62023CJ0655_RES
Vec C‑655/23
IP
proti
Quirin Privatbank AG
(návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof)
Rozsudok Súdneho dvora (štvrtá komora) zo 4. septembra 2025
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Práva dotknutej osoby – Článok 17 – Právo na vymazanie údajov – Článok 18 – Právo na obmedzenie spracúvania – Článok 79 – Právo na účinný súdny prostriedok nápravy – Nezákonné spracúvanie osobných údajov – Žaloba, ktorou sa domáha, aby bola prevádzkovateľovi uložená povinnosť zdržať sa v budúcnosti ďalšieho nezákonného spracúvania – Základ – Podmienky – Článok 82 ods. 1 – Právo na náhradu škody – Pojem ‚nemajetková ujma‘ – Posúdenie náhrady škody – Prípadné zohľadnenie miery zavinenia prevádzkovateľa – Prípadný vplyv vydania ‚príkazu na zdržanie sa konania‘“
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Prostriedky nápravy – Povinnosť členských štátov upraviť prostriedok nápravy umožňujúci uložiť povinnosť prevádzkovateľovi zdržať sa v budúcnosti akéhokoľvek ďalšieho nezákonného spracúvania – Neexistencia – Vnútroštátna právna úprava umožňujúca taký prostriedok nápravy vo vnútroštátnom právnom poriadku – Prípustnosť
(Charta základných práv Európskej únie, článok 8 ods. 1 a 2; nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenia 1, 10 a 11 a článok 1, článok 4 bod 1, články 5, 6, 17, 18 a 77 až 79)
(pozri body 38 – 52, bod 1 výroku)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na náhradu škody a zodpovednosť – Právo na náhradu utrpenej škody – Nemajetková ujma – Pojem – Negatívne pocity dotknutej osoby, ktoré prežíva v dôsledku neoprávneného prenosu jej osobných údajov tretej strane – Zahrnutie – Podmienky – Potreba preukázať existenciu takých pocitov a ich negatívnych následkov z dôvodu porušenia tohto nariadenia
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenia 1, 10, 75, 85 a 146 a článok 1 a článok 82 ods. 1)
(pozri body 55, 56, 58 – 64, bod 2 výroku)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na náhradu škody a zodpovednosť – Právo na náhradu utrpenej škody – Určenie výšky a formy náhrady škody – Vnútroštátna právna úprava oprávňujúca zohľadnenie miery zavinenia pôvodcu ujmy na účely posúdenia náhrady nemajetkovej ujmy – Neprípustnosť
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 146 a články 82 a 83)
(pozri body 66, 67, 69 – 73, bod 3 výroku)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na náhradu škody a zodpovednosť – Právo na náhradu utrpenej škody – Určenie výšky a formy náhrady škody – Zohľadnenie príkazu zdržať sa opakovania porušenia tohto nariadenia na účely zníženia alebo vylúčenia peňažnej náhrady nemajetkovej ujmy – Neprípustnosť
(Nariadenie Európskeho parlamentu a Rady 2016/679, článok 82)
(pozri body 77 – 79, 81 – 83, bod 4 výroku)
Zhrnutie
Súdny dvor, na ktorý podal Bundesgerichtshof (Spolkový súdny dvor, Nemecko) návrh na začatie prejudiciálneho konania, spresnil rozsah práv, ktoré dotknutej osobe priznávajú rôzne ustanovenia GDPR (
1
) v prípade nezákonného spracúvania jej osobných údajov.
IP sa prostredníctvom online profesijnej sociálnej siete uchádzal o zamestnanie v banke Quirin Privatbank, založenej podľa nemeckého práva. Jej pracovníčka následne využila službu zasielania tejto siete na to, aby tretej strane, ktorá nebola účastníkom tohto výberového konania, zaslala správu určenú len IP, v ktorej ho informovala o odmietnutí jeho mzdových nárokov a ponúkla mu inú odmenu. Táto tretia osoba, ktorá s IP predtým pracovala, mu túto správu zaslala a opýtala sa ho, či si hľadá prácu.
