ROZSUDEK SOUDNÍHO DVORA (třetího senátu)
20. června 2024(*)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 82 odst. 1 – Právo na náhradu újmy způsobené zpracováním údajů v rozporu s tímto nařízením – Pojem ‚nehmotná újma‘ – Dopad závažnosti utrpěné újmy – Posouzení výše náhrady újmy – Návrh na náhradu nehmotné újmy založený na obavě – Nepoužitelnost kritérií, jež jsou stanovena v článku 83 pro správní pokuty – Odrazující funkce – Posouzení v případě souběžných porušení uvedeného nařízení a vnitrostátních právních předpisů“
Ve věci C‑590/22,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Amtsgericht Wesel (okresní soud ve Weselu, Německo) ze dne 5. srpna 2022, došlým Soudnímu dvoru dne 9. září 2022, v řízení
AT,
BT
proti
PS GbR,
VG,
MB,
DH,
WB,
GS,
SOUDNÍ DVŮR (třetí senát),
ve složení: K. Jürimäe, předsedkyně senátu, K. Lenaerts, předseda Soudního dvora vykonávající funkci soudce třetího senátu, N. Piçarra, N. Jääskinen (zpravodaj) a M. Gavalec, soudci,
generální advokát: M. Campos Sánchez-Bordona,
za soudní kancelář: A. Calot Escobar, vedoucí,
s přihlédnutím k písemné části řízení,
s ohledem na vyjádření, která předložili:
– za Irsko: M. Browne, Chief State Solicitor, A. Joyce a M. Tierney, jako zmocněnci, ve spolupráci s: D. Fennelly, BL,
– za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci,
s přihlédnutím k rozhodnutí, přijatému po vyslechnutí generálního advokáta, rozhodnout věc bez stanoviska,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 82 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
2 Tato žádost byla předložena v rámci sporu mezi AT a BT, kteří jsou žalobci v původním řízení, a společností PS GbR (dále jen „PS“), vykonávající daňové poradenství, jakož i VG, MB, DH, WB a GS, společníky PS, ve věci nároku žalobců v původním řízení na přiznání náhrady újmy na základě čl. 82 odst. 1 GDPR z důvodu utrpení, které jim údajně vzniklo kvůli tomu, že jejich daňové přiznání obsahující osobní údaje bylo zpřístupněno třetím osobám bez jejich souhlasu v důsledku omylu, kterého se dopustila PS.
Právní rámec
3 Body 85, 146 a 148 odůvodnění GDPR znějí takto:
„(85) Není-li porušení zabezpečení osobních údajů řešeno náležitě a včas, může to fyzickým osobám způsobit fyzickou, hmotnou či nehmotnou újmu, jako je ztráta kontroly nad jejich osobními údaji nebo omezení jejich práv, diskriminace, krádež nebo zneužití identity, finanční ztráta, neoprávněné zrušení pseudonymizace, poškození pověsti, ztráta důvěrnosti osobních údajů chráněných služebním tajemstvím nebo jakékoliv jiné významné hospodářské či společenské znevýhodnění dotčených fyzických osob. […]
[…]
(146) Veškerou újmu, která může osobám vzniknout v důsledku zpracování, které porušuje toto nařízení, by měl nahradit správce nebo zpracovatel. Správce nebo zpracovatel by však měl být odpovědnosti zproštěn, pokud prokáže, že za újmu nenese žádným způsobem odpovědnost. Výklad pojmu ‚újma‘ by měl být široký a opírat se o judikaturu Soudního dvora při plném zohlednění cílů tohoto nařízení. Tím nejsou dotčeny jakékoliv nároky uplatňované v případě újmy způsobené porušením jiných pravidel práva Unie nebo členského státu. Zpracování, které porušuje toto nařízení, zahrnuje rovněž zpracování, které porušuje akty v přenesené pravomoci a prováděcí akty přijaté v souladu s tímto nařízením a právními předpisy členského státu upřesňující pravidla tohoto nařízení. Subjekty údajů by měly obdržet plnou a účinnou náhradu újmy, kterou utrpěly. […]
[…]
(148) S cílem posílit prosazování pravidel tohoto nařízení by za jakékoliv jeho porušení měly být uloženy sankce včetně správních pokut. Náležitě by se však měla zohlednit povaha, závažnost a doba trvání porušení, úmyslný charakter porušení, kroky, které byly učiněny s cílem zmírnit způsobenou škodu, míra odpovědnosti nebo jakékoli relevantní předchozí porušení, způsob, jakým se dozorový úřad o daném porušení dozvěděl, dodržování opatření, která byla vůči správci nebo zpracovateli nařízena, dodržování kodexu chování nebo jakýkoli jiný přitěžující nebo polehčující faktor. […]“
