Concluziile avocatului general M. Szpunar prezentate la 18 septembrie 2025.###

Atunci când ordinea juridică conferă unui particular un drept subiectiv, exercitarea acestui drept trebuie, în principiu, să fie considerată licită. Cu toate acestea, dacă modul în care este exercitat acest drept nu poate fi conciliat cu obiectivele dispoziției care îl consacră, ordinea juridică poate impune limite, printre altele, prin mecanismul abuzului de drept ( 2 ).

În aceeași ordine de idei, există în dreptul Uniunii un principiu general de drept, potrivit căruia justițiabilii nu se pot prevala în mod fraudulos sau abuziv de normele dreptului Uniunii, care se aplică și în raporturile de drept privat ( 3 ).

Prezenta cauză privește o expresie specifică a acestui principiu în dreptul derivat și în special în cadrul private enforcement al Regulamentului (UE) 2016/679 ( 4 ) (denumit în continuare „RGPD”). Curtea este invitată să precizeze în special limitele exercitării dreptului de acces și a dreptului la despăgubiri pe care o persoană vizată le invocă, în mod pretins abuziv, împotriva unei întreprinderi de drept privat în calitate de operator.

Considerentele (10), (11), (60), (63), (141) și (146) ale RGPD au următorul cuprins: „(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. […] (11) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal […] […] (60) Conform principiilor prelucrării echitabile și transparente, persoana vizată este informată cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia. Operatorul ar trebui să furnizeze persoanei vizate orice informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă, ținând seama de circumstanțele specifice și de contextul în care sunt prelucrate datele cu caracter personal. […] […] (63) O persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. […] Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele, dacă este posibil perioada pentru care se prelucrează datele cu caracter personal, destinatarii datelor cu caracter personal, logica de prelucrare automată a datelor cu caracter personal și, cel puțin în cazul în care se bazează pe crearea de profiluri, consecințele unei astfel de prelucrări. […] […] (141) Orice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o singură autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, precum și dreptul la o cale de atac eficientă în conformitate cu articolul 47 din [Carta drepturilor fundamentale a Uniunii Europene], în cazul în care persoana vizată consideră că drepturile sale în temeiul prezentului regulament sunt încălcate. […] […] (146) Operatorul sau persoana împuternicită de operator ar trebui să plătească despăgubiri pentru orice prejudiciu pe care o persoană îl poate suferi ca urmare a unei prelucrări care încalcă prezentul regulament. Operatorul sau persoana împuternicită de operator ar trebui să fie exonerați de răspundere dacă dovedesc că nu sunt în niciun fel răspunzători pentru prejudiciu. Conceptul de prejudiciu ar trebui interpretat în sens larg, din perspectiva jurisprudenței Curții de Justiție, într-un mod care să reflecte pe deplin obiectivele prezentului regulament. […] Persoanele vizate ar trebui să primească despăgubiri integrale și eficace pentru prejudiciul pe care l-au suferit. […]”

Articolul 4 punctul 2 din acest regulament definește noțiunea de „prelucrare” ca fiind „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea”.

Articolul 12 din regulamentul menționat, intitulat „Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate”, prevede la alineatele (1) și (5): „(1) Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare […]. […] (5) Informațiile furnizate în temeiul articolelor 13 și 14 și orice comunicare și orice măsuri luate în temeiul articolelor 15-22 și 34 sunt oferite gratuit. În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate: (a) fie să perceapă o taxă rezonabilă ținând cont de costurile administrative pentru furnizarea informațiilor sau a comunicării sau pentru luarea măsurilor solicitate; (b) fie să refuze să dea curs cererii. În aceste cazuri, operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii. […]”

Articolul 15 din același regulament, intitulat „Dreptul de acces al persoanei vizate”, prevede la alineatul (1): „Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective […]”

Articolul 57 din RGPD, intitulat „Sarcini”, prevede la alineatul (4): „În cazul în care cererile sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, autoritatea de supraveghere poate percepe o taxă rezonabilă, bazată pe costurile administrative, sau poate refuza să le trateze. Sarcina de a demonstra caracterul evident nefondat sau excesiv al cererii revine autorității de supraveghere.”

Articolul 79 din acest regulament, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau unei persoane împuternicite de operator”, prevede la alineatul (1): „Fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta prezentul regulament. […]”

Articolul 80 din regulamentul menționat, intitulat „Reprezentarea persoanelor vizate”, prevede la alineatul (2): „Statele membre pot prevedea că orice organism, organizație sau asociație menționată la alineatul (1) din prezentul articol, independent de mandatul unei persoanei vizate, are dreptul de a depune în statul membru respectiv o plângere la autoritatea de supraveghere care este competentă în temeiul articolului 77 și de a exercita drepturile menționate la articolele 78 și 79, în cazul în care consideră că drepturile unei persoane vizate în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării.”

Articolul 82 din același regulament, intitulat „Dreptul la despăgubiri și răspunderea”, prevede la alineatele (1)-(3): „(1) Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit. (2) Orice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă prezentul regulament. Persoana împuternicită de operator este răspunzătoare pentru prejudiciul cauzat de prelucrare numai în cazul în care nu a respectat obligațiile din prezentul regulament care revin în mod specific persoanelor împuternicite de operator sau a acționat în afara sau în contradicție cu instrucțiunile legale ale operatorului. (3) Operatorul sau persoana împuternicită de operator este exonerat(ă) de răspundere în temeiul alineatului (2) dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul.”

În luna martie a anului 2023, TC, pârâtul din litigiul principal, un particular care locuiește în Viena (Austria), s‑a abonat la newsletter‑ul Brillen Rottler GmbH & Co. KG (denumită în continuare „Brillen Rottler”), o întreprindere familială de optică medicală cu sediul în Arnsberg (Germania). El a introdus datele sale cu caracter personal în formularul de înregistrare care figurează pe site‑ul internet al întreprinderii și a consimțit la prelucrarea acestor date. 13 zile mai târziu, pârâtul din litigiul principal a adresat Brillen Rottler o cerere de acces în temeiul articolului 15 din RGPD.

