1

Ar prasību, kas pamatota ar LESD 263., 265. un 268. pantu, prasītājs Thomas Bindl lūdz Vispārējo tiesu, pirmkārt, atcelt viņa personas datu nosūtīšanu uz trešām valstīm, kurās nav pietiekama aizsardzības līmeņa, otrkārt, konstatēt, ka Eiropas Komisija ir prettiesiski atturējusies paust nostāju par viņa 2022. gada 1. aprīļa informācijas pieprasījumu, un, treškārt, atlīdzināt nemantisko kaitējumu, kas viņam esot nodarīts, pirmām kārtām, ar viņa tiesību piekļūt informācijai pārkāpumu un, otrām kārtām, ar viņa personas datu nosūtīšanu.

Tiesvedības priekšvēsture un fakti pēc prasības celšanas

2

Prasītājs ir Vācijas pilsonis, kurš interesējas par informācijas tehnoloģiju un personas datu aizsardzības tēmām.

3

Komisijas Komunikācijas ģenerāldirektorāts ir personas datu pārzinis Konferences par Eiropas nākotni tīmekļvietnē https://futureu.europa.eu (turpmāk tekstā – “KEN tīmekļvietne”).

4

Prasītājs 2021. un 2022. gadā vairākkārt apmeklēja KEN tīmekļvietni. Tostarp viņš šo vietni apmeklēja 2022. gada 30. martā un reģistrējās tajā ietvertajā pasākumā GoGreen, izmantojot savu Facebook kontu; 2022. gada 8. jūnijā viņš atkal apmeklēja minēto tīmekļvietni.

5

Ar 2021. gada 9. novembra elektroniskā pasta vēstuli (turpmāk tekstā – “2021. gada 9. novembra informācijas pieprasījums”) prasītājs Komisijas datu aizsardzības pārstāvim lūdza sniegt viņam informāciju atbilstoši Eiropas Parlamenta un Padomes Regulai (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV 2018, L 295, 39. lpp.).

6

Minētajā elektroniskā pasta vēstulē prasītājs, pirmkārt, norādīja, ka ir pamanījis, ka tad, kad viņš pieslēdzās KEN tīmekļvietnei, tika aktivizēts savienojums ar tādiem ārpakalpojumu sniedzējiem kā ASV uzņēmums Amazon Web Services; otrkārt, viņš lūdza norādīt, kādi ar viņu saistītie personas dati ir apstrādāti vai glabāti un kuri attiecīgā gadījumā ir pārsūtīti trešām personām; treškārt, viņš pieprasīja informāciju par šādas nosūtīšanas juridisko pamatu, kā arī par iespējamām garantijām attiecībā uz nosūtīšanu uz trešām valstīm, kurās nav pietiekama aizsardzības līmeņa.

7

Ar 2021. gada 3. decembra elektroniskā pasta vēstuli Komisijas Komunikācijas ģenerāldirektorāts nosūtīja prasītājam elektronisku saiti un informēja, ka šī saite viņam ļauj tieši izveidot sarakstu ar personas datiem, kas tikuši apstrādāti, apmeklējot KEN tīmekļvietni. Turklāt tas norādīja prasītājam, pirmkārt, ka viņa personas dati nav pārsūtīti saņēmējiem ārpus Eiropas Savienības, un, otrkārt, ka tie ir glabāti un apstrādāti KEN tīmekļvietnē, kurā izmantots satura piegādes tīkls, ko pārvalda Amazon Web Services EMEA SARL (turpmāk tekstā – “AWS EMEA”), kas reģistrēta Luksemburgā (Luksemburga). Turklāt tas precizēja, ka saistībā ar līgumsaistībām starp Komisiju un AWS EMEA datu pārzinis neizmanto pakalpojumus, kuriem būtu nepieciešama datu nosūtīšana AWS EMEA partneriem Amerikas Savienotajās Valstīs, un ka datu nosūtīšana ārpus Savienības teritorijas principā nav atļauta.

8

[Labots ar 2025. gada 3. jūnija rīkojumu] Ar 2022. gada 1. aprīļa elektroniskā pasta vēstuli prasītājs saskaņā ar Regulu 2018/1725 lūdza Komisijai informāciju par viņa datu apstrādi (turpmāk tekstā – “2022. gada 1. aprīļa informācijas pieprasījums”). Pirmkārt, viņš norādīja, ka ir pamanījis, ka, pieslēdzoties KEN tīmekļvietnei, tika izveidots savienojums ar tādiem ārpakalpojumu sniedzējiem kā AWS EMEA un ka brīdī, kad viņš izmantoja savus Facebook identifikatorus, lai reģistrētos šajā tīmekļvietnē, tika izveidots savienojums ar uzņēmumu Meta Platforms. Otrkārt, viņš lūdza, lai viņam tiktu norādīts, kuri ar viņu saistītie personas dati ir apstrādāti vai glabāti un kuri attiecīgā gadījumā ir pārsūtīti trešām personām. Treškārt, viņš pieprasīja informāciju par šādas nosūtīšanas juridisko pamatu, kā arī par iespējamām garantijām attiecībā uz nosūtīšanu uz trešām valstīm, kurās nav pietiekama aizsardzības līmeņa. Ceturtkārt, viņš pieprasīja savu datu, tostarp to, kurus glabā vai apstrādā trešās personas, piemēram, Facebook, kopiju.

9

Ar 2022. gada 22. aprīļa un 2. maija elektroniskā pasta vēstulēm prasītājs uzstāja, lai Komisija sniegtu atbildi uz 2022. gada 1. aprīļa informācijas pieprasījumu.

10

Ar prasības pieteikumu, kas Vispārējās tiesas kancelejā iesniegts 2022. gada 9. jūnijā, prasītājs cēla šo prasību.

11

Ar 2022. gada 30. jūnija elektroniskā pasta vēstuli Komisija informēja prasītāju, ka tā uzskata, ka 2022. gada 1. aprīļa informācijas pieprasījums ir gandrīz identisks 2021. gada 9. novembra informācijas pieprasījumam, un ka tā uz pēdējo minēto jau ir atbildējusi 2021. gada 3. decembra elektroniskā pasta vēstulē.

12

Amazon Web Services ir Amerikas Savienotajās Valstīs reģistrēts uzņēmums, un AWS EMEA ir Luksemburgā reģistrēts uzņēmums. Šie abi uzņēmumi ir ASV uzņēmuma Amazon.com, Inc. meitasuzņēmumi.

Lietas dalībnieku prasījumi

13

Prasītāja prasījumi Vispārējai tiesai ir šādi:

–

atcelt 2022. gada 30. martā un 8. jūnijā notikušās viņa personas datu nosūtīšanas uz trešām valstīm, kurās nav pietiekama aizsardzības līmeņa;

–

konstatēt, ka Komisija ir rīkojusies prettiesiski, nepaužot nostāju par 2022. gada 1. aprīļa informācijas pieprasījumu;

–

piespriest Komisijai samaksāt viņam summu 1200 EUR, tai pieskaitot procentus, kuri, pirmkārt, atbilst summai 800 EUR, kā atlīdzību par nemateriālo kaitējumu, kas viņam nodarīts tiesību piekļūt informācijai pārkāpuma dēļ, un, otrkārt, 400 EUR, kā atlīdzību par nemateriālo kaitējumu, kas nodarīts minēto datu nosūtīšanu rezultātā;

–

piespriest Komisijai atlīdzināt tiesāšanās izdevumus.

14

Komisijas prasījumi Vispārējai tiesai ir šādi:

–

noraidīt prasījumus par atcelšanu un prasījumus sakarā ar bezdarbību kā nepieņemamus;

–

pakārtoti – atzīt, ka par atcelšanas prasījumiem vairs nav jālemj;

–

noraidīt prasību par kaitējuma atlīdzību kā nepamatotu;

–

piespriest prasītājam atlīdzināt tiesāšanās izdevumus.

Juridiskais pamatojums

Ievada apsvērumi par personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās

15

LESD 16. panta 1. punkts un Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 8. panta 1. punkts paredz, ka ikvienai personai ir tiesības uz savu personas datu aizsardzību.

16

Eiropas Parlamenta un Padomes Regulā (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.) ir paredzēti noteikumi fizisku personu aizsardzībai attiecībā uz personas datu apstrādi un noteikumus personas datu brīvai apritei (Regulas 2016/679 1. panta 1. punkts).

17

Regulā 2018/1725 paredzēti noteikumi fizisku personu aizsardzībai attiecībā uz personas datu apstrādi Savienības iestādēs un struktūrās un noteikumi, kas attiecas uz personas datu brīvu apriti to starpā vai ar citiem saņēmējiem, kas veic uzņēmējdarbību Savienībā (Regulas 2018/1725 1. panta 1. punkts). Šī regula aizsargā fizisku personu pamattiesības un pamatbrīvības un jo īpaši to tiesības uz personas datu aizsardzību (Regulas 2018/1725 1. panta 2. punkts). To piemēro personas datu apstrādei visās Savienības iestādēs un struktūrās (Regulas 2018/1725 2. panta 1. punkts).

18

Regulas 2018/1725 5. apsvērumā atgādināts, ka saskaņā ar Tiesas judikatūru ikreiz, kad Regulas 2018/1725 tiesību normās ir ievēroti tie paši principi kā Regulas 2016/679 tiesību normās, šie abi tiesību normu kopumi jāinterpretē vienveidīgi, it īpaši tāpēc, ka Regulas 2018/1725 sistēma būtu jāsaprot kā ekvivalenta Regulas 2016/679 sistēmai. Šajā ziņā no Regulas 2016/679 2. panta 3. punkta kopsakarā ar Regulas 2018/1725 99. pantu arī izriet, ka pēdējā minētā regula ir pielāgota Regulas 2016/679 principiem un noteikumiem.

Par pieņemamību

Atcelšanas prasījumu pieņemamība

19

Ar pirmo prasījumu prasītājs lūdz atcelt 2022. gada 30. martā un 8. jūnijā notikušās viņa personas datu nosūtīšanas uz trešām valstīm, kurās nav pietiekama aizsardzības līmeņa (turpmāk tekstā – “apstrīdētās nosūtīšanas”).

20

Iebildumu rakstā Komisija atsaucas uz šīs atcelšanas prasības nepieņemamību, jo tā neesot vērsta pret apstrīdamu tiesību aktu LESD 263. panta izpratnē, bet gan pret to, lai attiecībā uz Komisiju tiktu izdots rīkojums.

21

Prasītājs apgalvo, ka atcelšanas prasība ir pieņemama, jo apstrīdētās nosūtīšanas ir akti, kas rada saistošas tiesiskās sekas un ietekmē viņa tiesisko stāvokli, aizskarot Hartas 8. pantā garantētas pamattiesības uz personas datu aizsardzību. Jebkāda cita interpretācija nebūtu saderīga ar pamattiesībām uz efektīvu tiesību aizsardzību tiesā, lai gan Regulas 2018/1725 64. panta 1. punktā šīs tiesības ir skaidri atzītas.

22

Kā atgādināts Regulas 2018/1725 64. panta 1. punktā un 79. apsvērumā, ikvienai personai ir tiesības uz tiesību efektīvu aizsardzību Eiropas Savienības Tiesā saskaņā ar Līgumiem, ja tā uzskata, ka ir pārkāptas tai minētajā regulā paredzētās tiesības.

23

No tā izriet, ka atbilstoši Regulai 2018/1725 ikvienam datu subjektam ir tiesības celt atcelšanas prasību saskaņā ar LESD 263. pantā paredzētajiem nosacījumiem.

24

Saskaņā ar pastāvīgo judikatūru LESD 263. pantā paredzēto atcelšanas prasību var celt attiecībā uz jebkuru iestāžu aktu – neatkarīgi no tā formas –, kura mērķis ir radīt saistošas tiesiskas sekas, kas var ietekmēt prasītāja intereses, būtiski mainot tā tiesisko stāvokli (spriedumi, 2017. gada 19. janvāris, Komisija/Total un Elf Aquitaine, C‑351/15 P, EU:C:2017:27, 35. un 36 punkts un tajos minētā judikatūra, kā arī 2020. gada 16. jūlijs, Inclusion Alliance for Europe/Komisija, C‑378/16 P, EU:C:2020:575, 71. punkts un tajā minētā judikatūra).

25

Lai noskaidrotu, vai apstrīdētais akts rada saistošas tiesiskas sekas, saskaņā ar Tiesas pastāvīgo judikatūru, paturot prātā šī akta būtību, tas jāizvērtē atbilstoši tādiem objektīviem kritērijiem kā minētā akta saturs, vajadzības gadījumā ņemot vērā tā pieņemšanas kontekstu, kā arī to izdevušās Savienības iestādes vai struktūras pilnvaras (skat. spriedumu, 2021. gada 15. jūlijs, FBF, C‑911/19, EU:C:2021:599, 38. punkts un tajā minētā judikatūra).

26

Šajā lietā prasītājs lūdz atcelt apstrīdētās nosūtīšanas, kas, viņaprāt, ir notikušas trīs reizes. Pirmkārt, apmeklējot KEN tīmekļvietni 2022. gada 30. martā (turpmāk tekstā – “apstrīdētā nosūtīšana, apmeklējot KEN tīmekļvietni 2022. gada 30. martā”), viņa personas dati, tostarp IP adrese, kā arī informācija par tā pārlūkprogrammu un galaiekārtu, esot pārsūtīti ASV uzņēmumam Amazon Web Services, kas pārvalda satura piegādes tīklu Amazon CloudFront, kurš tiekot izmantots minētajā tīmekļvietnē.

27

Otrkārt, kad prasītājs 2022. gada 30. martā, izmantojot savu Facebook kontu, pieslēdzās Komisijas EU Login lietotāja autentificēšanas pakalpojumam, lai KEN tīmekļvietnē reģistrētos pasākumā GoGreen (turpmāk tekstā – “apstrīdētā nosūtīšana, pieslēdzoties EU Login 2022. gada 30. martā”), viņa personas dati, tostarp viņa IP adrese, kā arī informācija par viņa pārlūkprogrammu un galaiekārtu, esot pārsūtīti ASV uzņēmumam Meta Platforms, Inc.

