1

С иска си на основание членове 263, 265 и 268 ДФЕС ищецът, г‑н Thomas Bindl, претендира от Общия съд, първо, да отмени предаването на личните му данни на трети държави, които не предоставят достатъчна степен на защита, второ, да констатира, че Европейската комисия неправомерно не се е произнесла по искането му за информация от 1 април 2022 г., и трето, тази институция да поправи неимуществената вреда, която ищецът твърди, че е претърпял вследствие, от една страна, от нарушение на правото му на достъп до информация, а от друга страна, от предаването на неговите лични данни.

2

Ищецът е германски гражданин, който се интересува от въпроси в областта на информационните технологии и защитата на личните данни.

3

Генерална дирекция „Комуникации“ на Комисията е администратор на лични данни за целите на уебсайта на Конференцията за бъдещето на Европа, който може да бъде консултиран на адрес „https://futureu.europa.eu (наричан по-нататък „уебсайтът на КБЕ“).

4

През 2021 г. и 2022 г. ищецът посещава неколкократно уебсайта на КБЕ. По-специално той посещава този уебсайт на 30 март 2022 г. и се записва за участие в упоменатото там събитие „GoGreen“ посредством своя Facebook профил, а на 8 юни 2022 г. отново посещава посочения уебсайт.

5

С електронно писмо от 9 ноември 2021 г. (наричано по-нататък „искането за информация от 9 ноември 2021 г.“) ищецът претендира длъжностното лице по защита на данните на Комисията да му предостави информация на основание Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295 г., 2018 г., стр. 39).

6

В посоченото електронно писмо, първо, ищецът посочва, че е забелязал, че когато е влязъл в уебсайта на КБЕ, се е активирала връзка с трети страни — доставчици, като например американското предприятие Amazon Web Services; второ, ищецът е поискал да му бъде съобщено кои негови лични данни са били обработени или съхранени и кои евентуално са били предадени на трети лица; трето, той иска информация за правното основание за подобно предаване, както и за наличието на евентуални гаранции по отношение на предаването на данните на трети държави, които не предоставят достатъчна степен на защита.

7

С електронно писмо от 3 декември 2021 г. генерална дирекция „Комуникации“ на Комисията изпраща на ищеца електронна връзка и го уведомява, че тази електронна връзка ще му позволи пряко да състави списък с личните данни, които са били обработени по време на посещаването на уебсайта на КБЕ. Освен това тази генерална дирекция посочва на ищеца, от една страна, че личните му данни не са били предадени на получатели извън Европейския съюз, и от друга страна, че те се съхраняват и обработват от уебсайта на КБЕ, който използва мрежа за разпространение на съдържание, управлявана от Amazon Web Services EMEA SARL (наричано по-нататък „AWS EMEA“), установено в Люксембург (Люксембург). Освен това посочената генерална дирекция уточнява, че в рамките на сключените между Комисията и AWS EMEA договори администраторът на данните не използва услуги, които биха изисквали предаване на данни към намиращите се в Съединените щати партньори на AWS EMEA, и че предаването на данни извън територията на Съюза по принцип не е разрешено.

8

[Поправка с определение от 3 юни 2025 година]. С електронно писмо от 1 април 2022 г. ищецът претендира Комисията да му предостави информация относно обработването на неговите данни (наричано по-нататък „искането за информация от 1 април 2022 г.“) на основание на Регламент 2018/1725. Първо, той отбелязва, че е забелязал, че при влизането си на уебсайта на КБЕ е била установена връзка с трети доставчици, като например AWS EMEA, и също така, че е била установена връзка с предприятието Meta Platforms, когато е използвал данните си за свързване посредством Facebook, за да се регистрира на посочения уебсайт. Второ, той иска да му бъде посочено кои негови лични данни са били обработени или съхранени и които евентуално са били предадени на трети лица. Трето, той иска информация за правното основание на подобно предаване, както и за наличието на евентуални гаранции, що се отнася до предаването на данни на трети държави, които не осигуряват достатъчна степен на защита. Четвърто, той иска копие от неговите данни, включително тези, които се съхраняват или обработват от трети лица като Facebook.

9

С електронни писма от 22 април и 2 май 2022 г. ищецът настоява Комисията да отговори на подаденото от него искане за информация от 1 април 2022 г.

10

На 9 юни 2022 г. ищецът подава настоящия иск в секретариата на Общия съд.

11

С електронно писмо от 30 юни 2022 г. Комисията уведомява ищеца, че според нея искането за информация от 1 април 2022 г. е почти идентично с искането за информация от 9 ноември 2021 г. и че вече е отговорила на последното посочено искане посредством електронното си писмо от 3 декември 2021 г.

12

Amazon Web Services е предприятие, установено в Съединените щати, а AWS EMEA е предприятие, установено в Люксембург. Тези две предприятия са дъщерни дружества на дружеството Amazon.com, Inc, което е регистрирано по американското право.

13

Ищецът моли Общия съд:

14

Комисията моли Общия съд:

15

Член 16, параграф 1 ДФЕС и член 8, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“) предвиждат, че всеки има право на защита на личните му данни.

16

С Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1) се определят основните правила по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и по отношение на гарантирането на свободното движение на тези данни (член 1, параграф 1 от Регламент 2016/679).

17

С Регламент 2018/1725 се определят правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни от институциите и органите на Съюза, както и правилата по отношение на свободното движение на лични данни между тях или до други получатели, установени в Съюза (член 1, параграф 1 от Регламент 2018/1725). С този регламент се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни (член 1, параграф 2 от Регламент 2018/1725). Той се прилага за обработването на лични данни от всички институции и органи на Съюза (член 2, параграф 1 от Регламент 2018/1725).

18

В съображение 5 от Регламент 2018/1725 се припомня, че съгласно практиката на Съда, когато разпоредбите на Регламент 2018/1725 следват същите принципи като разпоредбите на Регламент 2016/679, тълкуването на тези две групи от разпоредби следва да бъде еднообразно, по-специално защото структурата на Регламент 2018/1725 следва да се разбира като еквивалентна на структурата на Регламент 2016/679. В това отношение от съвместния прочит на разпоредбите на член 2, параграф 3 от Регламент 2016/679 и на член 99 от Регламент 2018/1725 следва също, че последният регламент е съобразен с принципите и правилата на Регламент 2016/679.

19

Първото искане на ищеца е за отмяна на осъществените на 30 март и 8 юни 2022 г. предавания на неговите лични данни на трети държави, които не осигуряват достатъчна степен на защита (наричани по-нататък „спорните предавания“).

20

В писмената си защита Комисията повдига възражение за недопустимост на това искане за отмяна, с мотива че то не е насочено срещу акт, който подлежи на обжалване по смисъла на член 263 ДФЕС, а цели да ѝ бъде отправено разпореждане.

21

Ищецът поддържа, че искането за отмяна е допустимо, като изтъква, че спорните предавания представляват актове, които пораждат задължителни правни последици и засягат правното му положение, като накърняват основното му право на защита на личните му данни, гарантирано с член 8 от Хартата. Всяко друго тълкуване било несъвместимо с основното право на ефективна съдебна защита, при положение че член 64, параграф 1 от Регламент 2018/1725 изрично признава това право.

22

Както се припомня в член 64, параграф 1 и в съображение 79 от Регламент 2018/1725, всеки има право на ефективни правни средства за защита пред Съда на Европейския съюз в съответствие с Договорите, ако счита, че правата му по настоящия регламент са нарушени.

23

От това следва, че в рамките на Регламент 2018/1725 всеки субект на данни има право по-специално да подаде жалба за отмяна при условията, предвидени в член 263 ДФЕС.

24

Съгласно постоянната съдебна практика жалбата за отмяна, предвидена в член 263 ДФЕС, може да се подаде срещу всеки акт на институциите, независимо от неговата форма, който цели да произведе задължително правно действие, годно да засегне интересите на жалбоподателя, като измени съществено правното му положение (вж. решения от 19 януари 2017 г., Комисия/Total и Elf Aquitaine, C‑351/15 P, EU:C:2017:27, т. 35 и 36 и цитираната съдебна практика, и от 16 юли 2020 г., Inclusion Alliance for Europe/Комисия, C‑378/16 P, EU:C:2020:575, т. 71 и цитираната съдебна практика).

25

За да се определи дали даден акт поражда задължителни правни последици, съгласно постоянната практика на Съда следва да се съобрази същността на акта и последиците от него да се преценят с оглед на обективни критерии като съдържанието на акта, като евентуално се държи сметка и за контекста на приемането му и правомощията на издалата го институция, орган, служба или агенция на Съюза (вж. решение от 15 юли 2021 г., FBF, C‑911/19, EU:C:2021:599, т. 38 и цитираната съдебна практика).

26

В случая ищецът претендира отмяната на спорните предавания на данни, които според него са осъществени три пъти. На първо място, при посещаването на уебсайта на КБЕ на 30 март 2022 г. (наричано по-нататък „спорното предаване на данни при посещаването на уебсайта на КБЕ на 30 март 2022 г.“) лични данни на ищеца, а именно неговият IP адрес, както и информация за неговия браузър и за използваното от него терминално устройство, били предадени на американското предприятие Amazon Web Services, в качеството му на оператор на мрежата за доставяне на съдържание с наименование Amazon CloudFront, използвана от посочения уебсайт.

27

На второ място, при осъщественото от ищеца на 30 март 2022 г. свързване с услугата за потребителска автентификация на Комисията EU Login посредством неговия Facebook профил с цел записване за участие в събитието „GoGreen“ на уебсайта на КБЕ (наричано по-нататък „спорното предаване на данни при свързването с EU Login на 30 март 2022 г.“) на американското предприятие Meta Platforms, Inc. са били предадени лични данни на ищеца, а именно неговият IP адрес и информация за неговия браузър и използваното от него терминално устройство.

28

На трето място, по време на посещаването от страна на ищеца на уебсайта на КБЕ на 8 юни 2022 г. (наричано по-нататък „спорното предаване на данни при посещаването на уебсайта на КБЕ на 8 юни 2022 г.“) на сървър на Amazon CloudFront, находящ се в Нюарк (Ню Джърси, Съединени щати), били предадени лични данни на ищеца.

29

Освен това в исковата си молба ищецът посочва, че на 9 ноември 2021 г. е получил достъп до уебсайта на КБЕ и че на тази дата се е регистрирал на уебсайта на КБЕ посредством своя Facebook профил. Той обаче не посочва никакво конкретно доказателство, позволяващо да се заключи, че искането му за отмяна на спорните предавания на данни визира тези обстоятелства. Следователно трябва да се вземат предвид само спорните предавания на данни, посочени в точки 26—28 по-горе.

