ROZSUDOK SÚDNEHO DVORA (ôsma komora)
zo 4. októbra 2024 (*)
„ Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 82 ods. 1 – Právo na náhradu ujmy a zodpovednosť – Nezákonné spracúvanie údajov – Porušenie práva na ochranu osobných údajov – Pojem ‚ujma‘ – Náhrada nemajetkovej ujmy vo forme ospravedlnenia – Prípustnosť – Zásada efektivity – Posúdenie formy a úrovne náhrady ujmy – Prípadné zohľadnenie postoja a motivácie prevádzkovateľa “
Vo veci C‑507/23,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Augstākā tiesa (Senāts) [Najvyšší súd (Senát), Lotyšsko] zo 7. augusta 2023 a doručený Súdnemu dvoru 8. augusta 2023, ktorý súvisí s konaním:
A
proti
Patērētāju tiesību aizsardzības centrs,
SÚDNY DVOR (ôsma komora),
v zložení: predseda komory N. Piçarra, sudcovia N. Jääskinen (spravodajca) a M. Gavalec,
generálny advokát: M. Szpunar,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
–        lotyšská vláda, v zastúpení: J. Davidoviča a K. Pommere, splnomocnené zástupkyne,
–        Európska komisia, v zastúpení: A. Bouchagiar, H. Kranenborg a I. Naglis, splnomocnení zástupcovia,
so zreteľom na rozhodnutie prijaté po vypočutí generálneho advokáta, že vec bude prejednaná bez jeho návrhov,
vyhlásil tento
Rozsudok
1        Návrh na začatie prejudiciálneho konania sa týka výkladu článku 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
2        Tento návrh bol podaný v rámci sporu medzi A Patērētāju tiesību aizsardzības centrs (Úrad na ochranu práv spotrebiteľov, Lotyšsko) (ďalej len „PTAC“) vo veci náhrady nemajetkovej ujmy, ktorá bola žalobcovi vo veci samej údajne spôsobená z dôvodu, že PTAC bez jeho súhlasu spracúval niektoré jeho osobné údaje.
Právny rámec
Právo Únie
3        Odôvodnenia 1, 75, 85, 146 a 148 nariadenia GDPR znejú takto:
„(1)      Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len ‚Charta‘) a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
…
(75)      Riziko pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä ak spracúvanie môže viesť k… poškodeniu dobrého mena alebo akémukoľvek inému závažnému hospodárskemu alebo sociálnemu znevýhodneniu; ak by dotknuté osoby mohli byť pozbavené svojich práv a slobôd alebo im bolo bránené v kontrole nad svojimi osobnými údajmi;…
…
(85)      Ak sa porušenie ochrany osobných údajov nerieši primeraným spôsobom a včas, môže fyzickým osobám spôsobiť ujmu na zdraví, majetkovú alebo nemajetkovú ujmu, ako je napríklad strata kontroly nad svojimi osobnými údajmi alebo obmedzenie práv týchto osôb_… poškodenie dobrého mena… alebo akékoľvek iné závažné hospodárske či sociálne znevýhodnenie dotknutej fyzickej osoby…
…
(146)      Prevádzkovateľ alebo sprostredkovateľ by mali nahradiť akúkoľvek škodu, ktorú môže osoba utrpieť v dôsledku spracúvania, ktoré je v rozpore s týmto nariadením… Podľa judikatúry Súdneho dvora by sa mal pojem škody vykladať v širokom zmysle spôsobom, ktorý v plnej miere zohľadňuje ciele tohto nariadenia. Týmto nie sú dotknuté prípadné nároky na náhradu škody vyplývajúce z porušenia iných pravidiel stanovených v práve Únie alebo v práve členského štátu… Dotknuté osoby by za utrpenú škodu mali dostať úplnú a účinnú náhradu…
…
(148)      S cieľom posilniť presadzovanie pravidiel tohto nariadenia by sa… mali ukladať za akékoľvek porušenie tohto nariadenia sankcie vrátane správnych pokút… Náležitým spôsobom by sa mala zohľadniť povaha, závažnosť a trvanie porušenia, jeho úmyselná povaha, opatrenia prijaté na zmiernenie spôsobenej škody, miera zodpovednosti… a všetky ďalšie priťažujúce alebo poľahčujúce okolnosti…“
4        Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:
„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“
5        Článok 4 uvedeného nariadenia, nazvaný „Vymedzenie pojmov“, stanovuje:
„Na účely tohto nariadenia:
1.      ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…
…
7.      ‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;…
…
12.      ‚porušenie ochrany osobných údajov‘ je porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávnený prístup k nim;
…“
6        Článok 6 toho istého nariadenia, nazvaný „Zákonnosť spracúvania“, v odseku 1 stanovuje, že spracúvanie osobných údajov je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z podmienok, ktoré sú v ňom uvedené.