4 V článku 4 tohoto nařízení, nadepsaném „Definice“, je stanoveno:
„Pro účely tohoto nařízení se rozumí:
1) ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘);
[…]
7) ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů;
[…]
10) ‚třetí stranou‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který není subjektem údajů, správcem, zpracovatelem ani osobou přímo podléhající správci nebo zpracovateli, jež je oprávněna ke zpracování osobních údajů;
[…]
12) ‚porušením zabezpečení osobních údajů‘ porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů;
[…]“
5 V článku 79 odst. 1 uvedeného nařízení je stanoveno:
„Aniž je dotčena jakákoli dostupná správní či mimosoudní ochrana, včetně práva na podání stížnosti u dozorového úřadu podle článku 77, má každý subjekt údajů právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením.“
6 V článku 82 uvedeného nařízení, nadepsaném „Právo na náhradu újmy a odpovědnost“, je v odstavcích 1 až 3 stanoveno:
„1. Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.
2. Správce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení. […]
3. Správce nebo zpracovatel jsou odpovědnosti podle odstavce 2 zproštěni, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla.“
7 V článku 83 GDPR, nadepsaném „Obecné podmínky pro ukládání správních pokut“, se v odstavcích 2, 3 a 5 stanoví:
„2. […] Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:
a) povaha, závažnost a délka trvání porušení s přihlédnutím k povaze, rozsahu či účelu dotčeného zpracování, jakož i k počtu dotčených subjektů údajů a míře škody, jež jim byla způsobena;
b) zda k porušení došlo úmyslně nebo z nedbalosti;
[…]
k) jakoukoliv jinou přitěžující nebo polehčující okolnost vztahující se na okolnosti daného případu, jako jsou získaný finanční prospěch či zamezení ztrátám, přímo či nepřímo vyplývající z porušení.
3. Pokud správce nebo zpracovatel úmyslně či z nedbalosti u stejných nebo souvisejících operací zpracování poruší více ustanovení tohoto nařízení, nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení.
[…]
5. Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 20 000 000 eur, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší:
a) základní zásady pro zpracování, včetně podmínek týkajících se souhlasu podle článků 5, 6, 7 a 9;
b) práva subjektů údajů podle článků 12 až 22;
[…]“
Spor v původním řízení a předběžné otázky
8 Žalobci v původním řízení, AT a BT, jsou klienty PS, kanceláře daňových poradců. Žalobci této kanceláři oznámili, že došlo ke změně adresy pro doručování, což bylo zaznamenáno v informačním systému PS pro zpracování údajů. PS jim na tuto novou adresu poštou zaslala několik dopisů.
9 V červenci 2020 žalobci v původním řízení pověřili PS, aby vypracovala jejich přiznání k dani z příjmů za rok 2019. Vzhledem k tomu, že neobdrželi žádnou odpověď, kontaktovali PS, která je vyrozuměla o tom, že jim toto daňové přiznání bylo skutečně zasláno dopisem ze dne 29. září 2020, aniž upřesnila adresu, na kterou byl uvedený dopis odeslán.
10 Noví obyvatelé, kteří bydlí na dřívější adrese žalobců v původním řízení, jim sdělili, že dopis, který byl určen žalobcům v původním řízení, byl doručen na tuto adresu a že jej omylem otevřeli. Jeden z těchto nových obyvatel uvedl, že poté co zjistil, že mu dotčená poštovní zásilka nebyla určena, vrátil do obálky zpět dokumenty, jež v ní nalezl. Tento dopis následně předal příbuzným žalobců v původním řízení, kteří mají bydliště v blízkosti bývalé adresy žalobců v původním řízení, aby si jej u nich mohli vyzvednout.