28

Treškārt, prasītājam apmeklējot KEN tīmekļvietni 2022. gada 8. jūnijā (turpmāk tekstā – “apstrīdētā nosūtīšana, apmeklējot KEN tīmekļvietni 2022. gada 8. jūnijā”), viņa personas dati esot pārsūtīti uz Amazon CloudFront serveri Ņuarkā [Newark] (Ņūdžersija, Amerikas Savienotās Valstis).

29

Turklāt prasītājs prasības pieteikumā norāda, ka viņš ir piekļuvis KEN tīmekļvietnei 2021. gada 9. novembrī un ka šajā datumā viņš ir reģistrējies KEN tīmekļvietnē, izmantojot savu Facebook kontu. Tomēr viņš nenorāda nevienu konkrētu elementu, kas ļautu secināt, ka uz šiem apstākļiem attiecas viņa prasība atcelt apstrīdētās nosūtīšanas. Līdz ar to jāņem vērā tikai šī sprieduma 26.–28. punktā minētās apstrīdētās nosūtīšanas.

30

Jānorāda, ka apstrīdētās nosūtīšanas, kuras prasītājs lūdz atcelt un kuras minētas šī sprieduma 26.–28. punktā, pēc prasītāja paša domām, atbilst Komisijas informātikas sistēmu vai dienestu, it īpaši KEN tīmekļvietnes, uzsāktajām informātikas darbībām datu migrācijā uz serveriem, kas pieder trešo personu uzņēmumiem, kuri reģistrēti ārpus Savienības teritorijas.

31

Protams, ir taisnība, ka darbība, kas izpaužas kā personas datu nosūtīšana no Savienības iestādes vai struktūras uz trešo valsti, pati par sevi ir personas datu apstrāde Regulas 2018/1725 3. panta 3. punkta izpratnē, kas veikta Savienības teritorijā, kurai šī regula ir piemērojama saskaņā ar tās 2. panta 5. punktu (šajā nozīmē skat. spriedumu, 2020. gada 16. jūlijs, Facebook Ireland un Schrems, C‑311/18; turpmāk tekstā – “spriedums Schrems II”, EU:C:2020:559, 83. punkts).

32

Tomēr visas darbības, kurās var notikt personas datu nosūtīšana Regulas 2018/1725 3. panta 3. punkta izpratnē, nav apstrīdami tiesību akti LESD 263. panta izpratnē, kā interpretēts šī sprieduma 24. punktā atgādinātajā judikatūrā.

33

Šajā lietā, pieņemot, ka apstrīdētās nosūtīšanas ir pierādītas, jākonstatē, ka tās ir materiālas, nevis juridiskas darbības. Proti, tādas apstrīdētās nosūtīšanas, kādas aprakstītas prasības pieteikumā, ir informātikas darbības datu migrācijai no vienas galaiekārtas vai servera uz citu, kas izriet no mijiedarbības starp prasītāju un Komisijas informātikas sistēmām vai dienestiem, apmeklējot KEN tīmekļvietni vai izmantojot EU Login pakalpojumu. Savukārt apstrīdētās nosūtīšanas nav Komisijas akti, kas rada saistošas tiesiskās sekas, proti, to mērķis nav noregulēt tiesisko situāciju, un, kā izriet no to rakstura, Komisijai nekādā ziņā nav bijis nodoma tām piešķirt šādas sekas.

34

Tātad apstrīdētās nosūtīšanas nevar radīt saistošas tiesiskas sekas, kas varētu ietekmēt prasītāja intereses, būtiski mainot tā tiesisko situāciju atbilstoši šī sprieduma 24. punktā atgādinātajai judikatūrai. Līdz ar to tās nevar uzskatīt par apstrīdamiem tiesību aktiem LESD 263. panta izpratnē.

35

No tā izriet, prasītāja izvirzītie atcelšanas prasījumi jānoraida kā nepieņemami.

Prasījumu sakarā ar bezdarbību pieņemamība

36

Ar otro prasījumu prasītājs lūdz Vispārējo tiesu konstatēt, ka Komisija ir rīkojusies prettiesiski, nepaužot nostāju par 2022. gada 1. aprīļa informācijas pieprasījumu.

37

Iebildumu rakstā Komisija atsaucas uz šī prasījuma sakarā ar bezdarbību nepieņemamību, jo neesot bijis aicinājuma pieņemt lēmumu LESD 265. panta otrās daļas izpratnē. Pakārtoti Komisija apgalvo, ka vairs nav jālemj par prasījumu sakarā ar bezdarbību, ņemot vērā tās atbildi prasītājam 2022. gada 30. jūnija elektroniskā pasta vēstulē.

38

Prasītājs būtībā apgalvo, ka Komisijai joprojām ir pienākums atbildēt uz 2022. gada 1. aprīļa informācijas pieprasījumu, jo informācija, ko tā sniedza ar 2022. gada 30. jūnija elektroniskā pasta vēstuli, ir nepietiekama un neprecīza.

39

Atbilstoši pastāvīgajai judikatūrai LESD 265. pantā paredzētais tiesību aizsardzības līdzeklis ir pamatots ar ideju, ka iestādes prettiesiska bezdarbība ļauj vērsties Savienības tiesā, lai tā atzītu, ka atturēšanās rīkoties ir pretrunā Līgumam, ja attiecīgā iestāde šo bezdarbību nav novērsusi (spriedums, 1988. gada 12. jūlijs, Parlaments/Padome, 377/87, EU:C:1988:387, 9. punkts; skat. arī spriedumu, 2015. gada 16. decembris, Zviedrija/Komisija, T‑521/14, nav publicēts, EU:T:2015:976, 33. punkts un tajā minētā judikatūra).

40

Gadījumā, kad darbība, par kuras neizpildi ir tiesvedība, tiek veikta pēc prasības celšanas, bet pirms sprieduma pasludināšanas, Savienības tiesas paziņojums par sākotnējās bezdarbības prettiesiskumu vairs nevar izraisīt LESD 266. pantā paredzētās sekas. No tā izriet, ka šādā gadījumā prasības priekšmets ir zudis un tādējādi tiesai vairs nav jālemj (spriedums, 1988. gada 12. jūlijs, Parlaments/Padome, 377/87, EU:C:1988:387, 10. un 11. punkts; skat. arī rīkojumu, 2000. gada 13. decembris, Sodima/Komisija, C‑44/00 P, EU:C:2000:686, 83. punkts un tajā minētā judikatūra).

41

Šajā lietā jākonstatē, ka Komisija uz 2022. gada 1. aprīļa informācijas pieprasījumu atbildēja ar 2022. gada 30. jūnija elektroniskā pasta vēstuli (skat. šī sprieduma 11. punktu). Tādējādi Komisija pēc šīs prasības celšanas izbeidza bezdarbību, ko prasītājs minētajā prasībā bija apgalvojis. Tātad otrais prasījums, ar kuru, pamatojoties uz LESD 265. pantu, tiek lūgts konstatēt Komisijas bezdarbību, jo netika sniegta atbilde uz 2022. gada 1. aprīļa informācijas pieprasījumu, ir zaudējis priekšmetu.

42

Tam, ka Komisijas 2022. gada 30. jūnija elektroniskā pasta vēstules saturs neatbilst prasītāja cerētajai atbildei, šajā ziņā nav nozīmes. Apstāklim, ka šī iestādes nostāja neapmierina prasītāju, arī nav nozīmes, jo LESD 265. pants attiecas uz bezdarbību, nepieņemot lēmumu vai nepaužot nostāju, nevis uz tāda tiesību akta pieņemšanu, kas nav tāds, kādu šis lietas dalībnieks būtu vēlējies vai uzskatījis par nepieciešamu (skat. rīkojumu, 2017. gada 6. aprīlis, Brancheforeningen for Regulerkraft i Danmark/Komisija, T‑203/16, nav publicēts, EU:T:2017:279, 22. punkts un tajā minētā judikatūra).

43

No tā izriet, ka vairs nav jālemj par prasītāja prasījumiem sakarā ar bezdarbību un ka nav jālemj par Komisijas izvirzīto šo prasījumu nepieņemamību.

Par prasījumiem sakarā ar kaitējuma atlīdzību

44

Ar trešo prasījumu prasītājs izvirza divus prasījumus par kaitējuma atlīdzību. Pirmkārt, viņš lūdz samaksāt 800 EUR kā atlīdzību par nemantisko kaitējumu, kas viņam esot nodarīts ar to, ka Komisija neesot ievērojusi viņa tiesības piekļūt informācijai, tādējādi pārkāpjot Regulas 2018/1725 14. panta 3. un 4. punktu un 17. panta 1. un 2. punktu, kā arī minētās regulas 4. panta 1. punkta a) apakšpunktā paredzēto pārskatāmības principu. Otrkārt, viņš lūdz samaksāt 400 EUR kā atlīdzību par nemateriālo kaitējumu, kas viņam esot nodarīts apstrīdēto nosūtīšanu rezultātā, pārkāpjot Regulas 2018/1725 46. pantu un 48. panta 1. punktu un 2. punkta b) apakšpunktu.

45

Komisija lūdz noraidīt šos prasījumus par kaitējuma atlīdzību.

Ievada apsvērumi par Savienības ārpuslīgumiskās atbildības iestāšanās nosacījumiem Regulas 2018/1725 ietvaros

46

Regulas 2018/1725 65. pantā noteikts, ka jebkurai personai, kurai šīs regulas pārkāpuma dēļ nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no Savienības iestādes vai struktūras saņemt kompensāciju par tai nodarīto kaitējumu “saskaņā ar Līgumu nosacījumiem”.

47

Regulas 2018/1725 65. pants jāinterpretē tādējādi, ka tajā ir paredzēts, ka tiesības saņemt no Savienības iestādes vai struktūras kompensāciju par kaitējumu, kas radies šīs regulas pārkāpuma dēļ, ir pakļautas LESD 340. panta otrās daļas nosacījumiem, atbilstoši kuriem Savienībai saskaņā ar vispārējiem tiesību principiem, kas kopīgi visu dalībvalstu tiesību sistēmām, novērš jebkādu kaitējumu, ko radījušas Savienības iestādes vai to darbinieki, pildot savus pienākumus.

48

Atbilstoši pastāvīgajai judikatūrai Savienības ārpuslīgumiskās atbildības iestāšanās ir atkarīga no trīs kumulatīvu nosacījumu izpildes, proti, iestādēm pārmestās rīcības prettiesiskuma, norādītā kaitējuma esamības un cēloņsakarības starp rīcību un norādīto kaitējumu esamības (šajā ziņā skat. spriedumus, 2000. gada 4. jūlijs, Bergaderm un Goupil/Komisija, C‑352/98 P, EU:C:2000:361, 39.–42. punkts, un 2021. gada 28. oktobris, Vialto Consulting/Komisija, C‑650/19 P, EU:C:2021:879, 138. punkts).

49

Tā kā šie nosacījumi ir kumulatīvi, tad gadījumā, ja kāds no tiem nav izpildīts, prasība par kaitējuma atlīdzināšanu jānoraida kopumā un izskatīt pārējos nosacījumus nav vajadzības (spriedums, 1999. gada 9. septembris, Lucaccioni/Komisija, C‑257/98 P, EU:C:1999:402, 14. un 63. punkts; skat. arī spriedumu, 2021. gada 25. februāris, Dalli/Komisija, C‑615/19 P, EU:C:2021:133, 42. punkts un tajā minētā judikatūra).

50

Attiecībā uz pirmo nosacījumu jānorāda, ka atbilstoši judikatūrai jāpierāda pietiekami būtisks tādas tiesību normas pārkāpums, ar ko privātpersonām ir piešķirtas kādas tiesības (skat. spriedumu, 2000. gada 4. jūlijs, Bergaderm un Goupil/Komisija, C‑352/98 P, EU:C:2000:361, 42. punkts un tajā minētā judikatūra).

51

Šī prasība par Savienības tiesību pietiekami būtisku pārkāpumu neatkarīgi no attiecīgā prettiesiskā tiesību akta rakstura paredz novērst situāciju, ka risks atlīdzināt attiecīgo uzņēmumu apgalvotos zaudējumus kavētu attiecīgās iestādes iespējas pilnībā īstenot savu kompetenci vispārējās interesēs saistībā ar normatīvu aktu izstrādi vai ekonomiskās politikas izvēli, kā arī administratīvās kompetences jomā, tomēr neliekot privātpersonām ciest acīmredzamas vai nepiedodamas pienākumu neizpildes sekas (šajā nozīmē skat. spriedumu, 2018. gada 14. decembris, East West Consulting/Komisija, T‑298/16, EU:T:2018:967, 124. punkts un tajā minētā judikatūra).

52

Izšķirošais kritērijs, kas ļauj uzskatīt, ka pārkāpums ir pietiekami būtisks, ir tas, ka attiecīgā Savienības iestāde vai struktūra acīmredzami un būtiski nav ievērojusi robežas, kas noteiktas tās rīcības brīvībai. Ja šai iestādei vai struktūrai ir visnotaļ ierobežota novērtējuma brīvība vai tās nav vispār, tad vienkāršs Savienības tiesību pārkāpums var būt pietiekams, lai uzskatītu, ka pastāv pietiekami būtisks pārkāpums (skat. spriedumu, 2002. gada 10. decembris, Komisija/Camar un Tio, C‑312/00 P, EU:C:2002:736, 54. punkts un tajā minētā judikatūra). Tomēr šajā judikatūrā nav noteikta automātiska saikne starp attiecīgās iestādes rīcību, no vienas puses, un Savienības tiesību pietiekami būtisku pārkāpumu, no otras puses (spriedums, 2010. gada 3. marts, Artegodan/Komisija, T‑429/05, EU:T:2010:60, 59. punkts). Attiecīgās iestādes rīcības brīvības apjoms, kaut arī tam ir svarīga nozīme, nav ekskluzīvs kritērijs. Šajā ziņā Tiesa pastāvīgi ir atgādinājusi, ka sistēmā, ko tā ieviesusi atbilstoši LESD 340. panta otrajai daļai, turklāt ir ņemta vērā risināmo situāciju sarežģītība un grūtības dokumentu piemērošanā vai interpretēšanā (skat. spriedumu, 2011. gada 23. novembris, Sison/Padome, T‑341/07, EU:T:2011:687, 36. un 37. punkts un tajos minētā judikatūra) vai, vispārīgāk, joma, nosacījumi un konteksts, kādos pārkāptais noteikums ir saistošs attiecīgajai Savienības iestādei vai struktūrai (skat. spriedumu, 2017. gada 4. aprīlis, Ombuds/Staelen, C‑337/15 P, EU:C:2017:256, 40. punkts un tajā minētā judikatūra).

