1

Tožeča stranka, Thomas Bindl, s tožbo na podlagi členov 263, 265 in 268 PDEU Splošnemu sodišču predlaga, prvič, naj razglasi ničnost prenosov njenih osebnih podatkov v tretje države, ki nimajo ustrezne ravni varstva, drugič, ugotovi, da Evropska komisija nezakonito ni zavzela stališča o zahtevi po informacijah z dne 1. aprila 2022, in tretjič, naj Komisiji naloži, da ji povrne nepremoženjsko škodo, ki jo je utrpela zaradi, na eni strani, kršitve njene pravice do dostopa do informacij in, na drugi strani, prenosa njenih osebnih podatkov.

2

Tožeča stranka je nemški državljan, ki ga zanimajo zadeve s področja informatike in varstva osebnih podatkov.

3

Generalni direktorat Komisije za komuniciranje je upravljavec obdelave osebnih podatkov za spletno mesto Konference o prihodnosti Evrope na naslovu „https://futureu.europa.eu“.

4

Tožeča stranka je v letih 2021 in 2022 večkrat obiskala spletno mesto Konference o prihodnosti Evrope. To spletno mesto je med drugim obiskala 30. marca 2022 in se prek svojega Facebook računa prijavila na dogodek „GoGreen“, ki je bil tam naveden, 8. junija 2022 pa je navedeno spletno mesto ponovno obiskala.

5

Tožeča stranka je z elektronskim sporočilom z dne 9. novembra 2021 (v nadaljevanju: zahteva po informacijah z dne 9. novembra 2021) pooblaščeno osebo za varstvo podatkov pri Komisiji zaprosila, naj ji zagotovi informacije na podlagi Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL 2018, L 295, str. 39).

6

Tožeča stranka je v navedenem elektronskem sporočilu, prvič, navedla, da je opazila, da se je – ko se je povezala na spletno mesto Konference o prihodnosti Evrope – vzpostavila povezava s tretjimi dobavitelji, kot je ameriško podjetje Amazon Web Services; drugič, zahtevala je, da se ji sporoči, kateri osebni podatki, ki se nanašajo nanjo, so bili obdelani ali shranjeni in so bili po potrebi preneseni tretjim osebam; tretjič, zahtevala je informacije o pravni podlagi za takšen prenos in o obstoju morebitnih zaščitnih ukrepov v zvezi s prenosom v tretje države, ki nimajo ustrezne ravni varstva.

7

Generalni direktorat Komisije za komuniciranje je z elektronskim sporočilom z dne 3. decembra 2021 tožeči stranki posredoval elektronsko povezavo in jo obvestil, da lahko na podlagi te povezave neposredno izdela seznam osebnih podatkov, ki so bili obdelani pri obisku spletnega mesta Konference o prihodnosti Evrope. Poleg tega je tožeči stranki sporočil, na eni strani, da njeni osebni podatki niso bili preneseni uporabnikom zunaj Evropske unije, in na drugi strani, da so bili shranjeni in obdelani na spletnem mestu Konference o prihodnosti Evrope, ki je uporabljalo omrežje za razširjanje vsebin, ki ga upravlja družba Amazon Web Services EMEA SARL (v nadaljevanju: AWS EMEA) s sedežem v Luksemburgu (Luksemburg). Poleg tega je pojasnil, da v okviru pogodbenih dogovorov, sklenjenih med Komisijo in družbo AWS EMEA, upravljavec podatkov ni uporabil storitev, za katere bi bil potreben prenos podatkov partnerjem družbe AWS EMEA v Združenih državah, in da prenos podatkov zunaj ozemlja Unije načeloma ni dovoljen.

8

(kot je bilo popravljeno s sklepom z dne 3. junija 2025) Tožeča stranka je z elektronskim sporočilom z dne 1. aprila 2022 na podlagi Uredbe 2018/1725 od Komisije zahtevala informacije o obdelavi njenih podatkov (v nadaljevanju: zahteva po informacijah z dne 1. aprila 2022). Prvič, navedla je, da je opazila, da se je – ob vzpostavitvi povezave s spletnim mestom Konference o prihodnosti Evrope – ustvarila povezava s tretjimi dobavitelji, kot je družba AWS EMEA, in da je bila povezava z družbo Meta Platforms vzpostavljena, ko se je s svojimi podatki o Facebook povezavi prijavila na tem spletnem mestu. Drugič, zahtevala je, naj se ji sporoči, kateri osebni podatki, ki se nanašajo nanjo, so bili obdelani ali shranjeni in so bili po potrebi preneseni tretjim osebam. Tretjič, zahtevala je informacije o pravni podlagi za tak prenos in o obstoju morebitnih jamstev v zvezi s prenosom v tretje države, ki nimajo ustrezne ravni varstva. Četrtič, zahtevala je kopijo svojih podatkov, vključno s tistimi, ki jih hranijo ali obdelujejo tretje osebe, kot je Facebook.

9

Tožeča stranka je z elektronskima sporočiloma z dne 22. aprila in 2. maja 2022 Komisijo pozvala, naj odgovori na zahtevo po informacijah z dne 1. aprila 2022.

10

Tožeča stranka je 9. junija 2022 v sodnem tajništvu Splošnega sodišča vložila to tožbo.

11

Komisija je z elektronskim sporočilom z dne 30. junija 2022 tožečo stranko obvestila, da meni, da je besedilo zahteve po informacijah z dne 1. aprila 2022 skoraj identično besedilu zahteve po informacijah z dne 9. novembra 2021 in da je na slednjo z elektronskim sporočilom z dne 3. decembra 2021 že odgovorila.

12

Amazon Web Services je podjetje s sedežem v Združenih državah, AWS EMEA pa je podjetje s sedežem v Luksemburgu. Ti podjetji sta hčerinski družbi družbe ameriškega prava Amazon.com, Inc.

13

Tožeča stranka Splošnemu sodišču predlaga, naj:

14

Komisija Splošnemu sodišču predlaga, naj:

15

Člen 16(1) PDEU in člen 8(1) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina) določata, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj.

16

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1) določa splošna pravila o varstvu posameznikov pri obdelavi osebnih podatkov in o zagotovitvi prostega pretoka takih podatkov (člen 1(1) Uredbe 2016/679).

17

Uredba 2018/1725 določa pravila o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Unije in pravila o prostem pretoku osebnih podatkov med njimi ali drugimi uporabniki, ustanovljenimi v Uniji (člen 1(1) Uredbe 2018/1725). Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov (člen 1(2) Uredbe 2018/1725). Uporablja se za obdelavo osebnih podatkov v vseh institucijah in organih Unije (člen 2(1) Uredbe 2018/1725).

18

V uvodni izjavi 5 Uredbe 2018/1725 je opozorjeno, da je treba v skladu s sodno prakso Sodišča, kadar določbe Uredbe 2018/1725 sledijo istim konceptom kot določbe Uredbe 2016/679, navedena dva niza določb razlagati enotno, zlasti ker bi bilo treba strukturo Uredbe 2018/1725 razumeti kot enakovredno strukturi Uredbe (EU) 2016/679. V zvezi s tem iz povezane razlage določb člena 2(3) Uredbe 2016/679 in člena 99 Uredbe 2018/1725 izhaja tudi, da je zadnjenavedena uredba prilagojena načelom in pravilom Uredbe 2016/679.

19

Tožeča stranka s prvim tožbenim predlogom predlaga razglasitev ničnosti prenosov njenih osebnih podatkov v tretje države, ki nimajo ustrezne ravni varstva, in ki naj bi bili izvedeni 30. marca in 8. junija 2022 (v nadaljevanju: sporni prenosi).

20

Komisija se v svojem odgovoru na tožbo sklicuje na nedopustnost tega predloga za razglasitev ničnosti, ker ni bil vložen zoper izpodbojni akt v smislu člena 263 PDEU, temveč se nanaša na predlog za izdajo sodne odredbe, naslovljene nanjo.

21

Tožeča stranka trdi, da je predlog za razglasitev ničnosti dopusten, pri čemer trdi, da gre v primeru spornih prenosov za akte, ki imajo zavezujoče pravne učinke in vplivajo na njen pravni položaj, saj posegajo v njeno temeljno pravico do varstva osebnih podatkov, ki je zagotovljena s členom 8 Listine. Vsaka drugačna razlaga bi bila nezdružljiva s temeljno pravico do učinkovitega sodnega varstva, ker je v členu 64(1) Uredbe 2018/1725 ta pravica izrecno priznana.

22

Kot je navedeno v členu 64(1) in v uvodni izjavi 79 Uredbe 2018/1725, ima vsakdo pravico do učinkovitega pravnega sredstva pred Sodiščem Evropske unije v skladu s Pogodbama, če meni, da so njegove pravice iz te uredbe kršene.

23

Iz tega sledi, da ima v okviru Uredbe 2018/1725 vsak posameznik, na katerega se nanašajo osebni podatki, med drugim pravico do vložitve ničnostne tožbe pod pogoji, določenimi v členu 263 PDEU.

24

V skladu z ustaljeno sodno prakso je mogoče ničnostno tožbo iz člena 263 PDEU vložiti zoper vse akte, ki jih sprejmejo institucije, ne glede na njegovo obliko, katerih namen je ustvariti zavezujoče pravne učinke, ki lahko posežejo v interese tožeče stranke, tako da bistveno spremenijo njen pravni položaj (glej sodbi z dne 19. januarja 2017, Komisija/Total in Elf Aquitaine, C‑351/15 P, EU:C:2017:27, točki 35 in 36 ter navedena sodna praksa, in z dne 16. julija 2020, Inclusion Alliance for Europe/Komisija, C‑378/16 P, EU:C:2020:575, točka 71 in navedena sodna praksa).

25

Za ugotovitev, ali ima akt zavezujoče pravne učinke, se je treba v skladu z ustaljeno sodno prakso Sodišča osredotočiti na vsebino tega akta in njegove učinke presojati glede na objektivna merila, kot je vsebina navedenega akta, ob upoštevanju, po potrebi, okvira, v katerem je bil sprejet, in pristojnosti institucije, organa, urada ali agencije Unije, ki je akt sprejela (glej sodbo z dne 15. julija 2021, FBF, C‑911/19, EU:C:2021:599, točka 38 in navedena sodna praksa).

26

V obravnavani zadevi tožeča stranka predlaga razglasitev ničnosti spornih prenosov, ki so bili po njenem mnenju izvedeni trikrat. Na prvem mestu, ob njenem obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022 (v nadaljevanju: sporni prenos ob obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022) naj bi bili osebni podatki, zlasti njen IP‑naslov ter informacije o njenem brskalniku in terminalu, preneseni ameriškemu podjetju Amazon Web Services, kot operaterju omrežja za razširjanje vsebin, imenovanem Amazon CloudFront, ki naj bi ga navedeno spletno mesto uporabljalo.

27

Na drugem mestu, pri povezavi, ki jo je tožeča stranka 30. marca 2022 vzpostavila s storitvijo avtentikacije uporabnikov pri Komisiji, EU Login, prek njenega Facebook računa za prijavo na dogodek „GoGreen“ na spletnem mestu Konference o prihodnosti Evrope (v nadaljevanju: sporni prenos pri povezavi s portalom EU Login dne 30. marca 2022), naj bi bili osebni podatki, zlasti njen IP‑naslov ter informacije o njenem brskalniku in terminalu, preneseni ameriškemu podjetju Meta Platforms, Inc.

28

Na tretjem mestu, ko je tožeča stranka obiskala spletno mesto Konference o prihodnosti Evrope dne 8. junija 2022 (v nadaljevanju: sporni prenos pri obiskih spletnega mesta Konference o prihodnosti Evrope dne 8. junija 2022), naj bi bili osebni podatki preneseni na strežnik družbe Amazon CloudFront s sedežem v Newarku (New Jersey, Združene države).

29

Poleg tega tožeča stranka v tožbi navaja, da je 9. novembra 2021 obiskala spletno mesto Konference o prihodnosti Evrope in da se je na to spletno mesto vpisala prek svojega Facebook računa. Vendar ne navaja nobenega konkretnega elementa, na podlagi katerega bi bilo mogoče sklepati, da se njen predlog za razglasitev ničnosti spornih prenosov nanaša na te okoliščine. Upoštevati je torej treba le sporne prenose, navedene v točkah od 26 do 28 zgoraj.