11 Když si žalobci v původním řízení vyzvedli dotčenou obálku, zjistili, že obsahovala pouze jednu kopii daňového přiznání a průvodní dopis. Žalobci nicméně mají za to, že se v této obálce původně nacházel rovněž originál daňového přiznání, který obsahoval jejich osobní údaje, mezi nimiž byly i údaje o jménech a datech narození žalobců a jejich dětí, jejich daňová identifikační čísla, bankovní spojení, nebo dokonce údaje o příslušnosti k náboženskému společenství, těžkém zdravotním postižení jednoho z členů rodiny, povoláních a místě výkonu práce či o jejich rozličných výdajích.
12 V tomto ohledu předkládající soud upřesňuje, že nebylo možné prokázat, jaké dokumenty se v uvedené obálce původně nacházely, ani určit, v jakém rozsahu se noví obyvatelé dřívějšího obydlí žalobců v původním řízení s obsahem této obálky seznámili. Předkládající soud rovněž uvádí, že doručení dotčené zásilky na nesprávnou adresu vyplývalo ze skutečnosti, že PS použila údaje z databáze, ve které byla stále uvedena původní adresa žalobců v původním řízení.
13 V této souvislosti žalobci v původním řízení podali k Amtsgericht Wesel (okresní soud ve Weselu, Německo), který je předkládajícím soudem, žalobu, kterou se na základě čl. 82 odst. 1 GDPR domáhají náhrady nehmotné újmy, kterou údajně utrpěli v důsledku zpřístupnění jejich osobních údajů třetím osobám a kterou oceňují částkou 15 000 eur.
14 V první řadě si předkládající soud klade otázku, zda v případě, kdy je uplatňována nehmotná újma, může být právo na náhradu újmy podle článku 82 GDPR založeno pouze na porušení ustanovení tohoto nařízení, přičemž je třeba upřesnit, že podle německého práva může být právo na peněžitou náhradu přiznáno pouze v případech, kdy je prokázána závažná újma, která překračuje rámec pouhého porušení právního ustanovení, nemůže-li být tato újma nahrazena jinak.
15 Ve druhé řadě si tento soud klade otázku, zda obava, že se osobní údaje dostaly do rukou neoprávněných osob, může sama o sobě představovat nehmotnou újmu, která může zakládat právo na peněžitou náhradu podle článku 82 GDPR.
16 Ve třetí řadě uvedený soud uvádí, že článek 83 GDPR stanoví kritéria, která umožňují jednotně určit výši správních pokut ukládaných v případě porušení tohoto nařízení. Tento článek přitom neobsahuje obdobné ustanovení pro peněžitou náhradu nehmotné újmy. Předkládající soud si tedy klade otázku, zda jsou tato kritéria přenositelná na peněžitou náhradu nehmotné újmy nárokovanou na základě článku 82 GDPR.
17 Ve čtvrté řadě předkládající soud připomíná, že bod 146 odůvodnění GDPR obsahuje požadavek, aby byl výklad pojmu „újma“ široký a zajistil plnou a účinnou náhradu utrpěné újmy. Klade si však otázku, zda odkaz na „účinnou“ náhradu újmy znamená, že náhrada újmy, která má být uhrazena z titulu nehmotné újmy, musí být vyměřena tak, aby měla odrazující účinek. Podle předkládajícího soudu je totiž možné, že kdyby náklady na striktní dodržování tohoto nařízení převyšovaly částky náhrady újmy, jež by mohli být správci údajů nuceni za porušení tohoto nařízení zaplatit, mohli by být sváděni k tomu, aby nedodržovali povinnosti stanovené v GDPR.
18 V páté a poslední řadě si předkládající soud klade otázku, zda pro účely posouzení náhrady nehmotné újmy podle článku 82 GDPR musí být zohledněno souběžné porušení ustanovení GDPR a takových ustanovení vyplývajících z německého práva, jako jsou ustanovení ukládající povinnost zachovávat profesní mlčenlivost při výkonu určitých povolání. Předkládající soud uvádí, že má v tomto ohledu pochybnosti, neboť relevantní ustanovení německého práva dotčená v projednávané věci již byla v době přijetí GDPR v platnosti, a nelze je tedy považovat za akty v přenesené pravomoci nebo prováděcí akty, které by byly přijaty v souladu s tímto nařízením ve smyslu bodu 146 jeho odůvodnění.
