62024CJ0526
ROZSUDOK SÚDNEHO DVORA (štvrtá komora)
z 19. marca 2026 (
*1
)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 12 ods. 5 – Článok 15 ods. 1 – Právo dotknutej osoby na prístup k osobným údajom, ktoré sa jej týkajú – Právo prevádzkovateľa odmietnuť konať na základe žiadosti o prístup – Neprimeranosť žiadosti – Zneužitie práva – Prvá žiadosť o prístup – Právo na náhradu škody a zodpovednosť – Článok 82 ods. 1 – Žaloba založená na porušení práva na prístup – Nemajetková ujma – Strata kontroly nad osobnými údajmi“
Vo veci C‑526/24,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Amtsgericht Arnsberg (Okresný súd Arnsberg, Nemecko) z 31. júla 2024 a doručený Súdnemu dvoru v ten istý deň, ktorý súvisí s konaním:
Brillen Rottler GmbH & Co KG
proti
TC,
SÚDNY DVOR (štvrtá komora),
v zložení: predseda štvrtej komory I. Jarukaitis, predseda Súdneho dvora K. Lenaerts, vykonávajúci funkciu sudcu štvrtej komory, sudcovia M. Condinanzi, N. Jääskinen a R. Frendo (spravodajkyňa),
generálny advokát: M. Szpunar,
tajomník: I. Illéssy, referent,
so zreteľom na písomnú časť konania a po pojednávaní z 5. júna 2025,
so zreteľom na pripomienky, ktoré predložili:
–
Brillen Rottler GmbH & Co. KG, v zastúpení: J. Tröber, Rechtsanwalt,
–
TC, v zastúpení: P. Brandt, Rechtsanwalt,
–
Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní 18. septembra 2025,
vyhlásil tento
Rozsudok
1
Návrh na začatie prejudiciálneho konania sa týka výkladu článku 4 ods. 2, článku 12 ods. 5 a článku 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
2
Tento návrh bol podaný v rámci sporu medzi spoločnosťou Brillen Rottler GmbH & Co. KG, rodinným podnikom prevádzkujúcim očnú optiku, a TC, jednotlivcom, vo veci odmietnutia zo strany tohto podniku konať na základe žiadosti TC o prístup k jeho osobným údajom, ktorú TC podal na základe článku 15 GDPR.
Právny rámec
3
Odôvodnenia 4, 10, 11, 63, 85, 141 a 146 GDPR znejú:
„(4)
Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v [Charte základných práv Európskej únie (ďalej len ‚Charta‘)], ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.
…
(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …
(11)
Účinná ochrana osobných údajov v rámci celej Únie si vyžaduje posilnenie a spresnenie práv dotknutých osôb a povinností tých, ktorí osobné údaje spracúvajú a o ich spracúvaní rozhodujú, ako aj zodpovedajúcich právomocí na monitorovanie a zabezpečenie súladu s pravidlami ochrany osobných údajov a zodpovedajúcich sankcií za porušenia pravidiel v členských štátoch.
…
(63)
Dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť.
…
(85)
Ak sa porušenie ochrany osobných údajov nerieši primeraným spôsobom a včas, môže fyzickým osobám spôsobiť ujmu na zdraví, majetkovú alebo nemajetkovú ujmu, ako je napríklad strata kontroly nad svojimi osobnými údajmi alebo obmedzenie práv týchto osôb, diskriminácia, krádež totožnosti alebo podvod, finančná strata, neoprávnená reverzná pseudonymizácia, poškodenie dobrého mena, strata dôvernosti osobných údajov chránených profesijným tajomstvom, alebo akékoľvek iné závažné hospodárske či sociálne znevýhodnenie dotknutej fyzickej osoby. …
…
(141)
Každá dotknutá osoba by mala mať právo podať sťažnosť na jednom dozornom orgáne, a to predovšetkým v členskom štáte svojho obvyklého pobytu, a mať v súlade s článkom 47 Charty právo na účinný súdny prostriedok nápravy, ak sa domnieva, že boli porušené jej práva podľa tohto nariadenia…
…
(146)
Prevádzkovateľ… by ma[l] nahradiť akúkoľvek škodu, ktorú môže osoba utrpieť v dôsledku spracúvania, ktoré je v rozpore s týmto nariadením. Prevádzkovateľ… by však ma[l] byť tejto zodpovednosti zbaven[ý], ak preukáž[e], že za škodu nenes[ie] žiadnu zodpovednosť. Podľa judikatúry Súdneho dvora by sa mal pojem škody vykladať v širokom zmysle spôsobom, ktorý v plnej miere zohľadňuje ciele tohto nariadenia. … Dotknuté osoby by za utrpenú škodu mali dostať úplnú a účinnú náhradu. …“
4
Podľa článku 4 tohto nariadenia s názvom „Vymedzenie pojmov“:
„Na účely tohto nariadenia:
…
2.
‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…“
5
Článok 12 uvedeného nariadenia, nazvaný „Transparentnosť informácií, oznámenia a postupy výkonu práv dotknutej osoby“, v odsekoch 1, 2 a 5 stanovuje:
„1.   Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania…
2.   Prevádzkovateľ uľahčuje výkon práv dotknutej osoby podľa článkov 15 až 22. …
…
5.   Informácie poskytnuté podľa článkov 13 a 14 a všetky oznámenia a všetky opatrenia prijaté podľa článkov 15 až 22 a článku 34 sa poskytujú bezplatne. Ak sú žiadosti dotknutej osoby zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, prevádzkovateľ môže buď:
a)
požadovať primeraný poplatok zohľadňujúci administratívne náklady na poskytnutie informácií alebo na oznámenie alebo na uskutočnenie požadovaného opatrenia, alebo
b)
odmietnuť konať na základe žiadosti.