30

Poudariti je treba, da sporni prenosi, katerih razglasitev ničnosti predlaga tožeča stranka in ki so navedeni v točkah od 26 do 28 zgoraj, po mnenju same tožeče stranke ustrezajo informacijskim postopkom za prenos podatkov, ki naj bi bili izvedeni prek informacijskih sistemov ali storitev Komisije, zlasti spletnega mesta Konference o prihodnosti Evrope, na strežnike v lasti tretjih podjetij s sedežem zunaj ozemlja Unije.

31

Res je, da postopek prenosa osebnih podatkov iz institucije ali organa Unije v tretjo državo pomeni obdelavo osebnih podatkov v smislu člena 3, točka 3, Uredbe 2018/1725, ki se izvaja na ozemlju Unije in za katero se ta uredba uporablja na podlagi njenega člena 2(5) (glej po analogiji sodbo z dne 16. julija 2020, Facebook Ireland in Schrems, C‑311/18, EU:C:2020:559, točka 83; v nadaljevanju: sodba Schrems II).

32

Vendar vsi postopki, ki lahko povzročijo prenos osebnih podatkov v smislu člena 3, točka 3, Uredbe 2018/1725, niso izpodbojni akti v smislu člena 263 PDEU, kakor se razlaga v sodni praksi, navedeni v točki 24 zgoraj.

33

V obravnavanem primeru je treba ob predpostavki, da so sporni prenosi dokazani, ugotoviti, da gre za materialna dejanja, in ne za pravna dejanja. V primeru spornih prenosov, kakor so opisani v tožbi, gre namreč za informacijske postopke prenosa podatkov z enega terminala ali strežnika na drugega, ki so posledica interakcij med tožečo stranko in informacijskimi sistemi ali storitvami Komisije, pri obisku spletnega mesta Konference o prihodnosti Evrope ali uporabi storitve EU Login. Nasprotno pa v primeru spornih prenosov ne gre za akte Komisije, ki bi imeli zavezujoče pravne učinke, kar pomeni, da ni njihov namen urediti pravni položaj, in kot izhaja iz njihove narave, jim Komisija nikakor ni nameravala podeliti takih učinkov.

34

Zato sporni prenosi v skladu s sodno prakso, navedeno v točki 24 zgoraj, ne morejo imeti zavezujočih pravnih učinkov, ki bi lahko vplivali na interese tožeče stranke tako, da bi bistveno spremenili njen pravni položaj. Zato jih ni mogoče šteti za izpodbojne akte v smislu člena 263 PDEU.

35

Iz tega sledi, da je treba predloge tožeče stranke za razglasitev ničnosti zavreči kot nedopustne.

36

Tožeča stranka z drugim tožbenim predlogom Splošnemu sodišču predlaga, naj ugotovi, da Komisija nezakonito ni zavzela stališča o zahtevi po informacijah z dne 1. aprila 2022.

37

Komisija se v svojem odgovoru na tožbo sklicuje na nedopustnost te tožbe zaradi nedelovanja, ker ni bil vložen poziv k ukrepanju v smislu člena 265, drugi odstavek, PDEU. Komisija podredno trdi, da je treba postopek s predlogom za ugotovitev nedelovanja ustaviti, ob upoštevanju njenega odgovora tožeči stranki v elektronskem sporočilu z dne 30. junija 2022.

38

Tožeča stranka v bistvu trdi, da mora Komisija še vedno odgovoriti na zahtevo po informacijah z dne 1. aprila 2022, saj so informacije, ki jih je posredovala v elektronskem sporočilu z dne 30. junija 2022, nezadostne in netočne.

39

V skladu z ustaljeno sodno prakso pravno sredstvo, določeno v členu 265 PDEU, temelji na zamisli, da nezakonito nedelovanje zadevne institucije omogoča, da se zadeva predloži sodišču Unije, da to ugotovi, da je opustitev ukrepanja v nasprotju s Pogodbo, če zadevna institucija tega nedelovanja ni odpravila (sodba z dne 12. julija 1988, Parlament/Svet, 377/87, EU:C:1988:387, točka 9; glej tudi sodbo z dne 16. decembra 2015, Švedska/Komisija, T‑521/14, neobjavljena, EU:T:2015:976, točka 33 in navedena sodna praksa).

40

Kadar je akt, katerega opustitev je predmet spora, sprejet po vložitvi tožbe, vendar pred razglasitvijo sodbe, ugotovitev sodišča Unije, da je bilo prvotno nedelovanje nezakonito, ne more več imeti posledic, ki jih določa člen 266 PDEU. Iz tega izhaja, da v takem primeru predmet tožbe ne obstaja več, tako da je treba postopek ustaviti (sodba z dne 12. julija 1988, Parlament/Svet, 377/87, EU:C:1988:387, točki 10 in 11; glej tudi sklep z dne 13. decembra 2000, Sodima/Komisija, C‑44/00 P, EU:C:2000:686, točka 83 in navedena sodna praksa).

41

V obravnavani zadevi je treba ugotoviti, da je Komisija na zahtevo po informacijah z dne 1. aprila 2022 odgovorila z elektronskim sporočilom z dne 30. junija 2022 (glej točko 11 zgoraj). Komisija je torej po vložitvi te tožbe odpravila nedelovanje, ki ga tožeča stranka v okviru te tožbe zatrjuje. Drugi tožbeni predlog, ki se nanaša na to, da se na podlagi člena 265 PDEU ugotovi nedelovanje Komisije, ker ni odgovorila na zahtevo po informacijah z dne 1. aprila 2022, je torej postal brezpredmeten.

42

Dejstvo, da vsebina elektronskega sporočila Komisije z dne 30. junija 2022 ne ustreza odgovoru, ki ga želi tožeča stranka, v zvezi s tem ni upoštevno. Dejstvo, da to stališče institucije tožeči stranki ne zadošča, v zvezi s tem namreč ni pomembno, saj se člen 265 PDEU nanaša na nedelovanje zaradi opustitve ukrepanja ali sprejetja stališča in ne na sprejetje akta, ki ni takšen, kot bi ga ta stranka želela ali ocenila za potrebnega (glej sklep z dne 6. aprila 2017, Brancheforeningen for Regulerkraft i Danmark/Komisija, T‑203/16, neobjavljen, EU:T:2017:279, točka 22 in navedena sodna praksa).

43

Iz tega sledi, da o predlogih tožeče stranke za ugotovitev nedelovanja ni več treba odločati, v zvezi z nedopustnostjo teh predlogov, na kar se sklicuje Komisija, pa se ni treba izreči.

44

Tožeča stranka s tretjim tožbenim predlogom uveljavlja dva odškodninska zahtevka. Na prvem mestu zahteva plačilo 800 EUR iz naslova odškodnine za nepremoženjsko škodo, ki naj bi jo utrpela, ker Komisija ni spoštovala njene pravice do dostopa do informacij, kar je v nasprotju s členom 14(3) in (4), ter členom 17(1) in (2) Uredbe 2018/1725 in načelom preglednosti, določenem v členu 4(1)(a) navedene uredbe. Na drugem mestu predlaga plačilo 400 EUR iz naslova odškodnine za nepremoženjsko škodo, ki naj bi jo utrpela zaradi spornih prenosov, ki so bili izvedeni v nasprotju s členom 46 ter členom 48(1) in (2)(b) Uredbe 2018/5.

45

Komisija predlaga zavrnitev predloga za plačilo odškodnine.

46

Člen 65 Uredbe 2018/1725 določa, da ima vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, pravico, da pod pogoji iz Pogodb od institucije ali organa Unije dobi odškodnino za nastalo škodo.

47

Ta člen 65 Uredbe 2018/1725 je treba razlagati tako, da določa, da za pravico pridobitve – od institucije ali organa Unije – odškodnine za škodo, nastalo zaradi kršitve te uredbe, veljajo pogoji iz člena 340, drugi odstavek, PDEU, v skladu s katerim mora Unija ob upoštevanju splošnih načel, ki so skupna pravnim ureditvam držav članic, nadomestiti škodo, ki so jo povzročile njene institucije ali njeni uslužbenci pri opravljanju svojih dolžnosti.

48

V skladu z ustaljeno sodno prakso morajo biti za nastanek nepogodbene odgovornosti Unije izpolnjeni trije kumulativni pogoji, in sicer nezakonitost ravnanja, ki se očita institucijam, dejanski obstoj škode ter obstoj vzročne zveze med očitanim ravnanjem in zatrjevano škodo (glej v tem smislu sodbi z dne 4. julija 2000, Bergaderm in Goupil/Komisija, C‑352/98 P, EU:C:2000:361, točke od 39 do 42, in z dne 28. oktobra 2021, Vialto Consulting/Komisija, C‑650/19 P, EU:C:2021:879, točka 138).

49

Kumulativnost teh pogojev pomeni, da je treba odškodninsko tožbo, če eden od njih ni izpolnjen, zavrniti v celoti, ne da bi bilo treba preizkusiti ostale pogoje (sodba z dne 9. septembra 1999, Lucaccioni/Komisija, C‑257/98 P, EU:C:1999:402, točki 14 in 63; glej tudi sodbo z dne 25. februarja 2021, Dalli/Komisija, C‑615/19 P, EU:C:2021:133, točka 42 in navedena sodna praksa).

50

V zvezi s prvim od navedenih pogojev je treba v skladu s sodno prakso dokazati obstoj dovolj resne kršitve pravnega pravila, s katerim se posamezniku podeljujejo pravice (glej sodbo z dne 4. julija 2000, Bergaderm in Goupil/Komisija, C‑352/98 P, EU:C:2000:361, točka 42 in navedena sodna praksa).

51

Namen te zahteve v zvezi z dovolj resno kršitvijo prava Unije – ne glede na naravo zadevnega nezakonitega akta – je, da se izogne tveganju, da bi obveznost plačila škode, ki jo zatrjujejo zadevne osebe, ovirala zmožnost zadevne institucije, da v celoti izvršuje svoje pristojnosti v splošnem interesu, tako v okviru svoje normativne dejavnosti ali dejavnosti, ki zajemajo odločitve ekonomske politike, kot tudi glede svojih upravnih pristojnosti, ne da bi bili posamezniki deležni posledic očitnih in neopravičljivih kršitev (glej v tem smislu sodbo z dne 14. decembra 2018, East West Consulting/Komisija, T‑298/16, EU:T:2018:967, točka 124 in navedena sodna praksa).

52

Odločilno merilo za ugotovitev, da je kršitev prava dovolj resna, je to, da zadevna institucija ali organ Unije očitno in resno ni upoštevala omejitev, ki veljajo za njegovo diskrecijsko pravico. Če ima ta institucija ali organ le precej omejeno diskrecijsko pravico ali je celo nima, za ugotovitev obstoja dovolj resne kršitve zadostuje že kršitev prava Unije (glej sodbo z dne 10. decembra 2002, Komisija/Camar in Tico, C‑312/00 P, EU:C:2002:736, točka 54 in navedena sodna praksa). Vendar ta sodna praksa ne vzpostavlja nobene samodejne povezave med neobstojem diskrecijske pravice zadevne institucije in opredelitvijo kršitve kot dovolj resne kršitve prava Unije (sodba z dne 3. marca 2010, Artegodan/Komisija, T‑429/05, EU:T:2010:60, točka 59). Čeprav je obseg diskrecijske pravice zadevne institucije odločilen, pa ni izključno merilo. Sodišče je v zvezi s tem vedno opozarjalo, da se v okviru ureditve, ki jo je razvilo na podlagi člena 340, drugi odstavek, PDEU, poleg tega upošteva tudi kompleksnost položajev, ki jih je treba urediti, in težave pri uporabi ali razlagi besedil (glej sodbo z dne 23. novembra 2011, Sison/Svet, T‑341/07, EU:T:2011:687, točki 36 in 37 in navedena sodna praksa) ali, splošneje, področje, pogoje in okoliščine, v katerih je kršeno pravilo zavezujoče za zadevno institucijo ali organ Unije (glej sodbo z dne 4. aprila 2017, Médiateur/Staelen, C‑337/15 P, EU:C:2017:256, točka 40 in navedena sodna praksa).

