Hotărârea Curții (Camera a patra) din 19 martie 2026.#Brillen Rottler GmbH & Co. KG împotriva lui TC.#Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 12 alineatul (5) – Articolul 15 alineatul (1) – Dreptul de acces al persoanei vizate la datele cu caracter personal care o privesc – Dreptul operatorului de a refuza să dea curs cererii de acces – Caracterul excesiv al cererii – Abuz de drept – Prima cerere de acces – Dreptul la despăgubiri și răspunderea – Articolul 82 alineatul (1) – Acțiune întemeiată pe o încălcare a dreptului de acces – Prejudiciu moral – Pierderea controlului asupra datelor cu caracter personal.#Cauza C-526/24.

Cauza C-526/24

Brillen Rottler GmbH & Co. KG

împotriva

(cerere de decizie preliminară formulată de Amtsgericht Arnsberg)

Hotărârea Curții (Camera a patra) din 19 martie 2026

„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 12 alineatul (5) – Articolul 15 alineatul (1) – Dreptul de acces al persoanei vizate la datele cu caracter personal care o privesc – Dreptul operatorului de a refuza să dea curs cererii de acces – Caracterul excesiv al cererii – Abuz de drept – Prima cerere de acces – Dreptul la despăgubiri și răspunderea – Articolul 82 alineatul (1) – Acțiune întemeiată pe o încălcare a dreptului de acces – Prejudiciu moral – Pierderea controlului asupra datelor cu caracter personal”

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul unei prelucrări – Dreptul operatorului de a refuza să dea curs unei cereri de acces – Noțiunea de cereri excesive – Prima cerere de acces – Criterii – Aprecierea elementelor obiective și subiective ale unei practici abuzive – Existența unei intenții abuzive din partea persoanei vizate – Elemente relevante

[Regulamentul nr. 2016/679 al Parlamentului European și al Consiliului, considerentele (4), (10) și (11), precum și art. 12 alin. (5), art. 15 alin. (1) și art. 57 alin. (4)]

(a se vedea punctele 24-37, 39, 40, 42 și 45 și dispozitiv 1)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la despăgubiri și răspunderea – Dreptul la repararea prejudiciului rezultat dintr-o încălcare a dreptului de acces la datele cu caracter personal – Limitare la prejudiciile care rezultă dintr-o prelucrare de date cu caracter personal – Inexistență

[Regulamentul nr. 2016/679 al Parlamentului European și al Consiliului, considerentele (11), (141) și (146), precum și art. 15 alin. (1) și art. 82 alin. (1)]

(a se vedea punctele 48-55 și dispozitiv 2)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la despăgubiri și răspunderea – Dreptul la repararea prejudiciului suferit – Prejudiciu moral – Noțiune – Pierderea controlului asupra datelor cu caracter personal sau incertitudinea în privința prelucrării acestora – Includere – Obligația de a dovedi existența prejudiciului aflată în sarcina persoanei vizate – Ruperea legăturii de cauzalitate dintre încălcarea invocată și pretinsul prejudiciu cauzat de comportamentul persoanei vizate – Comportament care constituie cauza determinantă a prejudiciului – Inexistența unui drept la despăgubiri

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (85) și art. 82 alin. (1)]

(a se vedea punctele 58-67 și dispozitiv 3)

Rezumat

Sesizată cu titlu preliminar de Amtsgericht Arnsberg (Tribunalul Districtual din Arnsberg, Germania), Curtea precizează limitele exercitării dreptului de acces la datele cu caracter personal în temeiul articolului 15 din Regulamentul general privind protecția datelor ( 1 ) în cazul unui „abuz de drept” și condițiile dreptului la despăgubiri în temeiul articolului 82 din acest regulament.

În anul 2023, TC, un particular cu reședința în Austria, s-a abonat la buletinul informativ al Brillen Rottler, o întreprindere germană de optică, introducând datele sale cu caracter personal și consimțind la prelucrarea acestora. La scurt timp după aceea, el a solicitat întreprinderii respective accesul la datele menționate. Deși cererea sa a fost respinsă de întreprinderea amintită, care a considerat-o abuzivă, TC a reiterat-o totuși, adăugându-i o cerere de despăgubire pentru prejudiciul moral pretins suferit ca urmare a refuzului aceleiași întreprinderi de a-i acorda acces la datele sale cu caracter personal. Brillen Rottler a sesizat atunci instanța de trimitere pentru a se constata lipsa dreptului lui TC la despăgubiri, susținând că, potrivit informațiilor accesibile publicului, acesta din urmă introducea în mod sistematic și abuziv, la diferiți operatori, cereri de acces cu unicul scop de a obține despăgubiri.

