C-655/23

EUROOPA KOHTU OTSUS (neljas koda) 4. september 2025 ( *1 ) Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Andmesubjekti õigused – Artikkel 17 – Õigus andmete kustutamisele – Artikkel 18 – Õigus isikuandmete töötlemise piiramisele – Artikkel 79 – Õigus tõhusale õiguskaitsevahendile – Isikuandmete ebaseaduslik töötlemine – Hagi, millega taotletakse vastutava töötleja kohustamist edaspidi uuest ebaseaduslikust töötlemisest hoiduma – Alus – Tingimused – Artikli 82 lõige 1 – Õigus kahju hüvitamisele – Mõiste „mittevaraline kahju“ – Hüvitise hindamine – Vastutava töötleja süü suuruse võimalik arvesse võtmine – Tegevusest hoidumise korralduse võimalik mõju Kohtuasjas C‑655/23, mille ese on ELTL artikli 267 alusel Bundesgerichtshofi (Saksamaa Liitvabariigi kõrgeim üldkohus) 26. septembri 2023. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 7. novembril 2023, menetluses IP versus Quirin Privatbank AG EUROOPA KOHUS (neljas koda), koosseisus: koja president I. Jarukaitis, kohtunikud N. Jääskinen (ettekandja), A. Arabadjiev, M. Condinanzi ja R. Frendo, kohtujurist: M. Campos Sánchez‑Bordona, kohtusekretär: A. Calot Escobar, arvestades kirjalikku menetlust, arvestades seisukohti, mille esitasid: – IP, esindaja: Rechtsanwältin M. Rodenhausen, – Quirin Privatbank AG, esindaja: Rechtsanwalt F. Buchmann, – Euroopa Komisjon, esindajad: A. Bouchagiar ja M. Heller, olles 20. märtsi 2025. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku, on teinud järgmise kohtuotsuse 1 Eelotsusetaotlus käsitleb Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artiklite 17, 18, 79, 82 ja 84 tõlgendamist. 2 Taotlus on esitatud füüsilise isiku IP ja äriühingu Quirin Privatbank AG vahelises kohtuvaidluses, mis puudutab füüsilise isiku taotlust esiteks kohustada seda äriühingut hoiduma uuest tema isikuandmete loata avalikustamisest kolmandale isikule ja teiseks hüvitada nende andmete esialgsest avalikustamisest väidetavalt tekitatud mittevaraline kahju. Õiguslik raamistik Liidu õigus 3 Isikuandmete kaitse üldmääruse põhjendused 1, 10, 11, 75, 85 ja 146 on sõnastatud järgmiselt: „(1) Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta ([edaspidi]„harta“) artikli 8 lõikes 1 ja [ELTL] artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. […] (10) Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel [Euroopa L]iidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja ‑vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. […] Samuti nähakse käesoleva määrusega liikmesriikidele ette manööverdamisruum oma eeskirjade, sealhulgas isikuandmete eriliikide [(edaspidi „tundlikud isikuandmed“)] töötlemise eeskirjade täpsustamiseks. Sellega seoses ei välista käesolev määrus sellist liikmesriigi õigust, millega määratletakse konkreetsete töötlemisjuhtude asjaolud, sealhulgas määratakse täpsemalt kindlaks tingimused, mille alusel isikuandmete töötlemine on seaduslik. (11) Tõhusaks isikuandmete kaitseks kogu liidus tuleb tugevdada ja täpsustada andmesubjektide õigusi ning isikuandmete töötlejate ja töötlemise üle otsustajate kohustusi, aga ka nendele vastavaid volitusi isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel, ning rikkujatele määratavaid karistusi liikmesriikides. […] (75) Erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tulemusel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhtudel, kui töötlemine võib põhjustada diskrimineerimist, identiteedivargust või ‑pettust, rahalist kahju, maine kahjustamist, ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu, pseudonümiseerimise loata tühistamist või mõnda muud tõsist majanduslikku või sotsiaalset kahju; kui andmesubjektid võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle; […] […] (85) Isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigeaegselt ei käsitleta, võib põhjustada füüsilistele isikutele füüsilise, materiaalse või mittemateriaalse kahju, nagu kontrolli kaotamine oma isikuandmete üle või õiguste piiramine, diskrimineerimine, identiteedivargus või pettus, rahaline kahju, pseudonümiseerimise loata tühistamine, maine kahjustamine, ametisaladusega kaitstud andmete konfidentsiaalsuse kadu või mõni muu tõsine majanduslik või sotsiaalne kahju asjaomasele füüsilisele isikule. […] […] (146) Vastutav töötleja või volitatud töötleja peaks hüvitama igasuguse kahju, mida füüsilisele isikule võib põhjustada töötlemine, mis ei ole käesoleva määrusega kooskõlas. Vastutav töötleja või volitatud töötleja tuleks sellest vastutusest vabastada, kui ta tõendab, et ta ei ole kahju eest mingil viisil vastutav. Kahju mõistet tuleks Euroopa Kohtu praktikat arvestades tõlgendada laialt ja sellisel viisil, mis kajastab täielikult käesoleva määruse eesmärke. See ei mõjuta muude liidu või liikmesriigi õiguses sätestatud normide rikkumisest tuleneva kahju eest esitatavaid nõudeid. Töötlemine, mis ei ole käesoleva määrusega kooskõlas, hõlmab see samuti töötlemist, mis ei ole kooskõlas delegeeritud õigusaktide ja rakendusaktidega, mis on võetud vastu kooskõlas käesoleva määrusega ja liikmesriigi õigusega, milles täpsustatakse käesoleva määruse eeskirju. Andmesubjektid peaksid saama täieliku ja tõhusa hüvitise kahju eest, mida nad on kandnud. […]“. 4 Isikuandmete kaitse üldmääruse artikli 1 „Reguleerimisese ja eesmärgid“ lõikes 2 on sätestatud: „Käesoleva määrusega kaitstakse füüsiliste isikute põhiõigusi ja ‑vabadusi, eriti nende õigust isikuandmete kaitsele.“ 5 Määruse artiklis 4 „Mõisted“ on ette nähtud: „Käesolevas määruses kasutatakse järgmisi mõisteid: 1) „isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; […] 2) „isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu […] edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine; […] 7) „vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; […] […] 10) „kolmas isik“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või organ, välja arvatud andmesubjekt, vastutav töötleja, volitatud töötleja ja isikud, kes võivad isikuandmeid töödelda vastutava töötleja või volitatud töötleja otseses alluvuses; […] 12) „isikuandmetega seotud rikkumine“ – turvanõuete rikkumine, mis põhjustab edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu; […]“. 6 Isikuandmete kaitse üldmääruse II peatükis „Põhimõtted“ on artiklid 5–11. 