ÜLDKOHTU OTSUS (kuues koda laiendatud koosseisus)
8. jaanuar 2025 (
*1
)
Isikuandmete töötlemine – Füüsiliste isikute kaitse isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes – Määrus (EL) 2018/1725 – Mõiste „isikuandmete edastamine kolmandasse riiki“ – Andmete edastamine veebisaidi külastamisel – EU Login – Tühistamishagi – Vaidlustamatu akt – Vastuvõetamatus – Tegevusetushagi – Tegevusetust lõpetav seisukohavõtt – Otsuse tegemise vajaduse äralangemine – Kahju hüvitamise hagi – Isikutele õigusi andva õigusnormi piisavalt selge rikkumine – Põhjuslik seos – Mittevaraline kahju
Kohtuasjas T‑354/22,
Thomas Bindl, elukoht München (Saksamaa), esindaja: advokaat T. Herbrich,
hageja,
versus
Euroopa Komisjon, esindajad: A. Bouchagiar, B. Hofstötter ja H. Kranenborg,
kostja,
ÜLDKOHUS (kuues koda laiendatud koosseisus),
koosseisus: koja president M. J. Costeira (ettekandja), kohtunikud M. Kancheva, U. Öberg, P. Zilgalvis ja E. Tichy-Fisslberger,
kohtusekretär: ametnik S. Jund,
arvestades menetluse kirjalikku osa,
arvestades 21. juulil 2023 võetud menetlust korraldavat meedet ning komisjoni ja hageja vastuseid, mis saabusid Üldkohtu kantseleisse vastavalt 7. ja 8. septembril 2023,
arvestades 17. oktoobri 2023. aasta kohtuistungil esitatut,
arvestades 9. veebruaril 2024 võetud menetlust korraldavat meedet ning komisjoni ja hageja vastuseid, mis saabusid Üldkohtu kantseleisse vastavalt 12. ja 13. märtsil 2024,
on teinud järgmise
kohtuotsuse
1
Hageja Thomas Bindl palub ELTL artiklite 263, 265 ja 268 alusel esitatud hagis Üldkohtul esiteks tühistada tema isikuandmete edastamine kolmandatesse riikidesse, kus ei ole nõuetekohasel tasemel kaitset, teiseks tuvastada, et Euroopa Komisjon jättis õigusvastaselt võtmata seisukoha tema 1. aprilli 2022. aasta teabenõude kohta, ning kolmandaks hüvitada mittevaraline kahju, mida talle tekitati ühelt poolt sellega, et rikuti tema õigust tutvuda teabega ja teiselt poolt sellega, et edastati tema isikuandmeid.
Vaidluse taust ja asjaolud, mis leidsid aset pärast hagi esitamist
2
Kaebaja on Saksamaa kodanik, kes on huvitatud infotehnoloogia ja isikuandmete kaitse valdkonna teemadest.
3
Komisjoni kommunikatsiooni peadirektoraat on isikuandmete vastutav töötleja Euroopa tuleviku konverentsi veebisaidil https://futureu.europa.eu (edaspidi „CAE veebisait“).
4
Hageja külastas aastatel 2021 ja 2022 CAE veebisaiti mitu korda. Muu hulgas külastas ta seda veebisaiti 30. märtsil 2022 ja registreerus seal kajastatud üritusele „GoGreen“, kasutades selleks oma Facebooki kontot, ning 8. juunil 2022 külastas ta nimetatud veebisaiti uuesti.
5
Hageja palus 9. novembri 2021. aasta e-kirjas (edaspidi „9. novembri 2021. aasta teabenõue“) komisjoni andmekaitseametnikul esitada talle teavet vastavalt Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrusele (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT 2018, L 295, lk 39).
6
Oma e-kirjas märkis hageja esiteks, et ta oli märganud, et kui ta logis sisse CAE veebisaidile, aktiveeriti ühendus kolmandatest isikutest teenusepakkujatega, näiteks Ameerika Ühendriikide (USA) ettevõttega Amazon Web Services; teiseks palus ta teavet selle kohta, milliseid teda puudutavaid isikuandmeid on töödeldud või salvestatud ning milliseid on vajaduse korral edastatud kolmandatele isikutele; kolmandaks palus ta teavet niisuguse edastamise õigusliku aluse kohta ning selle kohta, millised on võimalikud tagatised seoses andmete edastamisega kolmandatesse riikidesse, kus ei ole nõuetekohasel tasemel kaitset.
7
Komisjoni kommunikatsiooni peadirektoraat saatis 3. detsembri 2021. aasta e-kirjas hagejale elektroonilise lingi ja teatas talle, et see link võimaldab tal luua otse CAE veebisaiti külastades töödeldud isikuandmete loetelu. Lisaks teatas ta hagejale esiteks, et tema isikuandmeid ei edastatud vastuvõtjatele väljaspool Euroopa Liitu, ja teiseks, et andmed salvestatakse ja neid töödeldakse CAE veebisaidil, mis kasutab sisulevivõrku, mida haldab Luxembourgis (Luksemburg) asuv Amazon Web Services EMEA SARL (edaspidi „AWS EMEA“). Lisaks täpsustas komisjon, et tema ja AWS EMEA vahel sõlmitud lepinguliste kokkulepete raames ei kasuta vastutav töötleja teenuseid, mis nõuaksid andmete edastamist AWS EMEA partneritele USAs, ning et andmete edastamine väljapoole liidu territooriumi ei ole põhimõtteliselt lubatud.
8
Hageja palus 1. aprilli 2022. aasta e-kirjas komisjonilt määruse 2018/1725 alusel teavet oma andmete töötlemise kohta (edaspidi „1. aprilli 2022. aasta teabenõue“). Esimesena märkis hageja, et kui ta logis sisse CAE veebisaidile, loodi ühendus kolmandatest isikutest teenuseosutajatega nagu AWS EMEA, ning kui ta kasutas sellel veebisaidil registreerimiseks oma Facebooki sisselogimise andmeid, loodi ühendus ettevõtjaga Microsoft. Teisena palus ta, et talle teatataks, milliseid teda puudutavaid isikuandmeid oli töödeldud või salvestatud ja milliseid andmeid oli vajaduse korral kolmandatele isikutele edastatud. Kolmandana palus ta teavet niisuguse edastamise õigusliku aluse kohta ning selle kohta, millised on võimalikud tagatised seoses andmete edastamisega kolmandatesse riikidesse, kus ei ole nõuetekohasel tasemel kaitset. Neljandana taotles ta koopiat oma andmetest, sealhulgas nendest, mida salvestavad või töötlevad niisugused kolmandad isikud nagu Facebook.
9
Hageja nõudis 22. aprilli ja 2. mai 2022. aasta e-kirjas, et komisjon vastaks 1. aprilli 2022. aasta teabenõudele.
10
Hagiavaldusega, mis saabus Üldkohtu kantseleisse 9. juunil 2022, esitas hageja käesoleva hagi.
11
Komisjon teatas 30. juuni 2022. aasta e-kirjas hagejale, et tema hinnangul on 1. aprilli 2022. aasta teabenõue peaaegu identne 9. novembri 2021. aasta teabenõudega ja sellele oli ta oma 3. detsembri 2021. aasta e-kirjas juba vastanud.
12
Amazon Web Services on USAs asuv ettevõtja ja AWS EMEA on Luksemburgis asuv ettevõtja. Need kaks ettevõtjat on USA õiguse alusel asutatud ettevõtja Amazon.com, Inc. tütarettevõtjad.
Poolte nõuded
13
Hageja palub Üldkohtul:
–
tühistada tema isikuandmete edastamine kolmandatesse riikidesse – mis toimus 30. märtsil ja 8. juunil 2022 –, kus ei ole nõuetekohasel tasemel kaitset;
–
tuvastada, et komisjon on jätnud õigusvastaselt võtmata seisukoha 1. aprilli 2022. aasta teabenõude kohta;
–
mõista komisjonilt tema kasuks välja 1200 eurot koos intressiga, mis vastab esiteks 800 euro suurusele hüvitisele mittevaralise kahju eest, mida talle tekitati sellega, et rikuti tema õigust tutvuda teabega, ja teiseks 400 euro suurusele hüvitisele mittevaralise kahju eest, mis talle tekitati nimetatud andmete edastamisega;
–
mõista kohtukulud välja komisjonilt.
14
Komisjon palub Üldkohtul:
–
jätta tühistamisnõuded ja tegevusetusnõuded vastuvõetamatuse tõttu läbi vaatamata;
–
teise võimalusena tuvastada, et tegevusetusnõuete osas on otsuse tegemise vajadus ära langenud;
–
jätta kahjunõue põhjendamatuse tõttu rahuldamata;
–
mõista kohtukulud välja hagejalt.
Õiguslik käsitlus
Sissejuhatavad märkused isikuandmete kaitse kohta liidu institutsioonides, organites ja asutustes
15
ELTL artikli 16 lõike 1 ja Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 8 lõike 1 kohaselt on igaühel õigus oma isikuandmete kaitsele.
16
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruses (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1) on sätestatud üldeeskirjad, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel ja isikuandmete vaba liikumise tagamist (määruse 2016/679 artikli 1 lõige 1).
17
Määruses 2018/1725 sätestatakse õigusnormid, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides ja organites ning õigusnormid, mis käsitlevad isikuandmete vaba liikumist nende vahel või edastamist teistele liidus asuvatele vastuvõtjatele (määruse 2018/1725 artikli 1 lõige 1). Selle määrusega kaitstakse füüsiliste isikute põhiõigusi ja -vabadusi, eriti nende õigust isikuandmete kaitsele (määruse 2018/1725 artikli 1 lõige 2). Seda kohaldatakse isikuandmete töötlemise suhtes kõikides liidu institutsioonides ja organites (määruse 2018/1725 artikli 2 lõige 1).
18
Määruse 2018/1725 põhjenduses 5 on märgitud, et kui määruse 2018/1725 sätted tuginevad samadele põhimõtetele kui määruse 2016/679 sätted, tuleks mõlemaid õigusnormide kogumeid Euroopa Kohtu kohtupraktika kohaselt tõlgendada ühetaoliselt, eelkõige seetõttu, et määruse 2018/1725 ülesehitust tuleks mõista määruse 2016/679 ülesehituse vastena. Sellega seoses tuleneb veel määruse 2016/679 artikli 2 lõike 3 ja määruse 2018/1725 artikli 99 koostoimes tõlgendamisest, et viimati nimetatud määrust on kohandatud määruse 2016/679 põhimõtete ja normidega.
Vastuvõetavus
Tühistamisnõuete vastuvõetavus
19
Hageja palub oma esimeses nõudes tühistada tema isikuandmete edastamine kolmandatesse riikidesse – mis toimus 30. märtsil ja 8. juunil 2022 –, kus ei ole nõuetekohasel tasemel kaitset (edaspidi „vaidlusalused edastamised“).
20
Komisjon väidab kostja vastuses, et see tühistamisnõue on vastuvõetamatu, kuna see ei ole suunatud mitte vaidlustatava akti vastu ELTL artikli 263 tähenduses, vaid talle ettekirjutuse tegemiseks.
21
Hageja väidab, et tühistamisnõue on vastuvõetav, sest vaidlusalused edastamised on aktid, mis tekitavad siduvaid õiguslikke tagajärgi ja mõjutavad tema õiguslikku olukorda, riivates tema põhiõigust isikuandmete kaitsele, mis on tagatud harta artikliga 8. Mis tahes muu tõlgendus oleks vastuolus põhiõigusega tõhusale kohtulikule kaitsele, samas kui määruse 2018/1725 artikli 64 lõikes 1 on seda õigust sõnaselgelt tunnustatud.
22
Nagu on märgitud määruse 2018/1725 artikli 64 lõikes 1 ja põhjenduses 79, on igal isikul õigus tõhusale õiguskaitsevahendile Euroopa Liidu Kohtus kooskõlas aluslepingutega, kui isik on seisukohal, et tema nimetatud määruse kohaseid õigusi on rikutud.
23
Sellest järeldub, et määruse 2018/1725 raames on igal andmesubjektil eelkõige õigus esitada tühistamishagi ELTL artiklis 263 ette nähtud tingimustel.
24
Väljakujunenud kohtupraktika kohaselt võib ELTL artiklis 263 ette nähtud tühistamishagi esitada liidu institutsioonide kõikide aktide peale – sõltumata nende laadist või vormist –, mille eesmärk on tuua kaasa hageja huve mõjutavaid siduvaid õiguslikke tagajärgi, muutes selgelt tema õiguslikku seisundit (vt 19. jaanuari 2017. aasta kohtuotsus komisjon vs. Total ja Elf Aquitaine, C‑351/15 P, EU:C:2017:27, punktid 35 ja 36 ning seal viidatud kohtupraktika, ja 16. juuli 2020. aasta kohtuotsus Inclusion Alliance for Europe vs. komisjon, C‑378/16 P, EU:C:2020:575, punkt 71 ja seal viidatud kohtupraktika).