Prevádzkovateľ znáša bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti žiadosti.“
6
V článku 15 tohto nariadenia s názvom „Právo dotknutej osoby na prístup k údajom“ sa v odseku 1 uvádza:
„Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom a tieto informácie:
…“
7
Článok 26 GDPR, nazvaný „Spoloční prevádzkovatelia“, v odseku 1 stanovuje:
„Ak dvaja alebo viacerí prevádzkovatelia spoločne určia účely a prostriedky spracúvania, sú spoločnými prevádzkovateľmi. …“
8
V článku 30 tohto nariadenia, nazvanom „Záznamy o spracovateľských činnostiach“, sa v odseku 4 uvádza:
„Každý prevádzkovateľ a v príslušnom prípade zástupca prevádzkovateľa vedie záznamy o spracovateľských činnostiach, za ktoré je zodpovedný. …“
9
Článok 57 uvedeného nariadenia, nazvaný „Úlohy“, v odsekoch 1 a 4 stanovuje:
„1.   Bez toho, aby boli dotknuté iné úlohy stanovené podľa tohto nariadenia, každý dozorný orgán na svojom území:
…
f)
vybavuje sťažnosti podané dotknutou osobou alebo subjektom, organizáciou alebo združením v súlade s článkom 80, a vyšetruje v primeranom rozsahu podstatu sťažnosti…;
…
4.   Ak sú žiadosti zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, dozorný orgán môže účtovať primeraný poplatok zodpovedajúci administratívnym nákladom alebo môže odmietnuť konať na základe žiadosti. Dozorný orgán znáša bremeno preukázania, že žiadosť je zjavne neopodstatnená alebo neprimeraná.“
10
Článok 79 tohto nariadenia, nazvaný „Právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi“, v odseku 1 stanovuje:
„Bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 77, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak sa domnieva, že v dôsledku spracúvania jej osobných údajov v rozpore s týmto nariadením došlo k porušeniu jej práv ustanovených v tomto nariadení.“
11
V článku 82 GDPR, nazvanom „Právo na náhradu škody a zodpovednosť“, sa v odsekoch 1, 2 a 4 uvádza:
„1.   Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.
2.   Každý prevádzkovateľ, ktorý sa zúčastnil na spracúvaní, je zodpovedný za škodu spôsobenú spracúvaním, ktoré bolo v rozpore s týmto nariadením. …
…
4.   Ak sa na tom istom spracúvaní zúčastnil viac než jeden prevádzkovateľ alebo sprostredkovateľ alebo prevádzkovateľ aj sprostredkovateľ spoločne a sú podľa odsekov 2 a 3 zodpovední za škodu spôsobenú spracúvaním, každý z nich zodpovedá za celú škodu, aby sa dotknutej osobe zabezpečila účinná náhrada.“
Spor vo veci samej a prejudiciálne otázky
12
V marci 2023 sa TC, fyzická osoba s bydliskom v Rakúsku, zaregistroval na odber informačného bulletinu spoločnosti Brillen Rottler, rodinného podniku prevádzkujúceho očnú optiku so sídlom v Arnsbergu (Nemecko), pričom svoje osobné údaje uviedol v registračnom formulári dostupnom na webovom sídle tohto podniku, pričom súhlasil so spracovaním týchto údajov. O trinásť dní neskôr zaslal TC spoločnosti Brillen Rottler žiadosť o informácie podľa článku 15 GDPR.
13
Brillen Rottler v zákonnej lehote jedného mesiaca odmietla žiadosť o prístup, keďže ju považovala za zneužívajúcu v zmysle článku 12 ods. 5 prvého pododseku druhej vety GDPR. Vyzvala TC, aby s konečnou platnosťou vzal svoju žiadosť späť.
14
Keďže TC na svojej žiadosti o prístup trval, pričom zároveň podal žiadosť o náhradu škody podľa článku 82 GDPR v sume 1000 eur, Brillen Rottler podala na Amtsgericht Arnsberg (Okresný súd Arnsberg, Nemecko), ktorý je vnútroštátnym súdom predkladajúcim návrh na začatie prejudiciálneho konania, návrh, ktorým sa domáhala určenia, že TC nemá nárok na žiadnu náhradu škody.
15
Na podporu svojho návrhu Brillen Rottler tvrdí, že z rôznych reportáží, článkov na blogu a advokátskych bulletinov vyplýva, že TC systematicky a zneužívajúcim spôsobom podáva žiadosti o prístup k svojim osobným údajom s jediným cieľom získať náhradu škody z titulu údajného porušenia práv, ktoré mu vyplývajú z GDPR, pričom toto porušenie zámerne vyvoláva. Modus operandi TC spočíva v prvom rade v tom, že sa zaregistruje na odber informačného bulletinu, následne predloží žiadosť o prístup a napokon podá návrh na náhradu škody.
16
TC pred predkladajúcim vnútroštátnym súdom tvrdí, že žiadosť o prístup, ktorú predložil spoločnosti Brillen Rottler, je legitímna, že je vyjadrením práva na prístup, ktoré mu priznáva článok 15 GDPR, a že táto spoločnosť sa snaží protiprávne obmedziť práva, ktoré mu priznáva toto nariadenie. Na základe protinávrhu navrhuje, aby bola spoločnosti Brillen Rottler uložená povinnosť zaplatiť mu náhradu škody vo výške najmenej 1000 eur ako náhradu nemajetkovej ujmy, ktorá mu vznikla z dôvodu odmietnutia zo strany tejto spoločnosti poskytnúť mu prístup k jeho osobným údajom.
17
Predkladajúci vnútroštátny súd sa v prvom rade zamýšľa nad tým, či prvú žiadosť o prístup podanú dotknutou osobou možno považovať za „neprimeranú žiadosť“ v zmysle článku 12 ods. 5 GDPR, a teda či môže predstavovať zneužitie práva, a za akých okolností možno takúto neprimeranosť konštatovať. Konkrétne si kladie otázku, či na účely zamietnutia žiadosti o prístup na základe tohto ustanovenia môže prevádzkovateľ vychádzať z verejných informácií, ktoré poukazujú na existenciu početných žiadostí o prístup a návrhov na náhradu škody, podaných touto osobou voči iným prevádzkovateľom.
