ROZSUDOK SÚDNEHO DVORA (tretia komora)
z 20. júna 2024 (*)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 82 ods. 1 – Právo na náhradu škody spôsobenej spracovaním údajov vykonaným v rozpore s týmto nariadením – Pojem ‚nemajetková ujma‘ – Vplyv závažnosti utrpenej škody – Posúdenie výšky náhrady – Návrh na náhradu nemajetkovej ujmy založenej na obavách – Neuplatniteľnosť kritérií pre správne pokuty stanovených v článku 83 – Odstrašujúca funkcia – Posúdenie v prípade súbežných porušení uvedeného nariadenia a vnútroštátneho práva“
Vo veci C‑590/22,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Amtsgericht Wesel (Okresný súd Wesel, Nemecko) z 5. augusta 2022 a doručený Súdnemu dvoru 9. septembra 2022, ktorý súvisí s konaním:
AT,
BT
proti
PS GbR,
VG,
MB,
DH,
WB,
GS,
SÚDNY DVOR (tretia komora),
v zložení: predsedníčka tretej komory K. Jürimäe, predseda Súdneho dvora K. Lenaerts, vykonávajúci funkciu sudcu tretej komory, sudcovia N. Piçarra, N. Jääskinen (spravodajca) a M. Gavalec,
generálny advokát: M. Campos Sánchez‑Bordona,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
– Írsko, v zastúpení: M. Browne, Chief State Solicitor, A. Joyce a M. Tierney, splnomocnení zástupcovia, za právnej pomoci D. Fennelly, BL,
– Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,
so zreteľom na rozhodnutie prijaté po vypočutí generálneho advokáta, že vec bude prejednaná bez jeho návrhov,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu článku 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
2 Tento návrh bol podaný v rámci sporu medzi AT a BT na jednej strane, ktorí sú žalobcami vo veci samej, a PS GbR, spoločnosťou poskytujúcou daňové poradenstvo, ako aj VG, MB, DH, WB a GS, spoločníkmi PS na strane druhej, vo veci práva žalobcov vo veci samej na priznanie náhrady škody podľa článku 82 ods. 1 nariadenia GDPR z titulu náhrady ujmy, ktorú údajne utrpeli vzhľadom na to, že ich daňové priznanie obsahujúce osobné údaje bolo sprístupnené tretím stranám bez ich súhlasu v dôsledku chyby, ktorej sa dopustila PS.
Právny rámec
3 Odôvodnenia 85, 146 a 148 GDPR znejú takto:
„(85) Ak sa porušenie ochrany osobných údajov nerieši primeraným spôsobom a včas, môže fyzickým osobám spôsobiť ujmu na zdraví, majetkovú alebo nemajetkovú ujmu, ako je napríklad strata kontroly nad svojimi osobnými údajmi alebo obmedzenie práv týchto osôb, diskriminácia, krádež totožnosti alebo podvod, finančná strata, neoprávnená reverzná pseudonymizácia, poškodenie dobrého mena, strata dôvernosti osobných údajov chránených profesijným tajomstvom, alebo akékoľvek iné závažné hospodárske či sociálne znevýhodnenie dotknutej fyzickej osoby. …
…
(146) Prevádzkovateľ alebo sprostredkovateľ by mali nahradiť akúkoľvek škodu, ktorú môže osoba utrpieť v dôsledku spracúvania, ktoré je v rozpore s týmto nariadením. Prevádzkovateľ alebo sprostredkovateľ by však mali byť tejto zodpovednosti zbavení, ak preukážu, že za škodu nenesú žiadnu zodpovednosť. Podľa judikatúry Súdneho dvora by sa mal pojem škody vykladať v širokom zmysle spôsobom, ktorý v plnej miere zohľadňuje ciele tohto nariadenia. Týmto nie sú dotknuté prípadné nároky na náhradu škody vyplývajúce z porušenia iných pravidiel stanovených v práve Únie alebo v práve členského štátu. Spracúvanie, ktoré je v rozpore s týmto nariadením, zahŕňa aj spracúvanie, ktoré je v rozpore s delegovanými a vykonávacími aktmi prijatými v súlade s týmto nariadením a právom členského štátu, ktorým sa podrobnejšie upravujú pravidlá z tohto nariadenia. Dotknuté osoby by za utrpenú škodu mali dostať úplnú a účinnú náhradu. …