7 Määruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on ette nähtud: „1. Isikuandmete töötlemisel tagatakse, et a) töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“); b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus […] („eesmärgi piirang“); c) isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“); […] f) isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“). 2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“ 8 Määruse artikli 6 „Isikuandmete töötlemise seaduslikkus“ lõikes 1 on ette nähtud: „Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud: a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil; […]“. 9 Isikuandmete kaitse üldmääruse III peatükis „Andmesubjekti õigused“ on artiklid 12–23. 10 Määruse III peatüki 3. jaos „Parandamine ja kustutamine“ oleva artikli 17 „Õigus andmete kustutamisele („õigus olla unustatud“)“ lõikes 1 on ette nähtud: „Andmesubjektil on õigus nõuda, et vastutav töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed ja vastutav töötleja on kohustatud kustutama isikuandmed põhjendamatu viivituseta, kui kehtib üks järgmistest asjaoludest: […] c) andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes artikli 21 lõike 1 kohaselt ja töötlemiseks pole ülekaalukaid õiguspäraseid põhjuseid või andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes artikli 21 lõike 2 kohaselt; d) isikuandmeid on töödeldud ebaseaduslikult; […]“. 11 Määruse 3. jaos oleva artikli 18 „Õigus isikuandmete töötlemise piiramisele“ lõikes 1 on sätestatud: „Andmesubjektil on õigus nõuda vastutavalt töötlejalt isikuandmete töötlemise piiramist järgmistel juhtudel: […] b) isikuandmete töötlemine on ebaseaduslik, kuid andmesubjekt ei taotle isikuandmete kustutamist, vaid kasutamise piiramist; c) vastutav töötleja ei vaja isikuandmeid enam töötlemise eesmärkidel, kuid need on andmesubjektile vajalikud õigusnõuete koostamiseks, esitamiseks või kaitsmiseks, […]“. 12 Isikuandmete kaitse üldmääruse VIII peatükis „Õiguskaitsevahendid, vastutus ja karistused“ on selle määruse artiklid 77–84. 13 Isikuandmete kaitse üldmääruse artikli 77 pealkiri on „Õigus esitada järelevalveasutusele kaebus“ ja sama määruse artikli 78 pealkiri on „Õigus tõhusale õiguskaitsevahendile järelevalveasutuse vastu“. 14 Määruse artikli 79 „Õigus tõhusale õiguskaitsevahendile vastutava töötleja või volitatud töötleja vastu“ lõikes 1 on ette nähtud: „Ilma et see piiraks mis tahes kättesaadava haldusliku kaitsevahendi või kohtuvälise heastamisvahendi kohaldamist, sealhulgas õigust esitada järelevalveasutusele artikli 77 kohaselt kaebus, on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui ta leiab, et tema käesolevast määrusest tulenevaid õigusi on rikutud tema isikuandmete […] sellise töötlemise tulemusel, millega rikutakse käesolevat määrust.“ 15 Määruse artiklis 82 „Õigus hüvitisele ja vastutus“ on sätestatud: „1. Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest. […] 3. Vastutav töötleja või volitatud töötleja vabastatakse vastutusest lõike 2 kohaselt, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest. […]“. 16 Määruse artikli 83 „Trahvide määramise üldtingimused“ lõikes 2 on ette nähtud: „[…] Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele: a) rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust; b) kas rikkumine pandi toime tahtlikult või hooletusest; c) vastutava töötleja või volitatud töötleja poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks; […] k) juhtumi asjaolude suhtes kohaldatavad mis tahes muud raskendavad või kergendavad tegurid, näiteks rikkumisest otseselt või kaudselt saadud finantskasu või välditud kahju.“ 17 Määruse artikli 84 „Karistused“ lõikes 1 on sätestatud: „Liikmesriigid kehtestavad käesoleva määruse rikkumiste korral kohaldatavad karistusnormid, eelkõige seoses selliste rikkumistega, mille korral ei määrata artikli 83 kohaseid trahve, ning võtavad kõik vajalikud meetmed, et tagada kõnealuste normide rakendamine. Sellised karistused on tõhusad, proportsionaalsed ja heidutavad.“ Saksa õigus 18 23. mai 1949. aasta Saksamaa Liitvabariigi põhiseaduses (Grundgesetz für die Bundesrepublik Deutschland, BGBl. 1949 I, lk 1) on põhikohtuasjas kohaldatavas redaktsioonis artikli 2 lõige 1 sõnastatud järgmiselt: „Igaühel on õigus vabale eneseteostusele, tingimusel et see ei riku teiste isikute õigusi, põhiseaduslikku korda või üldtunnustatud käitumisreegleid.“ 19 Tsiviilseadustikus (Bürgerliches Gesetzbuch) on põhikohtuasjas kohaldatavas redaktsioonis (edaspidi „BGB“) §‑s 253 „Mittevaraline kahju“ on ette nähtud: „(1) Mittevaralise kahju rahalist hüvitamist saab nõuda ainult seaduses sätestatud juhtudel. (2) Kui kehavigastuse ja tervisekahjustuse, vabaduse või seksuaalse enesemääramisõiguse kahjustamise korral on ette nähtud kahjuhüvitis, võib õiglast rahalist hüvitist nõuda ka kahju eest, mis ei ole varaline kahju.“ 20 BGB §‑s 823 „Kahju hüvitamise kohustus“ on sätestatud: „(1) Isik, kes kahjustab tahtlikult või hooletuse tõttu õigusvastaselt teise isiku elu, keha, tervist, vabadust, omandit või muud õigust, peab hüvitama teisele isikule sellest tekkinud kahju. (2) Sama kohustus kehtib isiku suhtes, kes rikub seadust, mis kaitseb teist isikut. Kui seaduse kohaselt on selle rikkumine võimalik ka ilma süüta, siis tekib hüvitamiskohustus üksnes süü esinemise korral.“ 21 BGB § 1004 „Kahjustamise lõpetamise ja kahjustamisest hoidumise nõue“ lõikes 1 on sätestatud: „Kui omandit kahjustatakse muul viisil kui valduse äravõtmine või valduse üleandmisest keeldumine, võib omanik nõuda rikkujalt kõnealuse kahjustamise lõpetamist. Kui on oodata omandi uut kahjustamist, võib omanik esitada kahjustamisest hoidumise hagi.“ 22 Eelotsusetaotluse kohaselt on BGB § 1004 põhikohtuasjas analoogia alusel kohaldatav absoluutsete õiguste rikkumisele BGB § 823 lõike 1 tähenduses või kaitseseaduse rikkumisele BGB § 823 lõike 2 tähenduses. Põhikohtuasi ja eelotsuse küsimused 23 Põhikohtuasja hageja kandideeris veebipõhise kutsealase sotsiaalvõrgustiku kaudu tööle Saksa õiguse alusel asutatud äriühingusse Quirin Privatbank. Seejärel kasutas selle äriühingu töötaja sama sotsiaalvõrgustiku meiliteenust, et saata kolmandale isikule, keda töölevõtmise protsess ei puudutanud, sõnum, mis oli adresseeritud üksnes põhikohtuasja hagejale ja milles äriühingu töötaja teatas viimasele tema palgasoovi rahuldamata jätmisest ja pakkus talle muud tasu (edaspidi „kõnealune sõnum“). Kolmas isik, kes teadis põhikohtuasja hagejat, sest oli varem temaga koos töötanud, edastas talle kõnealuse sõnumi ja küsis temalt, kas ta otsib tööd. 24 Põhikohtuasja hageja esitas Landgericht Darmstadtile (Darmstadti esimese astme kohus, Saksamaa) hagi, milles nõudis, et Quirin Privatbanki kohustataks esiteks hoiduma tema kandideerimisega seotud isikuandmete igasugusest töötlemisest, mis kujutaks nende andmete uuest loata avalikustamist pärast kõnealuse sõnumi saatmist, ning teiseks mõista Quirin Privatbankilt välja hüvitis selle juhtumiga tekitatud mittevaralise kahju eest. Ta väitis sisuliselt, et see kahju tuleneb murest, mis tekkis tal seetõttu, et vähemalt ühel kolmandal isikul, kes teda teab ja töötab samas kutsealases sektoris, tekkis võimalus edastada neid konfidentsiaalseid andmeid endistele või potentsiaalsetele tööandjatele, saada võimalikus tööle võtmise konkurentsiolukorras tema ees eelis ning teada tema palgaläbirääkimiste ebaõnnestumise alandavast olukorrast. 