30

Трябва да се отбележи, че според самия ищец спорните предавания, чиято отмяна той претендира и които са посочени в точки 26—28 по-горе, съответстват на компютърни операции за миграция на данни, инициирани от информационни системи или услуги на Комисията, и по-специално от уебсайта на КБЕ, към сървъри, принадлежащи на трети предприятия, установени извън територията на Съюза.

31

Несъмнено е вярно, че операцията по предаване на лични данни от институция или орган на Съюза на трета държава сама по себе си представлява обработване на лични данни по смисъла на член 3, точка 3 от Регламент 2018/1725, извършвано на територията на Съюза, за което обработване този регламент се прилага по силата на член 2, параграф 5 (вж. по аналогия решение от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, наричано по-нататък решение Schrems II, EU:C:2020:559, т. 83).

32

Все пак не всички операции, които могат да доведат до предаване на лични данни по смисъла на член 3, точка 3 от Регламент 2018/1725, представляват актове, подлежащи на обжалване по смисъла на член 263 ДФЕС, както е тълкуван в припомнената в точка 24 по-горе съдебна практика.

33

В случая, дори да се предположи, че спорните предавания на данни бъдат доказани, се налага изводът, че те представляват материалноправни актове, а не правни актове. Всъщност спорните предавания на данни, както са описани в исковата молба, са компютърни операции за миграция на данни от един терминал или от един сървър към друг, които са резултат от взаимодействието между ищеца и информационните системи или услуги на Комисията по време на осъществените от него посещавания на уебсайта на КБЕ или на услугата EU Login. За сметка на това спорните предавания на данни не са актове на Комисията, които произвеждат задължително правно действие, тоест нямат за цел да уредят дадено правно положение и както следва от самото им естество, Комисията изобщо не е имала намерение да им придаде подобно действие.

34

Следователно в съответствие със съдебната практика, припомнена в точка 24 по-горе, спорните предавания на данни не могат да породят задължителни правни последици, годни да засегнат интересите на ищеца, като изменят съществено правното му положение. Поради това те не могат да се считат за обжалваеми актове по смисъла на член 263 ДФЕС.

35

От това следва, че искането на ищеца за отмяна трябва да се отхвърли като недопустимо.

36

Второто искане на ищеца е Общият съд да приеме за установено, че Комисията неправомерно не се е произнесла по искането за информация от 1 април 2022 г.

37

В писмената си защита Комисията повдига възражение за недопустимост на това искане за установяване на неправомерно бездействие поради липса на покана за действие по смисъла на член 265, втора алинея ДФЕС. При условията на евентуалност Комисията твърди, че липсва основание за произнасяне по искането за установяване на неправомерно бездействие предвид отговора ѝ на ищеца, предоставен в електронното писмо от 30 юни 2022 г.

38

Ищецът поддържа по същество, че Комисията продължава да има задължението да отговори на искането за информация от 1 април 2022 г., тъй като информацията, която тя е предоставила в електронното си писмо от 30 юни 2022 г., е недостатъчна и неточна.

39

Съгласно постоянната съдебна практика правното средство за защита, предвидено в член 265 ДФЕС, се основава на виждането, че неправомерното бездействие на въпросната институция позволява да бъде сезиран Съдът, който да се произнесе в смисъл, че това бездействие е в разрез с Договора, доколкото тази институция не е предприела необходимите действия (решение от 12 юли 1988 г., Парламент/Съвет,377/87, EU:C:1988:387, т. 9; вж. също решение от 16 декември 2015 г., Швеция/Комисия, T‑521/14, непубликувано, EU:T:2015:976, т. 33 и цитираната съдебна практика).

40

Ако неосъщественото действие, което е предмет на спора, е било предприето след предявяването на иска, но преди постановяване на решението на Съда, то произнасяне на Съда, с което се установява неправомерността на първоначалното бездействие, не би могло да породи предвидените в член 266 ДФЕС последици. От това следва, че в такъв случай предметът на иска е отпаднал, поради което липсва основание за произнасяне по същество (решение от 12 юли 1988 г., Парламент/Съвет, 377/87, EU:C:1988:387, т. 10 и 11; вж. също определение от 13 декември 2000 г., Sodima/Комисия, C‑44/00 P, EU:C:2000:686, т. 83 и цитираната съдебна практика).

41

В случая следва да се констатира, че Комисията е отговорила на искането за информация от 1 април 2022 г. с електронното си писмо от 30 юни 2022 г. (вж. т. 11 по-горе). Следователно след предявяването на настоящия иск Комисията е преустановила твърдяното от ищеца неправомерно бездействие. Поради това второто искане на основание член 265 ДФЕС за установяване на неправомерно бездействие на Комисията поради липса на отговор на искането за информация от 1 април 2022 г. е останало без предмет.

42

Обстоятелството, че съдържанието на електронното писмо на Комисията от 30 юни 2022 г. не съответства на желания от ищеца отговор, е ирелевантно в това отношение. Всъщност фактът, че тази позиция на институцията не удовлетворява ищеца, е без значение в това отношение, тъй като член 265 ДФЕС се отнася до неправомерно бездействие, изразяващо се в непроизнасяне или в неизразяване на становище, а не в приемане на акт, различен от този, който тази страна е искала или е считала за необходим (вж. определение от 6 април 2017 г., Brancheforeningen for Regulerkraft и Danmark/Комисия, T‑203/16, непубликувано, EU:T:2017:279, т. 22 и цитираната съдебна практика).

43

От това следва, че липсва основание за произнасяне по същество по искането на ищеца за установяване на неправомерно бездействие и че не е необходимо произнасяне по възражението за недопустимост на това искане, повдигнато от Комисията.

44

В рамките на третото си искане ищецът предявява две искания за обезщетение. На първо място, той претендира да му бъде платено обезщетение в размер на 800 евро за неимуществените вреди, които твърди, че е претърпял поради неспазването от страна на Комисията на правото му на достъп до информация в нарушение на член 14, параграфи 3 и 4 и на член 17, параграфи 1 и 2 от Регламент 2018/1725, както и на принципа на прозрачност, предвиден в член 4, параграф 1, буква а) от посочения регламент. На второ място, той иска да му бъде платено обезщетение в размер на 400 евро за неимуществените вреди, които твърди, че е претърпял в резултат на спорните предавания на данни, извършени в нарушение на член 46 и член 48, параграф 1 и параграф 2, буква б) от Регламент 2018/1725.

45

Комисията моли исканията за обезщетение да се отхвърлят.

46

Член 65 от Регламент 2018/1725 предвижда, че всяко лице, което е претърпяло имуществени или неимуществени вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от институцията или органа на Съюза за нанесените вреди, „при спазване на условията, предвидени в Договорите“.

47

Член 65 от Регламент 2018/1725 следва да се тълкува в смисъл, че правото да се получи обезщетение от институцията или органа на Съюза за вредите, претърпени в резултат на нарушение на този регламент, зависи от условията по член 340, втора алинея ДФЕС, по силата на който, в съответствие с основните принципи на правото, които са общи за държавите членки, Съюзът е длъжен да поправи вредите, причинени от неговите институции или служители при изпълнението на техните задължения.

48

Съгласно постоянната съдебна практика, за да се ангажира извъндоговорната отговорност на Съюза, трябва да са изпълнени три кумулативни условия, а именно неправомерност на поведението, в което се упрекват институциите, наличие на действителна вреда и на причинно-следствена връзка между това поведение и претендираната вреда (вж. в този смисъл решения от 4 юли 2000 г., Bergaderm и Goupil/Комисия, C‑352/98 P, EU:C:2000:361, т. 39—42, и от 28 октомври 2021 г., Vialto Consulting/Комисия, C‑650/19 P, EU:C:2021:879, т. 138).

49

Кумулативният характер на тези условия предполага, че щом едно от тях не е изпълнено, искът за обезщетение трябва да се отхвърли изцяло, без да е необходимо да се разглеждат останалите условия (решение от 9 септември 1999 г., Lucaccioni/Комисия, C‑257/98 P, EU:C:1999:402, т. 14 и 63; вж. също решение от 25 февруари 2021 г., Dalli/Комисия, C‑615/19 P, EU:C:2021:133, т. 42 и цитираната съдебна практика).

50

Що се отнася до първото от условията, съдебната практика изисква да е установено достатъчно съществено нарушение на правна норма, която има за цел да се предоставят права на частноправни субекти (вж. решение от 4 юли 2000 г., Bergaderm и Goupil/Комисия, C‑352/98 P, EU:C:2000:361, т. 42 и цитираната съдебна практика).

51

Изискването за достатъчно съществено нарушение на правото на Съюза има за цел, независимо от характера на съответния незаконосъобразен акт, да предотврати случаите, в които рискът от понасяне на вредите, които претендират засегнатите лица, накърнява способността на съответната институция да упражни в пълна степен правомощията си в обществен интерес както в рамките на нормативната си дейност или на дейността, включваща упражняването на избор от областта на политическата икономия, така и в сферата на административните ѝ правомощия, при това без да пренася върху трети лица тежестта на последиците от явни и непростими нарушения (вж. в този смисъл решение от 14 декември 2018 г., East West Consulting/Комисия, T‑298/16, EU:T:2018:967, т. 124 и цитираната съдебна практика).

52

Решаващият критерий, който позволява да се счита, че дадено нарушение е достатъчно съществено, е явното и грубо незачитане от съответната институция или орган на Съюза на наложените на тяхното право на преценка предели. Когато тази институция или този орган разполага само със значително ограничена оперативна самостоятелност или не разполага с такава, то и най-малкото нарушение на правото на Съюза може да е достатъчно, за да се установи наличието на достатъчно сериозно нарушение (вж. решение от 10 декември 2002 г., Комисия/Camar и Tico, C‑312/00 P, EU:C:2002:736, т. 54 и цитираната съдебна практика). Въпреки това тази съдебна практика не установява никаква пряка връзка между, от една страна, липсата на право на преценка на съответната институция, и от друга страна, квалификацията на нарушението като достатъчно съществено нарушение на правото на Съюза (вж. решение от 3 март 2010 г., Artegodan/Комисия, T‑429/05, EU:T:2010:60, т. 59). В действителност, въпреки че има определящ характер, обхватът на правото на преценка на съответната институция не представлява изключителен критерий. В това отношение Съдът последователно напомня, че правният режим, който той извежда на основание член 340, втора алинея ДФЕС, взема предвид по-специално и сложността на подлежащите на уреждане положения и трудностите при прилагане или тълкуване на текстовете (вж. решение от 23 ноември 2011 г., Sison/Съвет, T‑341/07, EU:T:2011:687, т. 36 и 37 и цитираната съдебна практика) или по-общо областта, условията и контекста, в които нарушената норма е задължителна за съответната институция или орган на Съюза (вж. решение от 4 април 2017 г., Омбудсман/Staelen, C‑337/15 P, EU:C:2017:256, т. 40 и цитираната съдебна практика).