53

Iz tega je razvidno, da lahko zgolj ugotovitev nepravilnosti, ki je običajno skrbna in vestna uprava v podobnih okoliščinah ne bi storila, omogoči vzpostavitev nepogodbene odgovornosti Unije. Zato mora sodišče Unije po ugotovitvi, ali je imela zadevna institucija diskrecijsko pravico, upoštevati kompleksnost položajev, ki se urejajo, težave pri uporabi ali razlagi besedil, stopnjo jasnosti in natančnosti kršenega pravila ter namernost ali neopravičljivost storjene napake (sodba z dne 3. marca 2010, Artegodan/Komisija, T‑429/05, EU:T:2010:60, točka 62).

54

Kar zadeva pogoj v zvezi z resničnostjo škode, mora biti ta dejanska in gotova, kar mora dokazati tožeča stranka (glej sodbo z dne 9. novembra 2006, Agraz in drugi/Komisija, C‑243/05 P, EU:C:2006:708, točka 27 in navedena sodna praksa). Zgolj hipotetična in neopredeljena škoda pa ne daje pravice do nadomestila (glej sodbo z dne 26. oktobra 2011, Dufour/ECB, T‑436/09, EU:T:2011:634, točka 192 in navedena sodna praksa).

55

V zvezi s pogojem glede vzročne zveze, se slednji nanaša na obstoj dovolj neposredne vzročne zveze med ravnanjem, ki se očita instituciji in škodo, pri čemer mora to zvezo dokazati tožeča stranka, očitano ravnanje pa mora biti odločilni razlog za nastanek škode (glej sodbo z dne 13. decembra 2018, Evropska unija/ASPLA in Armando Álvarez, C‑174/17 P in C‑222/17 P, EU:C:2018:1015, točka 23 in navedena sodna praksa).

56

Poleg tega je treba opozoriti, da je bila odškodninska tožba, ki temelji na členu 340, drugi odstavek, PDEU, uvedena kot samostojno pravno sredstvo, ki ima v okviru sistema pravnih sredstev posebno vlogo in za katero veljajo pogoji za izvajanje, ki so določeni za njen posebni namen, tako da razglasitev nedopustnosti predloga za razglasitev ničnosti ne povzroči samodejno nedopustnosti odškodninskega zahtevka (glej sodbo z dne 5. septembra 2019, Evropska unija/Guardian Europe in Guardian Europe/Evropska unija, C‑447/17 P in C‑479/17 P, EU:C:2019:672, točka 49 in navedena sodna praksa).

57

Iz tega sledi, da zavrženje predloga za razglasitev ničnosti zaradi njegove nedopustnosti in zavrnitev predloga zaradi nedelovanja kot nedopustnega v skladu s točkama 35 in 43 zgoraj ne pomeni, da je treba odškodninske zahtevke, navedene v točki 44 zgoraj, zavreči kot nedopustne.

58

Očitke, ki jih je tožeča stranka navedla v okviru svojih odškodninskih zahtevkov, je treba preučiti ob upoštevanju teh ugotovitev.

59

Tožeča stranka s prvim odškodninskim zahtevkom predlaga, naj se Komisiji naloži plačilo zneska 800 EUR iz naslova odškodnine za nepremoženjsko škodo, nastalo zaradi kršitve njene pravice do dostopa do informacij.

60

Najprej, tožeča stranka Komisiji očita, da na zahtevo po informacijah z dne 1. aprila 2022 ni odgovorila v predpisanem roku in ji ni sporočila razlogov za svoje nedelovanje, s čimer je kršila člen 14(3) in (4) ter člen 17(1) in (2) Uredbe 2018/1725, kakor tudi načelo preglednosti, določeno v členu 4(1)(a) te uredbe. Poleg tega naj Komisija ne bi upoštevala člena 17(1)(c) in (2) Uredbe 2018/1725, ker naj izjava o varstvu osebnih podatkov, ki je na spletnem mestu Konference o prihodnosti Evrope, ne bi vsebovala informacij v zvezi s prenosom osebnih podatkov v tretje države in morebitnimi ustreznimi zaščitnimi ukrepi za navedeni prenos, kot naj bi se zahtevalo s členom 48 navedene uredbe. Poleg tega naj bi Komisija v elektronskem sporočilu z dne 3. decembra 2021 posredovala napačne informacije, ker je zanikala prenos osebnih podatkov tožeče stranke uporabnikom v Združenih državah.

61

Dalje, tožeča stranka trdi, da ji je krivdno nedelovanje Komisije preprečilo nadzor nad obdelavo njenih osebnih podatkov, kar pomeni nepremoženjsko škodo v smislu uvodne izjave 46 Uredbe 2018/1725. Tožeča stranka nazadnje trdi, da je ta nepremoženjska škoda, ki jo ocenjuje na 800 EUR, nastala neposredno zaradi krivdnega ravnanja Komisije.

62

Komisija te trditve izpodbija in v bistvu trdi, da v obravnavanem primeru ni izpolnjen nobeden od pogojev za nastanek nepogodbene odgovornosti.

63

V zvezi s pogojem nezakonitosti očitanega ravnanja je treba najprej preveriti, ali se je tožeča stranka sklicevala na kršitev pravnih pravil, ki posameznikom podeljujejo pravice.

64

V zvezi s tem je treba ugotoviti, da člen 17(1)(c) Uredbe 2018/1725 določa pravico posameznika, na katerega se nanašajo osebni podatki, do dostopa do informacij o uporabnikih, ki so jim bili njegovi osebni podatki razkriti, zlasti o uporabnikih v tretjih državah. S to določbo se torej konkretizira načelo, določeno v členu 4(1)(a) Uredbe 2018/1725, v skladu s katerim morajo biti vse informacije in sporočila, ki se nanašajo na obdelavo teh osebnih podatkov, lahko dostopni.

65

Poleg tega je v členu 14(3) Uredbe 2018/1725 določen enomesečni rok za upravljavca obdelave osebnih podatkov, da odgovori na zahteve po informacijah. Poleg tega člen 14(4) te uredbe upravljavcu obdelave osebnih podatkov, če se odloči, da zahtevi ne bo ugodil, nalaga enomesečni rok, da prosilca obvesti o razlogih za neukrepanje ter o možnosti vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov (ENVP) in o možnosti uveljavljanja pravnega sredstva. Te določbe so torej pravila upravnega postopka, ki prispevajo k izvajanju pravice do dostopa do informacij glede osebnih podatkov posameznika, na katerega se nanašajo osebni podatki, tako da ga konkretizirajo in prilagodijo. Poleg tega te določbe prispevajo h konkretizaciji pravice, ki jo ima vsak posameznik na podlagi člena 41 Listine, da institucije in organi Unije njegovo zadevo obravnavajo v razumnem roku.

66

Zato so določbe člena 4(1)(a), člena 14(3) in (4), v povezavi s členom 17(1)(c) Uredbe 2018/1725, pravna pravila, s katerimi se posamezniku podeljujejo pravice, v smislu sodne prakse, navedene v točki 50 zgoraj.

67

Nato je treba preučiti, ali je v obravnavanem primeru dokazana Komisijina kršitev teh določb.

68

Tožeča stranka na eni strani trdi, da je Komisija kršila člen 17(1)(c) in (2) Uredbe 2018/1725, ker naj izjava o varstvu osebnih podatkov, ki je na spletnem mestu Konference o prihodnosti Evrope, ne bi vsebovala informacij glede prenosa osebnih podatkov uporabnikom v tretjih državah, glede morebitnih ustreznih zaščitnih ukrepov v zvezi z navedenim prenosom ali glede opredelitve pogodbenikov kot uporabnikov teh podatkov.

69

Kot je navedeno v točki 64 zgoraj, člen 17(1)(c) in (2) Uredbe 2018/1725 določa, da ima posameznik, na katerega se nanašajo osebni podatki, med drugim pravico pridobiti informacije o uporabnikih v tretjih državah, ki so jim bili osebni podatki razkriti, in o ustreznih zaščitnih ukrepih v zvezi s prenosom podatkov tem uporabnikom.

70

Iz tega sledi, da te določbe vzpostavljajo pravico zadevne osebe do dostopa do nekaterih informacij, vendar ne določajo, da morajo biti navedene informacije obvezno navedene v danem dokumentu ali celo v izjavi o varstvu osebnih podatkov, kakršna je ta na spletnem mestu Konference o prihodnosti Evrope. Drugače povedano, iz teh določb ni razvidno, da je treba zadevne informacije z navedeno izjavo razkriti. Vendar tožeča stranka, tako kot vsak posameznik, na katerega se nanašajo osebni podatki, ohrani pravico do pridobitve takih informacij, če uresniči svojo pravico do dostopa do informacij, določeno v členu 17(1)(c) in (2) Uredbe 2018/1725, pri čemer to vprašanje presega obseg nezakonitosti, ki jo tožeča stranka Komisiji očita in ki je omejena na vsebino izjave o varstvu osebnih podatkov (glej točko 68 zgoraj).

71

Vsekakor je v obravnavanem primeru iz besedila navedene izjave o varstvu osebnih podatkov, ki je priložena tožbi, razvidno, da vsebuje informacije o uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo posredovani osebni podatki. Tako je med drugim v točki 7 navedene izjave navedeno, da je dostop do podatkov „dopuščen pooblaščenemu osebju [Komisije] in njenim pogodbenikom, odgovornim za izvedbo zadevnega postopka obdelave, v skladu z načelom ‚potrebe po seznanitvi‘“. Poleg tega trditev tožeče stranke, da navedena izjava ne vsebuje informacij o prenosu osebnih podatkov uporabnikom v tretjih državah, temelji na predpostavki, da obisk spletnega mesta Konference o prihodnosti Evrope vključuje prenos osebnih podatkov uporabnikov v tretjo državo. Vendar ta odškodninski zahtevek temelji na kršitvi pravice do dostopa do informacij, ne pa na kršitvi določb o prenosu osebnih podatkov v tretje države, ki je poleg tega podlaga za drugi odškodninski zahtevek.

72

Zato v obravnavani zadevi ni dokazano, da je Komisija kršila člen 17(1)(c) in (2) Uredbe 2018/1725, kar zadeva izjavo o varstvu osebnih podatkov, ki je na spletnem mestu Konference o prihodnosti Evrope.

73

Na drugi strani, tožeča stranka Komisiji očita, da na zahtevo po informacijah z dne 1. aprila 2022 ni odgovorila v predpisanem roku in ji ni sporočila razlogov za njeno nedelovanje, s čimer je kršila člen 14(3) in (4) ter člen 17(1) in (2) Uredbe 2018/1725, kot tudi načelo preglednosti. Poleg tega naj bi ji Komisija v elektronskem sporočilu z dne 3. decembra 2021 posredovala napačne informacije.

74

Najprej je treba ugotoviti, da tožeča stranka v podporo kršitvi načela preglednosti ni navedla nobenega konkretnega argumenta. Ta argument torej ni neodvisen od očitka, ki se nanaša na nespoštovanje roka za odgovor na zahtevo po informacijah in na obveznost sporočitve razlogov za prekoračitev tega roka.

75

Poleg tega trditve tožeče stranke, ki se nanašajo na kršitev člena 17(1) in (2) Uredbe 2018/1725, in na to, da naj bi ji Komisija v elektronskem sporočilu z dne 3. decembra 2021 posredovala napačne informacije, temeljijo na predpostavki, da obisk spletnega mesta Konference o prihodnosti Evrope vključuje prenos osebnih podatkov uporabnikov v tretjo državo. Vendar, kot je navedeno v točki 71 zgoraj, ta odškodninski zahtevek temelji na kršitvi pravice do dostopa do informacij, ne pa na kršitvi določb o prenosu osebnih podatkov v tretje države, ki je podlaga za drugi odškodninski zahtevek.

