t., p. 119). Sprendime Schrems II Teisingumo Teismas pripažino negaliojančiu 2016 m. liepos 12 d. Komisijos įgyvendinimo sprendimą (ES) 2016/1250 dėl ES ir JAV „privatumo skydo“ užtikrinamos apsaugos tinkamumo pagal Europos Parlamento ir Tarybos direktyvą 95/46/EB (OL L 207, 2016, p. 1).

100	Darytina išvada, kad ginčijamo duomenų perdavimo dieną, kiek tai susiję su Jungtinėmis Valstijomis, nebuvo jokio sprendimo dėl tinkamumo, kaip tai suprantama pagal Reglamento 2018/1725 47 straipsnį.

101

Kadangi dėl Jungtinių Valstijų nėra Komisijos sprendimo dėl tinkamumo, taikoma Reglamento 2018/1725 48 straipsnio 1 dalis, pagal kurią asmens duomenys į trečiąją valstybę arba tarptautinei organizacijai gali būti perduodami tik tuo atveju, jeigu duomenų valdytojas arba duomenų tvarkytojas yra nustatęs tinkamas apsaugos priemones, su sąlyga, kad duomenų subjektams suteikiamos teisės, kuriomis galima remtis ir veiksmingos teisių gynimo priemonės.

102	Reglamento 2018/1725 48 straipsnio 1 dalyje nurodytos tinkamos apsaugos priemonės, išvardytos šio reglamento 48 straipsnio 2 ir 3 dalyse, gali būti nustatytos, be kita ko, standartinėmis duomenų apsaugos sąlygomis, kurias Komisija priima pagal šio reglamento 48 straipsnio 2 dalies b punktą.

103	Vis dėlto dėl Reglamento 2018/1725 48 straipsnio 2 dalies b punkte numatytų standartinių duomenų apsaugos sąlygų gali prireikti imtis papildomų priemonių, kad atsižvelgiant į Sąjungos teisę būtų užtikrintas tinkamas apsaugos lygis (pagal analogiją žr. Sprendimo Schrems II 133 ir 134 punktus).

104

Be to, Reglamento 2018/1725 48 straipsnio 1 dalyje nurodytos tinkamos apsaugos priemonės, gavus EDAPP leidimą, gali būti nustatytos, be kita ko, minėto reglamento 48 straipsnio 3 dalies a punkte numatytomis sutarčių sąlygomis, dėl kurių susitaria duomenų valdytojas arba duomenų tvarkytojas ir duomenų valdytojas, duomenų tvarkytojas arba duomenų gavėjas trečiojoje valstybėje.

105	Be to, primintina, kad Chartijos 7, 8 ir 47 straipsniuose atitinkamai įtvirtinta teisė į privatų gyvenimą, teisė į asmens duomenų apsaugą ir teisė į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą.

106

Nagrinėjamu atveju pirmiausia reikia pažymėti, kad antrasis ieškovo prašymas atlyginti žalą grindžiamas tuo, kad Komisija pažeidė Reglamento 2018/1725 46 straipsnį, 48 straipsnio 1 dalį ir 2 dalies b punktą ir Chartijos 7, 8 ir 47 straipsnius. Iš šio sprendimo 91–105 punktų matyti, kad minėtose Reglamento 2018/1725 nuostatose sukonkretinamos pagrindinės teisės, kaip antai įtvirtintos Chartijos 7 ir 8 straipsniuose, ir visomis jomis siekiama, kad toliau būtų užtikrinamas aukštas asmens duomenų apsaugos lygis perduodant šiuos duomenis į trečiąsias valstybes ar tarptautinėms organizacijoms.

107

Tai reiškia, kad nuostatomis, kurių pažeidimu ieškovas remiasi grįsdamas savo antrąjį prašymą atlyginti žalą, siekiama apsaugoti individualų duomenų subjektų interesą, taigi tai yra teisės normos, kuriomis siekiama suteikti teisių privatiems asmenims, kaip tai suprantama pagal šio sprendimo 50 punkte primintą jurisprudenciją.

108	Dabar reikia patikrinti, ar kiekvienos iš trijų ginčijamų duomenų perdavimo operacijų, nurodytų šio sprendimo 87 punkte, atveju yra įvykdytos Komisijos deliktinės atsakomybės atsiradimo sąlygos.

109

Kadangi šio sprendimo 26 ir 28 punktuose nurodytos ginčijamos duomenų perdavimo operacijos tariamai įvyko dėl to, kad KEA interneto svetainėje naudojamas paskirstytojo turinio perdavimo tinklas (angl. content delivery network arba CDN), vadinamas Amazon CloudFront (toliau – Amazon CloudFront paslauga), pirmiausia reikia išsiaiškinti šios paslaugos veikimo sąlygas toje interneto svetainėje.

– Dėl „Amazon CloudFront“ paslaugos veikimo KEA interneto svetainėje

110	Nagrinėjamu atveju neginčijama, kad KEA interneto svetainėje naudojamas Amazon CloudFront paskirstytojo turinio perdavimo tinklas ir kad šis tinklas aktyvuojamas kaskart, kai naudotojas lankosi minėtoje interneto svetainėje.

111

Iš bylos medžiagos, be kita ko, iš šalių atsakymų, gautų taikant 2023 m. liepos 21 d. proceso organizavimo priemonę, taip pat iš jų žodinių pastabų ir atsakymų per 2023 m. spalio 17 d. posėdį matyti, kad, pirma, Amazon CloudFront paslauga yra interneto paslauga, kuri paspartina interneto turinio (šiuo atveju – KEA interneto svetainės turinio) platinimą naudotojams. Naudojantis Amazon CloudFront paslauga turinys platinamas per pasaulinį serverių arba duomenų centrų, vadinamų „periferijomis“ arba „periferiniais serveriais“, tinklą.

112

Antra, Amazon CloudFront paslauga grindžiama maršruto parinkimo mechanizmu, pagal kurį KEA interneto svetainės naudotojo užklausa nukreipiama į periferinį serverį, kuris, remiantis artumo naudotojo terminalui principu, užtikrina mažą delsą, kad turinys būtų perduotas naudotojui kuo geresnėmis sąlygomis. Jeigu, be kita ko, dėl techninių sunkumų periferinis serveris su mažiausia delsa nėra prieinamas, užmezgamas ryšys su kitu antru pagal delsą serveriu ir t. t.

113	Trečia, Amazon CloudFront paslauga KEA interneto svetainėje naudojama pagal sutartį Nr. 2020–1742, kurią Komisijos pasirašė su AWS EMEA – pagal JAV teisę įsteigtai įmonei Amazon.com priklausančia patronuojamąja įmone, kurios buveinė Liuksemburge (žr. šio sprendimo 12 punktą).

114

Ketvirta, KEA interneto svetainės atveju Komisija pagal šią sutartį pasirinko geografinę zoną „Šiaurės Amerika (Jungtinės Valstijos, Meksika, Kanada), Europa ir Izraelis“. Tai reiškia, kad šios interneto svetainės turinys platinamas ne per pasaulinį Amazon CloudFront periferijų tinklą, o tik per minėtose geografinėse zonose, t. y. Jungtinėse Valstijose, Meksikoje, Kanadoje, Europoje ir Izraelyje, esančias periferijas.

115

Penkta, dėl šio sprendimo 112 punkte minėto artumo principo Sąjungos naudotojų prieigos prie KEA interneto svetainės užklausos paprastai nukreipiamos į šioje teritorijoje esančius Amazon CloudFront tinklo periferinius serverius, o atvejai, kai šios užklausos nukreipiamos į serverius už Sąjungos ribų, yra reti.