53

От това следва, че само констатацията за нередност, която при аналогични обстоятелства не би допуснала действаща разумно и с дължима грижа администрация, позволява да се ангажира отговорността на Съюза. Следователно съдът на Съюза е длъжен, след като определи дали съответната институция разполага със свобода на преценка, да вземе предвид сложността на подлежащото на уреждане положение, трудностите при прилагане или тълкуване на текстовете, степента на яснота и прецизност на нарушеното правило и умишления или неизвиним характер на допуснатата грешка (вж. решение от 3 март 2010 г., Artegodan/Комисия, T‑429/05, EU:T:2010:60, т. 62).

54

Що се отнася до условието за наличие на вреда, вредата трябва да е действителна и сигурна, което ищецът трябва да докаже (вж. решение от 9 ноември 2006 г., Agraz и др./Комисия, C‑243/05 P, EU:C:2006:708, т. 27 и цитираната съдебна практика). В замяна на това вреда, която е изцяло хипотетична и неопределена, не поражда право да се иска поправяне на вредите (вж. решение от 26 октомври 2011 г., Dufour/ЕЦБ, T‑436/09, EU:T:2011:634, т. 192 и цитираната съдебна практика).

55

Що се отнася до свързаното с причинно-следствената връзка условие, то изисква наличието на достатъчно пряка връзка на причина и следствие между поведението на институцията на Съюза и вредата, връзка, за която ищецът трябва да представи доказателства, така че поведението, за което я упреква, трябва да бъде основната причина за настъпването на вредата (вж. решение от 13 декември 2018 г., Европейски съюз/ASPLA и Armando Álvarez, C‑174/17 P и C‑222/17 P, EU:C:2018:1015, т. 23 и цитираната съдебна практика).

56

Освен това следва да се припомни, че искът за обезщетение на основание член 340, втора алинея ДФЕС е въведен като самостоятелен способ с особена функция в рамките на системата от способи за защита и е подчинен на условия за упражняване, установени с оглед на особения му предмет, така че обявяването на недопустимостта на искането за отмяна не води автоматично до обявяване на искането за обезщетение за недопустимо (вж. решение от 5 септември 2019 г., Европейски съюз/Guardian Europe и Guardian Europe/Европейски съюз, C‑447/17 P и C‑479/17 P, EU:C:2019:672, т. 49 и цитираната съдебна практика).

57

Следователно отхвърлянето на искането за отмяна поради неговата недопустимост и отхвърлянето на искането за установяване на неправомерно бездействие поради отпадане на основанието за произнасяне по него съгласно точки 35 и 43 по-горе, не предполагат да се отхвърлят като недопустими исканията за обезщетение, посочени в точка 44 по-горе.

58

Именно в светлината на тези съображения следва да се разгледат оплакванията, изтъкнати от ищеца в рамките на исканията му за обезщетение.

59

В рамките на първото си искане за обезщетение ищецът претендира Комисията да бъде осъдена да му заплати сумата от 800 евро като обезщетение за неимуществените вреди, претърпени вследствие на нарушаването на правото му на достъп до информация.

60

Най-напред ищецът упреква Комисията, че не е отговорила в определения срок на искането за информация от 1 април 2022 г. и не му е съобщила мотивите за бездействието си в нарушение на член 14, параграфи 3 и 4 и член 17, параграфи 1 и 2 от Регламент 2018/1725, както и на принципа на прозрачност, предвиден в член 4, параграф 1, буква а) от същия регламент. Освен това Комисията не спазила член 17, параграф 1, буква в) и параграф 2 от Регламент 2018/1725, тъй като декларацията относно защитата на личния живот, която се намира на уебсайта на КБЕ, не съдържала информация относно предаването на лични данни на трети държави и евентуални подходящи гаранции за целите на посоченото предаване, както се изисквало в член 48 от посочения регламент. Освен това в електронното писмо от 3 декември 2021 г. Комисията предоставила погрешна информация, тъй като отричала предаването на лични данни на ищеца на получатели в Съединените щати.

61

По-нататък ищецът поддържа, че неправомерното бездействие на Комисията му е попречило да упражнява контрол на обработването на личните си данни, което представлява неимуществена вреда по смисъла на съображение 46 от Регламент 2018/1725. Накрая той изтъква, че тази неимуществена вреда, която оценява на 800 евро, е причинена пряко от неправомерното поведение на Комисията.

62

Комисията оспорва тези доводи, като изтъква по същество, че в случая не е изпълнено нито едно от условията за ангажиране на извъндоговорната отговорност.

63

Най-напред, що се отнася до условието, свързано с неправомерността на укоримото поведение, следва да се провери дали ищецът се е позовал на нарушение на правни норми, които имат за цел да предоставят права на частноправните субекти.

64

В това отношение следва да се отбележи, че член 17, параграф 1, буква в) от Регламент 2018/1725 установява право на достъп на субекта на данните до информация относно получателите, на които са предоставени личните му данни, по-специално получателите, установени в трети държави. Следователно тази разпоредба конкретизира принципа, закрепен в член 4, параграф 1, буква а) от Регламент 2018/1725, съгласно който всяка информация и всички съобщения, свързани с обработването на лични данни, трябва да бъдат леснодостъпни.

65

Освен това член 14, параграф 3 от Регламент 2018/1725 определя едномесечен срок, в който администраторът на лични данни да отговори на исканията за информация. Трябва да се добави, че член 14, параграф 4 от този регламент задължава администратора на лични данни, в случай че реши да не предприеме действия по искането, да уведоми заявителя в срок от един месец за причините да не предприеме действия и за възможността да подаде жалба до Европейския надзорен орган по защита на данните (ЕНОЗД) и да потърси защита по съдебен ред. Следователно тези разпоредби са административни процесуални правила, които допринасят за упражняването на правото на достъп до информация относно личните данни на субекта на данните, като конкретизират и оформят това право. Освен това тези разпоредби допринасят за осъществяването на правото, предоставено на всеки съгласно член 41 от Хартата, случаят му да бъде разгледан от институциите и органите на Съюза в разумен срок.

66

Следователно разпоредбите на член 4, параграф 1, буква а) във връзка с разпоредбите на член 14, параграфи 3 и 4 и на член 17, параграф 1, буква в) от Регламент 2018/1725 представляват правни норми, които имат за цел да се предоставят права на частноправни субекти по смисъла на съдебната практика, посочена в точка 50 по-горе.

67

По-нататък следва да се провери дали в случая е установено нарушение на тези разпоредби от Комисията.

68

От една страна, ищецът поддържа, че Комисията е нарушила член 17, параграф 1, буква в) и параграф 2 от Регламент 2018/1725, тъй като декларацията относно защитата на личния живот, която се намира на уебсайта на КБЕ, не съдържала информация относно предаването на лични данни на установени в трети държави получатели, евентуалните подходящи гаранции във връзка с това предаване или идентифицирането на съдоговорителите като получатели на тези данни.

69

Както бе посочено в точка 64 по-горе, член 17, параграф 1, буква в) и параграф 2 от Регламент 2018/1725 предвижда, че субектът на данни има по-специално правото да получи информация относно получателите, установени в трети държави, на които са разкрити личните данни, както и относно подходящите гаранции относно предаването на данни на тези получатели.

70

Следователно тези разпоредби установяват право на достъп на съответното лице до определена информация, но не предвиждат, че посочената информация трябва задължително да фигурира в даден документ или в декларация за защита на личния живот като съдържащата се на уебсайта на КБЕ. С други думи, от тези разпоредби не следва, че разглежданата информация трябва да бъде оповестявана посредством посочената декларация. При това положение жалбоподателят, както всеки субект на данни, запазва правото си да получи такава информация чрез упражняването на правото си на достъп до информация, установено в член 17, параграф 1, буква в) и параграф 2 от Регламент 2018/1725 — въпрос, който надхвърля обхвата на незаконосъобразността, за която жалбоподателят упреква Комисията и която е ограничена до съдържанието на декларацията относно защитата на личния живот (вж. т. 68 по-горе).

71

При всички положения в конкретния случай от текста на посочената декларация относно защитата на личния живот, приложена към исковата молба, следва, че тя съдържа информация относно получателите или категориите получатели, на които личните данни са били или ще бъдат предоставени. Така в точка 7 от посочената декларация по-специално се споменава, че достъпът до данните се „предоставя на оправомощени служители на [Комисията] и на нейните подизпълнители, на които е възложено извършването на въпросната операция по обработване, в съответствие с принципа „необходимост да се знае“. Освен това доводът на ищеца, че посочената декларация не съдържа информация относно предаването на лични данни на установени в трети държави получатели, се основава на хипотезата, че посещаването на уебсайта на КБЕ предполага предаване на лични данни на потребителите на трета държава. Настоящото искане за обезщетение обаче се основава на нарушение на правото на достъп до информация, а не на разпоредбите относно предаването на лични данни на трети държави, които впрочем са в основата на второто искане за обезщетение.

72

Следователно в случая не е доказано, че Комисията е нарушила член 17, параграф 1, буква в) и параграф 2 от Регламент 2018/1725, що се отнася до декларацията относно защитата на личния живот, която се съдържа на уебсайта на КБЕ.

73

От друга страна, ищецът упреква Комисията, че не е отговорила в определения срок на искането за информация от 1 април 2022 г. и не го е уведомила за мотивите за бездействието си в нарушение на член 14, параграфи 3 и 4 и член 17, параграфи 1 и 2 от Регламент 2018/1725, както и на принципа на прозрачност. Освен това в електронното писмо от 3 декември 2021 г. Комисията му предоставила невярна информация.

74

Най-напред следва да се отбележи, че ищецът не изтъква никакъв конкретен довод в подкрепа на нарушение на принципа на прозрачност. Следователно този довод няма самостоятелно съдържание спрямо твърдението за неспазване на срока за отговор на искането за информация и на задължението за съобщаване на мотивите за превишаването на този срок.

75

Освен това доводите на ищеца за нарушение на член 17, параграфи 1 и 2 от Регламент 2018/1725, както и за това, че Комисията му предоставила невярна информация в електронното писмо от 3 декември 2021 г., се основават на хипотезата, че посещаването на уебсайта на КБЕ предполага предаване на лични данни на потребителите на трета държава. Както обаче бе посочено в точка 71 по-горе, настоящото искане за обезщетение се основава на нарушение на правото на достъп до информация, а не на нарушение на разпоредбите относно предаването на лични данни на трети държави, което е в основата на второто искане за обезщетение.