IP podal na Landgericht Darmstadt (Krajinský súd Darmstadt, Nemecko) žalobu, ktorou sa domáhal, aby bola banke Quirin Privatbank uložená jednak povinnosť zdržať sa akéhokoľvek spracúvania jeho osobných údajov v súvislosti s jeho žiadosťou o pracovné miesto, ktoré by opakovane viedlo k ich neoprávnenému poskytnutiu, a jednak povinnosť zaplatiť mu náhradu jeho nemajetkovej ujmy. Súd prvého stupňa týmto návrhom vyhovel.
V nadväznosti na odvolanie podané bankou Quirin Privatbank na Oberlandesgericht Frankfurt (Vyšší krajinský súd Frankfurt nad Mohanom, Nemecko) bol tento rozsudok čiastočne zmenený v rozsahu, v akom bola žaloba na náhradu škody zamietnutá. Podľa názoru tohto súdu totiž IP nepredložil dôkaz o konkrétnej ujme, a aj za predpokladu, že by poníženie pocítil, nemožno ho kvalifikovať ako nemajetkovú ujmu.
IP a Quirin Privatbank podali, každý zvlášť, proti tomuto rozsudku opravný prostriedok na Bundesgerichtshof (Spolkový súdny dvor, Nemecko), ktorý je vnútroštátnym súdom.
Vzhľadom na to, že Najvyšší súd mal pochybnosti o výklade niekoľkých ustanovení GDPR, položil Súdnemu dvoru otázku o rozsahu prostriedkov nápravy, rozsahu práva na náhradu utrpenej ujmy a kritériách na posúdenie nemajetkovej ujmy, ktorá sa má nahradiť.
Posúdenie Súdnym dvorom
V prvom rade bol Súdny dvor vyzvaný, aby sa vyjadril k otázke, či ustanovenia GDPR stanovujú v prospech osoby dotknutej nezákonným spracúvaním osobných údajov, ktorá nepožaduje ich vymazanie, súdny prostriedok nápravy, ktorý jej umožní preventívne dosiahnuť, aby sa prevádzkovateľovi nariadilo zdržať sa v budúcnosti ďalšieho nezákonného spracúvania, a či v prípade zápornej odpovede tieto ustanovenia bránia členským štátom stanoviť takýto prostriedok nápravy vo svojich príslušných právnych poriadkoch.
V tejto súvislosti uviedol, že GDPR neobsahuje ustanovenia, ktoré by výslovne alebo implicitne stanovovali, že dotknutá osoba má právo preventívne sa domáhať prostredníctvom žaloby toho, aby bola prevádzkovateľovi osobných údajov uložená povinnosť zdržať sa v budúcnosti porušovania ustanovení tohto nariadenia, konkrétnejšie vo forme opakovaného nezákonného spracúvania.
Súdny dvor okrem toho konštatoval, že žiadne z ustanovení tohto nariadenia týkajúcich sa právnych prostriedkov nápravy (
2
) neukladá členským štátom povinnosť zaviesť preventívny prostriedok nápravy. Konkrétne článok 79 ods. 1 GDPR, ktorý zakotvuje právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi, nevyžaduje, aby členské štáty stanovili osobitný prostriedok nápravy umožňujúci prostredníctvom preventívnej žaloby získať príkaz na zdržanie sa konania.
Najmä vzhľadom na uznanie práva každej dotknutej osoby na účinný súdny prostriedok nápravy v GDPR, ak sa dotknutá osoba domnieva, že práva, ktoré jej priznáva toto nariadenie, boli porušené v dôsledku spracúvania jej osobných údajov v rozpore s uvedeným nariadením, „bez toho, aby bol dotknutý“ akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy, Súdny dvor rozhodol, že členským štátom nič nebráni v tom, aby stanovili takýto preventívny prostriedok nápravy s cieľom uložiť prevádzkovateľovi povinnosť, aby sa zdržal akéhokoľvek ďalšieho porušenia práv, ktoré toto nariadenie priznáva dotknutej osobe.
