Pouhé porušení GDPR nezakládá nárok na náhradu újmy. K přiznání nároku na náhradu újmy se však nevyžaduje, aby utrpěná nehmotná újma dosáhla určité hranice závažnosti.

Rozsudek Soudního dvora ve věci C-300/21 | Österreichische Post (Nehmotná újma související se zpracováním osobních údajů)

Společnost Österreichische Post shromažďovala od roku 2017 informace o politických preferencích rakouského obyvatelstva. Pomocí algoritmu vymezila na základě sociálních a demografických kritérií „adresy cílových skupin“. Takto shromážděné údaje vedly Österreichische Post k vyvození závěru o vysoké spřízněnosti nejmenovaného občana s určitou rakouskou politickou stranou. Zpracované údaje nebyly naproti tomu předány třetím osobám.

Dotyčný občan, který neudělil ke zpracování svých osobních údajů souhlas, tvrdí, že z důvodu vyvození závěru o zvláštní spřízněnosti s předmětnou stranou měl pocit velké rozhořčenosti, ztráty důvěry a pocit ponížení. Právě z důvodu nehmotné újmy, kterou údajně utrpěl, se domáhá u rakouských soudů zaplacení náhrady ve výši 1 000 eur.

Rakouský Nejvyšší soud vyjádřil pochybnosti o rozsahu práva na náhradu újmy, které obecné nařízení o ochraně osobních údajů (GDPR) 1 stanovuje v případě hmotné či nehmotné újmy utrpěné v důsledku porušení tohoto nařízení. Tento soud se dotázal Soudního dvora, zda pouhé porušení GDPR postačuje k přiznání tohoto práva a zda je náhrada újmy možná pouze v případě, že utrpěná nehmotná újma překračuje určitou hranici závažnosti. Snaží se též zjistit, jaké jsou požadavky unijního práva pro určení výše náhrady újmy.

V rozsudku z dnešního dne Soudní dvůr zaprvé uvedl, že právo na náhradu újmy stanovené v GDPR je jednoznačně vázáno na splnění tří kumulativních podmínek: porušení GDPR, hmotná nebo nehmotná újma vyplývající z tohoto porušení a příčinná souvislost mezi újmou a porušením. Jakékoli porušení GDPR tedy samo o sobě nezakládá právo na náhradu újmy. Jakýkoli jiný výklad by byl v rozporu s jasným zněním GDPR. Navíc podle bodů odůvodnění GDPR, jež se týkají konkrétně práva na náhradu újmy, porušení uvedeného nařízení nutně nezpůsobuje újmu a k odůvodnění nároku na náhradu újmy musí mezi předmětným porušením a utrpěnou újmou existovat příčinná souvislost. Žaloba na náhradu újmy se tedy liší od jiných procesních prostředků stanovených v GDPR, zejména těch, které umožňují uložit správní pokuty, u nichž není třeba prokázat existenci individuální újmy.

Soudní dvůr zadruhé určil, že právo na náhradu újmy není vyhrazeno pouze pro nehmotnou újmu dosahující určité hranice závažnosti. GDPR takovýto požadavek nezmiňuje a takovéto omezení by bylo v rozporu s širokým pojetím pojmů „újma“, které zvolil unijní normotvůrce. Navíc by podmínění náhrady nehmotné újmy určitou hranicí závažnosti mohlo narušit soudržnost režimu zavedeného GDPR. Odstupňování, na kterém by závisela možnost získat náhradu újmy, by mohlo kolísat v závislosti na posouzení soudů rozhodujících ve věci.

Pokud jde v poslední řadě zatřetí o pravidla pro posuzování náhrady újmy, Soudní dvůr uvedl, že GDPR neobsahuje ustanovení s takovýmto účelem. Je tedy na právním řádu každého členského státu, aby určil podmínky žalob určených k zajištění ochrany práv, která v tomto směru vyplývají pro jednotlivce z GDPR, a zejména kritéria umožňující určit rozsah náhrady újmy, jež má být v tomto rámci přiznána, pod podmínkou dodržení zásad rovnocennosti a efektivity. Soudní dvůr v tomto ohledu zdůraznil kompenzační funkci práva na náhradu újmy stanoveného v GDPR a připomněl, že cílem tohoto právního nástroje je zajistit plnou a účinnou náhradu utrpěné újmy.

Úplné znění rozsudku se zveřejňuje na internetové stránce CURIA v den vyhlášení.

Zdroj: Soudní dvůr EU
Foto: canva.com