25
Tegemaks kindlaks, kas akt tekitab siduvaid õiguslikke tagajärgi, tuleb Euroopa Kohtu väljakujunenud praktika kohaselt lähtuda asjaomase akti olemusest ja hinnata selle tagajärgi objektiivsete kriteeriumide, näiteks nimetatud akti sisu põhjal, võttes vajaduse korral arvesse akti vastuvõtmise konteksti ja selle vastu võtnud liidu institutsiooni, organi või asutuse volitusi (vt 15. juuli 2021. aasta kohtuotsus FBF, C‑911/19, EU:C:2021:599, punkt 38 ja seal viidatud kohtupraktika).
26
Käesolevas asjas palub hageja tühistada vaidlusalused edastamised, mis tema sõnul leidsid aset kolmel korral. Esimesel korral, kui ta külastas CAE veebisaiti 30. märtsi 2022. aastal (edaspidi „vaidlusalune edastamine CAE veebisaidi külastamisel 30. märtsil 2022“), edastati talle kuuluvad isikuandmed – eelkõige tema IP-aadress ning teave tema veebilehitseja ja lõppseadme kohta – USA ettevõtjale Amazon Web Services kui nimetatud veebisaidi poolt kasutatava sisulevivõrgu Amazon CloudFront operaatorile.
27
Teisel korral, kui hageja logis 30. märtsil 2022 oma Facebooki konto kaudu sisse komisjoni kasutaja autentimisteenusesse EU Login, et registreeruda CAE veebisaidil üritusele „GoGreen“ (edaspidi „vaidlusalune edastamine EU Logini sisselogimisel 30. märtsil 2022“), edastati talle kuuluvad isikuandmed – eelkõige tema IP-aadress ning teave tema veebilehitseja ja lõppseadme kohta – USA ettevõtjale Meta Platforms, Inc.
28
Kolmandal korral, kui hageja külastas CAE veebisaiti 8. juunil 2022 (edaspidi „vaidlusalune edastamine CAE veebisaidi külastamisel 8. juunil 2022“), edastati talle kuuluvad isikuandmed Amazon CloudFronti serverisse, mis asub Newarkis (New Jersey, USA).
29
Lisaks märgib hageja oma hagiavalduses, et ta sisenes CAE veebisaidile 9. novembril 2021 ja sel kuupäeval registreeris ta end CAE veebisaidile oma Facebooki konto kaudu. Ta ei esita siiski ühtegi konkreetset tõendit, mis võimaldaks järeldada, et vaidlusaluste edastamiste tühistamise nõue puudutab neid asjaolusid. Seega tuleb arvesse võtta üksnes eespool punktides 26–28 mainitud vaidlusaluseid edastamisi.
30
Olgu märgitud, et vaidlusalused edastamised, mille tühistamist hageja taotleb ja mida on mainitud eespool punktides 26–28, kujutavad hageja sõnul endast selliseid IT-toiminguid andmete migreerimiseks, mis käivitati komisjoni IT-süsteemide või -teenuste, eelkõige CAE veebisaidi poolt serveritesse, mis kuuluvad kolmandatele ettevõtjatele, kes asuvad väljaspool liidu territooriumi.
31
On küll tõsi, et toiming, mis seisneb isikuandmete edastamises liidu institutsioonist või asutusest kolmandasse riiki, on juba iseenesest määruse 2018/1725 artikli 3 punkti 3 tähenduses isikuandmete töötlemine, mis toimub liidu territooriumil ja millele see määrus on tulenevalt selle artikli 2 punktist 5 kohaldatav (vt analoogia alusel 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems, C‑311/18, edaspidi „kohtuotsus Schrems II, EU:C:2020:559, punkt 83).
32
Kõik toimingud, mis võivad viia isikuandmete edastamiseni määruse 2018/1725 artikli 3 punkti 3 tähenduses, ei ole siiski vaidlustatavad aktid ELTL artikli 263 tähenduses, nagu seda on tõlgendatud eespool punktis 24 viidatud kohtupraktikas.
33
Kui käesolevas asjas eeldada, et vaidlusalused edastamised on tõendatud, tuleb tõdeda, et need kujutavad endast konkreetseid tegusid, mitte õigusakte. Nimelt on vaidlusalused edastamised, nagu hagiavalduses kirjeldatud, IT-toimingud, mis puudutavad andmete migratsiooni ühest lõppseadmest või serverist teise ja mis tulenevad hageja suhtlusest komisjoni IT-süsteemide või -teenustega, kui ta külastab CAE veebisaiti või EU Logini teenuseid. Vaidlusalused edastamised ei ole aga komisjoni aktid, mis tekitavad siduvaid õiguslikke tagajärgi, st nende eesmärk ei ole reguleerida õiguslikku olukorda, ning nagu tuleneb juba nende olemusest, ei olnud komisjonil mingit kavatsust neile niisugust mõju anda.
34
Järelikult ei tekita vaidlusalused edastamised siduvaid õiguslikke tagajärgi hageja huve puudutaval viisil, tuues kaasa selge muutuse tema õiguslikus seisundis vastavalt eespool punktis 24 viidatud kohtupraktikale. Niisiis ei saa neid pidada vaidlustatavateks aktideks ELTL artikli 263 tähenduses.
35
Sellest järeldub, et hageja tühistamisnõuded tuleb jätta vastuvõetamatuse tõttu läbi vaatamata.
Tegevusetusnõuete vastuvõetavus
36
Oma teises nõudes palub hageja Üldkohtul tuvastada, et komisjon jättis õigusvastaselt võtmata seisukoha 1. aprilli 2022. aasta teabenõude kohta.
37
Komisjon väidab kostja vastuses, et tegevusetusnõuded on vastuvõetamatud, kuna puudub üleskutse teha toiming ELTL artikli 265 teise lõigu tähenduses. Teise võimalusena väidab komisjon, et võttes arvesse tema 30. juuni 2022. aasta e-kirjas hagejale antud vastust, on tegevusetushagi kohta otsuse tegemise vajadus ära langenud.
38
Hageja väidab sisuliselt, et komisjon on endiselt kohustatud 1. aprilli 2022. aasta teabenõudele vastama, kuna teave, mille viimane esitas oma 30. juuni 2022. aasta e-kirjas, on ebapiisav ja ebatäpne.
39
Väljakujunenud kohtupraktika kohaselt põhineb ELTL artiklis 265 ette nähtud õiguskaitsevahend põhimõttel, et institutsiooni, kelle vastu on hagi esitatud, õigusvastane tegevusetus võimaldab pöörduda Euroopa Liidu Kohtusse, et viimane tuvastaks, et tegevusest hoidumine on vastuolus asutamislepinguga, kui asjasse puutuv institutsioon ei ole seda tegevusetust heastanud (12. juuli 1988. aasta kohtuotsus parlament vs. nõukogu, 377/87, EU:C:1988:387, punkt 9; vt ka 16. detsembri 2015. aasta kohtuotsus Rootsi vs. komisjon, T‑521/14, ei avaldata, EU:T:2015:976, punkt 33 ja seal viidatud kohtupraktika).
40
Juhul kui akt, mille vastu võtmata jätmine on vaidlustatud, on vastu võetud pärast hagi esitamist, kuid enne kohtuotsuse kuulutamist, ei või Euroopa Liidu Kohtu poolt esialgse tegevusetuse õigusvastaseks tunnistamine enam tuua kaasa ELTL artiklis 266 ette nähtud tagajärgi. Sellest tuleneb, et niisugusel juhul on hagi ese ära langenud, mistõttu on ära langenud ka otsuse tegemise vajadus (12. juuli 1988. aasta kohtuotsus parlament vs. nõukogu, 377/87, EU:C:1988:387, punktid 10 ja 11; vt ka 13. detsembri 2000. aasta kohtumäärus Sodima vs. komisjon, C‑44/00 P, EU:C:2000:686, punkt 83 ja seal viidatud kohtupraktika).
41
Käesolevas asjas tuleb tõdeda, et komisjon vastas 1. aprilli 2022. aasta teabenõudele oma 30. juuni 2022. aasta e-kirjas (vt eespool punkt 11). Pärast käesoleva hagi esitamist lõpetas komisjon seega selle hagi raames hageja väidetud tegevusetuse. Teine nõue, milles palutakse ELTL artikli 265 alusel tuvastada komisjoni tegevusetus 1. aprilli 2022. aasta teabenõudele vastamata jätmise tõttu, on seega kaotanud eseme.
42
Asjaolu, et komisjoni 30. juuni 2022. aasta e-kirja sisu ei vasta hageja soovitud vastusele, ei ole sellega seoses oluline. Asjaolu, et institutsiooni võetud seisukoht ei rahulda hagejat, ei ole siinkohal tähtis, sest ELTL artikkel 265 käsitleb tegevusetust, mis seisneb otsuse võtmisest või seisukoha määratlemisest hoidumises, mitte aga teistsuguse akti vastuvõtmist kui see, mida hageja oleks soovinud või vajalikuks pidanud (vt 6. aprilli 2017. aasta kohtumäärus Brancheforeningen for Regulerkraft i Danmark vs. komisjon, T‑203/16, ei avaldata, EU:T:2017:279, punkt 22 ja seal viidatud kohtupraktika).
43
Sellest järeldub, et hageja tegevusetusnõuete kohta otsuse tegemise vajadus on ära langenud ning puudub vajadus otsustada nende komisjoni esitatud väidete vastuvõetamatuse üle.
Kahju hüvitamise nõuded
44
Kolmandas nõudes esitab hageja kaks kahju hüvitamise nõuet. Esimesena nõuab ta 800 eurot hüvitist mittevaralise kahju eest, mis tekitati talle sellega, et komisjon ei austanud tema õigust tutvuda teabega, rikkudes nii määruse 2018/1725 artikli 14 lõikeid 3 ja 4 ning artikli 17 lõikeid 1 ja 2 ning määruse artikli 4 lõike 1 punktis a ette nähtud läbipaistvuse põhimõtet. Teisena nõuab hageja 400 eurot hüvitist mittevaralise kahju eest, mis tekitati talle vaidlusaluste edastamistega, mis toimusid määruse 2018/1725 artiklit 46 ning artikli 48 lõiget 1 ja lõike 2 punkti b rikkudes.
45
Komisjon palub jätta kahju hüvitamise nõuded rahuldamata.
Sissejuhatavad märkused liidu lepinguvälise vastutuse tekkimise kohta määruse 2018/1725 raames
46
Määruse 2018/1725 artiklis 65 on ette nähtud, et igal isikul, kes on kandnud nimetatud määruse rikkumise tulemusel varalist või mittevaralist kahju, on aluslepingutes sätestatud tingimuste kohaselt õigus saada liidu institutsioonilt või asutuselt tekitatud kahju eest hüvitist.
47
Määruse 2018/1725 artiklit 65 tuleb tõlgendada nii, et selles on ette nähtud, et õigus saada liidu institutsioonilt või asutuselt selle määruse rikkumisega tekitatud kahju eest hüvitist sõltub ELTL artikli 340 teises lõigus sätestatud tingimustest, mille kohaselt heastab liit kogu oma institutsioonide või oma teenistujate poolt ülesannete täitmisel tekitatud kahju vastavalt liikmesriikide seaduste ühistele üldprintsiipidele.
48
Väljakujunenud kohtupraktika kohaselt eeldab liidu lepinguväline vastutus seda, et samal ajal on täidetud kolm tingimust, nimelt liidu institutsioonile etteheidetava tegevuse õigusvastasus, kahju tegelik tekkimine ning põhjuslik seos selle tegevuse ja väidetud kahju vahel (vt selle kohta4. aprilli 2000. aasta kohtuotsus Bergaderm ja Goupil vs. komisjon,C‑352/98 P, EU:C:2000:361, punktid 39–42, ja 28. oktoobri 2021. aasta kohtuotsus Vialto Consulting vs. komisjon, C‑650/19 P, EU:C:2021:879, punkt 138).
49
Nende tingimuste kumulatiivsus tähendab, et kui üks neist tingimustest ei ole täidetud, tuleb kahju hüvitamise hagi jätta tervikuna rahuldamata, ilma et oleks vaja analüüsida teisi tingimusi (9. septembri 1999. aasta kohtuotsus Lucaccioni vs. komisjon, C‑257/98 P, EU:C:1999:402, punktid 14 ja 63; vt ka 25. veebruari 2021. aasta kohtuotsus Dalli vs. komisjon, C‑615/19 P, EU:C:2021:133, punkt 42 ja seal viidatud kohtupraktika.
50
Esimese tingimuse puhul nõuab kohtupraktika, et oleks tuvastatud isikutele õigusi andva õigusnormi piisavalt selge rikkumine (4. juuli 2000. aasta kohtuotsus Bergaderm ja Goupil vs. komisjon, C‑352/98 P, EU:C:2000:361, punkt 42 ja seal viidatud kohtupraktika).
51
Liidu õiguse piisavalt selge rikkumise nõude eesmärk on õigusvastase akti laadist olenemata vältida, et risk, et institutsioon peab kandma asjaomaste ettevõtjate väidetava kahju, ei pärsiks asjaomase institutsiooni suutlikkust oma pädevust üldistes huvides täiel määral rakendada, seda nii õigustloova või majanduspoliitilisi valikuid hõlmava tegevuse puhul kui ka tema halduspädevuse vallas, ilma et ilmsetest ja lubamatutest rikkumistest tulenevad tagajärjed jääksid samas eraõiguslike isikute kanda (vt selle kohta 14. detsembri 2018. aasta kohtuotsus East West Consulting vs. komisjon, T‑298/16, EU:T:2018:967, punkt 124 ja seal viidatud kohtupraktika).
