Už surežisuotus Google Fonts masinius reikalavimus – jokios BDAR kompensacijos

Generalinis advokatas Maciej Szpunar pasiūlėEuropa 2026 m. lapkričio 5 d. atmesti surežisuotus BDAR masinius reikalavimus: savo išvadoje byloje C-654/25 [Undelam]Europa pagal Bundesgerichtshof prašymą jis daro išvadą, kad dinaminis IP adresas, kurį svetainė, naudojanti Google Fonts pagal numatytuosius nustatymus, siunčia Google Jungtinėse Valstijose, Google yra asmens duomenys tiesiogiai, kai Google gali nustatyti lankytojo tapatybę, o svetainės operatoriui – netiesiogiai, kai šis žinojo arba turėjo žinoti, kad taip yraEuropa; ir kad moralinė žala negali būti pripažinta, kai duomenų subjektas sąmoningai išprovokavo reglamento pažeidimą automatizuotai ir pakartotinai, kad už tai gautų kompensaciją.

Ginčas yra verslo modelis: lankytojas sukūrė naršymo programinę įrangą, kuri skenuoja daugybę svetainių ieškodama dinaminės Google Fonts konfigūracijos, o tada jas automatiškai aplanko, kad jo paties dinaminis IP būtų perduotas Google Jungtinėse Valstijose. Jo advokatas tada išsiuntė oficialų reikalavimą įsipareigoti, nutraukti pažeidimą ir sumokėti 170 eurųEuropa, rutiną, kartotą tūkstančiams operatorių, prašymą pateikusio teismo duomenimis, daugiau kaip 100 000 kartų. Operatorius sumokėjo, o tada pareiškė ieškinį dėl grąžinimo. Pirmosios instancijos teismas priteisė grąžinti 70 eurų; apeliacinis teismas solidariai iš lankytojo ir jo advokato priteisė visus 170 eurų už tyčinį gerai moralei prieštaraujantį žalos padarymą, nespręsdamas BDAR pažeidimo klausimo, motyvuodamas, kad moralinės žalos nėra ten, kur perdavimas sąmoningai išprovokuotas dėl pinigų. Bundesgerichtshof grąžinimą susiejo su tuo, ar lankytojas apskritai turi 82 straipsnyje numatytą teisę į kompensaciją.

Dėl pirmojo klausimo generalinis advokatas pritaria Teisingumo Teismo nuo Breyer taikomam reliatyviajam požiūriui: tai, ar dinaminis IP yra asmens duomenys pagal 4 straipsnio 1 dalį, priklauso nuo subjekto, kuris jį turi, vertinant konkrečiaiEuropa. Lemiamas yra gavėjo požiūris, nes perduodamas tik IP adresas, o ne jokia tapatybė; analogija su pseudonimizuotų duomenų perdavimu trečiajai šaliai yra leistina. Slenkstis yra santykinai žemas: ne įrodyta, tikra tapatybės nustatymo galimybė, o rizika, kuri nėra nereikšminga. Didžiuliai Google surinkti duomenys, nuo identifikatorių ir naršymo iki IP ir vietos, kartu su perduotu IP personalizavimui gali pagrįsti tokią riziką, prašymą pateikusiam teismui patikrinti. Tačiau valdytojo pareigos operatoriui tenka tik kai šis žinojo arba turėjo žinoti, kad gavėjas gali nustatyti lankytojo tapatybęEuropa; priešingu atveju jis atsakytų už pažeidimą dėl grynai išorinių aplinkybių, apie kurias jis galbūt net nežino.

Dėl antrojo klausimo 82 straipsnio 1 dalis kompensaciją sieja tik su trimis kumuliacinėmis sąlygomis, reglamento pažeidimu, patirta žala ir priežastiniu ryšiu, žalos niekada nepreziumuojant. Teismas vien ”kontrolės praradimą” duomenų atžvilgiu ir pagrįstą baimę dėl būsimo piktnaudžiavimo bylos aplinkybėmis laiko kompensuotina moraline žala. Nei viena, nei kita čia netinka: lankytojas kontrolės neprarado, jo duomenys buvo naudoti tiksliai kaip jis planavo, o pakartotinė masinė provokacija specialiai sukurta programine įranga nerodo pagrįstos piktnaudžiavimo baimės, geriausiu atveju pasirengimą rizikuotiEuropa.

Alternatyviai, jei Teismas nustatytų moralinę žalą, generalinis advokatas reikalavimą atmestų kaip piktnaudžiavimąEuropa: BDAR tikslas nebuvo pasiektas nepaisant formalaus laikymosi, o lankytojas pirmiausia siekė pinigųEuropa, dirbtinai sudarydamas sąlygas masiniais automatizuotais apsilankymais ir tūkstančiais 170 eurų reikalavimų. Finansinis motyvas turi būti tik pagrindinis, o ne vienintelis, kaip ir autorių teisių trolių praktikoje byloje M.I.C.M.; galimas operatorius šviečiantis šalutinis poveikis piktnaudžiavimo nepanaikina.

Teisinis pagrindas: Reglamento (ES) 2016/679 4 straipsnio 1 dalis ir 82 straipsnio 1 dalis.