18
V druhom rade sa tento súd pýta, či žiadosť o prístup podaná podľa článku 15 ods. 1 GDPR a/alebo odpoveď na túto žiadosť predstavujú „spracúvanie“ v zmysle článku 4 bodu 2 tohto nariadenia.
19
V treťom rade má uvedený súd pochybnosti, pokiaľ ide o kritériá identifikácie škôd, ktoré možno nahradiť, na základe článku 82 ods. 1 GDPR, a predovšetkým pokiaľ ide o to, či aj v prípade neexistencie spracúvania tento článok priznáva takéto právo už len na základe porušenia práva na prístup stanoveného v článku 15 ods. 1 tohto nariadenia.
20
Za týchto okolností Amtsgericht Arnsberg (Okresný súd Arnsberg) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Má sa článok 12 ods. 5 [prvý pododsek] druhá veta [GDPR] vykladať v tom zmysle, že prvú žiadosť o prístup, ktorú dotknutá osoba podala prevádzkovateľovi, nemožno považovať za neprimeranú?
2.
Má sa článok 12 ods. 5 [prvý pododsek] druhá veta GDPR vykladať v tom zmysle, že prevádzkovateľ môže zamietnuť žiadosť dotknutej osoby o prístup, ak ju podala s cieľom dosiahnuť od prevádzkovateľa náhradu škody?
3.
Má sa článok 12 ods. 5 druhá veta GDPR vykladať v tom zmysle, že zamietnutie žiadosti o prístup je odôvodnené, ak existujú verejne dostupné informácie o dotknutej osobe, z ktorých vyplýva, že v prípade porušenia práva na ochranu údajov dotknutá osoba v mnohých prípadoch uplatňuje svoje právo na náhradu škody voči prevádzkovateľovi?
4.
Má sa článok 4 bod 2 GDPR vykladať v tom zmysle, že žiadosť o prístup, ktorú dotknutá osoba podala prevádzkovateľovi podľa článku 15 ods. 1 tohto nariadenia, a/alebo odpoveď na túto žiadosť predstavujú ‚spracúvanie‘ v zmysle [prvého z uvedených ustanovení]?
5.
Má sa článok 82 ods. 1 GDPR v spojení s prvou vetou odôvodnenia 146 tohto nariadenia vykladať v tom zmysle, že nárok na náhradu škody môže vzniknúť len v prípade škody, ktorú dotknutá osoba utrpela v dôsledku spracúvania? Znamená to, že podmienkou uplatnenia práva na náhradu škody podľa článku 82 ods. 1 tohto nariadenia je spracúvanie osobných údajov dotknutej osoby (za predpokladu, že dotknutej osobe vznikne v dôsledku tohto spracúvania škoda)?
6.
V prípade kladnej odpovede na piatu otázku: znamená to, že článok 82 ods. 1 GDPR nepriznáva dotknutej osobe žiadne právo na náhradu škody len z dôvodu porušenia práva na prístup ustanoveného v článku 15 ods. 1 tohto nariadenia (za predpokladu, že dotknutej osobe vznikla škoda v dôsledku tohto porušenia)?
7.
Má sa článok 82 ods. 1 GDPR vykladať v tom zmysle, že podľa práva Únie sa prevádzkovateľ nemôže odvolávať na skutočnosť, že dotknutá osoba vyvolala spracúvanie svojich osobných údajov výlučne alebo najmä na účely uplatnenia svojho práva na náhradu škody, aby zamietol žiadosť dotknutej osoby o prístup z dôvodu zneužitia práva?
8.
V prípade zápornej odpovede na piatu a šiestu otázku: vznikla dotknutej osobe nemajetková ujma v zmysle článku 82 ods. 1 GDPR len z dôvodu straty kontroly nad svojimi osobnými údajmi v dôsledku porušenia článku 15 ods. 1 tohto nariadenia a/alebo v dôsledku neistoty, či jej osobné údaje boli spracúvané, alebo škoda vzniká len v prípade, ak utrpí ďalšie (objektívne alebo subjektívne) obmedzenie a/alebo (citeľnú) ujmu?“
O prejudiciálnych otázkach
O prvej, tretej a siedmej otázke
21
Svojou prvou až treťou a siedmou otázkou, ktoré treba preskúmať spoločne a v prvom rade, sa predkladajúci vnútroštátny súd v podstate pýta, či sa má článok 12 ods. 5 GDPR vykladať v tom zmysle, že prvú žiadosť o prístup k osobným údajom, podanú dotknutou osobou prevádzkovateľovi podľa článku 15 tohto nariadenia, možno považovať za „neprimeranú“ v zmysle tohto článku 12 ods. 5, a ak áno, za akých okolností možno prípadne konštatovať takúto neprimeranosť.
22
V tejto súvislosti článok 15 ods. 1 GDPR zaručuje právo dotknutej osoby získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, právo tejto osoby na prístup k týmto údajom a súvisiacim informáciám [pozri v tomto zmysle rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22, EU:C:2023:811, bod 31].
23
Okrem toho článok 12 ods. 5 GDPR stanovuje zásadu, podľa ktorej výkon tohto práva na prístup nespôsobuje dotknutej osobe žiadne náklady. V tomto ustanovení sa však uvádzajú dva dôvody, pre ktoré môže prevádzkovateľ buď účtovať primeraný poplatok zohľadňujúci administratívne náklady, alebo odmietnuť konať na základe žiadosti o prístup. Tieto dôvody sa týkajú prípadov zneužitia práva, v ktorých sa žiadosti dotknutej osoby musia považovať za „zjavne neopodstatnené“ alebo „neprimerané“, najmä pre ich opakujúcu sa povahu [rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22, EU:C:2023:811, bod 31].
