欧盟法院明确了针对导致非物质性损害的GDPR违法行为的求偿权

在当前第C-300/21号案件中，要求欧盟法院判决的请求是在一位奥地利居民和奥地利邮政服务局Österreichische Post之间的法律诉讼程序中提出的。Österreichische Post收集了奥地利人口的政治倾向相关信息，并推断本案中的居民与奥地利的某个政党之间存在很高的亲密度。本案所涉居民并未同意处理其个人数据，并且认为这种亲密度推断对其造成了冒犯。他认为该公司使用其数据对他造成了非物质性损害，即精神损害，包括信心的丧失及被曝光感。

于是，该奥地利居民（原告）向奥地利法院提起诉讼，申请禁止令并要求判令Österreichische Post对其精神损害赔偿1000欧元。奥地利最高法院就GDPR第82条项下针对GDPR违法行为所造成的非物质性损害的求偿权范围存在疑问。

因此，奥地利最高法院将以下问题提交欧盟法院进行初步判决：（i）违反GDPR本身是否足以触发求偿权，（ii）该求偿权是否以所遭受的损害达到一定严重程度为先决条件，和（iii）确定损害赔偿金额的适用规则。

针对第一个问题，欧盟法院主张，求偿权须同时符合三个前提要求：违反GDPR的行为、造成的损害以及上述违反行为和损害之间的因果关系。因此，仅仅存在违反GDPR的行为不足以触发求偿权，尤其是，如欧盟法院所指出，当产生的损害只是潜在情形、并且违反GDPR并不必然导致损害时。

关于第二个问题，欧盟法院判定，针对GDPR违法行为所造成的非物质性损害的求偿权不能适用所遭受损害须达到特定严重程度这一要求。这一点与GDPR第82条的字面解释也是一致的，该条规定并未提及损害严重程度的标准。

欧盟法院对前两个问题的答复是彼此互补的。实际上，尽管欧盟法院要求在主张损害赔偿时必须同时满足三个前提条件，但同时也认为，不论何种程度的损害都可以满足损害要求。

最后，在回应第三个问题时，欧盟法院指出，GDPR中未包含任何有关损害评估的规定。因此，在评估相关损害时，国家法院必须适用其各自成员国内关于认定赔偿范围的先决条件的相应规定。欧盟法院明确指出，GDPR项下的求偿权旨在对所遭受的损害进行充分和有效的赔偿。

需要注意的是，索赔程序可以向数据控制者或处理者的机构所在地或申请人居住地的国家法院提起。因此，欧盟法院的这一判决可能会影响相关方根据各成员国关于损害评估的国内规则来选择法院。

欧盟法院已经确认，损害赔偿的量化和证明将由国家法院决定。同时，欧盟法院对单纯违法行为并不一定引发损害这一点的确认，也许能从一定程度上叫停一些宽泛认定的集体诉讼或代表人诉讼，因为欧盟法院现已确认，申请人可能须出具所受损失的证据。该要求可能会阻止那些为追求经济效益而代表特征迥然不同的大量数据主体提出索赔的行为。就此而言，欧盟法院的这一决定可能与英国最高法院在Lloyd诉谷歌案中做出的判决具有类似效果。在（与本文所述欧盟法院判决相一致的）该裁决中，英国最高法院认定，必须通过实际损失证据证明有权获取赔偿。

同时，欧盟法院的判决还明确确认，遭受的损失也可以是非物质性的。因此，该判决连同《欧盟代表人诉讼指令》一起，很可能引发未来几年内的一大波针对违反GDPR行为提起的代表人诉讼或集体诉讼。而且，《欧盟代表人诉讼指令》的确适用于针对GDPR违法行为的代表人诉讼，且其目的是确保在所有成员国都能够使用代表人诉讼机制保护消费者集体利益。