76

Zato v obravnavani zadevi ni dokazano, da je Komisija kršila člen 17(1) in (2) Uredbe 2018/1725.

77

V zvezi z očitkom tožeče stranke, ki se nanaša na kršitev člena 14(3) in (4) Uredbe 2018/1725, je iz spisa razvidno, da je Komisija na zahtevo po informacijah z dne 9. novembra 2021 odgovorila v roku enega meseca, ki je določen v členu 14(3) Uredbe 2018/1725 (glej točki 5 in 7 zgoraj). V zvezi z zahtevo po informacijah z dne 1. aprila 2022 je Komisija tožečo stranko z elektronskim sporočilom z dne 30. junija 2022 obvestila o tem, da je zahteva po informacijah z dne 1. aprila 2022 skoraj enaka zahtevi po informacijah z dne 9. novembra 2021, in da je nanjo z elektronskim sporočilom z dne 3. decembra 2021 že odgovorila (glej točko 11 zgoraj).

78

Iz tega sledi, da Komisija v zvezi z zahtevo po informacijah z dne 1. aprila 2022 ni spoštovala enomesečnega roka, določenega v členu 14(4) Uredbe 2018/1725 (glej točko 65 zgoraj).

79

Iz točk od 68 do 78 zgoraj izhaja, da je edina nezakonitost, ki se očita Komisiji in ki je dokazana v obravnavani zadevi, nezakonitost glede neupoštevanja roka, določenega v členu 14(4) Uredbe 2018/1725.

80

V teh okoliščinah, in neodvisno od vprašanja, ali to, da Komisija ni spoštovala navedenega roka, pomeni dovolj resno kršitev pravnega pravila, je treba najprej preučiti, ali je neupoštevanje tega roka tožeči stranki povzročilo dejansko in gotovo nepremoženjsko škodo v smislu sodne prakse, navedene v točki 54 zgoraj.

81

Glede resničnosti domnevno nastale nepremoženjske škode je treba opozoriti, da čeprav predložitev dokaznega predloga ni nujno pogoj za priznanje takšne škode, mora tožeča stranka dokazati vsaj to, da bi ji ravnanje, ki se očita zadevni instituciji, tako škodo lahko povzročilo (sodba z dne 16. julija 2009, SELEX Sistemi Integrati/Komisija, C‑481/07 P, neobjavljena, EU:C:2009:461, točka 38; glej tudi sodbo z dne 2. julija 2019, Fulmen/Svet, T‑405/15, EU:T:2019:469, točka 188 in navedena sodna praksa).

82

V obravnavani zadevi tožeča stranka zahteva odškodnino za nepremoženjsko škodo v znesku 800 EUR, pri čemer trdi, da ji je ravnanje, ki se očita Komisiji, preprečilo nadzor nad obdelavo njenih osebnih podatkov.

83

Vendar je treba ugotoviti, da takšna nepremoženjska škoda v obravnavanem primeru ni dokazana. Edina nezakonitost, ugotovljena v obravnavani zadevi, je namreč ta, da Komisija ni spoštovala enomesečnega roka iz člena 14(4) Uredbe 2018/1725 (glej točko 79 zgoraj). Ta rok pa ni bil prekoračen za več kot dva meseca (glej točko 77 zgoraj). Poleg tega sta bili zahtevi po informacijah z dne 9. novembra 2021 in 1. aprila 2022 v bistvu enaki (glej točki 5 in 8 zgoraj), tako da je tožeča stranka odgovor – vsaj na del svoje zahteve po informacijah – prejela že 3. decembra 2021, ko je Komisija odgovorila na zahtevo po informacijah z dne 9. novembra 2021 (glej točko 7 zgoraj).

84

Poleg tega se trditev tožeče stranke v zvezi s posredovanjem napačnih informacij (glej točko 75 zgoraj) nanaša na utemeljenost informacij, ne pa na spoštovanje postopkovnega pravila, katerega kršitev je bila ugotovljena v točki 78 zgoraj, in torej ni upoštevna za dokazovanje zatrjevane nepremoženjske škode.

85

Iz tega sledi, da ni dokazano, da bi lahko to, da Komisija ni spoštovala roka, določenega v členu 14(4) Uredbe 2018/1725, tožeči stranki povzročilo zatrjevano nepremoženjsko škodo.

86

Ker eden od kumulativnih pogojev za nastanek nepogodbene odgovornosti Unije, ki so določeni v členu 340, drugi odstavek, PDEU, ni izpolnjen, je treba prvi odškodninski zahtevek tožeče stranke zavrniti.

87

Tožeča stranka z drugim odškodninskim zahtevkom predlaga plačilo 400 EUR kot odškodnino za nepremoženjsko škodo, ki naj bi ji nastala zaradi spornih prenosov, navedenih v točkah od 26 do 28 zgoraj, in sicer spornega prenosa ob obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022, spornega prenosa ob vzpostavitvi povezave s portalom EU Login 30. marca 2022 in spornega prenosa ob obisku spletnega mesta Konference o prihodnosti Evrope dne 8. junija 2022.

88

Tožeča stranka v bistvu trdi, da so bili sporni prenosi opravljeni uporabnikom v Združenih državah, ki je država brez ustrezne ravni varstva. Komisija naj ne bi navedla nobenega od ustreznih zaščitnih ukrepov, ki bi lahko upravičili te prenose in ki so določeni v poglavju V Uredbe 2018/1725, ter naj bi torej kršila člen 46 in člen 48(1) in (2)(b) te uredbe, ter člene 7, 8 in 47 Listine. Sporni prenosi naj bi povzročili tveganje, da bi varnostne in obveščevalne službe te države dostopale do podatkov tožeče stranke, in naj bi zaradi njih utrpela nepremoženjsko škodo v smislu uvodne izjave 46 Uredbe 2018/1725, ker so ji bile odvzete pravice in svoboščine ter onemogočen nadzor nad njenimi podatki.

89

Komisija te trditve izpodbija, pri čemer v bistvu trdi, da v obravnavanem primeru ni izpolnjen nobeden od pogojev za nastanek nepogodbene odgovornosti.

90

Prvič, navesti je treba, da člen 2(5) Uredbe 2018/1725 določa, da se ta uredba uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi.

91

Drugič, pojem „osebni podatki“ je treba razlagati tako, da se nanaša na katero koli informacijo v zvezi z določenim ali določljivim posameznikom v skladu s členom 3, točka 1, Uredbe 2018/1725.

92

Tretjič, ugotoviti je treba, da prenos podatkov pomeni „obdelavo“ podatkov v smislu člena 3, točka 3, Uredbe 2018/1725.

93

Četrtič, ugotoviti je treba, da so „prenosi osebnih podatkov v tretje države ali mednarodne organizacije“ urejeni v poglavju V Uredbe 2018/1725, ki pa jih ne opredeljuje.

94

Vendar je iz uvodne izjave 63 Uredbe 2018/1725 razvidno, da se prenosi, ki jih urejajo določbe poglavja V te uredbe, nanašajo na osebne podatke, ki se iz institucij in organov Unije prenesejo upravljavcem, obdelovalcem ali drugim uporabnikom v tretjih državah ali mednarodnim organizacijam.

95

Poleg tega iz sistematične razlage Uredbe 2018/1725 izhaja, da se za prenos osebnih podatkov v tretje države, v smislu njenega člena 46, na prvem mestu zahteva, da je zadevni upravljavec podatkov del institucije ali organa Unije in se torej zanj uporablja navedena uredba (člen 1 Uredbe 2018/1725); drugič, da upravljavec s prenosom ali kako drugače da osebne podatke na voljo uporabniku, zlasti drugi fizični ali pravni osebi (člen 3, točki 3 in 13, Uredbe 2018/1725), in tretjič, da je ta uporabnik v tretji državi (člen 46 Uredbe 2018/1725), torej državi, ki ni članica niti Unije niti Evropskega gospodarskega prostora (EGP).

96

Petič, ugotoviti je treba, da je namen določb poglavja V Uredbe 2018/1725 pri prenosu osebnih podatkov v tretje države ali mednarodne organizacije ohraniti raven varstva posameznikov, ki je zagotovljena v Uniji, v skladu s ciljem, navedenim v njeni uvodni izjavi 63.

97

Šestič, člen 46 Uredbe 2018/1725 določa splošno načelo, v skladu s katerim se lahko osebni podatki prenesejo v tretjo državo ali mednarodno organizacijo le, če upravljavec in obdelovalec, ob upoštevanju drugih določb te uredbe, izpolnjujeta pogoje iz poglavja V te uredbe.

98

Sedmič, v zvezi s pogoji, opredeljenimi v poglavju V Uredbe 2018/1725, je treba ugotoviti, da člen 47(1) te uredbe določa, da se prenos osebnih podatkov v tretjo državo ali mednarodno organizacijo lahko izvede, če je Komisija s sklepom o ustreznosti, sprejetim v skladu s členom 45(3) Uredbe 2016/679, odločila, da zadevna država ali mednarodna organizacija zagotavlja ustrezno raven varstva podatkov in da se osebni podatki prenesejo izključno zato, da se lahko izvedejo naloge v pristojnosti upravljavca.

99

V zvezi s tem je treba opozoriti, da sta bila odločba in sklep Komisije o ustreznosti, ki se nanašata na Združene države, razglašena za neveljavna. Sodišče je na eni strani s sodbo z dne 6. oktobra 2015, Schrems (C‑362/14, EU:C:2015:650), razglasilo za neveljavno Odločbo Komisije 2000/520/ES z dne 26. julija 2000 po Direktivi 95/46 o primernosti zaščite, ki jo zagotavljajo načela zasebnosti varnega pristana in s tem povezana najpogosteje zastavljena vprašanja, ki jih je izdalo Ministrstvo za trgovino ZDA (UL, posebna izdaja v slovenščini, poglavje 16, zvezek 1, str. 119). Sodišče je na drugi strani s sodbo Schrems II ugotovilo neveljavnost Izvedbenega sklepa Komisije (EU) 2016/1250 z dne 12. julija 2016 na podlagi Direktive Evropskega parlamenta in Sveta 95/46/ES o ustreznosti varstva, ki ga zagotavlja zasebnostni ščit EU‑ZDA (UL 2016, L 207, str. 1).

100

Iz tega sledi, da na dan spornih prenosov v zvezi z Združenimi državami ni obstajal noben sklep o ustreznosti v smislu člena 47 Uredbe 2018/1725.

101

Kadar Komisija v zvezi z ZDA ne sprejme sklepa o ustreznosti, se uporablja člen 48(1) Uredbe 2018/1725, v skladu s katerim se lahko osebni podatki prenesejo v tretjo državo ali mednarodno organizacijo le, če je upravljavec ali obdelovalec predvidel ustrezne zaščitne ukrepe, in le če imajo posamezniki, na katere se nanašajo osebni podatki, na voljo izvršljive pravice in učinkovita pravna sredstva.

102

Ustrezni zaščitni ukrepi iz člena 48(1) Uredbe 2018/1725, našteti v členu 48(2) in (3) te uredbe, se lahko zagotovijo zlasti s standardnimi določili o varstvu podatkov, ki jih sprejme Komisija v skladu s členom 48(2)(b) te uredbe.

103

Vendar so za standardna določila o varstvu podatkov iz člena 48(2)(b) Uredbe 2018/1725 lahko potrebni dodatni ukrepi, da se zagotovi spoštovanje ustrezne ravni varstva glede na pravo Unije (glej po analogiji sodbo Schrems II, točki 133 in 134).

104

Poleg tega se lahko ustrezni zaščitni ukrepi iz člena 48(1) Uredbe 2018/1725 zagotovijo zlasti s pogodbenimi določili, določenimi v členu 48(3)(a) navedene uredbe, med upravljavcem ali obdelovalcem na eni strani, in upravljavcem, obdelovalcem ali uporabnikom osebnih podatkov v tretji državi, na drugi strani, če to odobri ENVP.

105

Poleg tega je treba opozoriti, da členi 7, 8 in 47 Listine določajo pravico do spoštovanja zasebnega življenja, pravico do varstva osebnih podatkov ter pravico do učinkovitega pravnega sredstva in nepristranskega sodišča.