24
Pokiaľ ide po prvé o otázku, či prvú žiadosť o prístup podanú dotknutou osobou prevádzkovateľovi podľa článku 15 GDPR možno považovať za „neprimeranú“, treba uviesť, že keďže pojem „neprimerané žiadosti“ nie je v tomto nariadení vymedzený, treba v súlade s ustálenou judikatúrou na účely jeho výkladu zohľadniť tak znenie článku 12 ods. 5 uvedeného nariadenia podľa jeho obvyklého významu v bežnom jazyku, ako aj kontext tohto ustanovenia a ciele sledované právnou úpravou, ktorej je súčasťou [pozri rozsudky zo 17. novembra 1983, Merck, 292/82, EU:C:1983:335, bod 12, a z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, bod 24, ako aj citovanú judikatúru].
25
V tejto súvislosti, pokiaľ ide o znenie tohto článku 12 ods. 5, a predovšetkým obvyklý význam pojmu „neprimerané žiadosti“ v bežnom jazyku, prídavné meno „neprimerané“ označuje niečo, čo presahuje bežnú alebo primeranú mieru alebo čo presahuje žiaducu alebo povolenú mieru [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, bod 43]. Samotné použitie tohto prídavného mena, ktoré sa vzťahuje tak na kvalitatívne, ako aj kvantitatívne charakteristické vlastnosti, tak neumožňuje vylúčiť, že prvá žiadosť o prístup je neprimeraná.
26
Okrem toho je pravda, že zo znenia článku 12 ods. 5 prvého odseku druhej vety GDPR vyplýva, že žiadosti môžu byť neprimerané „najmä pre ich opakujúcu sa povahu“. Znásobenie žiadostí podaných jednou osobou tak môže naznačovať ich neprimeranosť [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, bod 57]. Ako však v podstate zdôraznil generálny advokát v bode 28 svojich návrhov, keďže opakujúca sa povaha je v tomto ustanovení uvedená len orientačne, kvalifikovanie žiadosti o prístup ako „neprimeranej“ nevyžaduje, aby táto žiadosť nevyhnutne zapadala do kontextu podania viacerých žiadostí tou istou dotknutou osobou.
27
Z hľadiska doslovného výkladu článku 12 ods. 5 GDPR tak nemožno vylúčiť, že prvú žiadosť o prístup možno považovať za „neprimeranú“ v zmysle tohto ustanovenia.
28
Toto konštatovanie potvrdzuje kontext, do ktorého článok 12 ods. 5 prvý pododsek druhá veta GDPR patrí. V tejto súvislosti treba pripomenúť, že v tomto článku 12, ktorý sa nachádza v kapitole III tohto nariadenia stanovujúcej práva dotknutej osoby, sa uvádzajú všeobecné povinnosti prevádzkovateľa, pokiaľ ide o transparentnosť informácií a komunikácie, a stanovujú sa podmienky výkonu práv dotknutej osoby. Podľa odseku 2 prvej vety uvedeného článku 12 prevádzkovateľ musí uľahčiť výkon práv priznaných dotknutej osobe predovšetkým na základe článku 15 uvedeného nariadenia, ktorý dopĺňa rámec transparentnosti stanovený týmto nariadením tým, že tejto osobe priznáva právo na prístup k jej osobným údajom [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, body 45 a 46].
29
Tento článok 12 ods. 5 teda prostredníctvom toho, že upravuje aj možnosť prevádzkovateľov – v prípade, že sa musia vysporiadať so žiadosťami, ktoré sú zjavne neopodstatnené alebo neprimerané –, požadovať zaplatenie primeraného poplatku zodpovedajúceho administratívnym nákladom alebo odmietnuť konať na základe takýchto žiadostí, stanovuje výnimku z povinnosti uľahčenia predovšetkým práva na prístup, ktorá sa musí vykladať reštriktívne [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, bod 33].
30
Z judikatúry Súdneho dvora týkajúcej sa výkladu pojmu „neprimerané žiadosti“ uvedeného v článku 57 ods. 4 GDPR, ktorú možno uplatniť aj na prejednávanú vec vzhľadom na to, že znenie tohto ustanovenia je v podstate analogické so znením článku 12 ods. 5 tohto nariadenia a toto ustanovenie sleduje rovnaký cieľ ako uvedený článok 12 ods. 5, pritom vyplýva, že tento článok je vyjadrením všeobecnej zásady práva Únie, podľa ktorej sa osoby podliehajúce súdnej právomoci nemôžu podvodne alebo zneužívajúcim spôsobom dovolávať noriem Únie [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, bod 49]. Uplatnenie právnej úpravy Únie totiž nemožno rozšíriť až tak, aby sa vzťahovalo na úkony, ktoré sú uskutočňované so zneužívajúcim cieľom (pozri v tomto zmysle rozsudok z 19. septembra 2024, Matmut, C‑236/23, EU:C:2024:761, bod 52 a citovanú judikatúru).
31
Počet žiadostí o prístup, ktoré dotknutá osoba podala prevádzkovateľovi, teda sám osebe nie je rozhodujúci pre vznik práva tohto prevádzkovateľa využiť možnosť nekonať na základe žiadosti, ktorú mu poskytuje článok 12 ods. 5 GDPR, a teda platí, že tento prevádzkovateľ ju môže využiť aj v prípade prvej žiadosti o prístup, ak vzhľadom na všetky relevantné okolnosti každého jednotlivého prípadu preukáže, že táto osoba koná so zneužívajúcim úmyslom [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, bod 50].
32
Tento kontextuálny výklad je v súlade s cieľmi sledovanými GDPR. V tejto súvislosti treba poukázať na to, že cieľom tohto nariadenia, ako sa uvádza v jeho odôvodneniach 10 a 11, je zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb v rámci Únie, a tiež posilniť a spresniť práva dotknutých osôb. Povinnosti prevádzkovateľa stanovené v článku 12 uvedeného nariadenia, týkajúce sa najmä oznámenia podľa článku 15 tohto nariadenia, sú teda koncipované ako mechanizmus spôsobilý účinne chrániť práva a záujmy dotknutých osôb [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, body 38 a 39, ako aj citovanú judikatúru].