53

No tā izriet, ka Savienības atbildība var iestāties tikai tad, ja tiek konstatēts, ka pienācīgi uzmanīga un rūpīga iestāde līdzīgos apstākļos šādu nelikumību nebūtu pieļāvusi. Tāpēc Savienības tiesai pēc tam, kad tā ir noskaidrojusi, vai attiecīgajai iestādei ir bijusi rīcības brīvība, jāņem vērā regulējamās situācijas sarežģītība, tiesību aktu piemērošanas un interpretācijas grūtības, pārkāptās tiesību normas skaidrības un precizitātes pakāpe un pieļautās kļūdas apzinātais vai neattaisnojamais raksturs (spriedums, 2010. gada 3. marts, Artegodan/Komisija, T‑429/05, EU:T:2010:60, 62. punkts).

54

Runājot par nosacījumu, kas attiecas uz kaitējuma esamību – tam ir jābūt reālam un droši zināmam, kas jāpierāda prasītājam (skat. spriedumu, 2006. gada 9. novembris, Agraz u.c./Komisija, C‑243/05 P, EU:C:2006:708, 27. punkts un tajā minētā judikatūra). Savukārt tikai iespējams un nekonkrēts kaitējums nerada tiesības uz atlīdzību (skat. spriedumu, 2011. gada 26. oktobris, Dufour/ECB, T‑436/09, EU:T:2011:634, 192. punkts un tajā minētā judikatūra).

55

Nosacījums par cēloņsakarību attiecas uz pietiekami tiešas cēloņsakarības pastāvēšanu starp iestādei pārmesto rīcību un kaitējumu, un pierādīšanas pienākums par šīs cēloņsakarības pastāvēšanu ir prasītājam tādējādi, ka pārmestajai rīcībai ir jābūt noteicošajam kaitējuma cēlonim (spriedums, 2018. gada 13. decembris, Eiropas Savienība/ASPLA un Armando Álvarez, C‑174/17 P un C‑222/17 P, EU:C:2018:1015, 23. punkts un tajā minētā judikatūra).

56

Turklāt jāatgādina, ka prasība par zaudējumu atlīdzību, kas balstīta uz LESD 340. panta otro daļu, ir izveidota kā patstāvīgs tiesību aizsardzības līdzeklis, kuram ir īpaša funkcija tiesību aizsardzības līdzekļu sistēmā un uz kuru attiecas izpildes nosacījumi, kas paredzēti tā īpašajam mērķim, līdz ar to tā atzīšana par nepieņemamu automātiski neizraisa prasības par kaitējuma atlīdzību nepieņemamību (spriedums, 2019. gada 5. septembris, Eiropas Savienība/Guardian Europe un Guardian Europe/Eiropas Savienība, C‑447/17 P un C‑479/17 P, EU:C:2019:672, 49. punkts un tajā minētā judikatūra).

57

No tā izriet, ka atcelšanas prasījuma tā nepieņemamības dēļ un prasījuma sakarā ar bezdarbību, jo par to vairs nav jālemj, noraidīšana saskaņā ar šī sprieduma 35. un 43. punktu līdz ar to nenozīmē, ka šī sprieduma 44. punktā minētie prasījumi par kaitējuma atlīdzību ir noraidāmi kā nepieņemami.

58

Iebildumi, ko prasītājs ir izvirzījis šo prasījumu atbalstam, jāizvērtē, ņemot vērā šos apsvērumus.

Par pirmo prasījumu atlīdzināt nemantisko kaitējumu, kas izriet no tiesību piekļūt informācijai pārkāpuma

59

Ar pirmo prasījumu par kaitējuma atlīdzību prasītājs lūdz piespriest Komisijai samaksāt viņam 800 EUR kā atlīdzību par nemantisko kaitējumu, kas viņam nodarīts tiesību piekļūt informācijai pārkāpuma dēļ.

60

Vispirms prasītājs pārmet Komisijai, ka tā noteiktajā termiņā nav atbildējusi uz 2022. gada 1. aprīļa informācijas pieprasījumu un nav viņam paziņojusi savas bezdarbības iemeslus, pārkāpjot Regulas 2018/1725 14. panta 3. un 4. punktu un 17. panta 1. un 2. punktu, kā arī šīs pašas regulas 4. panta 1. punkta a) apakšpunktā paredzēto pārskatāmības principu. Turklāt Komisija neesot ievērojusi Regulas 2018/1725 17. panta 1. punkta c) apakšpunktu un 2. punktu, jo KEN tīmekļvietnē izvietotajā paziņojumā par privātās dzīves aizsardzību neesot ietverta informācija par personas datu nosūtīšanu uz trešām valstīm un par iespējamām atbilstošām garantijām šīs nosūtīšanas mērķiem, kā tas esot prasīts minētās regulas 48. pantā. Turklāt 2021. gada 3. decembra elektroniskā pasta vēstulē Komisija esot sniegusi kļūdainu informāciju, ciktāl tā ir noliegusi prasītāja personas datu nosūtīšanu saņēmējiem Amerikas Savienotajās Valstīs.

61

Turpinājumā prasītājs apgalvo, ka Komisijas prettiesiskā bezdarbība viņam ir liegusi kontrolēt savu personas datu apstrādi un ka tas rada nemateriālu kaitējumu Regulas 2018/1725 46. apsvēruma izpratnē. Visbeidzot viņš norāda, ka šo nemateriālo kaitējumu, ko viņš novērtē 800 EUR apmērā, tiešā veidā radījusi Komisijas vainojamā rīcība.

62

Komisija apstrīd šos argumentus, būtībā norādot, ka šajā lietā nav izpildīts neviens no ārpuslīgumiskās atbildības iestāšanās nosacījumiem.

63

Vispirms attiecībā uz nosacījumu par pārmestās rīcības prettiesiskumu jāpārbauda, vai prasītājs ir atsaucies uz tādu tiesību normu pārkāpumu, kuru mērķis ir piešķirt tiesības privātpersonām.

64

Šajā ziņā jānorāda, ka Regulas 2018/1725 17. panta 1. punkta c) apakšpunktā ir noteiktas datu subjekta tiesības piekļūt informācijai par saņēmējiem, kuriem personas dati ir tikuši izpausti, it īpaši par saņēmējiem trešās valstīs. Tādējādi šajā tiesību normā ir konkretizēts Regulas 2018/1725 4. panta 1. punkta a) apakšpunktā nostiprinātais princips, ka visai informācijai un paziņojumiem, kas saistīti ar personas datu apstrādi, jābūt viegli pieejamiem.

65

Turklāt Regulas 2018/1725 14. panta 3. punktā pārzinim ir noteikts viena mēneša termiņš, lai atbildētu uz informācijas pieprasījumiem. Tāpat šīs regulas 14. panta 4. punktā pārzinim ir noteikts pienākums gadījumā, ja tas izlemj neapmierināt pieprasījumu, viena mēneša laikā informēt pieteikuma iesniedzēju par darbības neveikšanas iemesliem, kā arī par iespēju iesniegt sūdzību Eiropas Datu aizsardzības uzraudzītājam (EDAU) un vērsties tiesā. Tādējādi šie noteikumi ir administratīvā procesa noteikumi, kas palīdz īstenot tiesības piekļūt informācijai par datu subjekta personas datiem, tās konkretizējot un pielāgojot. Turklāt šīs tiesību normas palīdz īstenot ikvienai personai saskaņā ar Hartas 41. pantu piešķirtās tiesības uz jautājumu izskatīšanu saprātīgā termiņā Savienības iestādēs un struktūrās.

66

Līdz ar to Regulas 2018/1725 4. panta 1. punkta a) apakšpunkta, 14. panta 3. un 4. punkta un 17. panta 1. punkta c) apakšpunkta noteikumi, skatīti kopā, ir tiesību normas, kuru mērķis ir piešķirt tiesības privātpersonām šī sprieduma 50. punktā minētās judikatūras izpratnē.

67

Turpinājumā jāpārbauda, vai šajā lietā ir pierādīts, ka Komisija ir pārkāpusi šīs tiesību normas.

68

Pirmkārt, prasītājs apgalvo, ka Komisija ir pārkāpusi Regulas 2018/1725 17. panta 1. punkta c) apakšpunktu un 2. punktu, jo KEN tīmekļvietnē izvietotajā paziņojumā par privātās dzīves aizsardzību neesot ietverta informācija par personas datu nosūtīšanu saņēmējiem trešās valstīs, par iespējamām atbilstošām garantijām saistībā ar minēto nosūtīšanu vai par līgumslēdzēju kā šo datu saņēmēju identificēšanu.

69

Kā minēts šī sprieduma 64. punktā, Regulas 2018/1725 17. panta 1. punkta c) apakšpunktā un 2. punktā paredzēts, ka datu subjektam citastarp ir tiesības uz informāciju par saņēmējiem trešās valstīs, kuriem personas dati ir izpausti, kā arī par atbilstošām garantijām attiecībā uz datu nosūtīšanu šiem saņēmējiem.

70

No tā izriet, ka šajās tiesību normās ir noteiktas datu subjekta tiesības piekļūt noteiktai informācijai, bet tajās nav paredzēts, ka minētajai informācijai obligāti jābūt ietvertai konkrētā dokumentā vai pat paziņojumā par privātās dzīves aizsardzību, kāds izvietots KEN tīmekļvietnē. Citiem vārdiem – no šiem noteikumiem neizriet, ka attiecīgā informācija ir jādara zināma, izmantojot minēto paziņojumu. Tomēr prasītājs, tāpat kā ikviens datu subjekts, saglabā tiesības iegūt šādu informāciju, īstenojot savas tiesības piekļūt informācijai, kas noteiktas Regulas 2018/1725 17. panta 1. punkta c) apakšpunktā un 2. punktā, kas ir jautājums, kurš pārsniedz prasītāja Komisijai pārmestā prettiesiskuma apjomu un attiecas tikai uz paziņojuma par privātās dzīves aizsardzību saturu (skat. šī sprieduma 68. punktu).

71

Katrā ziņā šajā lietā no minētā paziņojuma par privātās dzīves aizsardzību, kas pievienots prasības pieteikumam, teksta izriet, ka tajā ir ietverta informācija par saņēmējiem vai saņēmēju kategorijām, kuriem personas dati ir tikuši vai tiks izpausti. Tādējādi minētā paziņojuma 7. punktā citastarp ir minēts, ka piekļuve datiem ir “piešķirta [Komisijas] pilnvarotajiem darbiniekiem un tās līgumslēdzējiem, kas ir atbildīgi par attiecīgās apstrādes darbības veikšanu, saskaņā ar principu “kam jāzina””. Turklāt prasītāja arguments, ka minētajā paziņojumā neesot ietverta informācija par personas datu nosūtīšanu trešās valstīs reģistrētiem saņēmējiem, ir balstīts uz pieņēmumu, ka KEN tīmekļvietnes apmeklēšana nozīmē lietotāju personas datu nosūtīšanu uz trešo valsti. Tomēr šis prasījums par kaitējuma atlīdzību ir pamatots ar tiesību piekļūt informācijai pārkāpumu, nevis ar to tiesību normu pārkāpumu, kas attiecas uz personas datu nosūtīšanu uz trešām valstīm, kas turklāt ir pamatā otrajam prasījumam par kaitējuma atlīdzību.

72

Līdz ar to šajā lietā nav pierādīts, ka Komisija būtu pārkāpusi Regulas 2018/1725 17. panta 1. punkta c) apakšpunktu un 2. punktu attiecībā uz KEN tīmekļvietnē izvietoto paziņojumu par privātās dzīves aizsardzību.

73

Otrkārt, prasītājs pārmet Komisijai, ka tā noteiktajā termiņā nav atbildējusi uz 2022. gada 1. aprīļa informācijas pieprasījumu un nav viņu informējusi par bezdarbības iemesliem, tādējādi pārkāpjot Regulas 2018/1725 14. panta 3. un 4. punktu un 17. panta 1. un 2. punktu, kā arī pārskatāmības principu. Turklāt Komisija 2021. gada 3. decembra elektroniskā pasta vēstulē viņam esot sniegusi kļūdainu informāciju.

74

Vispirms jānorāda, ka prasītājs neizvirza nevienu konkrētu argumentu, lai pamatotu pārskatāmības principa pārkāpumu. Tādējādi šim argumentam nav autonoma satura salīdzinājumā ar iebildumu par termiņa atbildes sniegšanai uz informācijas pieprasījumu neievērošanu un pienākuma paziņot šī termiņa pārsniegšanas iemeslus neizpildi.

75

Turklāt prasītāja argumenti par Regulas 2018/1725 17. panta 1. un 2. punkta pārkāpumu, kā arī par to, ka Komisija 2021. gada 3. decembra elektroniskā pasta vēstulē viņam esot sniegusi kļūdainu informāciju, ir balstīti uz pieņēmumu, ka KEN tīmekļvietnes apmeklēšana nozīmē lietotāju personas datu nosūtīšanu uz trešo valsti. Kā minēts šī sprieduma 71. punktā, šis prasījums par kaitējuma atlīdzināšanu ir balstīts uz tiesību piekļūt informācijai pārkāpumu, nevis uz to tiesību normu pārkāpumu, kas attiecas uz personas datu nosūtīšanu uz trešām valstīm un kas ir otrā prasījuma par kaitējuma atlīdzināšanu pamatā.