Brillen Rottler a respins această cerere în termen, considerând‑o abuzivă potrivit articolului 12 alineatul (5) a doua teză din RGPD, și l‑a somat pe pârâtul din litigiul principal să renunțe definitiv la cererea respectivă. Acesta și‑a menținut cererea de acces și a anexat la aceasta o cerere de despăgubiri, în temeiul articolului 82 din regulamentul menționat, care se ridicau la suma de 1000 de euro.

Brillen Rottler a sesizat instanța de trimitere cu o cerere prin care solicita să se constate că pârâtul din litigiul principal nu avea dreptul să solicite o despăgubire. Aceasta a arătat că din diverse relatări online și articole de pe blogurile unor avocați reieșea că pârâtul din litigiul principal introducea în mod sistematic și abuziv cereri de acces cu unicul scop de a obține despăgubiri invocând o încălcare a RGPD pe care o provoca în mod deliberat potrivit aceluiași modus operandi: se înscria la newsletter, introducea mai întâi o cerere de acces și ulterior o cerere de despăgubiri.

La 25 septembrie 2023, pârâtul a formulat o cerere reconvențională în fața instanței de trimitere prin care solicita obligarea Brillen Rottler să îi acorde acces la informațiile referitoare la prelucrarea datelor sale și să îi plătească o despăgubire în temeiul articolului 82 din RGPD pentru prejudiciul moral suferit. El a susținut că dreptul de acces pe care i‑l conferă articolul 15 din acest regulament poate fi exercitat în mod necondiționat și că el vizita în mod regulat Germania, astfel încât avea un interes legitim să se înscrie la newsletter‑ul Brillen Rottler.

Instanța de trimitere consideră că, având în vedere principiul transparenței prelucrării datelor cu caracter personal, o limitare a dreptului de acces în cazul unei prime cereri ar trebui să rămână excepțională, iar faptul că intenția reclamantului este de a putea obține ulterior despăgubiri pentru prejudiciul suferit nu poate constitui un motiv de refuz suficient. Potrivit instanței respective, ținând seama de riscul ca operatorul să poată abuza de această posibilitate de refuz, recurgerea la informații publice care demonstrează că persoana vizată este autorul a numeroase cereri nu poate fi suficientă, în sine, pentru a justifica respingerea cererii de acces.

În ceea ce privește dreptul la despăgubiri, instanța de trimitere apreciază că orice încălcare a RGPD de către operator este de natură să genereze un drept la despăgubiri chiar și în lipsa unei prelucrări a datelor. Prin urmare, persoana vizată ar putea avea de asemenea un drept la despăgubiri, în temeiul articolului 82 alineatul (1) din RGPD, pentru încălcarea dreptului său de acces.

În acest context, Amtsgericht Arnsberg (Tribunalul Districtual din Arnsberg, Germania) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: „1) Articolul 12 alineatul (5) a doua teză din [RGPD] trebuie interpretat în sensul că o cerere de acces din partea persoanei vizate nu poate fi considerată excesivă atunci când este adresată pentru prima dată operatorului? 2) Articolul 12 alineatul (5) a doua teză din RGPD trebuie interpretat în sensul că operatorul poate respinge cererea de acces a persoanei vizate atunci când persoana vizată formulează cererea respectivă cu intenția de a deschide în favoarea sa drepturi la despăgubire față de operator? 3) Articolul 12 alineatul (5) a doua teză din RGPD trebuie interpretat în sensul că informațiile accesibile publicului referitoare la persoana vizată, din care se poate trage concluzia că aceasta invocă în numeroase cazuri drepturi la despăgubire față de operator pentru încălcări ale regimului de protecție a datelor, pot justifica refuzul accesului? 4) Articolul 4 punctul 2 din RGPD trebuie interpretat în sensul că cererea de acces a unei persoane vizate adresată operatorului în conformitate cu articolul 15 alineatul (1) din RGPD și/sau răspunsul la aceasta constituie o prelucrare în sensul articolului 4 punctul 2 din RGPD? 5) Articolul 82 alineatul (1) din RGPD, citit în lumina considerentului (146) prima teză al RGPD, trebuie interpretat în sensul că pot fi reparate numai prejudiciile pe care persoana vizată le suferă sau le‑a suferit ca urmare a unei prelucrări? Acest lucru înseamnă că pentru a avea dreptul la despăgubire în temeiul articolului 82 alineatul (1) din RGPD – presupunând că există o legătură de cauzalitate cu prejudiciul suferit de persoana vizată – este necesar să fi existat neapărat o prelucrare a datelor cu caracter personal ale persoanei vizate? 6) În cazul unui răspuns afirmativ la cea de a cincea întrebare: acest lucru înseamnă că persoana vizată – presupunând că există o legătură de cauzalitate cu prejudiciul suferit de persoana vizată – nu are dreptul la despăgubire în conformitate cu articolul 82 alineatul (1) din RGPD pentru simpla încălcare a dreptului său de acces prevăzut la articolul 15 alineatul (1) din RGPD? 7) Articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că, în lumina dreptului Uniunii, faptul că persoana vizată a determinat prelucrarea datelor sale cu caracter personal numai sau, printre altele, pentru a invoca drepturi la despăgubire nu poate fi invocat de operator pentru a se opune unei cereri de acces a persoanei vizate în temeiul unui abuz de drept? 8) În cazul unui răspuns negativ la cea de a cincea și la cea de a șasea întrebare: simpla pierdere a controlului și/sau incertitudinea privind prelucrarea datelor cu caracter personal ale persoanei vizate pe care le implică o încălcare a articolului 15 alineatul (1) din RGPD constituie un prejudiciu moral pentru persoana vizată în sensul articolului 82 alineatul (1) din RGPD sau este în plus necesară o restricționare suplimentară (obiectivă sau subiectivă) și/sau o afectare suplimentară (substanțială) a persoanei vizate?”

Brillen Rottler, pârâtul din litigiul principal, precum și Comisia Europeană au depus observații scrise și au participat la ședința care a avut loc la 5 iunie 2025.

În conformitate cu solicitarea Curții, prezentele concluzii se vor concentra pe analiza primelor șapte întrebări preliminare.