19 Za těchto podmínek se Amtsgericht Wesel (okresní soud ve Weselu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Postačuje ke vzniku práva na náhradu újmy podle čl. 82 odst. 1 [GDPR] skutečnost, že bylo porušeno ustanovení [tohoto nařízení] chránící osobu uplatňující takové právo, nebo je nutné, aby tuto osobu postihla újma překračující rámec samotného porušení daného ustanovení?
2) Je podle unijního práva pro účely vzniku práva na náhradu nehmotné újmy podle čl. 82 odst. 1 GDPR nezbytné, aby vznikla újma určité závažnosti?
3) Postačuje konkrétně ke vzniku práva na náhradu nehmotné újmy podle čl. 82 odst. 1 GDPR skutečnost, že se osoba uplatňující toto právo obává, že se její osobní údaje v důsledku porušení ustanovení GDPR dostaly do držení třetí osoby, aniž to lze pozitivně prokázat?
4) Je v souladu s unijním právem, pokud vnitrostátní soud při vyměření náhrady nehmotné újmy podle čl. 82 odst. 1 GDPR obdobně použije kritéria stanovená v čl. 83 odst. 2 druhé větě GDPR, která se podle jeho znění vztahují pouze na správní pokuty?
5) Musí být výše částky náhrady nehmotné újmy, která je přiznána podle čl. 82 odst. 1 GDPR, vyměřena i s ohledem na to, aby měla odrazující účinek, a/nebo zabránila „komercializaci“ (kalkulované zohlednění správních pokut/plateb náhrady újmy) porušení uvedeného nařízení?
6) Je v souladu s unijním právem, zohlední-li se při vyměření výše částky náhrady nehmotné újmy podle čl. 82 odst. 1 GDPR současně vzniklá porušení vnitrostátních předpisů, jejichž účelem je ochrana osobních údajů, ale v jejichž případě se nejedná o akty v přenesené pravomoci nebo prováděcí akty přijaté v souladu s tímto nařízením, ani o právní předpisy členského státu upřesňující pravidla tohoto nařízení?“
K předběžným otázkám
K první a druhé otázce
20 Podstatou první a druhé otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda musí být čl. 82 odst. 1 GDPR vykládán v tom smyslu, že ke vzniku práva na náhradu újmy podle tohoto ustanovení stačí již pouhé porušení uvedeného nařízení, nebo zda musí subjekt údajů prokázat rovněž existenci újmy způsobené v důsledku tohoto porušení, jež dosahuje určité míry závažnosti.
21 V článku 82 odst. 1 GDPR je stanoveno, že „[k]dokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy“.
22 Soudní dvůr již konstatoval, že ze znění tohoto ustanovení jasně vyplývá, že existence hmotné či nehmotné nebo „utrpěné újmy“ je jednou z podmínek práva na náhradu újmy stanoveného v tomto čl. 82 odst. 1 stejně jako existence porušení uvedeného nařízení a příčinná souvislost mezi touto újmou a tímto porušením, přičemž tyto tři podmínky jsou kumulativní [v tomto smyslu viz zejména rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 32 a ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 34].
23 Nelze tudíž dovodit, že jakékoli „porušení“ ustanovení GDPR samo o sobě zakládá toto právo na náhradu újmy ve prospěch subjektu údajů, jak je definován v čl. 4 bodě 1 tohoto nařízení. Ostatně samostatné uvedení „újmy“ a „porušení“ v čl. 82 odst. 1 uvedeného nařízení by bylo nadbytečné, pokud by měl unijní normotvůrce za to, že porušení ustanovení tohoto nařízení může samo o sobě a v každém případě postačovat ke vzniku práva na náhradu újmy [rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, body 33 a 34].
24 Z toho vyplývá, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že pouhé porušení ustanovení tohoto nařízení nepostačuje k přiznání práva na náhradu újmy [rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 42].
25 Osoba, která se domáhá náhrady nehmotné újmy podle tohoto ustanovení, je tedy povinna prokázat nejen porušení ustanovení tohoto nařízení, ale rovněž že jí toto porušení způsobilo takovou újmu [v tomto smyslu viz zejména rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, body 42 a 50 a ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 35].
26 Pokud jde o posledně uvedenou podmínku, čl. 82 odst. 1 GDPR brání vnitrostátnímu pravidlu nebo praxi, které náhradu nehmotné újmy ve smyslu tohoto ustanovení podmiňují tím, že taková újma, kterou utrpěl subjekt údajů, dosáhla určité míry závažnosti [rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 51, a ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 36].
