Austrian Post未经同意推断用户政治倾向案

【案件背景】
本案是GDPR实施以来最具影响力的「非金钱损害」赔偿诉讼之一，最终由欧盟法院（CJEU）于2023年5月4日作出里程碑式先行裁决（Case C-300/21）。奥地利邮政（Osterreichische Post AG）从2017年起收集奥地利人口的政治倾向信息，使用算法根据社会人口学标准定义「目标群体地址」——通过统计外推法推断某公民与特定奥地利政党具有高度亲和度（affinity），并将该分析结果出售给各类组织用于定向广告。一名未同意其个人数据被处理的公民（匿名UI），因被算法推断与某政党存在高度亲和度而感到极大不安、失去信任和暴露感，因此根据GDPR第82条在奥地利法院提起索赔诉讼，要求1000欧元精神损害赔偿。

【违法事实】
1. 未经数据主体同意处理个人数据：奥地利邮政在未获得UI同意的情况下，收集和分析其个人信息以推断其政治倾向，违反了GDPR关于须具有合法处理基础（第6条）的要求。政治意见属于GDPR第9条定义的特殊类别（敏感）数据，处理此类数据需满足更为严格的条件。
2. 虽然处理得出的数据未被分享给第三方，但推断行为本身已对数据主体造成非金钱损害：UI声称其感到「极大不安、失去信任和暴露感」——即因被推断出与某政党的亲和度而产生的非金钱损害。
3. 奥地利下级法院此前驳回了UI的赔偿请求，理由是该非金钱损害未达到奥地利法律要求的「一定严重性门槛」，从而引发向CJEU的先决裁决请求。

【CJEU先行裁决要点】
2023年5月4日，CJEU作出三项重要裁决：
1. 仅GDPR的侵权行为本身不足以产生赔偿请求权——须同时满足三个累积条件：存在GDPR侵权行为、存在损害（物质或非物质的）、以及侵权行为与损害之间存在因果关系。
2. 赔偿请求权不以非金钱损害达到「一定严重性」为前提——GDPR不包含此类要求，成员国法律或司法实践不得设置严重性门槛，否则会妨碍GDPR在欧盟的统一适用。
3. 成员国法律体系自行规定损害评估规则，但须遵守等效性和有效性原则——赔偿必须是「充分且有效」的，能够完全弥补实际遭受的损害，但GDPR不设惩罚性赔偿机制。

【典型意义】
本案具有双重典型意义：第一，在数据保护执法层面，该案确认了「推断数据」（inferred data）——即使算法推断的结果未必准确——的处理同样须以合法基础为前提，不能以「未与第三方分享推断结果」为由豁免同意义务；第二，在司法救济层面，CJEU明确排除了成员国为非金钱损害设置「严重性门槛」的障碍，大幅降低了数据主体在GDPR下获得非金钱损害赔偿的门槛，对后续欧洲各国的数据隐私集体诉讼产生了深远影响。该案后被广泛引用为GDPR损害赔偿请求权的标准示例。