1

Med sit søgsmål, der er anlagt i henhold til artikel 263 TEUF, 265 TEUF og 268 TEUF, har sagsøgeren, Thomas Bindl, nedlagt påstand om for det første annullation af overførslerne af sine personoplysninger til tredjelande, der ikke har et tilstrækkeligt beskyttelsesniveau, for det andet at det fastslås, at Europa-Kommissionen ulovligt undlod at tage stilling til hans anmodning af 1. april 2022 om oplysninger, og for det tredje erstatning for den ikke-økonomiske skade, som han har lidt som følge af dels en tilsidesættelse af sin ret til indsigt i oplysningerne, dels overførslen af sine personoplysninger.

2

Sagsøgeren er en tysk statsborger, der interesserer dig for spørgsmål vedrørende informationsteknologi og beskyttelse af personoplysninger.

3

Kommissionens Generaldirektorat for Kommunikation er ansvarlig for behandlingen af personoplysninger i forbindelse med webstedet for konferencen om Europas fremtid på adressen »https://futureu.europa.eu« (herefter »konferencens websted«).

4

Sagsøgeren besøgte konferencens websted flere gange i 2021 og 2022. Han besøgte bl.a. dette websted den 30. marts 2022 og tilmeldte sig ved hjælp af sin Facebook-konto begivenheden »GoGreen«, som fremgik af webstedet, og den 8. juni 2022 besøgte han på ny det nævnte websted.

5

Ved e-mail af 9. november 2021 (herefter »anmodningen af 9. november 2021 om oplysninger«) anmodede sagsøgeren Kommissionens databeskyttelsesansvarlige om oplysninger i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT 2018, L 295, s. 39).

6

I den nævnte e-mail anførte sagsøgeren for det første, at han havde bemærket, at der var blevet aktiveret en forbindelse til tredjepartsudbydere, såsom den amerikanske virksomhed Amazon Web Services, da han loggede ind på konferencens websted, for det andet anmodede han om at få oplyst, hvilke personoplysninger vedrørende ham der var blevet behandlet eller lagret og i givet fald overført til tredjemand, og for det tredje anmodede han om oplysninger om retsgrundlaget for en sådan overførsel og om eventuelle garantier angående overførslen til tredjelande, der ikke havde et tilstrækkeligt beskyttelsesniveau.

7

Ved e-mail af 3. december 2021 sendte Kommissionens Generaldirektorat for Kommunikation sagsøgeren et elektronisk link og oplyste ham om, at dette link gjorde det muligt for ham direkte at generere en liste over de personoplysninger, der var blevet behandlet i forbindelse med besøget på konferencens websted. Kommissionen oplyste endvidere sagsøgeren om dels, at hans personoplysninger ikke var blevet overført til modtagere uden for Den Europæiske Union, dels at de var lagret og behandlet på konferencens websted, som anvendte et indholdsleveringsnetværk, der forvaltes af Amazon Web Services EMEA SARL (herefter »AWS EMEA«), der har hjemsted i Luxembourg (Luxembourg). Kommissionen præciserede endvidere, at den dataansvarlige inden for rammerne af de kontraktlige aftaler, der var indgået mellem Kommissionen og AWS EMEA, ikke benytter tjenester, der kræver overførsel af oplysninger til AWS EMEA’s partnere i USA, og at overførsel af oplysninger uden for Unionens område principielt ikke er tilladt.

8

[Som berigtiget ved kendelse af 3. juni 2025] Ved e-mail af 1. april 2022 anmodede sagsøgeren i henhold til forordning 2018/1725 Kommissionen om oplysninger om behandlingen af sine personoplysninger (herefter »anmodningen af 1. april 2022 om oplysninger«). Han anførte for det første, at han havde bemærket, at der, da han loggede på konferencens websted, blev etableret en forbindelse til tredjepartsudbydere såsom AWS EMEA, og at der blev etableret en forbindelse til virksomheden Meta Platforms, da han brugte sine Facebook-loginoplysninger til at registrere sig på dette websted. For det andet anmodede han om at få oplyst, hvilke personoplysninger vedrørende ham, der var blevet behandlet eller lagret, og hvilke der i givet fald var blevet overført til tredjemand. For det tredje anmodede han om oplysninger om retsgrundlaget for en sådan overførsel og om eventuelle garantier for overførslen til tredjelande, der ikke havde et tilstrækkeligt beskyttelsesniveau. For det fjerde anmodede han om en kopi af sine oplysninger, herunder oplysninger, der var lagret eller behandlet af tredjeparter såsom Facebook.

9

Ved e-mails af 22. april og 2. maj 2022 anmodede sagsøgeren Kommissionen om et svar på anmodningen af 1. april 2022 om oplysninger.

10

Ved stævning indleveret til Rettens Justitskontor den 9. juni 2022 anlagde sagsøgeren nærværende sag.

11

Ved e-mail af 30. juni 2022 meddelte Kommissionen sagsøgeren, at den var af den opfattelse, at anmodningen af 1. april 2022 om oplysninger var næsten identisk med anmodningen af 9. november 2021 om oplysninger, og at den allerede havde besvaret den sidstnævnte anmodning ved e-mail af 3. december 2021.

12

Amazon Web Services er en virksomhed med hjemsted i USA, og AWS EMEA er en virksomhed med hjemsted i Luxembourg. Disse to virksomheder er datterselskaber af den amerikanske virksomhed Amazon.com, Inc.

13

Sagsøgeren har nedlagt følgende påstande:

14

Kommissionen har nedlagt følgende påstande:

15

Artikel 16, stk. 1, TEUF og artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) bestemmer, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.

16

Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) fastsætter generelle regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (artikel 1, stk. 1, i forordning 2016/679).

17

Forordning 2018/1725 fastsætter regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner og organer og regler om fri udveksling af personoplysninger mellem disse eller med andre modtagere, der er etableret i Unionen (artikel 1, stk. 1, i forordning 2018/1725). Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger (artikel 1, stk. 2, i forordning 2018/1725). Den finder anvendelse på behandling af personoplysninger i alle Unionens institutioner og organer (artikel 2, stk. 1, i forordning 2018/1725).

18

Det fremgår af femte betragtning til forordning 2018/1725, at det følger af Domstolens praksis, at når bestemmelserne i forordning 2018/1725 følger de samme principper som bestemmelserne i forordning 2016/679, bør disse to sæt bestemmelser fortolkes ensartet, navnlig fordi ordningen i forordning 2018/1725 skal betragtes som svarende til ordningen i forordning 2016/679. I denne henseende følger det endvidere af bestemmelserne i artikel 2, stk. 3, i forordning 2016/679, sammenholdt med artikel 99 i forordning 2018/1725, at sidstnævnte forordning er tilpasset principperne og reglerne i forordning 2016/679.

19

Med sin første påstand har sagsøgeren nedlagt påstand om annullation af de overførsler af sine personoplysninger til tredjelande, der ikke har et tilstrækkeligt beskyttelsesniveau, som fandt sted den 30. marts og den 8. juni 2022 (herefter »de omtvistede overførsler«).

20

Kommissionen har i sit svarskrift gjort gældende, at denne annullationspåstand ikke kan antages til realitetsbehandling med den begrundelse, at den ikke er rettet mod en anfægtelig retsakt som omhandlet i artikel 263 TEUF, men tilsigter at meddele Kommissionen et påbud.

21

Sagsøgeren har gjort gældende, at annullationspåstanden kan antages til realitetsbehandling, idet han har henvist til, at de omtvistede overførsler er retsakter, som har bindende retsvirkninger, og som påvirker hans retsstilling ved at krænke hans grundlæggende ret til beskyttelse af personoplysninger, som er sikret ved chartrets artikel 8. Enhver anden fortolkning ville være uforenelig med den grundlæggende ret til en effektiv domstolsbeskyttelse, selv om artikel 64, stk. 1, i forordning 2018/1725 udtrykkeligt anerkender denne ret.

22

Som det fremgår af artikel 64, stk. 1, i og 79. betragtning til forordning 2018/1725, har enhver ret til effektive retsmidler ved Den Europæiske Unions Domstol i overensstemmelse med traktaterne, hvis den pågældende finder, at vedkommendes rettigheder i henhold til den nævnte forordning er blevet krænket.

23

Det følger heraf, at enhver berørt person inden for rammerne af forordning 2018/1725 bl.a. har ret til at anlægge et annullationssøgsmål på de betingelser, der er fastsat i artikel 263 TEUF.

24

I henhold til fast retspraksis kan et annullationssøgsmål i henhold til artikel 263 TEUF anlægges med hensyn til enhver retsakt fra institutionerne, uanset deres art eller form, som er bestemt til at afføde bindende retsvirkninger, der kan berøre sagsøgerens interesser gennem en væsentlig ændring af sidstnævntes retsstilling (jf. dom af 19.1.2017, Kommissionen mod Total og Elf Aquitaine, C-351/15 P, EU:C:2017:27, præmis 35 og 36 og den deri nævnte retspraksis, og af 16.7.2020, Inclusion Alliance for Europe mod Kommissionen,C-378/16 P, EU:C:2020:575, præmis 71 og den deri nævnte retspraksis).

25

Ved afgørelsen af, om en retsakt har bindende retsvirkninger, skal der i overensstemmelse med Domstolens faste praksis lægges vægt på denne retsakts indhold, og de nævnte virkninger skal vurderes ud fra objektive kriterier, såsom nævnte retsakts indhold, i givet fald under hensyn til den sammenhæng, hvori den er blevet vedtaget, samt til beføjelserne for den af EU’s institutioner, organer, kontorer eller agenturer, som har udstedt den (jf. dom af 15.7.2021, FBF,C-911/19, EU:C:2021:599, præmis 38 og den deri nævnte retspraksis).

26

I den foreliggende sag har sagsøgeren nedlagt påstand om annullation af de omtvistede overførsler, som ifølge sagsøgeren fandt sted tre gange. For det første blev sagsøgerens personoplysninger, bl.a. hans IP-adresse og oplysninger om hans browser og terminal, overført til den amerikanske virksomhed Amazon Web Services i dennes egenskab af operatør af indholdsleveringsnetværket kendt som Amazon CloudFront, der blev anvendt af konferensens websted, i forbindelse med, at sagsøgeren besøgte nævnte websted den 30. marts 2022 (herefter »den omtvistede overførsel i forbindelse med besøget på konferencens websted den 30. marts 2022«).

27

For det andet blev sagsøgerens personoplysninger, herunder hans IP-adresse samt oplysninger om hans browser og terminal, overført til den amerikanske virksomhed Meta Platforms, Inc., da sagsøgeren den 30. marts 2022 loggede ind via Kommissionens brugergodkendelsestjeneste EU Login ved hjælp af sin Facebook-konto med henblik på at tilmelde sig begivenheden »GoGreen« på konferencens websted (herefter »den omtvistede overførsel ved tilslutningen via EU Login den 30. marts 2022«).

28

For det tredje blev sagsøgerens personoplysninger overført til en server tilhørende Amazon CloudFront i Newark (New Jersey, USA) i forbindelse med sagsøgerens besøg på konferencens websted den 8. juni 2022 (herefter »den omtvistede overførsel i forbindelse med besøgene på konferencens websted den 8. juni 2022«).

29

Sagsøgeren har i stævningen endvidere anført, at han fik adgang til konferencens websted den 9. november 2021, og at han på dette tidspunkt loggede ind på konferencens websted ved hjælp af sin Facebook-konto. Sagsøgeren har imidlertid ikke påberåbt sig noget konkret forhold, der gør det muligt at konkludere, at disse omstændigheder er omfattet af hans påstand om annullation af de omtvistede overførsler. Der skal således kun tages hensyn til de omtvistede overførsler, der er nævnt i præmis 26-28 ovenfor.

30

Det bemærkes, at de omtvistede overførsler, som sagsøgeren ønsker annulleret, og som er nævnt i præmis 26-28 ovenfor, ifølge sagsøgeren selv svarer til databehandling i forbindelse med migration af data, som blev udført af Kommissionens IT-systemer eller ‑tjenester, bl.a. konferencens websted, til servere tilhørende tredjepartsvirksomheder etableret uden for Unionens område.