52
Otsustav kriteerium, mis lubab pidada rikkumist piisavalt selgeks, on see, et asjaomane liidu institutsioon või organ on ilmselgelt ja oluliselt ületanud oma kaalutlusõiguse piire. Kui asjaomase institutsiooni või organi kaalutlusõiguse määr on vähene või peaaegu puudub, võib väikseimgi liidu õiguse rikkumine olla küllaldane selleks, et rikkumine oleks piisavalt selge (vt 10. detsembri 2002. aasta kohtuotsus komisjon vs. Camar ja Tico, C‑312/00 P, EU:C:2002:736, punkt 54 ja seal viidatud kohtupraktika). See kohtupraktika ei loo siiski automaatset seost ühelt poolt asjaomase institutsiooni kaalutlusõiguse puudumise ja teiselt poolt rikkumise kvalifitseerimise vahel liidu õiguse piisavalt selgeks rikkumiseks (3. märtsi 2010. aasta kohtuotsus Artegodan vs. komisjon, T‑429/05, EU:T:2010:60, punkt 59). Kuigi tegemist on otsustava kriteeriumiga, ei ole institutsiooni kaalutlusõiguse ulatuse kriteerium ainus kriteerium. Sellega seoses on Euroopa Kohus pidevalt märkinud, et süsteem, mille ta ELTL artikli 340 teise lõigu alusel on välja arendanud, võtab muu hulgas arvesse eelkõige lahendatavate olukordade keerukust ja probleeme õigusaktide kohaldamisel või tõlgendamisel (vt 23. novembri 2011. aasta kohtuotsus Sison vs. nõukogu, T‑341/07, EU:T:2011:687, punktid 36 ja 37 ning seal viidatud kohtupraktika) või üldisemalt valdkonda, tingimusi ja konteksti, milles rikutud õigusnorm on asjaomasele liidu institutsioonile või organile siduv (vt 4. aprilli 2017. aasta kohtuotsus Ombudsman vs. Staelen, C‑337/15 P, EU:C:2017:256, punkt 40 ja seal viidatud kohtupraktika).
53
Sellest järeldub, et liidu vastutuse võib kaasa tuua vaid sellise rikkumise tuvastamine, mida tavapäraselt ettevaatlik ja hoolas haldusorgan ei oleks analoogilises olukorras toime pannud. Seega tuleb liidu kohtul pärast seda, kui ta on kindlaks teinud, kas institutsioonil on kaalutlusruum, võtta arvesse lahendatava olukorra keerukust, probleeme õigusaktide kohaldamisel või tõlgendamisel, rikutud õigusnormi selguse ja täpsuse astet ning tehtud vea tahtlikkust või lubamatust (3. märtsi 2010. aasta kohtuotsus Artegodan vs. komisjon, T‑429/05, EU:T:2010:60, punkt 62).
54
Mis puudutab kahju tegelikkusega seotud tingimust, siis peab kahju olema tegelik ja kindel, mida peab tõendama hageja (vt 9. novembri 2006. aasta kohtuotsus Agraz jt vs. komisjon, C‑243/05 P, EU:C:2006:708, punkt 27 ja seal viidatud kohtupraktika). Ainult oletatav ja määratlemata kahju ei anna seevastu õigust hüvitisele (vt 26. oktoobri 2011. aasta kohtuotsus Dufour vs. EKP, T‑436/09, EU:T:2011:634, punkt 192 ja seal viidatud kohtupraktika).
55
Põhjusliku seosega seotud tingimus puudutab seda, kas institutsioonile etteheidetava tegevuse ja kahju vahel esineb piisavalt otsene põhjuslik seos – mida hageja peab tõendama –, mistõttu etteheidetav tegevus peab olema kahju peamine põhjustaja (vt 13. detsembri 2018. aasta kohtuotsus Euroopa Liit vs. ASPLA ja Armando Álvarez, C‑174/17 P ja C‑222/17 P, EU:C:2018:1015, punkt 23 ja seal viidatud kohtupraktika).
56
Lisaks tuleb märkida, et ELTL artikli 340 teisel lõigul rajanev kahju hüvitamise hagi on sõltumatu õiguskaitsevahend, millel on õiguskaitsevahendite süsteemis oma eriomane koht ja mis sõltub tema spetsiifilist eset arvestades paika pandud rakendustingimustest, mistõttu tühistamishagi vastuvõetamatuks tunnistamine ei too automaatselt kaasa kahju hüvitamise hagi vastuvõetamatuks tunnistamist (vt 5. septembri 2019. aasta kohtuotsus Euroopa Liit vs. Guardian Europe ja Guardian Europe vs. Euroopa Liit, C‑447/17 P ja C‑479/17 P, EU:C:2019:672, punkt 49 ja seal viidatud kohtupraktika).
57
Sellest järeldub, et eespool punktide 35 ja 43 kohaselt tühistamisnõuete vastuvõetamatuse tõttu läbi vaatamata jätmine ja tegevusetusnõuete läbi vaatamata jätmine, kuna otsuse tegemise vajadus on ära langenud, ei tähenda järelikult, et eespool punktis 44 nimetatud kahju hüvitamise nõuded tuleb jätta vastuvõetamatuse tõttu läbi vaatamata.
58
Hageja esitatud väiteid kahju hüvitamise nõude raames tuleb analüüsida just neid kaalutlusi arvestades.
Esimene kahju hüvitamise nõue, millega taotletakse teabega tutvumise õiguse rikkumisest tuleneva mittevaralise kahju hüvitamist
59
Esimeses kahju hüvitamise nõudes palub hageja mõista komisjonilt tema kasuks välja 800 eurot hüvitist mittevaralise kahju eest, mida talle tekitati sellega, et rikuti tema õigust tutvuda teabega.
60
Kõigepealt heidab hageja komisjonile ette, et viimane ei vastanud 1. aprilli 2022. aasta teabenõudele määratud tähtaja jooksul ega teavitanud teda oma tegevusetuse põhjustest, rikkudes sellega määruse 2018/1725 artikli 14 lõikeid 3 ja 4 ning artikli 17 lõikeid 1 ja 2 ning läbipaistvuse põhimõtet, mis on ette nähtud sama määruse artikli 4 lõike 1 punktis a. Lisaks ei järginud komisjon määruse 2018/1725 artikli 17 lõike 1 punkti c ja lõiget 2, kuna eraelu puutumatuse kaitse avaldus, mis on esitatud CAE veebisaidil, ei sisalda teavet isikuandmete edastamise kohta kolmandatesse riikidesse ega võimalike nimetatud edastamisega seotud asjakohaste kaitsemeetmete kohta, nagu on nõutud nimetatud määruse artiklis 48. Lisaks esitas komisjon 3. detsembri 2021. aasta e-kirjas ekslikku teavet, kuna ta eitas hageja isikuandmete edastamist USAs asuvatele vastuvõtjatele.
61
Seejärel väidab hageja, et komisjoni õigusvastane tegevusetus takistas tal kontrollida oma isikuandmete töötlemist, mis kujutab endast mittevaralist kahju määruse 2018/1725 põhjenduse 46 tähenduses. Lõpuks väidab ta, et mittevaraline kahju, mille suuruseks hindab ta 800 eurot, on otseselt põhjustatud komisjoni õigusvastasest tegevusest.
62
Komisjon vaidleb nendele argumentidele vastu, väites sisuliselt, et ükski lepinguvälise vastutuse tekkimise tingimus ei ole käesolevas asjas täidetud.
63
Kõigepealt, mis puudutab etteheidetava käitumise õigusvastasuse tingimust, siis tuleb kontrollida, kas hageja tugines isikutele õigusi andvate õigusnormide rikkumisele.
64
Sellega seoses tuleb märkida, et määruse 2018/1725 artikli 17 lõike 1 punktis c on sätestatud andmesubjekti õigus tutvuda teabega vastuvõtjate kohta, kellele tema isikuandmed on avalikustatud, eelkõige kolmandates riikides asuvate vastuvõtjate kohta. See säte täpsustab niisiis määruse 2018/1725 artikli 4 lõike 1 punktis a sätestatud põhimõtet, mille kohaselt kogu teave isikuandmete töötlemise ja sellega seotud teabevahetuse kohta olema hõlpsasti kättesaadav.
65
Lisaks on määruse 2018/1725 artikli 14 lõikes 3 kehtestatud vastutavale töötlejale ühekuuline tähtaeg teabenõudele vastamiseks. Lisaks peab vastutav töötleja selle määruse artikli 14 lõike 4 kohaselt juhul, kui ta otsustab jätta teabenõude täitmata, teatama taotluse esitajale ühe kuu jooksul oma tegevusetuse põhjused ning selgitama talle võimalust esitada Euroopa Andmekaitseinspektorile kaebus ja kasutada õiguskaitsevahendeid. Need sätted on seega haldusmenetluse normid, mis aitavad rakendada andmesubjekti õigust tutvuda isikuandmete kohta käiva teabega, konkretiseerides ja kohandades seda õigust. Lisaks aitavad need sätted konkretiseerida igale isikule harta artikliga 41 antud õigust sellele, et liidu institutsioonid ja organid käsitleksid tema asja mõistliku aja jooksul.
66
Järelikult kujutavad määruse 2018/1725 artikli 4 lõike 1 punkt a, artikli 14 lõiked 3 ja 4 ning artikli 17 lõike 1 punkt c koostoimes tõlgendatuna endast õigusnorme, mille eesmärk on anda isikutele õigusi eespool punktis 50 viidatud kohtupraktika tähenduses.
67
Järgmiseks tuleb analüüsida, kas käesolevas asjas on tõendatud, et komisjon on neid sätteid rikkunud.
68
Ühelt poolt väidab hageja, et komisjon rikkus määruse 2018/1725 artikli 17 lõike 1 punkti c ja lõiget 2, kuna eraelu puutumatuse kaitse avaldus CAE veebisaidil ei sisalda teavet isikuandmete edastamise kohta kolmandates riikides asuvatele vastuvõtjatele, võimalike nimetatud edastamisega seotud asjakohaste kaitsemeetmete kohta ega töövõtjate kui nende andmete vastuvõtjate tuvastamise kohta.
69
Nagu on märgitud eespool punktis 64, on määruse 2018/1725 artikli 17 lõike 1 punktis c ja lõikes 2 ette nähtud, et andmesubjektil on eelkõige õigus saada teavet kolmandates riikides olevate vastuvõtjate kohta, kellele isikuandmeid on avalikustatud, ning asjakohaste kaitsemeetmete kohta seoses andmete edastamisega vastuvõtjatele.
70
Sellest järeldub, et need sätted näevad ette andmesubjekti õiguse tutvuda teatava teabega, kuid ei näe ette, et see teave peab olema tingimata esitatud konkreetses dokumendis või niisuguses eraelu puutumatuse kaitse avalduses nagu see, mis on esitatud CAE veebilehel. Teisisõnu ei tulene nendest sätetest, et kõnealune teave tuleb nimetatud avaldusega avalikustada. Samas säilib hagejal nagu igal andmesubjektil õigus saada niisugust teavet, kasutades määruse 2018/1725 artikli 17 lõike 1 punktis c ja lõikes 2 ette nähtud õigust tutvuda teabega, mis läheb kaugemale selle õigusvastasuse ulatusest, mida hageja komisjonile ette heidab ja mis piirdub eraelu puutumatuse kaitse avalduse sisuga (vt eespool punkt 68).
71
Igal juhul nähtub käesolevas asjas hagiavaldusele lisatud eraelu puutumatust käsitleva avalduse sõnastusest, et see sisaldab teavet vastuvõtjate või vastuvõtjate kategooriate kohta, kellele isikuandmed on avalikustatud või avalikustatakse. Nii on nimetatud avalduse punktis 7 muu hulgas märgitud, et „[komisjoni] volitatud töötajatele ja töövõtjatele, kelle ülesanne kõnealune töötlemine on, antakse juurdepääs andmetele vastavalt õigus-olla-teadlik-põhimõttele“. Lisaks põhineb hageja argument, et nimetatud avaldus ei sisalda teavet isikuandmete edastamise kohta kolmandates riikides asuvatele vastuvõtjatele, eeldusel, et CAE veebisaidi külastamine tähendab kasutajate isikuandmete edastamist kolmandasse riiki. Käesolev kahju hüvitamise nõue põhineb siiski teabega tutvumise õiguse rikkumisel ja mitte nende sätete rikkumisel, mis käsitlevad isikuandmete edastamist kolmandatesse riikidesse, mis on pealegi teise kahju hüvitamise nõude aluseks.
72
Seega ei ole käesolevas asjas tõendatud, et komisjon rikkus määruse 2018/1725 artikli 17 lõike 1 punkti c ja lõiget 2 seoses eraelu puutumatuse kaitse avaldusega CAE veebisaidil.