76

Līdz ar to šajā lietā nav pierādīts, ka Komisija būtu pārkāpusi Regulas 2018/1725 17. panta 1. un 2. punktu.

77

Attiecībā uz prasītāja iebildumu par Regulas 2018/1725 14. panta 3. un 4. punkta pārkāpumu no lietas materiāliem izriet, ka Komisija uz 2021. gada 9. novembra informācijas pieprasījumu atbildēja viena mēneša laikā, kā paredzēts Regulas 2018/1725 14. panta 3. punktā (skat. šī sprieduma 5. un 7. punktu). Saistībā ar 2022. gada 1. aprīļa informācijas pieprasījumu Komisija ar 2022. gada 30. jūnija elektroniskā pasta vēstuli informēja prasītāju, ka tā uzskata, ka 2022. gada 1. aprīļa informācijas pieprasījums ir gandrīz identisks 2021. gada 9. novembra informācijas pieprasījumam, un ka tā jau ir atbildējusi uz šo pieprasījumu 2021. gada 3. decembra elektroniskā pasta vēstulē (skat. šī sprieduma 11. punktu).

78

No tā izriet, ka attiecībā uz 2022. gada 1. aprīļa informācijas pieprasījumu Komisija nav ievērojusi viena mēneša termiņu, kas paredzēts Regulas 2018/1725 14. panta 4. punktā (skat. šī sprieduma 65. punktu).

79

No šī sprieduma 68.–78. punkta izriet, ka vienīgā Komisijai pārmestā prettiesiskā rīcība šajā lietā ir Regulas 2018/1725 14. panta 4. punktā paredzētā termiņa neievērošana.

80

Šādos apstākļos un neatkarīgi no tā, vai tas, ka Komisija nebija ievērojusi minēto termiņu, ir uzskatāms par pietiekami būtisku tiesību normas pārkāpumu, vispirms jāpārbauda, vai šī termiņa neievērošana prasītājam ir radījusi reālu un droši zināmu nemateriālo kaitējumu šī sprieduma 54. punktā atgādinātās judikatūras izpratnē.

81

Attiecībā uz to, vai it kā ciestais nemateriālais kaitējums ir reāls, jāatgādina, ka, lai gan ziņu par piedāvātajiem pierādījumiem iesniegšana ne vienmēr tiek uzskatīta par nemateriālā kaitējuma atzīšanas nosacījumu, prasītājam vismaz ir jāpierāda, ka attiecīgajai iestādei pārmestā rīcība varēja viņam šādu kaitējumu radīt (spriedums, 2009. gada 16. jūlijs, SELEX Sistemi Integrati/Komisija, C‑481/07 P, nav publicēts, EU:C:2009:461, 38. punkts; skat. arī spriedumu, 2019. gada 2. jūlijs, Fulmen/Padome, T‑405/15, EU:T:2019:469, 188. punkts un tajā minētā judikatūra).

82

Šajā lietā prasītājs lūdz atlīdzināt nemateriālo kaitējumu 800 EUR apmērā, apgalvojot, ka Komisijai pārmestā rīcība ir liegusi viņam kontrolēt tā personas datu apstrādi.

83

Tomēr jākonstatē, ka šajā lietā šāds nemateriālais kaitējums nav pierādīts. Proti, vienīgais konstatētais prettiesiskums šajā lietā ir tas, ka Komisija nav ievērojusi Regulas 2018/1725 14. panta 4. punktā paredzēto viena mēneša termiņu (skat. šī sprieduma 79. punktu). Taču šis termiņš nav pārsniegts vairāk kā par diviem mēnešiem (skat. šī sprieduma 77. punktu). Turklāt 2021. gada 9. novembra un 2022. gada 1. aprīļa informācijas pieprasījumi būtībā bija tādi paši (skat. šī sprieduma 5. un 8. punktu), līdz ar to prasītājs atbildi uz vismaz daļu no sava informācijas pieprasījuma jau bija saņēmis 2021. gada 3. decembrī – dienā, kad Komisija atbildēja uz 2021. gada 9. novembra informācijas pieprasījumu (skat. šī sprieduma 7. punktu).

84

Turklāt prasītāja arguments par kļūdainas informācijas sniegšanu (skat. šī sprieduma 75. punktu) attiecas uz informācijas pamatotību, nevis uz procesuālā noteikuma, kura pārkāpums konstatēts šī sprieduma 78. punktā, ievērošanu, un tādējādi tam nav nozīmes, lai pierādītu apgalvoto nemateriālo kaitējumu.

85

No tā izriet, ka nav pierādīts – tas, ka Komisija nav ievērojusi Regulas 2018/1725 14. panta 4. punktā paredzēto termiņu, varēja prasītājam radīt apgalvoto nemateriālo kaitējumu.

86

Līdz ar to, tā kā nav izpildīts viens no LESD 340. panta otrajā daļā paredzētajiem kumulatīvajiem Savienības ārpuslīgumiskās atbildības iestāšanās nosacījumiem, prasītāja pirmais prasījums par kaitējuma atlīdzību ir jānoraida.

Par otro prasījumu par kaitējuma atlīdzināšanu, ar kuru tiek lūgts atlīdzināt nemateriālo kaitējumu, kas radies apstrīdēto nosūtīšanu rezultātā

87

Ar otro prasījumu par kaitējuma atlīdzību prasītājs lūdz izmaksāt 400 EUR kā atlīdzību par nemateriālo kaitējumu, kas viņam esot nodarīts ar šī sprieduma 26.–28. punktā minētajām apstrīdētajām nosūtīšanām, proti, ar apstrīdēto nosūtīšanu, kas notikusi, apmeklējot KEN tīmekļvietni 2022. gada 30. martā, apstrīdēto nosūtīšanu, pieslēdzoties EU Login 2022. gada 30. martā, un ar apstrīdēto nosūtīšanu, apmeklējot KEN tīmekļvietni 2022. gada 8. jūnijā.

88

Prasītājs būtībā apgalvo, ka apstrīdētās nosūtīšanas notika saņēmējiem Amerikas Savienotajās Valstīs – kurās nav pietiekama aizsardzības līmeņa. Komisija neesot norādījusi nevienu no Regulas 2018/1725 V nodaļā paredzētajām atbilstošajām garantijām, kas varētu pamatot šo nosūtīšanu, un tādējādi esot pārkāpusi šīs regulas 46. pantu un 48. panta 1. punktu un 2. punkta b) apakšpunktu, kā arī Hartas 7., 8. un 47. pantu. Apstrīdētās nosūtīšanas esot radījušas risku, ka šīs valsts drošības dienesti un izlūkdienesti varētu piekļūt prasītāja datiem, un līdz ar to viņam esot nodarīts nemateriāls kaitējums Regulas 2018/1725 46. apsvēruma izpratnē, jo viņam esot liegtas tiesības un brīvības un likts šķērslis īstenot kontroli pār saviem datiem.

89

Komisija apstrīd šos argumentus, būtībā norādot, ka šajā lietā nav izpildīti ārpuslīgumiskās atbildības iestāšanās nosacījumi.

–

Ievada apsvērumi par noteikumiem attiecībā uz personas datu nosūtīšanu uz trešām valstīm

90

Pirmām kārtām, jānorāda, ka Regulu 2018/1725 – atbilstoši tās 2. panta 5. punktā noteiktajam – piemēro personas datu apstrādei, kas pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, un tādu personas datu apstrādei, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem.

91

Otrām kārtām, jēdziens “personas dati” jāinterpretē tādējādi, ka tie ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu, kā teikts Regulas 2018/1725 3. panta 1. punktā.

92

Trešām kārtām, jānorāda, ka datu nosūtīšana ir datu “apstrādes” darbība Regulas 2018/1725 3. panta 3. punkta izpratnē.

93

Ceturtām kārtām, jānorāda, ka uz “personas datu nosūtīšanu uz trešām valstīm vai starptautiskām organizācijām” attiecas Regulas 2018/1725 V nodaļa, kurā tā tomēr nav definēta.

94

Tomēr no Regulas 2018/1725 63. apsvēruma izriet, ka šīs regulas V nodaļas noteikumos minētā nosūtīšana attiecas uz personas datiem, kas no Savienības iestādēm un struktūrām tiek nosūtīti pārziņiem, apstrādātājiem vai citiem saņēmējiem trešās valstīs vai starptautiskām organizācijām.

95

Turklāt no Regulas 2018/1725 sistēmiskās interpretācijas izriet, ka personas datu nosūtīšanai uz trešo valsti tās 46. panta izpratnē, pirmkārt, attiecīgajam pārzinim jāietilpst Savienības iestādē vai struktūrā, lai tam būtu piemērojama minētā regula (Regulas 2018/1725 1. pants); otrkārt, neatkarīgi no tā, vai pārzinis, nosūtot vai citādi, personas datus dara pieejamus saņēmējam, it īpaši citai fiziskai vai juridiskai personai (Regulas 2018/1725 3. panta 3. un 13. punkts), un, treškārt, ka šis saņēmējs ir reģistrēts trešā valstī (Regulas 2018/1725 46. pants), proti, valstī, kas nav ne Savienības, ne Eiropas Ekonomikas zonas (EEZ) dalībvalsts.

96

Piektām kārtām, jākonstatē, ka Regulas 2018/1725 V nodaļas noteikumu mērķis ir, nosūtot personas datus uz trešām valstīm vai starptautiskām organizācijām, saglabāt Savienībā garantēto fizisko personu aizsardzības līmeni atbilstoši tās 63. apsvērumā precizētajam mērķim.

97

Sestām kārtām, Regulas 2018/1725 46. pantā paredzēts vispārējs princips, saskaņā ar kuru personas datu nosūtīšana uz trešo valsti vai starptautisku organizāciju var notikt tikai tad, ja, ievērojot citus šīs regulas noteikumus, pārzinis un apstrādātājs ir ievērojuši tās V nodaļā paredzētos nosacījumus.

98

Septītām kārtām, runājot par Regulas 2018/1725 V nodaļā definētajiem nosacījumiem, jānorāda, ka šīs regulas 47. panta 1. punktā paredzēts, ka personas datu nosūtīšana uz trešo valsti vai starptautisku organizāciju var notikt, ja Komisija ar lēmumu par aizsardzības līmeņa pietiekamību, kas pieņemts citastarp saskaņā ar Regulas 2016/679 45. panta 3. punktu, ir nolēmusi, ka attiecīgā valsts vai starptautiskā organizācija nodrošina pietiekamu aizsardzības līmeni un ka personas datu nosūtīšana notiek vienīgi tādēļ, lai ļautu izpildīt pārziņa kompetencē esošos uzdevumus.

99

Šajā ziņā jāatgādina, ka abi Komisijas lēmumi par aizsardzības līmeņa pietiekamību attiecībā uz Amerikas Savienotajām Valstīm tika atzīti par spēkā neesošiem. Pirmkārt, ar 2015. gada 6. oktobra spriedumu lietā Schrems (C‑362/14, EU:C:2015:650) Tiesa atzina par spēkā neesošu Komisijas Lēmumu 2000/520/EK (2000. gada 26. jūlijs) atbilstīgi Eiropas Parlamenta un Padomes Direktīvai 95/46/EK par pienācīgu aizsardzību, kas noteikta ar privātuma “drošības zonas” principiem un attiecīgajiem visbiežāk uzdotajiem jautājumiem, kurus izdevusi Amerikas Savienoto Valstu Tirdzniecības ministrija (OV 2000, L 215, 7. lpp.). Otrkārt, ar spriedumu lietā Schrems II Tiesa atzina par spēkā neesošu Komisijas Īstenošanas lēmumu (ES) 2016/1250 (2016. gada 12. jūlijs) saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK par pienācīgu aizsardzību, ko nodrošina ES un ASV privātuma vairogs (OV 2016, L 207, 1. lpp.).

100

No tā izriet, ka strīdīgo nosūtīšanu datumā attiecībā uz Amerikas Savienotajām Valstīm nepastāvēja neviens lēmums par aizsardzības līmeņa pietiekamību Regulas 2018/1725 47. panta izpratnē.

101

Ja nav Komisijas lēmuma par aizsardzības līmeņa pietiekamību attiecībā uz Amerikas Savienotajām Valstīm, jāpiemēro Regulas 2018/1725 48. panta 1. punkts, saskaņā ar kuru personas datus var nosūtīt uz trešo valsti vai starptautisku organizāciju tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi.

102

Regulas 2018/1725 48. panta 1. punktā minētās atbilstošās garantijas, kas uzskaitītas šīs regulas 48. panta 2. un 3. punktā, var tikt sniegtas tostarp ar standarta datu aizsardzības klauzulām, ko Komisija pieņēmusi saskaņā ar šīs regulas 48. panta 2. punkta b) apakšpunktu.

103

Tomēr Regulas 2018/1725 48. panta 2. punkta b) apakšpunktā paredzētajām standarta datu aizsardzības klauzulām var būt jāveic papildu pasākumi, lai nodrošinātu pienācīgu aizsardzības līmeni saskaņā ar Savienības tiesībām (pēc analoģijas skat. spriedumu Schrems II, 133. un 134. punkts).

104

Turklāt Regulas 2018/1725 48. panta 1. punktā minētās atbilstošās garantijas var sniegt citastarp ar klauzulām, kas ietvertas minētās regulas 48. panta 3. punkta a) apakšpunktā paredzētajos līgumos, kas noslēgti starp pārzini vai apstrādātāju, no vienas puses, un pārzini, apstrādātāju vai personas datu saņēmēju trešā valstī, no otras puses, ja to atļāvis EDAU.