106

V obravnavani zadevi je treba najprej ugotoviti, da drugi odškodninski zahtevek tožeče stranke temelji na tem, da je Komisija kršila določbe člena 46 ter člena 48(1) in (2)(b) Uredbe 2018/1725, in členov 7, 8 in 47 Listine. Iz točk od 91 do 105 zgoraj pa izhaja, da navedene določbe Uredbe 2018/1725 konkretizirajo temeljne pravice, kot so določene v členih 7 in 8 Listine, ter da je njihov namen kot celota zagotoviti kontinuiteto visoke ravni varstva osebnih podatkov v primeru prenosa teh podatkov v tretje države ali mednarodne organizacije.

107

Iz tega sledi, da je namen določb – katerih kršitev očita tožeča stranka v utemeljitev svojega drugega odškodninskega zahtevka – varstvo posamičnega interesa zadevnih oseb, in gre tako za pravna pravila, katerih namen je podeliti pravice posameznikom, v smislu sodne prakse, navedene v točki 50 zgoraj.

108

Zato je treba preveriti, ali so pogoji za nastanek nepogodbene odgovornosti Komisije izpolnjeni za vsakega od treh spornih prenosov, navedenih v točki 87 zgoraj.

109

Ker naj bi bili sporni prenosi, navedeni v točkah 26 in 28 zgoraj, izvedeni, ker je spletno mesto Konference o prihodnosti Evrope uporabljalo omrežje za razširjanje vsebin (v angleščini „content delivery network“ ali „CDN“), imenovano Amazon CloudFront (v nadaljevanju: storitev Amazon CloudFront), je treba najprej preučiti pogoje delovanja te storitve v okviru te spletne strani.

110

V obravnavani zadevi ni sporno, da spletno mesto Konference o prihodnosti Evrope uporablja omrežje za razširjanje vsebin Amazon CloudFront in da se to omrežje aktivira, ko uporabnik obišče navedeno spletno mesto.

111

Iz spisa, zlasti iz odgovorov strank na ukrep procesnega vodstva z dne 21. julija 2023 ter njihovih ustnih navedb in odgovorov na obravnavi 17. oktobra 2023, je razvidno, prvič, da je storitev Amazon CloudFront spletna storitev, ki pospešuje distribucijo spletnih vsebin, v obravnavanem primeru vsebine spletnega mesta Konference o prihodnosti Evrope, uporabnikom. Storitev Amazon CloudFront razširja vsebino prek svetovnega omrežja strežnikov ali podatkovnih centrov, imenovanih „periferna mesta“ ali „periferni strežniki“.

112

Drugič, storitev Amazon CloudFront temelji na mehanizmu usmerjanja, ki povpraševanje uporabnika spletnega mesta Konference o prihodnosti Evrope usmerja na periferni strežnik, ki v skladu z načelom bližine uporabnikovega terminala zagotavlja najnižjo zakasnitev, da se vsebina uporabniku posreduje v najboljših možnih pogojih. Če periferni strežnik z najnižjo zakasnitvijo – na primer zaradi tehničnih težav – ni na voljo, se vzpostavi povezava s strežnikom, ki ima drugo najnižjo zakasnitev in tako naprej.

113

Tretjič, spletno mesto Konference o prihodnosti Evrope uporablja storitev Amazon CloudFront na podlagi pogodbe št. 2020‑142, ki sta jo sklenili Komisija in družba AWS EMEA, ki je hčerinska družba v lasti družbe ameriškega prava Amazon.com, in ima sedež v Luksemburgu (glej točko 12 zgoraj).

114

Četrtič, Komisija se je v okviru te pogodbe glede spletnega mesta Konference o prihodnosti Evrope odločila za geografsko območje, imenovano „Severna Amerika (Združene države, Mehika, Kanada), Evropa in Izrael“. To pomeni, da se razširjanje vsebine tega spletnega mesta ne izvaja prek svetovne mreže perifernih mest Amazon CloudFront, temveč le prek perifernih mest na zgoraj navedenih geografskih območjih, in sicer v Združenih državah, Mehiki, Kanadi, Evropi in Izraelu.

115

Petič, zaradi načela bližine, navedenega v točki 112 zgoraj, so zahteve uporabnikov iz Unije za obisk spletnega mesta Konference o prihodnosti Evrope običajno usmerjene na periferne strežnike omrežja Amazon CloudFront na tem ozemlju, medtem ko so primeri, v katerih so te zahteve usmerjene na strežnike zunaj Unije, redki.

116

Šestič, kar zadeva infrastrukturo omrežja perifernih mest Amazon CloudFront, je iz spisa razvidno, da jo zagotavlja skupina podjetij, med katerimi nekatera pripadajo skupini Amazon, ostala pa so tretja podjetja, navedena na seznamu, ki je glede na zadevno geografsko območje dostopen na spletnem mestu Amazon Web Services. Na geografskem območju „Severna Amerika (Združene države Amerike, Mehika, Kanada), Evropa in Izrael“ imajo zadevna podjetja sedež tako v državah članicah Unije kot tudi zunaj Unije, zlasti v Združenih državah, Izraelu, Mehiki, Švici ali Združenem kraljestvu. Vsako podjetje uporablja strežnike v državi, v kateri ima sedež, in posledično je geografska lokacija strežnikov, ki so vključeni v zagotavljanje storitve Amazon CloudFront, odvisna tudi od lokacije zadevnih podjetij.

117

Sedmič, pogodba, sklenjena med Komisijo in družbo AWS EMEA, vsebuje med drugim naslednja določila:

118

Osmič, Komisija se je glede zgoraj navedenih pogodbenih določilih posvetovala z ENVP, vendar jih slednji na podlagi člena 48(3)(a) Uredbe 2018/1725 ni formalno odobril.

119

(kot je bilo popravljeno s sklepom z dne 3. junija 2025) Tožeča stranka v bistvu trdi, da je ob obisku spletnega mesta Konference o prihodnosti Evrope 30. marca 2022 ugotovila, da so bili nekateri njeni osebni podatki, zlasti njen IP‑naslov ter informacije o njenem brskalniku in terminalu, posredovani v Združene države. Prvič, navedeno spletno mesto naj bi namreč uporabljalo omrežje za razširjanje vsebin, „Amazon CloudFront“, katerega operater naj bi bila družba Amazon Web Services, ameriško hčerinsko podjetje ameriškega podjetja Amazon.com. Drugič, med tem obiskom naj bi bili osebni podatki tožeče stranke poslani storitvi Amazon CloudFront, in sicer na strežnik družbe Amazon.com, s sedežem v Seattlu (Washington, Združene države), z IP‑naslovom 18.66.192.74. Tretjič, varnostni ključ, uporabljen na spletnem mestu Konference o prihodnosti Evrope (tako imenovano „potrdilo SSL“), naj bi predložila družba Amazon, zaradi česar naj bi bilo treba domnevati, da je slednja imela možnost dekodirati vse osebne podatke tožeče stranke, ki so bili preneseni na njene strežnike, vključno z njenimi mnenji glede prihodnosti Evrope. Četrtič, za podjetje, ki zagotavlja storitev Amazon CloudFront, naj bi veljala ameriška zakonodaja in naj bi bilo torej zavezano posredovati informacije varnostnim in obveščevalnim službam Združenih držav, tudi če so strežniki zunaj te države. Poleg tega naj Komisija ne bi sprejela „dodatnih ukrepov“ v smislu sodbe Schrems II, da bi zagotovila ustrezno raven varstva podatkov, prenesenih v Združene države.

120

Komisija te trditve prereka.

121

V zvezi z obiskom spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022 je iz spisa razvidno, da je tožeča stranka na ta datum obiskala to spletno mesto (glej točko 3 zgoraj) in da je pri tem prišlo do posredovanja njenega IP‑naslova ter podatkov o njenem brskalniku in terminalu.

122

V zvezi s tem je treba ugotoviti, da je treba IP‑naslov opredeliti kot osebni podatek v smislu člena 3, točka 1, Uredbe 2018/1725, ker izpolnjuje oba pogoja, ki sta v njem določena. Po eni strani se ta informacija nanaša na fizično osebo, po drugi strani pa se nanaša na določeno ali določljivo osebo, v obravnavanem primeru na tožečo stranko (sodba z dne 26. aprila 2023, EOR/ENVP, T‑557/20, v pritožbenem postopku, EU:T:2023:219, točka 59; glej v tem smislu in po analogiji tudi sodbi z dne 24. novembra 2011, Scarlet Extended, C‑70/10, EU:C:2011:771, točka 51, in z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 49). Namreč tudi tako imenovani „dinamični“ IP‑naslovi, ki se že po naravi spreminjajo, ustrezajo natančni identiteti v danem trenutku, ki v obravnavani zadevi sovpada s trenutkom, ko je prišlo do obiska spletnega mesta Konference o prihodnosti Evrope.

123

Dokazano je tudi, da je bil prenos podatkov, naveden v točki 121 zgoraj, izveden s spletnega mesta Konference o prihodnosti Evrope na strežnik z IP‑naslovom 18.66.192.74, prek storitve Amazon CloudFront.

124

Dokazano je tudi, da je bil v času dejanskega stanja IP‑naslov 18.66.192.74 dodeljen strežniku v Münchnu (Nemčija) in da je ta strežnik pripadal podjetju A 100 ROW GmbH, ki je imelo sedež v Nemčiji, in je bilo na seznamu podjetij, navedenem v točki 116 zgoraj.

125

Iz tega sledi, da je pri obisku spletnega mesta Konference o prihodnosti Evrope 30. marca 2022 res prišlo do prenosa osebnih podatkov tožeče stranke v smislu člena 3, točka 1, Uredbe 2018/1725, zlasti njenega IP‑naslova.

126

Vendar v obravnavani zadevi ni dokazano, da so bili pri obisku spletnega mesta Konference o prihodnosti Evrope 30. marca 2022 osebni podatki tožeče stranke preneseni v tretjo državo in zlasti v Združene države.

127

Nasprotno pa iz točk od 121 do 124 zgoraj izhaja, da je bil prenos osebnih podatkov tožeče stranke – pri obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022 – izveden iz spletnega mesta Konference o prihodnosti Evrope, prek storitve Amazon CloudFront, na strežnik v Münchnu. Navedeni strežnik je bil v lasti podjetja s sedežem v Nemčiji, ki je bilo del omrežja ponudnikov infrastrukture storitve Amazon CloudFront, ki se Komisiji zagotavlja na podlagi pogodbe z družbo AWS EMEA s sedežem v Luksemburgu.

128

Iz tega sledi, da so bili pri obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022 osebni podatki tožeče stranke posredovani uporabniku v Uniji.

129

Poleg tega so bili osebni podatki tožeče stranke, tudi če se izhaja iz tega, da niso zapustili ozemlja Unije, kljub temu preneseni na strežnik, ki spada v omrežje perifernih mest storitve Amazon CloudFront, ki pri razširjanju vsebine spletnega mesta Konference o prihodnosti Evrope zajema omrežje perifernih mest, ki ni omejeno na ozemlje EGP, temveč to ozemlje presega (glej točko 116 zgoraj).

130

Vendar konkretne okoliščine, opisane v točki 127 zgoraj, ne dokazujejo, da je prišlo do prenosa osebnih podatkov uporabnikom zunaj ozemlja EGP, zlasti v Združenih državah.

131

Sporni prenos ob obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022 torej ne ustreza prenosu osebnih podatkov v tretjo državo v smislu člena 46 Uredbe 2018/1725, saj pojem prenosa v tretjo državo zahteva, da se osebni podatki dajo na voljo prejemniku s sedežem zunaj EGP (glej točko 93 zgoraj).

132

Trditev tožeče stranke, da bi morala družba AWS EMEA kot hčerinska družba ameriškega podjetja osebne podatke posredovati ameriškim organom, tudi če so ti podatki shranjeni na ozemlju Unije, te ugotovitve ne omaja.