33
V odôvodnení 4 GDPR sa však uvádza, že právo na ochranu osobných údajov nie je absolútne právo, pretože sa musí posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Okrem toho už Súdny dvor zdôraznil, že mechanizmy umožňujúce dosiahnuť primeranú rovnováhu medzi rôznymi prítomnými právami a záujmami sú zakotvené v samotnom GDPR (rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 54 a citovaná judikatúra).
34
Preto na účely zabezpečenia dosiahnutia tejto spravodlivej rovnováhy prostredníctvom tejto výnimky, ako aj potrebného účinku tejto výnimky, relevantným kritériom, pokiaľ ide o konštatovanie zneužívajúceho správania, je neprimeranosť žiadosti o prístup, posudzovaná z kvalitatívneho hľadiska v súlade s bodom 26 tohto rozsudku, ktorá nemôže závisieť len od počtu žiadostí o prístup podaných dotknutou osobou, a teda od toho, či ide o prvú žiadosť tejto osoby.
35
Z uvedeného vyplýva, že prvú žiadosť o prístup predloženú prevádzkovateľovi podľa článku 15 GDPR možno považovať za „neprimeranú“ v zmysle článku 12 ods. 5 tohto nariadenia. Vzhľadom na to, že pojem „neprimerané žiadosti“ treba vykladať reštriktívne, ako vyplýva z bodu 29 tohto rozsudku, prevádzkovateľ sa na takúto neprimeranosť môže odvolávať len výnimočne, a ako uviedol generálny advokát v bode 34 svojich návrhov, kritériá na účely kvalifikácie prvej žiadosti o prístup ako „neprimeranej“ musia byť vysoké. Treba tiež zdôrazniť, že z článku 12 ods. 5 druhého pododseku GDPR výslovne vyplýva, že preukázanie tejto neprimeranosti prináleží prevádzkovateľovi.
36
Po druhé, pokiaľ ide o okolnosti, za ktorých je možné prvú žiadosť dotknutej osoby o prístup kvalifikovať ako „neprimeranú“ v zmysle článku 12 ods. 5 GDPR a za ktorých tak táto žiadosť môže predstavovať zneužitie práva v zmysle judikatúry citovanej v bodoch 23 a 30 tohto rozsudku, treba uviesť, že na preukázanie zneužívajúceho konania sa vyžaduje jednak súbor objektívnych okolností, z ktorých vyplýva, že: napriek formálnemu dodržaniu podmienok stanovených právnou úpravou Únie nebol dosiahnutý cieľ sledovaný touto právnou úpravou, a jednak subjektívny prvok spočívajúci v úmysle dotknutej osoby získať výhodu vyplývajúcu z právnej úpravy Únie na základe umelého vytvorenia podmienok požadovaných na jej získanie. Takáto kvalifikácia si okrem toho vyžaduje zohľadnenie všetkých skutočností a okolností prejednávanej veci (pozri v tomto zmysle rozsudok z 21. decembra 2023, BMW Bank a i., C‑38/21, C‑47/21 a C‑232/21, EU:C:2023:1014, body 285 a 286, ako aj citovanú judikatúru).
37
Pokiaľ ide v prvom rade o objektívny prvok zneužívajúceho konania, treba uviesť, že cieľom článku 15 GDPR v spojení s jeho odôvodnením 63 je priznať dotknutej osobe právo na prístup k osobným údajom, ktoré boli o nej získané, a uplatniť toto právo jednoducho a v primeraných intervaloch, predovšetkým s cieľom oboznámiť sa so spracúvaním týchto údajov a overiť ich zákonnosť, aby tak v prípade potreby mohla uplatniť svoje právo na opravu, právo na vymazanie, právo na obmedzenie spracúvania, ako aj svoje právo namietať a právo na prostriedok nápravy v prípade spôsobenej ujmy[pozri v tomto zmysle rozsudok z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov), C‑154/21, EU:C:2023:3, body 37 a 38].
38
V prejednávanej veci, ako vyplýva zo spisu, ktorý má Súdny dvor k dispozícii, TC podal žiadosť o prístup, o ktorú ide vo veci samej, po tom, čo sa zaregistroval na odber informačného bulletinu spoločnosti Brillen Rottler a pri tejto registrácii jej oznámil určité osobné údaje, a teda táto žiadosť o prístup by z formálneho hľadiska mohla predstavovať uplatnenie práva TC na prístup na účely dosiahnutia cieľa tejto právnej úpravy.
39
S ohľadom na judikatúru citovanú v bode 36 tohto rozsudku však platí, že formálne dodržanie podmienok uplatnenia článku 15 GDPR samo osebe neumožňuje vylúčiť „neprimeranosť“ žiadosti o prístup, a teda vylúčiť, že by došlo k zneužitiu práva.
40
V tejto súvislosti, pokiaľ ide v druhom rade o subjektívny prvok zneužívajúceho konania, treba uviesť, že na to, aby prevádzkovateľ mohol kvalifikovať žiadosť o prístup ako „neprimeranú“ v zmysle článku 12 ods. 5 GDPR, musí vzhľadom na všetky relevantné okolnosti každého jednotlivého prípadu preukázať existenciu zneužívajúceho úmyslu dotknutej osoby, pričom takýto úmysel možno konštatovať vtedy, ak táto osoba podá túto žiadosť na iný účel, než je oboznámenie sa so spracúvaním týchto údajov a overenie ich zákonnosti, aby následne mohla dosiahnuť ochranu práv, ktoré jej vyplývajú z tohto nariadenia [pozri v tomto zmysle rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti), C‑416/23, EU:C:2025:3, body 50 a 56].
41
V prejednávanej veci tak predovšetkým vzhľadom na to, čo vyplýva z bodu 35 tohto rozsudku, je úlohou prevádzkovateľa, aby jednoznačne preukázal, že dotknutá osoba podala žiadosť o prístup podľa článku 15 GDPR nie s cieľom oboznámiť sa s týmto spracúvaním, ale s cieľom umelo vytvoriť podmienky požadované na získanie náhrady škody od uvedeného prevádzkovateľa.