Súdny dvor v tejto súvislosti zdôraznil, že viaceré ustanovenia GDPR členským štátom výslovne umožňujú stanoviť dodatočné prísnejšie alebo odchylné vnútroštátne pravidlá, ktoré im ponechávajú mieru voľnej úvahy, pokiaľ ide o spôsob, akým sa môžu tieto ustanovenia vykonávať („ustanovenia o otvorení“). V tejto súvislosti uviedol, že hoci ustanovenia GDPR neobsahujú špecificky také ustanovenie o otvorení, normotvorca Únie nemal v úmysle vykonať vyčerpávajúcu harmonizáciu prostriedkov nápravy dostupných v súvislosti s porušením ustanovení tohto nariadenia, a najmä nechcel vylúčiť takúto možnosť preventívneho prostriedku nápravy.
Súdny dvor dodal, že tento výklad potvrdzujú ciele sledované GDPR. Možnosť dotknutej osoby podať žalobu, aby bolo prevádzkovateľovi nariadené zdržať sa v budúcnosti porušovania hmotnoprávnych ustanovení GDPR, totiž posilňuje ich potrebný účinok, a tým vysokú úroveň ochrany dotknutých osôb v súvislosti so spracovaním ich osobných údajov.
Súdny dvor z toho vyvodil, že GDPR nebráni tomu, aby na základe ustanovení práva členského štátu, ktoré by sa uplatňovali pred vnútroštátnym súdom, ktorému bola vec predložená, bolo možné podať súdny prostriedok nápravy, ktorého cieľom je dosiahnuť vydanie príkazu umožňujúceho zabrániť prípadnému porušeniu hmotnoprávnych ustanovení tohto nariadenia, najmä prípadným opakovaním nezákonného spracúvania.
V druhom rade Súdny dvor spresnil pojem „nemajetková ujma“, ktorý podľa GDPR (
3
) priznáva dotknutej osobe právo získať od prevádzkovateľa náhradu utrpenej ujmy.
V tomto rámci Súdny dvor pripomenul, že článok 82 ods. 1 GDPR týkajúci sa náhrady škody bráni vnútroštátnej norme alebo praxi, ktorá podmieňuje náhradu „nemajetkovej ujmy“ tým, že ujma spôsobená dotknutej osobe musí dosiahnuť určitý stupeň závažnosti. Uvedené ustanovenie nevyžaduje, aby „nemajetková ujma“ uvádzaná dotknutou osobou musela dosiahnuť „prahovú hodnotu de minimis“ na to, aby mohlo dôjsť k náhrade tejto ujmy. (
4
)
Súdny dvor ďalej uviedol, že situácie, ako sú situácie uvádzané v konaní vo veci samej, ktoré sa týkajú „poškodenia dobrej povesti“ vyplývajúceho z porušenia ochrany osobných údajov alebo „straty kontroly“ nad takýmito údajmi, sú výslovne uvedené medzi príkladmi možnej ujmy, ktoré sú vymenované v GDPR. (
5
)
Tiež pripomenul, že obava pociťovaná dotknutou osobou, že jej osobné údaje budú v budúcnosti zneužité v dôsledku porušenia GDPR, môže sama osebe predstavovať „nemajetkovú ujmu“ pod podmienkou, že táto obava je aj s jej negatívnymi dôsledkami riadne preukázaná, čo prináleží overiť vnútroštátnemu súdu, ktorý vec prejednáva. (
6
)
Súdny dvor tak uznal, že hoci negatívne pocity uvedené vnútroštátnym súdom, najmä obava alebo hnev, môžu byť okrem toho súčasťou všeobecného životného rizika, môžu predstavovať „nemajetkovú ujmu“ v zmysle GDPR, pokiaľ dotknutá osoba preukáže, že takéto pocity s ich negatívnymi dôsledkami prežíva práve z dôvodu dotknutého porušenia tohto nariadenia, akým je neoprávnený prenos jej osobných údajov tretej strane, ktorý so sebou nesie riziko ich zneužitia, čo prináleží posúdiť vnútroštátnym súdom, ktoré rozhodujú vo veci.
Súdny dvor zdôraznil, že tento výklad je v súlade so znením článku 82 ods. 1 GDPR v spojení s odôvodneniami 85 a 146 tohto nariadenia, ktoré vyzývajú k širokému chápaniu pojmu „nemajetková ujma“, a je podporený cieľom uvedeného nariadenia, ktorý spočíva v zabezpečení vysokej úrovne ochrany fyzických osôb pri spracúvaní osobných údajov.