76

Следователно в случая не е доказано, че Комисията е нарушила член 17, параграфи 1 и 2 от Регламент 2018/1725.

77

Що се отнася до твърдението на ищеца за нарушение на член 14, параграфи 3 и 4 от Регламент 2018/1725, от преписката е видно, че Комисията е отговорила на искането за информация от 9 ноември 2021 г. в едномесечния срок, предвиден в член 14, параграф 3 от Регламент 2018/1725 (вж. т. 5 и 7 по-горе). Що се отнася до искането за информация от 1 април 2022 г., с електронно писмо от 30 юни 2022 г. Комисията уведомява ищеца, че счита искането за информация от 1 април 2022 г. за почти идентично на искането за информация от 9 ноември 2021 г. и че вече му е отговорила на последното посочено искане в електронното си писмо от 3 декември 2021 г. (вж. т. 11 по-горе).

78

От това следва, че що се отнася до искането за информация от 1 април 2022 г., Комисията не е спазила едномесечния срок, предвиден в член 14, параграф 4 от Регламент 2018/1725 (вж. т. 65 по-горе).

79

От точки 68—78 по-горе следва, че единствената установена в случая незаконосъобразност, за допускането на която се упреква Комисията, е неспазването на срока, предвиден в член 14, параграф 4 от Регламент 2018/1725.

80

При тези обстоятелства и независимо от въпроса дали неспазването на посочения срок от Комисията представлява достатъчно съществено нарушение на правна норма, следва най-напред да се провери дали неспазването на този срок е причинило на ищеца действителна и сигурна неимуществена вреда по смисъла на съдебната практика, припомнена в точка 54 по-горе.

81

Що се отнася до действителното наличие на твърдяната неимуществена вреда, следва да се припомни, че макар представянето на доказателствено искане да не се счита непременно за условие за признаването на такива вреди, ищецът трябва поне да докаже, че поведението, в което се упреква съответната институция, е от естество да му причини такива вреди (решение от 16 юли 2009 г., SELEX Sistemi Integrati/Комисия, C‑481/07 P, непубликувано, EU:C:2009:461, т. 38; вж. също решение от 2 юли 2019 г., Fulmen/Съвет,T‑405/15, EU:T:2019:469, т. 188 и цитираната съдебна практика).

82

В случая ищецът иска обезщетение за неимуществени вреди в размер на 800 евро, като твърди, че поведението, в което се упреква Комисията, му е попречило да осъществи контрол върху обработването на неговите лични данни.

83

Налага се обаче изводът, че в случая такава неимуществена вреда не е доказана. Всъщност единствената установена в случая незаконосъобразност е тази на неспазването от страна на Комисията на едномесечния срок, предвиден в член 14, параграф 4 от Регламент 2018/1725. (вж. т. 79 по-горе). Този срок обаче не е превишен с повече от два месеца. (вж. т. 77 по-горе). Освен това исканията за предоставяне на информация от 9 ноември 2021 г. и от 1 април 2022 г. по същество са едни и същи (вж. т. 5 и 8 по-горе), така че ищецът вече е получил отговор на поне една част от искането си за предоставяне на информация към 3 декември 2021 г., датата на която Комисията е отговорила на искането за информация от 9 ноември 2021 г. (вж. т. 7 по-горе).

84

Освен това доводът на ищеца, отнасящ се до съобщаването на погрешна информация (вж. т. 75 по-горе), се отнася до основателността на информацията, а не до спазването на процесуалното правило, чието нарушение бе установено в точка 78 по-горе, и поради това не е релевантно за доказването на твърдените неимуществени вреди.

85

От това следва, че не е доказано, че неспазването от страна на Комисията на срока, предвиден в член 14, параграф 4 от Регламент 2018/1725, може да причини на ищеца твърдяната неимуществена вреда.

86

Следователно, след като едно от кумулативните условия за ангажиране на извъндоговорната отговорност на Съюза, предвидени в член 340, втора алинея ДФЕС, не е изпълнено, първото искане за обезщетение на ищеца следва да се отхвърли.

87

В рамките на второто си искане за обезщетение ищецът претендира да му бъдат заплатени 400 евро като обезщетение за неимуществената вреда, която твърди, че е претърпял вследствие на спорните предавания на данни, посочени в точки 26—28 по-горе, а именно спорното предаване на данни при посещаването на уебсайта на КБЕ на 30 март 2022 г., спорното предаване на данни при свързването с EU Login на 30 март 2022 г. и спорното предаване на данни при посещаването на уебсайта на КБЕ на 8 юни 2022 г.

88

Ищецът поддържа по същество, че спорните трансфери са били извършени към получатели, установени в Съединените щати — държава, която не осигурява достатъчна степен на защита. Комисията не посочила нито една от подходящите гаранции, които могат да обосноват подобни предавания, предвидени в глава V от Регламент 2018/1725, и следователно нарушила член 46 и член 48, параграф 1 и параграф 2, буква б) от този регламент, както и членове 7, 8 и 47 от Хартата. Спорните предавания създали риск от достъп до данните на ищеца от страна на службите за сигурност и разузнавателните служби на тази държава и следователно му причинили неимуществена вреда по смисъла на съображение 46 от Регламент 2018/1725, тъй като той бил лишен от правата и свободите си и бил възпрепятстван да упражнява контрол върху своите данни.

89

Комисията оспорва тези доводи, като изтъква по същество, че в случая не са изпълнени условията за ангажиране на извъндоговорната отговорност.

90

На първо място, следва да се посочи, че съгласно член 2, параграф 5 от Регламент 2018/1725 последният се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

91

На второ място, понятието „лични данни“ следва да се тълкува като всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано в съответствие с член 3, точка 1 от Регламент 2018/1725.

92

На трето място, следва да се отбележи, че предаването на данни представлява операция по „обработване“ на данни по смисъла на член 3, точка 3 от Регламент 2018/1725.

93

На четвърто място, трябва да се посочи, че „предаването на лични данни на трети държави или международни организации“ се урежда от глава V от Регламент 2018/1725, която обаче не съдържа дефиниция на предаването.

94

От съображение 63 от Регламент 2018/1725 обаче следва, че предаването на данни съгласно разпоредбите на глава V от този регламент се отнася до лични данни, които се предават от институциите и органите на Съюза на администратори, обработващи лични данни или други получатели в трети държави или на международни организации.

95

Освен това от систематичното тълкуване на Регламент 2018/1725 следва, че предаването на лични данни на трети държави по смисъла на член 46 от него изисква, на първо място, съответният администратор да принадлежи към институция или орган на Съюза и следователно спрямо него да се прилага посоченият регламент (член 1 от Регламент 2018/1725); на второ място, администраторът да предоставя лични данни на получател, по-специално на друго физическо или юридическо лице, чрез предаване или друг начин (член 3, точки 3 и 13 от Регламент 2018/1725), и на трето място, този получател да е установен в трета държава (член 46 от Регламент 2018/1725), т.е. в държава, която не е член нито на Съюза, нито на Европейското икономическо пространство (ЕИП).

96

На пето място, следва да се констатира, че разпоредбите на глава V от Регламент 2018/1725 целят при предаването на лични данни на трети държави или на международни организации да се запази гарантираното в Съюза ниво на защита на физическите лица в съответствие с целта, посочена в съображение 63 от посочения регламент.

97

На шесто място, член 46 от Регламент 2018/1725 предвижда общ принцип, че предаване на лични данни на трета държава или международна организация се осъществява само ако при спазване на другите разпоредби на този регламент, администраторът и обработващият лични данни спазват условията по глава V.

98

На седмо място, що се отнася до условията, определени в глава V от Регламент 2018/1725, следва да се отбележи, че член 47, параграф 1 от този регламент предвижда, че предаване на лични данни на трета държава или на международна организация може да се осъществява, ако посредством решение относно адекватното ниво на защита, прието по-специално в съответствие с член 45, параграф 3 от Регламент 2016/679, Комисията е решила, че съответната държава или международна организация осигурява адекватно ниво на защита и ако личните данни се предават единствено, за да стане възможно изпълнението на задачи от компетентността на администратора.

99

В това отношение следва да се припомни, че двете решения на Комисията относно адекватното ниво на защита по отношение на Съединените щати са обявени за невалидни. От една страна, с решение от 6 октомври 2015 г., Schrems (C‑362/14, EU:C:2015:650), Съдът обявява за невалидно Решение 2000/520/ЕО на Комисията от 26 юли 2000 година съгласно Директива 95/46 относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ (ОВ L 215, стр. 7; Специално издание на български език, 2007 г., глава 16, том 1, стр. 64). От друга страна, с решение Schrems II Съдът обявява за невалидно Решение за изпълнение (ЕС) 2016/1250 на Комисията от 12 юли 2016 година съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, осигурявана от Щита за личните данни в отношенията между ЕС и САЩ (ОВ L 207, 2016 г., стр. 1).

100

От това следва, че към датата на спорните прехвърляния по отношение на Съединените щати не е съществувало никакво решение относно адекватното ниво на защита по смисъла на член 47 от Регламент 2018/1725.

101

При липсата на решение на Комисията относно адекватното ниво на защита по отношение на Съединените щати се прилага член 48, параграф 1 от Регламент 2018/1725, съгласно който предаване на лични данни на трета държава или на международна организация може да се осъществява само ако администраторът на лични данни или обработващият лични данни са предвидили подходящи гаранции и при условие че на субекта на данни са предоставени изпълняеми права и ефективни правни средства за защита.

102

Подходящите гаранции по член 48, параграф 1 от Регламент 2018/1725, изброени в член 48, параграфи 2 и 3 от този регламент, могат да бъдат предвидени по-специално чрез стандартни клаузи за защита на данните, приети от Комисията в съответствие с член 48, параграф 2, буква б) от този регламент.

103

Същевременно стандартните клаузи за защита на данните, предвидени в член 48, параграф 2, буква б) от Регламент 2018/1725, могат да изискват приемането на допълнителни мерки, за да се осигури спазването на подходящото ниво на защита от гледна точка на правото на Съюза (вж. по аналогия решение Schrems II, т. 133 и 134).

104

Освен това подходящите гаранции, предвидени в член 48, параграф 1 от Регламент 2018/1725, могат да бъдат предвидени по-специално в договорни клаузи съгласно член 48, параграф 3, буква а) от посочения регламент, между, от една страна, администратора или обработващия лични данни, и от друга страна, администратора, обработващия лични данни или получателя на личните данни в третата държава, при условие че е налице разрешение от ЕНОЗД.

105

Освен това следва да се припомни, че членове 7, 8 и 47 от Хартата установяват съответно правото на зачитане на личния живот, правото на защита на личните данни и правото на ефективни правни средства за защита и на справедлив съдебен процес.