7        Kapitola VIII nariadenia GDPR, nazvaná „Prostriedky nápravy, zodpovednosť a sankcie“, obsahuje články 77 až 84.
8        Článok 82 tohto nariadenia, nazvaný „Právo na náhradu škody a zodpovednosť“, v odsekoch 1 a 2 stanovuje:
„1.      Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.
2.      Každý prevádzkovateľ, ktorý sa zúčastnil na spracúvaní, je zodpovedný za škodu spôsobenú spracúvaním, ktoré bolo v rozpore s týmto nariadením…“
9        Článok 83 nariadenia GDPR, nazvaný „Všeobecné podmienky ukladania správnych pokút“, v odseku 2 stanovuje:
„… Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:
a)      povaha, závažnosť a trvanie porušenia, pričom sa zohľadní povaha, rozsah alebo účel dotknutého spracúvania, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ktorú utrpeli;
b)      úmyselný alebo nedbanlivostný charakter porušenia;
c)      akékoľvek kroky, ktoré prevádzkovateľ alebo sprostredkovateľ podnikol s cieľom zmierniť škodu, ktorú dotknuté osoby utrpeli;
…
k)      akékoľvek iné priťažujúce alebo poľahčujúce okolnosti prípadu, ako napríklad akékoľvek získané finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením.“
10      Článok 84 tohto nariadenia, nazvaný „Sankcie“, v odseku 1 stanovuje:
„Členské štáty stanovia pravidlá pre iné sankcie za porušenia tohto nariadenia, predovšetkým za tie, na ktoré sa nevzťahujú správne pokuty podľa článku 83, a prijmú všetky opatrenia potrebné na zabezpečenie ich vykonávania. Takéto sankcie musia byť účinné, primerané a odrádzajúce.“
Lotyšské právo
11      Ustanovenie § 14 Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (zákon o náhrade ujmy spôsobenej orgánmi verejnej moci) z 2. júna 2005 (Latvijas Vēstnesis, 2005, č. 96) v znení uplatniteľnom na spor vo veci samej (ďalej len „zákon z roku 2005“), nazvané „Uloženie povinnosti náhrady nemajetkovej ujmy“, stanovuje:
„1.      Povinnosť nahradiť nemajetkovú ujmu sa ukladá podľa významu práv a právom chránených záujmov, do ktorých bolo zasiahnuté, a závažnosti predmetného zásahu, a to s ohľadom na odôvodnenie a skutkové a právne dôvody konania orgánu, správanie a spoluzodpovednosť poškodeného, ako aj ďalšie okolnosti relevantné pre daný prípad.
2.      Nemajetková ujma sa nahradí obnovením stavu, ktorý existoval pred vznikom ujmy, alebo v prípade úplnej alebo čiastočnej nemožnosti alebo neprimeranosti tohto spôsobu nápravy ospravedlnením alebo zaplatením primeranej náhrady.
3.      Ak orgán alebo súd po posúdení okolností daného prípadu konštatuje, že zásah do práv alebo právom chránených záujmov fyzickej osoby nie je závažný, písomné alebo verejné ospravedlnenie môže predstavovať jedinú alebo dodatočnú náhradu nemajetkovej ujmy.
4.      Náhrada nemajetkovej ujmy môže byť vyčíslená maximálne do výšky 7 000 eur. V prípade závažnej nemajetkovej ujmy môže byť náhrada stanovená maximálne do výšky 10 000 eur; v prípade ujmy na živote alebo obzvlášť závažnej ujmy na zdraví však môže byť maximálna výška náhrady stanovená až na 30 000 eur.“
Spor vo veci samej a prejudiciálne otázky
12      Žalobca vo veci samej je v Lotyšsku známy ako novinár – odborník v oblasti automobilov.