…
(148) S cieľom posilniť presadzovanie pravidiel tohto nariadenia by sa… mali ukladať za akékoľvek porušenie tohto nariadenia sankcie vrátane správnych pokút. Náležitým spôsobom by sa mala zohľadniť povaha, závažnosť a trvanie porušenia, jeho úmyselná povaha, opatrenia prijaté na zmiernenie spôsobenej škody, miera zodpovednosti alebo akékoľvek relevantné predchádzajúce porušenia, spôsob, akým sa o porušení dozvedel dozorný orgán, dodržiavanie opatrení uložených voči prevádzkovateľovi alebo sprostredkovateľovi, dodržiavanie kódexu správania a všetky ďalšie priťažujúce alebo poľahčujúce okolnosti. …“
4 Článok 4 tohto nariadenia s názvom „Vymedzenie pojmov“ stanovuje:
„Na účely tohto nariadenia:
1. ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…
…
7. ‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;…
…
10. ‚tretia strana‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt než dotknutá osoba, prevádzkovateľ, sprostredkovateľ a osoby, ktoré sú na základe priameho poverenia prevádzkovateľa alebo sprostredkovateľa poverené spracúvaním osobných údajov;
…
12. ‚porušenie ochrany osobných údajov‘ je porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávnený prístup k nim;
…“
5 Podľa článku 79 ods. 1 tohto nariadenia:
„Bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 77, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak sa domnieva, že v dôsledku spracúvania jej osobných údajov v rozpore s týmto nariadením došlo k porušeniu jej práv ustanovených v tomto nariadení.“
6 Článok 82 uvedeného nariadenia, nazvaný „Právo na náhradu škody a zodpovednosť“, v odsekoch 1 až 3 stanovuje:
„1. Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.
2. Každý prevádzkovateľ, ktorý sa zúčastnil na spracúvaní, je zodpovedný za škodu spôsobenú spracúvaním, ktoré bolo v rozpore s týmto nariadením. …
3. Prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa odseku 2, ak sa preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.“
7 Článok 83 rovnakého nariadenia, nazvaný „Všeobecné podmienky ukladania správnych pokút“, v odsekoch 2, 3 a 5 uvádza:
„2. … Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:
a) povaha, závažnosť a trvanie porušenia, pričom sa zohľadní povaha, rozsah alebo účel dotknutého spracúvania, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ktorú utrpeli;
b) úmyselný alebo nedbanlivostný charakter porušenia;
…
k) akékoľvek iné priťažujúce alebo poľahčujúce okolnosti prípadu, ako napríklad akékoľvek získané finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením.
3. Ak prevádzkovateľ alebo sprostredkovateľ úmyselne alebo z nedbanlivosti tými istými alebo súvisiacimi spracovateľskými operáciami poruší viacero ustanovení tohto nariadenia, celková suma správnej pokuty nesmie presiahnuť výšku stanovenú za najzávažnejšie porušenie.
…
5. Za porušenia nasledujúcich ustanovení sa podľa odseku 2 uložia správne pokuty až do výšky 20 000 000 [eur], alebo v prípade podniku až do výšky 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia:
a) základné zásady spracúvania vrátane podmienok súhlasu podľa článkov 5, 6, 7 a 9;
b) práva dotknutých osôb podľa článkov 12 až 22;
…“
Spor vo veci samej a prejudiciálne otázky
8 Žalobcovia vo veci samej, AT a BT, sú klientmi PS, spoločnosti poskytujúcej daňové poradenstvo. Informovali túto spoločnosť o zmene poštovej adresy, ktorú PS zaznamenala vo svojom systéme elektronického spracovania údajov. PS následne použila novú adresu žalobcov na zaslanie niekoľkých listov.