25 Esimese astme kohus kohustas 26. mai 2020. aasta otsusega Quirin Privatbanki hoiduma hagis nimetatud tegevusest ja maksma põhikohtuasja hagejale kahjuhüvitist 1000 eurot koos intressiga. Quirin Privatbank esitas selle kohtuotsuse peale apellatsioonkaebuse. 26 Oberlandesgericht Frankfurt (liidumaa kõrgeim üldkohus Frankfurdis, Saksamaa) muutis 2. märtsi 2022. aasta otsusega osaliselt seda kohtuotsust. Ta leidis, et põhikohtuasja hagejal on isikuandmete kaitse üldmääruse artikli 17 lõike 1 alusel õigus nõuda, et Quirin Privatbank hoiduks tulevikus tema isikuandmete töötlemisest nii, nagu ta toimis kõnealuse sõnumiga, ning et sel puhul esineb rikkumise kordumise oht. Seevastu jättis ta selle määruse artikli 82 alusel esitatud kahju hüvitamise nõude rahuldamata, põhjendades oma seisukohta sellega, et kuigi isikuandmete kaitse eeskirju on rikutud seeläbi, et need andmed edastati kõrvalisele kolmandale isikule, ei olnud põhikohtuasja hageja siiski esitanud tõendeid konkreetse kahju kohta ning isegi kui eeldada, et ta tundis end alandatuna, ei saa seda liigitada mittevaraliseks kahjuks. 27 Nii põhikohtuasja hageja kui ka Quirin Privatbank esitasid mõlemad selle kohtuotsuse peale kassatsioonkaebuse Bundesgerichtshofile (Saksamaa Liitvabariigi kõrgeim üldkohus), kes on eelotsusetaotluse esitanud kohus. Esimene jäi selles kohtus oma esialgsete nõuete juurde, samas kui teine palus jätta need tervikuna rahuldamata. 28 Eelotsusetaotluse esitanud kohus leiab, et põhikohtuasja hageja vaidlustatud toimingud kuuluvad isikuandmete kaitse üldmääruse kohaldamisalasse. Ta märgib, et need toimingud kujutavad endast „andmesubjekti isikuandmete töötlemist“ ning Quirin Privatbank on „vastutav töötleja“ selle määruse artikli 4 punktide 1, 2 ja 7 tähenduses. Eelotsusetaotluse esitanud kohtu hinnangul on selge, et nende toimingutega, mis tehti selliste andmete loata edastamise vormis kolmandale isikule isikuandmete kaitse üldmääruse artikli 4 punkti 10 tähenduses, rikuti määruse sätteid ja need on määruse artikli 6 lõike 1 kohaselt ebaseaduslikud eelkõige seetõttu, et põhikohtuasja hageja ei olnud selleks nõusolekut andnud. 29 Eelotsusetaotluse esitanud kohtul on tekkinud esiteks küsimus, kas isikuandmete kaitse üldmäärus annab isikule, kelle isikuandmeid on töödeldud ebaseaduslikult, õiguse nõuda, et vastutav töötleja hoiduks uuest töötlemisest, sealhulgas juhul, kui see isik ei taotle oma andmete kustutamist. Võttes arvesse riigisisest kohtupraktikat ja õigusteaduslikke arutelusid selles küsimuses, soovib eelotsusetaotluse esitanud kohus teada, kas see õigus – mille kohta ta täpsustab, et seda kasutatakse üksnes ennetavalt – võib tuleneda määruse artiklist 17, mis käsitleb õigust andmete kustutamisele, artiklist 18, mis käsitleb õigust isikuandmete töötlemise piiramisele, artiklist 79, mis käsitleb õigust tõhusale õiguskaitsevahendile vastutava töötleja või volitatud töötleja vastu, või mõnest muust sama määruse sättest. 30 Teiseks, juhul kui nendele küsimustele vastatakse jaatavalt, soovib eelotsusetaotluse esitanud kohus, et tehtaks otsus kõigepealt selle kohta – võttes arvesse tema enda kohtupraktikat, mis põhineb Saksamaa Liitvabariigi põhiseaduse artiklil 2 koostoimes BGB §‑dega 823 ja 1004 –, kas selline õigus nõuda vastutavalt töötlejalt isikuandmete kaitse üldmääruse uuest rikkumisest hoidumist sõltub kordumise ohu olemasolust, ja seejärel, kas seda ohtu tuleb vajaduse korral eeldada, võttes arvesse algset rikkumist. 31 Kolmandaks, vastupidisel juhul, kui tema esimese küsimuse mõlemale osale vastatakse eitavalt, soovib eelotsusetaotluse esitanud kohus teada, kas isikuandmete kaitse üldmääruse artiklite 79 ja 84 – mis käsitlevad vastavalt õigust tõhusale õiguskaitsevahendile vastutava töötleja vastu ja karistusi määruse rikkumise eest – koostoimes tõlgendamisest tuleneb, et liikmesriigi kohtul on õigus kohustada vastutavat töötlejat riigisiseste õigusnormide alusel sellisest tegevusest hoiduma, andes samas andmesubjektile selle määruse artiklites 17, 18 ja 82 ette nähtud õigused. 32 Neljandaks on eelotsusetaotluse esitanud kohtul tekkinud küsimus, millistest tingimustest sõltub õigus kahju hüvitamisele isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel koostoimes määruse põhjendustega 75 ja 85. Täpsemalt soovib eelotsusetaotluse esitanud kohus teada, millised on mittevaralise kahju eeldused artikli 82 lõike 1 tähenduses juhul, kui andmesubjekt tugineb üksnes negatiivsetele tunnetele, mis selle kohtu sõnul kuuluvad igapäevaelu üldiste riskide hulka. 33 Viiendaks on eelotsusetaotluse esitanud kohtul tekkinud küsimus, kas isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel makstava mittevaralise kahju hüvitise hindamisel tuleb arvesse võtta vastutava töötleja süü suurust. Ta täpsustab, et Saksa õiguse kohaselt tuleb mittevaralise kahju rahaliseks hüvitamiseks muu hulgas arvesse võtta kahju tekitaja süü suurust, sest tulenevalt BGB § 253 kohasest kohtupraktikast täidab hüvitis ühtaegu nii kannatanule tekitatud kahju hüvitamise kui ka kahju tekitaja poolt temale rahulolu tagamise ülesannet. 34 Kuuendaks soovib eelotsusetaotluse esitanud kohus juhul, kui esimese küsimuse ühele osale kahest või kolmandale küsimusele vastatakse jaatavalt, teada, kas andmesubjekti õigus nõuda, et vastutav töötleja hoiduks isikuandmete kaitse üldmääruse uuest rikkumisest, kujutab endast asjakohast kriteeriumi mittevaralise kahju hüvitamise vähendamiseks või isegi välistamiseks selle määruse artikli 82 lõike 1 alusel, nagu oleks võimalik Saksa õiguse kohaselt. 