105

Jāatgādina arī, ka Hartas 7., 8. un 47. pantā ir noteiktas attiecīgi tiesības uz privātās dzīves neaizskaramību, tiesības uz personas datu aizsardzību un tiesības uz efektīvu tiesību aizsardzību un taisnīgu tiesu.

106

Šajā lietā vispirms jānorāda, ka prasītāja otrais prasījums par kaitējuma atlīdzību ir balstīts uz to, ka Komisija ir pārkāpusi Regulas 2018/1725 46. pantu un 48. panta 1. punktu un 2. punkta b) apakšpunktu, kā arī Hartas 7., 8. un 47. pantu. No šī sprieduma 91.–105. punkta izriet, ka minētajās Regulas 2018/1725 normās ir konkretizētas tādas pamattiesības kā Hartas 7. un 8. pantā noteiktās un ka to mērķis kopumā ir nodrošināt personas datu aizsardzības augsta līmeņa turpinātību gadījumā, kad šie dati tiek nosūtīti trešām valstīm vai starptautiskām organizācijām.

107

No tā izriet, ka tiesību normu, uz kuru pārkāpumu prasītājs atsaucas sava otrā prasījuma par kaitējuma atlīdzību pamatojumam, mērķis ir aizsargāt attiecīgo personu individuālās intereses un tādējādi tās ir tiesību normas, kuru mērķis ir piešķirt tiesības privātpersonām šī sprieduma 50. punktā atgādinātās judikatūras izpratnē.

108

Tagad jāpārbauda, vai ir izpildīti nosacījumi, lai iestātos Komisijas ārpuslīgumiskā atbildība attiecībā uz katru no trim apstrīdētajām nosūtīšanām, kas minētas šī sprieduma 87. punktā.

109

Ņemot vērā, ka šī sprieduma 26. un 28. punktā minētās apstrīdētās nosūtīšanas esot notikušas tādēļ, ka KEN tīmekļvietnē tika izmantots satura piegādes tīkls jeb “SPT” (angļu valodā – “content delivery network” vai “CDN”), kura nosaukums ir Amazon CloudFront (turpmāk tekstā – “Amazon CloudFront pakalpojums”), vispirms jāizpēta šī pakalpojuma darbības nosacījumi šajā tīmekļvietnē.

–

Par “Amazon CloudFront” pakalpojuma darbību KEN tīmekļvietnē

110

Šajā lietā nav strīda par to, ka KEN tīmekļvietnē tiek izmantots Amazon CloudFront satura piegādes tīkls un ka šis tīkls tiek aktivizēts ikreiz, kad lietotājs apmeklē minēto tīmekļvietni.

111

No lietas materiāliem, it īpaši no lietas dalībnieku atbildēm uz 2023. gada 21. jūlija procesa organizatorisko pasākumu, kā arī no to mutvārdu paskaidrojumiem un atbildēm 2023. gada 17. oktobra tiesas sēdē izriet, ka, pirmkārt, Amazon CloudFront pakalpojums ir interneta pakalpojums, kas paātrina interneta satura, šajā gadījumā KEN tīmekļvietnes satura, piegādi lietotājiem. Amazon CloudFront piegādā saturu, izmantojot globālu serveru vai datu centru tīklu, ko sauc par “malas vietnēm” [edge locations] vai “malas serveriem” [edge servers].

112

Otrkārt, Amazon CloudFront pakalpojuma pamatā ir maršrutēšanas mehānisms, kas KEN tīmekļvietnes lietotāja pieprasījumu novirza uz malas serveri, kurš nodrošina viszemāko latentuma pakāpi saskaņā ar tuvuma lietotāja galaiekārtai principu, lai saturs tiktu nodots lietotājam pēc iespējas labākos apstākļos. Ja, it īpaši tehnisku grūtību dēļ, malas serveris ar viszemāko latentuma pakāpi nav pieejams, tiek izveidots savienojums ar to, kam ir otrā zemākā latentuma pakāpe un kas tādējādi ir nākamais.

113

Treškārt, Amazon CloudFront pakalpojums tiek izmantots KEN tīmekļvietnē, pamatojoties uz līgumu Nr. 2020‑1742, kas parakstīts starp Komisiju un AWS EMEA, jo tas ir saskaņā ar ASV tiesībām dibinātam uzņēmumam Amazon.com piederošs meitasuzņēmums, kura juridiskā adrese ir Luksemburgā (skat. šī sprieduma 12. punktu).

114

Ceturtkārt, atbilstoši šim līgumam Komisija attiecībā uz KEN tīmekļvietni izvēlējās ģeogrāfisko zonu ar nosaukumu “Ziemeļamerika (Amerikas Savienotās Valstis, Meksika, Kanāda), Eiropa un Izraēla”. Tas nozīmē, ka šīs tīmekļvietnes saturs netiek izplatīts caur Amazon CloudFront malas vietņu globālo tīklu, bet tikai caur tām, kas atrodas iepriekš minētajās ģeogrāfiskajās zonās, proti, Amerikas Savienotajās Valstīs, Meksikā, Kanādā, Eiropā un Izraēlā.

115

Piektkārt, šī sprieduma 112. punktā minētā tuvuma principa dēļ Savienības lietotāju pieprasījumi piekļūt KEN tīmekļvietnei parasti tiek novirzīti uz Amazon CloudFront tīkla malas serveriem šajā teritorijā, savukārt gadījumi, kad šie pieprasījumi tiek novirzīti uz serveriem ārpus Savienības, ir reti.

116

Sestkārt, attiecībā uz Amazon CloudFront malas vietņu tīkla infrastruktūru no lietas materiāliem izriet, ka to nodrošina visi uzņēmumi, no kuriem daži pieder Amazon grupai, bet citi ir tajā neietilpstoši uzņēmumi, kuru saraksts ir pieejams Amazon Web Services tīmekļvietnē atkarībā no attiecīgās ģeogrāfiskās zonas. Ģeogrāfiskās zonas “Ziemeļamerika (ASV, Meksika, Kanāda), Eiropa un Izraēla” attiecīgie uzņēmumi veic uzņēmējdarbību gan Savienības dalībvalstīs, gan ārpus Savienības, tostarp Amerikas Savienotajās Valstīs, Izraēlā, Meksikā, Šveicē vai Apvienotajā Karalistē. Katrs uzņēmums ekspluatē serverus valstī, kurā tas ir reģistrēts, un tādējādi Amazon CloudFront pakalpojuma sniegšanā iesaistīto serveru ģeogrāfiskā atrašanās vieta ir atkarīga arī no attiecīgo uzņēmumu atrašanās vietas.

117

Septītkārt, starp Komisiju un AWS EMEA noslēgtā līguma noteikumos citastarp ir paredzēts:

–

AWS EMEA jāspēj nodrošināt, ka dati miera stāvoklī un dati tranzītā paliek EEZ teritorijā (līguma 11.2. iedaļa);

–

AWS EMEA nav atļauts mainīt datu apstrādes atrašanās vietu bez Komisijas iepriekšējas atļaujas (līguma 12.2.3. iedaļas a) apakšpunkts);

–

jebkādai personas datu nosūtīšanai uz trešām valstīm vai starptautiskām organizācijām, pamatojoties uz līgumu, pilnībā jāatbilst Regulas 2018/1725 V nodaļas prasībām (līguma 12.2.3. iedaļas b) apakšpunkts);

–

AWS EMEA nedrīkst nosūtīt personas datus uz valsti, kas atrodas ārpus EEZ, ja vien Komisija nav devusi iepriekšēju rakstisku piekrišanu šādai nosūtīšanai un ja tā notiek, ievērojot minētās V nodaļas nosacījumus (līguma 1.8.9. iedaļa);

–

AWS EMEA nosūta Komisijai visus pieprasījumus par piekļuvi personas datiem un izmanto visus tiesiskās aizsardzības līdzekļus, kas pieejami saistībā ar šiem pieprasījumiem (līguma 1.8.3., 1.8.4. un 1.8.5. iedaļa);

–

AWS EMEA jānodrošina, ka šie pasākumi tiek īstenoti arī apstrādātāju izmantošanas gadījumā (līguma 1.8.8. iedaļa).

118

Astotkārt, Komisija apspriedās ar EDAU par iepriekš minētajām līgumu klauzulām, bet tās nav oficiāli apstiprinātas saskaņā ar Regulas 2018/1725 48. panta 3. punkta a) apakšpunktu.

–

Apstrīdētā nosūtīšana KEN tīmekļvietnes apmeklējuma laikā 2022. gada 30. martā

119

[Labots ar 2025. gada 3. jūnija rīkojumu] Prasītājs būtībā apgalvo, ka, 2022. gada 30. martā apmeklējot KEN tīmekļvietni, viņš konstatēja, ka daži viņa personas dati, tostarp viņa IP adrese un informācija par viņa pārlūkprogrammu un galaiekārtu, ir pārsūtīti uz Amerikas Savienotajām Valstīm. Pirmkārt, minētajā tīmekļvietnē esot izmantots satura piegādes tīkls ar nosaukumu “Amazon CloudFront”, kura operators esot Amazon Web Services, ASV uzņēmuma Amazon.com meitasuzņēmums. Otrkārt, šī apmeklējuma laikā prasītāja personas dati esot nosūtīti Amazon CloudFront pakalpojumam, precīzāk, Sietlā (Vašingtona, Amerikas Savienotās Valstis) iedibinātā Amazon.com serverim, kura IP adrese esot 18.66.192.74. Treškārt, KEN tīmekļvietnē izmantoto drošības atslēgu (sauktu par “SSL sertifikātu”) esot piegādājusi Amazon, un šī iemesla dēļ esot jāpieņem, ka tai bija iespēja atšifrēt visus prasītāja personas datus, kas pārsūtīti uz tās serveriem, tostarp nostājas par Eiropas nākotni. Ceturtkārt, uz uzņēmumu, kas sniedz Amazon CloudFront pakalpojumu, attiecas ASV tiesību akti un tādējādi tam ir pienākums sniegt informāciju ASV drošības un uzraudzības dienestiem, pat ja serveri atrodas ārpus šīs valsts. Turklāt Komisija neesot veikusi “papildu pasākumus” sprieduma Schrems II izpratnē, lai nodrošinātu pienācīgu uz ASV pārsūtīto datu aizsardzības līmeni.

120

Komisija šos argumentus apstrīd.

121

Attiecībā uz KEN tīmekļvietnes apmeklējumu 2022. gada 30. martā no lietas materiāliem izriet, ka prasītājs šajā datumā ir apmeklējis šo tīmekļvietni (skat. šī sprieduma 3. punktu) un ka šī apmeklējuma laikā tika nosūtīta informācija par viņa IP adresi, pārlūkprogrammu un galaiekārtu.

122

Šajā ziņā jākonstatē, ka IP adrese ir jākvalificē kā personas dati Regulas 2018/1725 3. panta 1. punkta izpratnē, jo tā atbilst abiem tajā paredzētajiem nosacījumiem. Pirmām kārtām, šī informācija attiecas uz fizisku personu un, otrām kārtām, tā attiecas uz identificētu vai identificējamu personu, šajā gadījuma – prasītāju (spriedums, 2023. gada 26. aprīlis, VNV/EDAU, T‑557/20, pārsūdzēts apelācijā, EU:T:2023:219, 59. punkts; šajā nozīmē un pēc analoģijas skat. arī spriedumus, 2011. gada 24. novembris, Scarlet Extended, C‑70/10, EU:C:2011:771, 51. punkts, un 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 49. punkts). Proti, pat tā sauktās “dinamiskās” IP adreses, kas pēc rakstura ir mainīgas, atbilst precīzai identitātei noteiktā brīdī – tas šajā lietā sakrīt ar KEN tīmekļvietnes apmeklējumu.

123

Tāpat ir pierādīts, ka šī sprieduma 121. punktā minētā datu nosūtīšana ar KEN tīmekļvietnes starpniecību tika sākta caur Amazon CloudFront pakalpojumu uz serveri, kura IP adrese ir 18.66.192.74.

124

Ir arī pierādīts, ka faktu norises laikā IP adrese 18.66.192.74 bija piešķirta serverim Minhenē (Vācija) un ka šis serveris piederēja uzņēmumam A 100 ROW GmbH, kas bija reģistrēts Vācijā un bija iekļauts šī sprieduma 116. punktā minētajā uzņēmumu sarakstā.

125

No tā izriet, ka, protams, 2022. gada 30. martā, apmeklējot KEN tīmekļvietni, prasītāja personas dati, tostarp viņa IP adrese, ir tikuši nosūtīti Regulas 2018/1725 3. panta 1. punkta izpratnē.

126

Tomēr šajā lietā nav pierādīts, ka, 2022. gada 30. martā apmeklējot KEN tīmekļvietni, būtu notikusi prasītāja personas datu nosūtīšana uz trešo valsti un it īpaši uz Amerikas Savienotajām Valstīm.

127

Savukārt no šī sprieduma 121.–124. punkta izriet, ka, 2022. gada 30. martā apmeklējot KEN tīmekļvietni, no tās ar Amazon CloudFront pakalpojuma starpniecību sākta prasītāja personas datu nosūtīšana uz serveri Minhenē. Minētais serveris piederēja Vācijā reģistrētam uzņēmumam, kas ietilpa Amazon CloudFront infrastruktūras pakalpojumu sniedzēju tīklā; šie pakalpojumi tiek sniegti Komisijai, pamatojoties uz līgumu ar Luksemburgā reģistrēto uzņēmumu AWS EMEA.

128

No tā izriet, ka, 2022. gada 30. martā apmeklējot KEN tīmekļvietni, prasītāja personas dati tika nosūtīti Savienībā reģistrētam saņēmējam.

129

Turklāt, pat pieņemot, ka prasītāja personas dati nav nonākuši ārpus Savienības teritorijas, šie dati tomēr tika pārsūtīti uz serveri, kas ietilpst Amazon CloudFront pakalpojuma malas vietņu tīklā, kurš attiecībā uz KEN tīmekļvietnes satura piegādi ietver malas vietņu tīklu, kas neaprobežojas tikai ar EEZ teritoriju, bet pārsniedz tās robežas (skat. šī sprieduma 116. punktu).