73
Teiselt poolt heidab hageja komisjonile ette, et viimane ei vastanud 1. aprilli 2022. aasta teabenõudele määratud tähtaja jooksul ega teavitanud teda oma tegevusetuse põhjustest, rikkudes sellega määruse 2018/1725 artikli 14 lõikeid 3 ja 4 ning artikli 17 lõikeid 1 ja 2 ning läbipaistvuse põhimõtet. Lisaks edastas komisjon talle 3. detsembri 2021. aasta e-kirjas ekslikku teavet.
74
Kõigepealt tuleb märkida, et hageja ei esita läbipaistvuse põhimõtte rikkumise põhjendamiseks ühtegi konkreetset argumenti. Sellel argumendil ei ole niisiis iseseisvat sisu võrreldes etteheitega, mis puudutab teabenõudele vastamise tähtaja järgimata jätmist ja kohustust teatada selle tähtaja ületamise põhjused.
75
Lisaks põhinevad hageja argumendid selle kohta, et on rikutud määruse 2018/1725 artikli 17 lõikeid 1 ja 2 ning et komisjon edastas talle 3. detsembri 2021. aasta e-kirjas ekslikku teavet, eeldusel, et CAE veebisaidi külastamine tähendab kasutajate isikuandmete edastamist kolmandasse riiki. Nagu aga eespool punktis 71 on märgitud, põhineb käesolev kahju hüvitamise nõue teabega tutvumise õiguse rikkumisel ja mitte nende sätete rikkumisel, mis käsitlevad isikuandmete edastamist kolmandatesse riikidesse, mis on teise kahju hüvitamise nõude aluseks.
76
Seega ei ole käesoleval juhul tõendatud, et komisjon rikkus määruse 2018/1725 artikli 17 lõikeid 1 ja 2.
77
Hageja väite kohta, et on rikutud määruse 2018/1725 artikli 14 lõikeid 3 ja 4, nähtub toimikust, et komisjon vastas 9. novembri 2021. aasta teabenõudele määruse 2018/1725 artikli 14 lõikes 3 ette nähtud ühekuulise tähtaja jooksul (vt eespool punktid 5 ja 7). 1. aprilli 2022. aasta teabenõude puhul teatas komisjon 30. juuni 2022. aasta e-kirjas hagejale, et tema hinnangul on 1. aprilli 2022. aasta teabenõue peaaegu identne 9. novembri 2021. aasta teabenõudega ja sellele oli ta oma 3. detsembri 2021. aasta e-kirjas juba vastanud (vt eespool punkt 11).
78
Sellest järeldub, et 1. aprilli 2022. aasta teabenõude puhul ei järginud komisjon määruse 2018/1725 artikli 14 lõikes 4 ette nähtud ühekuulist tähtaega (vt eespool punkt 65).
79
Eespool punktidest 68–78 tuleneb, et ainus komisjonile etteheidetav õigusvastasus, mis on käesoleval juhul tõendatud, on määruse 2018/1725 artikli 14 lõikes 4 ette nähtud tähtaja järgimata jätmine.
80
Neil asjaoludel ja sõltumata küsimusest, kas komisjoni poolt nimetatud tähtaja järgimata jätmine kujutab endast õigusnormi piisavalt selget rikkumist, tuleb kõigepealt analüüsida, kas selle tähtaja järgimata jätmine põhjustas hagejale tegeliku ja kindla mittevaralise kahju eespool punktis 54 viidatud kohtupraktika tähenduses.
81
Väidetavalt tekitatud mittevaralise kahju tegelikkuse kohta tuleb märkida, et ehkki tõendite kogumise taotluse esitamist ei käsitata tingimata mittevaralise kahju tuvastamise tingimusena, tuleb hagejal vähemalt tõendada, et käitumine, mida ta asjaomasele institutsioonile ette heidab, oli selline, et see põhjustas temale niisuguse kahju (16. juuli 2009. aasta kohtuotsus SELEX Sistemi Integrati vs. komisjon, C‑481/07 P, ei avaldata, EU:C:2009:461, punkt 38; vt ka 2. juuli 2019. aasta kohtuotsus Fulmen vs. nõukogu, T‑405/15, EU:T:2019:469, punkt 188 ja seal viidatud kohtupraktika).
82
Käesolevas asjas palub hageja hüvitada mittevaraline kahju summas 800 eurot, väites, et komisjonile etteheidetav käitumine takistas tal kontrollida oma isikuandmete töötlemist.
83
Tuleb siiski tõdeda, et niisugune mittevaraline kahju ei ole käesoleval juhul tõendatud. Nimelt on käesolevas asjas ainus tuvastatud õigusvastasus see, et komisjon ei järginud määruse 2018/1725 artikli 14 lõikes 4 ette nähtud ühekuulist tähtaega (vt eespool punkt 79). Seda tähtaega ei ületatud aga rohkem kui kahe kuu võrra (vt eespool punkt 77). Lisaks olid 9. novembri 2021. aasta ja 1. aprilli 2022. aasta teabenõue põhimõtteliselt samad (vt eespool punktid 5 ja 8), mistõttu oli hageja vähemalt ühele osale oma teabenõudest juba saanud vastuse 3. detsembril 2021, mil komisjon vastas 9. novembri 2021. aasta teabenõudele (vt eespool punkt 7).
84
Lisaks puudutab hageja argument eksliku teabe esitamise kohta (vt eespool punkt 75) teabe põhjendatust ja mitte selle menetlusnormi järgimist, mille rikkumine on tuvastatud eespool punktis 78 ning mis ei ole seega väidetava mittevaralise kahju tõendamisel asjakohane.
85
Sellest järeldub, et ei ole tõendatud, et komisjoni poolt määruse 2018/1725 artikli 14 lõikes 4 ette nähtud tähtaja järgimata jätmine oleks põhjustanud hagejale väidetava mittevaralise kahju.
86
Järelikult, kuna üks ELTL artikli 340 teises lõigus ette nähtud liidu lepinguvälise vastutuse tekkimise kumulatiivsetest tingimustest ei ole täidetud, tuleb hageja esimene kahju hüvitamise nõue rahuldamata jätta.
Teine kahju hüvitamise nõue, milles palutakse hüvitada vaidlusaluste edastamistega tekitatud mittevaraline kahju
87
Teise kahju hüvitamise nõudega nõuab hageja 400 eurot hüvitist mittevaralise kahju eest, mis talle väidetavalt tekitati eespool punktides 26–28 nimetatud vaidlusaluste edastamistega, st vaidlusaluse edastamisega CAE veebisaidi külastamisel 30. märtsil 2022, vaidlusaluse edastamisega EU Logini sisselogimisel 30. märtsil 2022 ja vaidlusaluse edastamisega CAE veebisaidi külastamisel 8. juunil 2022.
88
Hageja väidab sisuliselt, et vaidlusalused edastamised toimusid vastuvõtjatele, kes asuvad USAs, kus ei ole nõuetekohasel tasemel kaitset. Komisjon ei viidanud ühelegi määruse 2018/1725 V peatükis ette nähtud asjakohasele kaitsemeetmele, mis võiks seda edastamist õigustada, ning rikkus niisiis selle määruse artiklit 46 ja artikli 48 lõiget 1 ja lõike 2 punkti b ning harta artikleid 7, 8 ja 47. Vaidlusalused edastamised tekitasid ohu, et USA julgeoleku- ja luureteenistustel võib olla juurdepääs hageja andmetele, ning tekitasid talle seega mittevaralist kahju määruse 2018/1725 põhjenduse 46 tähenduses, kuna temalt võeti tema õigused ja vabadused ning tal takistati kontrollida oma andmeid.
89
Komisjon vaidleb nendele argumentidele vastu, väites sisuliselt, et ükski lepinguvälise vastutuse tekkimise tingimus ei ole käesolevas asjas täidetud.
– Sissejuhatavad märkused isikuandmete kolmandasse riiki edastamist käsitlevate sätete kohta
90
Esimesena tuleb märkida, et määruse 2018/1725 artikli 2 lõike 5 kohaselt kohaldatakse seda määrust isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad kataloogi või kui need kavatsetakse sellesse kanda.
91
Teisena tuleb mõistet „isikuandmed“ tõlgendada nii, et sellele vastab igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta vastavalt määruse 2018/1725 artikli 3 punktile 1.
92
Kolmandana tuleb märkida, et andmete edastamine kujutab endast andmete „töötlemist“ määruse 2018/1725 artikli 3 punkti 3 tähenduses.
93
Neljandana tuleb märkida, et „isikuandmete edastamist kolmandatele riikidele või rahvusvahelistele organisatsioonidele“ reguleerib määruse 2018/1725 V peatükk, milles ei ole seda siiski määratletud.
94
Määruse 2018/1725 põhjendusest 63 nähtub sellegipoolest, et selle määruse V peatüki sätetega hõlmatud edastamine puudutab isikuandmeid, mis edastatakse liidu institutsioonidelt ja asutustelt vastutavatele töötlejatele, volitatud töötlejatele või muudele vastuvõtjatele kolmandates riikides või rahvusvahelistele organisatsioonidele.
95
Lisaks tuleneb määruse 2018/1725 süstemaatilisest tõlgendamisest, et isikuandmete edastamine kolmandatele riikidele selle artikli 46 tähenduses nõuab esiteks, et vastutav töötleja kuuluks liidu institutsiooni või organisse ning seega oleks see määrus tema suhtes kohaldatav (määruse 2018/1725 artikkel 1); teiseks, et vastutav töötleja teeks isikuandmed edastamise teel või muul viisil kättesaadavaks vastuvõtjale, eelkõige teisele füüsilisele või juriidilisele isikule (määruse 2018/1725 artikli 3 punktid 3 ja 13), ning kolmandaks, et see vastuvõtja asuks kolmandas riigis (määruse 2018/1725 artikkel 46), st riigis, mis ei ole ei liidu ega Euroopa Majanduspiirkonna (EMP) liige.
96
Viiendana tuleb tõdeda, et määruse 2018/1725 V peatüki sätete eesmärk on kolmandatele riikidele või rahvusvahelistele organisatsioonidele isikuandmete edastamisel hoida füüsiliste isikute liidus tagatud kaitse taset vastavalt selle määruse põhjenduses 63 täpsustatud eesmärgile.
97
Kuuendana on määruse 2018/1725 artiklis 46 nähtud ette üldpõhimõte, mille kohaselt võib isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile edastada ainult juhul, kui vastutav töötleja ja volitatud töötleja on täitnud selle määruse V peatükis määratletud tingimused, kui selle määruse muudest sätetest ei tulene teisiti.
98
Seitsmendana, mis puudutab määruse 2018/1725 V peatükis määratletud tingimusi, siis tuleb märkida, et selle määruse artikli 47 lõikes 1 on ette nähtud, et isikuandmeid võib kolmandale riigile või rahvusvahelisele organisatsioonile edastada siis, kui komisjon on eelkõige määruse 2016/679 artikli 45 lõike 3 kohaselt võetud kaitse piisavuse otsusega otsustanud, et asjaomane riik või rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme, ning isikuandmeid edastatakse üksnes vastutava töötleja pädevusse kuuluvate ülesannete täitmiseks.
99
Sellega seoses tuleb märkida, et komisjoni kaks kaitse piisavuse otsust, mis puudutavad USAd, on tunnistatud kehtetuks. Ühelt poolt tunnistas Euroopa Kohus 6. oktoobri 2015. aasta kohtuotsusega Schrems (C‑362/14, EU:C:2015:650) kehtetuks komisjoni 26. juuli 2000. aasta otsuse 2000/520/EÜ vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ piisava kaitse kohta, mis on ette nähtud programmi Safe Harbor põhimõtetega ja sellega seotud korduma kippuvate küsimustega, mille on välja andnud Ameerika Ühendriikide kaubandusministeerium (EÜT 2000, L 215, lk 7; ELT eriväljaanne 16/01, lk 119). Teiselt poolt tunnistas Euroopa Kohus Schrems II kohtuotsuses kehtetuks komisjoni 12. juuli 2016. aasta rakendusotsuse (EL) 2016/1250 isikuandmete kaitse piisavuse kohta ELi-USA andmekaitseraamistikus Privacy Shield vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ (ELT 2016, L 207, lk 1).
100
Sellest järeldub, et vaidlusaluste edastamiste ajal ei olnud USA kohta tehtud ühtegi kaitse piisavuse otsust määruse 2018/1725 artikli 47 tähenduses.
101
Kui komisjon ei ole USA kohta teinud kaitse piisavuse otsust, siis on kohaldatav määruse 2018/1725 artikli 48 lõige 1, mille kohaselt võib isikuandmeid edastada kolmandale riigile või rahvusvahelisele organisatsioonile üksnes juhul, kui vastutav töötleja või volitatud töötleja on võtnud asjakohased kaitsemeetmed ning tingimusel, et andmesubjektide kohtulikult kaitstavad õigused ja tõhusad õiguskaitsevahendid on kättesaadavad.
102
Määruse 2018/1725 artikli 48 lõikes 1 osutatud asjakohased kaitsemeetmed, mis on loetletud selle määruse artikli 48 lõigetes 2 ja 3, võivad olla muu hulgas ette nähtud standardsete andmekaitseklauslitega, mille komisjon on vastu võtnud kooskõlas selle määruse artikli 48 lõike 2 punktiga b.