13      V rámci kampane zameranej na zvýšenie povedomia spotrebiteľov o rizikách spojených s kúpou ojazdených vozidiel PTAC na viacerých internetových stránkach šíril video, v ktorom vystupovala osoba imitujúca žalobcu vo veci samej, bez toho, aby s tým žalobca súhlasil.
14      Napriek námietke, ktorú vyjadril v súvislosti s realizáciou a šírením tohto videa, zostalo toto video dostupné online. PTAC navyše odmietol jeho výslovné žiadosti o zastavenie tohto šírenia a o náhradu ujmy z dôvodu poškodenia dobrého mena.
15      Žalobca vo veci samej sa teda obrátil na Administratīvā rajona tiesa (Okresný správny súd, Lotyšsko) s návrhom jednak na určenie nezákonnosti konania úradu PTAC spočívajúceho v používaní a šírení jeho osobných údajov bez súhlasu a jednak na priznanie náhrady nemajetkovej ujmy vo forme ospravedlnenia a zaplatenia sumy 2 000 eur. Tento súd po tom, čo vyhlásil toto konanie za nezákonné, nariadil úradu PTAC, aby ho ukončil, aby sa tomuto žalobcovi verejne ospravedlnil a aby mu zaplatil náhradu vo výške 100 eur z titulu spôsobenej nemajetkovej ujmy.
16      Rozsudkom z 20. mája 2023 Administratīvā apgabaltiesa (Krajský správny súd, Lotyšsko) v odvolacom konaní potvrdil nezákonnú povahu spracúvania osobných údajov zo strany úradu PTAC na základe článku 6 nariadenia GDPR a nariadil jeho ukončenie, ako aj uverejnenie ospravedlnenia na internetových stránkach, na ktorých sa video šírilo, a to v súlade s § 14 zákona z roku 2005. Tento súd naproti tomu zamietol návrh na peňažnú náhradu nemajetkovej ujmy, ktorú žalobca vo veci samej utrpel. V tejto súvislosti sa najmä domnieval, že porušenie, ku ktorému došlo, nebolo závažné, keďže účelom videa bola realizácia úlohy vo verejnom záujme, a nie poškodenie dobrého mena, cti a dôstojnosti tohto žalobcu. Navyše sa domnieval, že toto porušenie bolo spôsobené tým, že PTAC si nesprávne vyložil právne ustanovenia komplexnej povahy.
17      Vo svojom kasačnom opravnom prostriedku podanom na Augstākā tiesa (Senāts) [Najvyšší súd (Senát), Lotyšsko], ktorý je vnútroštátnym súdom predkladajúcim návrh na začatie prejudiciálneho konania, žalobca vo veci samej spochybňuje tento rozsudok v rozsahu, v akom ním bola zamietnutá peňažná náhrada jeho nemajetkovej ujmy. V podstate tvrdí, že odvolací súd sa dopustil nesprávneho posúdenia závažnosti porušenia jeho práv a vyplývajúcej ujmy. Tvrdí tiež, že náhrada vo forme ospravedlnenia nie je z hľadiska článku 82 nariadenia GDPR spravodlivá ani primeraná.
18      V prvom rade sa vnútroštátny súd so zreteľom na rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracúvaním osobných údajov) (C‑300/21, EU:C:2023:370, ďalej len „rozsudok Österreichische Post“), domnieva, že článok 82 nariadenia GDPR neumožňuje nariadiť poskytnutie náhrady z titulu porušenia tohto nariadenia bez toho, aby predtým charakterizoval ujmu, ktorá bola týmto porušením spôsobená. Podľa neho v prejednávanej veci odvolací súd porušil tento článok 82, keď nariadil poskytnutie takejto náhrady bez toho, aby konštatoval poškodenie dobrého mena, cti a dôstojnosti žalobcu vo veci samej. V tomto kontexte sa tento súd snaží určiť, či vzhľadom na článok 1 ods. 2 nariadenia GDPR, ako aj na jeho odôvodnenia 75, 85 a 146 môže nezákonné spracúvanie osobných údajov samo osebe predstavovať porušenie základného práva na ochranu týchto údajov, ako je zaručené v článku 8 ods. 1 Charty, a v dôsledku toho predstavovať „ujmu“ v zmysle uvedeného článku 82, a to aj vtedy, keď nie je preukázané poškodenie dobrého mena, cti alebo dôstojnosti dotknutej osoby.