133

Čeprav je sicer res, da dostop do osebnih podatkov, ki jih v EGP obdelujejo organi tretje države na podlagi zakonodaje te države, pomeni prenos osebnih podatkov v tretjo državo v smislu člena 46 Uredbe 2018/1725, pa v obravnavani zadevi ni dokazano, da je do takšnega dostopa prišlo. Tožeča stranka namreč ni niti dokazala niti zatrjevala, da je bil ameriškim organom posredovan kakršen koli osebni podatek, niti ni dokazala oziroma zatrjevala obstoja zahteve teh organov v zvezi s podatki, ki so bili preneseni na navedeni strežnik Amazon CloudFront, ki je v Münchnu.

134

Zato se trditev tožeče stranke ne nanaša na neposredno kršitev določb poglavja V Uredbe 2018/1725, ampak le na tveganje takšne kršitve, če družba AWS EMEA – ker je hčerinska družba ameriškega podjetja – ne bi mogla nasprotovati zahtevi ameriških organov v zvezi z dostopom do podatkov, shranjenih na strežnikih, ki so na ozemlju EGP.

135

Zgolj tveganje, da bi tretja država imela dostop do osebnih podatkov, pa ne pomeni, da gre za prenos podatkov v smislu člena 46 Uredbe 2018/1725, kot je razložen zgoraj v točki 93, saj ni dokazano, da so bili osebni podatki tožeče stranke posredovani ali dani na voljo prejemniku s sedežem v tretji državi na kakršen koli drug način. Drugače povedano, tveganja kršitve navedenega člena 46 ni mogoče enačiti z neposredno kršitvijo te določbe.

136

Poleg tega je treba spomniti, da se v okviru tega odškodninskega zahtevka preučitev Splošnega sodišča nanaša na preverjanje pogojev za nastanek nepogodbene odgovornosti Komisije, zlasti pa na pogoj v zvezi z nezakonitostjo ravnanja Komisije, ki zahteva, da se dokaže dovolj resna kršitev določb Uredbe 2018/1725 in Listine, na katere se sklicuje tožeča stranka.

137

V zvezi s tem je treba ugotoviti, da zgolj tveganje kršitve določb poglavja V Uredbe 2018/1725 nikakor ne more zadostovati za dokaz krivdnega ravnanja Komisije, ki bi ustrezal dovolj resni kršitvi teh določb.

138

Te ugotovitve ne omaja niti trditev tožeče stranke, ki se nanaša na sodbo Schrems II. Ugotoviti je namreč treba, da se je Sodišče v tej sodbi izreklo o nekaterih pogojih, pod katerimi lahko pride do prenosa osebnih podatkov v Združene države, ne pa o tem, pod katerimi pogoji lahko take podatke na ozemlju EGP obdelujejo hčerinske družbe družb ameriškega prava, kot je družba AWS EMEA.

139

Iz vsega navedenega izhaja, da tožeča stranka v zvezi s spornim prenosom pri obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022 ni dokazala, da je Komisija storila dovolj resno kršitev določb člena 46 ter člena 48(1) in (2)(b) Uredbe 2018/1725 ter členov 7, 8 in 47 Listine, v smislu sodne prakse, navedene v točki 50 zgoraj.

140

Ker eden od kumulativnih pogojev za nastanek nepogodbene odgovornosti Unije, ki so določeni v členu 340, drugi odstavek, PDEU, ni izpolnjen, je treba drugi odškodninski zahtevek v delu, v katerem se nanaša na sporni prenos pri obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022, zavrniti, ne da bi bilo treba preučiti druge trditve tožeče stranke.

141

Tožeča stranka trdi, da so bili njeni osebni podatki, zlasti IP‑naslov, ko je obiskala spletno mesto Konference o prihodnosti Evrope dne 8. junija 2022, poslani na strežnike Amazon CloudFront v Združenih državah. Po mnenju tožeče stranke ti prenosi niso posledica njene dejavnosti, kot uporabnika spletnega mesta, temveč so posledica delovanja storitve Amazon CloudFront, v okviru katere je tveganje prenosa podatkov v Združene države neločljivo povezano s svetovno infrastrukturo, na kateri temelji ta storitev. Položaj tožeče stranke naj ne bi bil drugačen od položaja državljana Unije, ki obišče spletno mesto Konference o prihodnosti Evrope, na primer na službenem potovanju v Združenih državah. Komisija naj ne bi izkazala potrebne skrbnosti, da bi preprečila prenos podatkov v Združene države, ker naj bi se odločila za omrežje za razširjanje vsebin, ki temelji na globalni strukturi, namesto za povsem evropsko rešitev gostovanja.

142

Po mnenju tožeče stranke ji je zaradi navedenega prenosa osebnih podatkov nastala nepremoženjska škoda v smislu uvodne izjave 46 Uredbe 2018/1725, ker je izgubila nadzor nad svojimi podatki, ki so bili preneseni v Združene države, ameriški organi pa so jih nezakonito nadzorovali, in ker so ji bile odvzete njene pravice in svoboščine.

143

Komisija te trditve prereka.

144

Najprej, in ob upoštevanju trditev tožeče stranke, je treba opozoriti, da se v okviru tega odškodninskega zahtevka preučitev Splošnega sodišča ne nanaša neposredno na zakonitost odločitve Komisije glede uporabe storitve Amazon CloudFront za razširjanje vsebine spletnega mesta Konference o prihodnosti Evrope, temveč na preverjanje pogojev za nastanek nepogodbene odgovornosti Komisije v zvezi s spornim prenosom pri obiskih spletnega mesta Konference o prihodnosti Evrope dne 8. junija 2022.

145

V obravnavani zadevi Splošno sodišče meni, da je primerno najprej obravnavati pogoj v zvezi z obstojem vzročne zveze med domnevnim krivdnim ravnanjem Komisije in zatrjevano nepremoženjsko škodo.

146

Iz sodne prakse, navedene v točki 55 zgoraj, je razvidno, da se pogoj glede vzročne zveze nanaša na obstoj dovolj neposredne vzročne zveze med ravnanjem, ki se očita instituciji in škodo, pri čemer mora to zvezo dokazati tožeča stranka, očitano ravnanje pa mora biti odločilni razlog za nastanek škode.

147

Poleg tega iz sodne prakse izhaja, da je vzročna zveza, ki se zahteva za uveljavljanje nepogodbene odgovornosti Unije v smislu člena 340, drugi odstavek, PDEU, podana, če je škoda neposredna posledica zadevnega krivdnega ravnanja (sodba z dne 28. junija 2007, Internationaler Hilfsfonds/Komisija, C‑331/05 P, EU:C:2007:390, točka 23).

148

Kar zadeva neposredno vzročno zvezo, je Splošno sodišče že presodilo, da mora škoda izhajati neposredno iz zatrjevane nezakonitosti, ne pa biti odvisna od izbire tožeče stranke glede načina ukrepanja zoper domnevno nezakoniti akt. Tako je bilo ugotovljeno, da zgolj dejstvo, da je nezakonito ravnanje nujen pogoj (conditio sine qua non) za nastanek škode v smislu, da ta ne bi nastala, če takega ravnanja ne bi bilo, ne zadošča za ugotovitev dovolj neposredne vzročne zveze v smislu sodne prakse Unije (glej v tem smislu in po analogiji sodbi z dne 30. novembra 2011, Transnational Company Kazchrome in ENRC Marketing/Svet in Komisija, T‑107/08, EU:T:2011:704, točka 80 in navedena sodna praksa, in z dne 23. maja 2019, Remag Metallhandel in Jaschinsky/Komisija, T‑631/16, neobjavljena, EU:T:2019:352, točka 52 in navedena sodna praksa).

149

Iz sodne prakse tako izhaja, da takšna vzročna zveza ni dokazana, kadar je zatrjevana škoda neposredna posledica lastne odločitve ali proste izbire tožeče stranke, in je zato ni mogoče pripisati zadevni instituciji ali organu (glej v tem smislu in po analogiji sodbe z dne 28. junija 2007, Internationaler Hilfsfonds/Komisija, C‑331/05 P, EU:C:2007:390, točke od 22 do 29; z dne 17. februarja 2017, Novar/EUIPO, T‑726/14, EU:T:2017:99, točki 31 in 32, in z dne 28. februarja 2018, Vakakis kai Synergates/Komisija, T‑292/15, EU:T:2018:103, točka 173 in navedena sodna praksa).

150

V obravnavani zadevi je torej treba preučiti, ali je ravnanje, ki je očitano Komisiji, in sicer uporaba storitve Amazon CloudFront kot omrežja za razširjanje vsebin spletnega mesta Konference o prihodnosti Evrope, neposredni vzrok za zatrjevano nepremoženjsko škodo, ki zajema izgubo nadzora nad osebnimi podatki tožeče stranke, ki naj bi bili preneseni v Združene države med njenim obiskom navedenega spletnega mesta 8. junija 2022.

151

V zvezi s tem, prvič, iz spisa in odgovorov strank na vprašanja, ki so bila postavljena na obravnavi, izhaja, da je bila tožeča stranka 8. junija 2022 v Münchnu in da je večkrat obiskala spletno mesto Konference o prihodnosti Evrope. Pri teh obiskih so bile z IP‑naslovom tožeče stranke ustvarjene zaporedne povezave z različnimi strežniki storitve Amazon CloudFront, ki so eden od drugega geografsko zelo oddaljeni. Tako je bila ob 7.13 ustvarjena povezava s strežnikom v Münchnu, ob 11.13 s strežnikom v Londonu (Združeno kraljestvo), ob 12.56 s strežnikom v Hillsboru (Oregon, Združene države), ob 13.05 s strežnikom v Newarku in ob 19.12 s strežnikom v Frankfurtu na Majni (Nemčija).

152

Drugič, iz spisa izhaja, da je bil IP‑naslov tožeče stranke posredovan različnim strežnikom storitve Amazon CloudFront, navedenih v točki 151 zgoraj, vključno s tistimi v Združenih državah.

153

Tretjič, spomniti je treba, da je IP‑naslov tožeče stranke osebni podatek.

154

Četrtič, ugotoviti je treba, da je bilo 8. junija 2022 na spletnem mestu Konference o prihodnosti Evrope zabeleženih 4548 dostopov in 18 različnih IP‑naslovov. Med njimi se je en sam IP‑naslov, in sicer naslov tožeče stranke, povezal s strežniki zunaj Unije, in sicer v Združenih državah in v Združenem kraljestvu. V zvezi s tem je treba ugotoviti, da tožeča stranka ni dokazala niti ni zatrjevala, da je imela storitev Amazon CloudFront v zvezi s spletnim mestom Konference o prihodnosti Evrope 8. junija 2022 tehnične ali drugačne težave, ki bi preprečile normalno delovanje njenega mehanizma usmerjanja v skladu z načelom bližine, ki zahteve uporabnikov spletnega mesta Konference o prihodnosti Evrope usmerja na periferni strežnik, ki glede na geografsko lokacijo uporabnika zagotavlja najnižjo zakasnitev (glej točko 112 zgoraj).

155

Petič, kar zadeva okoliščine povezav, vzpostavljenih z IP‑naslova tožeče stranke s strežniki v Združenih državah, je na eni strani iz spisa in odgovorov strank na obravnavi razvidno, da tožeča stranka trdi, da so bile te povezave posledica delovanja Amazon CloudFront in ne kakršne koli manipulacije, ki naj bi jo izvedla. Po drugi strani Komisija ugotavlja, da so bile te povezave netipične in da jih je mogoče pojasniti le s tehnično manipulacijo tožeče stranke.

156

V zvezi s tem je treba ugotoviti, da okoliščine, opisane v točki 151 zgoraj, dokazujejo, da različne lokacije strežnikov, s katerimi se je povezal IP‑naslov tožeče stranke, ne morejo biti posledica fizičnih premikov tožeče stranke v istem dnevu, ki naj bi bili glede na zadevne razdalje in časovne intervale nemogoči. Poleg tega tožeča stranka ni dokazala niti ni zatrjevala, da storitev Amazon CloudFront ni pravilno delovala, na podlagi česar bi bilo mogoče sklepati, da je ta storitev 8. junija 2022 delovala po načelu bližine uporabnikovega terminala, saj je njen mehanizem usmerjanja zahteve uporabnika spletnega mesta Konference o prihodnosti Evrope usmerjal na periferni strežnik, ki je zagotavljal najnižjo zakasnitev (glej točko 154 zgoraj).