9 V júli 2020 žalobcovia vo veci samej požiadali PS, aby vypracovala ich daňové priznanie za rok 2019. Keďže nedostali odpoveď, kontaktovali PS, ktorá ich informovala, že daňové priznanie im zaslala listom z 29. septembra 2020, pričom nespresnila adresu, na ktorú bola uvedená zásielka odoslaná.
10 Žalobcov informovali noví užívatelia priestorov na ich pôvodnej adrese, že obálka na ich meno bola doručená na túto adresu a že ju omylom otvorili. Jeden z týchto nových užívateľov uviedol, že po tom, ako zistil, že predmetná poštová zásielka mu nebola adresovaná, umiestnil dokumenty, ktoré našiel, späť obálky. Potom ju odovzdal príbuzným, ktorí bývajú v blízkosti starej adresy žalobcov vo veci samej, aby si ju u nich žalobcovia mohli vyzdvihnúť.
11 Keď žalobcovia vo veci samej získali predmetnú obálku, zistili, že obsahuje len kópiu daňového priznania a sprievodný list. Predpokladajú však, že táto obálka obsahovala aj originál daňového priznania, v ktorom sa nachádzali osobné údaje, medzi nimi aj ich mená a dátumy narodenia, ako aj mená a dátumy narodenia ich detí, ich daňové identifikačné čísla, bankové údaje, alebo aj údaje týkajúce sa príslušnosti k náboženskej komunite, situácie rodinného príslušníka ako osoby so zdravotným postihnutím, ich profesií a pracovísk alebo rôznych výdavkov, ktoré im vznikli.
12 V tejto súvislosti vnútroštátny súd spresňuje, že nebolo možné zistiť, ktoré dokumenty sa pôvodne v uvedenej obálke nachádzali, ani určiť, v akom rozsahu sa noví užívatelia pôvodného priestoru žalobcov vo veci samej dozvedeli alebo nedozvedeli o obsahu tejto obálky. Tento súd tiež uvádza, že zaslanie predmetnej zásielky na nesprávnu adresu vyplývalo zo skutočnosti, že PS použila údaje pochádzajúce z databázy, v ktorej bola ešte uvedená pôvodná adresa žalobcov vo veci samej.
13 V tomto kontexte žalobcovia vo veci samej podali na vnútroštátny súd Amtsgericht Wesel (Okresný súd Wesel, Nemecko) žalobu, ktorou sa domáhali, aby im bola na základe článku 82 ods. 1 GDPR nahradená nemajetková ujma, ktorú údajne utrpeli v dôsledku sprístupnenia ich osobných údajov tretím stranám a odhadujú ju na 15 000 eur.
14 Vnútroštátny súd sa v prvom rade pýta, či za predpokladu, že sa poukazuje na nemajetkovú ujmu, môže byť právo na náhradu škody podľa článku 82 GDPR založené len na porušení ustanovení tohto nariadenia, keďže v nemeckom práve možno priznať právo na peňažnú náhradu škody len v prípadoch, keď je preukázaná značná ujma presahujúca samotné porušenie právneho ustanovenia, pokiaľ túto ujmu nemožno nahradiť iným spôsobom.
15 V druhom rade sa tento súd pýta, či obava, že osobné údaje sa mohli dostať do rúk neoprávnených osôb, môže sama osebe predstavovať nemajetkovú ujmu, ktorá by mohla viesť k vzniku práva na peňažnú náhradu škody podľa článku 82 GDPR.
16 V treťom rade uvedený súd poukazuje na to, že článok 83 GDPR stanovuje kritériá, ktoré umožňujú jednotným spôsobom určiť výšku správnych pokút uložených v prípade porušenia tohto nariadenia. Tento článok však neobsahuje nijaké ekvivalentné pravidlo, pokiaľ ide o peňažnú náhradu nemajetkovej ujmy. Vnútroštátny súd sa teda pýta, či sú tieto kritériá uplatniteľné v oblasti peňažnej náhrady nemajetkovej ujmy utrpenej na základe článku 82 GDPR.