42
V tejto súvislosti bude potrebné zohľadniť všetky okolnosti prejednávanej veci, predovšetkým to, že dotknutá osoba poskytla osobné údaje bez toho, aby bola k tomu nútená, účel poskytnutia týchto údajov, čas, ktorý uplynul medzi poskytnutím týchto údajov a podaním žiadosti o prístup, ako aj správanie tejto osoby.
43
V súvislosti so sporom, ktorý prejednáva, sa predkladajúci vnútroštátny súd zamýšľa nad možnosťou zohľadniť na účely posúdenia existencie zneužitia práva verejné informácie, ktoré údajne poukazujú na to, že TC systematicky podáva žiadosti o prístup k svojim osobným údajom a návrhy na náhradu škody voči rôznym prevádzkovateľom, pričom ide o modus operandi porovnateľný s tým, ktorý je použitý v predmetnom prípade. V tejto súvislosti treba uviesť, že je pravda, že túto skutočnosť možno zohľadniť na účely preukázania zneužívajúceho úmyslu dotknutej osoby, za predpokladu, že je potvrdený ďalšími relevantnými skutočnosťami.
44
V prejednávanej veci je tak úlohou predkladajúceho vnútroštátneho súdu, aby overil, či vzhľadom na všetky relevantné okolnosti Brillen Rottler preukázala existenciu zneužívajúceho úmyslu TC, pokiaľ ide o podanie predmetnej žiadosti o prístup.
45
Vzhľadom na vyššie uvedené úvahy treba na prvú až tretiu a na siedmu otázku odpovedať tak, že článok 12 ods. 5 GDPR sa má vykladať v tom zmysle, že prvú žiadosť o prístup k osobným údajom podanú dotknutou osobou prevádzkovateľovi podľa článku 15 tohto nariadenia možno považovať za „neprimeranú“ v zmysle tohto článku 12 ods. 5 vtedy, ak tento prevádzkovateľ vzhľadom na všetky relevantné okolnosti prejednávanej veci preukáže, že napriek tomu, že podmienky uvedené v týchto ustanoveniach boli formálne dodržané, dotknutá osoba túto žiadosť nepodala s cieľom oboznámiť sa so spracúvaním týchto údajov a overiť jeho zákonnosť, aby následne mohla získať ochranu práv, ktoré jej vyplývajú z uvedeného nariadenia, ale podala ju so zneužívajúcim úmyslom, ktorým je umelé vytvorenie podmienok vyžadovaných na získanie výhody vyplývajúcej z tohto nariadenia. Skutočnosť, že podľa verejne dostupných informácií dotknutá osoba predložila viacero žiadostí o prístup k svojim osobným údajom a následne podala návrhy na náhradu škody voči rôznym prevádzkovateľom, možno zohľadniť na účely preukázania existencie takéhoto zneužívajúceho úmyslu.
O piatej a šiestej otázke
46
Svojou piatou a šiestou otázkou, ktoré treba preskúmať spoločne a v druhom rade, sa predkladajúci vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že dotknutej osobe priznáva právo na náhradu škody vyplývajúcej z porušenia práva na prístup stanoveného v článku 15 ods. 1 tohto nariadenia.
47
Ako bolo pripomenuté v bode 24 tohto rozsudku, v súlade s ustálenou judikatúrou je na účely výkladu ustanovenia práva Únie potrebné zohľadniť nielen jeho znenie, ale aj jeho kontext a ciele, ktoré sleduje.
48
Zo znenia článku 82 ods. 1 GDPR vyplýva, že osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu „v dôsledku porušenia tohto nariadenia“, má právo na náhradu utrpenej škody od prevádzkovateľa. Treba konštatovať, že toto ustanovenie neobsahuje žiadnu zmienku o „spracúvaní“, a teda toto právo na náhradu škody nemožno obmedziť na ujmu vyplývajúcu zo spracovania osobných údajov.
49
Toto konštatovanie podporuje po prvé kontextuálna analýza uvedeného ustanovenia v spojení s odôvodnením 141 GDPR, ktoré stanovuje, že každá dotknutá osoba by mala mať v súlade s článkom 47 Charty právo na účinný súdny prostriedok nápravy, „ak sa domnieva, že boli porušené jej práva podľa [uvedeného] nariadenia“. Článok 82 ods. 1 GDPR sa totiž nachádza v kapitole VIII tohto nariadenia, ktorá upravuje prostriedky nápravy, pravidlá zodpovednosti a sankcie umožňujúce chrániť tieto práva. Tieto práva pritom zahŕňajú tak právo dotknutej osoby na informácie, stanovené v článku 12 uvedeného nariadenia, ako aj jej právo na prístup na základe článku 15 ods. 1 tohto nariadenia, a teda musia byť chránené článkom 82 tohto nariadenia, ktorý sa preto musí vykladať tak, že sa uplatňuje aj na ujmu vyplývajúcu z porušenia týchto článkov 12 a 15.
50
Takýto výklad nemožno spochybniť tým, že jednak z odôvodnenia 146 GDPR vyplýva, že prevádzkovateľ by mal nahradiť akúkoľvek škodu, ktorú môže osoba utrpieť „v dôsledku spracúvania“, ktoré je v rozpore s týmto nariadením, a jednak že článok 82 uvedeného nariadenia vo svojich odsekoch 2 a 4 zmieňuje „škodu spôsobenú spracúvaním“.
51
Ako totiž v podstate tvrdí Komisia vo svojich písomných pripomienkach, v prípade porušenia práv stanovených v ustanoveniach kapitoly III GDPR, najmä práva na prístup k údajom a práva na opravu, ako aj práva na vymazanie, obmedzenie spracúvania a prenosnosť, údajné porušenie nemusí vyplývať zo skutočného spracúvania osobných údajov ako takého, ale skôr z odmietnutia konať na základe žiadosti dotknutej osoby, pokiaľ ide o výkon týchto práv. Ak by sa teda právo na náhradu škody podľa článku 82 ods. 1 GDPR podmienilo existenciou škody vyplývajúcej zo spracúvania ako takého, malo by to za následok vylúčenie takýchto prípadov z pôsobnosti tohto ustanovenia, a teda narušenie jeho potrebného účinku.