116

Šešta, kiek tai susiję su Amazon CloudFront periferijų tinklo infrastruktūra, iš bylos medžiagos matyti, kad ją užtikrina grupė įmonių (kai kurios iš jų priklauso Amazon koncernui), o kitos yra trečiosios įmonės, kurių sąrašą pagal atitinkamą geografinę zoną galima rasti Amazon Web Services interneto svetainėje. Kalbant apie geografinę zoną „Šiaurės Amerika (JAV, Meksika, Kanada), Europa ir Izraelis“, atitinkamos įmonės yra įsteigtos tiek Sąjungos valstybėse narėse, tiek už Sąjungos ribų, visų pirma Jungtinėse Valstijose, Izraelyje, Meksikoje, Šveicarijoje arba Jungtinėje Karalystėje. Kiekviena įmonė eksploatuoja serverius šalyje, kurioje yra įsisteigusi, todėl su Amazon CloudFront paslaugos teikimu susijusių serverių geografinė buvimo vieta taip pat priklauso nuo atitinkamų įmonių buvimo vietos.

117

Septinta, Komisijos ir AWS EMEA sudarytos sutarties sąlygose, be kita ko, numatyta:

–	AWS EMEA turi sugebėti užtikrinti, kad nenaudojami ir siunčiami duomenys liktų EEE teritorijoje (sutarties 11.2 punktas);

–	AWS EMEA neturi teisės be išankstinio Komisijos leidimo keisti duomenų tvarkymo vietos (sutarties 12.2.3 punkto a papunktis);

–	bet koks pagal sutartį atliekamas asmens duomenų perdavimas į trečiąsias valstybes arba tarptautinėms organizacijoms turi visiškai atitikti Reglamento 2018/1725 V skyriuje nustatytus reikalavimus (sutarties 12.2.3 punkto b papunktis);

–	AWS EMEA negali perduoti jokių asmens duomenų į šalį, esančią už EEE ribų, išskyrus atvejus, kai Komisija yra suteikusi išankstinį rašytinį leidimą tokiam perdavimui ir duomenys perduodami laikantis V skyriaus sąlygų (sutarties 1.8.9 punktas);

–	AWS EMEA turi perduoti Komisijai visus prašymus leisti susipažinti su asmens duomenimis ir dėl šių prašymų pasinaudoti visomis prieinamomis teisių gynimo priemonėmis (sutarties 1.8.3, 1.8.4 ir 1.8.5 punktai);

–	AWS EMEA turi užtikrinti, kad šios priemonės būtų įgyvendinamos ir tuo atveju, kai pasitelkiami subrangovai (sutarties 1.8.8 punktas).

118	Aštunta, Komisija dėl minėtų sutarties sąlygų konsultavosi su EDAPP, tačiau dėl jų nebuvo gautas oficialus EDAPP leidimas pagal Reglamento 2018/1725 48 straipsnio 3 dalies a punktą.

– Ginčijamas duomenų perdavimas 2022 m. kovo 30 d. lankantis KEA interneto svetainėje

119

(Ištaisyta 2025 m. birželio 3 d. nutartimi) Ieškovas iš esmės teigia, kad 2022 m. kovo 30 d. lankydamasis KEA interneto svetainėje konstatavo, jog tam tikri jo asmens duomenys, visų pirma jo IP adresas ir informacija apie naršyklę ir terminalą, buvo perduoti į Jungtines Valstijas. Jis tvirtina, pirma, kad minėtoje interneto svetainėje naudojamas paskirstytojo turinio perdavimo tinklas Amazon CloudFront, kurį valdo JAV įmonė Amazon Web Services – JAV įmonės Amazon.com patronuojamoji įmonė. Antra, per šį apsilankymą ieškovo asmens duomenys buvo išsiųsti į Amazon CloudFront, tiksliau – į Sietle (Vašingtonas, Jungtinės Valstijos) buveinę turinčios Amazon.com serverį, kurio IP adresas 18.66.192.74. Trečia, KEA interneto svetainėje naudojamą saugos raktą (vadinamąjį SSL sertifikatą) suteikė Amazon, todėl preziumuotina, kad ši bendrovė turėjo galimybę iššifruoti visus į jos serverius perduotus ieškovo asmens duomenis, įskaitant jo nuomonę dėl Europos ateities. Ketvirta, Amazon CloudFront paslaugą teikiančiai įmonei taikomi JAV įstatymai, todėl ji privalo pateikti informaciją JAV saugumo ir žvalgybos tarnyboms net ir tuo atveju, jeigu serveriai būtų užsienyje. Be to, Komisija nesiėmė „papildomų priemonių“, kaip tai suprantama pagal Sprendimą Schrems II, kad užtikrintų tinkamo lygio į Jungtines Valstijas perduodamų duomenų apsaugą.

120	Komisija ginčija šiuos argumentus.

121	Kiek tai susiję su lankymusi 2022 m. kovo 30 d. KEA interneto svetainėje, iš bylos medžiagos matyti, kad ieškovas tą dieną lankėsi minėtoje svetainėje (žr. šio sprendimo 3 punktą) ir kad per šį apsilankymą buvo perduotas jo IP adresas ir informacija apie naršyklę ir terminalą.

122

Šiuo klausimu konstatuotina, kad IP adresas turi būti laikomas asmens duomenimis, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 punktą, nes jis atitinka abi toje nuostatoje numatytas sąlygas. Pirma, tai informacija apie fizinį asmenį ir, antra, tai informacija apie asmenį, kurio tapatybė nustatyta arba gali būti nustatyta, šiuo atveju – apie ieškovą (2023 m. balandžio 26 d. Sprendimo BPV / EDAPP, T‑557/20, apskųstas apeliacine tvarka, EU:T:2023:219,59 punktas; šiuo klausimu pagal analogiją taip pat žr. 2011 m. lapkričio 24 d. Sprendimo Scarlet Extended, C‑70/10, EU:C:2011:771, 51 punktą ir 2016 m. spalio 19 d. Sprendimo Breyer, C‑582/14, EU:C:2016:779, 49 punktą). Net vadinamieji dinaminiai IP adresai, kurie dėl savo pobūdžio kinta, tam tikru momentu, šiuo atveju – lankymosi KEA interneto svetainėje momentu, gali būti tiksliai priskiriami tam tikram subjektui.

123	Taip pat įrodyta, kad šio sprendimo 121 punkte nurodytas duomenų perdavimas iš KEA interneto svetainės buvo atliktas į serverį, kurio IP adresas 18.66.192.74, per Amazon CloudFront paslaugą.

124	Įrodyta ir tai, kad faktinių aplinkybių susiklostymo momentu IP adresas 18.66.192.74 buvo priskirtas serveriui Miunchene (Vokietija) ir kad šis serveris priklausė įmonei A 100 ROW GmbH, kuri įsteigta Vokietijoje ir įtraukta į šio sprendimo 116 punkte nurodytą įmonių sąrašą.

125	Tai reiškia, kad 2022 m. kovo 30 d. lankantis KEA interneto svetainėje buvo perduoti ieškovo asmens duomenys, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 punktą, be kita ko, jo IP adresas.

126	Vis dėlto nagrinėjamu atveju neįrodyta, kad 2022 m. kovo 30 d. lankantis KEA interneto svetainėje ieškovo asmens duomenys buvo perduoti į trečiąją valstybę, konkrečiai Jungtines Valstijas.