19      V druhom rade sa vnútroštátny súd pýta na primeranú náhradu nemajetkovej ujmy podľa článku 82 ods. 1 nariadenia GDPR, ktorého výklad je uvedený v rozsudku zo 4. mája 2023, Österreichische Post (C‑300/21, EU:C:2023:370). Chce vedieť, či sa povinnosť ospravedlniť sa poškodenej osobe, ktorá podľa lotyšského práva môže predstavovať jedinú alebo dodatočnú formu náhrady, môže v určitých prípadoch považovať z hľadiska tohto článku 82 ods. 1 za dostatočnú náhradu.
20      V treťom rade sa tento súd s ohľadom na bod 58 daného rozsudku napokon pýta, či článok 82 ods. 1 nariadenia GDPR umožňuje na účely posúdenia formy a úrovne náhrady, ktorá sa má z tohto titulu poskytnúť, zohľadniť okolnosti sprevádzajúce, či dokonca odôvodňujúce konanie porušovateľa ustanovení tohto nariadenia.
21      Za týchto okolností Augstākā tiesa (Senāts) [Najvyšší súd (Senát)] rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.      Má sa článok 82 ods. 1 [nariadenia GDPR] vykladať v tom zmysle, že nezákonné spracúvanie osobných údajov môže ako porušenie tohto nariadenia samo osebe predstavovať neoprávnený zásah do subjektívneho práva osoby na ochranu jej údajov a ujmu spôsobenú tejto osobe?
2.      Má sa článok 82 ods. 1 [nariadenia GDPR] vykladať v tom zmysle, že umožňuje, aby sa v prípade, ak neexistuje možnosť obnoviť stav, ktorý existoval pred vznikom ujmy, uložila povinnosť ospravedlniť sa ako jediná náhrada nemajetkovej ujmy?
3.      Má sa článok 82 ods. 1 [nariadenia GDPR] vykladať v tom zmysle, že umožňuje, aby okolnosti, ktoré naznačujú postoj a motiváciu osoby, ktorá spracúva údaje (napríklad potreba splniť úlohu realizovanú vo verejnom záujme, neexistencia úmyslu poškodiť osobu alebo ťažkosti s pochopením právneho rámca), odôvodňovali stanovenie nižšej náhrady za túto ujmu?“
O prejudiciálnych otázkach
O prvej otázke
22      Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 nariadenia GDPR so zreteľom na článok 8 ods. 1 Charty vykladať v tom zmysle, že porušenie ustanovení tohto nariadenia samo osebe postačuje na to, aby predstavovalo „ujmu“ v zmysle tohto článku 82 ods. 1.
23      Článok 82 ods. 1 nariadenia GDPR stanovuje, že „každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa“.
24      Súdny dvor podal opakovane výklad tohto článku 82 ods. 1 v tom zmysle, že samotné porušenie tohto nariadenia nestačí na priznanie práva na náhradu ujmy na tomto základe, keďže existencia majetkovej alebo nemajetkovej „ujmy“ alebo „škody“, ktorá bola „utrpená“, predstavuje jednu z podmienok vzniku práva na náhradu ujmy stanoveného v tomto ustanovení, rovnako ako aj existencia porušenia ustanovení uvedeného nariadenia a príčinnej súvislosti medzi touto ujmou a týmto porušením, pričom tieto tri podmienky sú kumulatívne. Osoba, ktorá sa domáha náhrady nemajetkovej ujmy na základe uvedeného ustanovenia, je teda povinná preukázať nielen porušenie tohto nariadenia, ale aj to, že v dôsledku tohto porušenia jej takáto ujma aj skutočne vznikla [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21, EU:C:2023:370, body 32, 33, 42 a 50; z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 41 a 42, ako aj z 20. júna 2024, PS (Nesprávna adresa), C‑590/22, EU:C:2024:536, body 22, 24, 25 a 27].
