Spoločnosť Österreichische Post od roku 2017 zhromažďovala informácie o politických preferenciách rakúskeho obyvateľstva. Táto spoločnosť pomocou algoritmu vymedzila na základe sociálnych a demografických kritérií „adresy cieľových skupín“. Takto získané údaje priviedli Österreichische Post k záveru, že určitý občan v značnej miere preferuje určitú rakúsku politickú stranu. Takto spracúvané údaje však neboli sprístupnené tretím osobám.

Dotknutý občan, ktorý nedal súhlas so spracovaním svojich osobných údajov, tvrdí, že z dôvodu formulovania záveru o jeho osobitných sympatiách k dotknutej strane mal pocit veľkej rozhorčenosti, straty dôvery, ako aj poníženia. Pred rakúskymi súdmi sa domáha zaplatenia sumy 1 000 eur z titulu náhrady škody, o ktorej sa domnieva, že ju utrpel.

Rakúsky Najvyšší súd vyjadril pochybnosti, pokiaľ ide o rozsah práva na náhradu škody, ktoré všeobecné nariadenie o ochrane údajov (GDPR)1 stanovuje v prípade majetkovej alebo nemajetkovej ujmy vyplývajúcej z porušenia tohto nariadenia. Tento súd položil Súdnemu dvoru otázku, či samotné porušenie GDPR stačí na priznanie tohto práva a či nie je náhrada škody možná len vtedy, keď utrpená nemajetková ujma prekročí určitú hranicu závažnosti. Tento súd tiež kladie otázku o tom, aké sú podmienky práva Únie, pokiaľ ide o stanovenie výšky náhrady škody.

Vo svojom dnešnom rozsudku Súdny dvor po prvé vyhlásil, že uplatnenie práva na náhradu škody stanoveného v GDPR jednoznačne podlieha kumulatívnemu splneniu troch podmienok: podmienky porušenia GDPR, podmienky vzniku majetkovej alebo nemajetkovej ujmy vyplývajúcej z tohto porušenia a podmienky príčinnej súvislosti medzi ujmou a porušením. Preto neplatí, že akékoľvek porušenie GDPR samotné zakladá právo na náhradu škody. Iný výklad by bol v rozpore s jasným znením GDPR. Podľa odôvodnení GDPR týkajúcich sa osobitne práva na náhradu škody navyše jeho porušenie nevyhnutne nespôsobuje škodu a medzi predmetným porušením a utrpenou škodou musí existovať príčinná súvislosť. Žaloba o náhradu škody sa teda odlišuje od ďalších prostriedkov nápravy, ktoré GDPR stanovuje, najmä od tých, ktoré umožňujú ukladanie správnych pokút, v prípade ktorých nie je potrebné preukázať existenciu individuálnej ujmy.

Po druhé Súdny dvor konštatoval, že právo na náhradu škody nie je vyhradené pre nemajetkové ujmy, ktoré prekračujú určitú hranicu závažnosti. GDPR na takúto podmienku neodkazuje a takéto obmedzenie by odporovalo širokému chápaniu pojmov „ujma“ alebo „škoda“, ktoré uprednostňuje normotvorca Únie. Okrem toho by podmienenie náhrady nemajetkovej ujmy dosiahnutím určitej miery závažnosti mohlo narušiť koherenciu režimu, ktorý zavádza GDPR. Odstupňovanie takejto hranice, od ktorého závisí, či je možné získať uvedenú náhradu, by totiž mohlo kolísať v závislosti od posúdenia konajúcich súdov.

Po tretie a na záver, pokiaľ ide o pravidlá týkajúce sa stanovenia výšky náhrady škody, Súdny dvor uviedol, že GDPR neobsahuje ustanovenia s takýmto účelom. Prináleží teda právnemu poriadku každého členského štátu, aby stanovil podmienky pre žaloby určené na zaručenie ochrany práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú v tejto súvislosti z GDPR, a najmä kritériá umožňujúce určiť rozsah náhrady škody, ktorá sa má v tomto rámci vyplatiť, a to pod podmienkou dodržania zásad ekvivalencie a efektivity. V tejto súvislosti Súdny dvor zdôraznil kompenzačnú funkciu práva na náhradu škody stanoveného v GDPR a pripomenul, že cieľom tohto nástroja je zabezpečiť úplnú a účinnú náhradu za utrpenú škodu.

[1] Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1).

Zdroj: Riaditeľstvo pre komunikáciu
Sekcia pre tlač a informácie curia.europa.eu
TLAČOVÉ KOMUNIKÉ č. 72/23
V Luxemburgu 4. mája 2023
Rozsudok Súdneho dvora vo veci C-300/21 | Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov)
Samotné porušenie GDPR nezakladá právo na náhradu škody