27 Nic to nemění na tom, že tato osoba má podle čl. 82 odst. 1 tohoto nařízení povinnost prokázat, že hmotnou nebo nehmotnou újmu skutečně utrpěla (v tomto smyslu viz rozsudek ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 39).
28 S ohledem na výše uvedené důvody je třeba na první a druhou otázku odpovědět tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že porušení tohoto nařízení samo o sobě nestačí ke vzniku práva na náhradu újmy podle tohoto ustanovení. Subjekt údajů musí rovněž prokázat existenci újmy způsobené tímto porušením, avšak tato újma nemusí dosáhnout určité míry závažnosti.
Ke třetí otázce
29 Podstatou třetí otázky předkládajícího soudu je, zda musí být čl. 82 odst. 1 GDPR vykládán v tom smyslu, že ke vzniku práva na náhradu nehmotné újmy postačuje již jen obava osoby o to, že její osobní údaje byly z důvodu porušení tohoto nařízení zpřístupněny třetím osobám, ač nemůže prokázat, že tomu tak skutečně bylo.
30 Z předkládacího rozhodnutí vyplývá, že žalobci v původním řízení se na základě GDPR domáhají získání náhrady nehmotné újmy z důvodu ztráty kontroly nad jejich osobními údaji, které byly zpracovávány, ač nemohou prokázat, v jakém rozsahu se třetí osoby s uvedenými údaji skutečně seznámily.
31 V tomto ohledu platí, že vzhledem k neexistenci jakéhokoli odkazu na vnitrostátní právo členských států v čl. 82 odst. 1 GDPR musí být pojem „nehmotná újma“ ve smyslu tohoto ustanovení definován autonomně a jednotně v unijním právu [v tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, body 30 a 44, jakož i ze dne 25. ledna 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 64].
32 Soudní dvůr rozhodl, že nejen ze znění čl. 82 odst. 1 GDPR ve spojení s body 85 a 146 odůvodnění tohoto nařízení, které vybízejí k širokému pojetí pojmu „nehmotná újma“ ve smyslu prvně uvedeného ustanovení, ale rovněž z cíle uvedeného nařízení, jenž spočívá v zajištění vysoké úrovně ochrany fyzických osob v souvislosti se zpracováním osobních údajů, vyplývá, že obava z možného zneužití osobních údajů třetími stranami, kterou pociťuje subjekt údajů v důsledku porušení tohoto nařízení, může sama o sobě představovat „nehmotnou újmu“ ve smyslu tohoto čl. 82 odst. 1 (v tomto smyslu viz rozsudky ze dne 14. prosince 2023, Natsionalna agencia za prihodite, C‑340/21, EU:C:2023:986, body 79 až 86, jakož i ze dne 25. ledna 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 65).
33 I krátkodobá ztráta kontroly nad osobními údaji může představovat „nehmotnou újmu“ ve smyslu čl. 82 odst. 1 GDPR, která zakládá právo na náhradu újmy, s výhradou, že uvedená osoba prokáže, že skutečně utrpěla takovou újmu, byť jen minimální, přičemž je třeba připomenout, že pouhé porušení ustanovení tohoto nařízení nepostačuje k přiznání práva na náhradu újmy na tomto základě (v tomto smyslu viz rozsudky ze dne 25. ledna 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 66, jakož i ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 42).
34 Osoba, která má za to, že její osobní údaje byly zpracovány v rozporu s příslušnými ustanoveními GDPR, a požaduje náhradu újmy na základě čl. 82 odst. 1 tohoto nařízení, tedy musí prokázat, že jí hmotná či nehmotná újma skutečně vznikla.
35 Pouhé tvrzení o obavě bez prokázaného negativního důsledku nemůže vést k náhradě újmy podle tohoto ustanovení.
36 S ohledem na výše uvedené důvody je třeba na třetí otázku odpovědět tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že obava osoby, že její osobní údaje byly z důvodu porušení uvedeného nařízení zpřístupněny třetím osobám, aniž lze prokázat, že tomu tak skutečně bylo, postačuje ke vzniku práva na náhradu újmy, pokud je tato obava i s jejími negativními důsledky řádně prokázána.