17 Vo štvrtom rade vnútroštátny súd pripomína, že odôvodnenie 146 GDPR stanovuje, že pojem „škoda“ sa má vykladať široko, aby sa zabezpečila úplná a účinná náhrada vzniknutej škody. Kladie si však otázku, či odkaz na „účinnú“ náhradu škody znamená, že náhrada škody z titulu nemajetkovej ujmy musí byť vyčíslená tak, aby mala odstrašujúci účinok. Prevádzkovatelia môžu byť za istých okolností v pokušení nedodržať povinnosti stanovené GDPR, ak sa ukáže, že náklady na prísne dodržiavanie tohto nariadenia sú vyššie ako výška náhrady škody, ktorú by mohli byť povinní zaplatiť v prípade porušenia tohto nariadenia.
18 V piatom a poslednom rade sa vnútroštátny súd pýta, či súbežné porušenie ustanovení vyplývajúcich z GDPR a ustanovení nemeckého práva, akými sú tie, ktoré pri výkone určitých povolaní ukladajú povinnosť zachovávať mlčanlivosť, sa má zohľadniť na účely posúdenia náhrady škody prislúchajúcej z titulu nemajetkovej ujmy podľa článku 82 GDPR. Uvádza, že má v tejto súvislosti pochybnosti, pretože relevantné ustanovenia nemeckého práva, o ktoré ide v prejednávanej veci, už boli v čase prijatia GDPR účinné, a teda ich nemožno považovať za delegované alebo vykonávacie akty prijaté v súlade s týmto nariadením v zmysle jeho odôvodnenia 146.
19 Za týchto podmienok Amtsgericht Wesel (Okresný súd Wesel) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Postačí na odôvodnenie práva na náhradu škody podľa článku 82 ods. 1 nariadenia [GDPR] skutočnosť, že bolo porušené ustanovenie [tohto nariadenia] chrániace osobu, ktorá toto právo uplatňuje, alebo sa okrem samotného porušenia dotknutého ustanovenia vyžaduje, aby bola tejto osobe spôsobená ujma?
2. Je podľa práva Únie na odôvodnenie práva na náhradu nemajetkovej ujmy podľa článku 82 ods. 1 GDPR potrebné, aby existovala škoda určitej závažnosti?
3. Konkrétne, postačí na odôvodnenie práva na náhradu nemajetkovej ujmy podľa článku 82 ods. 1 GDPR to, že osoba, ktorá toto právo uplatňuje, sa obáva, že v dôsledku porušenia ustanovení GDPR sa jej osobné údaje dostali do rúk tretej strany, bez toho, aby túto okolnosť bolo možné skutočne preukázať?
4. Je v súlade s právom Únie, keď vnútroštátny súd pri určovaní výšky náhrady nemajetkovej ujmy podľa článku 82 ods. 1 GDPR použije analogicky kritériá uvedené v článku 83 ods. 2 druhej vete GDPR, ktoré sa podľa samotného znenia tohto ustanovenia vzťahujú iba na správne pokuty?
5. Má sa výška nemajetkovej ujmy priznanej podľa článku 82 ods. 1 GDPR určovať aj s ohľadom na to, aby mala odstrašujúci účinok a/alebo zabránila ,komercializácii‘ (kalkulovanému zohľadňovaniu správnych pokút/platieb náhrady škody) porušovania?