31

Det er ganske vist korrekt, at den transaktion, der består i at overføre personoplysninger fra en EU-institution eller et EU-organ til et tredjeland, som sådan udgør en behandling af personoplysninger som omhandlet i artikel 3, nr. 3), i forordning 2018/1725, som er foretaget på Unionens område, og som forordningen finder anvendelse på i henhold til dens artikel 2, stk. 5 (jf. analogt dom af 16.7.2020, Facebook Ireland og Schrems, C-311/18, herefter »Schrems II-dommen«, EU:C:2020:559, præmis 83).

32

Det er imidlertid ikke alle transaktioner, som kan føre til en overførsel af personoplysninger som omhandlet i artikel 3, nr. 3), i forordning 2018/1725, der udgør anfægtelige retsakter som omhandlet i artikel 263 TEUF som fortolket i den retspraksis, der er nævnt i præmis 24 ovenfor.

33

Selv hvis de omtvistede overførsler i den foreliggende sag anses for godtgjorte, må det konstateres, at de udgør faktiske handlinger og ikke retsakter. De omtvistede overførsler, således som de er beskrevet i stævningen, er nemlig IT-transaktioner til overførsel af data fra en terminal eller en server til en anden, som følger af samspillet mellem sagsøgeren og Kommissionens IT-systemer eller ‑tjenester i forbindelse med sagsøgerens besøg på konferencens websted eller anvendelse af tjenesten EU Login. De omtvistede overførsler er derimod ikke retsakter fra Kommissionen med bindende retsvirkninger, dvs. at de ikke har til formål at regulere en retlig situation, og som det følger af selve deres karakter, har Kommissionen på ingen måde haft til hensigt at tillægge dem sådanne virkninger.

34

De omtvistede overførsler er derfor ikke bestemt til at afføde bindende retsvirkninger, der kan berøre sagsøgerens interesser gennem en væsentlig ændring af hans retsstilling i overensstemmelse med den retspraksis, der er nævnt i præmis 24 ovenfor. De kan derfor ikke anses for anfægtelige retsakter som omhandlet i artikel 263 TEUF.

35

Det følger heraf, at sagsøgerens annullationspåstand skal afvises.

36

Med sin anden påstand har sagsøgeren nedlagt påstand om, at Retten skal fastslå, at Kommissionen ulovligt har undladt at tage stilling til anmodningen af 1. april 2022 om oplysninger.

37

Kommissionen har i sit svarskrift gjort gældende, at passivitetspåstanden ikke kan antages til realitetsbehandling, idet der ikke foreligger en opfordring til at handle som omhandlet i artikel 265, stk. 2, TEUF. Kommissionen har subsidiært gjort gældende, at det ikke længere er fornødent at træffe afgørelse om passivitetspåstanden, henset til dens svar til sagsøgeren ved e-mail af 30. juni 2022.

38

Sagsøgeren har i det væsentlige gjort gældende, at Kommissionen stadig er forpligtet til at besvare anmodningen af 1. april 2022 om oplysninger, eftersom de oplysninger, som den fremsendte i sin e-mail af 30. juni 2022, er utilstrækkelige og upræcise.

39

Ifølge fast retspraksis bygger det i artikel 265 TEUF fastsatte retsmiddel på den tankegang, at den pågældende institutions retsstridige undladelse af at handle giver mulighed for at anlægge sag ved Unionens retsinstanser med påstand om, at det statueres, at undladelsen af at handle er traktatstridig, for så vidt den pågældende institution ikke har rådet bod på undladelsen (dom af 12.7.1988, Parlamentet mod Rådet,377/87, EU:C:1988:387, præmis 9; jf. også dom af 16.12.2015, Sverige mod Kommissionen, T-521/14, ikke trykt i Sml., EU:T:2015:976, præmis 33 og den deri nævnte retspraksis).

40

Såfremt den handling, hvis undladelse er genstand for retssagen, er foretaget efter sagsanlægget, men inden dommens afsigelse, kan en afgørelse fra Domstolen, der fastslår, at den oprindelige undladelse er retsstridig, ikke længere få de i artikel 266 TEUF nævnte retsvirkninger. Heraf følger, at søgsmålets genstand er bortfaldet i et sådant tilfælde, hvorfor det ikke længere er fornødent at træffe afgørelse (dom af 12.7.1988, Parlamentet mod Rådet,377/87, EU:C:1988:387, præmis 10 og 11; jf. også kendelse af 13.12.2000, Sodima mod Kommissionen,C-44/00 P, EU:C:2000:686, præmis 83 og den deri nævnte retspraksis).

41

I det foreliggende tilfælde skal det fastslås, at Kommissionen ved sin e-mail af 30. juni 2022 besvarede anmodningen af 1. april 2022 om oplysninger (jf. præmis 11 ovenfor). Efter anlæggelsen af dette søgsmål har Kommissionen således bragt den af sagsøgeren påståede passivitet til ophør i forbindelse med den foreliggende sag. Genstanden for den anden påstand om, at det på grundlag af artikel 265 TEUF skal fastslås, at Kommissionen har udvist passivitet ved ikke at besvare anmodningen af 1. april 2022 om oplysninger, er således bortfaldet.

42

Den omstændighed, at indholdet af Kommissionens e-mail af 30. juni 2022 ikke svarer til det svar, som sagsøgeren ønskede, er i denne henseende uden betydning. Den omstændighed, at institutionens stillingtagen ikke giver sagsøgeren medhold, er således irrelevant, da artikel 265 TEUF vedrører passivitet i form af en undladelse af at træffe afgørelse eller tage stilling og ikke i form af vedtagelse af en anden retsakt end den, som denne part måtte ønske eller anse for nødvendig (kendelse af 6.4.2017, Alsharghawi mod Rådet, T-203/16, ikke trykt i Sml., EU:T:2017:279, præmis 22 og den deri nævnte retspraksis).

43

Det følger heraf, at det ikke længere er fornødent at træffe afgørelse om sagsøgerens passivitetspåstand, og at det ikke er nødvendigt at tage stilling Kommissionens afvisningspåstand.

44

Med sin tredje påstand har sagsøgeren fremsat to erstatningskrav. For det første har han krævet 800 EUR i erstatning for den ikke-økonomiske skade, som han har lidt som følge af Kommissionens manglende overholdelse af sin ret til indsigt i oplysninger, hvilket er i strid med artikel 14, stk. 3 og 4, og artikel 17, stk. 1 og 2, i forordning 2018/1725 samt med gennemsigtighedsprincippet, der er fastsat i nævnte forordnings artikel 4, stk. 1, litra a). For det andet har han krævet 400 EUR i erstatning for den ikke-økonomiske skade, som han har lidt som følge af de omtvistede overførsler, der er foretaget i strid med artikel 46 og artikel 48, stk. 1, og artikel 48, stk. 2, litra b), i forordning 2018/1725.

45

Kommissionen har nedlagt påstand om frifindelse for erstatningspåstanden.

46

Artikel 65 i forordning 2018/1725 bestemmer, at enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af nævnte forordning, har ret til erstatning for den forvoldte skade fra den eller det pågældende af Unionens institutioner eller organer »på de betingelser, der er fastsat i traktaterne«.

47

Artikel 65 i forordning 2018/1725 skal fortolkes således, at den fastsætter, at retten til at opnå erstatning fra EU-institutionen eller ‑organet for skade som følge af en overtrædelse af forordningen er underlagt betingelserne i artikel 340, stk. 2, TEUF, hvorefter Unionen i overensstemmelse med de almindelige retsgrundsætninger, der er fælles for medlemsstaternes retssystemer, skal erstatte skader forvoldt af dets institutioner eller af dets ansatte under udøvelsen af deres hverv.

48

Ifølge fast retspraksis skal tre kumulative betingelser være opfyldt, for at Unionen kan ifalde ansvar uden for kontraktforhold, nemlig at den adfærd, som EU-institutionerne lægges til last, har været retsstridig, at der foreligger et virkeligt tab, og at der er en årsagssammenhæng mellem denne adfærd og det hævdede tab (jf. i denne retning dom af 4.7.2000, Bergaderm og Goupil mod Kommissionen, C-352/98 P, EU:C:2000:361, præmis 39-42, og af 28.10.2021, Vialto Consulting mod Kommissionen,C-650/19 P, EU:C:2021:879, præmis 138).

49

Disse betingelsers kumulative karakter indebærer, at så snart en af dem ikke er opfyldt, må sagsøgte frifindes i det hele for erstatningssøgsmålet, uden at det er nødvendigt at undersøge de øvrige betingelser (dom af 9.9.1999, Lucaccioni mod Kommissionen,C-257/98 P, EU:C:1999:402, præmis 14 og 63; jf. også dom af 25.2.2021, Dalli mod Kommissionen,C-615/19 P, EU:C:2021:133, præmis 42 og den deri nævnte retspraksis).

50

Hvad angår den første betingelse kræves det ifølge retspraksis, at det godtgøres, at der foreligger en tilstrækkelig kvalificeret tilsidesættelse af en bestemmelse, som har til formål at tillægge borgerne rettigheder (jf. dom af 4.7.2000, Bergaderm og Goupil mod Kommissionen, C-352/98 P, EU:C:2000:361, præmis 42 og den deri nævnte retspraksis).

51

Dette krav har – uanset hvilken slags retsstridig handling der er tale om – til formål at forhindre, at risikoen for at skulle bære de tab, de berørte personer påberåber sig, hæmmer den omhandlede institutions evne til at udøve sine kompetencer fuldt ud i den almene interesse, både inden for rammerne af sin retsanordnende virksomhed eller sin virksomhed, der indebærer økonomiske afgørelser, og i forbindelse med institutionens administrative kompetence, uden at lade andre bære konsekvenserne af åbenbare og uundskyldelige tilsidesættelser (jf. i denne retning dom af 14.12.2018, East West Consulting mod Kommissionen (T-298/16), EU:T:2018:967, præmis 124 og den deri nævnte retspraksis).

52

Det afgørende kriterium for, om en tilsidesættelse kan anses for tilstrækkelig kvalificeret, er om den pågældende EU-institution åbenbart og groft har overskredet grænserne for sine skønsbeføjelser. Såfremt institutionen har et stærkt begrænset eller intet skøn, kan selve den omstændighed, at der er begået en overtrædelse af fællesskabsretten, være tilstrækkelig til at bevise, at der foreligger en tilstrækkelig kvalificeret krænkelse (jf. dom af 10.12.2002, Kommissionen mod Camar og Tico, C-312/00 P, EU:C:2002:736, præmis 54 og den deri nævnte retspraksis). Denne retspraksis indfører imidlertid ikke en automatisk forbindelse mellem manglende skønsbeføjelse hos den berørte institution på den ene side og kvalificeringen af overtrædelsen som en tilstrækkelig kvalificeret tilsidesættelse af EU-retten på den anden side (dom af 3.10.2010, Artegodan mod Kommissionen,T-429/05, EU:T:2010:60, præmis 59). Selv om omfanget af den kompetente institutions skønsbeføjelse efter sin karakter er af afgørende betydning, udgør det nemlig ikke det eneste kriterium. Domstolen har i den forbindelse til stadighed fastholdt, at den ordning, den har udviklet i medfør af artikel 340, stk. 2, TEUF, bl.a. tager hensyn til kompleksiteten af de forhold, der skal reguleres, og de vanskeligheder, der er forbundet med anvendelsen eller fortolkningen af bestemmelserne (jf. dom af 23.11.2011, Sison mod Rådet,T-341/07, EU:T:2011:687, præmis 36 og 37 og den deri nævnte retspraksis) eller mere generelt det område, de betingelser og den sammenhæng, hvori den tilsidesatte regel er bindende for den pågældende EU-institution eller det pågældende EU-organ (jf. dom af 4.4.2017, Ombudsmanden mod Staelen,C-337/15 P, EU:C:2017:256, præmis 40 og den deri nævnte retspraksis).