103
Määruse 2018/1725 artikli 48 lõike 2 punktis b ette nähtud standardsete andmekaitseklauslite puhul võib siiski olla vaja võtta täiendavaid meetmeid, et tagada liidu õiguse seisukohast nõuetekohase kaitsetaseme järgimine (vt analoogia alusel kohtuotsus Schrems II, punktid 133 ja 134).
104
Lisaks võib Euroopa Andmekaitseinspektori loal määruse 2018/1725 artikli 48 lõikes 1 osutatud asjakohased kaitsemeetmed ette näha eelkõige vastutava töötleja või volitatud töötleja ning kolmanda riigi vastutava töötleja või volitatud töötleja või isikuandmete vastuvõtja vaheliste lepingutingimustega, mis on ette nähtud nimetatud määruse artikli 48 lõike 3 punktis a.
105
Lisaks tuleb märkida, et harta artiklites 7, 8 ja 47 on sätestatud vastavalt õigus eraelu austamisele, õigus isikuandmete kaitsele ning õigus tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele.
106
Käesolevas asjas tuleb kõigepealt märkida, et hageja teine kahju hüvitamise nõue põhineb väitel, et komisjon rikkus määruse 2018/1725 artiklit 46, artikli 48 lõiget 1 ja lõike 2 punkti b ning harta artikleid 7, 8 ja 47. Eespool punktidest 91–105 nähtub aga, et määruse 2018/1725 sätetes on täpsustatud niisuguseid põhiõigusi nagu need, mis harta artiklites 7 ja 8 kehtestatud, ning nende eesmärk tervikuna on tagada isikuandmete järjepidev kõrgetasemeline kaitse asjaomaste andmete edastamisel kolmandatele riikidele või rahvusvahelistele organisatsioonidele.
107
Sellest järeldub, et nende sätete – mille rikkumisele hageja oma teise kahju hüvitamise nõude põhjendamiseks tugineb – eesmärk on kaitsta huvitatud isikute individuaalseid huve ja seega kujutavad need endast isikutele õigusi andvaid õigusnorme eespool punktis 50 viidatud kohtupraktika tähenduses.
108
Nüüd tuleb aga kontrollida, kas komisjoni lepinguvälise vastutuse tekkimise tingimused on täidetud kõigi kolme vaidlusaluse edastamise puhul, mida on mainitud eespool punktis 87.
109
Arvestades, et eespool punktides 26 ja 28 mainitud vaidlusalused edastamised toimusid seetõttu, et CAE veebisaidil kasutati sisulevivõrku (inglise keeles „content delivery network“ või „CDN“) Amazon CloudFront (edaspidi „Amazon CloudFronti teenus“), tuleb kõigepealt uurida, millistel tingimustel see teenus asjaomasel veebisaidil toimib.
– Amazon CloudFronti teenuse toimimine CAE veebisaidil
110
Käesoleval juhul ei ole vaidlust selles, et CAE veebisait kasutab sisulevivõrku Amazon CloudFront ja et see võrk aktiveeritakse iga kord, kui kasutaja nimetatud veebisaiti külastab.
111
Toimikust – eelkõige poolte vastustest 21. juuli 2023. aasta menetlust korraldavale meetmele ning nende suulistest seisukohtadest ja vastustest 17. oktoobri 2023. aasta kohtuistungil – nähtub, et esiteks on Amazon CloudFronti teenus veebiteenus, mis kiirendab internetisisu – käesoleval juhul CAE veebisaidi sisu – levitamist kasutajatele. Amazon CloudFronti teenus levitab sisu üleilmses serverivõrgus või andmekeskustes, mida kutsutakse edge-asukohaks (inglise keeles „edge location“) või edge-serveriteks (inglise keeles „edge servers“).
112
Teiseks põhineb Amazon CloudFronti teenus marsruutimismehhanismil, mis suunab CAE veebisaidi kasutaja taotluse edge-serverisse, millel on kõige lühem latentsusaeg, vastavalt kasutaja lõppseadmele lähedal asumise põhimõttele, et sisu edastataks kasutajale parimatel võimalikel tingimustel. Kui eelkõige tehniliste raskuste tõttu ei ole kõige lühema latentsusajaga edge-server kättesaadav, luuakse ühendus lühiduselt teise latentsusajaga serveriga ja nii edasi.
113
Kolmandaks kasutatakse Amazon CloudFronti teenust CAE veebisaidi jaoks komisjoni ja AWS EMEA vahel sõlmitud lepingu nr 2020-1742 alusel, kusjuures viimane on USA õiguse alusel asutatud ettevõtja Amazon.com-i tütarettevõtja, kelle asukoht on Luksemburgis (vt eespool punkt 12).
114
Neljandaks valis komisjon selle lepingu raames CAE veebilehele geograafilise piirkonna „Põhja-Ameerika (USA, Mehhiko, Kanada), Euroopa ja Iisrael“. See tähendab, et kõnealuse veebisaidi sisu ei levitata mitte Amazon CloudFronti edge-serverite ülemaailmse võrgu kaudu, vaid üksnes nende serverite kaudu, mis asuvad eelnimetatud geograafilistes piirkondades, nimelt USAs, Mehhikos, Kanadas, Euroopas ja Iisraelis.
115
Viiendaks, eespool punktis 112 mainitud läheduse põhimõtte tõttu suunatakse liidu kasutajate taotlused CAE veebisaidi külastamiseks tavaliselt sellel territooriumil asuvatele Amazon CloudFronti võrgu edge-serveritele, samas kui juhud, kus need taotlused on suunatud väljaspool liitu asuvatele serveritele, on harvad.
116
Kuuendaks, mis puudutab Amazon CloudFronti edge-serverite võrgu taristut, siis nähtub toimikust, et seda pakub hulk ettevõtjaid, kellest mõni kuulub Amazoni kontserni ja teised on kolmandad ettevõtjad ning kelle nimekirjaga saab tutvuda veebisaidil Amazon Web Services vastavalt asjaomasele geograafilisele piirkonnale. Geograafilises piirkonnas „Põhja-Ameerika (USA, Mehhiko, Kanada), Euroopa ja Iisrael“ on asjaomased ettevõtjad asutatud nii liidu liikmesriikides kui ka liidust väljaspool, eelkõige USAs, Iisraelis, Mehhikos, Šveitsis ja Ühendkuningriigis. Iga ettevõtja käitab servereid oma asukohariigis ja seega sõltub Amazon CloudFronti teenuse osutamises osalevate serverite geograafiline asukoht ka asjaomaste ettevõtjate asukohast.
117
Seitsmendaks näevad komisjoni ja AWS EMEA vahelise lepingu tingimused muu hulgas ette järgmist:
–
AWS EMEA peab suutma tagada, et jõudeolekus ja edastamisel jäävad andmed EMP territooriumile (lepingu punkt 11.2);
–
AWS EMEA ei tohi muuta andmetöötluse asukohta ilma komisjoni eelneva loata (lepingu punkti 12.2.3 alapunkt a);
–
lepingu alusel isikuandmete edastamine kolmandatele riikidele või rahvusvahelistele organisatsioonidele peab olema täielikult kooskõlas määruse 2018/1725 V peatükis sätestatud nõuetega (lepingu punkti 12.2.3 alapunkt b);
–
AWS EMEA ei või edastada isikuandmeid riiki, mis asub väljaspool EMPd, välja arvatud juhul, kui komisjon on andnud selleks eelneva kirjaliku loa ja edastamine toimub vastavalt V peatüki tingimustele (lepingu punkt 1.8.9);
–
AWS EMEA peab esitama komisjonile kõik isikuandmetele juurdepääsu taotlused ja kasutama kõiki nende taotluste vaidlustamiseks kasutatavaid õiguskaitsevahendeid (lepingu punktid 1.8.3, 1.8.4 ja 1.8.5);
–
AWS EMEA peab tagama, et neid meetmeid rakendatakse ka volitatud töötlejate kasutamise korral (lepingu punkt 1.8.8).
118
Kaheksandaks konsulteeris komisjon Euroopa Andmekaitseinspektoriga eespool nimetatud lepingutingimuste osas, kuid andmekaitseinspektor ei andnud neile määruse 2018/1725 artikli 48 lõike 3 punkti a alusel ametlikku luba.
– Vaidlusalune edastamine CAE veebisaidi külastamisel 30. märtsil 2022
119
Hageja väidab sisuliselt, et CAE veebisaidi külastamisel 30. märtsil 2022 tuvastas ta, et teatavad talle kuuluvad isikuandmed, eelkõige tema IP-aadress ning teave tema veebilehitseja ja lõppseadme kohta, olid edastatud USAsse. Esiteks kasutab see veebisait sisulevivõrku Amazon CloudFront, mille operaator on USA ettevõtja Amazon.com-i tütarettevõtja Amazon Web Services. Teiseks saadeti selle külastuse käigus hageja isikuandmed Amazon CloudFronti teenusele, täpsemalt Seattle’is (Washington, USA) asuva Amazon.com-i serverisse, mille IP-aadress on 18.66.192.74. Kolmandaks oli CAE veebisaidil kasutatava turbevõtme (nn SSL-sertifikaat) andnud Amazon, mistõttu tuleb eeldada, et tal oli võimalik dekrüpteerida kõik hageja isikuandmed, mis olid edastatud tema serveritesse, sealhulgas hageja arvamused Euroopa tuleviku kohta. Neljandaks kohaldatakse Amazon CloudFronti teenust osutava ettevõtja suhtes USA seadusi ja ta on seega kohustatud edastama teavet USA julgeoleku- ja järelevalveteenistustele ning seda isegi juhul, kui serverid asuvad väljaspool seda riiki. Lisaks ei võtnud komisjon „täiendavaid meetmeid“ kohtuotsuse Schrems II tähenduses, et tagada USAsse edastatud andmete nõuetekohane kaitsetase.
120
Komisjon vaidleb neile argumentidele vastu.
121
Mis puudutab CAE veebisaidi külastamist 30. märtsil 2022, siis nähtub toimikust, et sel kuupäeval külastas hageja seda veebisaiti (vt eespool punkt 3), mille käigus edastati tema IP-aadress ning teave tema veebilehitseja ja lõppseadme kohta.
122
Sellega seoses tuleb tõdeda, et IP-aadress tuleb kvalifitseerida isikuandmeteks määruse 2018/1725 artikli 3 punkti 1 tähenduses, sest see vastab kahele selles sättes ette nähtud tingimusele. Esiteks puudutab see teave füüsilist isikut ja teiseks puudutab see tuvastatud või tuvastatavat isikut, käesoleval juhul hagejat (26. aprilli 2023. aasta kohtuotsus SRB vs. Euroopa Andmekaitseinspektor, T‑557/20, edasi kaevatud, EU:T:2023:219, punkt 59; vt selle kohta ja analoogia alusel ka 24. novembri 2011. aasta kohtuotsus Scarlet Extended, C‑70/10, EU:C:2011:771, punkt 51, ja 19. oktoobri 2016. aasta kohtuotsus Breyer, C‑582/14, EU:C:2016:779, punkt 49). Nimelt vastavad isegi nn dünaamilised IP-aadressid – mis oma olemuselt on ajas muutuvad – konkreetsel ajahetkel täpsele identiteedile, mis käesoleval juhul langeb kokku ajahetkega, mil külastati CAE veebisaiti.
123
Samuti on tõendatud, et eespool punktis 121 nimetatud andmete edastamine käivitati CAE veebisaidilt Amazon CloudFronti teenuse kaudu serverisse, mille IP-aadress on 18.66.192.74.
124
Lisaks on tõendatud, et asjaolude toimumise ajal oli IP-aadress 18.66.192.74 eraldatud Münchenis (Saksamaa) asuvale serverile ja et see server kuulus Saksamaal asutatud ettevõtjale A 100 ROW GmbH, kes kuulus eespool punktis 116 nimetatud ettevõtjate nimekirja.
125
Sellest järeldub, et CAE veebisaidi külastamise ajal 30. märtsil 2022 toimus tõepoolest hageja isikuandmete, eelkõige tema IP-aadressi edastamine määruse 2018/1725 artikli 3 punkti 1 tähenduses.
126
Käesolevas asjas ei ole siiski tõendatud, et CAE veebisaidi külastamisel 30. märtsil 2022 toimus hageja isikuandmete edastamine kolmandasse riiki ja eelkõige USAsse.
127
Seevastu nähtub eespool punktidest 121–124, et CAE veebisaidi külastamisel 30. märtsil 2022 käivitati hageja isikuandmete edastamine CAE veebisaidilt Amazon CloudFronti teenuse kaudu Münchenis asuvasse serverisse. Nimetatud server kuulus Saksamaal asuvale ettevõtjale, kes kuulus Amazon CloudFronti teenuse – mida osutatakse komisjonile Luksemburgis asuva ettevõtjaga AWS EMEA sõlmitud lepingu alusel – taristu pakkujate võrgustikku.
128
Sellest järeldub, et CAE veebisaidi külastamisel 30. märtsil 2022 edastati hageja isikuandmed liidus asuvale vastuvõtjale.
129
Lisaks, isegi kui möönda, et hageja isikuandmeid ei ole liidu territooriumilt välja viidud, edastati need andmed siiski serverisse, mis kuulub Amazon CloudFronti teenuse edge-serverite võrgustikku, mis CAE veebisaidi sisu levitamise osas hõlmab edge-serverite võrgustikku, mis ei piirdu EMP territooriumiga, vaid ulatub sellest kaugemale (vt eespool punkt 116).