127

Iš šio sprendimo 121–124 punktų savo ruožtu matyti, kad 2022 m. kovo 30 d. lankantis KEA interneto svetainėje ieškovo asmens duomenys buvo perduoti iš KEA interneto svetainės per Amazon CloudFront paslaugą į Miunchene esantį serverį. Minėtas serveris priklausė Vokietijoje įsteigtai įmonei, įeinančiai į Amazon CloudFront paslaugos infrastruktūros teikėjų tinklą, ši paslauga teikiama Komisijai pagal sutartį su Liuksemburge įsteigta įmone AWS EMEA.

128	Darytina išvada, kad 2022 m. kovo 30 d. lankantis KEA interneto svetainėje ieškovo asmens duomenys buvo perduoti Sąjungoje įsisteigusiam duomenų gavėjui.

129

Be to, net darant prielaidą, kad ieškovo asmens duomenys nepaliko Sąjungos teritorijos, šie duomenys vis dėlto buvo perduoti į serverį, priklausantį Amazon CloudFront paslaugos periferijų tinklui, apimančiam, kiek tai susiję su KEA interneto svetainės turinio sklaida, periferijų tinklą, kuris ne apsiriboja EEE teritorija, bet peržengia jos ribas (žr. šio sprendimo 116 punktą).

130	Tačiau šio sprendimo 127 punkte aprašytos konkrečios aplinkybės neįrodo, kad asmens duomenys buvo perduoti gavėjams, įsteigtiems už EEE teritorijos ribų, ypač Jungtinėse Valstijose.

131

Taigi ginčijamas duomenų perdavimas 2022 m. kovo 30 d. lankantis KEA interneto svetainėje nėra asmens duomenų perdavimas į trečiąją valstybę, kaip tai suprantama pagal Reglamento 2018/1725 46 straipsnį, nes pagal duomenų perdavimo į trečiąją valstybę koncepciją reikalaujama, kad asmens duomenys būtų suteikti naudotis už EEE ribų įsisteigusiam duomenų gavėjui (žr. šio sprendimo 93 punktą).

132	Šios išvados nepaneigia ieškovo argumentas, kad AWS EMEA, kaip JAV įmonės patronuojamoji įmonė, privalo perduoti asmens duomenis JAV valdžios institucijoms, net jeigu šie duomenys saugomi Sąjungos teritorijoje.

133

Nors tiesa, kad trečiosios valstybės valdžios institucijų galimybė pagal jos teisės aktus turėti prieigą prie EEE tvarkomų asmens duomenų yra asmens duomenų perdavimas į trečiąją valstybę, kaip tai suprantama pagal Reglamento 2018/1725 46 straipsnį, vis dėlto nagrinėjamu atveju neįrodyta, kad tokia prieiga egzistavo. Ieškovas neįrodė ar neteigė, kad JAV valdžios institucijoms buvo perduoti kokie nors jo asmens duomenys, be to, jis neįrodė ar neteigė, kad šios institucijos prašė duomenų, perduotų į minėtą Miunchene esantį Amazon CloudFront serverį.

134

Taigi ieškovo argumentas susijęs ne su tiesioginiu Reglamento 2018/1725 V skyriaus nuostatų pažeidimu, o tik su tokio pažeidimo rizika tuo atveju, jeigu AWS EMEA, kaip JAV įmonės patronuojamoji įmonė, negalėtų prieštarauti JAV valdžios institucijų prašymui suteikti prieigą prie EEE teritorijoje esančiuose serveriuose saugomų duomenų.

135

Vien tik rizika, kad trečioji valstybė turės prieigą prie asmens duomenų, negali būti tapatinama su duomenų perdavimu, kaip tai suprantama pagal Reglamento 2018/1725 46 straipsnį, kaip jis aiškinamas šio sprendimo 93 punkte, nes neįrodyta, kad ieškovo asmens duomenys buvo perduoti arba kitaip suteikti naudotis duomenų gavėjui trečiojoje valstybėje. Kitaip tariant, minėto 46 straipsnio pažeidimo rizika negali būti prilyginta tiesioginiam šios nuostatos pažeidimui.

136

Be to, primintina, kad nagrinėdamas šį prašymą atlyginti žalą Bendrasis Teismas tikrina Komisijos deliktinės atsakomybės atsiradimo sąlygas, visų pirma sąlygą dėl Komisijos elgesio neteisėtumo, pagal kurią reikalaujama, kad būtų įrodytas pakankamai aiškus Reglamento 2018/1725 ir Chartijos nuostatų, kuriomis remiasi ieškovas, pažeidimas.

137	Šiuo klausimu pažymėtina, kad vien rizikos, kad bus pažeistos Reglamento 2018/1725 V skyriaus nuostatos, bet kuriuo atveju negali pakakti siekiant įrodyti kaltus Komisijos veiksmus, reiškiančius pakankamai aiškų šių nuostatų pažeidimą.

138

Šios išvados nepaneigia ieškovo argumentas, grindžiamas Sprendimu Schrems II. Pažymėtina, kad tame sprendime Teisingumo Teismas pareiškė nuomonę dėl tam tikrų sąlygų, kuriomis asmens duomenys gali būti perduodami į Jungtines Valstijas, o ne dėl sąlygų, kuriomis tokius duomenis EEE teritorijoje gali tvarkyti pagal JAV teisę įsteigtų įmonių patronuojamosios įmonės, kaip antai AWS EMEA.

139

Iš viso to, kas išdėstyta, matyti, kad, kiek tai susiję su ginčijamu duomenų perdavimu 2022 m. kovo 30 d. lankantis KEA interneto svetainėje, ieškovas neįrodė, kad Komisija padarė pakankamai aiškų Reglamento 2018/1725 46 straipsnio, 48 straipsnio 1 dalies ir 2 dalies b punkto ir Chartijos 7, 8 ir 47 straipsnių pažeidimą, kaip tai suprantama pagal šio sprendimo 50 punkte primintą jurisprudenciją.

140

Taigi, kadangi viena iš SESV 340 straipsnio antroje pastraipoje numatytų kumuliacinių Sąjungos deliktinės atsakomybės atsiradimo sąlygų neįvykdyta, reikia atmesti antrąjį prašymą atlyginti žalą, kiek jis susijęs su ginčijamu duomenų perdavimu 2022 m. kovo 30 d. lankantis KEA interneto svetainėje, ir nereikia nagrinėti kitų ieškovo argumentų.

– Ginčijamas duomenų perdavimas 2022 m. birželio 8 d. lankantis KEA interneto svetainėje

141

Ieškovas teigia, kad 2022 m. birželio 8 d. lankantis KEA interneto svetainėje jo asmens duomenys, be kita ko, IP adresas, buvo perduoti į Jungtinėse Valstijose esančius Amazon CloudFront serverius. Anot jo, šios perdavimo operacijos yra ne jo, kaip interneto svetainės naudotojo, veiklos, o Amazon CloudFront paslaugos veikimo rezultatas: duomenų perdavimo į Jungtines Valstijas rizika yra neatsiejama nuo pasaulinės infrastruktūros, kuria grindžiama ši paslauga. Ieškovo padėtis nesiskiria nuo Sąjungos piliečio, kuris lankosi KEA interneto svetainėje, pavyzdžiui, darbo reikalais viešėdamas Jungtinėse Valstijose, padėties. Komisija neįrodė buvusi deramai rūpestinga, kad išvengtų duomenų perdavimo Jungtinėms Valstijoms, nes pasirinko paskirstytojo turinio perdavimo tinklą, grindžiamą pasaulinio lygmens struktūra, o ne išimtinai europinį prieglobos variantą.