53

Det følger heraf, at det alene er konstateringen af en uregelmæssighed, som under tilsvarende omstændigheder ikke ville være blevet begået af en normalt forsigtig og påpasselig administration, der kan pådrage Unionen ansvar. Det påhviler herefter Unionens retsinstanser, efter først at have fastlagt, om den berørte institution rådede over en skønsbeføjelse, efterfølgende at tage hensyn til kompleksiteten af de forhold, der skal reguleres, vanskeligheden ved at anvende eller fortolke bestemmelserne, hvor klar og præcis den tilsidesatte bestemmelse er, og om overtrædelsen er begået forsætligt eller uagtsomt (dom af 3.3.2010, Artegodan mod Kommissionen,T-429/05, EU:T:2010:60, præmis 62).

54

Hvad angår betingelsen om, at der skal være lidt et tab, skal dette være faktisk og reelt, hvilket det påhviler sagsøgeren at godtgøre (jf. dom af 9.11.2006, Agraz m.fl. mod Kommissionen,C-243/05 P, EU:C:2006:708, præmis 27 og den deri nævnte retspraksis). Derimod kan der ikke ydes erstatning for et rent hypotetisk og ubestemt tab (jf. dom af 26.10.2011, Dufour mod ECB,T-436/09, EU:T:2011:634, præmis 192 og den deri nævnte retspraksis).

55

Hvad angår betingelsen om årsagsforbindelse vedrører denne spørgsmålet om, hvorvidt der er tilstrækkelig direkte sammenhæng mellem EU-institutionernes adfærd og skaden, hvilket det påhviler sagsøgeren at bevise, således at den anfægtede adfærd skal være den afgørende årsag til skaden (jf. dom af 13.12.2018, Den Europæiske Union mod ASPLA og Armando Álvarez, C-174/17 P og C-222/17 P, EU:C:2018:1015, præmis 23 og den deri nævnte retspraksis).

56

Det bemærkes, at det fremgår af fast retspraksis, at et erstatningssøgsmål på grundlag af artikel 340, stk. 2, TEUF er indført som et selvstændigt middel med en særlig funktion i forhold til andre retsmidler og er underlagt betingelser, som er udformet med henblik på dets specielle formål, hvorfor afvisningen af annullationspåstanden ikke automatisk medfører, at erstatningspåstanden afvises (jf. dom af 5.9.2019, Den Europæiske Union mod Guardian Europe og Guardian Europe mod Den Europæiske Union, C-447/17 P og C-479/17 P, EU:C:2019:672, præmis 49 og den deri nævnte retspraksis).

57

Det følger heraf, at afvisning af realitetsbehandling af annullationspåstanden og af passivitetspåstanden, fordi det er ufornødent at tage stilling til denne, som det fremgår af præmis 35 og 43 ovenfor, ikke har som konsekvens, at erstatningspåstandene nævnt i præmis 44 ovenfor skal afvises.

58

Det er i lyset af disse betragtninger, at de klagepunkter, som sagsøgeren har gjort gældende i forbindelse med sine erstatningspåstande, skal undersøges.

59

Med sit første erstatningskrav har sagsøgeren krævet Kommissionen tilpligtet at betale ham 800 EUR i erstatning for den ikke-økonomiske skade, han har lidt som følge af tilsidesættelsen af sin ret til indsigt i oplysninger.

60

Sagsøgeren har indledningsvis kritiseret Kommissionen for ikke at have besvaret anmodningen af 1. april 2022 om oplysninger inden for den fastsatte frist og for ikke at have meddelt sagsøgeren en begrundelse for denne passivitet, hvilket er i strid med artikel 14, stk. 3 og 4, og artikel 17, stk. 1 og 2, i forordning 2018/1725 samt med gennemsigtighedsprincippet, der er fastsat i samme forordnings artikel 4, stk. 1, litra a). Desuden overholdt Kommissionen ikke artikel 17, stk. 1, litra c), og artikel 17, stk. 2, i forordning 2018/1725, for så vidt som erklæringen om beskyttelse af privatlivets fred, der fandtes på konferencens websted, ikke indeholdt oplysninger om overførsel af personoplysninger til tredjelande og eventuelle fornødne garantier med henblik på denne overførsel, således som det kræves i henhold til den nævnte forordnings artikel 48. Endvidere gav Kommissionen i e-mailen af 3. december 2021 fejlagtige oplysninger, for så vidt som den nægtede, at sagsøgerens personoplysninger var overført til modtagere i USA.

61

Dernæst har sagsøgeren gjort gældende, at Kommissionens uberettigede passivitet forhindrede ham i at kontrollere behandlingen af sine personoplysninger, hvilket udgør en ikke-økonomisk skade som omhandlet i 46. betragtning til forordning 2018/1725. Endelig har han gjort gældende, at dette ikke-økonomiske tab, som han har opgjort til 800 EUR, er direkte forårsaget af Kommissionens retsstridige adfærd.

62

Kommissionen har bestridt disse argumenter, idet den i det væsentlige har gjort gældende, at ingen af betingelserne for at ifalde ansvar uden for kontraktforhold er opfyldt i det foreliggende tilfælde.

63

Hvad indledningsvis angår betingelsen om, at den foreholdte adfærd var retsstridig, skal det undersøges, om sagsøgeren har påberåbt sig en tilsidesættelse af retsregler, der har til formål at tillægge borgerne rettigheder.

64

I denne henseende bemærkes, at artikel 17, stk. 1, litra c), i forordning 2018/1725 fastsætter en ret for den registrerede til at få indsigt i oplysninger om de modtagere, som vedkommendes personoplysninger er overført til, navnlig modtagere i tredjelande. Denne bestemmelse konkretiserer således det princip, der er fastsat i artikel 4, stk. 1, litra a), i forordning 2018/1725, hvorefter alle oplysninger og meddelelser om behandling af personoplysninger skal være let tilgængelige.

65

Desuden fastsætter artikel 14, stk. 3, i forordning 2018/1725 en frist på en måned for den dataansvarlige til at besvare anmodninger om indsigt i oplysninger. Endvidere pålægger denne forordnings artikel 14, stk. 4, den dataansvarlige, hvis denne beslutter ikke at træffer foranstaltninger i anledning af anmodningen, inden for en måned at underrette den, der har fremsat anmodningen, om årsagen hertil og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) og indbringe sagen for en retsinstans. Disse bestemmelser er således administrative procedureregler, som bidrager til gennemførelsen af retten til indsigt i oplysninger om den registreredes personoplysninger ved at konkretisere og tilpasse denne ret. Disse bestemmelser bidrager endvidere til en konkretisering af den ret, som enhver i henhold til chartrets artikel 41 har til at få sin sag behandlet inden for en rimelig frist af Unionens institutioner og organer.

66

Følgelig udgør bestemmelserne i artikel 4, stk. 1, litra a), artikel 14, stk. 3 og 4, og artikel 17, stk. 1, litra c), i forordning 2018/1725, tilsammen retsregler, der har til formål at tillægge borgerne rettigheder som omhandlet i den retspraksis, der er nævnt i præmis 50 ovenfor.

67

Det skal dernæst undersøges, om det er godtgjort, at Kommissionen har tilsidesat disse bestemmelser i det foreliggende tilfælde.

68

Sagsøgeren har for det første gjort gældende, at Kommissionen har tilsidesat artikel 17, stk. 1, litra c), og artikel 17, stk. 2, i forordning 2018/1725, for så vidt som erklæringen om beskyttelse af privatlivets fred, der fandtes på konferencens websted, ikke indeholdt oplysninger om overførsel af personoplysninger til modtagere i tredjelande, om eventuelle fornødne garantier i forbindelse med denne overførsel eller om identifikation af kontrahenterne som modtagere af disse oplysninger.

69

Som nævnt i præmis 64 ovenfor bestemmer artikel 17, stk. 1, litra c), og artikel 17, stk. 2, i forordning 2018/1725, at den registrerede bl.a. har ret til at få oplysninger om modtagere, der er etableret i tredjelande, til hvem personoplysningerne er overført, og om de fornødne garantier for overførsel af oplysninger til disse modtagere.

70

Det følger heraf, at disse bestemmelser fastsætter en ret for den berørte person til indsigt i visse oplysninger, men ikke fastsætter, at de nævnte oplysninger obligatorisk skal fremgå af et givent dokument eller af en erklæring om beskyttelse af privatlivets fred som den, der fandtes på konferencens websted. Det følger med andre ord ikke af disse bestemmelser, at de omhandlede oplysninger skal udbredes ved hjælp af den nævnte erklæring. Når dette er sagt, bevarer sagsøgeren ligesom enhver berørt person retten til at få sådanne oplysninger ved at udøve sin ret til indsigt i oplysninger, der er fastsat i artikel 17, stk. 1, litra c), og artikel 17, stk. 2, i forordning 2018/1725, hvilket spørgsmål går ud over rækkevidden af den ulovlighed, som sagsøgeren har foreholdt Kommissionen, og som er begrænset til indholdet af erklæringen om beskyttelse af privatlivets fred (jf. præmis 68 ovenfor).

71

Under alle omstændigheder fremgår det i det foreliggende tilfælde af ordlyden af den nævnte erklæring om beskyttelse af privatlivets fred, der er vedlagt som bilag til stævningen, at den indeholder oplysninger om de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive overført til. Det er således bl.a. nævnt i punkt 7 i nævnte erklæring, at der gives »adgang til oplysningerne til [Kommissionens] bemyndigede personale og dens kontrahenter, der har til opgave at udføre den omhandlede databehandling, i overensstemmelse med princippet om »need to know««. Endvidere er sagsøgerens argument om, at den nævnte erklæring ikke indeholder oplysninger om overførsel af personoplysninger til modtagere i tredjelande, baseret på den antagelse, at besøg på konferencens websted indebærer en overførsel af personoplysninger om brugerne til et tredjeland. Det foreliggende erstatningskrav er imidlertid støttet på en tilsidesættelse af retten til indsigt i oplysninger og ikke på en tilsidesættelse af bestemmelserne om overførsel af personoplysninger til tredjelande, som i øvrigt ligger til grund for den anden erstatningspåstand.

72

Det er derfor ikke i det foreliggende tilfælde godtgjort, at Kommissionen tilsidesatte artikel 17, stk. 1, litra c), og artikel 17, stk. 2, i forordning 2018/1725 for så vidt angår erklæringen om beskyttelse af privatlivets fred, der findes på konferencens websted.

73

For det andet har sagsøgeren kritiseret Kommissionen for ikke at have besvaret anmodningen af 1. april 2022 om oplysninger inden for den fastsatte frist og for ikke at have givet ham en begrundelse for denne passivitet, hvilket er i strid med artikel 14, stk. 3 og 4, og artikel 17, stk. 1 og 2, i forordning 2018/1725 samt med gennemsigtighedsprincippet. Endvidere meddelte Kommissionen sagsøgeren urigtige oplysninger i e-mailen af 3. december 2021.

74

Det skal indledningsvis bemærkes, at sagsøgeren ikke har fremført noget konkret argument til støtte for en tilsidesættelse af gennemsigtighedsprincippet. Dette argument har således ikke noget selvstændigt indhold i forhold til klagepunktet om den manglende overholdelse af fristen for at besvare anmodningen om oplysninger og forpligtelsen til at give en begrundelse for overskridelsen af denne frist.

75

Endvidere er sagsøgerens argumenter om en tilsidesættelse af artikel 17, stk. 1 og 2, i forordning 2018/1725 og den omstændighed, at Kommissionen meddelte ham urigtige oplysninger i e-mailen af 3. december 2021, baseret på den antagelse, at besøg på konferencens websted indebar en overførsel af personoplysninger om brugerne til et tredjeland. Som nævnt i præmis 71 ovenfor, er det foreliggende erstatningskrav imidlertid støttet på en tilsidesættelse af retten til indsigt i oplysninger og ikke på den tilsidesættelse af bestemmelserne om overførsel af personoplysninger til tredjelande, som ligger til grund for den anden erstatningspåstand.

