62023CJ0655_RES
Věc C‑655/23
IP
v.
Quirin Privatbank AG
(žádost o rozhodnutí o předběžné otázce, kterou podal Bundesgerichtshof)
Rozsudek Soudního dvora (čtvrtého senátu) ze dne 4. září 2025
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Práva subjektu údajů – Článek 17 – Právo na výmaz osobních údajů – Článek 18 – Právo na omezení zpracování – Článek 79 – Právo na účinnou soudní ochranu – Protiprávní zpracovávání osobních údajů – Žaloba znějící na uložení povinnosti správci zdržet se do budoucna jakéhokoliv dalšího protiprávního zpracování – Základ – Podmínky – Článek 82 odst. 1 – Právo na náhradu újmy – Pojem ‚nehmotná újma‘ – Posouzení náhrady újmy – Případné zohlednění závažnosti zavinění správce – Případný dopad prospěchu ze ‚soudního příkazu zdržet se jednání‘ “
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Procesní prostředky – Povinnost členských států upravit procesní prostředek umožňující uložit povinnost správci zdržet se do budoucna jakéhokoliv dalšího protiprávního zpracování – Neexistence – Vnitrostátní právní úprava umožňující takový procesní prostředek ve vnitrostátním právním řádu – Přípustnost
(Listina základních práv Evropské unie, čl. 8 odst. 1 a 2; nařízení Evropského parlamentu a Rady 2016/679, body 1, 10 a 11 odůvodnění a článek 1, čl. 4 bod 1, články 5, 6, 17, 18 a 77 až 79)
(viz body 38–52, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Právo na náhradu újmy a odpovědnost – Právo na náhradu utrpěné újmy – Nehmotná újma – Pojem – Negativní pocity subjektu údajů, které zakouší v důsledku neoprávněného předání jeho osobních údajů třetí straně – Zahrnutí – Podmínky – Nutnost prokázání existence takových pocitů a jejich negativních důsledků z důvodu porušení tohoto nařízení
(Nařízení Evropského parlamentu a Rady 2016/679, body 1, 10, 75, 85 a 146 odůvodnění a článek 1 a čl. 82 odst. 1)
(viz body 55, 56, 58–64, výrok 2)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Právo na náhradu újmy a odpovědnost – Právo na náhradu utrpěné újmy – Určení výše a podoby náhrady újmy – Vnitrostátní právní úprava opravňující zohlednění závažnosti zavinění původce újmy pro účely posouzení náhrady nehmotné újmy – Nepřípustnost
(Nařízení Evropského parlamentu a Rady 2016/679, bod 146 odůvodnění a články 82 a 83)
(viz body 66, 67, 69–73, výrok 3)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Právo na náhradu újmy a odpovědnost – Právo na náhradu utrpěné újmy – Určení výše a podoby náhrady újmy – Zohlednění soudního příkazu zdržet se opakování porušení tohoto nařízení za účelem snížení nebo vyloučení peněžité náhrady nehmotné újmy – Nepřípustnost
(Nařízení Evropského parlamentu a Rady 2016/679, článek 82)
(viz body 77–79, 81–83, výrok 4)
Shrnutí
Soudní dvůr, kterému Bundesgerichtshof (Spolkový soudní dvůr, Německo) předložil žádost o rozhodnutí o předběžné otázce, upřesnil rozsah práv, která subjektu údajů přiznávají různá ustanovení GDPR (
1
) v případě protiprávního zpracování jeho osobních údajů.
IP se prostřednictvím profesní sociální on-line sítě ucházel o zaměstnání u společnosti Quirin Privatbank, založené podle německého práva. Zaměstnankyně této společnosti následně využila e-mailovou službu této sítě k tomu, aby třetí osobě, které se tento přijímací proces netýkal, zaslala zprávu určenou pouze IP, ve které jej informovala o odmítnutí jeho mzdových nároků a nabídla mu jinou peněžitou odměnu. Tato třetí osoba, která znala IP, protože s ním dříve pracovala, mu tuto zprávu přeposlala a dotázala se jej, zda hledá zaměstnání.