142

Ieškovo teigimu, dėl tokio asmens duomenų perdavimo jis patyrė neturtinę žalą, kaip tai suprantama pagal Reglamento 2018/1725 46 konstatuojamąją dalį, nes negalėjo kontroliuoti savo duomenų, kurie buvo perduoti į Jungtines Valstijas ir kuriems taikoma neteisėta JAV valdžios institucijų stebėsena, ir neteko galimybės naudotis savo teisėmis ir laisvėmis.

143	Komisija ginčija šiuos argumentus.

144

Pirmiausia, atsižvelgiant į ieškovo argumentus, primintina, kad nagrinėdamas šį prašymą atlyginti žalą Bendrasis Teismas tiesiogiai netikrina, ar teisėtas Komisijos sprendimas naudotis Amazon CloudFront paslauga siekiant platinti KEA interneto svetainės turinį, jis tikrina, ar įvykdytos Komisijos deliktinės atsakomybės atsiradimo sąlygos, kiek tai susiję su ginčijamu duomenų perdavimu 2022 m. birželio 8 d. lankantis KEA interneto svetainėje.

145	Šiuo atveju Bendrasis Teismas mano, kad pirmiausia reikia išnagrinėti sąlygą dėl priežastinio ryšio tarp tariamai kaltų Komisijos veiksmų ir nurodytos neturtinės žalos buvimo.

146

Iš šio sprendimo 55 punkte nurodytos jurisprudencijos matyti, kad priežastinio ryšio sąlyga pasireiškia tuo, kad turi egzistuoti pakankamai tiesioginis priežastinis ryšys tarp skundžiamo institucijos elgesio ir žalos (jį turi įrodyti ieškovas), t. y. skundžiamas elgesys turi būti pagrindinė žalos priežastis.

147

Be to, iš jurisprudencijos matyti, kad priežastinis ryšys, kurio reikia, kad kiltų Sąjungos deliktinė atsakomybė, kaip tai suprantama pagal SESV 340 straipsnio antrą pastraipą, yra tuomet, kai žala yra tiesioginė nagrinėjamo kalto veiksmo pasekmė (2007 m. birželio 28 d. Sprendimo Internationaler Hilfsfonds / Komisija, C‑331/05 P, EU:C:2007:390, 23 punktas).

148

Dėl tiesioginio priežastinio ryšio pobūdžio Bendrasis Teismas jau yra nusprendęs, kad žala turi atsirasti tiesiogiai dėl nurodyto neteisėtumo, o ne dėl ieškovo pasirinkimo, kaip reaguoti į tariamai neteisėtą veiksmą. Taigi buvo nuspręsta, jog tam, kad būtų įrodytas pakankamai tiesioginis priežastinis ryšys pagal Sąjungos jurisprudenciją, nepakanka vien to, kad neteisėti veiksmai būtų būtinoji sąlyga (conditio sine qua non) žalai atsirasti, t. y. kad ji nebūtų atsiradusi, jei šių veiksmų nebūtų buvę (šiuo klausimu pagal analogiją žr. 2011 m. lapkričio 30 d. Sprendimo Transnational Company Kazchrome ir ENRC Marketing / Taryba ir Komisija, T‑107/08, EU:T:2011:704, 80 punktą ir jame nurodytą jurisprudenciją ir 2019 m. gegužės 23 d. Sprendimo Remag Metallhandel ir Jaschinsky / Komisija, T‑631/16, nepaskelbtas Rink., EU:T:2019:352, 52 punktą ir jame nurodytą jurisprudenciją).

149

Taigi iš jurisprudencijos matyti, kad toks priežastinis ryšys neįrodytas, kai nurodyta žala yra tiesioginė paties ieškovo sprendimo ar laisvo pasirinkimo pasekmė, todėl jos negalima priskirti atitinkamai institucijai ar įstaigai (šiuo klausimu pagal analogiją žr. 2007 m. birželio 28 d. Sprendimo Internationaler Hilfsfonds / Komisija, C‑331/05 P, EU:C:2007:390, 22–29 punktus; 2017 m. vasario 17 d. Sprendimo Novar / EUIPO, T‑726/14, EU:T:2017:99, 31 ir 32 punktus ir 2018 m. vasario 28 d. Sprendimo Vakakis kai Synergates / Komisija, T‑292/15, EU:T:2018:103, 173 punktą ir jame nurodytą jurisprudenciją).

150

Taigi nagrinėjamu atveju reikia išsiaiškinti, ar skundžiamas Komisijos elgesys, t. y. Amazon CloudFront paslaugos naudojimas kaip KEA interneto svetainės paskirstytojo turinio perdavimo tinklo, yra tiesioginė priežastis, lėmusi nurodytą neturtinę žalą, t. y. ieškovo asmens duomenų, kurie buvo perduoti į Jungtines Valstijas 2022 m. birželio 8 d. lankantis minėtoje interneto svetainėje, kontrolės praradimą.

151

Pirma, šiuo klausimu iš bylos medžiagos ir iš šalių atsakymų į per teismo posėdį pateiktus klausimus matyti, kad 2022 m. birželio 8 d. ieškovas buvo Miunchene ir ne kartą lankėsi KEA interneto svetainėje. Per šiuos apsilankymus iš ieškovo IP adreso paeiliui buvo pasijungta prie įvairių Amazon CloudFront paslaugos serverių, kurie geografiškai buvo labai nutolę vienas nuo kito. 7 val. 13 min. pasijungta prie serverio Miunchene, 11 val. 13 min. – prie serverio Londone (Jungtinė Karalystė), 12 val. 56 min. – prie serverio Hilsbore (Oregonas, Jungtinės Valstijos), 13 val. 05 min. prie serverio Niuarke, o 19 val. 12 min. prie serverio Frankfurte prie Maino (Vokietija).

152	Antra, iš bylos medžiagos matyti, kad ieškovo IP adresas buvo perduotas įvairiems šio sprendimo 151 punkte nurodytiems Amazon CloudFront paslaugos serveriams, įskaitant serverius Jungtinėse Valstijose.

153	Trečia, primintina, kad ieškovo IP adresas priskiriamas prie asmens duomenų.

154

Ketvirta, pažymėtina, kad 2022 m. birželio 8 d. KEA interneto svetainėje buvo užfiksuota 4548 prieigos atvejai ir 18 skirtingų IP adresų. Iš vienintelio IP adreso, t. y. ieškovo adreso, buvo pasijungta prie serverių už Sąjungos ribų, t. y. Jungtinėse Valstijose ir Jungtinėje Karalystėje. Šiuo klausimu pažymėtina, kad nebuvo nei įrodyta, nei teigta, kad 2022 m. birželio 8 d. dėl Amazon CloudFront paslaugos KEA interneto svetainėje buvo kilusių techninių ar kitokio pobūdžio problemų, kurios būtų užkirtusios kelią įprastam artumo principu grindžiamam jos maršruto parinkimo mechanizmo veikimui, pagal kurį KEA interneto svetainės naudotojų užklausos nukreipiamos į periferinį serverį, užtikrinantį mažiausią delsą atsižvelgiant į naudotojo geografinę padėtį (žr. šio sprendimo 112 punktą).