25      Keďže tieto tri kumulatívne podmienky sú nevyhnutné a postačujú na vznik práva na náhradu ujmy v zmysle článku 82 ods. 1 nariadenia GDPR (rozsudok zo 14. decembra 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, bod 14), toto právo nemôže podliehať dodatočnému preukázaniu toho, že vo vzťahu k dotknutej osobe, ako je definovaná v článku 4 bode 1 tohto nariadenia, došlo k neodôvodnenému zásahu do právneho záujmu, ktorý má toto nariadenie chrániť, a to do práva takejto osoby na ochranu svojich osobných údajov.
26      Súdny dvor navyše zdôraznil, že aj keby ustanovenie nariadenia GDPR, ktoré bolo predmetom porušenia, priznávalo práva fyzickým osobám, takéto porušenie nemôže samo osebe predstavovať „nemajetkovú ujmu“ v zmysle tohto nariadenia a založiť právo na náhradu z tohto titulu, pretože podľa uvedeného nariadenia sa vyžaduje, aby boli splnené aj ďalšie dve podmienky pripomenuté v bode 24 tohto rozsudku (pozri v tomto zmysle rozsudok z 11. apríla 2024, juris, С‑741/21, EU:C:2024:288, bod 40).
27      Tento výklad článku 82 ods. 1 nariadenia GDPR potvrdzujú odôvodnenia 75, 85 a 146 tohto nariadenia. Z týchto odôvodnení totiž po prvé vyplýva, že vznik ujmy v rámci nezákonného spracúvania osobných údajov je len potenciálnym, nie však automatickým dôsledkom takéhoto spracúvania, po druhé že porušením nariadenia GDPR nevyhnutne nevzniká ujma, a po tretie že na to, aby vzniklo právo na náhradu ujmy, musí existovať príčinná súvislosť medzi predmetným porušením a ujmou, ktorú dotknutá osoba utrpela (pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Post, С‑300/21, EU:C:2023:370, bod 37).
28      V zmysle uvedeného výkladu sa teda zaručuje ochrana osobných údajov ako základné právo zakotvené v článku 8 ods. 1 Charty, na ktorý odkazuje odôvodnenie 1 nariadenia GDPR.
29      Vzhľadom na uvedené dôvody treba na prvú otázku odpovedať tak, že článok 82 ods. 1 nariadenia GDPR so zreteľom na článok 8 ods. 1 Charty sa má vykladať v tom zmysle, že porušenie ustanovení tohto nariadenia samo osebe nepostačuje na to, aby predstavovalo „ujmu“ v zmysle tohto článku 82 ods. 1.
O druhej otázke
30      Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 nariadenia GDPR vykladať v tom zmysle, že ospravedlnenie môže predstavovať primeranú náhradu nemajetkovej ujmy na základe tohto ustanovenia, najmä ak nie je možné obnoviť stav, ktorý existoval pred vznikom tejto ujmy.
31      Podľa ustálenej judikatúry je vecou vnútroštátneho právneho poriadku každého členského štátu, aby na základe zásady procesnej autonómie upravoval procesné náležitosti týkajúce sa žalôb určených na zaručenie ochrany práv osôb podliehajúcich súdnej právomoci, avšak pod podmienkou, že nesmú byť v situáciách, na ktoré sa vzťahuje právo Únie, menej priaznivé než pravidlá, ktoré upravujú podobné situácie podliehajúce vnútroštátnemu právu (zásada ekvivalencie), a že nesmú prakticky znemožniť alebo nadmerne sťažiť výkon práv, ktoré priznáva právo Únie (zásada efektivity) (rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21, EU:C:2023:370, bod 53, ako aj z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, bod 32).
32      Keďže v prejednávanej veci nariadenie GDPR neobsahuje ustanovenie, ktorého cieľom by bolo vymedziť pravidlá týkajúce sa posúdenia náhrady ujmy z titulu práva zakotveného v článku 82 tohto nariadenia, vnútroštátne súdy musia na tento účel uplatniť vnútroštátne pravidlá príslušného členského štátu týkajúce sa rozsahu peňažnej náhrady pri dodržaní zásad ekvivalencie a efektivity práva Únie [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21, EU:C:2023:370, body 54 a 59; z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 27 a 33, ako aj z 20. júna 2024, PS (Nesprávna adresa), C‑590/22, EU:C:2024:536, bod 40].
33      Pokiaľ ide o dodržanie zásady ekvivalencie, Súdny dvor v tejto súvislosti nedisponuje žiadnym dôkazom, ktorý by naznačoval, že uvedená zásada by mohla mať konkrétny vplyv na spor vo veci samej.