Prin intermediul primelor trei întrebări, care, în opinia noastră, pot fi analizate împreună, instanța de trimitere urmărește să afle în esență dacă o primă cerere de acces poate fi calificată drept „excesivă”, în sensul articolului 12 alineatul (5) a doua teză din RGPD, atunci când persoana vizată a formulat‑o cu intenția de a obține apoi despăgubiri de la operator, iar din informațiile accesibile publicului se poate trage concluzia că persoana vizată a invocat în numeroase cazuri drepturi la despăgubire față de operator pentru încălcări ale regimului de protecție a datelor.

Prin intermediul celei de a șaptea întrebări, această instanță solicită în esență să se stabilească dacă articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că faptul că persoana vizată a determinat prelucrarea datelor sale cu caracter personal numai sau, printre altele, pentru a invoca drepturi la despăgubire nu poate fi invocat de operator pentru a se opune unei cereri de acces a persoanei vizate în temeiul unui abuz de drept.

Deși această întrebare vizează în mod formal interpretarea articolului 82 alineatul (1) din RGPD, apreciem că ea nu are ca obiect interpretarea condițiilor dreptului la despăgubiri, consacrat la această dispoziție. Astfel, ea nu face referire la niciuna dintre aceste condiții, spre deosebire de întrebările preliminare a patra, a cincea, a șasea și a opta care privesc tocmai dispoziția menționată. Așa cum a fost formulată, a șaptea întrebare preliminară urmărește, în opinia noastră, să se clarifice dacă un operator poate să invoce caracterul excesiv al unei cereri de acces, în sensul articolului 12 alineatul (5) a doua teză din acest regulament, atunci când intenția persoanei vizate este de „a determina” prelucrarea datelor sale pentru a formula cereri de despăgubiri.

În consecință, este necesar să se considere că, prin intermediul celei de a șaptea întrebări, instanța de trimitere vizează „modul de operare” invocat de Brillen Rottler împotriva pârâtului din litigiul principal, și anume faptul de a‑și da consimțământul pentru prelucrarea datelor sale înscriindu‑se la newsletter pentru a putea să introducă o cerere de acces și de a formula ulterior o cerere de despăgubiri. Din această perspectivă, întrebarea menționată privește interpretarea articolului 12 alineatul (5) a doua teză din RGPD, vizată de primele trei întrebări preliminare.

Prin urmare, propunem să se analizeze împreună prima, a doua, a treia și a șaptea întrebare preliminară ca urmărind să se stabilească dacă articolul 12 alineatul (5) a doua teză din RGPD trebuie interpretat în sensul că o primă cerere de acces, introdusă în temeiul articolului 15 din acest regulament la un operator, poate fi calificată drept „excesivă” atunci când: – persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale pentru a putea să introducă această cerere de acces și să formuleze ulterior o cerere de despăgubiri; – din informațiile accesibile publicului se poate trage concluzia că persoana vizată a invocat în numeroase cazuri drepturi la despăgubire față de operator pentru încălcări ale regimului de protecție a datelor.

În temeiul articolului 12 alineatul (5) prima teză din RGPD, „[i]nformațiile furnizate în temeiul articolelor 13 și 14 și orice comunicare și orice măsuri luate în temeiul articolelor 15-22 și 34 sunt oferite gratuit”. Astfel cum a arătat Curtea în Hotărârea FT (Copii din registrul medical) ( 5 ), această dispoziție stabilește principiul potrivit căruia exercitarea, printre altele, a dreptului de acces al persoanei vizate la datele sale care fac obiectul prelucrării și la informațiile aferente, în temeiul articolului 15 din acest regulament, nu presupune suportarea vreunei taxe de către persoana vizată.

Articolul 12 alineatul (5) a doua și a treia teză din RGPD prevede în continuare două motive pentru care un operator poate fie să factureze o taxă rezonabilă ținând cont de costurile administrative, fie să refuze să dea curs unei cereri de acces: atunci când acesta demonstrează că cererile persoanei vizate sunt „în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv”.

Reiese astfel din modul de redactare a acestei dispoziții că o cerere de acces poate fi „excesivă” nu numai în cazul depunerii mai multor cereri, întrucât caracterul repetitiv este indicat doar cu titlu indicativ.

Prin urmare, deși nu se poate exclude, în opinia noastră, posibilitatea ca o primă cerere de acces să fie considerată excesivă, împărtășim totuși opinia instanței de trimitere potrivit căreia un operator se poate prevala de un asemenea caracter excesiv doar cu titlu excepțional.

În primul rând, în măsura în care a doua teză a alineatului (5) al articolului 12 din RGPD instituie o excepție de la principiul gratuității exercitării dreptului de acces, posibilitatea operatorului de a factura o taxă rezonabilă sau de a refuza să dea curs unei cereri de acces trebuie interpretată, potrivit unui principiu general de interpretare ( 6 ), în mod strict ( 7 ).

În al doilea rând, amintim importanța fundamentală pe care o are dreptul de acces prevăzut la articolul 15 din RGPD pentru a asigura transparența modalităților de prelucrare a datelor cu caracter personal și, prin urmare, exercitarea a numeroase alte drepturi acordate persoanelor vizate de acest regulament ( 8 ). În plus, articolul 8 alineatul (2) a doua teză din Carta drepturilor fundamentale consacră principiul potrivit căruia „[o]rice persoană are dreptul de acces la datele colectate care o privesc, precum și dreptul de a obține rectificarea acestora”. Prin urmare, exercitarea dreptului de acces nu poate fi supusă unor condiții prea stricte ( 9 ).

Astfel, dreptul de acces este necesar pentru a‑i permite persoanei vizate să își exercite, dacă este cazul, dreptul la rectificare, dreptul la ștergerea datelor („dreptul de a fi uitat”) și dreptul la restricționarea prelucrării, care sunt recunoscute la articolele 16, 17 și, respectiv, 18 din RGPD, dreptul la opoziție la prelucrarea datelor sale cu caracter personal prevăzut la articolul 21 din acest regulament, precum și dreptul la o cale de atac și dreptul la despăgubiri, prevăzute la articolele 79 și, respectiv, 82 din regulamentul menționat ( 10 ).