IP podal k Landgericht Darmstadt (Zemský soud v Darmstadtu, Německo) žalobu, kterou se domáhal, aby bylo společnosti Quirin Privatbank uloženo zdržet se veškerého zpracování jeho osobních údajů v souvislosti s jeho žádostí o pracovní místo, které by znovu vedlo k jejich neoprávněnému zveřejnění, a dále aby mu byla vyplacena náhrady újmy za nehmotnou újmu, která mu vznikla. Soud prvního stupně těmto návrhovým žádáním vyhověl.
V návaznosti na odvolání podané společností Quirin Privatbank k Oberlandesgericht Frankfurt (Vrchní zemský soud ve Frankfurtu, Německo) byl tento rozsudek částečně změněn v rozsahu, v němž byla žaloba na náhradu újmy zamítnuta. Podle názoru uvedeného soudu totiž IP nepředložil důkaz o skutečné újmě, a i kdyby cítil ponížení, nelze jej kvalifikovat jako nehmotnou újmu.
IP a společnost Quirin Privatbank podali každý proti tomuto rozsudku opravný prostředek k Bundesgerichtshof (Spolkový soudní dvůr, Německo), který je předkládajícím soudem.
Vzhledem k tomu, že nejvyšší soud měl pochybnosti o výkladu několika ustanovení GDPR, dotázal se Soudního dvora na rozsah prostředků nápravy, rozsah práva na náhradu utrpěné újmy a kritéria pro posouzení nehmotné újmy, která má být nahrazena.
Závěry Soudního dvora
V první řadě byl Soudní dvůr vyzván, aby se vyjádřil k otázce, zda ustanovení GDPR stanoví ve prospěch subjektu údajů dotčeného protiprávním zpracováním osobních údajů v případě, že tento subjekt nežádá o výmaz svých údajů, procesní prostředek nápravy umožňující mu preventivně dosáhnout toho, aby bylo správci uloženo zdržet se v budoucnu dalšího protiprávního zpracování, a zda v případě záporné odpovědi tato ustanovení brání členským státům v tom, aby takový procesní prostředek nápravy stanovily ve svých právních řádech.
V tomto ohledu Soudní dvůr poukázal na to, že GDPR neobsahuje ustanovení, která by výslovně nebo implicitně stanovila, že subjekt údajů má, jak předpokládá předkládající soud, právo se preventivně prostřednictvím žaloby domáhat toho, aby správci osobních údajů byla uložena povinnost zdržet se do budoucna porušování ustanovení tohoto nařízení, zejména formou opakovaného protiprávního zpracování.
Soudní dvůr kromě toho konstatoval, že žádné z ustanovení tohoto nařízení týkajících se procesních prostředků nápravy (
2
) neukládá členským státům povinnost zavést preventivní procesní prostředek nápravy. Konkrétně čl. 79 odst. 1 GDPR, který zakotvuje právo na účinnou soudní ochranu vůči správci nebo zpracovateli nevyžaduje, aby členské státy stanovily zvláštní procesní prostředek nápravy umožňující prostřednictvím preventivní žaloby získat soudní příkaz ke zdržení se jednání.
Nicméně s ohledem zejména na uznání práva každého subjektu údajů na účinnou soudní ochranu v GDPR, pokud má subjekt údajů za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s uvedeným nařízením, „aniž je dotčena“ jakákoli jiná správní či mimosoudní ochrana, má Soudní dvůr za to, že členským státům není bráněno v tom, aby upravily takovou preventivní žalobu k uložení povinnosti správci, aby se zdržel dalšího porušování práv přiznaných subjektu údajů v tomto nařízení.