6. Je v súlade s právom Únie, keď sa pri určovaní výšky náhrady nemajetkovej ujmy podľa článku 82 ods. 1 GDPR súbežne zohľadňujú porušenia vnútroštátnych ustanovení, ktorých účelom je ochrana osobných údajov, pričom však nie sú delegovanými ani vykonávacími aktmi prijatými v súlade s týmto nariadením alebo právom členského štátu, ktorými sa podrobnejšie upravujú pravidlá tohto nariadenia?“
O prejudiciálnych otázkach
O prvej a druhej otázke
20 Svojou prvou a druhou otázkou, ktoré je potrebné preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že porušenie tohto nariadenia samo osebe postačuje na vznik práva na náhradu škody podľa tohto ustanovenia, alebo či dotknutá osoba musí tiež preukázať existenciu ujmy spôsobenej týmto porušením, ktorá dosahuje určitý stupeň závažnosti.
21 Je potrebné pripomenúť, že podľa článku 82 ods. 1 GDPR „má každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa“.
22 Súdny dvor už konštatoval, že zo znenia tohto ustanovenia jasne vyplýva, že existencia „ujmy“, majetkovej alebo nemajetkovej, alebo „škody“, ktorá bola „utrpená“, predstavuje jednu z podmienok vzniku práva na náhradu škody stanoveného v článku 82 ods. 1, rovnako ako aj existencia porušenia tohto nariadenia a príčinnej súvislosti medzi touto ujmou a týmto porušením, pričom tieto tri podmienky sú kumulatívne [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 32, a z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 34].
23 Preto sa nemožno domnievať, že každé „porušenie“ ustanovení GDPR samo osebe zakladá uvedené právo na náhradu škody v prospech dotknutej osoby, ako je definovaná v článku 4 bode 1 tohto nariadenia. Okrem toho osobitné zmienky o „ujme“ a „porušení“ v článku 82 ods. 1 tohto nariadenia by boli zbytočné, ak by normotvorca Únie zastával názor, že porušenie ustanovení tohto nariadenia môže samo osebe a v každom prípade postačovať na vznik práva na náhradu škody [rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, body 33 a 34].
24 Z toho vyplýva, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že samotné porušenie ustanovení tohto nariadenia nestačí na priznanie práva na náhradu škody [rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 42].
25 Osoba, ktorá sa domáha náhrady nemajetkovej ujmy na základe tohto ustanovenia, je povinná preukázať nielen porušenie ustanovení tohto nariadenia, ale aj to, že toto porušenie jej spôsobilo takúto ujmu [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, body 42 a 50, a z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 35].
26 Pokiaľ ide o poslednú uvedenú podmienku, článok 82 ods. 1 GDPR bráni vnútroštátnej norme alebo praxi, ktorá podmieňuje náhradu nemajetkovej ujmy v zmysle tohto ustanovenia tým, že ujma spôsobená dotknutej osobe musí dosiahnuť určitý stupeň závažnosti [rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 51, a z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 36].
27 Nič to však nemení na tom, že táto osoba má podľa článku 82 ods. 1 tohto nariadenia povinnosť preukázať, že skutočne utrpela majetkovú alebo nemajetkovú ujmu (pozri v tomto zmysle rozsudok z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 39).
28 Vzhľadom na všetky predchádzajúce dôvody treba na prvú a druhú otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že samotné porušenie nariadenia nestačí na vznik práva na náhradu škody podľa tohto ustanovenia. Dotknutá osoba musí tiež preukázať existenciu ujmy spôsobenej týmto porušením, pričom táto ujma nemusí dosiahnuť určitý stupeň závažnosti.
O tretej otázke
29 Svojou treťou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že obava osoby, že jej osobné údaje boli v dôsledku porušenia tohto nariadenia sprístupnené tretím stranám bez toho, aby bolo možné preukázať, že to tak skutočne bolo, stačí na vznik práva na náhradu nemajetkovej ujmy.
30 Z návrhu na začatie prejudiciálneho konania vyplýva, že žalobcovia vo veci samej chcú na základe GDPR získať náhradu nemajetkovej ujmy z dôvodu straty kontroly nad svojimi osobnými údajmi, ktoré boli predmetom spracúvania, pričom nemôžu preukázať, v akom rozsahu sa tretie strany s uvedenými údajmi skutočne oboznámili.