În al treilea rând, caracterul excepțional al posibilității de a factura o taxă rezonabilă sau de a refuza să dea curs unei cereri de acces în temeiul articolului 12 alineatul (5) a doua teză din RGPD este, în opinia noastră, conform cu finalitatea acestui regulament. Așa cum se menționează în considerentele (10) și (11) ale regulamentului menționat, acesta are ca finalitate asigurarea unui nivel coerent și ridicat de protecție a persoanelor fizice în cadrul Uniunii, precum și consolidarea și clarificarea nu numai a drepturilor persoanelor vizate ( 11 ), ci și a obligațiilor celor care efectuează și determină prelucrarea datelor cu caracter personal.

Având în vedere cele ce precedă, apreciem că criteriile pentru calificarea unei prime cereri de acces drept „excesivă” trebuie să fie exigente.

Din Hotărârea FT ( 12 ) reiese că cele două motive care instituie o excepție de la principiul gratuității, printre altele, a exercitării dreptului de acces au legătură cu cazuri de „abuz de drept”.

Curtea nu a precizat însă domeniul de aplicare al acestei noțiuni în hotărârea menționată. Astfel, în această cauză era cert că cererea de acces formulată de persoana vizată nu era abuzivă ( 13 ).

Hotărârea FT avea drept context cererea unui pacient prin care acesta urmărea să obțină gratuit, din partea medicului său stomatolog, o primă copie a registrului său medical în vederea angajării răspunderii acestui medic având în vedere pretinse erori săvârșite în cadrul tratamentului medical ( 14 ). Prin urmare, intenția absolut legitimă a pacientului era de a obține acces la datele sale pentru a fi în măsură să exercite, dacă era cazul, drepturile care decurgeau din contractul privind tratamentul medical în cazul unor erori medicale. În acest context, Curtea a constatat, pe baza unei interpretări literale, contextuale și teleologice a articolului 12 alineatul (5) și a articolului 15 din RGPD, lipsa necesității de a invoca unul dintre motivele specifice care justifică cererea de acces menționate în considerentul (63) prima teză al acestui regulament, și anume de a fi informat cu privire la prelucrarea datelor și de a verifica legalitatea acesteia ( 15 ).

Prin urmare, deși persoana vizată nu poate fi obligată să își motiveze cererea de acces, aceasta nu înseamnă că luarea în considerare a intenției sale este întotdeauna exclusă.

Astfel, în Hotărârea Österreichische Datenschutzbehörde, Curtea a statuat, întemeindu‑se pe o interpretare literală, contextuală și teleologică a articolului 57 alineatul (4) din RGPD, că constatarea existenței unor plângeri excesive necesită să se demonstreze, având în vedere ansamblul împrejurărilor relevante ale fiecărui caz, o intenție abuzivă din partea persoanei care sesizează autoritatea de supraveghere ( 16 ).

Observăm că articolul 57 alineatul (4) și articolul 12 alineatul (5) a doua teză din RGPD au același mod de redactare și urmăresc același obiectiv, și anume de a prevedea o excepție de la principiul gratuității sarcinilor îndeplinite de autoritățile de supraveghere și, respectiv, a exercitării, printre altele, a dreptului de acces de către persoana vizată. În consecință, apreciem că interpretarea care figurează la punctul precedent se aplică prin analogie acestei din urmă dispoziții ( 17 ).

Rezultă că, pentru a recurge la posibilitatea oferită, la articolul 12 alineatul (5) a doua teză din RGPD, de a refuza să dea curs unei cereri de acces excesive – sau, după caz, de a solicita o taxă rezonabilă –, operatorul trebuie să demonstreze, în conformitate cu a treia teză a acestei dispoziții, având în vedere ansamblul împrejurărilor relevante ale fiecărei cereri, o intenție abuzivă din partea persoanei vizate.

Abuzul de drept este un mecanism care operează în împrejurările date ale cauzei. Astfel, va reveni instanței de trimitere sarcina de a verifica dacă, ținând seama de împrejurările în discuție în speță, Brillen Rottler a dovedit caracterul excesiv al cererii de acces formulate de pârâtul din litigiul principal ( 18 ).

În schimb, sarcina interpretativă a Curții constă în a preciza dacă anumite împrejurări se încadrează în noțiunea juridică generică de „caracter excesiv”.

Concret, instanța de trimitere solicită să se stabilească dacă o primă cerere de acces poate fi considerată excesivă atunci când, pe de o parte, persoana vizată urmează un „mod de operare” care constă în autorizarea prelucrării datelor sale și în formularea ulterioară a unei cereri de acces numai – sau printre altele – în scopul susținerii unor cereri de despăgubiri și atunci când, pe de altă parte, din informațiile accesibile publicului se poate trage concluzia că persoana vizată a invocat în numeroase cazuri drepturi la despăgubire față de operator pentru încălcări ale regimului de protecție a datelor.

În această privință, Curtea a arătat, în Hotărârea Österreichische Datenschutzbehörde, că articolul 57 alineatul (4) din RGPD reflectă jurisprudența constantă cu privire la principiul general de drept în virtutea căruia justițiabilii nu se pot prevala în mod fraudulos sau abuziv de normele Uniunii ( 19 ). Această jurisprudență prevede o examinare în două etape care impune, pentru stabilirea existenței unei practici abuzive, întrunirea unui element obiectiv și a unui element subiectiv ( 20 ). Or, astfel cum am avut deja ocazia să arătăm ( 21 ), atunci când scopul urmărit de reglementarea Uniunii este a priori atins, este oportun să începem analiza nu cu elementul obiectiv, ci cu elementul subiectiv și, prin urmare, să stabilim intenția persoanei vizate. Dat fiind că articolul 15 din RGPD urmărește să garanteze accesul la datele care fac obiectul unei prelucrări și la informațiile aferente, acest obiectiv pare să fie atins, în speță, a priori, în măsura în care pârâtul din litigiul principal a formulat o cerere de acces la datele prelucrate în urma înscrierii sale la newsletter‑ul Brillen Rottler.