Soudní dvůr v tomto ohledu zdůrazňuje, že některá ustanovení GDPR dávají výslovně členským státům možnost stanovit další přísnější nebo odchylná vnitrostátní pravidla, která jim ponechávají prostor pro uvážení ohledně způsobu, jakým mohou být tato ustanovení uplatňována („ustanovení dovolující odchylky“). V této souvislosti Soudní dvůr poukazuje na to, že ačkoli ustanovení GDPR neobsahují specificky takové ustanovení dovolující odchylky, unijní normotvůrce nezamýšlel provést úplnou harmonizaci procesních prostředků nápravy dostupných v případě porušení tohoto nařízení, a zejména nevyloučil takovou možnost podání procesního prostředku nápravy.
Soudní dvůr dodává, že tento výklad je potvrzen cíli sledovanými GDPR. Možnost subjektu údajů podat žalobu, aby bylo správci nařízeno zdržet se v budoucnu porušování hmotněprávních ustanovení GDPR, totiž může posílit užitečný účinek těchto ustanovení, a tedy vysokou úroveň ochrany subjektů údajů v souvislosti se zpracováním jejich osobních údajů.
Soudní dvůr z toho vyvozuje, že GDPR nebrání tomu, aby na základě ustanovení práva členského státu, která by byla použitelná před vnitrostátním soudem, jemuž byla věc předložena, bylo možné podat procesní prostředek nápravy, jehož cílem je dosáhnout vydání soudního příkazu umožňujícího zabránit případnému porušení hmotněprávních ustanovení tohoto nařízení, zejména případným opakování protiprávního zpracování.
V druhé řadě Soudní dvůr upřesnil pojem „nehmotná újma“, který podle GDPR (
3
) přiznává subjektu údajů právo získat od správce náhradu utrpěné újmy.
V tomto rámci Soudní dvůr připomněl, že čl. 82 odst. 1 GDPR týkající se náhrady újmy brání vnitrostátnímu pravidlu nebo praxi, které náhradu „nehmotné újmy“ vážou na to, že újma, kterou subjekt údajů utrpěl, dosáhla určité míry závažnosti. Uvedené ustanovení k tomu, aby mohla být nehmotná újma tvrzená subjektem údajů nahrazena, nevyžaduje, aby tato újma musela dosáhnout určité „minimální prahové hodnoty“ (
4
).
Kromě toho Soudní dvůr poznamenává, že takové situace, jako jsou situace uvedené ve sporu v původním řízení, které se týkají „poškození dobré pověsti“ vyplývajícího z porušení zabezpečení osobních údajů nebo „ztráty kontroly“ nad takovými údaji, jsou výslovně zahrnuty mezi příklady možných újem, které jsou uvedeny v GDPR (
5
).
Soudní dvůr rovněž připomíná, že obava subjektu údajů z možného zneužití jeho osobních údajů v budoucnu v důsledku porušení GDPR může sama o sobě představovat „nehmotnou újmu“ za předpokladu, že tato obava a její negativní důsledky jsou řádně prokázány, což přísluší ověřit předkládajícímu soudu (
6
).
Soudní dvůr tak uznal, že i když negativní pocity zmíněné předkládajícím soudem, zejména obava nebo nespokojenost, mohou být mimo jiné součástí obecných rizik běžného života, takové negativní pocity mohou představovat „nehmotnou újmu“ ve smyslu GDPR za předpokladu, že subjekt údajů prokáže, že zakouší takové pocity a jejich negativní důsledky právě z důvodu dotčeného porušení tohoto nařízení, jako je neoprávněné předání jeho osobních údajů třetí osobě, které s sebou nese riziko jejich zneužití, což přísluší posoudit vnitrostátním soudům, kterým byla věc předložena.