155

Penkta, dėl aplinkybių, susijusių su pasijungimais iš ieškovo IP adreso prie serverių Jungtinėse Valstijose, iš bylos medžiagos ir šalių atsakymų per teismo posėdį, viena vertus, išplaukia, kad šiuos pasijungimus, anot ieškovo, lėmė Amazon CloudFront veikimas, o ne kokia nors jo atlikta manipuliacija. Kita vertus, Komisija pažymi, kad šie prisijungimai buvo netipiniai ir juos galima paaiškinti tik ieškovo atlikta technine manipuliacija.

156

Šiuo klausimu konstatuotina, kad atsižvelgiant į šio sprendimo 151 punkte aprašytas aplinkybes, skirtingų serverių, prie kurių prisijungta iš ieškovo IP adreso, buvimo vietų negalėjo lemti tai, kad ieškovas tą pačią dieną keitė fizinę savo buvimo vietą, nes tai neįmanoma dėl atitinkamų atstumų ir laiko intervalų. Be to, nebuvo nei įrodyta, nei teigta, kad buvo sutrikęs Amazon CloudFront paslaugos veikimas, o tai leidžia daryti išvadą, kad 2022 m. birželio 8 d. ši paslauga veikė pagal artumo naudotojo terminalui principą, nes jos maršruto parinkimo mechanizmas nukreipia KEA interneto svetainės naudotojų užklausas į periferinį serverį, užtikrinantį mažiausią delsą (žr. šio sprendimo 154 punktą).

157

Todėl, atsižvelgiant į šias aplinkybes, pasijungimus iš ieškovo IP adreso prie serverių Jungtinėse Valstijose (nors ieškovas buvo Vokietijoje) galėjo lemti ne įprastas Amazon CloudFront paslaugos veikimas, o veikiau ieškovo parinkti techniniai nustatymai, siekiant pakeisti rodomą buvimo vietą, t. y. skaitmeninėje erdvėje simuliuojant, kad tą pačią dieną paeiliui jis buvo vietovėse, esančiose netoli Miuncheno, Londono, Hilsboro, Niuarko ir Frankfurto prie Maino.

158

Iš to, žinoma, išplaukia, kad būtent dėl Amazon CloudFront paslaugos veikimo, grindžiamo pagal artumo principą veikiančiu maršruto parinkimo mechanizmu ir apimančio platesnę geografinę zoną nei EEE teritorija, įskaitant, be kita ko, Jungtines Valstijas (žr. šio sprendimo 112 ir 114 punktus), lankantis KEA interneto svetainėje iš ieškovo IP adreso buvo pasijungta prie Amazon CloudFront serverių Jungtinėse Valstijose.

159

Vis dėlto, nors Komisijos naudojimasis Amazon CloudFront paslauga yra būtina šio sprendimo 152 punkte paminėto asmens duomenų perdavimo į Jungtines Valstijas sąlyga, to nepakanka, kad nagrinėjamos bylos aplinkybėmis būtų nustatytas pakankamai tiesioginis priežastinis ryšys tarp ieškovo nurodytos neturtinės žalos ir tariamai neteisėto Komisijos elgesio, pasireiškusio naudojimusi tokia paslauga pažeidžiant Reglamento 2018/1725 V skyriaus nuostatas.

160	Iš tiesų būtent ieškovo elgesys turi būti laikomas tiesiogine ir betarpe nurodomos neturtinės žalos priežastimi, o ne Komisijos tariamai padaryta klaida naudotis Amazon CloudFront paslauga.

161

Taigi būtent ieškovas sukūrė būtinas sąlygas, kad veikiant Amazon CloudFront paslaugai būtų prisijungta prie serverių Jungtinėse Valstijose. Kaip tik dėl ieškovo veiksmų Amazon CloudFront paslaugos maršruto parinkimo mechanizmas nukreipė jo užklausas dėl prieigos prie KEA interneto svetainės į serverius Jungtinėse Valstijose, nes būtent tų serverių delsa buvo mažiausia palyginti su skaitmeninėje erdvėje rodoma ieškovo buvimo vieta, kuri neatitiko faktinės jo buvimo vietos.

162

Be to, ieškovas neturi teisės imtis veiksmų, siekdamas išprovokuoti tam tikrą rezultatą (t. y. jo asmens duomenų perdavimą į trečiąją valstybę), ir vėliau reikalauti atlyginti žalą, tariamai kilusią dėl šio rezultato, kurio tiesioginė priežastis buvo jo elgesys. Taigi, priešingai, nei teigia ieškovas, nagrinėjant tokį ieškinį dėl žalos atlyginimo, koks pareikštas šioje byloje, jo situacija negali būti vertinama taip pat kaip naudotojo, kuris tikrai yra nuvykęs į Jungtines Valstijas ir todėl iš ten jungėsi prie KEA interneto svetainės.

163	Iš viso to, kas išdėstyta, matyti, kad, kiek tai susiję su ginčijamu duomenų perdavimu 2022 m. birželio 8 d. lankantis KEA interneto svetainėje, nebuvo įrodytas pakankamai tiesioginis priežastinis ryšys tarp tariamai neteisėto Komisijos elgesio ir nurodomos neturtinės žalos.

164

Kadangi neįvykdyta viena iš kumuliacinių Sąjungos deliktinės atsakomybės atsiradimo sąlygų, reikia atmesti prašymą atlyginti žalą, kiek tai susiję su ginčijamu duomenų perdavimu 2022 m. birželio 8 d. lankantis KEA interneto svetainėje, ir nereikia nagrinėti kitų minėtos atsakomybės atsiradimo sąlygų.

– Ginčijamas duomenų perdavimas 2022 m. kovo 30 d. prisijungiant prie „EU Login“

165

Ieškovas teigia, kad 2022 m. kovo 30 d. KEA interneto svetainėje registruojantis renginiui „GoGreen“, jo IP adresas ir informacija apie naršyklę ir terminalą buvo perduoti Jungtinėse Valstijose įsteigtai įmonei Meta Platforms, kuriai priklauso socialinis tinklas Facebook. Per šią registraciją ieškovas buvo nukreiptas į Sąjungos tapatybės patvirtinimo paslaugą EU Login, siūlančią prisijungti, be kita ko, per įvairius socialinius tinklus. Ieškovas nusprendė prisijungti per savo Facebook paskyrą ir jam paspaudus saitą, nukreipiantį į Facebook, per šią nuorodą jo IP adresas buvo perduotas Facebook. Ieškovas sutiko tik su Facebook„būtinaisiais slapukais“. Kitus ieškovo asmens duomenis, t. y. jo el. pašto adresą, vardą ir pavardę ir profilio nuotrauką, Facebook surinko naudodamas slapukus, visų pirma vadinamąjį „sb“ slapuką, ir jie buvo perduoti į Meta Platforms serverius. Anot jo, iš jurisprudencijos matyti, kad interneto svetainių administratoriai, kurie savo interneto svetainėse naudoja Facebook, kaip yra Komisijos atveju, kartu su Facebook yra atsakingi už Sąjungos teisės duomenų apsaugos srityje laikymąsi. Taigi Komisija kartu atsako už Facebook saugomų slapukų įdiegimą. Ieškovas negalėjo kontroliuoti socialiniam tinklui Facebook perduotų jo asmens duomenų ir neteko galimybės naudotis savo teisėmis ir laisvėmis, o tai reiškia neturtinę žalą, kaip tai suprantama pagal Reglamento 2018/1725 46 konstatuojamąją dalį.