130
Eespool punktis 127 kirjeldatud konkreetsed asjaolud ei tõenda siiski isikuandmete edastamist vastuvõtjatele, kes asuvad väljaspool EMP territooriumi, eelkõige USAs.
131
Vaidlusalune edastamine CAE veebisaidi külastamisel 30. märtsil 2022 ei kujuta endast seega isikuandmete edastamist kolmandasse riiki määruse 2018/1725 artikli 46 tähenduses, kuna kolmandasse riiki edastamise kontseptsioon nõuab, et isikuandmed tehtaks kättesaadavaks väljaspool EMPd asuvale vastuvõtjale (vt eespool punkt 93).
132
Seda järeldust ei sea kahtluse alla hageja argument, et AWS EMEA on USA ettevõtja tütarettevõtjana kohustatud edastama USA ametiasutustele isikuandmeid, isegi kui need andmed on salvestatud liidu territooriumil.
133
Kuigi on tõsi, et kolmandate riikide ametiasutuste juurdepääs EMPs töödeldud isikuandmetele selle kolmanda riigi õigusaktide alusel kujutab endast isikuandmete edastamist kolmandasse riiki määruse 2018/1725 artikli 46 tähenduses, ei ole käesoleval juhul siiski tõendatud, et niisugune juurdepääs toimus. Nimelt ei ole hageja tõendanud ega väitnud, et USA ametiasutustele edastatakse talle kuuluvaid isikuandmeid, samuti ei ole ta tõendanud ega väitnud, et need asutused oleksid taotlenud Münchenis asuvasse Amazon CloudFronti serverisse edastatud andmeid.
134
Seega ei puuduta hageja argument määruse 2018/1725 V peatüki sätete otsest rikkumist, vaid üksnes niisuguse rikkumise ohtu juhul, kui AWS EMEA – põhjusel, et ta on USA ettevõtja tütarettevõtja – ei saa vaidlustada USA ametiasutuste taotlust saada juurdepääs andmetele, mis on salvestatud EMP territooriumil asuvates serverites.
135
Ainuüksi oht, et kolmandal riigil on isikuandmetele juurdepääs, ei saa aga vastata andmete edastamisele määruse 2018/1725 artikli 46 tähenduses, nagu seda on tõlgendatud eespool punktis 93, kuna ei ole tõendatud, et hageja isikuandmed edastati või tehti muul viisil kättesaadavaks vastuvõtjale, kes asub kolmandas riigis. Teisisõnu ei saa nimetatud artikli 46 rikkumise ohtu samastada selle sätte otsese rikkumisega.
136
Lisaks tuleb märkida, et käesoleva kahju hüvitamise nõude raames puudutab Üldkohtu analüüs komisjoni lepinguvälise vastutuse tekkimise tingimuste kontrollimist ja eelkõige komisjoni tegevuse õigusvastasuse tingimuse kontrollimist, mis nõuab, et oleks tõendatud nende määruse 2018/1725 ja harta sätete piisavalt selge rikkumine, millele hageja tugineb.
137
Sellega seoses ei piisa igal juhul ainuüksi määruse 2018/1725 V peatüki sätete rikkumise ohust selleks, et tuvastada komisjoni õigusvastane tegevus, mis vastab nende sätete piisavalt selgele rikkumisele.
138
Seda järeldust ei sea kahtluse alla hageja argument, mis tugineb kohtuotsusele Schrems II. Nimelt tuleb märkida, et selles kohtuotsuses võttis Euroopa Kohus seisukoha teatud tingimuste puhul, mille esinemisel võib toimuda isikuandmete USAsse edastamine, mitte aga tingimuste kohta, mille esinemisel võivad EMP territooriumil niisuguseid andmeid töödelda sellised USA õiguse alusel asutatud äriühingu tütarettevõtted nagu AWS EMEA.
139
Kõigest eeltoodust tuleneb, et mis puudutab vaidlusalust edastamist CAE veebisaidi külastamisel 30. märtsil 2022, siis ei ole hageja tõendanud, et komisjon pani toime määruse 2018/1725 artikli 46 ja artikli 48 lõike 1 ja lõike 2 punkti b ning harta artiklite 7, 8 ja 47 piisavalt selge rikkumise eespool punktis 50 viidatud kohtupraktika tähenduses.
140
Järelikult, kuna üks ELTL artikli 340 teises lõigus ette nähtud liidu lepinguvälise vastutuse tekkimise kumulatiivsetest tingimustest ei ole täidetud, tuleb teine kahju hüvitamise nõue seoses vaidlusaluse edastamisega CAE veebisaidi külastamisel 30. märtsil 2022 jätta rahuldamata, ilma et oleks vaja analüüsida hageja muid argumente.
– Vaidlusalune edastamine CAE veebisaidi külastamisel 8. juunil 2022
141
Hageja väidab, et CAE veebisaidi külastamisel 8. juunil 2022 toimus tema isikuandmete, eelkõige tema IP-aadressi edastamine Amazon CloudFronti serveritesse, mis asuvad USAs. Hageja sõnul ei tulene need edastamised tema tegevusest veebisaidi kasutajana, vaid Amazon CloudFronti teenuse toimimisest, mille raames on andmete USAsse edastamise oht omane üleilmsele taristule, millel see teenus põhineb. Hageja olukord ei erine sellise liidu kodaniku olukorrast, kes näiteks USAs töölähetuses viibides külastab CAE veebisaiti. Komisjon ei ole üles näidanud nõutavat hoolsust, et vältida andmete edastamist USAsse, kuna puhtalt Euroopa majutuslahenduse asemel valis ta üleilmsel struktuuril põhineva sisulevivõrgu.
142
Hageja sõnul tekitas nimetatud isikuandmete edastamine talle mittevaralist kahju määruse 2018/1725 põhjenduse 46 tähenduses, kuna ta kaotas kontrolli oma andmete üle, mis edastati USAsse ja mida USA asutused ebaseaduslikult jälgisid, ning temalt võeti tema õigused ja vabadused.
143
Komisjon vaidleb neile argumentidele vastu.
144
Kõigepealt ja võttes arvesse hageja argumente, tuleb märkida, et käesoleva kahju hüvitamise nõude raames ei puuduta Üldkohtu analüüs otseselt komisjoni selle otsuse õiguspärasust, millega komisjon otsustas kasutada CAE veebisaidi sisu levitamiseks Amazon CloudFronti teenust, vaid komisjoni lepinguvälise vastutuse tekkimise tingimuste kontrollimist seoses vaidlusaluse edastamisega CAE veebisaidi külastamisel 8. juunil 2022.
145
Käesolevas asjas peab Üldkohus otstarbekaks käsitleda kõigepealt tingimust, mis puudutab põhjusliku seose olemasolu komisjoni väidetava õigusvastase käitumise ja väidetava mittevaralise kahju vahel.
146
Eespool punktis 55 viidatud kohtupraktikast tuleneb, et põhjusliku seosega tingimus puudutab seda, kas institutsioonile etteheidetava käitumise ja kahju vahel on piisavalt otsene põhjuslik seos – mida hageja peab tõendama –, mistõttu etteheidetav käitumine peab olema kahju peamine põhjustaja.
147
Lisaks ilmneb väljakujunenud kohtupraktikast, et põhjuslik seos, mis on vajalik selleks, et tekiks liidu lepinguväline vastutus ELTL artikli 340 teise lõigu tähenduses, tuvastatakse siis, kui kahju on kõnealuse õigusvastase teo otsene tagajärg (28. juuni 2007. aasta kohtuotsus Internationaler Hilfsfonds vs. komisjon, C‑331/05 P, EU:C:2007:390, punkt 23).
148
Üldkohus on otsese põhjusliku seose kohta juba otsustanud, et kahju peab tulenema otseselt väidetavast õigusvastasusest ja mitte hageja valikust küsimuses, kuidas reageerida väidetavalt õigusvastasele aktile. Nii on asutud seisukohale, et liidu kohtpraktika tähenduses piisavalt otsese põhjusliku seose tuvastamiseks ei piisa ainuüksi sellest, et õigusvastane käitumine oli kahju tekkimise vajalik eeltingimus (conditio sine qua non) selles mõttes, et ilma sellise käitumiseta ei oleks kahju tekkinud (vt selle kohta analoogia alusel 30. novembri 2011. aasta kohtuotsus Transnational Company Kazchrome ja ENRC Marketing vs. nõukogu ja komisjon, T‑107/08,EU:T:2011:704, punkt 80 ja seal viidatud kohtupraktika, ning 23. mai 2019. aasta kohtuotsus Remag Metallhandel ja Jaschinsky vs. komisjon, T‑631/16, ei avaldata, EU:T:2019:352, punkt 52 ja seal viidatud kohtupraktika).
149
Seega tuleneb kohtupraktikast, et niisugune põhjuslik seos ei ole tõendatud, kui väidetav kahju on hageja enda otsuse või vaba valiku otsene tagajärg ning seda ei saa järelikult omistada asjaomasele institutsioonile või organile (vt selle kohta analoogia alusel 28. juuni 2007. aasta kohtuotsus Internationaler Hilfsfonds vs. komisjon, C‑331/05 P, EU:C:2007:390, punktid 22–29; 17. veebruari 2017. aasta kohtuotsus Novar vs. EUIPO, T‑726/14, EU:T:2017:99, punktid 31 ja 32, ning 28. veebruari 2018. aasta kohtuotsus Vakakis kai Synergates vs. komisjon, T‑292/15, EU:T:2018:103, punkt 173 ja seal viidatud kohtupraktika).
150
Käesolevas asjas tuleb seega uurida, kas komisjonile etteheidetav tegevus, st Amazon CloudFronti teenuse kasutamine CAE veebisaidi sisulevivõrguna on otsene põhjus väidetava mittevaralise kahju tekkimisele, mis seisneb selles, et hageja kaotas kontrolli oma isikuandmete üle, mis edastati USAsse nimetatud veebisaidi külastamisel 8. juunil 2022.
151
Esiteks nähtub sellega seoses toimikust ja poolte vastustest kohtuistungil esitatud küsimustele, et hageja oli 8. juunil 2022 Münchenis ja külastas CAE veebisaiti mitu korda. Nende külastuste käigus lõi hageja IP-aadress järjestikused ühendused erinevate Amazon CloudFronti teenuse serveritega, mis olid üksteisest geograafiliselt väga kaugel. Nii logis ta kell 7.13 sisse Münchenis asuvasse serverisse, kell 11.13 Londonis (Ühendkuningriik) asuvasse serverisse, kell 12.56 Hillsboros (Oregon, USA) asuvasse serverisse, kell 13.05 Newarkis asuvasse serverisse ja kell 19.12 Frankfurdis (Saksamaa) asuvasse serverisse.
152
Teiseks nähtub toimikust, et hageja IP-aadress edastati eri Amazon CloudFronti teenuse serveritele, mida on mainitud eespool punktis 151, sealhulgas nendele, mis asuvad USAs.
153
Kolmandaks tuleb märkida, et hageja IP-aadress kujutab endast isikuandmeid.
154
Neljandaks tuleb märkida, et 8. juunil 2022 registreeris CAE veebisait 4548 ühendust ja 18 erinevat IP-aadressi. Üks IP-aadress, nimelt hageja oma, lõi ühenduse serveritega, mis asusid väljaspool liitu, nimelt USAs ja Ühendkuningriigis. Sellega seoses tuleb märkida, et ei ole tõendatud ega isegi väidetud, et 8. juunil 2022 oli CAE veebisaidi Amazon CloudFronti teenusel tehnilisi või muud laadi probleeme, mis takistanuks tema marsruutimismehhanismi tavapärast toimimist vastavalt läheduse põhimõttele, mis suunab CAE veebisaidi kasutaja taotluse edge-serverisse, millel on kõige lühem latentsusaeg, olenevalt kasutaja geograafilisest asukohast (vt eespool punkt 112).
155
Viiendaks, mis puudutab asjaolusid, mis ümbritsevad hageja IP-aadressiga loodud ühendusi USAs asuvate serveritega, siis ühelt poolt nähtub toimikust ja poolte vastustest kohtuistungil, et hageja väidab, et need ühendused tulenesid Amazon CloudFronti toimimisest ja mitte temapoolsest manipuleerimisest. Teiselt poolt märgib komisjon, et need ühendused olid ebatüüpilised ja neid saab selgitada üksnes hagejapoolse tehnilise manipuleerimisega.
156
Sellega seoses tuleb tõdeda, et eespool punktis 151 kirjeldatud asjaolud näitavad, et nende serverite, kuhu hageja IP-aadressiga sisse logiti, eri asukohad ei saa tuleneda hageja füüsilisest liikumisest samal päeval, mis on kõnealuseid vahemaid ja ajavahemikke arvestades võimatu. Lisaks ei ole tõendatud ega isegi väidetud mingeid häireid Amazon CloudFronti teenuses, mis võimaldab järeldada, et 8. juunil 2022 toimis see teenus kasutaja lõppseadme läheduse põhimõtte alusel, kuna selle marsruutimismehhanism suunas CAE veebisaidi kasutajate taotlused sellesse edge-serverisse, mis oli kõige lühema latentsusajaga (vt eespool punkt 154).