130

Tomēr šī sprieduma 127. punktā aprakstītie konkrētie apstākļi nepierāda, ka personas dati tiktu nosūtīti saņēmējiem, kuri reģistrēti ārpus EEZ teritorijas, tostarp Amerikas Savienotajās Valstīs.

131

Tātad apstrīdētā nosūtīšana, apmeklējot KEN tīmekļvietni 2022. gada 30. martā, neatbilst personas datu nosūtīšanai uz trešo valsti Regulas 2018/1725 46. panta izpratnē, jo nosūtīšanas uz trešo valsti koncepcija prasa, lai personas dati tiktu darīti pieejami saņēmējam, kurš reģistrēts ārpus EEZ (skat. šī sprieduma 93. punktu).

132

Prasītāja arguments par to, ka AWS EMEA kā ASV uzņēmuma meitasuzņēmumam esot pienākums nodot personas datus ASV iestādēm, pat ja šie dati tiek glabāti Savienības teritorijā, neatspēko šo secinājumu.

133

Lai gan ir taisnība, ka piekļuve personas datiem, kurus trešās valsts iestādes apstrādā EEZ saskaņā ar šīs valsts tiesību aktiem, ir personas datu nosūtīšana uz trešo valsti Regulas 2018/1725 46. panta izpratnē, tomēr šajā lietā nav pierādīts, ka šāda piekļuve būtu notikusi. Proti, prasītājs nav ne pierādījis, ne apgalvojis, ka ASV iestādēm ir nosūtīti jebkādi viņa personas dati, ne arī pierādījis vai apgalvojis, ka šīs iestādes ir pieprasījušas datus, kas nosūtīti minētajam Minhenē esošajam Amazon CloudFront serverim.

134

Līdz ar to prasītāja arguments neattiecas uz Regulas 2018/1725 V nodaļas normu tiešu pārkāpumu, bet tikai uz šāda pārkāpuma risku gadījumā, ja AWS EMEA kā ASV uzņēmuma meitasuzņēmums nevarētu iebilst pret ASV iestāžu lūgumu par piekļuvi datiem, kas tiek glabāti EEZ teritorijā esošos serveros.

135

Taču tikai risks, ka trešā valsts var piekļūt personas datiem, nevar atbilst datu nosūtīšanai Regulas 2018/1725 46. panta izpratnē, kā tas interpretēts šī sprieduma 93. punktā, jo nav pierādīts, ka ir notikusi prasītāja personas datu nosūtīšana vai nodošana citā veidā trešā valstī reģistrētam saņēmējam. Citiem vārdiem – minētā 46. panta pārkāpuma risku nevar pielīdzināt šīs tiesību normas tiešam pārkāpumam.

136

Turklāt jāatgādina, ka saistībā ar šo prasību par kaitējuma atlīdzību Vispārējās tiesas vērtējums attiecas uz Komisijas ārpuslīgumiskās atbildības iestāšanās nosacījumu pārbaudi un it īpaši uz nosacījumu par Komisijas rīcības prettiesiskumu, kas prasa, lai būtu pierādīts pietiekami būtisks tādu Regulas 2018/1725 un Hartas normu pārkāpums, uz kurām atsaucas prasītājs.

137

Šajā ziņā ar Regulas 2018/1725 V nodaļas noteikumu pārkāpuma risku vien katrā ziņā nepietiek, lai pierādītu tādas kļūdas Komisijas rīcībā, kas atbilst pietiekami būtiskam šo tiesību normu pārkāpumam.

138

Šo secinājumu nevar atspēkot ar argumentu, ko prasītājs ir izguvis no sprieduma Schrems II. Proti, jānorāda, ka minētajā spriedumā Tiesa lēma par atsevišķiem nosacījumiem, ar kādiem personas dati var tikt nosūtīti uz ASV, bet ne par nosacījumiem, ar kādiem šo datus EEZ teritorijā drīkst apstrādāt saskaņā ar ASV tiesībām dibinātu sabiedrību meitasuzņēmumi, kāds ir AWS EMEA.

139

No visa iepriekš minētā izriet, ka attiecībā uz apstrīdēto nosūtīšanu, kas notika apmeklējot KEN tīmekļvietni 2022. gada 30. martā, prasītājs nav pierādījis, ka Komisija būtu pieļāvusi pietiekami būtisku Regulas 2018/1725 46. panta un 48. panta 1. punkta un 2. punkta b) apakšpunkta, kā arī Hartas 7., 8. un 47. panta pārkāpumu šī sprieduma 50. punktā atgādinātās judikatūras izpratnē.

140

Līdz ar to, tā kā nav izpildīts viens no LESD 340. panta otrajā daļā paredzētajiem kumulatīvajiem Savienības ārpuslīgumiskās atbildības iestāšanās nosacījumiem, otrais prasījums par kaitējuma atlīdzību saistībā ar apstrīdēto nosūtīšanu, kas notikusi apmeklējot KEN tīmekļvietni 2022. gada 30. martā, ir jānoraida un pārējie prasītāja argumenti nav jāizvērtē.

–

Apstrīdētā nosūtīšana KEN tīmekļvietnes apmeklējuma laikā 2022. gada 8. jūnijā

141

Prasītājs apgalvo, ka, 2022. gada 8. jūnijā apmeklējot KEN tīmekļvietni, viņa personas dati, tostarp IP adrese, nosūtīti uz Amazon CloudFront serveriem Amerikas Savienotajās Valstīs. Prasītājs uzskata, ka šī nosūtīšana neizriet no viņa kā tīmekļvietnes lietotāja darbības, bet gan no Amazon CloudFront pakalpojuma darbības, kurā risks nosūtīt datus uz ASV ir raksturīgs globālajai infrastruktūrai, uz ko balstīts šis pakalpojums. Prasītāja situācija neatšķiroties no tāda Savienības pilsoņa situācijas, kurš, piemēram, KEN tīmekļvietni apmeklē, dodoties uz ASV darba komandējumā. Komisija neesot pierādījusi visu nepieciešamo rūpību, lai izvairītos no datu nosūtīšanas uz Amerikas Savienotajām Valstīm, jo tā esot izvēlējusies satura piegādes tīklu, kas balstīts uz globālu struktūru, nevis tikai Eiropas mēroga izmitināšanas risinājumu.

142

Prasītājs uzskata, ka minētā personas datu nosūtīšana esot viņam radījusi nemateriālo kaitējumu Regulas 2018/1725 46. apsvēruma izpratnē, jo viņš esot zaudējis kontroli pār saviem datiem, kuri esot tikuši nosūtīti uz ASV un kuri prettiesiski tikuši pakļauti ASV iestāžu uzraudzībai, un viņam esot liegtas viņa tiesības un brīvības.

143

Komisija šos argumentus apstrīd.

144

Vispirms un ņemot vērā prasītāja argumentāciju, jāatgādina, ka šī prasījuma par kaitējuma atlīdzību ietvaros Vispārējās tiesas pārbaude neattiecas tieši uz Komisijas lēmuma izmantot Amazon CloudFront pakalpojumu KEN tīmekļvietnes satura piegādei tiesiskumu, bet gan uz Komisijas ārpuslīgumiskās atbildības iestāšanās nosacījumu pārbaudi saistībā ar apstrīdēto nosūtīšanu KEN tīmekļvietnes apmeklējuma laikā 2022. gada 8. jūnijā.

145

Šajā lietā Vispārējā tiesa uzskata par lietderīgu vispirms aplūkot nosacījumu par cēloņsakarības esamību starp apgalvoti vainojamo Komisijas rīcību un apgalvoto nemateriālo kaitējumu.

146

No šī sprieduma 55. punktā atgādinātās judikatūras izriet, ka nosacījums par cēloņsakarību attiecas uz pietiekami tiešas saiknes pastāvēšanu starp iestādei pārmesto rīcību un kaitējumu, un pierādīšanas pienākums par šīs saiknes pastāvēšanu ir prasītājam tādējādi, ka pārmestajai rīcībai jābūt noteicošajam kaitējuma cēlonim.

147

Turklāt no judikatūras arī izriet, ka cēloņsakarība, kas nepieciešama, lai rastos Savienības ārpuslīgumiskā atbildība LESD 340. panta otrās daļas izpratnē, ir nodibināta, ja kaitējums ir attiecīgās vainojamās darbības radītas tiešas sekas (spriedums, 2007. gada 28. jūnijs, Internationaler Hilfsfonds/Komisija, C‑331/05 P, EU:C:2007:390, 23. punkts).

148

Attiecībā uz cēloņsakarības tiešo raksturu Vispārējā tiesa jau ir nospriedusi, ka kaitējumam ir tieši jāizriet no norādītā pārkāpuma, nevis no prasītāja izvēles, kā reaģēt uz apgalvoti nelikumīgo rīcību. Tādējādi ir uzskatīts, ka tikai fakts, ka nelikumīgā rīcība ir zaudējumu rašanās nepieciešams nosacījums (conditio sine qua non) tādā nozīmē, ka tie nerodas, ja nav šādas rīcības, nepietiek, lai konstatētu cēloņsakarību (šajā nozīmē pēc analoģijas skat. spriedumus, 2011. gada 30. novembris, Transnational Company “Kazchrome” un ENRC Marketing/Padome un Komisija, T‑107/08, EU:T:2011:704, 80. punkts un tajā minētā judikatūra, un 2019. gada 23. maijs, Remag Metallhandel un Jaschinsky/Komisija, T‑631/16, nav publicēts, EU:T:2019:352, 52. punkts un tajā minētā judikatūra).

149

Tādējādi no judikatūras izriet, ka šāda cēloņsakarība nav pierādīta, ja apgalvotais kaitējums ir prasītāja paša lēmuma vai brīvas izvēles sekas, un līdz ar to attiecīgo iestādi vai struktūru par to nevar vainot (šajā nozīmē skat. spriedumus, 2007. gada 28. jūnijs, Internationaler Hilfsfonds/Komisija, C‑331/05 P, EU:C:2007:390, 22.–29. punkts; 2017. gada 17. februāris, Novar/EUIPO, T‑726/14, EU:T:2017:99, 31. un 32. punkts, un 2018. gada 28. februāris, Vakakis kai Synergates/Komisija, T‑292/15, EU:T:2018:103, 173. punkts un tajā minētā judikatūra).

150

Šajā lietā tātad ir jānoskaidro, vai Komisijai pārmestā rīcība, proti, Amazon CloudFront pakalpojuma kā KEN tīmekļvietnes satura piegādes tīkla izmantošana, ir apgalvotā nemantiskā kaitējuma tiešais cēlonis, kas izpaužas kā prasītāja kontroles zaudēšana pār saviem personas datiem, kuri esot nosūtīti uz Amerikas Savienotajām Valstīm, kad viņš apmeklējis minēto tīmekļvietni 2022. gada 8. jūnijā.

151

Šajā ziņā, pirmkārt, no lietas materiāliem, kā arī no lietas dalībnieku atbildēm uz tiesas sēdē uzdotajiem jautājumiem izriet, ka 2022. gada 8. jūnijā prasītājs atradās Minhenē un vairākkārt apmeklēja KEN tīmekļvietni. Šo apmeklējumu laikā prasītāja IP adrese izveidoja secīgus savienojumus ar dažādiem Amazon CloudFront pakalpojuma serveriem, kas ģeogrāfiski ir ļoti tālu viens no otra. Tātad plkst. 7.13 tā pieslēdzās serverim Minhenē, plkst. 11.13 serverim Londonā (Apvienotā Karaliste), plkst. 12.56 serverim Hilsboro [Hillsboro] (Oregona, Amerikas Savienotās Valstis), plkst. 13.05 serverim Ņuarkā un plkst. 19.12. serverim Frankfurtē pie Mainas (Vācija).

152

Otrkārt, no lietas materiāliem izriet, ka prasītāja IP adrese tika pārsūtīta dažādiem Amazon CloudFront pakalpojuma serveriem, kas minēti šī sprieduma 151. punktā, tostarp tiem, kas atrodas Amerikas Savienotajās Valstīs.

153

Treškārt, jāatgādina, ka prasītāja IP adrese ir personas dati.

154

Ceturtkārt, jānorāda, ka 2022. gada 8. jūnijā KEN tīmekļvietnei tika piekļūts 4548 reizes no 18 dažādām IP adresēm. No tām viena IP adrese, proti, prasītāja adrese, izveidoja savienojumu ar serveriem ārpus Savienības, proti, Amerikas Savienotajās Valstīs un Apvienotajā Karalistē. Šajā ziņā jānorāda, ka nav ne pierādīts, ne pat apgalvots, ka 2022. gada 8. jūnijā Amazon CloudFront pakalpojumam KEN tīmekļvietnē būtu bijušas tehniskas vai cita veida problēmas, kuras kavētu tā maršrutēšanas mehānisma normālu darbību saskaņā ar tuvuma principu, kas atkarībā no lietotāja ģeogrāfiskās atrašanās vietas novirza KEN tīmekļvietnes lietotāju pieprasījumus uz malas serveri ar viszemāko latentuma pakāpi (skat. šī sprieduma 112. punktu).

155

Piektkārt, attiecībā uz apstākļiem, kas saistīti ar prasītāja IP adreses savienojumiem ar serveriem Amerikas Savienotajās Valstīs, pirmām kārtām, no lietas materiāliem, kā arī no lietas dalībnieku atbildēm tiesas sēdē izriet, ka prasītājs apgalvo, ka šie savienojumi bija Amazon CloudFront darbības rezultāts, nevis jebkādas manipulācijas, ko viņš būtu veicis. Otrām kārtām, Komisija norāda, ka šie savienojumi bija netipiski un tos var izskaidrot tikai ar prasītāja veiktām tehniskām manipulācijām.

