Kohtujurist: tekitatud Google Fontsi massinõuete eest GDPR-hüvitist ei ole

Kohtujurist Maciej Szpunar tegi ettepanekuEuropa 5. novembril 2026 jätta konstrueritud GDPR-massihagid rahuldamata: oma ettepanekus kohtuasjas C-654/25 [Undelam]Europa, Bundesgerichtshofi eelotsusetaotluse alusel, järeldab ta, et USA-s asuvale Google'ile saidilt, mis kasutab Google Fontsi vaikesätetega, saadetud dünaamiline IP-aadress on Google'i jaoks vahetult isikuandmed, kui Google suudab külastaja tuvastada, ja saidioperaatori jaoks kaudselt, kui see teadis või oleks pidanud teadma, et see nii onEuropa; ning et moraalset kahju ei saa tunnustada, kui andmesubjekt on teadlikult esile kutsunud määruse rikkumise automatiseeritult ja korduvalt, et selle eest hüvitist saada.

Vaidlus on ärimudel: külastaja ehitas roomamistarkvara, mis skannib suurt hulka saite dünaamilise Google Fontsi seadistuse leidmiseks ja külastab neid seejärel automaatselt, nii et tema enda dünaamiline IP edastatakse USA-s asuvale Google'ile. Tema advokaat saatis seejärel ametliku nõude kohustuse võtmiseks, rikkumise lõpetamiseks ja 170 euro tasumiseksEuropa, rutiini, mida korrati tuhandete operaatorite suhtes, eelotsust taotleva kohtu andmetel üle 100 000 korra. Operaator maksis ja kaebas seejärel tagasimakse kohtusse. Esimese astme kohus mõistis tagasi maksta 70 eurot; apellatsioonikohus mõistis solidaarselt külastajalt ja tema advokaadilt välja täielikud 170 eurot tahtliku heade kommete vastase kahju tekitamise eest, otsustamata GDPR-rikkumise küsimust, põhjendusega, et moraalset kahju ei ole, kui edastus on teadlikult raha saamiseks esile kutsutud. Bundesgerichtshof muutis tagasimakse sõltuvaks sellest, kas külastajal üldse on artikli 82 kohane hüvitisnõue.

Esimese küsimuse osas toetab kohtujurist kohtu Breyerist alates järgitud suhtelist lähenemist: see, kas dünaamiline IP on artikli 4 punkti 1 kohane isikuandmed, sõltub üksusest, kellel see on, hinnatuna konkreetseltEuropa. Otsustav on saaja vaatenurk, kuna edastatakse ainult IP-aadress, mitte mingi identiteet; analoogia pseudonüümseks muudetud andmete kolmandale isikule edastamisega on lubatud. Lävi on suhteliselt madal: mitte tõendatud, kindel tuvastamine, vaid risk, mis ei ole ebaoluline. Google'i tohutud kogutud andmed, identifikaatoritest ja sirvimiskäitumisest IP-aadressi ja asukohani, koos edastatud IP-ga isikupärastamiseks, võivad sellise riski põhjendada, eelotsust taotleval kohtul kontrollida. Kuid vastutava töötleja kohustused lasuvad operaatoril ainult siis, kui see teadis või oleks pidanud teadma, et saaja suudab külastaja tuvastadaEuropa; vastasel juhul vastutaks see rikkumise eest puhtalt välistel asjaoludel, millest see ei pruugi teadlikki olla.

Teise küsimuse osas eeldab artikli 82 lõige 1 hüvitist ainult kolme kumulatiivse tingimuse täitmisel, määruse rikkumine, kantud kahju ja põhjuslik seos, kusjuures kahju ei eeldata kunagi. Kohus peab pelgalt andmete ”kontrolli kaotust” ja juhtumi asjaoludel põhjendatud hirmu tulevase väärkasutuse ees hüvitatavaks moraalseks kahjuks. Kumbki ei sobi siia: külastaja ei kaotanud kontrolli, tema andmeid kasutati täpselt nii, nagu ta oli plaaninud, ning korduv massiline provokatsioon spetsiaalselt ehitatud tarkvaraga ei näita põhjendatud hirmu väärkasutuse ees, heal juhul valmisolekut riski võttaEuropa.

Alternatiivselt, kui kohus peaks tuvastama moraalse kahju, lükkaks kohtujurist nõude tagasi väärkasutusenaEuropa: GDPR-i eesmärki ei saavutatud vaatamata formaalsele järgimisele, ja külastaja taotles eelkõige rahaEuropa, luues tingimused kunstlikult massiliste automatiseeritud külastuste ja tuhandete 170-euroste nõuetega. Finantsmotiiv peab olema ainult peamine, mitte ainus, nagu M.I.C.M.-i autoriõigustrollide praktika puhul; võimalik operaatoreid teadlikkust tõstev kõrvalmõju väärkasutust ei ravi.

Õiguslik alus: määruse (EL) 2016/679 artikli 4 punkt 1 ja artikli 82 punkt 1.