157
Neil asjaoludel ei saa hageja IP-aadressi ühendus serveritega, mis asusid USAs ajal, mil hageja asus Saksamaal, tuleneda Amazon CloudFronti teenuse tavapärasest toimimisest, vaid pigem hageja kasutatud tehnilisest seadistamisest, et muuta oma nähtavat asukohta, esitledes end digivaldkonnas nii, nagu oleks ta samal päeval olnud järjestikku Müncheni, Londoni, Hillsboro, Newarki ja Frankfurdi lähedal.
158
Sellest järeldub, et just Amazon CloudFronti teenus koos oma marsruutimismehhanismiga, mis toimib läheduse põhimõtte alusel ja katab laiemat geograafilist piirkonda kui EMP territoorium, hõlmates muu hulgas USAd (vt eespool punktid 112 ja 114), võimaldas hageja IP-aadressil luua ühenduse Amazon CloudFronti serveritega, mis asuvad USAs.
159
Kuigi see, et komisjon kasutab Amazon CloudFronti teenust, on USAsse isikuandmete edastamise vajalik eeltingimus, mida on mainitud eespool punktis 152, ei ole see asjaolu siiski käesoleva juhtumi tingimustes piisav, et tõendada piisavalt otsest põhjuslikku seost hageja väidetava mittevaralise kahju ja komisjoni väidetavalt õigusvastase käitumise vahel, mis seisneb selles, et niisugust teenust kasutati määruse 2018/1725 V peatüki sätteid rikkudes.
160
Nimelt tuleb väidetava mittevaralise kahju otseseks ja vahetuks põhjuseks pidada hageja käitumist, mitte rikkumist, mille komisjon pani väidetavalt toime Amazon CloudFronti teenust kasutades.
161
Seega oli hageja see, kes lõi vajalikud tingimused USAs asuvate serveritega ühenduse tekitamiseks Amazon CloudFronti teenuse toimimise kaudu. Just hageja käitumine põhjustas selle, et Amazon CloudFronti teenuse marsruutimismehhanism suunas tema taotlused CAE veebisaidi külastamiseks USAs asuvatesse serveritesse, sest viimastel oli kõige lühem latentsusaeg võrreldes hageja nähtava digiasukohaga, kuigi see ei vastanud tema tegelikule asukohale.
162
Lisaks ei ole põhjendatud hageja niisugune käitumine, mille eesmärk on kutsuda esile teatav tulemus (st tema isikuandmete edastamine kolmandasse riiki) ja seejärel nõuda hüvitist kahju eest, mida väidetavalt tekitati selle tulemusega, mille otsene põhjus oli tema enda käitumine. Niisiis, vastupidi hageja väidetule, ei saa sellise kahju hüvitamise hagi raames, nagu on kõne all käesolevas asjas, tema olukorda hinnata sarnaselt niisuguse kasutaja olukorraga, kes on tegelikult reisinud USAsse ja kes seetõttu logis ennast CAE veebisaidile sisse sellest riigist.
163
Kõigest eeltoodust tuleneb, et mis puudutab vaidlusalust edastamist CAE veebisaidi külastamisel 8. juunil 2022, siis ei ole tõendatud piisavalt otsene põhjuslik seos komisjoni väidetavalt õigusvastase käitumise ja väidetava mittevaralise kahju vahel.
164
Kuna üks liidu lepinguvälise vastutuse tekkimise kumulatiivsetest tingimustest ei ole täidetud, tuleb kahju hüvitamise nõue seoses vaidlusaluse edastamisega CAE veebisaidi külastamisel 8. juunil 2022 rahuldamata jätta, ilma et oleks vaja analüüsida selle vastutuse tekkimise muid tingimusi.
– Vaidlusalune edastamine EU Logini sisselogimisel 30. märtsil 2022
165
Hageja väidab, et 30. märtsil 2022, kui ta registreerus üritusele „GoGreen“, mis oli kättesaadav CAE veebisaidil, edastati tema IP-aadress ning teave tema veebilehitseja ja lõppseadme kohta USAs asuvale ettevõtjale Meta Platforms, kes on sotsiaalvõrgustiku Facebook omanik. Nimelt oli hageja selle registreerimise ajal suunatud liidu autentimisteenusele EU Login, mis võimaldab muu hulgas logida end sisse eri sotsiaalvõrgustike kaudu. Hageja valis sisselogimise oma Facebooki konto kaudu ja kui ta klõpsas Facebooki suunavale hüperlingile, edastas see link Facebookile tema IP-aadressi. Hageja on nõustunud üksnes Facebooki „oluliste küpsistega“. Facebook kogus muid hageja isikuandmeid – nimelt tema e-posti aadressi, ees- ja perekonnanime ning profiilipilti – küpsiste, eelkõige nn sb-küpsise abil ning edastas need Meta Platformsi serveritesse. Kohtupraktikast tuleneb, et veebisaitide haldajad, kes kasutavad Facebooki oma veebisaitidel, nagu see on komisjoni puhul, vastutavad koos Facebookiga andmekaitset käsitleva liidu õiguse järgimise eest. Komisjon on seega Facebooki salvestatud küpsiste paigaldamise eest kaasvastutav. Hageja kaotas kontrolli oma Facebookile edastatud isikuandmete üle ning jäi ilma oma õigustest ja vabadustest, mis kujutab endast mittevaralist kahju määruse 2018/1725 põhjenduse 46 tähenduses.
166
Komisjon vaidleb neile argumentidele vastu. Ta väidab sisuliselt, et ta ei ole Meta Platformsile andmeid edastanud ega edastamist käivitanud. Üritusel „GoGreen“ osalemiseks ei olnud kohustuslik registreeruda EU Logini vahendusel, ning isegi EU Logini kasutamisel oli hagejal erinevaid autentimisvõimalusi, sealhulgas võimalusi, mis ei nõua sotsiaalmeediakonto kasutamist. Seega oli tegemist hageja valikuga logida EU Logini teenusesse sisse oma Facebooki kontoga ning seega oli see tema, mitte komisjon, kes andis juurdepääsu Facebooki veebisaidile. Lisaks, tehnilisest aspektist lähtudes toimub Facebooki autentimisvõimalus EU Logini veebisaidil kuvatava hüperlingi kaudu, mis ei sisalda kasutaja isikuandmeid. Vastupidi hageja väidetule ei edastata Facebooki kasutatavate küpsiste abil kogutud andmeid komisjonile EU Logini sisselogimisel ning need ei kuulu viimase vastutusalasse. Küpsised tulenesid Facebooki ja hageja vahelisest suhtlusest viimase nõusoleku alusel, kuna komisjon ei olnud selle suhtlusega seotud. Lisaks väidab komisjon, et hageja viidatud kohtupraktika ei ole käesolevas asjas kohaldatav ning igal juhul on hageja argument komisjoni ja Meta Platformsi väidetava ühise vastutuse kohta uus väide, mis esitati esimest korda alles repliigi staadiumis ja mis on seetõttu vastuvõetamatu.
167
Käesolevas asjas tuleb kõigepealt analüüsida faktilisi asjaolusid, millesse vaidlusalune edastamine EU Logini sisselogimisel 30. märtsil 2022 asetub, võttes arvesse kohtutoimikust tulenevaid asjaolusid ning poolte vastuseid Üldkohtu esitatud küsimustele kohtuistungil ja 9. veebruari 2024. aasta menetlust korraldava meetme raames.
168
Sellega seoses tuleb tõdeda, et üritus „GoGreen“, mille korraldas Madalmaades asuv organisatsioon, kuulutati välja CAE veebilehel. Sellele üritusele võis registreeruda muu hulgas CAE veebisaidil EU Logini teenuse kaudu.
169
Hageja otsustas registreeruda CAE veebilehel, kasutades EU Logini.
170
EU Login on komisjoni kasutaja autentimisteenus, mis kaitseb sadu liiduga seotud veebisaite ja rakendusi. Käesoleval juhul oli üritusele „GoGreen“ registreerimiseks EU Logini sisselogimise eesmärk tagada, et kanne tehakse kontrollitud e-posti aadressi abil, vähendades võltskasutajate nimekirja kandmisega või identiteedi väärkasutamisega seotud riske.
171
EU Login kuvab oma veebilehel mitu sisselogimise võimalust. Esimene võimalus on logida end sisse otse EU Loginiga, täites olemasoleva EU Logini konto sisselogimise andmeid või luues selle teenuse jaoks konto. Teine võimalus on kasutada elektroonilist isikutunnistust „eID“, mis on kättesaadav teatavate liikmesriikide kodanikele. Kolmas võimalus, mis on kättesaadav piiratud arvule teenustele, seisneb juba olemasoleva Facebooki, Twitteri või Google’i kasutajakonto kasutamises, klõpsates vastavale hüperlingile, mis kuvatakse EU Logini veebisaidil.
172
Võimalus Facebooki konto kaudu EU Logini sisse logida tuleneb asjaolust, et komisjon leidis, et kasutajatele tuleks anda võimalus valida, kas logida EU Logini sisse platvormidel juba olemasolevate kontode kaudu – et pakkuda neile lihtsamat ja kiiremat juurdepääsu –, ning võimalus end autentida ilma vajaduseta luua EU Logini konto ja seega vältida mitmekordistamast kontode ja üksuste arvu, mille puhul kasutajad peavad oma isikuandmeid jagama. Lisaks leidis komisjon, et Facebook on kasutajate e-posti aadresside kontrollimiseks usaldusväärne, võttes arvesse tema kehtestatud meetmeid. Hüperlink, mis võimaldab sisse logida olemasoleva Facebooki konto kaudu, on aga EU Loginis kättesaadav üksnes niisugustele veebisaitidele või rakendustele, mis nõuavad üksnes elementaarset turvalisuse taset.
173
Hageja valis võimaluse logida EU Logini sisse oma Facebooki konto kaudu, kasutades hüperlinki „Sign in with Facebook“, mis kuvatakse EU Logini veebisaidil (edaspidi „hüperlink „sisselogimine Facebookiga““).
174
Hüperlink „sisselogimine Facebookiga“ sisaldab linki komisjonivälisele veebisaidile. Kui hüperlink aktiveeritakse sellele klõpsates, annab see juurdepääsu Facebooki veebisaidi URL-aadressile, st selle veebisaidi individuaalsele aadressile.
175
Juurdepääs Facebooki veebisaidi URL-aadressile tähendab kasutaja veebilehitseja ja nimetatud veebisaidi vahelist suhtlust, mille käigus veebilehitseja edastab kasutaja IP-aadressi asjaomasele veebisaidile. Edastamine on sarnane sellega, mis toimub siis, kui kasutaja sisestab oma veebilehitsejasse otse mis tahes veebisaidi URL-aadressi, kuna IP-aadressi peab tingimata edastama iga internetikasutaja, kes soovib veebisaidile ligi pääseda.
176
Hüperlingi „sisselogimine Facebookiga“ kaudu saadab EU Login Facebookile teavet, mis on autentimisprotsessi jaoks vajalik ja esineb järgmisel kujul:
177
Täpsemalt sisaldub hüperlingis „sisselogimine Facebookiga“ järgmine teave:
–
esiteks sisaldab osa „client_id=1200572836629487“„ühtset identifitseerimiskoodi“, mis identifitseerib EU Logini kui rakenduse. See identifitseerimisnumber on sama kõigi kasutajate puhul, kes soovivad Facebooki kasutades end EU Loginis autentida;
–
teiseks sisaldab osa „redirect_uri=https%3A%2F%2Fecas.ec.europa.eu%2Fcas%2FoAuthCallback“ EU Logini üldist URL-aadressi, mis on aadress, millele Facebook peab kasutaja saatma pärast seda, kui viimane on nõustunud sellega, et Facebook edastab tema isikuandmed EU Loginile;
–
kolmandaks sisaldab osa „scope=email“ andmeid, mida Facebook peab EU Loginile kasutaja eduka autentimise tagamiseks edastama, eelkõige kasutaja e-posti aadressi ning Facebooki veebisaidil Facebooki konto loomisel märgitud ees- ja perekonnanime;
–
neljandaks on osas „state=useFacebook“ märgitud, et järgnev pikk tähekombinatsioon on juhuslik turvaväärtus, mida kasutatakse julgeolekurünnakute vältimiseks ja mille kehtivusaeg on ajaliselt piiratud. Selle juhusliku turvaväärtuse tekitab EU Login juhuslikult ja täidab salafraasi funktsiooni, mida Facebook peab kordama andmete edastamisel EU Loginile, et EU Loginil oleks võimalik teada, et edastatud e-posti aadress, eesnimi ja perekonnanimi kehtivad kasutaja kohta, kes on autentimismeetodi käivitanud. Kui tähtaeg on möödunud või kasutaja on juba kinnitatud, ei ole turvaväärtust enam võimalik kasutada;
–
viiendaks on osas „ponse_type=code“ märgitud, et Facebooki poolt EU Loginile andmete edastamisel on lisatud veel unikaalne kood. See unikaalne kood sisaldab eespool nimetatud juhuslikku turvaväärtust. Unikaalne kood on samaväärne unikaalse registreerimisnumbri või seerianumbriga, mis kinnitab Facebooki poolt EU Loginile edastatud andmeid.