Ke čtvrté a páté otázce
37 Podstatou čtvrté a páté otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda musí být čl. 82 odst. 1 GDPR vykládán v tom smyslu, že pro určení částky, která má být zaplacena z titulu náhrady újmy na základě uvedeného ustanovení, je zaprvé třeba použít mutatis mutandis kritéria pro určení výše správních pokut, která jsou stanovena v článku 83 uvedeného nařízení, a zadruhé přiznat tomuto právu na náhradu újmy odrazující funkci.
38 Zaprvé, pokud jde o případné zohlednění kritérií uvedených v článku 83 GDPR pro účely stanovení výše náhrady újmy dlužné na základě článku 82 GDPR, je nesporné, že obě tato ustanovení sledují odlišné cíle. Článek 82 uvedeného nařízení totiž upravuje „[p]rávo na náhradu újmy a odpovědnost“, zatímco článek 83 uvedeného nařízení stanoví „[o]becné podmínky pro ukládání správních pokut“.
39 Z toho vyplývá, že kritéria uvedená v článku 83 GDPR pro účely určení výše správních pokut, která jsou rovněž uvedena v bodě 148 odůvodnění uvedeného nařízení, nelze použít pro posouzení výše náhrady újmy podle článku 82 uvedeného nařízení (rozsudek ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 57).
40 GDPR neobsahuje ustanovení, jehož cílem by bylo stanovit pravidla pro posuzování náhrady újmy, které se může subjekt údajů ve smyslu čl. 4 bodu 1 tohoto nařízení domáhat na základě článku 82 tohoto nařízení, pokud porušením uvedeného nařízení utrpěl újmu. Při neexistenci pravidel unijního práva v dané oblasti je tedy na právním řádu každého členského státu, aby stanovil podmínky žalob určených k zajištění ochrany práv, která jednotlivcům vyplývají z tohoto článku 82, a zejména kritéria umožňující určit rozsah náhrady újmy, která má být v tomto rámci zaplacena, s výhradou dodržení uvedených zásad rovnocennosti a efektivity [rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 54, jakož i ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 58].
41 Zadruhé právo na náhradu újmy stanovené v čl. 82 odst. 1 GDPR neplní odrazující ani sankční funkci. Z toho vyplývá, že závažnost porušení tohoto nařízení, které způsobilo tvrzenou hmotnou nebo nehmotnou újmu, nemůže mít vliv na částku náhrady újmy přiznané na základě tohoto ustanovení a že tato částka nemůže být stanovena na úrovni překračující plnou náhradu této újmy (v tomto smyslu viz rozsudky ze dne 21. prosince 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 86, a ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 60).
42 S ohledem na kompenzační funkci práva na náhradu újmy stanoveného v článku 82 GDPR, jak je uvedena v bodě 146 šesté větě odůvodnění uvedeného nařízení, musí být peněžitá náhrada založená na tomto ustanovení považována za „plnou a účinnou“, pokud umožňuje plně nahradit újmu, která konkrétně vznikla v důsledku porušení tohoto nařízení, aniž je pro účely takové plné kompenzace nezbytné uložit povinnost k zaplacení sankční náhrady újmy [v tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, body 57 a 58, jakož i ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 61].
43 S ohledem na rozdíly ve znění a účelech mezi článkem 82 GDPR, vykládaným ve světle bodu 146 odůvodnění uvedeného nařízení, a článkem 83 uvedeného nařízení, vykládaným ve světle bodu 148 odůvodnění uvedeného nařízení, tedy nelze mít za to, že kritéria určení uvedená konkrétně v tomto článku 83 jsou použitelná mutatis mutandis v rámci tohoto článku 82, a to bez ohledu na skutečnost, že právní prostředky stanovené v těchto dvou ustanoveních se vzájemně doplňují s cílem zajistit dodržování téhož nařízení (rozsudek ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 62).
44 S ohledem na výše uvedené důvody je třeba na čtvrtou a pátou otázku odpovědět tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že pro určení výše náhrady újmy dlužné z titulu náhrady újmy na základě tohoto ustanovení není na místě použít mutatis mutandis kritéria pro určení výše správních pokut, která jsou stanovena v článku 83 uvedeného nařízení, a přiznat tomuto právu na náhradu újmy odrazující funkci.