106

В случая най-напред следва да се отбележи, че второто искане за обезщетение на ищеца се основава на допуснато от Комисията нарушение на разпоредбите на член 46 и на член 48, параграф 1 и параграф 2, буква б) от Регламент 2018/1725, както и на членове 7, 8 и 47 от Хартата. От точки 91—105 по-горе обаче следва, че посочените разпоредби от Регламент 2018/1725 конкретизират основни права като установените в членове 7 и 8 от Хартата и като цяло имат за цел да гарантират непрекъснатостта на високото равнище на защита на личните данни при предаване на тези данни на трети държави или международни организации.

107

От това следва, че разпоредбите, чието нарушение се изтъква от ищеца в подкрепа на второто му искане за обезщетение, имат за цел да защитят личния интерес на засегнатите лица и следователно представляват правни норми, които имат за цел да предоставят права на частноправните субекти по смисъла на припомнената в точка 50 по-горе съдебна практика.

108

Следва да се провери дали условията за ангажиране на извъндоговорната отговорност на Комисията са изпълнени за всяко от трите спорни предавания на данни, посочени в точка 87 по-горе.

109

Като се има предвид, че спорните предавания на данни, посочени в точки 26 и 28 по-горе, са били извършени поради използването от уебсайта на КБЕ на мрежата за доставяне на съдържание или „МДС“ (на английски език „content delivery network“ или „CDN“) с наименование Amazon CloudFront (наричана по-нататък „услугата Amazon CloudFront“), следва най-напред да се установят условията за функционирането на тази услуга в рамките на въпросния уебсайт.

110

В случая е безспорно, че уебсайтът на КБЕ използва мрежата за доставяне на съдържание Amazon CloudFront и че тази мрежа е активирана при всяко посещаване на посочения уебсайт от потребител.

111

От преписката, и по-специално от отговорите на страните на процесуално-организационното действие от 21 юли 2023 г., както и от техните устни състезания и отговори в съдебното заседание от 17 октомври 2023 г., е видно, на първо място, че услугата Amazon CloudFront е интернет услуга, която ускорява разпространението на интернет съдържание, в случая на съдържанието на уебсайта на КБЕ, до потребителите. Услугата Amazon CloudFront разпространява съдържанието посредством глобална мрежа от сървъри или центрове за данни, наречени „периферни пунктове“ или „периферни сървъри“.

112

На второ място, услугата Amazon CloudFront се основава на механизъм за маршрутиране, който насочва заявката на потребител на уебсайта на КБЕ към периферния сървър, който предоставя най-ниска латентност съгласно принципа на близост с терминалното устройство на потребителя, за да може съдържанието да бъде предадено на потребителя при възможно най-добрите условия. Ако, по-специално поради технически трудности, периферният сървър, който предоставя най-ниска латентност, не е на разположение, връзката се установява с този, който предоставя следващата по степен най-ниска латентност и така нататък.

113

На трето място, услугата Amazon CloudFront е използвана за уебсайта на КБЕ въз основа на договор № 2020—1742, подписан между Комисията и AWS EMEA, като последното е дъщерно дружество, притежавано от американското дружество Amazon.com, и има седалище в Люксембург (вж. т. 12 по-горе).

114

На четвърто място, в рамките на този договор, що се отнася до уебсайта на КБЕ, Комисията избира географския район, наречен „Северна Америка (Съединени американски щати, Мексико, Канада), Европа и Израел“. Това означава, че разпространението на съдържанието на този уебсайт не се осъществява през световната мрежа от периферни пунктове на Amazon CloudFront, а само чрез тези, които се намират в горепосочените географски зони, а именно в Съединените щати, Мексико, Канада, Европа и Израел.

115

На пето място, поради принципа на близост, посочен в точка 112 по-горе, заявките на потребители на Съюза за достъп до уебсайта на КБЕ обикновено са насочени към периферни сървъри на мрежата Amazon CloudFront, намиращи се на тази територия, докато случаите, в които тези заявки са насочени към сървъри извън Съюза, са редки.

116

На шесто място, що се отнася до инфраструктурата на мрежата от периферни пунктове на Amazon CloudFront, от преписката е видно, че тя е предоставена от група предприятия, някои от които принадлежат към групата Amazon, а други са трети предприятия и техният списък може да бъде намерен на уебсайта на Amazon Web Services в зависимост от съответната географска зона. По отношение на географския район, наречен „Северна Америка (САЩ, Мексико, Канада), Европа и Израел“, съответните предприятия са установени както в държави — членки на Съюза, така и извън Съюза, по-специално в Съединените щати, Израел, Мексико, Швейцария или Обединеното кралство. Всяко предприятие експлоатира сървъри в страната, в която е установено, и следователно географското местонахождение на сървърите, участващи в предоставянето на услугата Amazon CloudFront, зависи и от местоположението на съответните предприятия.

117

На седмо място, договорните клаузи между Комисията и AWS EMEA предвиждат по-специално следното:

118

На осмо място, Комисията се консултира с ЕНОЗД относно посочените по-горе договорни клаузи, но той не е дал официално разрешение за тях на основание член 48, параграф 3, буква а) от Регламент 2018/1725.

119

[Поправка с определение от 3 юни 2025 година] Ищецът по същество твърди, че при посещаването на уебсайта на КБЕ на 30 март 2022 г. е констатирал, че някои негови лични данни, по-специално неговият IP адрес и информация за браузъра и терминалното му устройство, са били предадени на Съединените щати. Всъщност, първо, посоченият уебсайт използвал мрежа за доставяне на съдържание, наречена „Amazon CloudFront“, чийто оператор бил Amazon Web Services, американско предприятие, което е дъщерно дружество на американското предприятие Amazon.com. Второ, при това посещаване личните данни на ищеца били изпратени на услугата Amazon CloudFront, и по-точно на сървъра на Amazon.com, установен в Сиатъл (Вашингтон, Съединени щати), чийто IP адрес бил 18.66.192.74. Трето, ключът за сигурност, използван от уебсайта на КБЕ (наречен „сертификат SSL“), бил предоставен от Amazon, поради което следвало да се презумира, че това дружество е имало възможност да разкрие всички лични данни на ищеца, прехвърлени към сървърите му, включително становището му относно бъдещето на Европа. Четвърто, предприятието, което предоставя услугата Amazon CloudFront, било подчинено на американското законодателство и следователно било длъжно да съобщава информация на службите за сигурност и наблюдение на Съединените щати, и то дори в случай че сървърите се намират извън тази държава. Освен това Комисията не била приела „допълнителни мерки“ по смисъла на решение Schrems II, за да гарантира достатъчна степен на защита на предаваните към Съединените щати данни.

120

Комисията оспорва тези доводи.

121

Що се отнася до посещаването на уебсайта на КБЕ на 30 март 2022 г., от преписката е видно, че на тази дата ищецът е посетил този уебсайт (вж. т. 3 по-горе) и че при това посещение е извършено предаване на неговия IP адрес и информация за браузъра и за използваното от него терминално устройство.

122

В това отношение е важно да се констатира, че IP адресът спада към личните данни по смисъла на член 3, точка 1 от Регламент 2018/1725, тъй като отговаря на двете предвидени в него условия. От една страна, става дума за информация, която се отнася до физическо лице, и от друга страна, тази информация се отнася до идентифицирано лице или до лице, което може да бъде идентифицирано, в случая ищецът (решение от 26 април 2023 г., ЕСП/ЕНОЗД, T‑557/20, обжалвано, EU:T:2023:219, т. 59; вж. също в този смисъл и по аналогия решения от 24 ноември 2011 г., Scarlet Extended,C‑70/10, EU:C:2011:771, т. 51, и от 19 октомври 2016 г., Breyer,C‑582/14, EU:C:2016:779, т. 49). Всъщност дори така наречените „динамични“ IP адреси, които по естеството си се променят, съответстват на точна идентичност в даден момент, която в случая съвпада с момента на посещаване на уебсайта на КБЕ.

123

Доказано е също така, че посоченото в точка 121 по-горе предаване на данни е инициирано от уебсайта на КБЕ чрез услугата Amazon CloudFront към сървър с IP адрес 18.66.192.74.

124

Освен това е доказано, че към момента на настъпване на фактите IP адрес 18.66.192.74 е бил предоставен на сървър, разположен в Мюнхен (Германия), и че този сървър принадлежи на предприятието A 100 ROW GmbH, което е установено в Германия и е било част от списъка с предприятия, посочен в точка 116 по-горе.

125

От това следва, че при посещаването на уебсайта на КБЕ на 30 март 2022 г. действително е извършено предаване на лични данни на ищеца по смисъла на член 3, точка 1 от Регламент 2018/1725, и по-специално на неговия IP адрес.

126

В случая обаче не е доказано, че при посещаването на уебсайта на КБЕ на 30 март 2022 г. личните данни на ищеца са били предадени на трета държава, и по-специално на Съединените щати.

127

За сметка на това от точки 121—124 по-горе следва, че при посещаването на уебсайта на КБЕ на 30 март 2022 г. предаването на лични данни на ищеца е инициирано от уебсайта на КБЕ чрез услугата Amazon CloudFront към сървър, разположен в Мюнхен. Посоченият сървър е собственост на установено в Германия предприятие, което е част от мрежата от доставчици на инфраструктурата на услугата Amazon CloudFront, която се предоставя на Комисията въз основа на договор с AWS EMEA — предприятие, установено в Люксембург.

128

От това следва, че при посещаването на уебсайта на КБЕ на 30 март 2022 г. личните данни на ищеца са предадени на установен в Съюза получател.

129

Освен това, дори да се приеме, че личните данни на ищеца не са напуснали територията на Съюза, тези данни все пак са били прехвърлени на сървър, който принадлежи към мрежата от периферни пунктове на услугата Amazon CloudFront, която, що се отнася до доставянето на съдържанието на уебсайта на КБЕ, обхваща периферна мрежа от пунктове, която не се ограничава само до територията на ЕИП, но излиза извън нея (вж. т. 116 по-горе).

130

Описаните в точка 127 по-горе конкретни обстоятелства обаче не доказват наличието на предаване на лични данни към получатели, установени извън територията на ЕИП, по-специално в Съединените щати.

131

Следователно спорното предаване, осъществено по време на посещаването на уебсайта на КБЕ на 30 март 2022 г., не представлява предаване на лични данни на трета държава по смисъла на член 46 от Регламент 2018/1725, тъй като концепцията за предаване на трета държава изисква личните данни да бъдат предоставени на получател, установен извън ЕИП (вж. т. 93 по-горе).

132

Този извод не се поставя под съмнение от довода на ищеца, че като дъщерно дружество на американско предприятие AWS EMEA е длъжно да предава лични данни на американските органи, дори когато тези данни се съхраняват на територията на Съюза.