31 V tejto súvislosti vzhľadom na neexistenciu akéhokoľvek odkazu v článku 82 ods. 1 GDPR na vnútroštátne právo členských štátov musí mať pojem „nemajetková ujma“ v zmysle tohto ustanovenia autonómnu a jednotnú definíciu, ktorá je vlastná právu Únie [pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, body 30 a 44, ako aj z 25. januára 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 64].
32 Súdny dvor rozhodol, že nielen zo znenia článku 82 ods. 1 GDPR v spojení s odôvodneniami 85 a 146 tohto nariadenia, ktoré vyzývajú prijať širší význam pojmu „nemajetková ujma“ v zmysle tohto prvého uvedeného ustanovenia, ale tiež z cieľa pozostávajúceho zo zabezpečenia vysokej úrovne ochrany fyzických osôb pri spracúvaní ich osobných údajov, ktorý je sledovaný týmto nariadením, vyplýva, že obava z možného zneužitia osobných údajov tretími stranami, ktorú má dotknutá osoba v dôsledku porušenia tohto nariadenia, môže sama osebe predstavovať „nemajetkovú ujmu“ v zmysle tohto článku 82 ods. 1 [pozri v tomto zmysle rozsudky zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21, EU:C:2023:986, body 79 až 86, ako aj z 25. januára 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 65].
33 Strata kontroly nad osobnými údajmi, a to aj počas krátkeho časového obdobia, môže spôsobiť „nemajetkovú ujmu“ v zmysle článku 82 ods. 1 GDPR, ktorá zakladá právo na náhradu škody za predpokladu, že táto osoba preukáže, že skutočne utrpela takúto ujmu, hoci aj minimálnu, keďže samotné porušenie ustanovení tohto nariadenia nestačí na priznanie práva na náhradu škody na tomto základe (pozri v tomto zmysle rozsudky z 25. januára 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, bod 66, a z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 42).
34 Osoba, ktorá sa domnieva, že jej osobné údaje boli predmetom spracúvania uskutočneného v rozpore s relevantnými ustanoveniami GDPR, a domáha sa náhrady škody na základe článku 82 ods. 1 tohto nariadenia, teda musí preukázať, že skutočne utrpela majetkovú alebo nemajetkovú ujmu.
35 Samotné tvrdenie o obavách bez preukázaných negatívnych dôsledkov tak nemôže viesť k náhrade škody na základe tohto ustanovenia.
36 Vzhľadom na vyššie uvedené dôvody treba na tretiu otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že obava osoby, že jej osobné údaje boli v dôsledku porušenia tohto nariadenia sprístupnené tretím stranám, bez toho, aby bolo možné preukázať, že to tak skutočne bolo, stačí na vznik práva na náhradu škody, pokiaľ je táto obava spolu s jej negatívnymi dôsledkami riadne preukázaná.
O štvrtej a piatej otázke
37 Svojou štvrtou a piatou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že na určenie výšky náhrady prislúchajúcej z dôvodu náhrady škody na základe tohto ustanovenia je potrebné jednak mutatis mutandis uplatniť kritériá na stanovenie výšky správnych pokút, ktoré sú uvedené v článku 83 tohto nariadenia, a jednak priradiť tomuto právu na náhradu škody odstrašujúcu funkciu.
38 V prvom rade, pokiaľ ide o prípadné zohľadnenie kritérií uvedených v článku 83 GDPR na účely posúdenia výšky náhrady škody prislúchajúcej podľa článku 82 tohto nariadenia, je nesporné, že tieto dve ustanovenia sledujú odlišné ciele. Kým článok 83 uvedeného nariadenia stanovuje „všeobecné podmienky ukladania správnych pokút“, článok 82 upravuje „právo na náhradu škody a zodpovednosť“.