52
Okrem toho Súdny dvor už rozhodol, že porušenie – zo strany prevádzkovateľa – článkov 26 a 30 GDPR, z ktorých prvý sa týka uzavretia dohody, ktorou sa určujú príslušné úlohy prevádzkovateľov, ako aj ich vzťahy voči dotknutým osobám, a druhý vedenia záznamov o spracovateľských činnostiach, nepredstavuje „nezákonné spracúvanie“, ktoré by dotknutej osobe priznávalo právo na vymazanie alebo obmedzenie spracúvania. Takéto porušenie sa tak musí napraviť prostredníctvom iných opatrení stanovených v GDPR, predovšetkým náhradou škody prípadne spôsobenej zo strany prevádzkovateľa, v súlade s článkom 82 GDPR [pozri v tomto zmysle rozsudok zo 4. mája 2023, Bundesrepublik Deutschland (Elektronická súdna schránka), C‑60/22, EU:C:2023:373, body 66 a 67].
53
Konštatovanie uvedené v bode 48 tohto rozsudku je po druhé podporené teleologickým výkladom článku 82 ods. 1 GDPR, keďže týmto článkom sa sleduje zabezpečenie dosiahnutia cieľov tohto nariadenia, medzi ktoré patrí predovšetkým cieľ uvedený v odôvodnení 11 uvedeného nariadenia, ktorým je posilniť práva dotknutých osôb, ako aj povinnosti tých, ktorí osobné údaje spracúvajú a o ich spracúvaní rozhodujú. Ako však v podstate uviedol generálny advokát v bode 72 svojich návrhov, tieto práva, medzi ktoré patrí práve právo na prístup, ktoré uvádza predkladajúci vnútroštátny súd, by boli výrazne oslabené, ak by sa mal tento článok 82 ods. 1 vykladať tak, že sa obmedzuje len na škody vyplývajúce z protiprávnych konaní spojených so spracúvaním údajov.
54
Z uvedeného vyplýva, že aj v prípade porušenia GDPR, ktoré samo osebe nie je spojené so spracúvaním údajov, sa dotknutá osoba môže dovolávať práva na náhradu škody stanoveného v článku 82 tohto nariadenia.
55
Vzhľadom na vyššie uvedené treba na piatu a šiestu otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že dotknutej osobe priznáva právo na náhradu škody vyplývajúcej z porušenia práva na prístup stanoveného v článku 15 ods. 1 tohto nariadenia.
O štvrtej otázke
56
Vzhľadom na odpoveď na piatu a šiestu prejudiciálnu otázku netreba odpovedať na štvrtú otázku.
O ôsmej otázke
57
Svojou ôsmou otázkou, ktorú treba preskúmať v treťom a poslednom rade, sa predkladajúci vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že nemajetková ujma, ktorú utrpela dotknutá osoba, zahŕňa stratu kontroly nad jej osobnými údajmi alebo jej neistotu týkajúcu sa toho, či tieto údaje boli spracúvané.
58
Vzhľadom na to, že GDPR neodkazuje na právo členských štátov, pokiaľ ide o zmysel a rozsah pojmov obsiahnutých v uvedenom ustanovení, najmä čo sa týka pojmov „majetková alebo nemajetková ujma“ a „náhrada utrpenej škody“, tieto pojmy treba na účely uplatnenia tohto nariadenia považovať za autonómne pojmy práva Únie, ktoré sa majú vykladať jednotne vo všetkých členských štátoch [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 30, ako aj zo 4. septembra 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, bod 55 a citovanú judikatúru].
59
V tejto súvislosti treba pripomenúť, že nemožno usudzovať, že každé „porušenie“ ustanovení GDPR samo osebe zakladá právo dotknutej osoby na náhradu škody. V článku 82 ods. 1 GDPR sa totiž uvádza, že „každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa“. Z uvedeného jasne vyplýva, že existencia „ujmy“ alebo „škody“, ktorá bola „utrpená“, predstavuje jednu z podmienok vzniku práva na náhradu škody stanoveného v uvedenom ustanovení, rovnako ako aj existencia porušenia GDPR a príčinnej súvislosti medzi touto ujmou a týmto porušením, pričom tieto tri podmienky sú kumulatívne [pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, body 31 až 33, a zo 4. septembra 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, bod 56 a citovanú judikatúru].
60
Osoba, ktorá sa domáha náhrady škody alebo nemajetkovej ujmy na základe tohto ustanovenia, je tak povinná preukázať nielen porušenie ustanovení GDPR, ale aj to, že toto porušenie jej spôsobilo takúto škodu alebo takúto ujmu. Takúto škodu alebo takúto ujmu teda nemožno len predpokladať z dôvodu, že došlo k uvedenému porušeniu (rozsudok zo 4. októbra 2024, Agencija po vpisvanjata, C‑200/23, EU:C:2024:827, bod 141 a citovaná judikatúra).
61
Súdny dvor už pritom uviedol, že z demonštratívneho zoznamu prípadov „škôd“ alebo „ujmy“, ktoré môžu utrpieť dotknuté osoby, uvedených v odôvodnení 85 prvej vete GDPR, vyplýva, že normotvorca Únie mal v úmysle zahrnúť pod tieto pojmy najmä jednoduchú „stratu kontroly“ nad ich vlastnými osobnými údajmi v dôsledku porušenia tohto nariadenia, a to aj v prípade, že nedošlo ku konkrétnemu zneužitiu dotknutých údajov (rozsudok zo 4. októbra 2024, Agencija po vpisvanjata, C‑200/23, EU:C:2024:827, bod 145 a citovaná judikatúra).