K šesté otázce
45 Podstatou šesté otázky předkládajícího soudu je, zda musí být čl. 82 odst. 1 GDPR vykládán v tom smyslu, že pro vyčíslení částky náhrady dlužné z titulu náhrady újmy na základě tohoto ustanovení je třeba zohlednit souběžná porušení vnitrostátních ustanovení týkajících se ochrany osobních údajů, jejichž cílem však není upřesnit pravidla tohoto nařízení.
46 Tato otázka je položena s ohledem na skutečnost, že žalobci v původním řízení mají za to, že porušení ustanovení GDPR v souběhu s porušením německých právních předpisů, jež se použijí na daňové poradce a byly přijaty před vstupem tohoto nařízení v platnost, a nemají tudíž za cíl upřesnit pravidla uvedeného nařízení, by mělo mít za následek zvýšení náhrady újmy, kterou požadují na základě čl. 82 odst. 1 GDPR, jako náhradu nehmotné újmy, kterou údajně utrpěli.
47 V tomto ohledu je pravda, že z bodu 146 páté věty odůvodnění GDPR v podstatě vyplývá, že zpracování osobních údajů, které porušuje toto nařízení, „zahrnuje rovněž zpracování, které porušuje akty v přenesené pravomoci a prováděcí akty přijaté v souladu s tímto nařízením a právními předpisy členského státu upřesňující pravidla tohoto nařízení“.
48 Nicméně okolnost, že takové zpracování údajů bylo rovněž provedeno v rozporu s ustanoveními vnitrostátního práva o ochraně osobních údajů, která ovšem neměla za cíl upřesnit pravidla tohoto nařízení, není relevantním faktorem pro účely posouzení náhrady újmy přiznané na základě čl. 82 odst. 1 GDPR. Článek 82 odst. 1 tohoto nařízení vykládaný ve spojení s bodem 146 jeho odůvodnění se totiž na porušení takových vnitrostátních ustanovení nevztahuje.
49 Tím není dotčena skutečnost, že pokud to vnitrostátní právo umožňuje, může vnitrostátní soud přiznat subjektu údajů větší náhradu, než by byla úplná a účinná náhrada podle čl. 82 odst. 1 GDPR v případě, že s ohledem na skutečnost, že újma byla způsobena rovněž porušením takových ustanovení vnitrostátního práva, jako jsou ustanovení uvedená v předchozím bodě, by náhrada újmy podle čl. 82 odst. 1 nebyla považována za dostatečnou nebo přiměřenou.
50 S ohledem na výše uvedené důvody je třeba na šestou otázku odpovědět tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že pro určení částky náhrady dlužné z titulu náhrady újmy na základě tohoto ustanovení není třeba zohlednit souběžná porušení vnitrostátních ustanovení týkajících se ochrany osobních údajů, jež nicméně nemají za cíl upřesnit pravidla tohoto nařízení.
K nákladům řízení
51 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (třetí senát) rozhodl takto:
1) Článek 82 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
porušení tohoto nařízení samo o sobě nestačí ke vzniku práva na náhradu újmy podle tohoto ustanovení. Subjekt údajů musí rovněž prokázat existenci újmy způsobené tímto porušením, avšak tato újma nemusí dosáhnout určité míry závažnosti.
2) Článek 82 odst. 1 nařízení 2016/679
musí být vykládán v tom smyslu, že
obava osoby, že její osobní údaje byly z důvodu porušení uvedeného nařízení zpřístupněny třetím osobám, ač nelze prokázat, že tomu tak skutečně bylo, postačuje ke vzniku práva na náhradu újmy, pokud je tato obava i s jejími negativními důsledky řádně prokázána.
3) Článek 82 odst. 1 nařízení 2016/679
musí být vykládán v tom smyslu, že
pro určení výše náhrady dlužné z titulu náhrady újmy na základě tohoto ustanovení není na místě použít mutatis mutandis kritéria pro určení výše správních pokut, která jsou stanovena v článku 83 uvedeného nařízení, a přiznat tomuto právu na náhradu újmy odrazující funkci.
4) Článek 82 odst. 1 nařízení 2016/679
musí být vykládán v tom smyslu, že
pro určení částky náhrady dlužné z titulu náhrady újmy na základě tohoto ustanovení není třeba zohlednit souběžná porušení vnitrostátních ustanovení týkajících se ochrany osobních údajů, jež nicméně nemají za cíl upřesnit pravidla tohoto nařízení.
Podpisy