157

V teh okoliščinah povezave IP‑naslova tožeče stranke s strežniki v Združenih državah, čeprav je bila v Nemčiji, ne morejo izhajati iz običajnega delovanja storitve Amazon CloudFront, temveč iz tehnične nastavitve, ki jo je izvedla tožeča stranka, da bi spremenila svojo očitno lokacijo, tako da je v digitalnem okolju ustvarjala vtis, kot bi bila istega dne zaporedoma v krajih v bližini Münchna, Londona, Hillsbora, Newarka in Frankfurta na Majni.

158

Iz tega sledi, da je delovanje storitve Amazon CloudFront, z njenim mehanizmom usmerjanja, ki deluje v skladu z načelom bližine in zajema širše geografsko območje, kot je ozemlje EGP, vključno zlasti z Združenimi državami (glej točki 112 in 114 zgoraj), sicer res omogočilo, da so bile med obiski spletnega mesta Konference o prihodnosti Evrope z IP‑naslova tožeče stranke vzpostavljene povezave s strežniki Amazon CloudFront v Združenih državah.

159

Vendar, čeprav je Komisijina uporaba storitve Amazon CloudFront nujni pogoj za prenos osebnih podatkov, omenjenih v točki 152 zgoraj, v Združene države, pa na podlagi tega dejstva v okoliščinah obravnavane zadeve ni mogoče ugotoviti obstoja dovolj neposredne vzročne zveze med nepremoženjsko škodo, na katero se sklicuje tožeča stranka, ter domnevno nezakonitim ravnanjem Komisije, in sicer uporabo takšne storitve ob kršitvi določb poglavja V Uredbe 2018/1725.

160

Ravnanje tožeče stranke je namreč treba šteti za neposreden in takojšen vzrok za nastanek zatrjevane nepremoženjske škode, ne pa napake, ki naj bi jo Komisija domnevno storila pri uporabi storitve Amazon CloudFront.

161

Tako je pogoje, potrebne za vzpostavitev povezav s strežniki v Združenih državah, prek delovanja storitve Amazon CloudFront, vzpostavila tožeča stranka. Ravnanje tožeče stranke je povzročilo, da je mehanizem preusmerjanja storitve Amazon CloudFront njene zahteve za obisk spletnega mesta Konference o prihodnosti Evrope usmeril na strežnike, ki so v Združenih državah, saj so bili slednji tisti, ki so imeli najnižjo zakasnitev glede na lokacijo tožeče stranke, prikazano v digitalnem okolju, čeprav ta ni ustrezala njeni dejanski lokaciji.

162

Poleg tega ni mogoče, da tožeča stranka izkazuje ravnanje z namenom povzročitve določenega rezultata (in sicer prenosa njenih osebnih podatkov v tretjo državo), posledično pa zahteva odškodnino za škodo, ki naj bi jo domnevno povzročil tak rezultat, katerega neposredni vzrok je bilo njeno ravnanje. Tako v nasprotju s tem, kar trdi tožeča stranka, njenega položaja v okviru odškodninske tožbe, kakršna je ta v obravnavani zadevi, ni mogoče presojati na enak način kot položaj uporabnika, ki je dejansko bil v Združenih državah in ki je zato spletno mesto Konference o prihodnosti Evrope obiskal iz te države.

163

Iz vsega navedenega izhaja, da v zvezi s spornim prenosom ob obiskih spletnega mesta Konference o prihodnosti Evrope dne 8. junija 2022 ni bila dokazana dovolj neposredna vzročna zveza med domnevno nezakonitim ravnanjem Komisije in zatrjevano nepremoženjsko škodo.

164

Ker eden od kumulativnih pogojev za uveljavljanje nepogodbene odgovornosti Unije ni izpolnjen, je treba odškodninski zahtevek v zvezi s spornim prenosom pri obiskih spletnega mesta Konference o prihodnosti Evrope dne 8. junija 2022 zavrniti, ne da bi bilo treba preučiti druge pogoje za nastanek takšne odgovornosti.

165

Tožeča stranka trdi, da so bili 30. marca 2022, ob njeni prijavi na dogodek „GoGreen“, dostopnem na spletnem mestu Konference o prihodnosti Evrope, njen IP‑naslov ter informacije o njenem brskalniku in terminalu preneseni podjetju Meta Platforms s sedežem v Združenih državah, ki je lastnik družbenega omrežja Facebook. Tožeča stranka naj bi bila namreč ob tem vpisu usmerjena na portal avtentikacijske storitve Unije, EU Login, ki med drugim predlaga povezavo prek različnih družbenih omrežij. Tožeča stranka naj bi se odločila za povezavo prek svojega Facebook računa, ko pa naj bi kliknila na hiperpovezavo, ki jo je preusmerila na Facebook, naj bi ta povezava privedla do prenosa njenega IP‑naslova na Facebook. Tožeča stranka naj bi sprejela le „bistvene piškotke“ Facebooka. Druge osebne podatke tožeče stranke – in sicer njen elektronski naslov, priimek in ime ter fotografijo profila – naj bi Facebook zbral s pomočjo piškotkov, zlasti piškotkov, imenovanih „sb“, in jih prenesel na strežnike družbe Meta Platforms. Iz sodne prakse naj bi izhajalo, da so upravljavci spletnih mest – ki uporabljajo Facebook na svojih spletnih mestih, kot je v primeru Komisije – skupaj s Facebookom odgovorni za spoštovanje prava Unije o varstvu podatkov. Komisija naj bi bila torej soodgovorna za namestitev piškotkov, ki jih shranjuje Facebook. Tožeča stranka naj bi izgubila nadzor nad svojimi osebnimi podatki, posredovanimi Facebooku, in odvzete naj bi ji bile pravice in svoboščine, kar naj bi pomenilo nepremoženjsko škodo v smislu uvodne izjave 46 Uredbe 2018/1725.

166

Komisija te trditve prereka. V bistvu trdi, da družbi Meta Platforms ni posredovala nobenih podatkov, niti tega ni poskusila. Za sodelovanje pri dogodku „GoGreen“ naj prijava prek portala EU Login ne bi bila obvezna, tožeča stranka pa naj bi tudi ob uporabi portala EU Login imela različne možnosti avtentikacije, vključno z možnostmi, ki ne zahtevajo uporabe računa na družbenih omrežjih. Tožeča stranka naj bi se torej odločila, da se s portalom storitve EU Login poveže prek svojega Facebook računa, in povezavo do spletnega mesta Facebooka naj bi torej vzpostavila ona, ne pa Komisija. Poleg tega naj bi se s tehničnega vidika možnost avtentikacije prek Facebooka izvedla s hiperpovezavo, prikazano na spletnem mestu EU Login, ki naj ne bi vsebovala osebnih podatkov uporabnika. V nasprotju s trditvijo tožeče stranke naj se podatki, pridobljeni s piškotki, ki jih uporablja Facebook, ne bi prenesli na Komisijo, ko se uporabniki povežejo s portalom EU Login, in ne spadajo v pristojnost Komisije. Ti piškotki naj bi izhajali iz izmenjav med Facebookom in tožečo stranko na podlagi privolitev, ki jih je slednja dala, pri čemer naj Komisija v te izmenjave ne bi bila vključena. Poleg tega Komisija trdi, da sodne prakse, na katero se sklicuje tožeča stranka, v obravnavanem primeru ni mogoče uporabiti in da je trditev tožeče stranke, ki se nanaša na domnevno skupno odgovornost Komisije in družbe Meta Platforms, vsekakor nov tožbeni razlog, ki je bil prvič naveden v repliki in je zato nedopusten.

167

V obravnavani zadevi je treba najprej preučiti dejanski okvir, v katerega se umešča sporni prenos pri povezavi s portalom EU Login dne 30. marca 2022, pri čemer je treba upoštevati elemente, ki izhajajo iz spisa, ter odgovore strank na vprašanja, ki jih je Splošno sodišče postavilo na obravnavi, in ukrepe procesnega vodstva z dne 9. februarja 2024.

168

V zvezi s tem je treba ugotoviti, da je bil dogodek „GoGreen“, ki ga je organizirala organizacija s sedežem na Nizozemskem, objavljen na spletnem mestu Konference o prihodnosti Evrope. Na ta dogodek se je bilo mogoče vpisati na spletnem mestu Konference o prihodnosti Evrope, med drugim prek portala EU Login.

169

Tožeča stranka se je odločila za prijavo na spletnem mestu Konference o prihodnosti Evrope prek portala EU Login.

170

EU Login je storitev Komisije za avtentikacijo uporabnikov, ki varuje več sto spletnih mest in aplikacij, povezanih z Unijo. V obravnavani zadevi je bil cilj povezave s portalom EU Login za namene prijave na dogodek „GoGreen“, zagotoviti, da je ta prijava opravljena na podlagi preverjenega elektronskega naslova, tako da se zmanjšajo tveganja, povezana z registracijo lažnih uporabnikov ali zlorabo identitete.

171

EU Login na svoji spletni strani prikazuje več možnosti povezave. Prva možnost je neposredna povezava s portalom EU Login bodisi tako, da se izpolnijo podatki o povezavi glede že obstoječega računa EU Login, bodisi z ustvaritvijo računa za to storitev. Druga možnost je uporaba elektronske osebne izkaznice „eID“, ki je na voljo državljanom nekaterih držav članic. Tretja možnost, ki je na voljo za omejeno število storitev, je uporaba računa, ki ga uporabnik na Facebooku, Twitterju ali Googlu že ima, in sicer s klikom na ustrezno hiperpovezavo, prikazano na spletnem mestu EU Login.

172

Možnost priključitve na portal EU Login prek Facebook računa izhaja iz dejstva, da je Komisija menila, da bi bilo treba uporabnikom dati možnost povezave s portalom EU Login prek že obstoječih računov na platformah, za zagotovitev lažjega in hitrejšega dostopa, ter možnosti avtentikacije brez potrebe po odprtju EU Login računa, in da bi se tako izognilo povečanju števila računov ter subjektov, s katerimi morajo uporabniki deliti svoje osebne podatke. Poleg tega je Komisija menila, da je Facebook zanesljiv v smislu preverjanja elektronskih naslovov uporabnikov, ob upoštevanju ukrepov, ki jih je uvedel. Vendar je hiperpovezava, ki omogoča povezavo prek že obstoječega računa Facebook, na portalu EU Login na voljo le za spletna mesta ali aplikacije, za katere je potrebna le osnovna raven varnosti.

173

Tožeča stranka se je odločila za povezavo s portalom EU Login prek svojega Facebook računa, pri čemer je uporabila hiperpovezavo „Sign in with Facebook“, ki je prikazana na spletnem mestu EU Login (v nadaljevanju: hiperpovezava „povezava s Facebookom“).

174

Hiperpovezava „povezava s Facebookom“ vsebuje povezavo na zunanje spletno mesto. Kadar je ta hiperpovezava aktivirana tako, da se nanjo klikne, zagotovi dostop do URL naslova spletnega mesta Facebook, to je do individualnega naslova tega spletnega mesta.

175

Pri priklicu URL naslova spletnega mesta Facebook pride do komunikacije med brskalnikom uporabnika in navedenim spletnim mestom, v okviru katerega brskalnik zadevnemu spletnemu mestu posreduje IP‑naslov uporabnika. To posredovanje je podobno tistemu, do katerega pride, kadar uporabnik v svoj brskalnik neposredno vnese URL naslov katerega koli spletnega mesta, saj mora vsak internetni uporabnik, ki želi imeti dostop do spletnega mesta, nujno sporočiti IP‑naslov.