34      Pokiaľ ide o dodržanie zásady efektivity, výlučne kompenzačná funkcia práva na náhradu ujmy stanovená v článku 82 nariadenia GDPR znamená, že kritériá posúdenia náhrady podľa tohto článku musia byť stanovené v právnych poriadkoch jednotlivých členských štátov, pričom táto náhrada musí byť úplná a účinná, a to bez toho, aby bolo na účely takejto úplnej kompenzácie potrebné uložiť povinnosť zaplatiť sankčnú náhradu ujmy [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21, EU:C:2023:370, body 57 a 58; z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 23, 24, 35, 36 a 43, ako aj z 20. júna 2024, PS (Nesprávna adresa), C‑590/22, EU:C:2024:536, bod 42].
35      Súdny dvor navyše pripustil, že v prípade neexistencie vážnosti ujmy spôsobenej dotknutej osobe môže vnútroštátny súd túto ujmu kompenzovať tak, že tejto osobe prizná minimálnu náhradu, pokiaľ takto priznaná nízka výška náhrady môže v plnom rozsahu kompenzovať túto ujmu, čo prináleží overiť tomuto súdu (pozri v tomto zmysle rozsudok z 20. júna 2024, Scalable Capital, C‑182/22 a С‑189/22, EU:C:2024:531, bod 46).
36      Rovnako článok 82 ods. 1 GDPR nebráni tomu, aby ospravedlnenie predstavovalo jedinú alebo dodatočnú náhradu nemajetkovej ujmy, ako to v prejednávanej veci stanovuje § 14 zákona z roku 2005, ak táto forma náhrady rešpektuje uvedené zásady ekvivalencie a efektivity, a to najmä v rozsahu, v akom musí umožňovať úplnú kompenzáciu nemajetkovej ujmy, ktorá bola konkrétne spôsobená porušením tohto nariadenia, čo prináleží overiť príslušnému vnútroštátnemu súdu s ohľadom na okolnosti každého konkrétneho prípadu.
37      Vzhľadom na uvedené dôvody treba na druhú otázku odpovedať tak, že článok 82 ods. 1 nariadenia GDPR sa má vykladať v tom zmysle, že ospravedlnenie môže predstavovať primeranú náhradu nemajetkovej ujmy na základe tohto ustanovenia, najmä ak nemožno obnoviť stav, ktorý existoval pred vznikom tejto ujmy, pokiaľ je táto forma náhrady spôsobilá v plnom rozsahu kompenzovať ujmu, ktorú dotknutá osoba utrpela.
O tretej otázke
38      Svojou treťou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 nariadenia GDPR vykladať v tom zmysle, že bráni tomu, aby bolo možné zohľadniť prístup a motiváciu prevádzkovateľa s cieľom prípadne priznať dotknutej osobe nižšiu náhradu v porovnaní s ujmou, ktorú v konkrétnom prípade utrpela.
39      V prvom rade z článku 83 nariadenia GDPR so zreteľom na odôvodnenie 148 tohto nariadenia vyplýva, že pri rozhodovaní o tom, či treba uložiť správnu pokutu, a pri stanovení jej výšky treba ako „priťažujúce alebo poľahčujúce okolnosti“ zohľadniť najmä kritériá týkajúce sa postoja a motivácie prevádzkovateľa. Naopak, tieto kritériá nie sú uvedené v článku 82 tohto nariadenia a navyše ani v jeho odôvodnení 146, ktoré sa týka konkrétne práva na náhradu ujmy upraveného v uvedenom článku 82.
40      Neexistencia odkazu na takéto kritériá je odôvodnená skutočnosťou, že článok 82 nariadenia GDPR plní výlučne kompenzačnú funkciu, keďže náhrada, a to najmä peňažná, založená na tomto článku 82 musí umožňovať úplnú kompenzáciu vzniknutej ujmy, na rozdiel od iných ustanovení tohto nariadenia uvedených tiež v jeho kapitole VIII, konkrétne článkov 83 a 84, ktoré majú v podstate sankčný účel, pretože umožňujú uložiť správne pokuty a iné sankcie (pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21, EU:C:2023:370, body 38 a 40, ako aj z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, bod 22).