62
Súdny dvor tiež konštatoval, že pojem „nemajetková ujma“ nemožno obmedziť len na škodu určitej závažnosti. Osobitne platí, že vnútroštátna právna úprava alebo vnútroštátna prax nemôžu platne stanoviť „prahovú hodnotu de minimis“ na účely konštatovania nemajetkovej ujmy spôsobenej porušením GDPR. Dotknutá osoba je však povinná preukázať jednak to, že skutočne utrpela takúto ujmu, hoci aj minimálnu, a jednak to, že následky tohto porušenia, ktoré údajne utrpela, predstavujú ujmu odlišnú od samotného porušenia ustanovení tohto nariadenia (pozri v tomto zmysle rozsudok zo 14. decembra 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, body 22 a 23).
63
Len samotné tvrdenie dotknutej osoby o obavách spôsobených stratou kontroly nad jej osobnými údajmi teda nemôže byť dôvodom na náhradu škody podľa článku 82 ods. 1 GDPR [pozri v tomto zmysle rozsudok z 20. júna 2024, PS (Nesprávna adresa), C‑590/22, EU:C:2024:536, body 33 a 35]. Ak sa preto osoba, ktorá sa domáha náhrady škody na základe tohto ustanovenia, odvoláva na obavu, že jej osobné údaje môžu byť v budúcnosti zneužité z dôvodu existencie porušenia tohto nariadenia, vnútroštátny súd, ktorý vo veci rozhoduje, musí overiť, či túto obavu možno za predmetných osobitných okolností a vo vzťahu k dotknutej osobe považovať za dôvodnú (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Agencija po vpisvanjata, C‑200/23, EU:C:2024:827, bod 143 a citovanú judikatúru).
64
Úvahy uvedené v bodoch 59 až 63 tohto rozsudku sa uplatňujú aj v situácii, keď sa dotknutá osoba domnieva, že existuje neistota týkajúca sa toho, či jej osobné údaje boli spracúvané.
65
Na účely poskytnutia užitočnej odpovede predkladajúcemu vnútroštátnemu súdu treba ešte poukázať na to, že príčinná súvislosť medzi namietaným porušením a údajnou škodou môže byť pretrhnutá v dôsledku správania dotknutej osoby, pokiaľ sa ukáže, že toto správanie predstavuje rozhodujúcu príčinu tejto škody. Takýto úkon môže pozostávať okrem iného z rozhodnutia poškodenej osoby, avšak za predpokladu, že nebola povinná toto rozhodnutie prijať [pozri analogicky rozsudok z 18. decembra 2025, WS a i./Frontex (Spoločná návratová operácia), C‑679/23 P, EU:C:2025:976, body 151 a 152, ako aj citovanú judikatúru].
66
Okrem toho z judikatúry pripomenutej v bode 59 tohto rozsudku vyplýva, že existencia príčinnej súvislosti medzi namietaným porušením GDPR a škodou, ktorú dotknutá osoba údajne utrpela, je nevyhnutnou podmienkou vzniku práva na náhradu škody podľa článku 82 ods. 1 tohto nariadenia. Dotknutej osobe preto nemožno na základe tohto ustanovenia priznať náhradu škody, ktorá jej údajne vznikla v dôsledku straty kontroly nad jej osobnými údajmi alebo jej neistoty týkajúcej sa toho, či tieto údaje boli spracúvané, pokiaľ došlo k pretrhnutiu príčinnej súvislosti z dôvodu správania tejto osoby, pretože táto strata kontroly alebo táto neistota boli spôsobené rozhodnutím uvedenej osoby predložiť tieto údaje prevádzkovateľovi, s cieľom umelo vytvoriť podmienky vyžadované na účely uplatnenia uvedeného ustanovenia.
67
Vzhľadom na vyššie uvedené úvahy treba na ôsmu otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že nemajetková ujma, ktorú trpela dotknutá osoba, zahŕňa stratu kontroly nad jej osobnými údajmi alebo jej neistotu týkajúcu sa toho, či tieto údaje boli spracúvané, a to za predpokladu, že sa konkrétne preukáže, že táto osoba takúto ujmu skutočne utrpela a že jej správanie nebolo rozhodujúcou príčinou vzniku tejto ujmy.
O trovách
68
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred predkladajúcim vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (štvrtá komora) rozhodol takto:
1.
Článok 12 ods. 5 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
prvú žiadosť o prístup k osobným údajom podanú dotknutou osobou prevádzkovateľovi podľa článku 15 tohto nariadenia možno považovať za „neprimeranú“ v zmysle tohto článku 12 ods. 5 vtedy, ak tento prevádzkovateľ vzhľadom na všetky relevantné okolnosti prejednávanej veci preukáže, že napriek tomu, že podmienky uvedené v týchto ustanoveniach boli formálne dodržané, dotknutá osoba túto žiadosť nepodala s cieľom oboznámiť sa so spracúvaním týchto údajov a overiť jeho zákonnosť, aby následne mohla získať ochranu práv, ktoré jej vyplývajú z uvedeného nariadenia, ale podala ju so zneužívajúcim úmyslom, ktorým je umelé vytvorenie podmienok vyžadovaných na získanie výhody vyplývajúcej z tohto nariadenia. Skutočnosť, že podľa verejne dostupných informácií dotknutá osoba predložila viacero žiadostí o prístup k svojim osobným údajom a následne podala návrhy na náhradu škody voči rôznym prevádzkovateľom, možno zohľadniť na účely preukázania existencie takéhoto zneužívajúceho úmyslu.
2.
Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
dotknutej osobe priznáva právo na náhradu škody vyplývajúcej z porušenia práva na prístup stanoveného v článku 15 ods. 1 tohto nariadenia.
3.
Článok 82 ods. 1 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
nemajetková ujma, ktorú trpela dotknutá osoba, zahŕňa stratu kontroly nad jej osobnými údajmi alebo jej neistotu týkajúcu sa toho, či tieto údaje boli spracúvané, a to za predpokladu, že sa konkrétne preukáže, že táto osoba takúto ujmu skutočne utrpela a že jej správanie nebolo rozhodujúcou príčinou vzniku tejto ujmy.
Podpisy
(
*1
)	Jazyk konania: nemčina.