35 Neil asjaoludel otsustas Bundesgerichtshof (liitvabariigi kõrgeim üldkohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused: „1. a) Kas isikuandmete kaitse üldmääruse artiklit 17 tuleb tõlgendada nii, et andmesubjektil, kelle isikuandmeid on vastutav töötleja nende edastamisega ebaseaduslikult avalikustanud, on õigus esitada vastutatava töötleja vastu kõnealuste isikuandmete uuest ebaseaduslikust edastamisest hoidumise nõue, kui ta ei nõua vastutavalt töötlejalt isikuandmete kustutamist? b) Kas õigus esitada selline rikkumisest hoidumise nõue võib tuleneda (ka) isikuandmete kaitse üldmääruse artiklist 18 või isikuandmete kaitse üldmääruse mõnest muust sättest? 2. Juhul kui [esimese küsimuse alaküsimusele a ja/või alaküsimusele b] vastatakse jaatavalt: a) Kas liidu õigus annab andmesubjektile õiguse nõuda tema isikuandmete kaitse üldmäärusest tulenevate õiguste rikkujalt uuest rikkumisest hoidumist vaid siis, kui uusi rikkumisi on karta (rikkumise kordumise oht)? b) Kas rikkumise kordumise ohu esinemist eeldatakse – kui see on asjakohane – juba toime pandud isikuandmete kaitse üldmääruse rikkumise alusel? 3. Juhul kui [esimese küsimuse alaküsimusele a ja/või alaküsimusele b] vastatakse eitavalt: Kas isikuandmete kaitse üldmääruse artiklit 84 koostoimes artikliga 79 tuleb tõlgendada nii, et need võimaldavad liikmesriigi kohtul anda andmesubjektile, kelle isikuandmeid on vastutav töötleja nende edastamisega ebaseaduslikult avalikustanud, lisaks varalise või mittevaralise kahju eest hüvitise saamise õigusele isikuandmete kaitse üldmääruse artikli 82 alusel ning isikuandmete kaitse üldmääruse artiklites 17 ja 18 sätestatud õigustele ka õiguse esitada vastutava töötleja vastu isikuandmete uuest ebaseaduslikust edastamisest hoidumise nõue riigisiseste õigusnormide alusel? 4. Kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et mittevaralise kahju eeldamiseks viidatud sätte tähenduses piisab pelgalt negatiivsetest tunnetest, näiteks viha, pahameel, rahulolematus, mure ja kartus, mis iseenesest on osa üldisest igapäevaeluga seotud riskist ja mis kuuluvad sageli igapäevaste kogemuste hulka? Või eeldab kahju olemasolu, et lisaks nendele tunnetele on asjaomane füüsiline isik seatud ebasoodsamasse olukorda? 5. Kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et mittevaralise kahju eest ette nähtud hüvitise suuruse arvutamisel on oluline kriteerium vastutava töötleja või volitatud töötleja või tema töötajate süü suurus? 6. Kui [esimese küsimuse alaküsimusele a või alaküsimusele b või kolmandale küsimusele] vastatakse jaatavalt: Kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et mittevaralise kahju eest ette nähtud hüvitise suuruse arvutamisel võib hüvitise suurust vähendava tegurina arvesse võtta, et andmesubjektil on lisaks kahjuhüvitise saamise õigusele õigus esitada rikkumisest hoidumise nõue?“ Eelotsuse küsimuste analüüs Esimene, teine ja kolmas küsimus 36 Esimese, teise ja kolmanda küsimusega, mida tuleb analüüsida koos, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse sätteid tuleb tõlgendada nii, et nendes on andmesubjekti kasuks, kelle isikuandmeid on ebaseaduslikult töödeldud ja juhul kui ta ei taotle oma andmete kustutamist, sätestatud kohtulik õiguskaitsevahend, millega ta saab ennetavalt nõuda, et vastutavat töötlejat kohustataks tulevikus hoiduma uuest ebaseaduslikust töötlemisest, ning kas eitava vastuse korral on nende sätete tõttu liikmesriigil takistatud sellise õiguskaitsevahendi sätestamine oma õiguskorras. 37 Kõigepealt tuleb meelde tuletada, et liidu õigusnormi tõlgendamisel ei tule arvesse võtta mitte ainult selle sõnastust, vaid ka konteksti ja selle õigusaktiga taotletavaid eesmärke, mille osa see säte on (4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 52 ja seal viidatud kohtupraktika). 38 Esiteks tuleb märkida, et isikuandmete kaitse üldmäärus põhineb sellel, et tunnustatakse iga füüsilise isiku õigust kaitsele tema isikuandmete töötlemisel. See kaitse on põhiõigus, mis on tagatud harta artikli 8 lõikes 1, millele on viidatud kõnealuse määruse põhjenduses 1. Käsitletava määruse kohaldamisel tuleb juhinduda eesmärgist tagada selle põhiõiguse kaitse tõhusus isikuandmete töötlemisel, tagades isikuandmete kõrgetasemeline kaitse samavõrra kõigis liikmesriikides, nagu nähtub selle määruse artiklist 1 ja põhjendusest 10 (vt selle kohta 5. oktoobri 2023. aasta kohtuotsus Ministerstvo zdravotnictví (mobiilirakendus COVID‑19), C‑659/22, EU:C:2023:745, punkt 28; 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punkt 28, ja 3. aprilli 2025. aasta kohtuotsus Ministerstvo zdravotnictví (juriidilise isiku esindaja andmed), C‑710/23, EU:C:2025:231, punkt 29). 39 Euroopa Kohtu väljakujunenud praktikast tuleneb, et isikuandmete töötlemisel tuleb järgida isikuandmete töötlemist reguleerivaid põhimõtteid ja isikuandmete kaitse üldmääruse artikli 4 punkti 1 tähenduses „andmesubjekti“ õigusi, mis on sätestatud vastavalt isikuandmete kaitse üldmääruse II ja III peatükis. Eelkõige peab see vastama nende andmete töötlemise põhimõtetele, mis on ette nähtud määruse artiklis 5, ja vastama määruse artiklis 6 loetletud töötlemise seaduslikkuse tingimustele (vt selle kohta 19. detsembri 2024. aasta kohtuotsus K GmbH (töötajate isikuandmete töötlemine), C‑65/23, EU:C:2024:1051, punkt 46, ja 3. aprilli 2025. aasta kohtuotsus Ministerstvo zdravotnictví (juriidilise isiku esindaja andmed), C‑710/23, EU:C:2025:231, punkt 33). 40 Nagu kohtujurist oma ettepaneku punktides 32, 34 ja 38 sisuliselt märkis, on harta artikli 8 lõikes 1 tunnustatud õigust isikuandmete kaitsele, ja sama artikli lõikes 2 on ühtlasi ette nähtud, et selliste andmete töötlemisel peab järgima teatavaid tingimusi, millest sõltub töötlemise seaduslikkus. Samuti on isikuandmete kaitse üldmääruse II peatükis sätestatud vastutava töötleja kohustused vastavuses samas määruses ette nähtud konkreetsete õigustega, mis on andmesubjektidele antud. Seega on neil õigus oma isikuandmete seaduslikule töötlemisele, mis on kooskõlas vastutava töötleja üldise keeluga töödelda selliseid andmeid viisil, mis ei vasta nimetatud määruse nõuetele. 41 Teiseks tuleb tõdeda, on Euroopa Kohus korduvalt otsustanud, et liidu õigus, sealhulgas harta sätted, ei kohusta liikmesriike kehtestama muid õiguskaitsevahendeid kui need, mis on sätestatud riigisiseses õiguses, välja arvatud juhul, kui vastava liikmesriigi õiguskorra ülesehitusest nähtub, et ei ole ühtegi õiguskaitsevahendit, mis võimaldaks – kas või kõrvalnõude alusel – tagada õigussubjektidele liidu õigusest tulenevad õigused (8. mai 2025. aasta kohtuotsus Barało, C‑530/23, EU:C:2025:322, punkt 99 ja seal viidatud kohtupraktika). 