76

Det er derfor ikke i det foreliggende tilfælde godtgjort, at Kommissionen har tilsidesat artikel 17, stk. 1 og 2, i forordning 2018/1725.

77

Hvad angår sagsøgerens klagepunkt om tilsidesættelse af artikel 14, stk. 3 og 4, i forordning 2018/1725 fremgår det af sagsakterne, at Kommissionen besvarede anmodningen af 9. november 2021 om oplysninger inden for den frist på en måned, der er fastsat i artikel 14, stk. 3, i forordning 2018/1725 (jf. præmis 5 og 7 ovenfor). Hvad angår anmodningen af 1. april 2022 om oplysninger meddelte Kommissionen ved e-mail af 30. juni 2022 sagsøgeren, at den var af den opfattelse, at anmodningen af 1. april 2022 om oplysninger var næsten identisk med anmodningen af 9. november 2021 om oplysninger, og at den allerede havde besvaret den sidstnævnte anmodning ved e-mail af 3. december 2021 (jf. præmis 11 ovenfor).

78

Det følger heraf, at Kommissionen for så vidt angår anmodningen af 1. april 2022 om oplysninger ikke overholdt den frist på en måned, der er fastsat i artikel 14, stk. 4, i forordning 2018/1725 (jf. præmis 65 ovenfor).

79

Det fremgår af præmis 68-78 ovenfor, at den eneste ulovlighed, der foreholdes Kommissionen i den foreliggende sag, og som er godtgjort, er den manglende overholdelse af den frist, der er fastsat i artikel 14, stk. 4, i forordning 2018/1725.

80

Under disse omstændigheder, og uanset om Kommissionens manglende overholdelse af den nævnte frist udgør en tilstrækkeligt kvalificeret tilsidesættelse af en retsregel, skal det først undersøges, om den manglende overholdelse af denne frist har påført sagsøgeren en faktisk og reel ikke-økonomisk skade som omhandlet i den retspraksis, der er nævnt i præmis 54 ovenfor.

81

Hvad angår spørgsmålet, om den angiveligt lidte ikke-økonomiske skade er reel, skal der henvises til, at selv om fremlæggelse eller angivelse af beviser ikke nødvendigvis betragtes som en betingelse for at anerkende en sådan skade, påhviler det i det mindste den sagsøgende part at godtgøre, at den adfærd, der lægges den berørte institution til last, kan påføre den pågældende en sådan skade (dom af 16.7.2009, SELEX Sistemi Integrati mod Kommissionen, C-481/07 P, ikke trykt i Sml., EU:C:2009:461, præmis 38; jf. ligeledes dom af 2.7.2019, Fulmen mod Rådet,T-405/15, EU:T:2019:469, præmis 188 og den deri nævnte retspraksis).

82

I det foreliggende tilfælde har sagsøgeren krævet 800 EUR i erstatning for en ikke-økonomisk skade, idet han har gjort gældende, at den adfærd, som Kommissionen foreholdes, har forhindret ham i at kontrollere behandlingen af sine personoplysninger.

83

Det må imidlertid konstateres, at en sådan ikke-økonomisk skade ikke er godtgjort i det foreliggende tilfælde. Den eneste ulovlighed, der er fastslået i den foreliggende sag, er nemlig Kommissionens manglende overholdelse af den frist på en måned, der er fastsat i artikel 14, stk. 4, i forordning 2018/1725 (jf. præmis 79 ovenfor). Denne frist er imidlertid ikke blevet overskredet med mere end to måneder (jf. præmis 77 ovenfor). Endvidere var anmodningerne af 9. november 2021 og af 1. april 2021 om oplysninger grundlæggende ens (jf. præmis 5 og 8 ovenfor), således at sagsøgeren allerede havde modtaget et svar på i det mindste en del af sin anmodning om oplysninger den 3. december 2021, hvor Kommissionen besvarede anmodningen af 9. november 2021 om oplysninger (jf. præmis 7 ovenfor).

84

Sagsøgerens argument om, at han fik forkerte oplysninger (jf. præmis 75 ovenfor) vedrører i øvrigt oplysningernes rigtighed og ikke overholdelse af den procedureregel, hvis tilsidesættelse er fastslået i præmis 78 ovenfor, og er derfor ikke relevant med henblik på at godtgøre den påberåbte ikke-økonomiske skade.

85

Det følger heraf, at det ikke er godtgjort, at Kommissionens manglende overholdelse af fristen i artikel 14, stk. 4, i forordning 2018/1725 kunne påføre sagsøgeren den hævdede ikke-økonomiske skade.

86

Eftersom en af de kumulative betingelser for, at Unionen ifalder ansvar uden for kontraktforhold, der er fastsat i artikel 340, stk. 2, TEUF, herefter ikke er opfyldt, skal sagsøgerens første erstatningspåstand forkastes.

87

Med det andet erstatningskrav har sagsøgeren krævet 400 EUR i erstatning for den ikke-økonomiske skade, som han har lidt som følge af de omtvistede overførsler, der er nævnt i præmis 26-28 ovenfor, nemlig den omtvistede overførsel ved besøget på konferencens websted den 30. marts 2022, den omtvistede overførsel ved tilslutningen via EU Login den 30. marts 2022 og den omtvistede overførsel ved besøgene på konferencens websted den 8. juni 2022.

88

Sagsøgeren har i det væsentlige gjort gældende, at de omtvistede overførsler fandt sted til modtagere i USA, som ikke har et tilstrækkeligt beskyttelsesniveau. Kommissionen har ikke givet nogen af de fornødne garantier, der kan begrunde disse overførsler, som fastsat i kapitel V i forordning 2018/1725, og har således tilsidesat denne forordnings artikel 46, artikel 48, stk. 1, og artikel 48, stk. 2, litra b), samt chartrets artikel 7, 8 og 47. De omtvistede overførsler indebar en risiko for, at sikkerheds- og efterretningstjenesterne i USA kunne få adgang til sagsøgerens personoplysninger, og de forvoldte ham følgelig en ikke-økonomisk skade som omhandlet i 46. betragtning til forordning 2018/1725, for så vidt som han blev frataget sine rettigheder og friheder og forhindret i at udøve kontrol med sine personoplysninger.

89

Kommissionen har bestridt disse argumenter, idet den i det væsentlige har gjort gældende, at betingelserne for at ifalde ansvar uden for kontraktforhold ikke er opfyldt i det foreliggende tilfælde.

90

For det første bemærkes, at forordning 2018/1725 i henhold til dens artikel 2, stk. 5, finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

91

For det andet bemærkes, at begrebet »personoplysninger« skal fortolkes således, at det omfatter enhver form for information om en identificeret eller identificerbar fysisk person i overensstemmelse med artikel 3, nr. 1), i forordning 2018/1725.

92

For det tredje bemærkes, at overførsel af oplysninger udgør en »behandling« af oplysninger som omhandlet i artikel 3, nr. 3), i forordning 2018/1725.

93

For det fjerde bemærkes, at »overførsler af personoplysninger til tredjelande eller internationale organisationer« er reguleret i kapitel V i forordning 2018/1725, som imidlertid ikke definerer disse.

94

Det fremgår imidlertid af 63. betragtning til forordning 2018/1725, at de overførsler, der er omfattet af bestemmelserne i denne forordnings kapitel V, vedrører personoplysninger, der overføres fra Unionens institutioner og organer til dataansvarlige, databehandlere eller andre modtagere i tredjelande eller til internationale organisationer.

95

Endvidere følger det af en systematisk fortolkning af forordning 2018/1725, at overførsel af personoplysninger til tredjelande som omhandlet i forordningens artikel 46 kræver for det første, at den dataansvarlige for de omhandlede oplysninger tilhører en af Unionens institutioner eller et af Unionens organer og derfor er omfattet af nævnte forordning (artikel 1 i forordning 2018/1725), for det andet, at den dataansvarlige ved overførsel eller på anden måde stiller personoplysninger til rådighed for en modtager, herunder en anden fysisk eller juridisk person [artikel 3, nr. 3) og 13), i forordning 2018/1725], og for det tredje, at modtageren har hjemsted i et tredjeland (artikel 46 i forordning 2018/1725), dvs. et land, der hverken er medlem af Unionen eller Det Europæiske Økonomiske Samarbejdsområde (EØS).

96

For det femte skal det fastslås, at bestemmelserne i kapitel V i forordning 2018/1725 har til formål i forbindelse med overførsel af personoplysninger til tredjelande eller internationale organisationer at garantere det beskyttelsesniveau, som fysiske personer sikres i Unionen, i overensstemmelse med det formål, der er præciseret i 63. betragtning hertil.

97

For det sjette fastsætter artikel 46 i forordning 2018/1725 et generelt princip, hvorefter enhver overførsel af personoplysninger til et tredjeland eller en international organisation kun må finde sted, hvis betingelserne i forordningens kapitel V, med forbehold af de øvrige bestemmelser i denne forordning, opfyldes af den dataansvarlige og databehandleren.

98

Hvad for det syvende angår de betingelser, der er fastsat i kapitel V i forordning 2018/1725, skal det bemærkes, at denne forordnings artikel 47, stk. 1, bestemmer, at en overførsel af personoplysninger til et tredjeland eller en international organisation kan finde sted, hvis Kommissionen ved en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, der er vedtaget bl.a. i henhold til artikel 45, stk. 3, i forordning 2016/679, har fastslået, at det pågældende tredjeland eller den pågældende internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau, og hvis personoplysningerne kun overføres, for at der kan udføres opgaver, som henhører under den dataansvarliges kompetence.

99

Det skal i denne forbindelse bemærkes, at Kommissionens to beslutninger om tilstrækkeligheden af beskyttelsesniveauet vedrørende USA blev erklæret ugyldige. Dels fastslog Domstolen ved dom af 6. oktober 2015, Schrems (C-362/14, EU:C:2015:650), at Kommissionens afgørelse 2000/520/EF af 26. juli 2000 i overensstemmelse med Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der var opnået ved hjælp af safe harbor-principperne og de dertil hørende hyppige spørgsmål fra det amerikanske handelsministerium (EFT 2000, L 215, s. 7), var ugyldig. Dels fastslog Domstolen i Schrems II-dommen, at Kommissionens gennemførelsesafgørelse (EU) 2016/1250 af 12. juli 2016 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af EU’s og USA’s værn om privatlivets fred (EUT 2016, L 207, s. 1), var ugyldig.

100

Det følger heraf, at der på tidspunktet for de omtvistede overførsler ikke forelå nogen afgørelse om tilstrækkeligheden af beskyttelsesniveauet som omhandlet i artikel 47 i forordning 2018/1725 for så vidt angår USA.

101

Da Kommissionen ikke har vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet for USA, finder artikel 48, stk. 1, i forordning 2018/1725 anvendelse, efter hvilken bestemmelse overførsel af personoplysninger til et tredjeland eller en international organisation kun må finde sted, hvis den dataansvarlige eller databehandleren har givet fornødne garantier, og på betingelse af at de registrerede har rettigheder, der kan håndhæves, og effektive retsmidler.

102

De fornødne garantier, der er omhandlet i artikel 48, stk. 1, i forordning 2018/1725, og som er opregnet i forordningens artikel 48, stk. 2 og 3, kan bl.a. sikres ved standardbestemmelser om databeskyttelse vedtaget af Kommissionen i overensstemmelse med forordningens artikel 48, stk. 2, litra b).

103

De standardbestemmelser om databeskyttelse, der er fastsat i artikel 48, stk. 2, litra b), i forordning 2018/1725, kan imidlertid gøre det nødvendigt at vedtage yderligere foranstaltninger for at sikre overholdelsen af det passende beskyttelsesniveau i henhold til EU-retten (jf. analogt Schrems II-dommen, præmis 133 og 134).