39 Z toho vyplýva, že kritériá stanovené v článku 83 GDPR na účely určenia výšky správnych pokút, ktoré sú tiež spomenuté v odôvodnení 148 tohto nariadenia, nemožno použiť na posúdenie výšky náhrady škody podľa článku 82 tohto nariadenia (rozsudok z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 57).
40 GDPR neobsahuje ustanovenie, ktorého cieľom by bolo vymedzenie pravidiel týkajúcich sa posúdenia výšky náhrady škody, na ktorú môže mať dotknutá osoba vymedzená v článku 4 ods. 1 tohto nariadenia nárok podľa jeho článku 82, ak jej porušenie uvedeného nariadenia spôsobilo ujmu. Preto v prípade neexistencie pravidiel práva Únie v danej oblasti prináleží právnemu poriadku každého členského štátu, aby stanovil podmienky týkajúce sa žalôb určených na zaručenie ochrany práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z tohto článku 82, a najmä kritériá umožňujúce určiť rozsah náhrady škody, ktorá sa má v tomto rámci vyplatiť, a to pod podmienkou dodržania zásad ekvivalencie a efektivity [rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 54, a z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 58].
41 V druhom rade právo na náhradu škody stanovené v článku 82 ods. 1 GDPR nemá odstrašujúcu, a dokonca ani sankčnú funkciu. Z toho vyplýva, že závažnosť porušenia tohto nariadenia, ktoré spôsobilo údajnú majetkovú alebo nemajetkovú ujmu, nemôže mať vplyv na výšku náhrady škody priznanej na základe tohto ustanovenia a že táto suma nemôže byť stanovená na úrovni presahujúcej úplnú náhradu tejto ujmy [pozri v tomto zmysle rozsudky z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 86, a z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 60].
42 V tejto súvislosti vzhľadom na kompenzačnú funkciu práva na náhradu škody stanoveného v článku 82 GDPR, teda funkciu formulovanú v odôvodnení 146 šiestej vete tohto nariadenia, peňažná náhrada založená na uvedenom článku sa musí považovať za „úplnú a účinnú“, ak umožňuje v celom rozsahu kompenzovať škodu, ktorá bola konkrétne utrpená v dôsledku porušenia tohto nariadenia, bez toho, aby bolo na účely takejto úplnej kompenzácie potrebné uložiť povinnosť zaplatiť sankčnú náhradu škody [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, body 57 a 58, ako aj z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 61].
43 Na základe rozdielov v znení a účeloch, ktoré existujú medzi článkom 82 GDPR v spojení s odôvodnením 146 tohto nariadenia a článkom 83 uvedeného nariadenia v spojení s jeho odôvodnením 148, sa tak nemožno domnievať, že kritériá posudzovania stanovené konkrétne v článku 83 sú uplatniteľné mutatis mutandis v rámci článku 82, a to bez ohľadu na skutočnosť, že právne prostriedky stanovené v týchto dvoch ustanoveniach sa skutočne dopĺňajú s cieľom zabezpečiť dodržiavanie toho istého nariadenia (rozsudok z 11. apríla 2024, juris, C‑741/21, EU:C:2024:288, bod 62).
44 Vzhľadom na vyššie uvedené dôvody treba na štvrtú a piatu otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že pri určení výšky náhrady prislúchajúcej z titulu náhrady škody na základe tohto ustanovenia nie je potrebné mutatis mutandis uplatniť kritériá na stanovenie výšky správnych pokút, ktoré sú uvedené v článku 83 tohto nariadenia, ani priradiť tomuto právu na náhradu škody odstrašujúcu funkciu.
O šiestej otázke
45 Svojou šiestou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že pri určení výšky náhrady prislúchajúcej z titulu náhrady škody založenej na tomto ustanovení treba zohľadniť súbežné porušenia vnútroštátnych ustanovení, ktoré sa týkajú ochrany osobných údajov, avšak ich cieľom nie je spresniť pravidlá tohto nariadenia.