V treťom rade Súdny dvor konštatoval, že článok 82 ods. 1 GDPR týkajúci sa práva na náhradu škody bráni tomu, aby sa na účely posúdenia náhrady nemajetkovej ujmy podľa tohto článku zohľadnila miera závažnosti zavinenia prevádzkovateľom.
V tejto súvislosti pripomenul, že vzhľadom na kompenzačnú funkciu práva na náhradu škody sú vnútroštátne súdy povinné zabezpečiť „úplnú a účinnú“ náhradu spôsobenej škody, pričom na účely takejto úplnej náhrady nie je potrebné uložiť povinnosť zaplatiť sankčnú náhradu ujmy. (
7
)
Spresnil, že táto výlučne kompenzačná funkcia práva na náhradu ujmy podľa GDPR bráni tomu, aby sa na účely náhrady ujmy na tomto základe zohľadňoval stupeň závažnosti a prípadná úmyselná povaha porušenia tohto nariadenia, ktorého sa dopustil prevádzkovateľ. Postoj a motiváciu prevádzkovateľa nemožno zohľadniť s cieľom prípadne priznať dotknutej osobe nižšiu náhradu v porovnaní s ujmou, ktorú v konkrétnom prípade utrpela, či už ide o sumu, alebo formu tejto náhrady.
Vo štvrtom a v poslednom rade Súdny dvor rozhodol, že článok 82 ods. 1 GDPR bráni tomu, aby sa na účely zníženia rozsahu peňažnej náhrady nemajetkovej ujmy podľa tohto článku, či dokonca nahradenia tejto náhrady škody, zohľadnila okolnosť, že dotknutá osoba dosiahla podľa uplatniteľného vnútroštátneho práva vydanie príkazu zdržať sa opakovania porušenia tohto nariadenia, ktorý je vykonateľný voči prevádzkovateľovi.
Súdny dvor pripomenul, že už pripustil, že v medziach vyplývajúcich zo zásady efektivity môžu určité okolnosti ovplyvniť posúdenie náhrady škody podľa článku 82 GDPR, najmä s cieľom obmedziť túto náhradu škody. Na určitú formu náhrady škody stanovenú uplatniteľným vnútroštátnym právom pritom možno nahliadať tak, že je v súlade s GDPR len za predpokladu, že táto forma môže zabezpečiť úplnú a účinnú náhradu škody, ktorá vznikla dotknutej osobe. Najmä náhrada škody na základe článku 82 GDPR nemôže byť priznaná čiastočne alebo v celom rozsahu formou príkazu zdržať sa konania, pretože právo na náhradu škody plní výlučne kompenzačnú funkciu, zatiaľ čo príkaz zdržať sa konania vykonateľný voči osobe, ktorá škodu spôsobila, má výlučne preventívny účel.
(
1
)	Články 17, 18, 79 a 82 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
(
2
)	Kapitola VIII nariadenia GDPR, nazvaná „Prostriedky nápravy, zodpovednosť a sankcie“, obsahuje najmä články 77 až 79.
(
3
)	Článok 82 ods. 1 GDPR.
(
4
)	Pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov) (C‑300/21, EU:C:2023:370, bod 51), ako aj zo 4. októbra 2024, Agencija po vpisvanijata (C‑200/23, EU:C:2024:827, body 147 a 149).
(
5
)	Pozri odôvodnenia 75 a 85 GDPR.
(
6
)	Pozri v tomto zmysle rozsudky z 20. júna 2024, PS (Nesprávna adresa) (C‑590/22, EU:C:2024:536, body 32, 35 a 36), ako aj zo 4. októbra 2024, Agencija po vpisvanijata (C‑200/23, EU:C:2024:827, body 143, 144 a 155, ako aj citovaná judikatúra).
(
7
)	Pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov) (C‑300/21, EU:C:2023:370, body 57 a 58), ako aj zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs (C 507/23, EU:C:2024:854, bod 34).