133

Макар несъмнено да е вярно, че достъпът до лични данни, обработвани в ЕИП от органите на трета държава по силата на законодателството на тази държава, представлява предаване на лични данни на трета държава по смисъла на член 46 от Регламент 2018/1725, това не променя факта, че в случая не е установено, че такъв достъп е бил предоставен. Всъщност ищецът нито е доказал или твърдял, че на американските власти са предадени каквито и да било негови лични данни, нито е доказал или твърдял съществуването на искане на тези органи във връзка с данните, които са били предадени на въпросния сървър на Amazon CloudFront, разположен в Мюнхен.

134

Следователно доводът на ищеца не се отнася до пряко нарушение на разпоредбите на глава V от Регламент 2018/1725, а само до риска от такова нарушение, в случай че AWS EMEA, поради качеството си на дъщерно дружество на американско предприятие, не е в състояние да се противопостави на искане на американските органи за достъп до данни, съхранявани от разположени на територията на ЕИП сървъри.

135

Въпреки това, сам по себе си рискът трета държава да получи достъп до лични данни не може да се приравни на предаване на данни по смисъла на член 46 от Регламент 2018/1725, както е тълкуван в точка 93 по-горе, тъй като не е доказано, че личните данни на ищеца са били предадени или предоставени по друг начин на установен в трета държава получател. С други думи, рискът от нарушение на посочения член 46 не може да се приравни на пряко нарушение на тази разпоредба.

136

Освен това следва да се припомни, че в рамките на настоящото искане за обезщетение проверката на Общия съд се отнася до това дали са налице условията за ангажиране на извъндоговорната отговорност на Комисията, и по-специално на условието за неправомерност на поведението на Комисията, което изисква да бъде доказано достатъчно съществено нарушение на разпоредбите на Регламент 2018/1725 и на Хартата, на които се позовава ищецът.

137

В това отношение сам по себе си рискът от нарушение на разпоредбите на глава V от Регламент 2018/1725 при всички положения не е достатъчен, за да се установи виновно поведение от страна на Комисията, съответстващо на достатъчно съществено нарушение на тези разпоредби.

138

Този извод не се поставя под въпрос от довода на ищеца, който се основава на решение Schrems II. Всъщност следва да се отбележи, че в това решение Съдът се е произнесъл по някои от условията, при които може да се извърши предаване на лични данни към Съединените щати, а не по тези, при които такива данни могат да бъдат обработвани на територията на ЕИП от дъщерни дружества на дружества, регистрирани по американското право, каквото AWS EMEA.

139

От всичко изложено по-горе следва, че що се отнася до спорното предаване на данни при посещаването на уебсайта на КБЕ на 30 март 2022 г., ищецът не е доказал, че Комисията е допуснала достатъчно съществено нарушение по смисъла на съдебната практика, припомнена в точка 50 по-горе, на разпоредбите на член 46 и член 48, параграф 1 и параграф 2, буква б) от Регламент 2018/1725, както и на членове 7, 8 и 47 от Хартата.

140

Ето защо, след като едно от кумулативните условия за ангажиране на извъндоговорната отговорност на Съюза, предвидени в член 340, втора алинея ДФЕС, не е изпълнено, следва да се отхвърли второто искане за обезщетение във връзка със спорното предаване на данни при посещаването на уебсайта на КБЕ на 30 март 2022 г., без да е необходимо да се разглеждат останалите доводи на ищеца.

141

Ищецът поддържа, че при посещаването на уебсайта на КБЕ на 8 юни 2022 г. личните му данни, и по-специално неговият IP адрес, са били предадени на разположени в Съединените щати сървъри на Amazon CloudFront. Според ищеца това предаване не произтича от действията му на потребител на уебсайта, а е резултат от функционирането на услугата Amazon CloudFront, в рамките на която рискът от предаване на данни към Съединените щати е присъщ на глобалната инфраструктура, на която се основава тази услуга. Положението на ищеца не се различавало от това на гражданин на Съюза, който посещава уебсайта на КБЕ, например при служебно пътуване в Съединените щати. Комисията не положила цялата дължима грижа, за да избегне предаването на данни на Съединените щати, тъй като избрала мрежа за доставяне на съдържание, основана на глобална структура, вместо чисто европейско разрешение за съхраняване на данни.

142

Според ищеца посоченото предаване на лични данни му причинило неимуществена вреда по смисъла на съображение 46 от Регламент 2018/1725, тъй като загубил контрола върху данните си, които са били предадени на Съединените щати и са били обект на незаконен надзор от страна на американските органи, а също така ищецът бил лишен от своите права и свободи.

143

Комисията оспорва тези доводи.

144

Най-напред и с оглед на доводите на ищеца следва да се припомни, че в рамките на настоящото искане за обезщетение Общият съд не разглежда пряко законосъобразността на решението на Комисията да използва услугата Amazon CloudFront за доставяне на съдържанието на уебсайта на КБЕ, а осъществява проверка на условията за ангажиране на извъндоговорната отговорност на Комисията във връзка със спорното предаване на данни при посещаването на уебсайта на КБЕ на 8 юни 2022 г.

145

В случая Общият съд счита за уместно да разгледа най-напред условието за наличие на причинно-следствена връзка между твърдяното неправомерно поведение на Комисията и изтъкнатата неимуществена вреда.

146

От съдебната практика, припомнена в точка 55 по-горе следва, че свързаното с причинно-следствената връзка условие се отнася до наличието на достатъчно пряка връзка на причина и следствие между поведението на институцията и вредата, връзка, за която ищецът трябва да представи доказателства, така че поведението, за което я упреква, трябва да бъде основната причина за настъпването на вредата.

147

Освен това от съдебната практика следва, че причинно-следствената връзка, която се изисква за ангажирането на извъндоговорната отговорност на Съюза по смисъла на член 340, втора алинея ДФЕС, е налице, когато вредата е пряка последица от въпросното противоправно действие (решение от 28 юни 2007 г., Internationaler Hilfsfonds/Комисия,C‑331/05 P, EU:C:2007:390, т. 23).

148

Що се отнася до прекия характер на причинно-следствената връзка, Общият съд вече е постановил, че вредата трябва да произтича пряко от твърдяното нарушение, а не от действията, които жалбоподателят е предприел спрямо акта, който смята за незаконосъобразен. Поради това се приема, че фактът, че неправомерното поведение е необходимо условие (conditio sine qua non) за настъпването на вредата, в смисъл че тя не би настъпила при липсата на това поведение, сам по себе си не е достатъчен, за да се установи наличието на достатъчно пряка причинно-следствена връзка по смисъла на съдебната практика на Съюза (вж. в този смисъл и по аналогия решения от 30 ноември 2011 г., Transnational Company Kazchrome и ENRC Marketing/Съвет и Комисия, T‑107/08, EU:T:2011:704, т. 80 и цитираната съдебна практика, и от 23 май 2019 г., Remag Metallhandel и Jaschinsky/Комисия, T‑631/16, непубликувано, EU:T:2019:352, т. 52 и цитираната съдебна практика).

149

Така от съдебната практика следва, че такава причинно-следствена връзка не е доказана, когато твърдяната вреда е пряка последица от собственото решение или от свободния избор на ищеца и следователно не може да бъде вменена на съответната институция или орган (вж. в този смисъл и по аналогия решения от 28 юни 2007 г., Internationaler Hilfsfonds/Комисия, C‑331/05 P, EU:C:2007:390, т. 22—29, от 17 февруари 2017 г., Novar/EUIPO, T‑726/14, EU:T:2017:99, т. 31 и 32, и от 28 февруари 2018 г., Vakakis kai Synergates/Комисия, T‑292/15, EU:T:2018:103, т. 173 и цитираната съдебна практика).

150

Ето защо в случая следва да се провери дали поведението, в което се упреква Комисията, а именно използването на услугата Amazon CloudFront като мрежа за доставяне на съдържание на уебсайта на КБЕ, е пряка причина за твърдяната неимуществена вреда, състояща се в загуба на контрол върху личните данни на ищеца, които са били предадени на Съединените щати при посещаването от негова страна на посочения уебсайт от 8 юни 2022 г.

151

В това отношение, първо, от преписката, както и от отговорите на страните на поставените в съдебното заседание въпроси следва, че на 8 юни 2022 г. ищецът се е намирал в Мюнхен и е посещавал многократно уебсайта на КБЕ. При тези консултации IP адресът на ищеца е установил последователни свързвания с различни сървъри на услугата Amazon CloudFront, които са били много отдалечени един от друг в географско отношение. Така в 7:13 ч. IP адресът се е свързал със сървър, находящ се в Мюнхен, в 11:13 ч. — със сървър, находящ се в Лондон (Обединеното кралство), в 12:56 ч. — със сървър, находящ се в Хилсборо (Орегон, Съединени щати), в 13:05 ч.— със сървър, находящ се в Нюарк, и в 19:12 ч. — със сървър, находящ се във Франкфурт на Майн (Германия).

152

Второ, от преписката е видно, че IP адресът на ищеца е предаден на различните сървъри на услугата Amazon CloudFront, посочени в точка 151 по-горе, включително на тези, намиращи се в Съединените щати.

153

Трето, следва да се припомни, че IP адресът на ищеца спада към неговите лични данни.

154

Четвърто, следва да се отбележи, че на 8 юни 2022 г. на уебсайта на КБЕ са отчетени 4548 влизания и 18 различни IP адреса. Сред тях само един IP адрес, а именно този на ищеца, е установил връзка със сървъри извън Съюза, а именно в Съединените щати и Обединеното кралство. В това отношение следва да се отбележи, че не е доказано, нито дори се твърди, че на 8 юни 2022 г. услугата Amazon CloudFront за уебсайта на КБЕ е имала технически проблем или проблем от друг характер, който да възпрепятства нормалното функциониране на механизма му за маршрутиране съгласно принципа на близост, който насочва заявките на потребителите на уебсайта на КБЕ към периферния сървър, който предоставя най-ниска латентност според географското местоположение на ползвателя (вж. т. 112 по-горе).

155

Пето, що се отнася до обстоятелствата около свързванията, установени от IP адреса на ищеца към сървъри в Съединените щати, от една страна, от преписката, както и от отговорите на страните в съдебното заседание е видно, че ищецът твърди, че тези връзки са резултат от функционирането на Amazon CloudFront, а не от каквато и да било манипулация, извършена от него. От друга страна, Комисията отбелязва, че тези връзки са нетипични и могат да бъдат обяснени само с техническа манипулация от страна на ищеца.

