Nav GDPR atlīdzības par izprovocētām Google Fonts masveida prasībām

Ģenerāladvokāts Maciej Szpunar ierosinājaEuropa 2026. gada 5. novembrī noraidīt konstruētas VDAR masveida prasības: savos secinājumos lietā C-654/25 [Undelam]Europa pēc Bundesgerichtshof prejudiciālā jautājuma viņš secina, ka dinamiskā IP adrese, ko vietne, kas izmanto Google Fonts pēc noklusējuma, nosūta Google ASV, Google ir personas dati tieši, ja Google var identificēt apmeklētāju, bet vietnes operatoram – netieši, ja tas zināja vai tam vajadzēja zināt, ka tā tas irEuropa; un ka morāls kaitējums nav atzīstams, ja datu subjekts apzināti izprovocējis regulas pārkāpumu automatizēti un atkārtoti, lai par to saņemtu atlīdzību.

Strīds ir darījumdarbības modelis: apmeklētājs izveidoja rāpuļprogrammatūru, kas skenē lielu skaitu vietņu, meklējot dinamisko Google Fonts konfigurāciju, un pēc tam tās automātiski apmeklē, tā ka viņa paša dinamiskā IP tiek nosūtīta Google ASV. Viņa advokāts pēc tam nosūtīja oficiālu pieprasījumu apņemties, izbeigt pārkāpumu un samaksāt 170 euroEuropa, rutīnu, kas atkārtota pret tūkstošiem operatoru, iesniedzējtiesas ieskatā vairāk nekā 100 000 reižu. Operators samaksāja un pēc tam cēla prasību par atmaksu. Pirmās instances tiesa piesprieda atmaksāt 70 euro; apelācijas tiesa solidāri no apmeklētāja un viņa advokāta piedzina pilnus 170 euro par tīšu labiem tikumiem pretēju kaitējumu nodarīšanu, nenolemjdama jautājumu par VDAR pārkāpumu, pamatojot, ka morāla kaitējuma nav tur, kur nosūtīšana apzināti izprovocēta naudas dēļ. Bundesgerichtshof atmaksu padarīja atkarīgu no tā, vai apmeklētājam vispār ir 82. pantā paredzēta atlīdzības prasība.

Par pirmo jautājumu ģenerāladvokāts piekrīt Tiesas kopš Breyer īstenotajai relatīvajai pieejai: tas, vai dinamiskā IP ir personas dati 4. panta 1. punkta izpratnē, atkarīgs no vienības, kuras rīcībā tā ir, vērtējot konkrētiEuropa. Noteicošs ir saņēmēja skatpunkts, jo tiek nosūtīta tikai IP adrese, nevis kāda identitāte; analoģija ar pseidonimizētu datu nosūtīšanu trešajai personai ir pieļaujama. Slieksnis ir samērā zems: nevis pierādīta, droša identificēšana, bet risks, kas nav niecīgs. Google milzīgie savāktie dati, no identifikatoriem un pārlūkošanas līdz IP un atrašanās vietai, kopā ar nosūtīto IP personalizēšanai var pamatot šādu risku, iesniedzējtiesai pārbaudot. Taču pārziņa pienākumi operatoram ir tikai tad, ja tas zināja vai tam vajadzēja zināt, ka saņēmējs var identificēt apmeklētājuEuropa; citādi tas atbildētu par pārkāpumu tīri ārēju apstākļu dēļ, par kuriem tas varbūt pat nezina.

Par otro jautājumu 82. panta 1. punkts atlīdzību paredz tikai ar trim kumulatīviem nosacījumiem, regulas pārkāpums, ciests kaitējums un cēloņsakarība, kaitējumu nekad neprezumējot. Tiesa pelnu ”kontroles zaudējumu” pār datiem un pamatotas bailes no turpmākas ļaunprātīgas izmantošanas lietas apstākļos uzskata par atlīdzināmu morālu kaitējumu. Neviens no tiem šeit neder: apmeklētājs kontroli nezaudēja, viņa dati tika izmantoti tieši kā viņš bija plānojis, un atkārtota masveida provokācija ar īpaši būvētu programmatūru neliecina par pamatotām bailēm no ļaunprātīgas izmantošanas, labākajā gadījumā par gatavību riskētEuropa.

Alternatīvi, ja Tiesa konstatētu morālu kaitējumu, ģenerāladvokāts prasību noraidītu kā ļaunprātīguEuropa: VDAR mērķis netika sasniegts, neraugoties uz formālu ievērošanu, un apmeklētājs pirmkārt tiecās pēc naudasEuropa, mākslīgi radot apstākļus ar masveida automatizētiem apmeklējumiem un tūkstošiem 170 euro prasījumu. Finansiālajam motīvam jābūt tikai galvenajam, nevis vienīgajam, tāpat kā autortiesību troļļu praksei lietā M.I.C.M.; iespējamais operatorus izglītojošs blakusefekts ļaunprātību nenovērš.

Juridiskais pamats: Regulas (ES) 2016/679 4. panta 1. punkts un 82. panta 1. punkts.