104

Desuden kan de fornødne garantier, der er omhandlet i artikel 48, stk. 1, i forordning 2018/1725, bl.a. sikres ved kontraktbestemmelser som fastsat i nævnte forordnings artikel 48, stk. 3, litra a), der er indgået mellem den dataansvarlige eller databehandleren på den ene side og den dataansvarlige, databehandleren eller modtageren af personoplysningerne i tredjelandet på den anden side, med forbehold af godkendelse fra EDPS.

105

Det skal i øvrigt bemærkes, at chartrets artikel 7, 8 og 47 fastsætter henholdsvis retten til respekt for privatlivet, retten til beskyttelse af personoplysninger og retten til adgang til effektive retsmidler og til en upartisk domstol.

106

I det foreliggende tilfælde skal det først bemærkes, at sagsøgerens anden erstatningspåstand er støttet på Kommissionens tilsidesættelse af bestemmelserne i artikel 46, artikel 48, stk. 1, og artikel 2, stk. 7, litra b), i forordning 2018/1725 samt af chartrets artikel 7, 8 og 47. Det fremgår imidlertid af præmis 91-105 ovenfor, at de nævnte bestemmelser i forordning 2018/1725 konkretiserer grundlæggende rettigheder som dem, der er fastsat i chartrets artikel 7 og 8, og samlet set har til formål at sikre kontinuiteten i det høje beskyttelsesniveau for personoplysninger i tilfælde af overførsel af disse oplysninger til tredjelande eller internationale organisationer.

107

Det følger heraf, at de bestemmelser, hvis tilsidesættelse sagsøgeren har påberåbt sig til støtte for sin andet krav om erstatning, har til formål at beskytte de berørte personers individuelle interesser og således udgør retsregler, der har til formål at tillægge borgerne rettigheder som omhandlet i den retspraksis, der er nævnt i præmis 50 ovenfor.

108

Det skal herefter undersøges, om betingelserne for, at Kommissionen ifalder ansvar uden for kontraktforhold, er opfyldt for hver af de tre omtvistede overførsler, der er nævnt i præmis 87 ovenfor.

109

Eftersom de omtvistede overførsler, der er nævnt i præmis 26 og 28 ovenfor, fandt sted, som følge af at konferencens websted anvendte indholdsleveringsnetværket (eller på engelsk »content delivery network« eller »CDN«) benævnt Amazon CloudFront (herefter »Amazon CloudFront-tjenesten«), skal betingelserne for denne tjenestes funktion inden for rammerne af dette websted først undersøges.

110

I det foreliggende tilfælde er det ubestridt, at konferencens websted anvendte indholdsleveringsnetværket Amazon CloudFront, og at dette netværk aktiveredes ved hvert besøg af en bruger på det nævnte websted.

111

Det fremgår af sagsakterne, navnlig af parternes svar på foranstaltningen med henblik på sagens tilrettelæggelse af 21. juli 2023 samt af deres mundtlige indlæg og svar i retsmødet den 17. oktober 2023, for det første, at Amazon CloudFront-tjenesten er en internettjeneste, der accelererer overførsel af internetindhold, i det foreliggende tilfælde indholdet af konferencens websted, til brugerne. Amazon CloudFront-tjenesten udbreder indholdet gennem et verdensomspændende netværk af servere eller datacentre, der kaldes »perifere lokationer« eller »perifere servere«.

112

For det andet er Amazon CloudFront-tjenesten baseret på en rutemekanisme, som retter forespørgslen fra en bruger af konferencens websted mod den perifere server, der leverer den korteste latenstid i henhold til et princip om nærhed til brugerens terminal, således at indholdet overføres til brugeren under de bedst mulige betingelser. Hvis den perifere server med den korteste latenstid af tekniske årsager ikke er tilgængelig, etableres forbindelsen til den, der har den næstkorteste latenstid, og så fremdeles.

113

For det tredje anvendes Amazon CloudFront-tjenesten til konferencens websted på grundlag af kontrakt 2020-1742, der er indgået mellem Kommissionen og AWS EMEA, som er et datterselskab, der ejes af den amerikanske virksomhed Amazon.com og har hjemsted i Luxembourg (jf. præmis 12 ovenfor).

114

For det fjerde valgte Kommissionen inden for rammerne af denne kontrakt for så vidt angår konferencens websted det geografiske område »Nordamerika (USA, Mexico, Canada), Europa og Israel«. Dette betyder, at indholdet af dette websted ikke spredes gennem Amazon CloudFronts verdensomspændende netværk af perifere lokationer, men udelukkende gennem dem, der befinder sig i de ovennævnte geografiske områder, dvs. USA, Mexico, Canada, Europa og Israel.

115

For det femte er forespørgsler fra brugere i EU som følge af det nærhedsprincip, der er nævnt i præmis 112 ovenfor, sædvanligvis rettet mod perifere servere i Amazon CloudFront-netværket, der befinder sig på dette område, mens de tilfælde, hvor disse anmodninger rettes mod servere uden for EU, er sjældne.

116

Hvad for det sjette angår infrastrukturen i Amazon CloudFronts netværk af perifere lokationer fremgår det af sagsakterne, at den leveres af en række virksomheder, hvoraf nogle tilhører Amazon-koncernen, og andre er tredjepartsvirksomheder, for hvilke en liste kan findes på Amazon Web Services’ websted afhængigt af det pågældende geografiske område. For så vidt angår det geografiske område »Nordamerika (USA, Mexico, Canada), Europa og Israel« er de pågældende virksomheder etableret både i EU-medlemsstater og uden for Unionen, herunder USA, Israel, Mexico, Schweiz eller Det Forenede Kongerige. Hver virksomhed driver servere i det land, hvor den er etableret, og dermed afhænger den geografiske placering af de servere, der er involveret i leveringen af Amazon CloudFront-tjenesten, også af de pågældende virksomheders beliggenhed.

117

For det syvende fastsætter bestemmelserne i kontrakten mellem Kommissionen og AWS EMEA bl.a. følgende:

118

For det ottende hørte Kommissionen EDPS om de ovennævnte kontraktbestemmelser, men de var ikke formelt godkendt af nævnte tilsynsførende i henhold til artikel 48, stk. 3, litra a), i forordning 2018/1725.

119

[Som berigtiget ved kendelse af 3. juni 2025] Sagsøgeren har i det væsentlige gjort gældende, at han i forbindelse med besøget på konferencens websted den 30. marts 2022 konstaterede, at visse af hans personoplysninger, navnlig hans IP-adresse og oplysninger om hans browser og terminal, var blevet overført til USA. For det første anvendte det nævnte websted nemlig indholdsleveringsnetværket kaldet »Amazon CloudFront«, hvis operatør er Amazon Web Services, en amerikansk virksomhed, der er datterselskab af den amerikanske virksomhed Amazon.com. For det andet blev sagsøgerens personoplysninger i forbindelse med dette besøg sendt til tjenesten Amazon CloudFront, nærmere bestemt til Amazon.coms server etableret i Seattle (Washington, USA), hvis IP-adresse er 18.66.192.74. For det tredje blev den sikkerhedsnøgle, som blev anvendt på konferencens websted (benævnt »SSL-certifikatet«), leveret af Amazon, hvorfor det må antages, at Amazon havde mulighed for at dekryptere alle sagsøgerens personoplysninger, som var overført til Amazons servere, herunder hans holdninger til Europas fremtid. For det fjerde er den virksomhed, der udbyder Amazon CloudFront-tjenesten, underlagt amerikansk lovgivning, og den er derfor forpligtet til at videregive oplysninger til USA’s sikkerheds- og overvågningstjenester, endda selv hvis serverne befinder sig uden for USA. Endvidere vedtog Kommissionen ikke »supplerende foranstaltninger« som omhandlet i Schrems II-dommen med henblik på at sikre et tilstrækkeligt beskyttelsesniveau for de oplysninger, der blev overført til USA.

120

Kommissionen har bestridt disse argumenter.

121

Hvad angår besøget på konferencens websted den 30. marts 2022 fremgår det af sagsakterne, at sagsøgeren besøgte dette websted på denne dato (jf. præmis 3 ovenfor), og at en overførsel af hans IP-adresse og oplysninger om hans browser og hans terminal fandt sted.

122

I denne henseende skal det fastslås, at IP-adressen skal kvalificeres som en personoplysning som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, eftersom den opfylder de to betingelser, der er fastsat heri. For det første er det en oplysning om en fysisk person, og for det andet er personen, i dette tilfælde sagsøgeren, identificeret eller identificerbar (dom af 26.4.2023, Afviklingsinstansen mod EDPS, T-557/20, under appel, EU:T:2023:219, præmis 59; jf. i denne retning og analogt dom af 24.11.2011, Scarlet Extended,C-70/10, EU:C:2011:771, præmis 51, og af 19.10.2016, Breyer,C-582/14, EU:C:2016:779, præmis 49). Selv de såkaldte »dynamiske« IP-adresser, der i sagens natur er foranderlige, svarer nemlig til en præcis identitet på et givet tidspunkt, som i det foreliggende tilfælde er sammenfaldende med det tidspunkt, hvor besøget på konferencens websted fandt sted.

123

Det er ligeledes godtgjort, at den overførsel af oplysninger, der er nævnt i præmis 121 ovenfor, blev iværksat af konferencens websted via Amazon CloudFront-tjenesten til en server med IP-adressen 18.66.192.74.

124

Det er endvidere godtgjort, at IP-adressen 18.66.192.74 på tidspunktet for de faktiske omstændigheder var tildelt en server i München (Tyskland), og at denne server tilhørte virksomhed A 100 ROW GmbH, der var etableret i Tyskland og var en del af den ovenfor i præmis 116 nævnte liste over virksomheder.

125

Det følger heraf, at der ganske vist i forbindelse med besøget på konferencens websted den 30. marts 2022 skete en overførsel af sagsøgerens personoplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, herunder hans IP-adresse.

126

I det foreliggende tilfælde er det imidlertid ikke godtgjort, at der i forbindelse med besøget på konferencens websted den 30. marts 2022 skete en overførsel af personoplysninger fra sagsøgeren til et tredjeland, navnlig til USA.

127

Det fremgår derimod af præmis 121-124 ovenfor, at overførslen af sagsøgerens personoplysninger i forbindelse med besøget på konferencens websted den 30. marts 2022 blev iværksat på konferencens websted via Amazon CloudFront-tjenesten og skete til en server i München. Serveren tilhørte en virksomhed med hjemsted i Tyskland, som var en del af netværket af udbydere af infrastruktur til Amazon CloudFront-tjenesten, som leveres til Kommissionen på grundlag af en kontrakt med AWS EMEA, der er en virksomhed med hjemsted i Luxembourg.

128

Det følger heraf, at sagsøgerens personoplysninger i forbindelse med besøget på konferencens websted den 30. marts 2022 blev overført til en modtager, der var etableret i Unionen.

129

Selv om det antages, at sagsøgerens personoplysninger ikke har forladt Unionens område, er disse oplysninger desuden alligevel blevet overført til en server, der tilhører netværket af perifere lokationer i Amazon CloudFront-tjenesten, der hvad angår udbredelse af indholdet på konferencens websted omfatter et netværk af perifere lokationer, som ikke er begrænset til EØS-området, men som går ud over dette område (jf. præmis 116 ovenfor).

130

De konkrete omstændigheder, der er beskrevet i præmis 127 ovenfor, godtgør imidlertid ikke, at der foreligger en overførsel af personoplysninger til modtagere, der er etableret uden for EØS, navnlig i USA.

131

Den omtvistede overførsel i forbindelse med besøget på konferencens websted den 30. marts 2022 udgør således ikke en overførsel af personoplysninger til et tredjeland som omhandlet i artikel 46 i forordning 2018/1725, eftersom begrebet overførsel til et tredjeland kræver, at personoplysningerne stilles til rådighed for en modtager uden for EØS (jf. præmis 93 ovenfor).

132

Sagsøgerens argument om, at AWS EMEA som datterselskab af en amerikansk virksomhed er forpligtet til at videregive personoplysninger til de amerikanske myndigheder, selv når disse oplysninger er lagret på Unionens område, rejser ikke tvivl om denne konklusion.