În Hotărârea Österreichische Datenschutzbehörde, Curtea a arătat, pentru a interpreta noțiunea de „caracter excesiv” al unei plângeri, că se poate constata o intenție abuzivă în exercitarea dreptului de a depune o plângere „atunci când o persoană depune plângeri fără ca acest lucru să fie necesar din punct de vedere obiectiv pentru protecția drepturilor pe care le are în temeiul [RGPD]” ( 22 ). Atunci când o persoană vizată formulează un număr mare de plângeri în fața autorității de supraveghere, aceasta trebuie să demonstreze că „acest număr se explică nu prin voința persoanei vizate de a obține o protecție a drepturilor pe care le are în temeiul RGPD, ci printr‑un alt scop, fără legătură cu acea protecție” ( 23 ).

Revenind la dreptul de acces și, în primul rând, la intenția persoanei vizate de a „determina” un drept la despăgubiri prin formularea unei cereri de acces, arătăm, astfel cum reiese din considerentul (63) al RGPD, că poate fi pe deplin legitim și conform cu obiectivele urmărite de articolul 15 din RGPD să se formuleze, de exemplu, o cerere de acces cu intenția de a verifica dacă operatorul a prelucrat datele în mod ilegal ( 24 ). În plus, după cum reiese din cuprinsul punctului 32 din prezentele concluzii, dreptul de acces este necesar pentru a permite persoanei vizate să își exercite de asemenea, dacă este cazul, dreptul la despăgubiri.

În al doilea rând, observăm că motivarea celei de a șaptea întrebări preliminare, în ceea ce privește intenția persoanei vizate de a „determina” o prelucrare a datelor sale cu caracter personal numai – sau printre altele – în scopul de a obține despăgubiri, este foarte succintă. Această motivare face mai degrabă aluzie la ipoteza potrivit căreia intenția reală a persoanei vizate care își dă consimțământul pentru prelucrarea datelor sale ar fi de a „detecta” o încălcare a RGPD prin formularea unei cereri de acces în scopul de a formula ulterior cereri de despăgubiri.

În opinia noastră, având în vedere această ipoteză, se pare că, prin formularea unei cereri de acces după ce și‑a dat consimțământul pentru prelucrarea datelor sale, persoana vizată nu dorește, în realitate, să aibă acces la aceste date sau la informațiile menționate la articolul 15 din RGPD, ci să instrumentalizeze configurația – de la bun început favorabilă persoanelor vizate – a drepturilor și obligațiilor care decurg din acest regulament în alte scopuri decât protecția datelor sale.

Aceasta poate fi situația în special atunci când intenția persoanei vizate este tocmai de a determina operatorul să respingă cererea de acces pentru a solicita din partea sa plata imediată a unei despăgubiri, eventual sub amenințarea introducerii unei acțiuni în justiție având ca obiect solicitarea unor despăgubiri. Ținând seama de aceste împrejurări, o astfel de intenție ar fi, în opinia noastră, abuzivă și nu ar trebui să fie protejată de RGPD. Exemplele de cazuri de acțiuni abuzive menționate în Orientările Comitetului european pentru protecția datelor merg de asemenea în acest sens ( 25 ).

În al treilea rând, în ceea ce privește împrejurarea potrivit căreia din informațiile accesibile publicului se poate trage concluzia că persoana vizată a invocat în numeroase cazuri drepturi la despăgubire față de operator pentru încălcări ale regimului de protecție a datelor, apreciem că aceasta nu este suficientă, în sine, în lipsa altor elemente, pentru a demonstra o intenție abuzivă. Articolul 82 din RGPD conferă tocmai dreptul de a solicita despăgubiri pentru prejudiciul suferit în prezența unei încălcări a acestui regulament, astfel încât exercitarea acestui drept nu poate fi prezumată abuzivă.

De asemenea observăm că, în Hotărârea Österreichische Datenschutzbehörde, Curtea a considerat că factorul cantitativ al cererilor nu este, în sine, un criteriu suficient pentru a stabili un caracter „excesiv”. Curtea a ajuns la această concluzie prin efectuarea unei interpretări a acestei noțiuni care ia în considerare contextul specific al sarcinilor exercitate de autoritățile de supraveghere pentru a asigura un nivel ridicat de protecție a datelor cu caracter personal ( 26 ). Prin urmare, în opinia noastră, împrejurările obiective care trebuie luate în considerare nu sunt aceleași pentru plângeri și pentru cereri de acces, acestea din urmă nefiind adresate autorității de supraveghere.

În această privință, observăm că operatorul trebuie să demonstreze o intenție abuzivă în cazul unui litigiu în fața unei instanțe sau în cazul unei plângeri în fața autorității de supraveghere, cu alte cuvinte după ce a refuzat să dea curs cererii persoanei vizate. Operatorul trebuie însă să evalueze dacă intenția persoanei care formulează o cerere de acces este, eventual, abuzivă în etapa formulării cererii de acces de către persoana vizată.

Astfel, pentru a demonstra în raport cu ansamblul împrejurărilor relevante ale speței intenția abuzivă a persoanei vizate, operatorul ar trebui să se poată întemeia în special pe obiectul cererii de acces, pe timpul scurs între consimțământul pentru prelucrare și această cerere, pe numărul și natura datelor cu caracter personal vizate de cererea menționată, precum și pe activitatea în cadrul căreia prelucrează, dacă este cazul, aceste date ( 27 ).

Având în vedere considerațiile care precedă, propunem să se răspundă la prima, a doua, a treia și a șaptea întrebare preliminară că articolul 12 alineatul (5) a doua teză din RGPD trebuie interpretat în sensul că: – o primă cerere de acces, introdusă în temeiul articolului 15 din RGPD la un operator, poate fi calificată drept „excesivă” atunci când acesta demonstrează, ținând seama de ansamblul împrejurărilor relevante ale speței, o intenție abuzivă din partea persoanei vizate, o astfel de intenție putând fi constatată atunci când această persoană și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru a putea să introducă această cerere de acces și să formuleze ulterior o cerere de despăgubiri; – nu este suficient, pentru a califica o astfel de cerere drept „excesivă”, simplul fapt că din informațiile accesibile publicului se poate trage concluzia că persoana vizată a invocat în numeroase cazuri drepturi la despăgubire față de operator pentru încălcări ale regimului de protecție a datelor.