42 Käesoleval juhul tuleb kõigepealt rõhutada, et põhikohtuasjas kõne all olev olukord ei puuduta liikmesriigi kohtu võimalust võtta ajutisi meetmeid, vaid andmesubjekti võimalikku õigust saada ennetavat laadi hagiga sisuliselt korraldus, millega keelataks vastutaval töötlejal uuesti neid õigusi rikkuda. 43 Sellega seoses tuleb märkida, et isikuandmete kaitse üldmääruses ei ole sätteid, milles oleks sõnaselgelt või kaudselt ette nähtud, et andmesubjektil on – nagu eelotsusetaotluse esitanud kohus leiab – õigus ennetavalt kohtumenetluse teel saada korraldus, et isikuandmete vastutav töötleja oleks kohustatud tulevikus hoiduma selle määruse sätete rikkumisest, täpsemalt uue ebaseadusliku töötlemise vormis. Eelkõige – nagu kohtujurist oma ettepaneku punktides 54–69 märkis – ei saa sellist õigust tuletada nimetatud määruse artiklitest 17 ega 18. 44 Isikuandmete kaitse üldmääruse VIII peatüki kohta tuleb meelde tuletada, et selles peatükis reguleeritakse muu hulgas õiguskaitsevahendeid, mis võimaldavad kaitsta andmesubjekti õigusi, kui teda puudutavaid isikuandmeid on väidetavalt töödeldud vastuolus sama määruse sätetega. Nende õiguste kaitsmiseks võib kaebuse esitada muu hulgas andmesubjekt vahetult ise isikuandmete kaitse üldmääruse artiklite 77–79 alusel, milles on ette nähtud mitu õiguskaitsevahendit, mida ta saab kasutada samal ajal ja sõltumatult (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 47 ja seal viidatud kohtupraktika, ning 30. aprilli 2025. aasta kohtuotsus Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 ja C‑332/23, EU:C:2025:303, punkt 128 ning seal viidatud kohtupraktika). 45 Isikuandmete kaitse üldmääruse VIII peatüki sätete sõnastusest nähtub, et ükski neist ei kohusta liikmesriike sätestama sellist ennetavat õiguskaitsevahendit, nagu on kirjeldatud käesoleva kohtuotsuse punktis 42. Eeskätt olgu märgitud, et isikuandmete kaitse üldmääruse artikli 79 lõike 1 tekstiga on sätestatud üksnes, et ilma et see piiraks mis tahes kättesaadava haldusliku kaitsevahendi või kohtuvälise heastamisvahendi kohaldamist, on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui ta leiab, et tema sellest määrusest tulenevaid õigusi on rikutud tema isikuandmete niisuguse töötlemise tulemusel, millega on sama määrust rikutud. Selle sätte sõnastus ei kohusta liikmesriike sätestama konkreetset õiguskaitsevahendit, mis võimaldaks ennetavalt saada kohtu kaudu sellist tegevusest hoidumise korraldust, nagu on välja pakkunud eelotsusetaotluse esitanud kohus. 46 Samas arvestades isikuandmete kaitse üldmääruse VIII peatüki sätete sõnastust ja eelkõige seda, et isikuandmete kaitse üldmääruse artikli 79 lõikes 1 tunnustatakse iga andmesubjekti õigust tõhusale õiguskaitsevahendile, kui ta leiab, et talle selle määrusega antud õigusi on rikutud tema isikuandmete töötlemisega seda määrust rikkudes, „ilma et see piiraks“ mis tahes muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, tuleb asuda seisukohale, et liikmesriikidel ei ole keelatud sätestada sellist ennetavat õiguskaitsevahendit, et kohustada vastutavat töötlejat hoiduma nende õiguste mis tahes uuest rikkumisest (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 53). 47 Sellega seoses tuleb rõhutada, et kuigi isikuandmete kaitse üldmääruse eesmärk on tagada isikuandmete kaitset käsitlevate riigisiseste õigusaktide ühtlustamine, mis on üldjuhul täielik, annavad mitu kõnealuse määruse sätet liikmesriikidele siiski võimaluse sätestada täiendavaid, rangemaid või erandeid ettenägevaid riigisiseseid eeskirju, mis jätavad liikmesriikidele kaalutlusruumi nende sätete rakendamisel („kaitseklauslid“) (4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 57 ja seal viidatud kohtupraktika). 48 On tõsi, et isikuandmete kaitse üldmääruse VIII peatüki sätted ei sisalda konkreetselt sellist kaitseklauslit, mis võimaldaks liikmesriikidel sõnaselgelt ette näha, et andmesubjekt, kes soovib takistada vastutaval töötlejal rikkumast kõnealuse määruse materiaalõiguse norme, võib esitada hagi, et saada viimati mainitu suhtes korraldus hoiduda sellest tegevusest. Siiski ei ole liidu seadusandja soovinud ammendavalt ühtlustada õiguskaitsevahendeid, mida on võimalik kasutada isikuandmete kaitse üldmääruse sätete rikkumise korral, ega ole ka välistanud niisugust õiguskaitsevõimalust (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punktid 59 ja 60). 49 Seda tõlgendust kinnitavad isikuandmete kaitse üldmäärusega taotletavad eesmärgid. Nagu on märgitud määruse põhjenduses 10, on määruse eesmärk eelkõige tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse nende isikuandmete töötlemisel. Peale selle on määruse põhjenduses 11 eraldi märgitud, et tõhusaks isikuandmete kaitseks tuleb tugevdada ja täpsustada andmesubjektide õigusi ning isikuandmete töötlejate ja töötlemise üle otsustajate kohustusi (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 61). 50 Andmesubjekti võimalus esitada kohtule hagi, et kohustada vastutavat töötlejat hoiduma tulevikus isikuandmete kaitse üldmääruse materiaalõiguse normide rikkumisest, ei kahjusta aga neid eesmärke, vaid vastupidi tugevdab nende sätete soovitavat toimet ja seega andmesubjektide kõrgetasemelist kaitset nende isikuandmete töötlemisel, mida on nimetatud määruses silmas peetud. Seega ei ole isikuandmete kaitse üldmääruse VIII peatükiga vastuolus riigisisesed õigusnormid, millega antakse andmesubjektile õigus esitada seesugune hagi ennetaval eesmärgil (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Lindenapotheke, C‑21/23, EU:C:2024:846, punktid 62 ja 73). 51 Sellest järeldub, et isikuandmete kaitse üldmäärusega ei ole vastuolus see, kui õiguskaitsevahend, millega soovitakse saada korraldus, et vältida määruse materiaalõiguse normide võimalikku rikkumist, eelkõige ebaseadusliku töötlemise võimalikku kordamist, on sätestatud niisugustes liikmesriigi õigusnormides, mis on kohaldatavad asja menetlevas liikmesriigi kohtus. 