133

Selv om det ganske vist er korrekt, at adgang til personoplysninger, der i EØS behandles af myndighederne i et tredjeland i henhold til dette lands lovgivning, udgør en overførsel af personoplysninger til et tredjeland som omhandlet i artikel 46 i forordning 2018/1725, forholder det sig ikke desto mindre således, at det i det foreliggende tilfælde ikke er godtgjort, at en sådan adgang har fundet sted. Sagsøgeren har nemlig hverken godtgjort eller hævdet, at der til de amerikanske myndigheder er videregivet nogen af hans personoplysninger, eller godtgjort eller hævdet, at der foreligger en anmodning fra disse myndigheder vedrørende de oplysninger, der er blevet overført til den nævnte server, som tilhører Amazon CloudFront, og som befinder sig i München.

134

Sagsøgerens argument vedrører derfor ikke en direkte tilsidesættelse af bestemmelserne i kapitel V i forordning 2018/1725, men udelukkende risikoen for en sådan tilsidesættelse, såfremt AWS EMEA på grund af sin egenskab af datterselskab af en amerikansk virksomhed ikke er i stand til at modsætte sig en anmodning fra de amerikanske myndigheder om adgang til data, der er gemt på servere, der befinder sig på EØS-området.

135

Den blotte risiko for, at et tredjeland får indsigt i personoplysninger, svarer imidlertid ikke til en overførsel af oplysninger som omhandlet i artikel 46 i forordning 2018/1725, som fortolket i præmis 93 ovenfor, eftersom det ikke er godtgjort, at sagsøgerens personoplysninger blev overført til eller stillet til rådighed for en modtager, der var etableret i et tredjeland. Risikoen for en tilsidesættelse af nævnte artikel 46 kan med andre ord ikke sidestilles med en direkte tilsidesættelse af denne bestemmelse.

136

Det skal endvidere bemærkes, at Rettens undersøgelse i forbindelse med det foreliggende erstatningskrav vedrører efterprøvelse af betingelserne for, at Kommissionen ifalder ansvar uden for kontraktforhold, og navnlig betingelsen om, at Kommissionens adfærd skal være retsstridig, hvilken betingelse kræver, at det skal godtgøres, at der foreligger en tilstrækkeligt kvalificeret tilsidesættelse af de bestemmelser i forordning 2018/1725 og chartret, som sagsøgeren har påberåbt sig.

137

I denne henseende er den blotte risiko for en tilsidesættelse af bestemmelserne i kapitel V i forordning 2018/1725 under alle omstændigheder ikke tilstrækkelig til at fastslå, at Kommissionen har udvist en retsstridig adfærd, der svarer til en tilstrækkelig kvalificeret tilsidesættelse af disse bestemmelser.

138

Denne konklusion kan ikke drages i tvivl af sagsøgerens argument vedrørende Schrems II-dommen. Det skal nemlig bemærkes, at Domstolen i denne dom udtalte sig om visse af de betingelser, hvorunder personoplysninger kan overføres til USA, og ikke om de betingelser, hvorunder sådanne oplysninger kan behandles på EØS-området af amerikanske datterselskaber såsom AWS EMEA.

139

Det følger af det ovenstående, at sagsøgeren hvad angår den omtvistede overførsel i forbindelse med besøget på konferencens websted den 30. marts 2022 ikke har godtgjort, at Kommissionen begik en tilstrækkeligt kvalificeret tilsidesættelse som omhandlet i den retspraksis, der er nævnt i præmis 50 ovenfor, af bestemmelserne i artikel 46, artikel 48, stk. 1, og artikel 48, stk. 2, litra b), i forordning 2018/1725 eller af chartrets artikel 7, 8 og 47.

140

Eftersom en af de kumulative betingelser for, at Unionen ifalder ansvar uden for kontraktforhold, som er fastsat i artikel 340, stk. 2, TEUF, ikke er opfyldt, skal det andet erstatningskrav forkastes for så vidt angår den omtvistede overførsel i forbindelse med søgningen på konferencens websted den 30. marts 2022, uden at det er nødvendigt at undersøge sagsøgerens øvrige argumenter.

141

Sagsøgeren har gjort gældende, at der i forbindelse med besøgene på konferencens websted den 8. juni 2022 skete en overførsel af hans personoplysninger, bl.a. af hans IP-adresse, til Amazon CloudFronts servere i USA. Ifølge sagsøgeren var disse overførsler ikke en følge af hans aktivitet som bruger af webstedet, men var et resultat af driften af Amazon CloudFront-tjenesten, hvor risikoen for, at data overføres til USA, er indbygget i den globale infrastruktur, som denne tjeneste er baseret på. Sagsøgerens situation adskiller sig ikke fra situationen for en unionsborger, der besøger konferencens websted f.eks. under en arbejdsrelateret rejse til USA. Kommissionen har ikke udvist den fornødne omhu for at undgå overførsel af oplysninger til USA, eftersom den har valgt et indholdsleveringsnetværk, der er baseret på en global struktur, i stedet for en rent europæisk hostingløsning.

142

Ifølge sagsøgeren påførte den nævnte overførsel af personoplysninger ham en ikke-økonomisk skade som omhandlet i 46. betragtning til forordning 2018/1725, for så vidt som han mistede kontrollen med sine oplysninger, som blev overført til USA og underlagt de amerikanske myndigheders ulovlige tilsyn, og blev frataget sine rettigheder og friheder.

143

Kommissionen har bestridt disse argumenter.

144

Det skal indledningsvis, og henset til sagsøgerens argumentation, bemærkes, at Rettens prøvelse inden for rammerne af det foreliggende erstatningskrav ikke direkte vedrører lovligheden af Kommissionens afgørelse om at anvende tjenesten Amazon CloudFront til at udbrede indholdet af konferencens websted, men vedrører efterprøvelsen af betingelserne for, at Kommissionen kan ifalde ansvar uden for kontraktforhold for så vidt angår den omtvistede overførsel i forbindelse med besøgene på konferencens websted den 8. juni 2022.

145

I det foreliggende tilfælde finder Retten det hensigtsmæssigt først at behandle betingelsen om, at der skal være årsagsforbindelse mellem Kommissionens angiveligt retsstridige adfærd og det påberåbte ikke-økonomiske tab.

146

Det følger af den retspraksis, der er nævnt i præmis 54 ovenfor, at betingelsen om årsagsforbindelse vedrører tilstedeværelsen af en tilstrækkelig direkte årsagsforbindelse mellem den adfærd, der foreholdes institutionen, og skaden, hvilket det påhviler sagsøgeren at føre bevis for, således at den foreholdte adfærd skal være den afgørende årsag til skaden.

147

Det følger endvidere af retspraksis, at den årsagsforbindelse, der kræves for, at Unionen ifalder ansvar uden for kontraktforhold som omhandlet i artikel 340, stk. 2, TEUF, foreligger, når skaden er den direkte følge af den omhandlede culpøse adfærd (dom af 28.6.2007, Internationaler Hilfsfonds mod Kommissionen,C-331/05 P, EU:C:2007:390, præmis 23).

148

Hvad angår den direkte karakter af årsagsforbindelsen har Retten allerede fastslået, at tabet skal være en direkte konsekvens af den påberåbte ulovlighed og ikke sagsøgerens valg med hensyn til, hvordan der skal reageres på den angiveligt ulovlige retsakt. Det er således fastslået, at den blotte omstændighed, at den ulovlige adfærd har udgjort en nødvendig betingelse (conditio sine qua non) for tabets opståen, således at forstå, at dette ikke ville være opstået, hvis ikke der var fulgt en sådan adfærd, ikke er tilstrækkeligt for at godtgøre en tilstrækkelig direkte årsagsforbindelse i henhold til Unions retspraksis (jf. i denne retning og analogt dom af 30.11.2011, Transnational CompanyKazchrome og ENRC Marketing mod Rådet og Kommissionen, T-107/08, EU:T:2011:704, præmis 80 og den deri nævnte retspraksis, og af 23.5.2019, Remag Metallhandel og Jaschinsky mod Kommissionen, T-631/16, ikke trykt i Sml., EU:T:2019:352, præmis 52 og den deri nævnte retspraksis).

149

Det følger således af retspraksis, at en sådan årsagsforbindelse ikke er godtgjort, når den påberåbte skade er den direkte følge af sagsøgerens egen beslutning eller frie valg og derfor ikke kan tilregnes den pågældende institution eller det pågældende organ (jf. i denne retning og analogt dom af 28.6.2007, Internationaler Hilfsfonds mod Kommissionen,C-331/05 P, EU:C:2007:390, præmis 22-29, af 17.2.2017, Novar mod EUIPO,T-726/14, EU:T:2017:99, præmis 31 og 32, og af 28.2.2018, Vakakis kai Synergates mod Kommissionen,T-292/15, EU:T:2018:103, præmis 173 og den deri nævnte retspraksis).

150

I det foreliggende tilfælde skal det derfor undersøges, om den adfærd, der foreholdes Kommissionen, nemlig brugen af Amazon CloudFront-tjenesten som indholdsleveringsnetværk på konferencens websted, er den direkte årsag til den påberåbte ikke-økonomiske skade, der består i mistet kontrol over sagsøgerens personoplysninger, som angiveligt blev overført til USA i forbindelse med sagsøgerens besøg på det nævnte websted den 8. juni 2022.

151

I denne henseende fremgår det for det første af sagsakterne og af parternes svar på de spørgsmål, der blev stillet i retsmødet, at sagsøgeren den 8. juni 2022 var i München, og at han besøgte konferencens websted flere gange. I forbindelse med disse besøg etablerede sagsøgerens IP-adresse flere på hinanden følgende forbindelser til forskellige servere i Amazon CloudFront-tjenesten, som var geografisk langt fra hinanden. IP-adressen tilsluttede sig således kl. 7.13 en server i München, kl. 11.13 en server i London (Det Forenede Kongerige), kl. 12.56 en server i Hillsboro (Oregon, USA), kl. 13.05 en server i Newark og kl. 19.12 en server i Frankfurt am Main (Tyskland).

152

For det andet fremgår det af sagsakterne, at sagsøgerens IP-adresse blev overført til de forskellige servere i Amazon CloudFront-tjenesten, der er nævnt i præmis 151 ovenfor, herunder dem, der befinder sig i USA.

153

For det tredje bemærkes, at sagsøgerens IP-adresse udgør en personoplysning.

154

For det fjerde bemærkes, at konferencens websted den 8. juni 2022 opregnede 4548 adgange og 18 forskellige IP-adresser. Blandt disse har en enkelt IP-adresse, nemlig sagsøgerens, etableret en forbindelse til servere uden for Unionen, nemlig i USA og Det Forenede Kongerige. Det skal i denne forbindelse bemærkes, at det hverken er blevet godtgjort eller gjort gældende, at Amazon CloudFront-tjenesten på konferencens websted den 8. juni 2022 havde tekniske eller andre problemer, således at der var en hindring for den normale funktion af tjenestens rutemekanisme i henhold til nærhedsprincippet, som retter brugernes forespørgsler på konferencens websted mod den perifere server, der giver den korteste latenstid alt efter brugerens geografiske placering (jf. præmis 112 ovenfor).

155

Hvad for det femte angår omstændighederne omkring de forbindelser, som sagsøgerens IP-adresse etablerede til servere i USA, fremgår det af sagsakterne og af parternes svar i retsmødet, på den ene side, at sagsøgeren har gjort gældende, at disse forbindelser var et resultat af Amazon CloudFronts funktionsmåde og ikke af nogen form for manipulation, som sagsøgeren havde foretaget. På den anden side har Kommissionen bemærket, at disse forbindelser var atypiske og kun kan forklares med en teknisk manipulation fra sagsøgerens side.