166

Komisija ginčija šiuos argumentus. Ji iš esmės teigia, kad neatliko ir neinicijavo duomenų perdavimo įmonei Meta Platforms. Norint dalyvauti renginyje „GoGreen“, neprivaloma registruotis per EU Login, ir net naudodamasis EU Login ieškovas turėjo įvairių galimybių patvirtinti tapatybę, įskaitant galimybes, kai nereikalaujama naudotis socialinių tinklų paskyra. Taigi prisijungti prie EU Login paslaugos su savo Facebook paskyra buvo jo paties pasirinkimas, taigi būtent jis, o ne Komisija inicijavo prieigą prie Facebook interneto svetainės. Be to, galimybė patvirtinti tapatybę per Facebook techniškai įgyvendinama per saitą EU Login interneto svetainėje, kuriame nėra naudotojo asmens duomenų. Priešingai, nei teigia ieškovas, duomenys, kurie jungiantis prie EU Login renkami pasitelkiant Facebook naudojamus slapukus, neperduodami Komisijai ir ji už juos nėra atsakinga. Šie slapukai yra Facebook ir ieškovo sutikimu vykstančių mainų rezultatas, taigi Komisija juose nedalyvauja. Be to, Komisija teigia, kad jurisprudencija, kuria ieškovas remiasi, šiuo atveju netaikytina ir kad bet kuriuo atveju ieškovo argumentas dėl tariamai bendros Komisijos ir Meta Platforms atsakomybės yra naujas pagrindas, pirmą kartą nurodytas dublike, todėl nepriimtinas.

167

Nagrinėjamu atveju pirmiausia reikia išnagrinėti faktines ginčijamo duomenų perdavimo 2022 m. kovo 30 d. jungiantis prie EU Login aplinkybes, atsižvelgiant į bylos medžiagoje esančią informaciją ir į šalių atsakymus į klausimus, kuriuos Bendrasis Teismas pateikė per posėdį ir taikydamas 2024 m. vasario 9 d. proceso organizavimo priemonę.

168	Šiuo klausimu konstatuotina, kad apie renginį „GoGreen“, kurį organizavo Nyderlanduose įsteigtas subjektas, buvo paskelbtas KEA interneto svetainėje. Užsiregistruoti į jį buvo galima, be kita ko, KEA interneto svetainėje naudojantis EU Login paslauga.

169	Ieškovas nusprendė registruotis KEA interneto svetainėje naudodamasis EU Login.

170

EU Login yra Komisijos naudotojo tapatybės patvirtinimo paslauga, kuria saugomi keli šimtai su Sąjunga susijusių interneto svetainių ir taikomųjų programų. Nagrinėjamu atveju prisijungimo prie EU Login siekiant užsiregistruoti į renginį „GoGreen“ paskirtis buvo užtikrinti, kad registracija būtų atlikta naudojant patikrintą el. pašto adresą, norint sumažinti fiktyvių naudotojų registracijos arba tapatybės vagystės riziką.

171

EU Login savo interneto svetainėje siūlo kelias prisijungimo galimybes. Pirmoji galimybė – tiesiogiai prisijungti prie EU Login, įvedant jau egzistuojančios EU Login paskyros prisijungimo duomenis arba sukuriant paskyrą šiai paslaugai. Antroji galimybė – naudoti e. tapatybės kortelę„e.ID“, kurią turi kai kurių valstybių narių piliečiai. Trečioji galimybė, taikoma ribotam skaičiui paslaugų, – naudoti jau egzistuojančią naudotojo paskyrą Facebook, Twitter arba Google, spustelėjus atitinkamą saitą EU Login interneto svetainėje.

172

Galimybė prisijungti prie EU Login per Facebook paskyrą atsirado dėl to, kad Komisija laikėsi nuomonės, jog naudotojams turėtų būti suteikta galimybė prisijungti prie EU Login naudojantis platformose jau egzistuojančiomis paskyromis, kad jiems būtų suteikta paprastesnė ir greitesnė prieiga, taip pat galimybė patvirtinti tapatybę neprivalant sukurti EU Login paskyrą ir taip išvengti, kad nedidėtų paskyrų ir subjektų, kuriems naudotojai turi perduoti savo asmens duomenis, skaičius. Beje, Komisija manė, kad, atsižvelgiant į Facebook įgyvendintas priemones, ši platforma yra patikima, siekiant patikrinti naudotojų el. pašto adresus. Vis dėlto saitas, leidžiantis prisijungti per jau egzistuojančią Facebook paskyrą, EU Login yra numatytas išimtinai interneto svetainėms arba taikomosioms programoms, reikalaujančioms tik elementarus saugumo lygio.

173	Ieškovas pasirinko galimybę jungtis prie EU Login per savo Facebook paskyrą, naudojant saitą „Sign in with Facebook“, rodomą EU Login interneto svetainėje (toliau – saitas „prisijungti su Facebook“).

174	Saitas „prisijungti su Facebook“ apima nuorodą į Komisijai nepriklausančią interneto svetainę. Spustelėjimu aktyvavus šį saitą, suteikiama prieiga prie Facebook interneto svetainės URL adreso, t. y. individualaus šios interneto svetainės adreso.

175

Per prieigą prie Facebook interneto svetainės URL adreso užmezgamas ryšys tarp naudotojo naršyklės ir minėtos interneto svetainės, per kurį naršyklė perduoda naudotojo IP adresą atitinkamai interneto svetainei. Šis perdavimas panašus į perdavimą, kai naudotojas savo naršyklėje tiesiogiai įveda bet kurios interneto svetainės URL adresą, kadangi kiekvienas internautas, norintis prisijungti prie interneto svetainės, neišvengiamai turi nurodyti savo IP adresą.

176	Per saitą „prijungti su Facebook“EU Login siunčia tam tikrą informaciją Facebook, reikalingą tapatybei nustatyti ir galinčią atrodyti taip:

177

Konkrečiau kalbant, saite „prisijungti prie Facebook“ yra tokia informacija:

–	pirma, dalyje „client_id=1200572836629487“ yra „unikalus identifikavimo kodas“, kuris identifikuoja EU Login kaip taikomąją programą. Šis identifikavimo numeris yra tas pats visiems naudotojams, kurie EU Login nori patvirtinti savo tapatybę naudodamiesi Facebook;

–	antra, dalyje „redirect_uri=https%3A%2F%2Fecas.ec.europa.eu%2Fcas%2FoAuthCallback“ yra bendrasis EU Login URL adresas: tai yra adresas, į kurį Facebook turi nukreipti naudotoją po to, kai jis sutiko, kad Facebook perduotų jo asmens duomenis EU Login;

–	trečia, dalyje „scope=email“ yra duomenys, kuriuos Facebook turi perduoti EU Login, kad būtų užtikrintas sėkmingas naudotojo tapatybės patvirtinimas, be kita ko, naudotojo el. pašto adresas ir Facebook svetainėje kuriant Facebook paskyrą nurodytas vardas ir pavardė;

–

ketvirta, dalyje „state=useFacebook“ nurodyta, kad tolesnė ženklų grandinė yra atsitiktinė saugumo vertė, naudojama siekiant išvengti saugumo incidentų ir galiojanti ribotą laikotarpį. Šią atsitiktinę saugumo vertę atsitiktine tvarka sugeneruoja EU Login ir ji veikia kaip slaptafrazė, kurią Facebook turi pakartoti perduodamas duomenis EU Login, kad EU Login žinotų, jog perduotas el. pašto adresas, vardas ir pavardė susiję su naudotoju, kuris inicijavo tapatybės nustatymo būdą. Kai terminas baigiasi arba naudotojo tapatybė nustatoma, saugumo vertės nebegalima naudoti; ir

–

penkta, dalyje „response_type=code“ nurodyta, kad Facebook perduodant duomenis EU Login papildomai dar naudojamas unikalus kodas. Šis kodas apima pirma paminėtą atsitiktinę saugumo vertę. Unikalus kodas prilygsta unikaliam registracijos numeriui arba serijos numeriui, patvirtinančiam duomenų, kuriuos Facebook perdavė EU Login, tapatumą.