52 Kõiki eeltoodud põhjendusi arvestades tuleb esimesele, teisele ja kolmandale küsimusele vastata, et isikuandmete kaitse üldmääruse sätteid tuleb tõlgendada nii, et nendes ei ole andmesubjekti kasuks, kelle isikuandmeid on ebaseaduslikult töödeldud ja juhul kui ta ei taotle oma andmete kustutamist, sätestatud kohtulikku õiguskaitsevahendit, millega ta saab ennetavalt nõuda, et vastutavat töötlejat kohustataks tulevikus hoiduma uuest ebaseaduslikust töötlemisest. Siiski ei ole nende sätete tõttu liikmesriikidel takistatud niisuguse õiguskaitsevahendi sätestamine oma vastavates õiguskordades. Neljas küsimus 53 Neljanda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et selles sättes sisalduv mittevaralise kahju mõiste hõlmab negatiivseid tundeid, mida andmesubjekt kogeb oma isikuandmete kolmandale isikule loata edastamise tagajärjel, näiteks kartust või rahulolematust, mille on põhjustanud kontrolli kaotamine nende andmete üle, nende võimalik kuritarvitamine või andmesubjekti maine kahjustamine. 54 Tuleb meelde tuletada, et isikuandmete kaitse üldmääruse artikli 82 lõikes 1 on ette nähtud, et igal isikul, kes on kandnud selle määruse rikkumise tulemusel varalist või mittevaralist kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest. 55 Järjepidevast kohtupraktikast tuleneb, et arvestades, et isikuandmete kaitse üldmääruse artikli 82 lõikes 1 ei ole ühtki viidet liikmesriikide riigisisesele õigusele, tuleb mittevaralise kahju mõistele selle sätte tähenduses anda liidu õiguses autonoomne ja ühetaoline määratlus (vt selle kohta 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn, C‑687/21, EU:C:2024:72, punkt 64, ja 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 139 ja seal viidatud kohtupraktika). 56 Euroopa Kohus on eelkõige isikuandmete kaitse üldmääruse põhjendusi 75, 85 ja 146 arvestades korduvalt selgitanud, et pelgalt selle määruse rikkumisest ei piisa, et tekiks õigus hüvitisele määruse artikli 82 lõike 1 alusel. „Kantud“ või „tekitatud“ varalise või mittevaralise „kahju“ olemasolu, isikuandmete kaitse üldmääruse rikkumise esinemine ning põhjuslik seos kahju ja rikkumise vahel on kolm selles sättes ette nähtud kumulatiivset, vajalikku ja piisavat hüvitise saamise õiguse tingimust. Seega ei pea andmesubjekt, kes nõuab mittevaralise kahju hüvitamist määruse artikli 82 lõike 1 alusel, mitte ainuüksi tõendama, et on rikutud selle määruse sätteid, vaid peab lisaks tõendama ka seda, et see rikkumine põhjustas talle niisugust kahju (vt selle kohta4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 32, 33, 37 ja 42; 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punktid 140–142, ning 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punktid 24 ja 25). 57 Käesoleval juhul märgib eelotsusetaotluse esitanud kohus, et põhikohtuasja hageja tugineb mittevaralisele kahju puhul, mida ta väidab olevat kandnud isikuandmete kaitse üldmääruse rikkumise tõttu, peamiselt „kartusele, et andmed edastatakse samas sektoris töötavatele kolmandatele isikutele, asjaolule, et kolmas isik oli teadlik konfidentsiaalsest teabest, [ning] alandusele, mis on seotud tema palganõuete rahuldamata jätmisega ja sellega, et kolmandad isikud saavad sellest teada“. Eelotsusetaotluse esitanud kohus soovib teada, kas „negatiivsed tunded, nagu viha, pahameel, rahulolematus, mure ja kartus“, mida ta nimetab osaks üldisest igapäevaeluga seotud riskist, on piisavad, et tuvastada mittevaralise kahju olemasolu selle määruse artikli 82 tähenduses, või peab andmesubjektile olema tekitatud kahju, mis läheb nendest tunnetest kaugemale. 58 Sellega seoses nähtub esiteks Euroopa Kohtu järjepidevast praktikast, et isikuandmete kaitse üldmääruse artikli 82 lõikega 1 on vastuolus riigisisene õigusnorm või praktika, mille kohaselt eeldab selle sätte tähenduses mittevaralise kahju hüvitamine, et andmesubjektile tekkinud kahju oleks teatud raskusastmega. Selles sättes ei ole nõutud, et selle määruse sätete tõendatud rikkumise korral peab andmesubjekti väidetav mittevaraline kahju ulatuma miinimumkünniseni, et see kahju oleks hüvitatav (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punkt 51, ja 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punktid 147 ja 149). 59 Teiseks märkis Euroopa Komisjon oma kirjalikes seisukohtades, et niisugused olukorrad, nagu on kõne all põhikohtuasjas ja mis puudutavad isikuandmetega seotud rikkumisest tulenevat maine kahjustamist või kontrolli kaotamist nende andmete üle, on sõnaselgelt nimetatud isikuandmete kaitse üldmääruse põhjendustes 75 ja 85 loetletud võimaliku kahju näidete hulgas. 60 Eeskätt rõhutas Euroopa Kohus, et isikuandmete kaitse üldmääruse põhjenduse 85 esimeses lauses toodud sellise „kahju“ näitlikust loetelust, mida andmesubjekt võib kanda või mida talle võib tekitada, nähtub, et liidu seadusandja soovis hõlmata kõnealuse mõistega eelkõige andmesubjekti pelka kontrolli kaotamist oma isikuandmete üle selle määruse rikkumise tagajärjel, isegi kui nende andmete kuritarvitamist ei ole tegelikult toimunud. Niisugusest kontrolli kaotamisest võib piisata mittevaralise kahju põhjustamiseks nimetatud määruse artikli 82 lõike 1 tähenduses, kui andmesubjekt tõendab, et ta on tegelikult sellist kahju kandnud, olgu see kahju kui tahes minimaalne, ilma et mittevaralise kahju mõiste puhul oleks nõutav täiendavate tajutavate negatiivsete tagajärgede tõendamine (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punktid 145, 150 ja 156 ning seal viidatud kohtupraktika). 61 Kolmandaks on Euroopa Kohus varem otsustanud, et ainuüksi kõnealuse määruse rikkumise tagajärjel andmesubjekti kogetav kartus, et kolmas isik võib millalgi tema isikuandmeid kuritarvitada, võib eraldivõetuna kujutada endast mittevaralist kahju selle määruse artikli 82 lõike 1 tähenduses, tingimusel et see kartus koos oma negatiivsete tagajärgedega on nõuetekohaselt tõendatud, mida peab kontrollima asja menetlev liikmesriigi kohus (vt selle kohta20. juuni 2024. aasta kohtuotsus PS (vale aadress), C‑590/22, EU:C:2024:536, punktid 32, 35 ja 36, ning 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punktid 143, 144 ja 155 ning seal viidatud kohtupraktika). 62 Seega, kuigi eelotsusetaotluse esitanud kohtu mainitud tunded – eelkõige kartus või rahulolematus – võivad kuuluda ka igapäevaelule omaste üldiste riskide hulka, nagu eelotsusetaotluse esitanud kohus ise märgib, võivad sellised negatiivsed tunded kujutada endast mittevaralist kahju isikuandmete kaitse üldmääruse artikli 82 lõike 1 tähenduses, tingimusel et käesoleva kohtuotsuse punktis 56 meelde tuletatud põhjusliku seose nõude alusel tõendab andmesubjekt, et tal on sellised tunded koos nende negatiivsete tagajärgedega just selle määruse kõnealuse rikkumise tõttu, milleks on näiteks tema isikuandmete loata edastamine kolmandale isikule, mis toob kaasa selle isiku poolt kuritarvitamise ohu, mida peavad hindama liikmesriigi kohtud, kelle poole on pöördutud. 