178
Kui kasutaja kord juba pääseb Facebooki URLi aadressile, asub ta sellel veebisaidil, kus kõigepealt kuvatakse aken, milles palutakse kasutajal nõustuda sellega, et Facebook kasutab küpsiseid (inglise keeles „cookies“). Pärast seda, kui küpsistega nõustutakse, avaneb teine aken, mis võimaldab täita Facebooki kasutaja kasutajanime ja salasõna. Lõpuks, kui kasutaja on Facebooki kontoga ühendatud, võib ta lubada Facebookil kasutada küpsiseid muudel rakendustel ja veebisaitidel, vastates küsimusele „Allow Facebook to use cookies and similar technologies placed on other apps and websites?“. Kui kasutaja nõustub niisuguse kasutamisega, palutakse tal seejärel nõustuda sellega, et Facebook esitab EU Loginile tema Facebooki kontoga seotud eesnime, perekonnanime, profiilifoto ja e-posti aadressi. Lisaks võib kasutaja kogu selle protsessi käigus katkestada autentimise oma Facebooki konto kaudu, valides võimaluse „Cancel“. Sellisel juhul suunatakse ta tagasi EU Logini veebisaidile, kus kuvatakse uuesti leht koos internetiühenduse võimalustega.
179
Käesoleval juhul, kui hageja klõpsas hüperlingile „sisselogimine Facebookiga“, ühendus tema veebilehitseja Facebooki veebisaidi URL-aadressiga ja edastas seetõttu tema IP-aadressi sellele veebisaidile. Seejärel, kui hageja oli Facebooki veebisaidil, valis ta variandid, mis võimaldavad Facebookil kasutada ainult olulisi küpsiseid, seejärel logis ta sisse oma Facebooki kontoga ning lõpuks lubas Facebookil edastada EU Loginile oma eesnime, perekonnanime, profiilifoto ja e-posti aadressi, nagu ta oli need oma Facebooki kontole kandnud.
180
Pärast seda, kui hageja oli need load andnud, saatis Facebook ta edasi EU Logini veebisaidile vastavalt hüperlingis „sisselogimine Facebookiga“ sisalduvale teabele (vt eespool punkti 177 esimene ja teine taane).
181
Samal ajal edastas Facebook EU Loginile eespool punkti 177 neljandas ja viiendas taandes nimetatud juhusliku turvaväärtuse ja unikaalse koodi. Ühelt poolt võimaldas selline Facebooki edastus EU Loginil teada, et isikuandmed, mille Facebook talle kättesaadavaks tegi, kehtisid kasutaja kohta, kes oli käivitanud autentimisprotsessi, st käesoleval juhul hageja kohta. Teiselt poolt võimaldas see EU Loginil piiratud aja jooksul tutvuda eespool punkti 177 kolmandas taandes nimetatud isikuandmetega, milleks on eelkõige hageja eesnimi, perekonnanimi ja e-posti aadress, nagu ta oli need oma Facebooki kontole kandnud. Facebook edastas need andmed EU Loginile nendevahelise krüpteeritud ühenduse kaudu. EU Login kinnitas taotleja e-posti aadressi Facebooki esitatud andmete põhjal.
182
Lisaks tuleb märkida, et sotsiaalvõrgustik Facebook kuulub USAs asuvale ettevõtjale Meta Platforms.
183
Veel tuleb märkida, et selle hüperlingi kuvamist EU Logini veebisaidil reguleerivad Facebooki platvormi üldtingimused, mis on avaldatud aadressil https://developers.facebook.com/terms.
184
Just nendest kaalutlustest lähtudes tuleb kontrollida, kas komisjoni lepinguvälise vastutuse tingimused on täidetud.
185
Hageja väidab sisuliselt, et EU Logini sisselogimisel 30. märtsil 2022 edastati talle kuuluvad isikuandmed, eelkõige tema IP-aadress, sotsiaalvõrgustiku Facebook serveritesse, mille omanik on USAs asuv ettevõtja. Nimetatud edastamisega rikuti määruse 2018/1725 artiklit 46 ja tekitati hagejale mittevaralist kahju, mis seisnes selles, et ta kaotas kontrolli oma andmete üle ning jäi ilma oma õigustest ja vabadustest.
186
Kõigepealt tuleb märkida, et nagu nähtub eespool punktist 95, nõuab isikuandmete edastamine kolmandasse riiki määruse 2018/1725 artikli 46 tähenduses, et liidu institutsioon, organ või asutus teeks isikuandmed edastamise teel või muul viisil kättesaadavaks kolmandas riigis asuvale vastuvõtjale, st riigile, kes ei ole ei liidu ega EMP liige.
187
Käesoleval juhul on tõendatud, et esiteks otsustas hageja EU Logini sisselogimisvalikute hulgast valida sisselogimise oma Facebooki kontoga. Teiseks sisaldab hüperlink „sisseogimine Facebookiga“ linki Facebooki veebisaidi URL-aadressile. Kolmandaks, kui hageja aktiveeris hüperlingi sellel klõpsates, ühendus tema veebilehitseja Facebooki veebisaidi URL-aadressiga ja edastas seejärel Facebookile tema IP-aadressi (vt eespool punktid 173–175).
188
Sellest järeldub, et EU Logini veebilehel kuvatava hüperlingi „sisselogimine Facebookiga“ kaudu lõi komisjon tingimused, mis võimaldavad hageja IP-aadressi Facebookile edastada. See IP-aadress kujutab endast aga hageja isikuandmeid (vt eespool punkt 122), mis edastati nimetatud hüperlingi kaudu USAs asuvale ettevõtjale Meta Platforms. Edastamine vastab seega isikuandmete edastamisele kolmandasse riiki määruse 2018/1725 artikli 46 tähenduses.
189
Lisaks on käesoleval juhul tõendatud, et andmete edastamise ajal, st 30. märtsil 2022, ei olnud USA kohta tehtud ühtegi kaitse piisavuse otsust määruse 2018/1725 artikli 47 tähenduses (vt eespool punkt 100).
190
Kui komisjon ei ole USA kohta teinud kaitse piisavuse otsust, võib isikuandmeid edastada kolmandale riigile või rahvusvahelisele organisatsioonile üksnes juhul, kui vastutav töötleja või volitatud töötleja on võtnud asjakohased kaitsemeetmed ning tingimusel, et andmesubjektide kohtulikult kaitstavad õigused ja tõhusad õiguskaitsevahendid on kättesaadavad vastavalt määruse 2018/1725 artikli 48 lõikele 1 (vt eespool punkt 101).
191
Käesoleval juhul ei ole komisjon tõendanud ega isegi väitnud, et oleks olemas asjakohased kaitsemeetmed, eelkõige määruse 2018/1725 artikli 48 lõigetes 2 ja 3 ette nähtud tingimustel vastu võetud andmekaitse tüüptingimus või lepingutingimus (vt eespool punktid 102–104). Seevastu on tõendatud, et EU Logini veebisaidil hüperlingi „sisselogimine Facebookiga“ kuvamist reguleerivad lihtsalt Facebooki platvormi üldtingimused (vt eespool punkt 183).
192
Seetõttu lõi komisjon tingimused hageja isikuandmete edastamiseks kolmandasse riiki, ilma et ta oleks järginud määruse 2018/1725 artiklis 46 sätestatud tingimusi.
193
Seega tuleb järeldada, ilma et oleks vaja analüüsida hageja muid argumente, et komisjon pani toime määruse 2018/1725 artikli 46 piisavalt selge rikkumise eespool punktis 50 viidatud kohtupraktika tähenduses seoses vaidlusaluse edastamisega EU Logini sisselogimisel 30. märtsil 2022.
194
Seega tuleb analüüsida, kas käesolevas asjas on täidetud muud komisjoni lepinguvälise vastutuse tekkimise tingimused, mis puudutavad kahju ja põhjuslikku seost.
195
Hageja väidab, et tema IP-aadressi õigusvastane edastamine USAs asuvale ettevõtjale põhjustas talle mittevaralist kahju, mis seisnes selles, et ta kaotas kontrolli oma andmete üle ning jäi ilma oma õigustest ja vabadustest.
196
Sellega seoses tuleb asuda seisukohale, et määruse 2018/1725 artikkel 65 annab õiguse mitte ainult varalise kahju, vaid ka selle määruse rikkumisega tekitatud mittevaralise kahju hüvitamisele, ilma et oleks vaja tõendada mingit rikkumise raskusastet (vt selle kohta analoogia alusel 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 45 ja 51).
197
Käesoleval juhul tuleb mittevaralist kahju, millele hageja viitab, pidada tegelikuks ja kindlaks eespool punktis 54 viidatud kohtupraktika tähenduses, kuna eespool punktis 188 nimetatud andmete edastamine, mis toimus määruse 2018/1725 artiklit 46 rikkudes, asetas hageja ebakindlasse olukorda seoses tema isikuandmete, eelkõige IP-aadressi töötlemisega.
198
Lisaks esineb komisjoni poolt määruse 2018/1725 artikli 46 rikkumise ja hagejale tekitatud mittevaralise kahju vahel piisavalt otsene põhjuslik seos eespool punktis 55 viidatud kohtupraktika tähenduses.
199
Käesoleva juhtumi asjaoludel tuleb komisjoni tekitatud mittevaralise kahju suuruseks hinnata ex æquo et bono 400 eurot.
200
Seetõttu tuleb komisjonilt hageja kasuks välja mõista 400 euro suurune hüvitis mittevaralise kahju eest, mis tekitati vaidlusaluse edastamisega EU Logini sisselogimisel 30. märtsil 2022.
Kohtukulud
201
Vastavalt kodukorra artikli 134 lõikele 3 võib Üldkohus kohtukulud jagada või jätta kummagi poole kohtukulud tema enda kanda, kui osa nõudeid rahuldatakse ühe poole, osa teise poole kasuks. Kui kohtuasja asjaolud seda õigustavad, võib Üldkohus otsustada, et lisaks enda kohtukulude kandmisele mõistetakse poolelt välja ka osa teise poole kohtukuludest.
202
Käesoleval juhul jäeti rahuldamata hageja esimene ja teine nõue ning osa tema kolmandast nõudest. Kolmas nõue rahuldati siiski osaliselt ja komisjonilt mõisteti välja hüvitis, mida hageja nõudis mittevaralise kahju eest, mida ta kandis vaidlusaluse andmete edastamise tõttu, kui ta 30. märtsil 2022 logis sisse EU Logini. Neil asjaoludel tuleb otsustada, et komisjon kannab ise oma kohtukulud ja temalt mõistetakse välja pool hageja kohtukuludest. Jätta pool hageja kohtukuludest tema enda kanda.
Esitatud põhjendustest lähtudes
ÜLDKOHUS (kuues koda laiendatud koosseisus)
otsustab:
1.
Jätta hagi tühistamisnõuete osas vastuvõetamatuse tõttu läbi vaatamata.
2.
Otsuse tegemise vajadus nõuete osas tuvastada, et Euroopa Komisjon jättis õigusvastaselt võtmata seisukoha Thomas Bindli 1. aprilli 2022. aasta teabenõude kohta, on ära langenud.
3.
Mõista komisjonilt hageja kasuks välja 400 euro suurune hüvitis mittevaralise kahju eest.
4.
Jätta kahju hüvitamise nõuded ülejäänud osas rahuldamata.
5.
Jätta Euroopa Komisjoni kohtukulud tema enda kanda ning mõista temalt välja pool Thomas Bindli kohtukuludest.
6.
Jätta pool Thomas Bindli kohtukuludest tema enda kanda.
Costeira
Kancheva
Öberg
Zilgalvis
Tichy-Fisslberger
Kuulutatud avalikul kohtuistungil 8. jaanuaril 2025 Luxembourgis.
Allkirjad
Sisukord
Vaidluse taust ja asjaolud, mis leidsid aset pärast hagi esitamist
Poolte nõuded
Õiguslik käsitlus
Sissejuhatavad märkused isikuandmete kaitse kohta liidu institutsioonides, organites ja asutustes
Vastuvõetavus
Tühistamisnõuete vastuvõetavus
Tegevusetusnõuete vastuvõetavus
Kahju hüvitamise nõuded
Sissejuhatavad märkused liidu lepinguvälise vastutuse tekkimise kohta määruse 2018/1725 raames
Esimene kahju hüvitamise nõue, millega taotletakse teabega tutvumise õiguse rikkumisest tuleneva mittevaralise kahju hüvitamist
Teine kahju hüvitamise nõue, milles palutakse hüvitada vaidlusaluste edastamistega tekitatud mittevaraline kahju
– Sissejuhatavad märkused isikuandmete kolmandasse riiki edastamist käsitlevate sätete kohta
– Amazon CloudFronti teenuse toimimine CAE veebisaidil
– Vaidlusalune edastamine CAE veebisaidi külastamisel 30. märtsil 2022
– Vaidlusalune edastamine CAE veebisaidi külastamisel 8. juunil 2022
– Vaidlusalune edastamine EU Logini sisselogimisel 30. märtsil 2022
Kohtukulud
(
*1
) Kohtumenetluse keel: saksa.