Soudní dvůr zdůrazňuje, že tento výklad v souladu se zněním čl. 82 odst. 1 GDPR ve spojení s body 85 a 146 odůvodnění tohoto nařízení, jež vyzývají k širokému pojetí pojmu „nehmotná újma“, a je podpořen cílem uvedeného nařízení, který spočívá v zajištění vysoké úrovně ochrany fyzických osob v souvislosti se zpracováním osobních údajů.
Ve třetí řadě Soudní dvůr konstatoval, že čl. 82 odst. 1 GDPR týkající se náhrady újmy brání tomu, aby byla pro účely posouzení náhrady nehmotné újmy náležející podle tohoto čl. 82 odst. 1 zohledněna míra závažnosti zavinění správce.
V tomto ohledu Soudní dvůr připomíná, že s ohledem na kompenzační funkci práva na náhradu újmy jsou vnitrostátní soudy povinny zajistit „plnou a účinnou“ náhradu utrpěné újmy, aniž je pro účely takové plné kompenzace nezbytné uložit povinnost k zaplacení sankční náhrady újmy (
7
).
Soudní dvůr uvedl, že tato výlučně kompenzační funkce práva na náhradu újmy stanoveného v GDPR brání tomu, aby byla pro účely náhrady újmy na základě uvedeného nařízení zohledněna míra závažnosti porušení tohoto nařízení správcem a jeho případný úmysl. Postoj a motivace správce tak nemohou být zohledněny za účelem případného přiznání nižší náhrady újmy subjektu údajů, než je újma, kterou skutečně utrpěl, ať už jde o výši nebo formu této náhrady.
Ve čtvrté a poslední řadě má Soudní dvůr za to, že čl. 82 odst. 1 GDPR brání tomu, aby za účelem snížení rozsahu peněžité náhrady nehmotné újmy náležející podle tohoto článku, či dokonce snížení této náhrady byla zohledněna okolnost, že subjekt údajů dosáhl na základě použitelného vnitrostátního práva vydání soudního příkazu zdržet se opakování porušení tohoto nařízení, který je vykonatelný vůči správci.
Soudní dvůr připomněl, že již připustil, že v mezích vyplývajících ze zásady efektivity mohou mít určité okolnosti vliv na posouzení náhrady újmy náležející podle článku 82 GDPR, zejména za účelem omezení této náhrady. Na určitou formu nápravy újmy stanovenou použitelným vnitrostátním právem lze nahlížet tak, že je v souladu s GDPR pouze tehdy, pokud tato forma může zajistit plnou a účinnou nápravu újmy, kterou subjekt údajů utrpěl. Konkrétně náhrada újmy náležející podle článku 82 GDPR nemůže být přiznána zčásti nebo v plném rozsahu ve formě soudního příkazu zdržet se jednání, neboť právo na náhradu újmy plní výlučně kompenzační funkci, zatímco soudní příkaz zdržet se jednání vykonatelný vůči původci újmy má čistě preventivní účel.
(
1
) – Články 17, 18, 79 a 82 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
(
2
) – Kapitola VIII GDPR, nadepsaná „Právní ochrana, odpovědnost a sankce“, obsahuje zejména články 77 až 79 tohoto nařízení.
(
3
) – Článek 82 odst. 1 GDPR.
(
4
) – V tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2023:370, bod 51), jakož i ze dne 4. října 2024, Agencia po vpisvanijata (C‑200/23, EU:C:2024:827, body 147 a 149).
(
5
) – Body 75 a 85 odůvodnění GDPR.
(
6
) – V tomto smyslu viz rozsudky ze dne 20. června 2024, PS (Nesprávná adresa) (C‑590/22, EU:C:2024:536, body 32, 35 a 36), jakož i ze dne 4. října 2024, Agencia po vpisvanijata (C‑200/23, EU:C:2024:827, body 143, 144 a 155, jakož i citovaná judikatura).
(
7
) – V tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2023:370, body 57 a 58), jakož i ze dne 4. října 2024, Patērētāju tiesību aizsardzības centrs, (C‑507/23, EU:C:2024:854, bod 34).