63 Neljandaks ja viimasena on see tõlgendus kooskõlas isikuandmete kaitse üldmääruse artikli 82 lõike 1 sõnastusega koostoimes selle määruse põhjendustega 85 ja 146, milles kutsutakse üles mittevaralise kahju mõistet artikli 82 lõike 1 tähenduses laialt tõlgendama. Peale selle on nimetatud tõlgendus kooskõlas isikuandmete kaitse üldmääruse eesmärgiga, mis tuleneb määruse artiklist 1 ning põhjendustest 1 ja 10 ning milleks on tagada liidus füüsiliste isikute järjekindel ja kõrgetasemeline kaitse isikuandmete töötlemisel (vt analoogia alusel 14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punktid 19 ja 20, ning 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punktid 144 ja 146). 64 Eeltoodud kaalutlusi arvestades tuleb neljandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et selles sättes sisalduv mittevaralise kahju mõiste hõlmab negatiivseid tundeid, mida andmesubjekt kogeb oma isikuandmete kolmandale isikule loata edastamise tõttu, näiteks kartust või rahulolematust, mille on põhjustanud kontrolli kaotamine nende andmete üle, nende võimalik kuritarvitamine või andmesubjekti maine kahjustamine, tingimusel et andmesubjekt tõendab, et tal on selle määruse kõnealuse rikkumise tõttu niisugused tunded ja negatiivsed tagajärjed. Viies küsimus 65 Viienda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et sellega on lubatud artikli 82 lõike 1 alusel makstava mittevaralise kahju hüvitamise hindamisel arvesse võtta vastutava töötleja süü suurust. 66 Sellega seoses tuleneb Euroopa Kohtu praktikast, et kuna isikuandmete kaitse üldmäärus ei sisalda sätteid, mille eesmärk oleks määratleda õigusnormid, mis reguleerivad selle kahjuhüvitise kindlaksmääramist, mida võib nõuda määruse artiklis 82 nimetatud kahju hüvitamise õiguse alusel, peavad liikmesriikide kohtud kohaldama liikmesriigi riigisiseseid õigusnorme, milles käsitletakse rahalise hüvitamise suurust, tingimusel et järgitakse liidu õigusest tulenevat võrdväärsuse põhimõtet ja tõhususe põhimõtet (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 54 ja 59, ning 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punkt 32). 67 Käesoleval juhul on eelotsusetaotluse esitanud kohtul tekkinud küsimus, kas kahju tekitaja süü suurust, mis on Saksa õiguses mittevaralise kahju rahalise hüvitamise hindamiseks ette nähtud kriteerium, võib kohaldada ka mittevaralise kahju hüvitamisele isikuandmete kaitse üldmääruse artikli 82 alusel. 68 Euroopa Kohtu otsustest, millest mõni on tehtud pärast käesoleva eelotsusetaotluse esitamist, tuleneb, et viiendale küsimusele tuleb vastata eitavalt. 69 Nii on Euroopa Kohus asunud seisukohale, et võttes arvesse isikuandmete kaitse üldmääruse artiklis 82 ette nähtud hüvitise saamise õiguse hüvitamisfunktsiooni, peavad liikmesriigi kohtud määrama täieliku ja tõhusa rahalise hüvitise, nagu selle määruse põhjenduses 146 on märgitud, ilma et täieliku hüvitamise jaoks oleks vaja välja mõista karistuslikku kahjuhüvitist (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 57 ja 58, ning 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punkt 34). 70 Erinevalt isikuandmete kaitse üldmääruse artiklis 83 ette nähtud trahvidest, mille eeldusi ei saa mutatis mutandis kohaldada sama määruse artiklile 82, täidab viimati nimetatud artiklis eelkõige mittevaralise kahju korral ette nähtud õigus hüvitisele ainuüksi hüvitavat funktsiooni, sest artikli 82 alusel välja mõistetud rahaline hüvitis peab võimaldama hüvitada täielikult selle määruse rikkumisega tegelikult tekitatud kahju, mitte täitma pärssivat või karistavat funktsiooni (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 153, ja 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punktid 39–41). 71 Seega sõltub vastutava töötleja vastutuse tekkimine isikuandmete kaitse üldmääruse artikli 82 alusel ühelt poolt tema süüst, mida eeldatakse, välja arvatud juhul, kui ta tõendab, et ta ei ole vastutav kahju tekitanud sündmuse eest, ning teiselt poolt ei nõua nimetatud artikkel 82, et selle sätte alusel mittevaralise kahju hüvitamiseks välja mõistetava hüvitise summa kindlaksmääramisel võetaks arvesse süü suurust (4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 154). 72 Täpsemalt on isikuandmete kaitse üldmääruse artikli 82 lõikes 1 ette nähtud hüvitise saamise õiguse eranditult kompenseeriva funktsiooniga vastuolus see, kui selle sätte alusel kahju hüvitamisel võetakse arvesse seda, millise raskusastmega on selle määruse rikkumine vastutava töötleja poolt, ja rikkumise võimalikku tahtlikkust. Järelikult ei tohi selle sätte alusel võtta arvesse vastutava töötleja suhtumist ja motivatsiooni ning määrata andmesubjektile võimalik väiksem hüvitis võrreldes tema tegelikult kantud kahjuga kas summa suuruse või hüvitise liigi osas (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punktid 42–45 ja seal viidatud kohtupraktika). 73 Eeltoodud kaalutlusi arvestades tuleb viiendale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et sellega on vastuolus, kui nimetatud artikli alusel makstava mittevaralise kahju hüvitamise hindamisel võetakse arvesse vastutava töötleja süü suurust. Kuues küsimus 74 Kuues küsimus on esitatud juhuks, kui Euroopa Kohus vastab jaatavalt kas ühele esimese küsimuse osale või kolmandale küsimusele, st kui sisuliselt tuleb asuda seisukohale, et andmesubjekti õigus nõuda, et vastutav töötleja hoiduks tulevikus uuest isikuandmetega seotud rikkumisest, tuleneb vahetult isikuandmete kaitse üldmääruse sätetest või selle määrusega lubatud riigisiseste õigusnormide kohaldamisest. Arvestades esimesele, teisele ja kolmandale küsimusele punktis 52 antud vastust, tuleb kuuendale küsimusele vastata. 75 Viimati nimetatud küsimuse eseme täpsustamiseks märgib eelotsusetaotluse esitanud kohus, et Saksa õiguse ja tema enda kohtupraktika kohaselt võib asjaolu, et mittevaralist kahju kandnud isik on taotlenud või isegi saanud korralduse, et kahju tekitanud isik on sunnitud hoiduma uutest kahjustavatest tegudest, arvesse võtta, et kahju tekitamise eest makstavat rahalist hüvitist vähendada või see isegi välistada. Ta soovib teada, kas seda kahjuhüvitise hindamise kriteeriumi saab kohaldada ka isikuandmete kaitse üldmääruse puhul, arvestades eelkõige liidu õiguse tõhususe põhimõtet, ja kui see on nii, siis mil määral. 