Subliniem de la bun început că, în cazul în care instanța de trimitere ar concluziona că cererea de acces era excesivă, în sensul articolului 12 alineatul (5) a doua teză din RGPD, Brillen Rottler ar avea într‑adevăr dreptul de a nu da curs cererii respective. În acest caz, argumentul pârâtului din litigiul principal întemeiat pe încălcarea articolului 15 din RGPD pentru a obține un drept la despăgubiri în temeiul articolului 82 din acest regulament nu poate fi admis.

Acestea fiind spuse, prin intermediul celei de a patra întrebări, instanța de trimitere urmărește să afle dacă articolul 4 punctul 2 din RGPD trebuie interpretat în sensul că cererea de acces adresată de persoana vizată operatorului în conformitate cu articolul 15 alineatul (1) din regulamentul respectiv și/sau răspunsul la această cerere constituie o „prelucrare” în sensul articolului 4 punctul 2 din regulamentul menționat.

Prin intermediul celei de a cincea întrebări, această instanță solicită în esență să se stabilească dacă articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că pot fi reparate numai prejudiciile pe care persoana vizată le suferă sau le‑a suferit ca urmare a unei prelucrări a datelor sale cu caracter personal. În cazul unui răspuns afirmativ, instanța menționată urmărește să afle, prin intermediul celei de a șasea întrebări, dacă persoana vizată nu are dreptul la despăgubire pentru prejudiciul suferit în conformitate cu articolul 82 alineatul (1) din acest regulament pentru simpla încălcare a dreptului său de acces prevăzut la articolul 15 alineatul (1) din regulamentul menționat.

În ceea ce privește a cincea întrebare preliminară, aceasta constituie, în opinia noastră, premisa celei de a patra și a celei de a șasea întrebări preliminare. Astfel, numai în ipoteza în care răspunderea pentru prejudiciu în temeiul articolului 82 alineatul (1) din RGPD este subordonată condiției ca acest prejudiciu să fi fost suferit „ca urmare” a unei prelucrări, așa cum este definită la articolul 4 punctul 2 din acest regulament, trebuie să se clarifice dacă, în cazul încălcării dreptului de acces consacrat la articolul 15 alineatul (1) din regulamentul menționat, această condiție este îndeplinită.

Prin urmare, vom analiza mai întâi a cincea întrebare preliminară și ulterior, dacă este cazul, întrebările preliminare a patra și a șasea împreună, pentru a stabili dacă articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că un prejudiciu suferit ca urmare a unei încălcări a dreptului de acces este „cauzat de o prelucrare” a datelor.

Potrivit articolului 82 alineatul (1) din RGPD, „[o]rice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit” ( 28 ).

Curtea a interpretat în mod repetat această dispoziție în sensul că simpla încălcare a RGPD nu este suficientă pentru a conferi un drept la despăgubiri persoanei vizate în acest temei, din moment ce acest drept este supus îndeplinirii a trei condiții cumulative, și anume existența unui „prejudiciu” material sau moral, o încălcare a dispozițiilor acestui regulament și o legătură de cauzalitate între acest prejudiciu și această încălcare ( 29 ).

Instanța de trimitere are însă îndoieli în ceea ce privește considerentul (146) al RGPD, care enunță că operatorul sau persoana împuternicită de operator ar trebui să plătească despăgubiri pentru orice prejudiciu pe care o persoană îl poate suferi ca urmare a unei prelucrări care încalcă acest regulament. Trebuie să se constate că, astfel cum se întâmplă adesea ( 30 ), acest considerent se reflectă de asemenea în însuși textul regulamentului menționat, și anume în articolul 82 alineatul (2) din acesta, care prevede printre altele că orice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă același regulament.

În plus, alineatul (3) al acestei dispoziții prevede că operatorul sau persoana împuternicită de operator, după caz, este exonerat(ă) de răspunderea sa în temeiul alineatului (2) dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul.

Într‑adevăr, interpretarea acestor dispoziții nu este lipsită de dificultăți de înțelegere în ceea ce privește relația dintre ele și domeniul de aplicare al articolului 82 din RGPD.

Ținând seama de modul de redactare a articolului 82 din RGPD, s‑ar putea înțelege că, spre deosebire de ceea ce prevede alineatul (1) al acestui articol, nu orice încălcare a acestui regulament dă naștere unui drept la despăgubiri pentru prejudiciul cauzat de această încălcare, ci că prejudiciul trebuie, mai precis, să fi fost cauzat de o prelucrare a datelor contrară acestui regulament, astfel cum prevede alineatul (2) al aceluiași articol.

Considerăm că această interpretare este cea reținută de Curte în mai multe hotărâri, începând cu Hotărârea Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal) ( 31 ). Totuși, precizăm că, în cauzele în care s‑au pronunțat aceste hotărâri, avusese loc efectiv o prelucrare a datelor persoanelor vizate, astfel încât problema necesității unei prelucrări care să fi cauzat prejudiciul nu era relevantă.

Or, istoricul, obiectivele și contextul articolului 82 din RGPD militează, în opinia noastră, împotriva unei interpretări restrictive a noțiunii de „eveniment care a cauzat” prejudiciul ca fiind o prelucrare a datelor contrară regulamentului respectiv, iar nu orice încălcare a acestuia.

În primul rând, observăm că dispoziția corespunzătoare din Directiva 95/46/CE ( 32 ), și anume articolul 23 din aceasta, impunea statelor membre să prevadă că orice persoană care a suferit prejudicii ca urmare a unei prelucrări ilegale sau a oricărei acțiuni incompatibile cu dispozițiile de drept intern adoptate în temeiul respectivei directive are dreptul să obțină reparații de la operator pentru prejudiciul suferit.

Astfel, legiuitorul Uniunii, la articolul 82 din RGPD, pe de o parte, a precizat natura prejudiciului suferit (material sau moral) și, pe de altă parte, a introdus răspunderea persoanei împuternicite de operator, care nu figura la articolul 23 din Directiva 95/46.