178

Gavęs prieigą prie Facebook URL adreso, naudotojas patenka į šią interneto svetainę, kurioje visų pirma pasirodo langas, kuriame vartotojas prašomas sutikti su Facebook slapukų naudojimu. Paskui, jeigu sutinkama su slapukų naudojimu, atsiveria kitas langas, kuriame galima įrašyti naudotojo vardą ir Facebook paskyros naudotojo slaptažodį. Galiausiai, prijungęs prie Facebook paskyros, naudotojas gali leisti Facebook naudoti slapukus kitose taikomosiose programose ir interneto svetainėse, atsakydamas į klausimą „Allow Facebook to use cookies and similar technologies placed on other apps and websites?“. Vartotojui davus tokį sutikimą, vėliau jo bus paprašyta sutikti, kad Facebook pateiktų EU Login su jo Facebook paskyra susietus vardus, pavardę, profilio nuotraukas ir el. pašto adresą. Be to, bet kuriuo šios procedūros etapu naudotojas gali nutraukti tapatybės patvirtinimą per jo Facebook paskyrą, pažymėdamas parinktį „Cancel“. Tokiu atveju jis nukreipiamas į EU Login interneto svetainę arba puslapį, kuriame vėl rodomos prisijungimo galimybės.

179

Nagrinėjamu atveju ieškovui spustelėjus saitą „prijungti su Facebook“, jo interneto naršyklė prisijungė prie Facebook interneto svetainės URL adreso ir atitinkamai perdavė šiai interneto svetainei jo IP adresą. Tuomet patekęs į Facebook interneto svetainę ieškovas pažymėjo parinktis, leidžiančias Facebook naudoti tik būtinuosius slapukus, paskui prisijungė prie savo Facebook paskyros ir galiausiai leido Facebook perduoti EU Login jo vardą, pavardę, profilio nuotraukas ir el. pašto adresą, kuriuos buvo nurodęs savo Facebook paskyroje.

180	Gavęs šiuos ieškovo sutikimus, Facebook jį nukreipė į EU Login interneto svetainę pagal saite „prisijungti su Facebook“ esančią informaciją (žr. šio sprendimo 177 punkto pirmą ir antrą įtraukas).

181

Tuo pat metu Facebook perdavė EU Login atsitiktinę saugumo vertę ir unikalų kodą, nurodytus šio sprendimo 177 punkto ketvirtoje ir penktoje įtraukose. Pirma, dėl Facebook perduotų duomenų EU Login žinojo, kad Facebook pateikti asmens duomenys yra naudotojo, kuris inicijavo tapatybės nustatymo procedūrą, t. y. nagrinėjamu atveju – ieškovo. Antra, dėl perduotų duomenų EU Login galėjo ribotą laikotarpį turėti prieigą prie šio sprendimo 177 punkto trečioje įtraukoje nurodytų asmens duomenų, t. y., be kita ko, ieškovo vardo, pavardės ir el. pašto adreso, kuriuos jis buvo nurodęs savo Facebook paskyroje. Šiuos duomenis Facebook perdavė EU Login per šifruotą tarpusavio ryšį. EU Login nustatė ieškovo el. pašto adreso tapatumą būtent pagal Facebook pateiktus duomenis.

182	Beje, atkreiptinas dėmesys į tai, kad socialinis tinklas Facebook priklauso Jungtinėse Valstijose įsteigtai įmonei Meta Platforms.

183	Be to, pažymėtina, kad šio saito rodymą EU Login interneto svetainėje reglamentuoja Facebook platformos bendrosios naudojimo sąlygos, paskelbtos interneto adresu „https://developers.facebook.com/terms“.

184	Būtent atsižvelgiant į šiuos aspektus reikia išnagrinėti, ar įvykdytos Komisijos deliktinės atsakomybės atsiradimo sąlygos.

185

Ieškovas iš esmės teigia, kad 2022 m. kovo 30 d. prisijungus prie EU Login jo asmens duomenys, be kita ko, jo IP adresas, buvo perduoti į socialinio tinklo Facebook serverius, kurių savininkė įsisteigusi Jungtinėse Valstijose. Šie duomenys buvo perduoti pažeidžiant Reglamento 2018/1725 46 straipsnį, todėl ieškovui buvo padaryta neturtinė žala, t. y. jis negalėjo kontroliuoti savo duomenų ir neteko galimybės naudotis savo teisėmis ir laisvėmis.

186

Pirmiausia primintina, kad, kaip matyti iš šio sprendimo 95 punkto, asmens duomenų perdavimas į trečiąją valstybę, kaip tai suprantama pagal Reglamento 2018/1725 46 straipsnį, suponuoja, kad Sąjungos institucija, agentūra, organas ar tarnyba persiųstų arba kitu būdu suteiktų galimybę jais naudotis duomenų gavėjui trečiojoje valstybėje, t. y. valstybėje, kuri nėra nei Sąjungos, nei EEE narė.

187

Nagrinėjamu atveju įrodyta, kad, pirma, iš prisijungimo prie EU Login galimybių ieškovas pasirinko prisijungimą su savo Facebook paskyra. Antra, saite „prisijungti su Facebook“ yra nuoroda į Facebook interneto svetainės URL adresą. Trečia, ieškovui spustelėjimu aktyvavus šį saitą, jo naršyklė prisijungė prie Facebook interneto svetainės URL adreso ir perdavė jo IP adresą Facebook platformai (žr. šio sprendimo 173 ir 175 punktus).

188

Darytina išvada, kad EU Login interneto tinklalapyje pateikdama saitą „prisijungti su Facebook“ Komisija sukūrė sąlygas, leidžiančias perduoti ieškovo IP adresą Facebook platformai. IP adresas priskiriamas prie ieškovo asmens duomenų (žr. šio sprendimo 122 punktą) ir jis per minėtą saitą buvo perduotas Jungtinėse Valstijose įsteigtai įmonei Meta Platforms. Taigi toks perdavimas reiškia asmens duomenų perdavimą į trečiąją valstybę, kaip tai suprantama pagal Reglamento 2018/1725 46 straipsnį.

189	Be to, nagrinėjamu atveju įrodyta, kad šio duomenų perdavimo momentu, t. y. 2022 m. kovo 30 d., dėl JAV nebuvo jokio sprendimo dėl tinkamumo, kaip tai suprantama pagal Reglamento 2018/1725 47 straipsnį (žr. šio sprendimo 100 punktą).

190

Kadangi, kiek tai susiję su JAV, nėra jokio Komisijos sprendimo dėl tinkamumo, asmens duomenys į trečiąją valstybę arba tarptautinei organizacijai gali būti perduodami tik tuo atveju, jeigu duomenų valdytojas arba duomenų tvarkytojas yra nustatęs tinkamas apsaugos priemones, su sąlyga, kad pagal Reglamento 2018/1725 48 straipsnio 1 dalį duomenų subjektams suteikiamos teisės, kuriomis galima remtis, ir veiksmingos teisių gynimo priemonės (žr. šio sprendimo 101 punktą).