76 Seega palub eelotsusetaotluse esitanud kohus oma küsimusega sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et asjaolu, et andmesubjekt on saanud kohaldatava riigisisese õiguse alusel korralduse, mille kohaselt peab vastutav töötleja hoiduma selle määruse uuest rikkumisest, võib arvesse võtta, et vähendada selle artikli 82 lõike 1 alusel makstava mittevaralise kahju rahalise hüvitise suurust või sellega hüvitist asendada. 77 Niisuguses kontekstis tuleb meelde tuletada, et nagu on märgitud käesoleva kohtuotsuse punktis 66, ei sisalda isikuandmete kaitse üldmäärus sätteid, milles oleks määratletud reeglid selle kahju hüvitise suuruse hindamiseks, mida andmesubjekt võib määruse artikli 82 alusel nõuda, mistõttu peavad liikmesriikide kohtud kohaldama selleks liikmesriigi riigisiseseid õigusnorme, milles käsitletakse rahalise hüvitise suurust, tingimusel et järgitakse liidu õigusest tulenevat võrdväärsuse põhimõtet ja tõhususe põhimõtet. 78 Eeskätt tuleb rõhutada, et hindamiskriteeriumid, mis võimaldavad kindlaks määrata hüvitise, mis tuleb välja mõista kohtuasjades, mille eesmärk on tagada õigussubjektidele isikuandmete kaitse üldmääruse artikliga 82 antud õiguste kaitse, mis on kehtestatud iga liikmesriigi õiguskorras, peavad tagama, et täielikult ja tõhusalt hüvitatakse kahju, mida andmesubjekt on nimetatud määruse rikkumise tagajärjel kandnud (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 152, ja 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punkt 34 ja seal viidatud kohtupraktika). 79 Euroopa Kohus on juba möönnud, et tõhususe põhimõttest tulenevates piirides võivad teatavad asjaolud mõjutada isikuandmete kaitse üldmääruse artikli 82 alusel makstava hüvitise hindamist eelkõige selle hüvitise piiramise suunas. Euroopa Kohus on leidnud, et kui andmesubjektile tekitatud kahju ei ole suur, võib liikmesriigi kohus mõista selle hüvitamiseks andmesubjektile välja väikese hüvitise, juhul kui väiksem hüvitis kompenseerib kantud kahju täielikult, mille kontrollimine on eelotsusetaotluse esitanud kohtu ülesanne. Samuti võib vabandamine kujutada endast artikli 82 alusel piisavat hüvitist mittevaralise kahju eest, eelkõige juhul, kui asjaomase kahju tekkimisele eelnenud olukorda ei ole võimalik taastada, ning tingimusel et taolises vormis hüvitisega kompenseeritakse täielikult see kahju, kui see on riigisiseses õiguses ette nähtud (vt selle kohta 4. oktoobri 2024. aasta kohtuotsus Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punktid 35–37 ja seal viidatud kohtupraktika). 80 Käesoleval juhul soovitakse esitatud küsimusega kindlaks teha, kas liikmesriigi kohus võib isikuandmete kaitse üldmääruse artikli 82 kohaldamisalas võtta arvesse asjaolu, et andmesubjekti kasuks on tehtud korraldus hoiduda rikkumisest, et vähendada kahjuhüvitist, mis võidakse talle mittevaralise kahju hüvitamiseks välja mõista, mistõttu kohustaks see kohus praktikas niisugust kahju hüvitama osaliselt rahalises vormis ja osaliselt sellise korraldusena või isegi ainult viimati nimetatud korraldusena. 81 Käesoleva kohtuotsuse punktides 78 ja 79 viidatud kohtupraktikast nähtub aga, et kohaldatavas riigisiseses õiguses ette nähtud kahju hüvitamise viisi saab pidada isikuandmete kaitse üldmäärusega kooskõlas olevaks üksnes siis, kui see vastab liidu õiguse võrdväärsuse põhimõttele ja tõhususe põhimõttele, mis eeldab eelkõige, et see viis tagab andmesubjektile tekitatud kahju täieliku ja tõhusa hüvitamise. 82 Täpsemalt ei saa selle määruse artikli 82 alusel välja mõista hüvitist osaliselt või tervikuna tegevusest hoidumise korralduse vormis, sest artiklis 82 ette nähtud õigus kahju hüvitamisele täidab üksnes hüvitavat funktsiooni, nagu on meelde tuletatud käesoleva kohtuotsuse punktis 70, samas kui kahju tekitajale adresseeritud tegevusest hoidumise korraldusel on üksnes ennetav eesmärk. Nimelt, nagu kohtujurist oma ettepaneku punktis 86 sisuliselt märkis, on seda laadi korralduse eesmärk vältida kahju tekitanud tegude kordumist, et vältida uue kahju tekkimist, aga see ei heasta juba andmesubjektile tekitatud kahju. 83 Eeltoodud kaalutlusi arvestades tuleb kuuendale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et sellega on vastuolus, kui asjaolu, et andmesubjekt on saanud kohaldatava riigisisese õiguse alusel korralduse, mille kohaselt peab vastutav töötleja hoiduma selle määruse uuest rikkumisest, võib arvesse võtta selleks, et vähendada selle sätte alusel makstava mittevaralise kahju rahalise hüvitise suurust või a fortiori sellega hüvitist asendada. Kohtukulud 84 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse sama kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata. Esitatud põhjendustest lähtudes Euroopa Kohus (neljas koda) otsustab: 1. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) sätteid tuleb tõlgendada nii, et nendes ei ole andmesubjekti kasuks, kelle isikuandmeid on ebaseaduslikult töödeldud ja juhul kui ta ei taotle oma andmete kustutamist, sätestatud kohtulikku õiguskaitsevahendit, millega ta saab ennetavalt nõuda, et vastutavat töötlejat kohustataks tulevikus hoiduma uuest ebaseaduslikust töötlemisest. Siiski ei ole nende sätete tõttu liikmesriikidel takistatud niisuguse õiguskaitsevahendi sätestamine oma vastavates õiguskordades. 2. Määruse 2016/679 artikli 82 lõiget 1 tuleb tõlgendada nii, et selles sättes sisalduv mittevaralise kahju mõiste hõlmab negatiivseid tundeid, mida andmesubjekt kogeb oma isikuandmete kolmandale isikule loata edastamise tõttu, näiteks kartust või rahulolematust, mille on põhjustanud kontrolli kaotamine nende andmete üle, nende võimalik kuritarvitamine või andmesubjekti maine kahjustamine, tingimusel et andmesubjekt tõendab, et tal on selle määruse kõnealuse rikkumise tõttu niisugused tunded ja negatiivsed tagajärjed. 3. Määruse 2016/679 artikli 82 lõiget 1 tuleb tõlgendada nii, et sellega on vastuolus, kui nimetatud artikli alusel makstava mittevaralise kahju hüvitamise hindamisel võetakse arvesse vastutava töötleja süü suurust. 4. Määruse 2016/679 artikli 82 lõiget 1 tuleb tõlgendada nii, et sellega on vastuolus, kui asjaolu, et andmesubjekt on saanud kohaldatava riigisisese õiguse alusel korralduse, mille kohaselt peab vastutav töötleja hoiduma selle määruse uuest rikkumisest, võib arvesse võtta selleks, et vähendada selle sätte alusel makstava mittevaralise kahju rahalise hüvitise suurust või a fortiori sellega hüvitist asendada. Allkirjad ( *1 ) Kohtumenetluse keel: saksa.