Or, dacă articolul 82 alineatul (1) din RGPD ar fi interpretat în sensul indicat la punctul 66 din prezentele concluzii, aceasta ar implica faptul că legiuitorul Uniunii a restrâns, în raport cu directiva menționată, întinderea răspunderii pentru prejudiciu în RGPD doar la actul ilegal care constă într‑o prelucrare a datelor cu încălcarea acestui regulament. Or, apreciem că, dacă legiuitorul ar fi intenționat să reducă nivelul de protecție a datelor în cadrul private enforcement în temeiul regulamentului menționat, acest lucru s‑ar reflecta mai clar în însuși textul acestuia din urmă.

În al doilea rând, compromiterea nivelului de protecție ar fi contrară obiectivului RGPD de a consolida și de a stabili în detaliu drepturile persoanelor vizate, în special prin consolidarea instrumentelor pentru a asigura eficacitatea dispozițiilor acestui regulament ( 33 ).

Prin urmare, istoricul și obiectivul reglementării din care face parte articolul 82 din RGPD pledează, în opinia noastră, în favoarea unei interpretări a alineatului (2) al acestui articol nu ca o limitare a alineatului (1), ci ca o normă complementară. Astfel, considerăm că există un drept la despăgubiri în cazul în care prejudiciul suferit decurge fie dintr‑o prelucrare a datelor care încalcă acest regulament, fie dintr‑o altă încălcare a regulamentului menționat, cu condiția ca existența unui asemenea prejudiciu să fie demonstrată.

Această interpretare este compatibilă și cu concluzia pe care Curtea a tras‑o din interpretarea coroborată a alineatelor (1)-(3) ale articolului 82 din RGPD, în lumina contextului în care se înscrie această dispoziție și a obiectivelor urmărite de regulamentul menționat, și anume că acest articol prevede un regim de răspundere bazată pe culpă în care sarcina probei revine operatorului ( 34 ). Astfel, în măsura în care, în opinia noastră, alineatul (2) al articolului 82 din regulamentul menționat completează alineatul (1), trimiterea la acest alineat (2) de la alineatul (3), care atribuie operatorului sarcina probei, presupune în mod implicit o trimitere și la alineatul (1). Așadar, indiferent dacă prejudiciul rezultă dintr‑o încălcare a RGPD sau, mai precis, dintr‑o prelucrare contrară acestui regulament, se aplică aceleași norme.

În al treilea rând, această concluzie este susținută de faptul că Curtea a interpretat într‑un mod mai degrabă extensiv alte dispoziții din RGPD care figurează, la fel ca articolul 82 din regulamentul menționat, în capitolul VIII din acesta, intitulat „Căi de atac, răspundere și sancțiuni”, și care evocă o încălcare a drepturilor conferite de regulamentul respectiv „ca urmare a prelucrării”. În ceea ce privește articolul 80 alineatul (2) din același regulament, care reglementează calitatea procesuală activă pentru a introduce o acțiune în reprezentare independent de orice mandat încredințat de o persoană vizată, Curtea a interpretat această dispoziție în sensul că trebuie să se susțină că încălcarea drepturilor conferite de RGPD „se produce cu ocazia” unei prelucrări ( 35 ).

Pe de altă parte, articolul 79 alineatul (1) din RGPD prevede că fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul acestui regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta regulamentul menționat. Potrivit jurisprudenței Curții, modalitățile concrete de exercitare a acestei căi de atac trebuie stabilite în conformitate cu dreptul la protecție jurisdicțională efectivă ( 36 ), astfel cum reiese și din considerentul (141) al aceluiași regulament. Obiectivul protecției jurisdicționale efective a drepturilor care rezultă din RGPD militează, în opinia noastră, împotriva unei interpretări restrictive a condițiilor de exercitare a căii de atac menționate, printre care încălcarea drepturilor persoanei vizate „ca urmare a prelucrării” ( 37 ).

Având în vedere considerațiile care precedă, propunem să se răspundă la a cincea întrebare preliminară că articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că pot fi reparate prejudiciile pe care persoana vizată le suferă sau le‑a suferit ca urmare a unei încălcări a acestui regulament, chiar dacă aceste prejudicii nu au fost cauzate de o prelucrare a datelor cu caracter personal ale persoanei vizate.

Ținând seama de propunerea noastră de răspuns la a cincea întrebare preliminară, nu este necesar să se răspundă la a patra și la a șasea întrebare preliminară. Cu toate acestea, pentru cazul în care Curtea nu ar urma această interpretare și ar considera că prejudiciul trebuie să fi fost cauzat în mod necesar de o prelucrare a datelor care constituie o încălcare a RGPD, vom examina în ce măsură condiția menționată la a cincea întrebare preliminară ( 38 ) ar fi îndeplinită în cazul încălcării dreptului de acces într‑o situație precum cea din speță, pentru a oferi o propunere de răspuns la aceste două întrebări.

În primul rând, amintim că articolul 2 alineatul (1) din RGPD prevede că acest regulament se aplică „prelucrării” datelor cu caracter personal. Este consacrat faptul că această noțiune, definită la articolul 4 punctul 2 din regulamentul menționat ca fiind „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate”, are un domeniu de aplicare larg ( 39 ).

În al doilea rând, în opinia noastră, având în vedere domeniul de aplicare larg al respectivei noțiuni, în marea majoritate a cazurilor, nici măcar nu se pune problema dacă o încălcare a RGPD care atrage răspunderea, în temeiul articolului 82 din acesta, rezultă dintr‑o prelucrare a datelor cu caracter personal. Această concluzie nu este însă evidentă în ceea ce privește încălcarea dreptului de acces în temeiul articolului 15 alineatul (1) din regulamentul menționat.

Amintim că articolul 15 alineatul (1) din RGPD prevede că persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la aceste date și la informațiile enumerate la această dispoziție. În plus, considerentul (60) al acestui regulament enunță că, conform principiilor prelucrării echitabile și transparente, persoana vizată este informată cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia.

Rezultă că articolul 15 din RGPD urmărește, astfel cum susține în esență Comisia, să permită persoanei vizate să se informeze cu privire la prelucrarea al cărei obiect îl fac – sau nu – datele sale cu caracter personal din partea operatorului. Prin urmare, faptul de a adresa operatorului o cerere de acces la aceste date nu constituie o „prelucrare” care intră sub incidența regulamentului menționat, în sensul articolului 4 punctul 2 din acesta.