46 Táto otázka je položená vzhľadom na skutočnosť, že žalobcovia vo veci samej sa domnievajú, že súbežné porušenie ustanovení vyplývajúcich z GDPR, ako aj nemeckej právnej úpravy, ktorá je uplatniteľná na daňových poradcov a bola prijatá pred nadobudnutím účinnosti tohto nariadenia, a teda nemá za cieľ spresniť jeho pravidlá, by malo mať za následok zvýšenie náhrady škody, ktorej sa domáhajú na základe článku 82 ods. 1 GDPR, ako náhrady nemajetkovej ujmy, ktorú údajne utrpeli.
47 V tejto súvislosti z odôvodnenia 146 piatej vety GDPR nepochybne vyplýva, že spracúvanie osobných údajov, ktoré je v rozpore s týmto nariadením, „zahŕňa aj spracúvanie, ktoré je v rozpore s delegovanými a vykonávacími aktmi prijatými v súlade s týmto nariadením a právom členského štátu, ktorým sa podrobnejšie upravujú pravidlá z tohto nariadenia“.
48 Okolnosť, že takéto spracúvanie údajov bolo vykonané tiež v rozpore s ustanoveniami vnútroštátneho práva týkajúcimi sa ochrany osobných údajov, ktorých cieľom pritom nie je spresniť pravidlá tohto nariadenia, však nepredstavuje relevantný faktor na účely posúdenia náhrady škody priznanej na základe článku 82 ods. 1 GDPR. Na porušenie takýchto vnútroštátnych ustanovení sa totiž nevzťahuje článok 82 ods. 1 tohto nariadenia v spojení s jeho odôvodnením 146.
49 To nemá vplyv na skutočnosť, že ak to vnútroštátne právo vnútroštátnemu súdu umožňuje, môže tento súd priznať dotknutej osobe vyššiu náhradu škody, než je úplná a účinná náhrada stanovená v článku 82 ods. 1 GDPR, pokiaľ by sa táto náhrada nepovažovala za dostatočnú alebo primeranú, keďže škoda bola spôsobená aj porušením ustanovení vnútroštátneho práva, ako sú ustanovenia uvedené v predchádzajúcom bode.
50 Vzhľadom na predchádzajúce dôvody treba na šiestu otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že pri určení výšky náhrady prislúchajúcej z titulu náhrady škody založenej na tomto ustanovení nie je potrebné zohľadniť súbežné porušenia vnútroštátnych ustanovení, ktoré sa síce týkajú ochrany osobných údajov, avšak ich cieľom nie je spresniť pravidlá tohto nariadenia.
O trovách
51 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (tretia komora) rozhodol takto:
1. Článok 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
samotné porušenie nariadenia nestačí na vznik práva na náhradu škody podľa tohto ustanovenia. Dotknutá osoba musí tiež preukázať existenciu ujmy spôsobenej týmto porušením, pričom táto ujma nemusí dosiahnuť určitý stupeň závažnosti.
2. Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
obava osoby, že jej osobné údaje boli v dôsledku porušenia tohto nariadenia sprístupnené tretím stranám, bez toho, aby bolo možné preukázať, že to tak skutočne bolo, stačí na vznik práva na náhradu škody, pokiaľ je táto obava spolu s jej negatívnymi dôsledkami riadne preukázaná.
3. Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
pri určení výšky náhrady prislúchajúcej z titulu náhrady škody na základe tohto ustanovenia nie je potrebné mutatis mutandis uplatniť kritériá na stanovenie výšky správnych pokút, ktoré sú uvedené v článku 83 tohto nariadenia, ani priradiť tomuto právu na náhradu škody odstrašujúcu funkciu.
4. Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
pri určení výšky náhrady prislúchajúcej z titulu náhrady škody založenej na tomto ustanovení nie je potrebné zohľadniť súbežné porušenia vnútroštátnych ustanovení, ktoré sa síce týkajú ochrany osobných údajov, avšak ich cieľom nie je spresniť pravidlá tohto nariadenia.
Podpisy