191

Nagrinėjamu atveju Komisija neįrodė ir net neteigė, kad egzistuoja tinkama apsaugos priemonė, pavyzdžiui standartinė duomenų apsaugos sąlyga ar sutarties sąlyga, priimtos laikantis Reglamento 2018/1725 48 straipsnio 2 ir 3 dalyse numatytų reikalavimų (žr. šio sprendimo 102 ir 104 punktus). Tačiau įrodyta, kad saito „prijungti su Facebook“ rodymą EU Login interneto svetainėje reglamentuoja tiesiog Facebook platformos bendrosios naudojimo sąlygos (žr. šio sprendimo 183 punktą).

192	Taigi Komisija sudarė sąlygas, kad ieškovo asmens duomenys būtų perduoti į trečiąją valstybę nesilaikant Reglamento 2018/1725 46 straipsnyje nustatytų reikalavimų.

193

Todėl, nesant reikalo nagrinėti kitų ieškovo argumentų, darytina išvada, kad Komisija padarė pakankamai aiškų Reglamento 2018/1725 46 straipsnio pažeidimą, kaip tai suprantama pagal šio sprendimo 50 punkte primintą jurisprudenciją, kiek tai susiję su ginčijamu duomenų perdavimu 2022 m. kovo 30 d. jungiantis prie EU Login.

194	Taigi reikia išnagrinėti, ar šiuo atveju įvykdytos kitos Komisijos deliktinės atsakomybės atsiradimo sąlygos dėl žalos ir priežastinio ryšio.

195	Ieškovas teigia, kad dėl neteisėto jo IP adreso perdavimo Jungtinėse Valstijose įsteigtai įmonei patyrė neturtinę žalą, t. y. negalėjo kontroliuoti savo duomenų ir neteko galimybės naudotis savo teisėmis ir laisvėmis.

196

Šiuo klausimu konstatuotina, kad pagal Reglamento 2018/1725 65 straipsnį suteikiama teisė ne tik į turtinės, bet ir į neturtinės žalos, patirtos dėl šio reglamento pažeidimo, atlyginimą ir nereikia įrodyti jokio žalos reikšmingumo laipsnio (šiuo klausimu pagal analogiją žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Post(Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, EU:C:2023:370, 45 ir 51 punktus).

197

Nagrinėjamu atveju ieškovo nurodyta neturtinė žala turi būti laikoma realia ir tikra, kaip tai suprantama pagal šio sprendimo 54 punkte primintą jurisprudenciją, nes dėl šio sprendimo 188 punkte nurodyto duomenų perdavimo, atlikto pažeidžiant Reglamento 2018/1725 46 straipsnį, ieškovas atsidūrė nesaugioje padėtyje, kiek tai susiję su jo asmens duomenų, be kita ko, jo IP adreso, tvarkymu.

198	Be to, tarp Komisijos padaryto Reglamento 2018/1725 46 straipsnio pažeidimo ir ieškovo patirtos neturtinės žalos yra pakankamai tiesioginis priežastinis ryšys, kaip tai suprantama pagal šio sprendimo 55 punkte primintą jurisprudenciją.

199	Šios bylos aplinkybėmis Komisijos padarytos neturtinės žalos dydis ex æquo et bono turi būti įvertintas 400 EUR.

200	Todėl iš Komisijos reikia priteisti sumokėti ieškovui 400 EUR neturtinės žalos, patirtos dėl ginčijamo duomenų perdavimo 2022 m. kovo 30 d. jungiantis prie EU Login, atlyginimą.

Dėl bylinėjimosi išlaidų

201

Pagal Bendrojo Teismo procedūros reglamento 134 straipsnio 3 dalį, jeigu kiekvienos šalies dalis reikalavimų patenkinama, o dalis atmetama, kiekviena šalis padengia savo bylinėjimosi išlaidas. Tačiau Bendrasis Teismas gali nuspręsti, kad, be savo bylinėjimosi išlaidų, šalis padengia dalį kitos šalies bylinėjimosi išlaidų, jeigu tai pateisinama atsižvelgiant į nagrinėjamos bylos aplinkybes.

202

Nagrinėjamu atveju ieškovo pirmasis ir antrasis reikalavimai, taip pat dalis trečiojo reikalavimo buvo atmesti. Vis dėlto trečiasis reikalavimas buvo iš dalies patenkintas ir iš Komisijos priteista pagal ieškovo prašymą atlyginti neturtinę žalą, kurią jis patyrė dėl ginčijamo duomenų perdavimo 2022 m. kovo 30 d. jungiantis prie EU Login. Šiomis aplinkybėmis nuspręstina, kad Komisija padengia savo bylinėjimosi išlaidas ir pusę ieškovo patirtų bylinėjimosi išlaidų. Ieškovas padengia pusę savo bylinėjimosi išlaidų.

Remdamasis šiais motyvais,

BENDRASIS TEISMAS (šeštoji išplėstinė kolegija)

nusprendžia:

1.	Atmesti ieškinį kaip nepriimtiną, kiek tai susiję su reikalavimu dėl panaikinimo.

2.	Nebėra pagrindo priimti sprendimo dėl reikalavimo konstatuoti, kad Europos Komisija neteisėtai nepareiškė pozicijos dėl Thomas Bindl 2022 m. balandžio 1 d. prašymo pateikti informacijos.

3.	Priteisti iš Komisijos sumokėti Th. Bindl 400 EUR neturtinės žalos atlyginimą.

4.	Atmesti likusius reikalavimus atlyginti žalą.

5.	Komisija padengia savo bylinėjimosi išlaidas ir pusę Th. Bindl patirtų bylinėjimosi išlaidų.

6.	Th. Bindl padengia pusę savo bylinėjimosi išlaidų.

Costeira

Kancheva

Öberg

Zilgalvis

Tichy-Fisslberger

Paskelbtas 2025 m. sausio 8 d. viešame teismo posėdyje Liuksemburge.

Parašai.

Turinys

	Ginčo aplinkybės ir aplinkybės, susiklosčiusios po ieškinio pareiškimo
	Šalių reikalavimai
	Dėl teisės
	Pirminės pastabos dėl Sąjungos institucijų, įstaigų, tarnybų ir agentūrų užtikrinamos asmens duomenų apsaugos
	Dėl priimtinumo
	Reikalavimo dėl panaikinimo priimtinumas
	Reikalavimo dėl neveikimo priimtinumas
	Dėl reikalavimo atlyginti žalą
	Pirminės pastabos dėl Sąjungos deliktinės atsakomybės atsiradimo pagal Reglamentą 2018/1725 sąlygų
	Dėl pirmojo prašymo atlyginti neturtinę žalą, patirtą dėl teisės susipažinti su informacija pažeidimo
	Dėl antrojo prašymo atlyginti neturtinę žalą, patirtą dėl ginčijamo duomenų perdavimo
	– Pirminės pastabos dėl nuostatų, susijusių su asmens duomenų perdavimu į trečiąją valstybę
	– Dėl „Amazon CloudFront“ paslaugos veikimo KEA interneto svetainėje
	– Ginčijamas duomenų perdavimas 2022 m. kovo 30 d. lankantis KEA interneto svetainėje
	– Ginčijamas duomenų perdavimas 2022 m. birželio 8 d. lankantis KEA interneto svetainėje
	– Ginčijamas duomenų perdavimas 2022 m. kovo 30 d. prisijungiant prie „EU Login“
	Dėl bylinėjimosi išlaidų

( *1 ) Proceso kalba: vokiečių.

Eureka prideda nuorodas…