156

В това отношение следва да се констатира, че описаните в точка 151 по-горе обстоятелства показват, че различните местоположения на сървърите, с които е свързан IP адресът на ищеца, не биха могли да произтичат от физическото преместване на ищеца в рамките на същия ден, което е невъзможно с оглед на разглежданите разстояния и интервали от време. Освен това не е доказано, нито дори се твърди, че услугата Amazon CloudFront функционира неправилно, което позволява да се заключи, че на 8 юни 2022 г. тази услуга е функционирала съгласно принципа на близост с терминалното устройство на потребителя, като нейният механизъм за маршрутиране е насочвал заявките на потребителите на уебсайта на КБЕ към периферния сървър, който е предоставял най-ниска латентност (вж. т. 154 по-горе).

157

При тези обстоятелства свързванията на IP адреса на ищеца с разположени в Съединените щати сървъри, при положение че той се е намирал в Германия, не биха могли да произтичат от нормалното функциониране на услугата Amazon CloudFront, а по-скоро от техническа настройка, извършена от ищеца с цел промяна на явното му местонахождение, като той е възприел поведение в цифровата област, сякаш на същата дата се е намирал последователно на места в близост до Мюнхен, Лондон, Хилсборо, Нюарк и Франкфурт на Майн.

158

От това следва, че действително услугата Amazon CloudFront, с нейния механизъм за маршрутиране, функционира в съответствие с принципа на близост и обхваща по-широка географска зона от територията на ЕИП, включваща по-специално Съединените щати (вж. т. 112 и 114 по-горе), което е позволило при посещенията на уебсайта на КБЕ IP адресът на ищеца да установи връзки със сървъри на Amazon CloudFront, разположени в Съединените щати.

159

Въпреки това, макар използването от Комисията на услугата Amazon CloudFront да е необходимо условие за осъществяване на посоченото в точка 152 по-горе предаване на лични данни към Съединените щати, при условията на настоящия случай това обстоятелство не е достатъчно, за да се установи достатъчно пряка причинно-следствена връзка между твърдените от ищеца неимуществени вреди и твърдяното неправомерно поведение на Комисията, изразяващо се в използването на такава услуга в нарушение на разпоредбите на глава V от Регламент 2018/1725.

160

Всъщност именно поведението на ищеца трябва да се разглежда като пряка и непосредствена причина за твърдяната неимуществена вреда, а не твърдяното нарушение от страна на Комисията при използването на услугата Amazon CloudFront.

161

Така именно ищецът е създал необходимите условия за създаване на връзки със сървъри в Съединените щати посредством функционирането на услугата Amazon CloudFront. Именно поведението на ищеца е довело до препращането — посредством механизма за маршрутиране на услугата Amazon CloudFront — на неговите заявки за посещаване на уебсайта на КБЕ към разположени в Съединените щати сървъри, тъй като именно последните са имали най-ниска латентност по отношение на видното цифрово местонахождение на ищеца, въпреки че то не съответства на действителното му местонахождение.

162

Освен това ищецът не е имал основание да следва поведение, насочено към постигането на определен резултат (а именно предаването на личните му данни на трета държава) и вследствие на това да иска поправяне на вредите, за които твърди, че произтичат от този резултат, причинен пряко от неговото поведение. Така, противно на твърденията на ищеца, в рамките на иск за обезщетение като настоящия неговото положение не може да се преценява по начин, подобен на този на потребител, който действително се е преместил в Съединените щати и който съответно е имал достъп до уебсайта на КБЕ от тази държава.

163

От всичко изложено по-горе следва, че що се отнася до спорното предаване на данни при посещаването на уебсайта на КБЕ на 8 юни 2022 г., не е доказано наличието на достатъчно пряка причинно-следствена връзка между твърдяното неправомерно поведение на Комисията и твърдените неимуществени вреди.

164

При липсата на едно от кумулативните условия за ангажиране на извъндоговорната отговорност на Съюза искането за обезщетение във връзка със спорното предаване на данни при посещаването на уебсайта на КБЕ на 8 юни 2022 г. следва да се отхвърли, без да е необходимо да се разглеждат другите условия за ангажиране на посочената отговорност.

165

Ищецът поддържа, че на 30 март 2022 г. при записването му в за участие в събитието „GoGreen“, достъпно на уебсайта на КБЕ, неговият IP адрес, както и информация за браузъра и използваното от него терминално устройство, са били предадени на предприятието Meta Platforms, установено в Съединените щати, което е собственик на социалната мрежа Facebook. Всъщност при това записване ищецът бил насочен към услугата за автентификация на Съюза EU Login, която предлага по-специално свързване посредством различни социални мрежи. Ищецът избрал свързване посредством своя Facebook профил и когато кликвал върху хипервръзката си към Facebook, тази връзка довела до предаване на IP адреса му на Facebook. Ищецът приел само „строго необходимите бисквитки“ на Facebook. Други лични данни на ищеца, а именно неговият електронен адрес, фамилното и собственото му име и профилна снимка, били събрани от Facebook с помощта на бисквитки, по-специално на бисквитката, наречена „sb“, и прехвърлени на сървърите на Meta Platforms. От съдебната практика следвало, че операторите на уебсайтове, които използват Facebook на своите уебсайтове, какъвто е случаят с Комисията, носят заедно с Facebook отговорност за спазването на правото на Съюза относно защитата на данните. Следователно Комисията била съотговорна за поставянето на съхраняваните от Facebook бисквитки. Ищецът загубил контрола върху личните си данни, предадени на Facebook, и бил лишен от своите права и свободи, което представлявало неимуществена вреда по смисъла на съображение 46 от Регламент 2018/1725.

166

Комисията оспорва тези доводи. По същество тя твърди, че нито е извършила, нито е инициирала предаване на данни на Meta Platforms. Не било задължително да се регистрира чрез EU Login, за да участва в събитието „GoGreen“, и дори използвайки EU Login, ищецът имал различни възможности за автентификация, включително такива, които не изисквали използването на профил в социални мрежи. Следователно ищецът е избрал да се свърже с услугата EU Login посредством своя Facebook профил и следователно той, а не Комисията, е инициирал достъпа до уебсайта на Facebook. Освен това от техническа гледна точка възможността за автентификация посредством Facebook се реализирала посредством хипервръзка, публикувана на уебсайта EU Login, която не съдържала лични данни на ползвателя. Обратно на твърденията на жалбоподателя, данните, събрани посредством бисквитки, използвани от Facebook, не били изпращани на Комисията при свързване с EU Login и тя не била отговорна за тях. Тези бисквитки произтичали от обмена на информация между Facebook и ищеца въз основа на даденото от него съгласие, като Комисията не участвала в този обмен. Освен това Комисията поддържа, че съдебната практика, на която се позовава ищецът, не е приложима в случая и че при всички положения доводът на ищеца за съвместна отговорност на Комисията и на Meta Platforms бил ново основание, изтъкнато за първи път на етапа на репликата, което съответно било недопустимо.

167

В случая най-напред следва да се разгледа фактическата обстановка, в която се вписва спорното предаване на данни, осъществено при свързването с EU Login на 30 март 2022 г., като се вземат предвид произтичащите от преписката обстоятелства, както и отговорите на страните на въпросите, поставени от Общия съд в съдебното заседание, и в рамките на процесуално-организационното действие от 9 февруари 2024 г.

168

В това отношение следва да се констатира, че събитието „GoGreen“, организирано от орган, установен в Нидерландия, е било обявено на уебсайта на КБЕ. Записването за участие в това събитие е можело да се осъществи по-специално на уебсайта на КБЕ чрез услугата EU Login.

169

Ищецът решава да се регистрира на уебсайта на КБЕ, използвайки EU Login.

170

EU Login е услугата на Комисията по удостоверяване на самоличността на потребител, която защитава няколкостотин уебсайтове и приложения, свързани със Съюза. В конкретния случай свързването с EU Login за целите на регистрацията за участие в събитието „GoGreen“ има за цел да гарантира, че тази регистрация е извършена чрез проверен електронен адрес, като по този начин се намаляват рисковете, свързани със записването на фалшиви потребители или със злоупотребата със самоличност.

171

EU Login указва няколко възможности за връзка на своята интернет страница. Първият вариант е да се осъществи пряко свързване с EU Login посредством попълване на данните за свързване със съществуващ преди това профил EU Login или посредством създаване на профил за тази услуга. Вторият вариант е да се използва електронна лична карта „eID“, достъпна за гражданите на някои държави членки. Третият вариант, който е на разположение за ограничен брой услуги, е използването на профил, който вече е създаден от потребителя във Facebook, Twitter или Google, посредством кликване върху съответната хипервръзка, публикувана на уебсайта на EU Login.

172

Възможността за свързване с EU Login посредством Facebook профил произтича от факта, че Комисията е счела, че на потребителите следва да се предостави избор да се свържат с EU Login чрез вече съществуващи профили на платформи, за да им се предостави по-лесен и бърз достъп, както и възможност за удостоверяване на автентичността, без да е нужно създаването на профил EU Login, за да се избегне увеличаването на броя на профилите и субектите, с които потребителите трябва да споделят личните си данни. Освен това Комисията счита, че Facebook е надежден за целите на проверката на адресите на електронната поща на ползвателите с оглед да приетите от него мерки. При все това, хипервръзката, позволяваща свързване посредством съществуващ Facebook профил, е на разположение на EU Login единствено за уебсайтовете или за приложенията, за които е необходимо елементарно ниво на сигурност.

173

Ищецът избира възможността да се свърже с EU Login чрез своя Facebook профил, като използва хипервръзката „Sign in with Facebook“, публикувана на уебсайта на EU Login (наричана по-нататък „хипервръзката „свързване посредством Facebook“).

174

Хипервръзката „свързване посредством Facebook“ съдържа връзка към външен за Комисията уебсайт. Когато тази хипервръзка е активирана чрез кликване върху нея, тя предоставя достъп до URL на уебсайта на Facebook, тоест до индивидуален адрес на този уебсайт.

175

Достъпът до URL адреса на уебсайта на Facebook води до обмен на информация между браузъра на потребителя и посочения уебсайт, в рамките на която браузърът предава IP адреса на потребителя на съответния уебсайт. Посоченото предаване е сходно с това, което възниква, когато потребителят изписва директно URL адреса на който и да е интернет сайт в своя браузър, доколкото IP адресът трябва задължително да бъде съобщен от всеки интернет потребител, който желае да получи достъп до уебсайт.

176

Чрез хипервръзката „свързване посредством Facebook“ EU Login изпраща на Facebook определена информация, която е необходима за целите на процеса на автентификация и е под следната форма.