În al treilea rând, subliniem că prezenta cauză privește refuzul operatorului, care administrează newsletter‑ul la care s‑a înscris pârâtul din litigiul principal, de a da curs cererii de acces pe care a formulat‑o acesta din urmă. Or, pentru a răspunde (afirmativ sau negativ) la o astfel de cerere, operatorul utilizează în mod necesar anumite date cu caracter personal ale solicitantului, cel puțin o adresă fizică sau electronică sau un număr de telefon (în cazul unui răspuns prin telefon/fax) asociate cu numele său. Utilizarea acestor date constituie o operațiune de prelucrare distinctă căreia i se aplică RGPD ( 40 ).

Or, apreciem că nu prelucrarea datelor efectuată pentru a comunica acest refuz ar cauza un prejudiciu, ci refuzul nejustificat de a da curs cererii de acces.

Așa cum arată în mod întemeiat Comisia, protecția juridică a dreptului de acces, care are o importanță structurală în sistemul RGPD, ar fi, așadar, limitată în mod semnificativ dacă o asemenea încălcare a dreptului de acces nu ar putea da naștere unui drept la despăgubiri.

Prin urmare, pentru a garanta obiectivele urmărite de RPGD, enunțate la punctele 33 și 72 din prezentele concluzii, și pentru a garanta efectul util al dreptului de acces, considerăm că, deși este imperativă, condiția prevăzută la articolul 82 alineatul (2) din acest regulament, referitoare la prelucrarea care a cauzat prejudiciul, trebuie interpretată în mod extensiv. O astfel de soluție ar echivala cu a concepe o noțiune largă de cauzalitate, în sensul articolului 82 din regulamentul menționat. Un argument în favoarea acestei interpretări este că, în contextul căilor de atac, o interpretare restrictivă a condițiilor de exercitare a acestor căi de atac ar fi contrară obiectivului protecției jurisdicționale efective a drepturilor care rezultă din RGPD ( 41 ).

În ceea ce privește interpretarea pe care o propunem cu privire la termenul „eveniment care a cauzat” prejudiciul, precizăm că aceasta nu aduce atingere celorlalte condiții necesare pentru a invoca, în cazul încălcării articolului 15 din RGPD, un drept la despăgubiri în temeiul articolului 82 din acest regulament. În particular, o persoană vizată de o încălcare a RGPD este obligată să demonstreze că consecințele negative pe care le‑a suferit constituie un prejudiciu moral, în sensul articolului 82 din acest regulament, din moment ce simpla încălcare a dispozițiilor acestuia nu este suficientă pentru a conferi un drept la despăgubiri ( 42 ).

Pe de altă parte, dat fiind răspunsul pe care îl propunem la a cincea întrebare preliminară, va fi necesar să se răspundă și la a opta întrebare preliminară, care privește prejudiciul moral reparabil ca urmare a pierderii controlului asupra datelor cu caracter personal în urma încălcării articolului 15 alineatul (1) din RGPD sau a existenței unei incertitudini cu privire la eventuala prelucrare al cărei obiect l‑au făcut aceste date.

În această privință, dorim să amintim, deși a opta întrebare preliminară nu face obiectul prezentelor concluzii, că Curtea a considerat în repetate rânduri că pierderea controlului asupra unor date cu caracter personal, chiar și pentru o perioadă scurtă, poate constitui un prejudiciu moral, în sensul articolului 82 alineatul (1) din RGPD, care dă dreptul la despăgubiri, cu condiția ca persoana vizată să demonstreze că a suferit efectiv un asemenea prejudiciu ( 43 ), fără a fi necesar un „prag de minimis” ( 44 ).

Cu toate acestea, Curtea a statuat de asemenea că, în cazul în care un prejudiciu este stabilit, o instanță națională poate, atunci când acest prejudiciu nu este grav, să îl compenseze acordând persoanei vizate o despăgubire minimă, cu condiția ca această despăgubire să fie de natură să compenseze în mod integral prejudiciul suferit ( 45 ).

În speță, pârâtul din litigiul principal solicită plata unei despăgubiri de 1000 de euro pentru prejudiciul moral suferit care, în opinia sa, ar decurge din pretinsa pierdere a controlului asupra datelor cu caracter personal pe care le‑a introdus în formularul de înscriere la newsletter‑ul Brillen Rottler cu 13 zile înainte de formularea cererii de acces. Revine instanței de trimitere sarcina de a aprecia dacă pârâtul din litigiul principal a demonstrat că această eventuală încălcare a dreptului de acces a avut consecințe negative în privința sa și că aceste consecințe constituie un prejudiciu moral, în sensul articolului 82 din RGPD.

Având în vedere ansamblul considerațiilor care precedă, propunem Curții să răspundă la primele șapte întrebări preliminare adresate de Amtsgericht Arnsberg (Tribunalul Districtual din Arnsberg, Germania) după cum urmează: 1) Articolul 12 alineatul (5) a doua teză din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE trebuie interpretat în sensul că: – o primă cerere de acces, introdusă în temeiul articolului 15 din Regulamentul 2016/679 la un operator, poate fi calificată drept „excesivă” atunci când acesta demonstrează, ținând seama de ansamblul împrejurărilor relevante ale speței, o intenție abuzivă din partea persoanei vizate, care poate fi constatată atunci când această persoană și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru a putea să introducă această cerere de acces și să formuleze ulterior o cerere de despăgubiri; – nu este suficient, pentru a califica o astfel de cerere drept „excesivă”, simplul fapt că din informațiile accesibile publicului se poate trage concluzia că persoana vizată a invocat în numeroase cazuri drepturi la despăgubire față de operator pentru încălcări ale regimului de protecție a datelor. 2) Articolul 82 alineatul (1) din Regulamentul 2016/679 trebuie interpretat în sensul că pot fi reparate prejudiciile pe care persoana vizată le suferă sau le‑a suferit ca urmare a unei încălcări a acestui regulament, chiar dacă aceste prejudicii nu au fost cauzate de o prelucrare a datelor cu caracter personal ale persoanei vizate.

CONCLUZIILE AVOCATULUI GENERAL

DOMNUL MACIEJ SZPUNAR

prezentate la 18 septembrie 2025 ( 1 )