156

Šajā ziņā jākonstatē, ka šī sprieduma 151. punktā aprakstītie apstākļi pierāda, ka serveru, kuriem pieslēdzās prasītāja IP adrese, dažādās atrašanās vietas nevar izrietēt no prasītāja fiziskās pārvietošanās tajā pašā dienā, kas nav iespējama attiecīgo attālumu un laika intervālu dēļ. Turklāt nav nedz pierādīti, nedz pat apgalvoti Amazon CloudFront pakalpojuma darbības traucējumi, kas ļauj secināt, ka 2022. gada 8. jūnijā šis pakalpojums darbojās saskaņā ar tuvuma lietotāja galaiekārtai principu, jo tā maršrutēšanas mehānisms virza KEN tīmekļvietnes lietotāju pieprasījumus uz malas serveri ar viszemāko latentuma pakāpi (skat. šī sprieduma 154. punktu).

157

Šādos apstākļos prasītāja IP adreses savienojumi ar serveriem Amerikas Savienotajās Valstīs, kamēr viņš bija Vācijā, nevar izrietēt no normālas Amazon CloudFront pakalpojuma darbības, bet drīzāk no tehniskajiem iestatījumiem, ko prasītājs veicis, lai mainītu savu acīmredzamo atrašanās vietu, digitālajā pasaulē pozicionējoties tā, it kā viņš tajā pašā dienā būtu vietās, kas ir tuvumā Minhenei, Londonai, Hilsboro, Ņuarkai un Frankfurtei pie Mainas.

158

No tā, protams, izriet, ka Amazon CloudFront pakalpojuma darbība ar tā maršrutēšanas mehānismu darbojas saskaņā ar tuvuma principu un aptver par EEZ plašāku ģeogrāfisko teritoriju, tostarp Amerikas Savienotās Valstis (skat. šī sprieduma 112. un 114. punktu); tas KEN tīmekļvietnes apmeklējuma laikā prasītāja IP adresei ļāva pieslēgties Amazon CloudFront serveriem Amerikas Savienotajās Valstīs.

159

Tomēr, kaut arī, lai varētu notikt šī sprieduma 152. punktā minētās personu datu nosūtīšanas uz ASV, Komisijai noteikti ir jāizmanto Amazon CloudFront pakalpojums, šīs lietas apstākļos minētais apstāklis nav pietiekams, lai pierādītu pietiekami tiešu cēloņsakarību starp prasītāja norādīto nemateriālo kaitējumu un iespējami prettiesisko Komisijas rīcību, ko veido šāda pakalpojuma izmantošana, pārkāpjot Regulas 2018/1725 V nodaļas noteikumus.

160

Proti, tieši prasītāja rīcība ir jāuzskata par tiešu un tūlītēju apgalvotā nemantiskā kaitējuma cēloni, nevis par Komisijas vainu, izmantojot Amazon CloudFront pakalpojumu.

161

Tādējādi tieši prasītājs ir tas, kurš ir radījis apstākļus tam, lai nodibinātu savienojumus ar serveriem Amerikas Savienotajās Valstīs, izmantojot Amazon CloudFront pakalpojumu. Tieši prasītāja rīcība izraisīja to, ka Amazon CloudFront pakalpojuma maršrutēšanas mehānisms viņa KEN tīmekļvietnes apmeklējuma pieprasījumus novirzīja uz serveriem Amerikas Savienotajās Valstīs, jo tieši šiem serveriem bija viszemākā latentuma pakāpe salīdzinājumā ar prasītāja acīmredzamo atrašanās vietu digitālajā pasaulē, lai gan tā neatbilda viņa faktiskajai atrašanās vietai.

162

Turklāt prasītājam nav pamata rīkoties, lai panāktu noteiktu rezultātu (proti, viņa personas datu nosūtīšanu uz trešo valsti) un pēc tam prasītu atlīdzināt kaitējumu, ko, iespējams, radījis šis rezultāts, kura tiešais cēlonis bija viņa rīcība. Tādējādi pretēji tam, ko apgalvo prasītājs, tādā prasībā par kaitējuma atlīdzību kā šajā lietā viņa situācija nevar tikt novērtēta līdzīgi tāda lietotāja situācijai, kurš faktiski devies uz Amerikas Savienotajām Valstīm un pēc tam piekļuvis KEN tīmekļvietnei no šīs valsts.

163

No visa iepriekš minētā izriet, ka attiecībā uz apstrīdēto nosūtīšanu KEN tīmekļvietnes apmeklējuma laikā 2022. gada 8. jūnijā nav pierādīta pietiekami tieša cēloņsakarība starp Komisijas iespējami prettiesisko rīcību un apgalvoto nemateriālo kaitējumu.

164

Tā kā nav izpildīts viens no Savienības ārpuslīgumiskās atbildības iestāšanās kumulatīvajiem nosacījumiem, prasība par kaitējuma atlīdzību jānoraida attiecībā uz apstrīdēto nosūtīšanu KEN tīmekļvietnes apmeklējuma laikā 2022. gada 8. jūnijā un pārējie minētās atbildības iestāšanās nosacījumi nav jāpārbauda.

–

Apstrīdētā nosūtīšana, pieslēdzoties “EU Login” 2022. gada 30. martā

165

Prasītājs apgalvo, ka 2022. gada 30. martā, reģistrējoties pasākumam GoGreen, kas pieejams KEN tīmekļvietnē, viņa IP adrese, kā arī informācija par viņa pārlūkprogrammu un galaiekārtu tika pārsūtīta uz ASV reģistrēto uzņēmumu Meta Platforms, kas ir sociālā tīkla Facebook īpašnieks. Proti, šīs reģistrācijas laikā prasītājs esot ticis novirzīts uz Savienības autentifikācijas pakalpojumu EU Login, kurš citastarp piedāvā pieslēgties, izmantojot dažādus sociālos tīklus. Prasītājs esot izvēlējies pieslēgties, izmantojot savu Facebook kontu, un, kad viņš noklikšķinājis uz hipersaites, kas viņu novirza uz Facebook, šīs novirzīšanas rezultātā viņa IP adrese esot tikusi pārsūtīta Facebook. Prasītājs esot akceptējis tikai Facebook “būtiskās sīkdatnes”. Citus prasītāja personas datus, proti, viņa e‑pasta adresi, uzvārdu, personvārdu un profila fotogrāfiju, Facebook esot savācis, izmantojot sīkdatnes, it īpaši sīkdatnes ar nosaukumu “sb”, un nosūtījis Meta Platforms serveriem. No judikatūras izrietot, ka tīmekļvietņu pārvaldītāji, kas savās tīmekļvietnēs izmanto Facebook, kā tas ir Komisijas gadījumā, kopā ar Facebook ir atbildīgi par Savienības datu aizsardzības tiesību ievērošanu. Tādējādi Komisija esot līdzatbildīga par Facebook glabāto sīkdatņu izvietošanu. Prasītājs esot zaudējis kontroli pār saviem Facebook nosūtītajiem personas datiem un viņam esot liegtas viņa tiesības un brīvības, kas esot nemateriāls kaitējums Regulas 2018/1725 46. apsvēruma izpratnē.

166

Komisija šos argumentus apstrīd. Tā būtībā apgalvo, ka tā nav nedz veikusi, nedz uzsākusi datu pārsūtīšanu Meta Platforms. Lai piedalītos pasākumā GoGreen, neesot obligāti jāreģistrējas ar EU Login starpniecību, un, pat izmantojot EU Login, prasītājam esot bijušas dažādas autentificēšanās iespējas, tostarp tādas, kurām nav jāizmanto sociālo tīklu konts. Tātad prasītāja paša izvēle esot bijusi pieslēgties EU Login pakalpojumam ar savu Facebook kontu un viņš pats, nevis Komisija esot uzsācis pieslēgšanos Facebook tīmekļvietnei. Turklāt no tehniskā viedokļa iespēja autentificēties ar Facebook tiekot īstenota, izmantojot EU Login tīmekļvietnē ievietoto hipersaiti, kurā neesot ietverti lietotāja personas dati. Pretēji prasītāja nostājai, ar Facebook izmantotajām sīkdatnēm savāktie dati netiekot nosūtīti Komisijai, kad notiek pieslēgšanās EU Login, un tā par tiem nav atbildīga. Sīkdatnes rodoties Facebook un prasītāja mijiedarbības rezultātā, balstoties uz viņa paša sniegtajām piekrišanām, un Komisija šajā procesā neesot iesaistīta. Turklāt Komisija apgalvo, ka judikatūra, uz kuru atsaucas prasītājs, šajā lietā nav piemērojama un ka katrā ziņā prasītāja arguments par apgalvoto Komisijas un Meta Platforms kopīgo atbildību esot jauns pamats, kas pirmo reizi izvirzīts replikas stadijā un līdz ar to esot nepieņemams.

167

Šajā lietā vispirms jāizvērtē faktiskie apstākļi, kādos iekļaujas apstrīdētā nosūtīšana, pieslēdzoties EU Login 2022. gada 30. martā, ņemot vērā elementus, kas izriet no lietas materiāliem, kā arī lietas dalībnieku atbildes uz jautājumiem, ko Vispārējā tiesa uzdeva tiesas sēdē un ar 2024. gada 9. februāra procesa organizatorisko pasākumu.

168

Šajā ziņā jākonstatē, ka pasākums GoGreen, ko organizēja Nīderlandē reģistrēta organizācija, tika izziņots KEN tīmekļvietnē. Reģistrēties šim pasākumam varēja citastarp KEN tīmekļvietnē, izmantojot EU Login pakalpojumu.

169

Prasītājs izvēlējās reģistrēties KEN tīmekļvietnē, izmantojot EU Login.

170

EU Login ir Komisijas lietotāju autentificēšanās pakalpojums, kas aizsargā vairākus simtus ar Savienību saistītu tīmekļvietņu un lietotņu. Šajā lietā pieslēgšanās ar EU Login, lai reģistrētos pasākumam GoGreen, mērķis bija nodrošināt, ka šī reģistrācija notiek, izmantojot pārbaudītu elektronisko adresi un samazinot riskus, kas saistīti ar viltus lietotāju reģistrēšanos vai identitātes uzurpēšanu.

171

EU Login savā tīmekļvietnē piedāvā vairākas pieslēgšanās iespējas. Pirmā iespēja ir tieši pieslēgties EU Login, vai nu aizpildot iepriekš izveidota EU Login konta pieslēgšanās datus, vai arī izveidojot jaunu kontu šim pakalpojumam. Otrā iespēja ir izmantot “eID” elektronisko personas apliecību, kas pieejama dažu dalībvalstu pilsoņiem. Trešā iespēja, kas pieejama ierobežotam skaitam pakalpojumu, ir izmantot jau pastāvošu Facebook, Twitter vai Google lietotāja kontu, noklikšķinot uz attiecīgās hipersaites, kas ievietota EU Login tīmekļvietnē.

172

Iespēja pieslēgties EU Login, izmantojot Facebook kontu, izriet no tā, ka Komisija uzskatīja, ka lietotājiem būtu jāļauj izvēlēties pieslēgties EU Login, izmantojot jau esošus kontus platformās, lai tiem nodrošinātu vieglāku un ātrāku piekļuvi, kā arī iespēja autentificēties bez nepieciešamības izveidot EU Login kontu un tādējādi izvairīties no kontu un to struktūru skaita palielināšanas, kurām lietotājiem ir jādara zināmi savi personas dati. Komisija turklāt uzskatīja, ka Facebook ir uzticams rīks lietotāju elektronisko adrešu pārbaudei, ņemot vērā tā ieviestos pasākumus. Turklāt hipersaite, ar kuru iespējams pieslēgties, izmantojot jau esošu Facebook kontu, EU Login ir pieejama tikai tām tīmekļvietnēm vai lietotnēm, kur nepieciešams vien pamata drošības līmenis.

173

Prasītājs izvēlējās iespēju pieslēgties EU Login ar savu Facebook kontu, izmantojot hipersaiti “Sign in with Facebook”, kas ievietota EU Login tīmekļvietnē (turpmāk tekstā – “hipersaite “pieteikties ar Facebook””).

174

Hipersaite “pieteikties ar Facebook” ietver saiti uz tīmekļvietni ārpus Komisijas. Kad šī hipersaite tiek aktivizēta, uz tās noklikšķinot, tā sniedz piekļuvi Facebook tīmekļvietnes URL, proti, šīs tīmekļvietnes individuālajai adresei.

175

Piekļūstot Facebook tīmekļvietnes URL, lietotāja pārlūkprogramma pieslēdzas minētajai tīmekļvietnei; tās laikā pārlūkprogramma nosūta lietotāja IP adresi uz attiecīgo tīmekļvietni. Šī nosūtīšana ir līdzīga tai, kas notiek, ja lietotājs savā pārlūkprogrammā tieši ievada jebkuras tīmekļvietnes URL, jo IP adrese ir obligāti jāpaziņo visiem interneta lietotājiem, kuri vēlas piekļūt tīmekļvietnei.