176

Sistem EU Login prek hiperpovezave „povezava s Facebookom“ Facebooku pošlje nekatere informacije, ki so potrebne za postopek avtentikacije in so v obliki naslednjega primera:

177

Natančneje, hiperpovezava „povezava s Facebookom“ vsebuje naslednje informacije:

178

Ko uporabnik dostopi do URL naslova Facebooka, je na spletnem mestu, na katerem se najprej prikaže okno, s katerim se od uporabnika zahteva, naj privoli v Facebookovo uporabo piškotkov ali „cookies“. Dalje, če so piškotki sprejeti, se odpre drugo okno, ki omogoča vnos uporabniškega imena in gesla računa uporabnika na Facebooku. Nazadnje, ko je uporabnik povezan s svojim Facebook računom, lahko Facebooku dovoli uporabo piškotkov na drugih aplikacijah in spletnih mestih, tako da odgovori na vprašanje „Allow Facebook to use cookies and similar technologies placed on other apps and websites?“. Če uporabnik v to uporabo privoli, bo nato pozvan, da privoli v to, da Facebook portalu EU Login posreduje ime, priimek, fotografijo profila in elektronski naslov, ki so povezani z njegovim Facebook računom. Poleg tega lahko uporabnik ves čas tega postopka prek svojega Facebook računa prekine avtentikacijo, tako da izbere možnost „Cancel“. V tem primeru je preusmerjen na spletno mesto portala EU Login, na katerem se stran z možnostmi povezave ponovno prikaže.

179

V obravnavani zadevi je spletni brskalnik tožeče stranke, ko je kliknila na hiperpovezavo „povezava s Facebookom“, priklical URL naslov spletnega mesta Facebook in je zato temu spletnemu mestu posredoval IP‑naslov tožeče stranke. Dalje, ko je bila tožeča stranka na spletnem mestu Facebook, je izbrala možnosti, ki Facebooku omogočajo uporabo samo bistvenih piškotkov, nato se je prijavila na svoj Facebook račun in nazadnje Facebooku dovolila, da portalu EU Login sporoči njeno ime, priimek, fotografijo profila in elektronski naslov, kot jih je navedla na svojem Facebook računu.

180

Potem ko je tožeča stranka podala te odobritve, jo je Facebook napotil na spletno mesto portala EU Login v skladu z navedbami iz hiperpovezave „povezava s Facebookom“ (glej točko 177, prva in druga alinea, zgoraj).

181

Hkrati je Facebook portalu EU Login sporočil naključno varnostno vrednost in edinstveno kodo, ki sta navedeni v točki 177, četrta in peta alinea, zgoraj. Na eni strani je to sporočilo Facebooka portalu EU Login omogočilo, da je bil seznanjen s tem, da so se osebni podatki, ki ji jih je Facebook dal na voljo, nanašali na uporabnika, ki je začel postopek avtentikacije, in sicer v obravnavani zadevi na tožečo stranko. Na drugi strani je portalu EU Login za omejeno obdobje omogočil dostop do osebnih podatkov, navedenih v točki 177, tretja alinea, zgoraj, in sicer zlasti imena, priimka in elektronskega naslova tožeče stranke, kot jih je navedla na svojem Facebook računu. Facebook je te podatke portalu EU Login posredoval prek kodirane povezave med njima. Portal EU Login je na podlagi podatkov, ki mu jih je dal na voljo Facebook, avtenticiral elektronski naslov tožeče stranke.

182

Poleg tega je treba ugotoviti, da je družbeno omrežje Facebook v lasti družbe Meta Platforms, ki je podjetje s sedežem v Združenih državah.

183

Poleg tega je treba poudariti, da je prikaz te hiperpovezave na spletnem mestu portala EU Login urejen s splošnimi pogoji platforme Facebook, ki so vsebovani na spletnem naslovu „https://developers.facebook.com/terms“.

184

Ob upoštevanju teh ugotovitev je treba preučiti, ali so pogoji za nastanek nepogodbene odgovornosti Komisije izpolnjeni.

185

Tožeča stranka v bistvu trdi, da je med njeno povezavo s portalom EU Login 30. marca 2022 prišlo do prenosa njenih osebnih podatkov, zlasti njenega IP‑naslova, na strežnike družbenega omrežja Facebook, katerega lastnik je podjetje s sedežem v Združenih državah. Ta prenos naj bi bil izveden ob kršitvi člena 46 Uredbe 2018/1725 in naj bi tožeči stranki povzročil nepremoženjsko škodo v obliki izgube nadzora nad njenimi podatki ter odvzema njenih pravic in svoboščin.

186

Najprej je treba opozoriti, da se, kot izhaja iz točke 95 zgoraj, za prenos osebnih podatkov v tretjo državo v smislu člena 46 Uredbe 2018/1725 zahteva, da institucija, agencija ali organ Unije s prenosom ali kako drugače da osebne podatke na voljo uporabniku s sedežem v tretji državi, to je državi, ki ni članica niti Unije niti EGP.

187

V obravnavani zadevi je dokazano, prvič, da se je tožeča stranka med možnostmi povezave s portalom EU Login odločila za povezavo s svojim Facebook računom. Drugič, hiperpovezava „povezava s Facebookom“ vsebuje povezavo na URL naslov spletnega mesta Facebook. Tretjič, ko je tožeča stranka aktivirala to hiperpovezavo tako, da je nanjo kliknila, je njen brskalnik imel dostop do URL naslova spletnega mesta Facebook in je nato njen IP‑naslov posredoval Facebooku (glej točke od 173 do 175 zgoraj).

188

Iz tega sledi, da je Komisija s hiperpovezavo „povezava s Facebookom“, prikazano na spletni strani portala EU Login, ustvarila pogoje, ki omogočajo prenos IP‑naslova tožeče stranke Facebooku. Ta IP‑naslov pa je osebni podatek tožeče stranke (glej točko 122 zgoraj), ki je bil prek navedene hiperpovezave prenesen družbi Meta Platforms, ki ima sedež v Združenih državah. Ta prenos torej ustreza prenosu osebnih podatkov v tretjo državo, v smislu člena 46 Uredbe 2018/1725.

189

Poleg tega je v obravnavani zadevi dokazano, da v času tega prenosa podatkov, to je 30. marca 2022, v zvezi z Združenimi državami ni bilo nobenega sklepa o ustreznosti v smislu člena 47 Uredbe 2018/1725 (glej točko 100 zgoraj).

190

Ker v zvezi z Združenimi državami ni sklepa o ustreznosti, ki ga izda Komisija, se lahko osebni podatki prenesejo v tretjo državo ali mednarodno organizacijo le, če je upravljavec ali obdelovalec predvidel ustrezne zaščitne ukrepe, in le če imajo posamezniki, na katere se nanašajo osebni podatki, na voljo izvršljive pravice in učinkovita pravna sredstva, v skladu s členom 48(1) Uredbe 2018/1725 (glej točko 101 zgoraj).

191

V obravnavani zadevi Komisija ni dokazala niti ni zatrjevala obstoja ustreznega jamstva, zlasti standardne klavzule o varstvu podatkov ali pogodbene klavzule, sprejete pod pogoji iz člena 48(2) in (3) Uredbe 2018/1725 (glej točke od 102 do 104 zgoraj). Nasprotno, dokazano je, da prikaz hiperpovezave „povezava s Facebookom“ na spletnem mestu portala EU Login urejajo zgolj splošni pogoji platforme Facebook (glej točko 183 zgoraj).

192

Posledično je Komisija ustvarila pogoje za prenos osebnih podatkov tožeče stranke v tretjo državo, ne da bi pri tem upoštevala pogoje, določene v členu 46 Uredbe 2018/1725.

193

Zato je treba ugotoviti, ne da bi bilo treba preučiti druge trditve tožeče stranke, da je Komisija storila dovolj resno kršitev člena 46 Uredbe 2018/1725 v smislu sodne prakse, navedene v točki 50 zgoraj, v zvezi s spornim prenosom pri povezavi s portalom EU Login 30. marca 2022.

194

Preučiti je torej treba, ali so v obravnavanem primeru izpolnjeni drugi pogoji za nastanek nepogodbene odgovornosti Komisije, ki se nanašajo na škodo in vzročno zvezo.

195

Tožeča stranka trdi, da ji je nezakonit prenos njenega IP‑naslova podjetju s sedežem v Združenih državah povzročil nepremoženjsko škodo zaradi izgube nadzora nad njenimi podatki ter odvzema njenih pravic in svoboščin.

196

V zvezi s tem je treba ugotoviti, da člen 65 Uredbe 2018/1725 zagotavlja pravico do odškodnine ne le za premoženjsko, ampak tudi za nepremoženjsko škodo, ki je nastala zaradi kršitve te uredbe, ne da bi bilo treba dokazati kakršen koli prag resnosti (glej v tem smislu in po analogiji sodbo z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov), C‑300/21, EU:C:2023:370, točki 45 in 51).

197

V obravnavani zadevi je treba nepremoženjsko škodo, ki jo zatrjuje tožeča stranka, šteti za dejansko in gotovo, v smislu sodne prakse, navedene v točki 54 zgoraj, ker je bila tožeča stranka zaradi prenosa, navedenega v točki 188 zgoraj, ki je bil izveden v nasprotju s členom 46 Uredbe 2018/1725, postavljena v položaj negotovosti glede obdelave njenih osebnih podatkov, zlasti njenega IP‑naslova.

198

Poleg tega obstaja dovolj neposredna vzročna zveza v smislu sodne prakse, navedene v točki 55 zgoraj, med Komisijino kršitvijo člena 46 Uredbe 2018/1725 in nepremoženjsko škodo, ki jo je utrpela tožeča stranka.

199

V okoliščinah obravnavane zadeve je treba znesek nepremoženjske škode, ki jo je povzročila Komisija, ex æquo et bono oceniti na 400 EUR.

200

Zato je treba Komisiji naložiti, naj tožeči stranki plača znesek 400 EUR iz naslova nepremoženjske škode, ki je nastala zaradi spornega prenosa pri povezavi s portalom EU Login dne 30. marca 2022.

201

V skladu s členom 134(3) Poslovnika Splošnega sodišča vsaka stranka, če uspe samo deloma, nosi svoje stroške. Vendar lahko Splošno sodišče – če se to glede na okoliščine v zadevi zdi upravičeno – odloči, da ena stranka poleg svojih stroškov nosi tudi del stroškov druge stranke.

202

V obravnavani zadevi tožeča stranka ni uspela s prvim in drugim tožbenim predlogom ter z delom tretjega predloga. Vendar je bil tretji tožbeni predlog delno sprejet in Komisiji se naloži plačilo odškodnine, ki jo je tožeča stranka zahtevala iz naslova odškodnine za nepremoženjsko škodo, ki jo je utrpela zaradi spornega prenosa med povezavo s portalom EU Login, 30. marca 2022. V teh okoliščinah je treba odločiti, da Komisija nosi svoje stroške in polovico stroškov tožeče stranke. Tožeča stranka nosi polovico svojih stroškov.

Iz teh razlogov je

SPLOŠNO SODIŠČE (šesti razširjeni senat)

razsodilo:

Dejansko stanje spora in dejstva, ki so nastala po vložitvi tožbe

Predlogi strank

Pravo

Uvodne ugotovitve o varstvu osebnih podatkov v institucijah, organih, uradih in agencijah Unije

Dopustnost

Dopustnost predlogov za razglasitev ničnosti

Dopustnost predlogov za ugotovitev nedelovanja

Odškodninski zahtevek

Uvodne ugotovitve glede pogojev za nastanek nepogodbene odgovornosti Unije v okviru Uredbe 2018/1725

Prvi odškodninski zahtevek: plačilo odškodnine za nepremoženjsko škodo, nastalo zaradi kršitve pravice do dostopa do informacij

Drugi odškodninski zahtevek: odškodnina za nepremoženjsko škodo, nastalo zaradi spornih prenosov

– Uvodne ugotovitve glede določb o prenosu osebnih podatkov v tretjo državo

– Delovanje storitve Amazon CloudFront v okviru spletnega mesta Konference o prihodnosti Evrope

– Sporni prenos ob obisku spletnega mesta Konference o prihodnosti Evrope dne 30. marca 2022

– Sporni prenos pri obisku spletnega mesta Konference o prihodnosti Evrope dne 8. junija 2022

– Sporni prenos ob vzpostavitvi povezave s portalom EU Login, 30. marca 2022

Stroški