156

Hvad dette angår viser de omstændigheder, der er beskrevet i præmis 151 ovenfor, at de forskellige lokaliseringer for de servere, som sagsøgerens IP-adresse tilsluttede sig, ikke kan skyldes, at sagsøgeren fysisk har flyttet sig samme dag, hvilket ville være umuligt på grund af de omhandlede afstande og tidsintervaller. Det er endvidere ikke blevet påvist eller hævdet, at Amazon CloudFront-tjenesten ikke fungerede, hvorfor det kan konkluderes, at denne tjeneste den 8. juni 2022 fungerede i henhold til princippet om nærhed til brugerens terminal, hvorved tjenestens rutemekanisme ledte forespørgslerne fra brugerne af konferencens websted mod den perifere server, som gav den korteste latenstid (jf. præmis 154 ovenfor).

157

Under disse omstændigheder kan forbindelserne mellem sagsøgerens IP-adresse og servere i USA på et tidspunkt, hvor han befandt sig i Tyskland, ikke være resultatet af den normale drift af Amazon CloudFront-tjenesten, men snarere af en teknisk ændring foretaget af sagsøgeren med henblik på at ændre sin tilsyneladende placering, idet han i det digitale domæne fremstod, som om han på samme dag successivt befandt sig i nærheden af München, London, Hillsboro, Newark og Frankfurt am Main.

158

Det følger heraf, at det ganske vist er driften af Amazon CloudFront-tjenesten med dens rutemekanisme, der fungerer i henhold til nærhedsprincippet, og som dækker et større geografisk område end EØS’ område, herunder navnlig USA (jf. præmis 112 og 114 ovenfor), som har gjort det muligt for sagsøgerens IP-adresse at skabe forbindelse til Amazon CloudFronts servere placeret i USA i forbindelse med besøgene på konferencens websted.

159

Selv om Kommissionens anvendelse af Amazon CloudFront-tjenesten var en nødvendig betingelse for, at de i præmis 152 ovenfor nævnte overførsler af personoplysninger til USA fandt sted, er dette forhold under de foreliggende omstændigheder imidlertid ikke tilstrækkeligt til at godtgøre en tilstrækkelig direkte årsagsforbindelse mellem den ikke-økonomiske skade, som sagsøgeren har påberåbt sig, og Kommissionens angiveligt ulovlige adfærd, der består i anvendelsen af en sådan tjeneste i strid med bestemmelserne i kapitel V i forordning 2018/1725.

160

Det er nemlig sagsøgerens adfærd, der skal anses for at være den direkte og umiddelbare årsag til den hævdede ikke-økonomiske skade og ikke den fejl, som Kommissionen angiveligt har begået ved at benytte Amazon CloudFront-tjenesten.

161

Det var således sagsøgeren, der skabte de nødvendige betingelser for at fremprovokere forbindelser til servere i USA gennem driften af Amazon CloudFront-tjenesten. Det var sagsøgerens adfærd, der gav anledning til, at rutemekanismen for tjenesten Amazon CloudFront henviste hans forespørgsler ved besøg på konferencens websted til servere, der befandt sig i USA, eftersom det var disse servere, der havde kortest latenstid i forhold til sagsøgerens tilsyneladende lokalisering i det digitale domæne, selv om denne lokalisering ikke svarede til hans faktiske placering.

162

Endvidere har sagsøgeren ikke ret til at udvise en adfærd, der har til formål at fremkalde et bestemt resultat (nemlig overførsel af hans personoplysninger til et tredjeland), og efterfølgende kræve erstatning for det tab, som angiveligt er forårsaget af dette resultat, som hans adfærd var den direkte årsag til. I modsætning til hvad sagsøgeren har gjort gældende, kan hans situation i forbindelse med et erstatningssøgsmål som det foreliggende således ikke bedømmes på samme måde som en bruger, der faktisk befandt sig i USA, og som derfor ville have fået adgang til konferencens websted fra dette land.

163

Det følger af det ovenstående, at der for så vidt angår den omtvistede overførsel i forbindelse med besøgene på konferencens websted den 8. juni 2022 ikke er godtgjort en tilstrækkelig direkte årsagsforbindelse mellem Kommissionens angiveligt ulovlige adfærd og det påberåbte ikke-økonomiske tab.

164

Eftersom en af de kumulative betingelser for, at Unionen ifalder ansvar uden for kontraktforhold, ikke er opfyldt, skal kravet om erstatning for så vidt angår den omtvistede overførsel i forbindelse med besøgene på konferencens websted den 8. juni 2022 forkastes, uden at det er nødvendigt at undersøge de øvrige betingelser for at pådrage sig dette ansvar.

165

Sagsøgeren har gjort gældende, at hans IP-adresse samt oplysninger om hans browser og terminal blev overført til virksomheden Meta Platforms, der er etableret i USA, og som ejer det sociale netværk Facebook, den 30. marts 2022, da han tilmeldte sig begivenheden »GoGreen«, der var tilgængelig på konferencens websted. I forbindelse med denne tilmelding blev sagsøgeren nemlig omdirigeret til EU Logins autentificeringstjeneste, som bl.a. foreslår, at man kan oprette forbindelse via forskellige sociale netværk. Sagsøgeren valgte at oprette forbindelse via sin Facebook-konto, og da han klikkede på hyperlinket, førte dette til en overførsel af hans IP-adresse til Facebook. Sagsøgeren accepterede kun Facebooks »nødvendige cookies«. Andre personoplysninger om sagsøgeren, nemlig hans e-mailadresse, efternavn, fornavn og profil, blev indsamlet af Facebook ved hjælp af cookies, navnlig en cookie kaldet »sb«, og overført til Meta Platforms servere. Det fremgår af retspraksis, at de webstedsoperatører, der bruger Facebook på deres websteder, som det er tilfældet med Kommissionen, sammen med Facebook er ansvarlige for overholdelsen af EU-retten om databeskyttelse. Kommissionen er således medansvarlig for placeringen af de cookies, som lagres af Facebook. Sagsøgeren mistede kontrollen med sine personoplysninger, der blev overført til Facebook, og blev frataget sine rettigheder og frihedsrettigheder, hvilket udgør en ikke-økonomisk skade som omhandlet i 46. betragtning til forordning 2018/1725.

166

Kommissionen har bestridt disse argumenter. Den har i det væsentlige gjort gældende, at den hverken foretog eller iværksatte overførsler af oplysninger til Meta Platforms. Det var ikke obligatorisk at lade sig registrere via EU Login for at deltage i begivenheden »GoGreen«, og selv ved anvendelse af EU Login har sagsøgeren haft forskellige muligheder for autentificering, herunder muligheder, som ikke kræver, at der anvendes en konto på sociale medier. Det var således sagsøgerens valg at oprette forbindelse til EU Login-tjenesten ved hjælp af sin Facebook-konto, og det var dermed sagsøgeren og ikke Kommissionen, der etablerede adgangen til Facebooks websted. På det tekniske plan gennemføres muligheden for autentificering via Facebook desuden ved hjælp af et hyperlink, der vises på EU Logins websted, og som ikke indeholder brugerens personoplysninger. I modsætning til hvad sagsøgeren har gjort gældende, bliver de data, der indsamles af cookies, og som anvendes af Facebook, ikke overført til Kommissionen i forbindelse med tilslutningen til EU Login og er ikke omfattet af dennes ansvar. Disse cookies er resultatet af udvekslinger mellem Facebook og sagsøgeren på grundlag af sagsøgerens samtykke, og Kommissionen var ikke involveret i denne udveksling. Kommissionen har endvidere gjort gældende, at den retspraksis, som sagsøgeren har påberåbt sig, ikke finder anvendelse i den foreliggende sag, og at sagsøgerens argument om, at Kommissionen og Meta Platforms angiveligt har et fælles ansvar, under alle omstændigheder er et nyt anbringende, der er fremsat for første gang i replikken, og som derfor ikke kan antages til realitetsbehandling.

167

I det foreliggende tilfælde skal der først foretages en undersøgelse af de faktiske omstændigheder, som den omtvistede overførsel indgik i på tidspunktet for tilslutningen via EU Login den 30. marts 2022, under hensyntagen til de oplysninger, der fremgår af sagsakterne, samt til parternes svar på de spørgsmål, som Retten stillede i retsmødet, og ved foranstaltningen med henblik på sagens tilrettelæggelse af 9. februar 2024.

168

Det skal i denne forbindelse fastslås, at begivenheden »GoGreen«, der var organiseret af et organ med hjemsted i Nederlandene, blev annonceret på konferencens websted. Tilmelding til denne begivenhed kunne bl.a. ske på konferencens websted via tjenesten EU Login.

169

Sagsøgeren valgte at lade sig registrere på konferencens websted ved hjælp af EU Login.

170

EU Login er Kommissionens brugerautentificeringstjeneste, som beskytter flere hundrede EU-websteder og ‑applikationer. I det foreliggende tilfælde var formålet med anvendelsen af EU Login med henblik på tilmelding til begivenheden »GoGreen« at sikre, at denne tilmelding blev foretaget ved hjælp af en verificeret e-mailadresse, idet risikoen forbundet med registrering af falske brugere eller identitetsmisbrug derved blev mindsket.

171

EU Login viser flere login-muligheder på sin webside. Den første mulighed er at koble sig direkte til EU Login, enten ved at udfylde forbindelsesdata for en eksisterende EU Login-konto eller ved at oprette en EU Login-konto. Den anden mulighed er at anvende et elektronisk identitetskort »eID«, som er tilgængeligt for borgere i visse medlemsstater. Den tredje mulighed, der er tilgængelig for et begrænset antal tjenester, består i at anvende en konto, som brugeren allerede har på Facebook, Twitter eller Google, ved at klikke på det tilsvarende hyperlink på EU Logins websted.

172

Muligheden for at tilslutte sig EU Login via en Facebook-konto skyldes, at Kommissionen har vurderet, at brugerne bør have mulighed for at tilslutte sig EU Login via allerede eksisterende konti på platforme for at give dem let og hurtig adgang samt mulighed for at autentificere sig uden behov for at oprette en EU Login-konto og således undgå at øge antallet af konti og enheder, som brugerne skal dele deres personoplysninger med. Kommissionen fandt i øvrigt, at Facebook var pålidelig med henblik på at kontrollere brugernes e-mailadresser i lyset af de foranstaltninger, som Facebook havde truffet. Det hyperlink, der gør det muligt at logge ind via en eksisterende Facebook-konto, er imidlertid kun tilgængeligt på EU Login for websteder eller apps, der kun kræver et grundlæggende sikkerhedsniveau.

173

Sagsøgeren valgte muligheden for at tilslutte sig EU Login via sin Facebook-konto ved hjælp af hyperlinket »Sign in with Facebook«, der blev vist på EU Logins websted (herefter »hyperlinket »Sign in with Facebook««).

174

Hyperlinket »Sign in with Facebook« indeholder et link til et websted uden for Kommissionen. Når dette hyperlink aktiveres ved et klik herpå, giver det adgang til en URL-adresse på Facebooks websted, dvs. til en individuel adresse på dette websted.

175

Adgangen til URL-adressen på Facebooks websted giver anledning til en kommunikation mellem brugerens browser og det nævnte websted, hvor browseren overfører brugerens IP-adresse til webstedet. Denne overførsel svarer til den, der finder sted, når brugeren indtaster en hvilken som helst internetsides URL-adresse direkte i sin browser, for så vidt som IP-adressen nødvendigvis skal overføres af enhver internetbruger, der ønsker at få adgang til en internetside.