Având îndoieli cu privire la împrejurările relevante pentru calificarea unei cereri de acces drept „excesivă” în sensul articolului 12 alineatul (5) din RGPD, care permite operatorului printre altele să nu dea curs unei astfel de cereri, precum și cu privire la dreptul de a solicita, în temeiul articolului 82 alineatul (1) din acest regulament, repararea prejudiciului care rezultă dintr-o încălcare a dreptului de acces, instanța de trimitere a sesizat Curtea.

Aprecierea Curții

În ceea ce privește posibilitatea de a califica o primă cerere de acces la datele cu caracter personal depusă de persoana vizată la operator drept „excesivă”, în sensul articolului 12 alineatul (5) din RGPD, Curtea arată că această dispoziție nu menționează caracterul repetitiv al cererilor de acces decât cu titlu indicativ, astfel încât doar numărul de cereri depuse de aceeași persoană vizată nu determină această calificare. Așadar, caracterul excesiv al unei cereri de acces trebuie evaluat din punct de vedere calitativ, pentru a stabili dacă este vorba despre un abuz de drept.

Curtea precizează că un atare abuz există atunci când, în pofida respectării formale a condițiilor necesare pentru exercitarea dreptului de acces la datele cu caracter personal în sensul articolului 15 din RGPD, este dovedită o intenție abuzivă din partea persoanei vizate, în special atunci când aceasta din urmă introduce o cerere de acces nu pentru a-și valorifica drepturile întemeiate pe acest regulament, ci pentru un alt scop, precum crearea artificială a condițiilor necesare pentru obținerea unui avantaj care rezultă din regulamentul menționat.

Cu toate acestea, întrucât articolul 12 alineatul (5) din RGPD instituie o excepție de la obligația operatorilor de a facilita dreptul persoanelor vizate de acces la datele lor cu caracter personal, el trebuie interpretat în mod restrictiv. Astfel, un operator nu se poate prevala de caracterul excesiv al unei cereri de acces decât cu titlu excepțional, atunci când demonstrează, având în vedere ansamblul împrejurărilor relevante ale fiecărui caz, că această cerere a fost introdusă cu intenție abuzivă. Faptul că persoana vizată a depus mai multe cereri de acces, urmate de cereri de despăgubire la diferiți operatori, poate fi de asemenea luat în considerare în această privință.

În ceea ce privește interpretarea articolului 82 alineatul (1) din RGPD, Curtea constată, pe de o parte, că această dispoziție conferă de asemenea persoanei vizate un drept la despăgubiri pentru prejudiciul care rezultă dintr-o singură încălcare a dreptului de acces prevăzut la articolul 15 alineatul (1) din regulamentul amintit. Ea arată că acest articol 82 alineatul (1) nu conține nicio referire la „prelucrare”, așa încât, pentru a nu aduce atingere efectului util al respectivului drept la despăgubiri, acesta din urmă nu poate fi limitat la prejudiciile care rezultă dintr-o prelucrare a datelor cu caracter personal ca atare. Astfel, o asemenea limitare ar exclude din domeniul de aplicare al acestui din urmă articol prejudiciile cauzate prin nerespectarea anumitor drepturi prevăzute de regulamentul amintit, precum dreptul de acces, a cărui încălcare nu decurge în principiu dintr-o prelucrare efectivă a datelor, ci mai degrabă de refuzul de a da curs unei cereri referitoare la exercitarea acestor drepturi.

Pe de altă parte, Curtea aduce precizări cu privire la noțiunea de „prejudiciu moral” suferit de persoana vizată în sensul articolului 82 alineatul (1) din RGPD. Ea observă în special că această noțiune include pierderea de către persoana vizată a controlului asupra datelor sale cu caracter personal sau incertitudinea sa cu privire la existența prelucrării lor, în măsura în care se dovedește printre altele că persoana amintită a suferit efectiv un atare prejudiciu, iar comportamentul său nu a constituit cauza determinantă a acestui prejudiciu.

În acest cadru, Curtea arată, amintind totodată că legătura de cauzalitate dintre încălcarea invocată a RGPD și prejudiciul pretins suferit de persoana vizată este o condiție sine qua non a unui drept la despăgubiri în temeiul articolului 82 alineatul (1) din acest regulament, că o astfel de legătură este ruptă ca urmare a comportamentului acestei persoane atunci când pierderea controlului asupra datelor sale cu caracter personal sau incertitudinea cu privire la existența prelucrării lor au fost cauzate de decizia sa de a supune aceste date operatorului în scopul de a crea în mod artificial condițiile necesare pentru aplicarea dispoziției menționate.

( 1 ) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).