176

Kad tiek izmantota hipersaite “pieteikties ar Facebook”, EU Login nosūta Facebook konkrētu informāciju, kas nepieciešama autentifikācijas procesam un to var ilustrēt šādi:

177

Konkrētāk – hipersaitē “pieteikties ar Facebook” ietvertā informācija ir šāda:

–

pirmkārt, daļā “client_id=1200572836629487” ir “unikāls identifikācijas kods”, kas EU Login identificē kā lietotni. Šis identifikācijas numurs ir vienāds visiem lietotājiem, kas vēlas autentificēties EU Login, izmantojot Facebook;

–

otrkārt, daļā “redirect_uri=https%3A%2F%2Fecas.ec.europa.eu%2Fcas%2FoAuthCallback” ir iekļauta EU Login vispārējā URL, kas ir adrese, uz kuru Facebook ir jāpārvirza lietotājs pēc tam, kad tas ir piekritis, ka Facebook nosūta viņa personas datus EU Login;

–

treškārt, daļā “scope=email” ir ietverti dati, kas Facebook jānosūta EU Login, lai nodrošinātu lietotāja sekmīgu autentificēšanu, tostarp lietotāja e‑pasta adrese, kā arī Facebook vietnē norādītais vārds un uzvārds Facebook konta izveides brīdī;

–

ceturtkārt, iedaļā “state=useFacebook” ir norādīts, ka šāda gara rakstzīmju ķēde ir nejauša drošības vērtība, kuru izmanto, lai izvairītos no drošības apdraudējumiem, un kuras derīguma termiņš ir ierobežots laikā. Šī nejaušo drošības vērtību EU Login ģenerē nejaušināti un tā pilda slepenas frāzes funkciju, kas Facebook jāatkārto, nosūtot datus EU Login, lai EU Login ļautu uzzināt, ka paziņotā e‑pasta adrese, vārds un uzvārds pieder lietotājam, kurš vēlas autentificēties ar šo metodi. Kad laiks ir beidzies vai lietotājs jau ir autentificēts, drošības vērtību vairs nevar izmantot; un

–

piektkārt, iedaļā “response_type=code” norādīts, ka Facebook veikto datu nosūtīšanu EU Login vēl papildina unikāls kods. Šis unikālais kods ietver iepriekš minēto nejaušo drošības vērtību. Unikālais kods ir unikāls reģistrācijas numurs vai sērijas numurs, kas autentificē datus, kurus Facebook ir nosūtījis EU Login.

178

Tiklīdz lietotājs piekļūst Facebook URL, viņš atrodas šajā tīmekļvietnē, kurā vispirms parādās logs, kurā lietotājam tiek lūgts piekrist tam, ka Facebook izmanto sīkdatnes jeb “cookies”. Pēc tam, ja sīkdatnes tiek akceptētas, atveras cits logs, kas ļauj ievadīt Facebook lietotāja konta lietotājvārdu un paroli. Visbeidzot – pēc pieslēgšanās Facebook kontam lietotājs var atļaut Facebook izmantot sīkdatnes citās lietotnēs un tīmekļvietnēs, atbildot uz jautājumu “allow Facebook to use cookies and similar technologies placed on other apps and websites?”. Ja lietotājs piekrīt šādai izmantošanai, tad viņš tiks aicināts piekrist tam, ka Facebook sniedz EU Login viņa Facebook kontā norādīto vārdu, uzvārdu, uzvārdu, profila fotogrāfiju un e‑pasta adresi. Turklāt šajā procesā lietotājs var pārtraukt autentificēšanos ar savu Facebook kontu, izvēloties iespēju “Cancel”. Šādā gadījumā viņš tiek novirzīts uz EU Login tīmekļvietni, kurā no jauna parādās lapa ar pieslēgšanās iespējām.

179

Šajā lietā, kad prasītājs uzklikšķināja uz hipersaites “pieteikties ar Facebook”, viņa interneta pārlūkprogramma piekļuva Facebook tīmekļvietnes URL un līdz ar to šai tīmekļvietnei darīja zināmu viņa IP adresi. Pēc tam, kad prasītājs bija Facebook tīmekļvietnē, viņš izvēlējās iespējas, kas ļauj Facebook izmantot tikai būtiskās sīkdatnes, pēc tam viņš pievienojās savam Facebook kontam un visbeidzot atļāva Facebook paziņot EU Login savā Facebook kontā norādīto vārdu, uzvārdu, profila fotogrāfiju un e-pasta adresi.

180

Pēc tam, kad prasītājs bija devis šo atļauju, Facebook viņu pārvirzīja atpakaļ uz EU Login tīmekļvietni saskaņā ar hipersaitē “pieteikties ar Facebook” ietvertajām norādēm (skat. šī sprieduma 177. punkta pirmo un otro ievilkumu).

181

Tajā pašā laikā Facebook nosūtīja EU Login šī sprieduma 177. punkta ceturtajā un piektajā ievilkumā minēto drošības vērtību un unikālo kodu. Pirmkārt, šie Facebook nosūtītie dati ļāva EU Login pārliecināties, ka personas dati, kurus Facebook nodeva tā rīcībā, attiecas uz lietotāju, kas ir uzsācis autentifikācijas procesu, proti, šajā gadījumā uz prasītāju. Otrkārt, tie ļāva EU Login uz ierobežotu laiku piekļūt šī sprieduma 177. punkta trešajā ievilkumā minētajiem personas datiem, proti, tostarp prasītāja vārdam, uzvārdam un e‑pasta adresei, kurus viņš bija norādījis savā Facebook kontā. Facebook šos datus pārsūtīja EU Login, izmantojot šifrētu abu šo pakalpojumu savienojumu. Pamatojoties uz Facebook sniegtajiem datiem, EU Login ir autentificējis prasītāja elektroniskā pasta adresi.

182

Turklāt jānorāda, ka sociālais tīkls Facebook pieder Meta Platforms, Amerikas Savienotajās Valstīs reģistrētam uzņēmumam.

183

Jāatzīmē arī, ka šīs hipersaites ievietošanu EU Login tīmekļvietnē reglamentē Facebook platformas vispārīgie noteikumi, kas publiskoti tīmekļa adresē “https://developers.facebook.com/terms”.

184

Ņemot vērā šos apsvērumus, jāpārbauda, vai ir izpildīti nosacījumi, lai iestātos Komisijas ārpuslīgumiskā atbildība.

185

Prasītājs būtībā apgalvo, ka, 2022. gada 30. martā pieslēdzoties EU Login, viņa personas dati, tostarp viņa IP adrese, tika nosūtīti uz sociālā tīkla Facebook serveriem, kuri pieder Amerikas Savienotajās Valstīs reģistrētam uzņēmumam. Šī nosūtīšana esot notikusi, pārkāpjot Regulas 2018/1725 46. pantu, un esot radījusi prasītājam nemateriālo kaitējumu, kas izpaužas kā kontroles zaudēšana pār saviem datiem un viņa tiesību un brīvību liegšana.

186

Vispirms jāatgādina, kā izriet no šī sprieduma 95. punkta, ka personas datu nosūtīšana uz trešo valsti Regulas 2018/1725 46. panta izpratnē nozīmē, ka Savienības iestāde, aģentūra vai struktūra, nosūtot vai citādi nodod personas datus saņēmējam, kurš veic uzņēmējdarbību trešā valstī, proti, valstī, kas nav ne Savienības, ne EEZ dalībvalsts.

187

Šajā lietā ir pierādīts, ka, pirmkārt, no iespējām pieslēgties EU Login prasītājs ir izvēlējies pieslēgties ar savu Facebook kontu. Otrkārt, hipersaitē “pieteikties ar Facebook” ir ietverta saite uz Facebook tīmekļvietnes URL. Treškārt, kad prasītājs aktivizēja šo hipersaiti, uz tās noklikšķinot, viņa pārlūkprogramma piekļuva Facebook tīmekļvietnes URL un pēc tam pārsūtīja viņa IP adresi Facebook (skat. šī sprieduma 173.–175. punktu).

188

No tā izriet, ka Komisija, izmantojot EU Login tīmekļvietnē ievietoto hipersaiti “pieteikties ar Facebook”, ir radījusi apstākļus, kas ļauj pārsūtīt prasītāja IP adresi Facebook. Šī IP adrese ir prasītāja personas dati (skat. šī sprieduma 122. punktu), kas ar minētās hipersaites starpniecību tika nodoti Meta Platforms, Amerikas Savienotajās Valstīs reģistrētam uzņēmumam. Tātad šī nosūtīšana atbilst personas datu nosūtīšanai uz trešo valsti Regulas 2018/1725 46. panta izpratnē.

189

Turklāt šajā lietā ir pierādīts, ka šīs datu nosūtīšanas brīdī, proti, 2022. gada 30. martā, attiecībā uz Amerikas Savienotajām Valstīm nepastāvēja neviens lēmums par aizsardzības līmeņa pietiekamību Regulas 2018/1725 47. panta izpratnē (skat. šī sprieduma 100. punktu).

190

Ja nav Komisijas lēmuma par aizsardzības līmeņa pietiekamību attiecībā uz Amerikas Savienotajām Valstīm, jāpiemēro Regulas 2018/1725 48. panta 1. punkts, saskaņā ar kuru personas datus var nosūtīt uz trešo valsti vai starptautisku organizāciju tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi (skat. šī sprieduma 101. punktu).

191

Šajā lietā Komisija nav nedz pierādījusi, nedz pat apgalvojusi, ka pastāv atbilstoša garantija, tostarp standarta datu aizsardzības klauzula vai līguma noteikums, kas pieņemts saskaņā ar Regulas 2018/1725 48. panta 2. un 3. punktā paredzētajiem nosacījumiem (skat. šī sprieduma 102.–104. punktu). Savukārt ir pierādīts, ka hipersaites “pieteikties ar Facebook” ievietošanu EU Login tīmekļvietnē vienkārši reglamentē Facebook platformas izmantošanas vispārējie noteikumi (skat. šī sprieduma 183. punktu).

192

Līdz ar to Komisija ir radījusi apstākļus, lai būtu iespējama prasītāja personas datu nosūtīšana uz trešo valsti, neievērojot Regulas 2018/1725 46. pantā paredzētos nosacījumus.

193

Tādējādi jāsecina, ka Komisija ir pieļāvusi pietiekami būtisku Regulas 2018/1725 46. panta pārkāpumu šī sprieduma 50. punktā atgādinātās judikatūras izpratnē attiecībā uz apstrīdēto nosūtīšanu laikā, kad notika pieslēgšanās EU Login 2022. gada 30. martā, un nav vajadzības izvērtēt pārējos prasītāja argumentus.

194

Tāpēc jāpārbauda, vai šajā lietā ir izpildīti pārējie Komisijas ārpuslīgumiskās atbildības iestāšanās nosacījumi, kas attiecas uz kaitējumu un cēloņsakarību.

195

Prasītājs apgalvo, ka viņa IP adreses prettiesiska nosūtīšana Amerikas Savienotajās Valstīs reģistrētam uzņēmumam viņam ir radījusi nemateriālu kaitējumu, kas izpaužas kā kontroles zaudēšana pār saviem datiem un viņa tiesību un brīvību liegšana.

196

Šajā ziņā jāuzskata, ka Regulas 2018/1725 65. pants dod tiesības uz materiālā, kā arī nemateriālā kaitējuma atlīdzināšanu šīs regulas pārkāpuma dēļ, un nav jāpierāda kāda nebūt smaguma pakāpe (šajā ziņā pēc analoģijas skat. spriedumu, 2023. gada 4. maijs, Österreichische Post (Nemateriālais kaitējums saistībā ar personas datu apstrādi), C‑300/21, EU:C:2023:370, 45. un 51. punkts).

197

Šajā lietā prasītāja minētais nemateriālais kaitējums jāuzskata par reālu un droši zināmu šī sprieduma 54. punktā atgādinātās judikatūras izpratnē, jo šī sprieduma 188. punktā minētā nosūtīšana, kas veikta, pārkāpjot Regulas 2018/1725 46. pantu, ir radījusi prasītājam nedrošības situāciju attiecībā uz viņa personas datu, it īpaši viņa IP adreses, apstrādi.

198

Turklāt šī sprieduma 55. punktā atgādinātās judikatūras izpratnē pastāv pietiekami tieša cēloņsakarība starp Komisijas pieļauto Regulas 2018/1725 46. panta pārkāpumu un prasītājam nodarīto nemateriālo kaitējumu.

199

Šīs lietas apstākļos Komisijas nodarītā nemateriālā kaitējuma apmērs ex æquo et bono jānovērtē 400 EUR apmērā.

200

Tātad Komisijai jāpiespriež izmaksāt prasītājam 400 EUR kā atlīdzību par nemateriālo kaitējumu, kas nodarīts apstrīdētās nosūtīšanas laikā, 2022. gada 30. martā viņam pieslēdzoties EU Login.

Par tiesāšanās izdevumiem

201

Atbilstoši Reglamenta 134. panta 3. punktam, ja lietas dalībniekiem nolēmums ir daļēji labvēlīgs un daļēji nelabvēlīgs, lietas dalībnieki sedz savus tiesāšanās izdevumus paši. Tomēr Vispārējā tiesa, ja to pamato lietas apstākļi, var nolemt, ka lietas dalībnieks papildus saviem tiesāšanās izdevumiem atlīdzina daļu no pretējās puses tiesāšanās izdevumiem.

202

Šajā lietā prasītājam spriedums ir nelabvēlīgs attiecībā uz viņa pirmo un otro prasījumu, kā arī daļu no tā trešā prasījuma. Tomēr trešais prasījums tiek daļēji apmierināts un Komisijai tiek piespriests samaksāt atlīdzību, ko prasītājs ir lūdzis par nemateriālo kaitējumu, kas viņam nodarīts apstrīdētās nosūtīšanas dēļ, 2022. gada 30. martā viņam pieslēdzoties EU Login. Šādos apstākļos jānolemj, ka Komisija savus tiesāšanās izdevumus sedz pati un atlīdzina pusi no prasītāja tiesāšanās izdevumiem. Prasītājs sedz pusi no saviem tiesāšanās izdevumiem.

1)

Prasību noraidīt kā nepieņemamu attiecībā uz atcelšanas prasījumiem.

2)

Vairs nav jālemj par prasījumu konstatēt, ka Eiropas Komisija ir rīkojusies prettiesiski, nepaužot nostāju par Thomas Bindl 2022. gada 1. aprīļa informācijas pieprasījumu.

3)

Eiropas Komisija izmaksā T. Bindl 400 EUR kā viņam nodarītā nemateriālā kaitējuma atlīdzinājumu.

4)

Noraidīt pārējos kaitējuma atlīdzināšanas prasījumus.

5)

Komisija sedz savus, kā arī atlīdzina pusi no T. Bindl tiesāšanās izdevumiem.

6)

T. Bindl sedz pusi no saviem tiesāšanās izdevumiem.