177

По-конкретно, информацията, която се съдържа в хипервръзката „свързване посредством Facebook“, е следната:

178

След като потребителят получи достъп до URL на Facebook, той се намира на този уебсайт, на който най-напред се появява прозорец, който иска от потребителя да приеме използването от Facebook на идентификатори или „бисквитки“. По-нататък, ако бисквитките се приемат, се отваря друг прозорец, позволяващ да се попълни потребителското име и паролата на профила на потребителя във Facebook. Накрая, след като се е свързал със своя Facebook профил, потребителят може да разреши на Facebook да използва бисквитки в други приложения и уебсайтове, като отговори на въпроса „allow Facebook to use cookies and similar technologies placed on other apps and website?“. Ако потребителят се съгласи с подобно използване, от него впоследствие се изисква да даде съгласие Facebook да предостави на EU Login собственото му име, фамилното му име, снимката му и електронния му адрес, свързани с неговия Facebook профил. Освен това по време на целия този процес ползвателят може да прекъсне автентификацията посредством своя Facebook профил, като избере опцията „Cancel“. В тази хипотеза той се пренасочва към уебсайта на EU Login, където отново се появява страницата с опциите за свързване.

179

В случая, когато ищецът е кликвал върху хипервръзката „свързване посредством Facebook“, неговият интернет браузър е получил достъп до URL адреса на уебсайта на Facebook и поради това е съобщил IP адреса си на този уебсайт. По-нататък, когато е бил на уебсайта на Facebook, ищецът е избрал възможностите, позволяващи на Facebook да използва само строго необходими бисквитки, след това се е свързал със своя Facebook профил, и накрая е разрешил на Facebook да съобщи на EU Login собственото му име, фамилното му име, профилната му снимка и електронния му адрес, както са посочени на неговия Facebook профил.

180

В следствие от тези разрешения, предоставени от ищеца, Facebook го е препратил към уебсайта на EU Login в съответствие с указанията, съдържащи се в хипервръзката, „свързване посредством Facebook“ (вж. точка 177, първо и второ тире по-горе).

181

Същевременно Facebook е съобщил на EU Login произволната стойност, използвана за целите на сигурността, и единния код, посочени по-горе в точка 177, четвърто и пето тире. От една страна, това съобщаване на Facebook е позволило на EU Login да установи, че личните данни, които Facebook предоставя на негово разположение, се отнасят до ползвателя, който е започнал процеса на автентификация, а именно в случая ищецът. От друга страна, посоченото съобщаване позволява на EU Login за ограничен период от време да получи достъп до личните данни, посочени в точка 177, трето тире по-горе, а именно по-специално собственото, фамилното име и електронния адрес на ищеца, посочени от него в неговия Facebook профил. Предаването на тези данни от Facebook на EU Login е извършено чрез криптирана връзка между тях. EU Login удостоверява електронния адрес на ищеца именно въз основа на предоставените от Facebook данни.

182

Освен това следва да се отбележи, че социалната мрежа Facebook се притежава от предприятието Meta Platforms, установено в Съединените щати.

183

Освен това следва да се отбележи, че поместването на тази хипервръзка на уебсайта на EU Login се урежда от общите условия на платформата Facebook, оповестени на интернет адреса „https://developers.facebook.com/terms“.

184

Именно в светлината на тези съображения следва да се провери дали са изпълнени условията за ангажиране на извъндоговорната отговорност на Комисията.

185

Ищецът изтъква по същество, че при свързването му с EU Login на 30 март 2022 г. негови лични данни, и по-специално неговият IP адрес, са били предадени на сървърите на социалната мрежа Facebook, чийто собственик е предприятие, установено в Съединените щати. Това предаване било извършено в нарушение на член 46 от Регламент 2018/1725 и причинило на ищеца неимуществена вреда, състояща се в загуба на контрол върху неговите данни и в лишаването му от неговите права и свободи.

186

Най-напред следва да се припомни, че както следва от точка 95 по-горе, предаването на лични данни на трета държава по смисъла на член 46 от Регламент 2018/1725 изисква институция, орган, служба или агенция на Съюза да предоставя чрез предаване или по друг начин лични данни на получател, установен в трета държава, т.е. държава, която не е член нито на Съюза, нито на ЕИП.

187

В случая е доказано, първо, че сред възможностите за свързване с EU Login ищецът е избрал да се свърже посредством своя Facebook профил. Второ, хипервръзката „свързване посредством Facebook“ съдържа връзка към URL адреса на уебсайта на Facebook. Трето, когато ищецът е активирал тази хипервръзка, кликвайки върху нея, браузърът му е получил достъп до URL адреса на уебсайта на Facebook и впоследствие ищецът е изпратил IP адреса си на Facebook. (вж. т. 173—175 по-горе).

188

От това следва, че чрез хипервръзката „свързване посредством Facebook“, публикувана на интернет страницата на EU Login, Комисията е създала условията IP адресът на ищеца да бъде предаден на Facebook. Този IP адрес обаче попада в обхвата на личните данни на ищеца (вж. т. 122 по-горе), които чрез посочената хипервръзка са били предадени на предприятието Meta Platforms, установено в Съединените щати. Следователно това предаване съответства на предаване на лични данни на трета държава по смисъла на член 46 от Регламент 2018/1725.

189

Освен това в случая е доказано, че към момента на предаването на данните, а именно 30 март 2022 г., по отношение на Съединените щати не е съществувало каквото и да е решение относно адекватното ниво на защита по смисъла на член 47 от Регламент 2018/1725 (вж. т. 100 по-горе).

190

При липса на решение на Комисията относно адекватното ниво на защита по отношение на Съединените щати предаването на лични данни на трета държава или на международна организация може да се извърши само ако администраторът или обработващият лични данни е предвидил подходящи гаранции и при условие че на субекта на данни са предоставени изпълняеми права и ефективни правни средства за защита в съответствие с член 48, параграф 1 от Регламент 2018/1725 (вж. т. 101 по-горе).

191

В случая Комисията не доказва, нито дори твърди съществуването на подходяща гаранция, по-специално на типова клауза за защита на данните или на договорна клауза, приети при условията, предвидени в член 48, параграфи 2 и 3 от Регламент 2018/1725 (вж. т. 102—104 по-горе). За сметка на това е доказано, че поместването на хипервръзката „свързване посредством Facebook“ на уебсайта на EU Login се урежда само от общите условия на платформата Facebook (вж. т. 183 по-горе).

192

Поради това Комисията е създала условия лични данни на ищеца да бъдат предадени на трета държава, без обаче да спази условията, предвидени в член 46 от Регламент 2018/1725.

193

Ето защо, без да е необходимо да се разглеждат останалите доводи на ищеца, следва да се заключи, че Комисията е допуснала достатъчно съществено нарушение по смисъла на съдебната практика, припомнена в точка 50 по-горе, на член 46 от Регламент 018/1725, що се отнася до спорното предаване на данни при свързването с EU Login на 30 март 2022 г.

194

Следователно трябва да се провери дали другите условия за ангажиране на извъндоговорната отговорност на Комисията, свързани с вредата и с причинно-следствената връзка, са изпълнени в настоящия случай.

195

Ищецът твърди, че незаконното предаване на IP адреса му на предприятие, установено в Съединените щати, му е причинило неимуществена вреда, изразяваща се в загуба на контрола върху неговите данни и в лишаването му от неговите права и свободи.

196

В това отношение следва да се приеме, че член 65 от Регламент 2018/1725 дава право на обезщетение не само за имуществените, но и за неимуществените вреди, претърпени в резултат на нарушение на този регламент, без да е необходимо да се доказва определен праг на значимост (вж. в този смисъл и по аналогия решение от 4 май 2023 г., Österreichische Post (Неимуществени вреди, свързани с обработването на лични данни), C‑300/21, EU:C:2023:370, т. 45 и 51).

197

В случая твърдяната от ищеца неимуществена вреда трябва да се счита за действителна и сигурна по смисъла на съдебната практика, припомнена в точка 54 по-горе, доколкото посоченото в точка 188 по-горе предаване на данни, извършено в нарушение на член 46 от Регламент 2018/1725, поставя ищеца в положение на несигурност относно обработването на личните му данни, и по-специално на неговия IP адрес.

198

Освен това съществува достатъчно пряка причинно-следствена връзка по смисъла на припомнената в точка 55 по-горе съдебна практика между нарушението от страна на Комисията на член 46 от Регламент 2018/1725 и претърпяната от ищеца неимуществена вреда.

199

При обстоятелствата в конкретния случай размерът на причинената от Комисията неимуществена вреда следва да се оцени ex æquo et bono на 400 евро.

200

Поради това Комисията следва да бъде осъдена да заплати на ищеца обезщетение в размер на 400 евро за претърпяната неимуществена вреда в резултат от спорното предаване на данни при свързването с EU Login на 30 март 2022 г.

201

Съгласно член 134, параграф 3 от Процедурния правилник на Общия съд всяка страна понася направените от нея разноски, ако е загубила по едно или няколко от предявените основания. Съдът обаче може да реши една от страните да понесе, наред с направените от нея съдебни разноски, и част от съдебните разноски на другата страна, ако обстоятелствата по делото оправдават това.

202

В случая първото и второто искане, както и част от третото искане на ищеца се отхвърлят. Третото искане обаче е частично уважено и Комисията е осъдена да плати поисканото от ищеца обезщетение за неимуществената вреда, която е претърпял в резултат от спорното предаване на данни при свързването с EU Login на 30 март 2022 г. При тези обстоятелства трябва да се постанови, че Комисията следва да понесе направените от нея съдебни разноски и половината от съдебните разноски, направени от ищеца. Ищецът понася половината от направените от него съдебни разноски.

По изложените съображения

ОБЩИЯТ СЪД (шести разширен състав)

реши:

Обстоятелства по спора и факти, настъпили след подаването на иска

Искания на страните

От правна страна

Предварителни съображения относно защитата на личните данни от институциите, органите, службите и агенциите на Съюза

По допустимостта

Допустимост на исканията за отмяна

Допустимост на искането за установяване на неправомерно бездействие

По искането за обезщетение

Предварителни съображения относно условията за ангажиране на извъндоговорната отговорност на Съюза в рамките на Регламент 2018/1725

По първото искане за обезщетение за неимуществените вреди, произтичащи от нарушение на правото на достъп до информация

По второто искане за обезщетение за неимуществената вреда, произтичаща от спорните предавания на данни

– Предварителни съображения във връзка с разпоредбите относно предаването на лични данни на трета държава

– По функционирането на услугата Amazon CloudFront в рамките на уебсайта на КБЕ

– Спорното предаване на данни при посещаването на уебсайта на КБЕ на 30 март 2022 г.

– Спорното предаване на данни при посещаването на уебсайта на КБЕ на 8 юни 2022 г.

– Спорното предаване на данни при свързването с EU Login на 30 март 2022 г.

По съдебните разноски