176

Via hyperlinket »Sign in with Facebook« sender EU Login Facebook visse oplysninger, som er nødvendige for autentifikationsprocessen, og som tager form af følgende som eksempel:

177

Nærmere bestemt indgår følgende oplysninger i hyperlinket »Sign in with Facebook«:

178

Når brugeren kommer ind på Facebooks URL-adresse, befinder vedkommende sig på dette websted, hvor der først vises et vindue, hvor brugeren anmodes om at acceptere Facebooks brug af »cookies«. Hvis cookies accepteres, åbnes et andet vindue, der gør det muligt at udfylde brugernavnet og adgangskoden til brugerens Facebook-konto. Endelig kan brugeren efter at være logget ind på sin Facebook-konto give Facebook tilladelse til at anvende cookies på andre applikationer og websteder ved at besvare spørgsmålet »Allow Facebook to use cookies and similar technologies placed on other apps and websites?«. Hvis brugeren giver sit samtykke hertil, vil vedkommende efterfølgende blive opfordret til at give samtykke til, at Facebook må overføre fornavn, efternavn, profilbillede og e-mailadresse, der er knyttet til brugerens Facebook-konto, til EU Login. I løbet af denne proces kan brugeren i øvrigt afbryde autentificeringen via Facebook-kontoen ved at vælge »Cancel«. I så fald omdirigeres brugeren til EU Logins websted, hvor siden med forbindelsesmulighederne vises igen.

179

Da sagsøgeren i det foreliggende tilfælde klikkede på hyperlinket »Sign in with Facebook«, fik hans internetbrowser adgang til Facebooks websteds URL-adresse og overførte følgelig hans IP-adresse til dette websted. Da sagsøgeren derefter befandt sig på Facebooks websted, valgte han at give Facebook tilladelse til kun at anvende nødvendige cookies, hvorefter han loggede ind på sin Facebook-konto, og sluttelig gav han Facebook tilladelse til at overføre sit fornavn, efternavn, profilbillede og e-mailadresse, således som han havde oplyst disse på sin Facebook-konto, til EU Login.

180

Efter at sagsøgeren havde givet disse tilladelser, sendte Facebook ham tilbage til EU Logins websted i overensstemmelse med oplysningerne i hyperlinket »Sign in with Facebook« (jf. præmis 177, første og andet led, ovenfor).

181

Samtidig videregav Facebook den tilfældige sikkerhedsværdi og den unikke kode, der er nævnt i præmis 177, fjerde og femte led, ovenfor, til EU Login. Denne kommunikation fra Facebook gav dels EU Login mulighed for at vide, at de personoplysninger, som Facebook stillede til rådighed for EU Login, vedrørte den bruger, der havde iværksat autentifikationsprocessen, dvs. i det foreliggende tilfælde sagsøgeren. Dels gav den EU Login mulighed for i en begrænset periode at få adgang til de personoplysninger, der er nævnt i præmis 177, tredje led, ovenfor, dvs. bl.a. sagsøgerens fornavn, efternavn og e-mailadresse, således som sagsøgeren havde oplyst disse på sin Facebook-konto. Facebooks overførsel af disse oplysninger til EU Login blev foretaget ved hjælp af en krypteret forbindelse. På grundlag af de oplysninger, som Facebook stillede til rådighed, autentificerede EU Login sagsøgerens e-mailadresse.

182

Det skal i øvrigt bemærkes, at det sociale netværk Facebook ejes af Meta Platforms, en virksomhed med hjemsted i USA.

183

Det skal desuden bemærkes, at visningen af nævne hyperlink på EU Logins websted er reguleret af Facebook-platformens generelle betingelser, som er offentliggjort på internetadressen »https://developers.facebook.com/terms«.

184

I lyset af disse betragtninger skal det undersøges, om betingelserne for, at Kommissionen ifalder ansvar uden for kontraktforhold, er opfyldt.

185

Sagsøgeren har i det væsentlige gjort gældende, at da han loggede på via EU Login den 30. marts 2022, blev hans personoplysninger, bl.a. hans IP-adresse, overført til servere i det sociale netværk Facebook, hvis ejervirksomhed har hjemsted i USA. Denne overførsel skete i strid med artikel 46 i forordning 2018/1725 og forvoldte sagsøgeren en ikke-økonomisk skade, der bestod i tab af kontrollen med hans oplysninger og en fratagelse af hans rettigheder og frihedsrettigheder.

186

Indledningsvis bemærkes, således som det fremgår af præmis 95 ovenfor, at en overførsel af personoplysninger til et tredjeland som omhandlet i artikel 46 i forordning 2018/1725 kræver, at en EU-institution, et EU-agentur eller et EU-organ ved overførsel eller på anden måde stiller personoplysninger til rådighed for en modtager med hjemsted i et tredjeland, dvs. et land, der hverken er medlem af Unionen eller EØS.

187

I det foreliggende tilfælde er det for det første godtgjort, at sagsøgeren blandt mulighederne for at logge på EU Login valgte at logge på med sin Facebook-konto. For det andet indeholdt hyperlinket »Sign in with Facebook« et link til en URL-adresse på Facebooks websted. Da sagsøgeren for det tredje aktiverede dette hyperlink ved at klikke på det, fik hans browser adgang til URL-adressen på Facebooks websted og overførte derved hans IP-adresse til Facebook (jf. præmis 173-175 ovenfor).

188

Det følger heraf, at Kommissionen ved hjælp af hyperlinket »Sign in with Facebook«, der blev vist på EU Logins internetside, skabte de betingelser, der gjorde det muligt at overføre sagsøgerens IP-adresse til Facebook. Denne IP-adresse udgør personoplysninger for sagsøgeren (jf. præmis 122 ovenfor), som via det nævnte hyperlink blev overført til Meta Platforms, en virksomhed med hjemsted i USA. Denne overførsel indebar således en overførsel af personoplysninger til et tredjeland som omhandlet i artikel 46 i forordning 2018/1725.

189

Endvidere er det i det foreliggende tilfælde godtgjort, at der på tidspunktet for denne overførsel af oplysninger, dvs. den 30. marts 2022, ikke forelå nogen afgørelse om tilstrækkeligheden af beskyttelsesniveauet som omhandlet i artikel 47 i forordning 2018/1725 for så vidt angår USA (jf. præmis 100 ovenfor).

190

Når Kommissionen ikke har vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i forhold til USA, finder artikel 48, stk. 1, i forordning 2018/1725 anvendelse, hvorefter en dataansvarlig eller databehandler kun må overføre personoplysninger til et tredjeland eller en international organisation, hvis vedkommende har givet de fornødne garantier, og på betingelse af at rettigheder, som kan håndhæves, og effektive retsmidler for registrerede er tilgængelige i overensstemmelse med artikel 48, stk. 1, i forordning 2018/1725 (jf. præmis 101 ovenfor).

191

I det foreliggende tilfælde har Kommissionen hverken godtgjort eller hævdet, at der foreligger fornødne garantier, såsom en standardbestemmelse om databeskyttelse eller en kontraktbestemmelse, der er vedtaget på de betingelser, der er fastsat i artikel 48, stk. 2 og 3, i forordning 2018/1725 (jf. præmis 102-104 ovenfor). Det er derimod godtgjort, at visningen af hyperlinket »Sign in with Facebook« på EU Logins websted ganske enkelt er reguleret af Facebook-platformens generelle betingelser (jf. præmis 183 ovenfor).

192

Kommissionen har følgelig skabt forudsætningerne for, at en overførsel af sagsøgerens personoplysninger til et tredjeland kunne finde sted, dog uden at overholde de betingelser, der er fastsat i artikel 46 i forordning 2018/1725.

193

Det må derfor fastslås, uden at det er nødvendigt at undersøge sagsøgerens øvrige argumenter, at Kommissionen har begået en tilstrækkeligt kvalificeret tilsidesættelse som omhandlet i den retspraksis, der er nævnt i præmis 50 ovenfor, af artikel 46 i forordning 2018/1725 for så vidt angår den omtvistede overførsel i forbindelse med tilslutningen via EU Login den 30. marts 2022.

194

Det skal derfor undersøges, om de øvrige betingelser med hensyn til skade og årsagsforbindelse for, at Kommissionen ifalder ansvar uden for kontraktforhold, er opfyldt i det foreliggende tilfælde.

195

Sagsøgeren har gjort gældende, at den ulovlige overførsel af hans IP-adresse til en virksomhed med hjemsted i USA har påført ham en ikke-økonomisk skade, der består i, at han har mistet kontrollen med sine oplysninger og er frataget sine rettigheder og friheder.

196

I denne henseende skal det fastslås, at artikel 65 i forordning 2018/1725 giver ret til erstatning ikke blot for økonomisk skade, men også for ikke-økonomisk skade, der er lidt som følge af en tilsidesættelse af denne forordning, uden at det er nødvendigt at godtgøre nogen som helst alvorsgrad (jf. i denne retning og analogt dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger), C-300/21, EU:C:2023:370, præmis 45 og 51).

197

I det foreliggende tilfælde skal den ikke-økonomiske skade, som sagsøgeren har påberåbt sig, anses for at være faktisk og reel som omhandlet i den retspraksis, der er nævnt i præmis 54 ovenfor, for så vidt som den overførsel, der er nævnt i præmis 188 ovenfor, og som blev foretaget i strid med artikel 46 i forordning 2018/1725, bragte sagsøgeren i en usikker situation med hensyn til behandlingen af hans personoplysninger, herunder hans IP-adresse.

198

Endvidere er der en tilstrækkelig direkte årsagsforbindelse som omhandlet i den retspraksis, der er nævnt i præmis 55 ovenfor, mellem Kommissionens tilsidesættelse af artikel 46 i forordning 2018/1725 og den ikke-økonomiske skade, som sagsøgeren har lidt.

199

Under de foreliggende omstændigheder bør den ikke-økonomiske skade, som Kommissionen har forvoldt, efter ret og billighed opgøres til 400 EUR.

200

Følgelig skal Kommissionen tilpligtes at betale sagsøgeren et beløb på 400 EUR for den ikke-økonomiske skade, der er lidt som følge af den omtvistede overførsel i forbindelse med tilslutningen via EU Login den 30. marts 2022.

201

Artikel 134, stk. 3, i Rettens procesreglement bestemmer, at hvis hver af parterne henholdsvis taber eller vinder på et eller flere punkter, bærer hver part sine egne omkostninger. Retten kan dog, hvis dette efter omstændighederne findes begrundet, beslutte, at en part, ud over at bære sine egne omkostninger, skal betale en del af modpartens omkostninger.

202

I det foreliggende tilfælde har sagsøgeren tabt sagen for så vidt angår den første og den anden påstand samt en del af den tredje påstand. Den tredje påstand er imidlertid delvist taget til følge, idet Kommissionen dømmes til at betale den erstatning, som sagsøgeren har krævet for den ikke-økonomiske skade, som han har lidt som følge af den omtvistede overførsel i forbindelse med tilslutningen via EU Login den 30. marts 2022. Det bestemmes under disse omstændigheder, at Kommissionen bærer sine egne omkostninger og betaler halvdelen af de af sagsøgeren afholdte omkostninger. Sagsøgeren bærer halvdelen af sine egne omkostninger.

På grundlag af disse præmisser

udtaler og bestemmer

RETTEN (Sjette Udvidede Afdeling):

Tvistens baggrund og de faktiske omstændigheder efter søgsmålets anlæggelse

Parternes påstande

Retlige bemærkninger

Indledende betragtninger om beskyttelse af personoplysninger i Unionens institutioner, organer, kontorer og agenturer

Formaliteten

Formaliteten vedrørende annullationspåstanden

Formaliteten vedrørende passivitetspåstanden

Om erstatningspåstanden

Indledende betragtninger om betingelserne for, at Unionen kan ifalde ansvar uden for kontraktforhold inden for rammerne af forordning 2018/1725

Det første erstatningskrav om erstatning for ikke-økonomisk skade som følge af tilsidesættelse af retten til indsigt i oplysninger

Det andet erstatningskrav om erstatning for den ikke-økonomiske skade, der er lidt som følge af de omtvistede overførsler

– Indledende bemærkninger om bestemmelserne om overførsel af personoplysninger til et tredjeland

– Om Amazon CloudFront-tjenestens funktion inden for rammerne af konferencens websted

– Den omtvistede overførsel i forbindelse med besøget på konferencens websted den 30. marts 2022

– Den omtvistede overførsel i forbindelse med besøgene på konferencens websted den 8. juni 2022

– Den omtvistede overførsel ved tilslutningen via EU Login den 30. marts 2022

Sagsomkostninger