41      Na základe rozdielov v znení a účeloch, ktoré existujú medzi článkom 82 nariadenia GDPR v spojení s odôvodnením 146 tohto nariadenia a článkom 83 uvedeného nariadenia v spojení s odôvodnením 148 tohto nariadenia, sa preto nemožno domnievať, že kritériá posudzovania stanovené konkrétne v článku 83 sú uplatniteľné mutatis mutandis v rámci článku 82 [rozsudok z 20. júna 2024, PS (Nesprávna adresa), C‑590/22, EU:C:2024:536, bod 43 a citovaná judikatúra]. Toto konštatovanie platí najmä pre stanovenie výšky sumy, ktorá sa má zaplatiť z titulu náhrady ujmy založenej na uvedenom článku 82 [pozri v tomto zmysle rozsudok z 20. júna 2024, PS (Nesprávna adresa), C‑590/22, EU:C:2024:536, body 39 a 44], ako aj všeobecnejšie pre určenie formy, peňažnej alebo inej, a úrovne takejto náhrady.
42      V druhom rade výlučne kompenzačná funkcia práva na náhradu ujmy stanoveného v článku 82 ods. 1 nariadenia GDPR bráni tomu, aby sa na účely náhrady ujmy na základe uvedeného ustanovenia zohľadňoval stupeň závažnosti a prípadná úmyselná povaha porušenia tohto nariadenia, ktorého sa dopustil prevádzkovateľ (pozri v tomto zmysle rozsudok z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 28 až 30).
43      Vzhľadom na výlučne kompenzačnú, a nie sankčnú funkciu, ktorú plní toto právo na náhradu ujmy, nemôže mať závažnosť takéhoto porušenia vplyv na sumu náhrady priznanej na základe tohto článku 82 ods. 1 a túto sumu nemožno stanoviť na úrovni presahujúcej úplnú kompenzáciu ujmy [pozri v tomto zmysle rozsudok z 20. júna 2024, PS (Nesprávna adresa), C‑590/22, EU:C:2024:536, bod 41 a citovanú judikatúru]. Pri stanovení výšky takejto peňažnej náhrady sa musí zohľadniť len ujma, ktorú dotknutá osoba konkrétne utrpela (pozri v tomto zmysle rozsudok z 11. apríla 2024, juris, С‑741/21, EU:C:2024:288, bod 64).
44      Rovnako by nebola rešpektovaná výlučne kompenzačná funkcia uvedeného článku 82 ods. 1, ak by sa na účely určenia formy náhrady priznanej na základe tohto ustanovenia alebo na účely priznania náhrady na „úrovni nižšej“ ako úplná kompenzácia ujmy, ktorú utrpela dotknutá osoba, zohľadnil postoj a motivácia prevádzkovateľa, ako to v prejednávanej veci uvádza vnútroštátny súd.
45      Vzhľadom na uvedené dôvody treba na tretiu otázku odpovedať tak, že článok 82 ods. 1 nariadenia GDPR sa má vykladať v tom zmysle, že bráni tomu, aby bolo možné zohľadniť prístup a motiváciu prevádzkovateľa s cieľom prípadne priznať dotknutej osobe nižšiu náhradu v porovnaní s ujmou, ktorú v konkrétnom prípade utrpela.
O trovách
46      Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (ôsma komora) rozhodol takto:
1.      Článok 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), so zreteľom na článok 8 ods. 1 Charty základných práv Európskej únie
sa má vykladať v tom zmysle, že:
porušenie ustanovení tohto nariadenia samo osebe nepostačuje na to, aby predstavovalo „ujmu“ v zmysle tohto článku 82 ods. 1.
2.      Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
ospravedlnenie môže predstavovať primeranú náhradu nemajetkovej ujmy na základe tohto ustanovenia, najmä ak nemožno obnoviť stav, ktorý existoval pred vznikom tejto ujmy, pokiaľ je táto forma náhrady spôsobilá v plnom rozsahu kompenzovať ujmu, ktorú dotknutá osoba utrpela.
3.      Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
bráni tomu, aby bolo možné zohľadniť postoj a motiváciu prevádzkovateľa s cieľom prípadne priznať dotknutej osobe nižšiu náhradu v porovnaní s ujmou, ktorú v konkrétnom prípade utrpela.
Podpisy
*      Jazyk konania: lotyština.