STANOVISKO GENERÁLNÍHO ADVOKÁTA

MANUELA CAMPOS SÁNCHEZ-BORDONY

přednesené dne 6. října 2022 ( 1 )

Věc C‑300/21

UI

proti

Österreichische Post AG

[žádost o rozhodnutí o předběžné otázce podaná Oberster Gerichtshof (Nejvyšší soud, Rakousko)]

„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Nehmotná újma způsobená protiprávním zpracováním údajů – Podmínky vzniku nároku na náhradu újmy – Újma nad určitou hranicí závažnosti“

1. Nařízení (EU) 2016/679 ( 2 ) přiznává každé osobě, která utrpěla hmotnou nebo nehmotnou újmu v důsledku porušení jeho ustanovení, právo obdržet od správce nebo zpracovatele náhradu.

2. Možnost domáhat se tohoto práva soudní cestou již existovala v předchozí právní úpravě (článek 23 směrnice 95/46/ES) ( 3 ), ačkoli byla využívána jen zřídka ( 4 ). Pokud se nemýlím, Soudní dvůr konkrétně tento článek nevyložil.

3. V rámci GDPR získaly žaloby na náhradu újmy na významu ( 5 ). Jejich nárůst je patrný u soudů členských států a odráží se v příslušných žádostech o rozhodnutí o předběžné otázce ( 6 ). V rámci této žádosti o rozhodnutí o předběžné otázce Oberster Gerichtshof (Nejvyšší soud, Rakousko) žádá Soudní dvůr, aby upřesnil některé společné rysy režimu občanskoprávní odpovědnosti zavedeného GDPR.

I. Právní rámec. GDPR

4. Pro tento spor jsou relevantní zejména body 75, 85 a 146 odůvodnění nařízení GDPR.

5. Článek 6 („Zákonnost zpracování“) zní takto: „1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů; […]“

6. Článek 79 („Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“) odst. 1 stanoví: „Aniž je dotčena jakákoli dostupná správní či mimosoudní ochrana, včetně práva na podání stížnosti u dozorového úřadu podle článku 77, má každý subjekt údajů právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením“.

7. Článek 82 („Právo na náhradu újmy a odpovědnost“) odst. 1 stanoví: „Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy“.

II. Skutkový stav, spor a předběžné otázky

8. Společnost Österreichische Post AG, která vykonává činnost zprostředkovatele adres, shromažďuje od roku 2017 informace týkající se stranických preferencí rakouského obyvatelstva. Pomocí algoritmu definovala na základě určitých sociodemografických charakteristik „adresy cílových skupin“.

9. UI je fyzická osoba, u níž Österreichische Post extrapolovala pomocí statistického výpočtu její zařazení v rámci možných cílových skupin pro volební reklamu různých politických stran. Tato extrapolace ukázala, že UI má ve vztahu k jedné z těchto stran vysokou preferenci. Tyto údaje nebyly předány třetím osobám.

10. UI, který neudělil souhlas se zpracováním svých osobních údajů, byl rozhořčen tím, že jsou uchovávány údaje týkající se jeho stranických preferencí, a rozhněvala a urazila ho preference, kterou mu přisoudila společnost Österreichische Post.

11. UI požadoval náhradu ve výši 1000 eur za nehmotnou újmu (duševní útrapy). Tvrdí, že politická preference, která mu byla přiřazena, ho uráží, zahanbuje a poškozuje jeho dobré jméno. Dodává, že jednání Österreichische Post u něj vyvolalo velké pohoršení a ztrátu důvěry, jakož i pocit veřejného zostuzení.

12. Soud prvního stupně zamítl žalobu UI na náhradu újmy ( 7 ).

13. Odvolací soud potvrdil rozsudek soudu prvního stupně. Uvedl, že přiznání náhrady nehmotné újmy není automaticky spojeno s každým porušením GDPR a že: – vzhledem k tomu, že rakouské právo se použije jako doplnění k GDPR, lze nahradit pouze újmu, která přesahuje rámec rozhořčení a citové újmy („Gefühlsschaden“) způsobené porušením práv žalobce; – je třeba zachovat zásadu, z níž vychází rakouské právo, že každý je povinen strpět pouhou nevoli a pouhé pocity nelibosti, aniž by to mělo za následek náhradu újmy. Jinými slovy, právo na náhradu újmy vyžaduje určitou relevanci údajné újmy.

14. Proti rozsudku odvolacího soudu byl podán opravný prostředek k Oberster Gerichtshof (Nejvyšší soud), který předkládá Soudnímu dvoru následující předběžné otázky: „1) Vyžaduje přiznání náhrady újmy podle článku 82 GDPR […] kromě porušení ustanovení GDPR rovněž, aby žalobce utrpěl újmu, nebo k přiznání náhrady újmy postačuje již porušení ustanovení GDPR jako takové? 2) Vztahují se na stanovení výše náhrady újmy kromě zásad efektivity a rovnocennosti další požadavky unijního práva? 3) Je s unijním právem slučitelný názor, že podmínkou pro přiznání náhrady nehmotné újmy je, že nastal důsledek nebo následek protiprávního jednání, který má přinejmenším určitou závažnost a překračuje rámec rozhořčení vyvolaného protiprávním jednáním?“

III. Řízení

15. Žádost o rozhodnutí o předběžné otázce byla zapsána do rejstříku kanceláře Soudního dvora dne 12. května 2021.

16. Písemná vyjádření předložili UI, Österreichische Post, rakouská, česká a irská vláda, jakož i Evropská komise. Konání jednání nebylo považováno za nezbytné.

IV. Analýza

A. Úvodní poznámky

1. Přípustnost

17. UI tvrdí, že první předběžná otázka není pro spor relevantní, neboť jeho žaloba nebyla založena na „prostém“ porušení pravidla GDPR, ale na jeho důsledcích nebo účincích.

18. Námitku nepřípustnosti je třeba zamítnout. I pokud se připustí, že zpracováním údajů bylo porušeno GDPR, aniž byla UI způsobena újma, mohl by mít UI nárok na náhradu podle článku 82 GDPR, pokud, jak se táže předkládající soud, bude potvrzeno, že prosté porušení pravidla týkajícího se zpracování zakládá takový nárok.

19. Podle UI by Soudní dvůr mohl považovat za nepřípustnou i druhou předběžnou otázku, protože je příliš otevřená z hlediska svého obsahu a příliš omezená ve vztahu k požadavkům unijního práva, aniž by to konkrétně rozvedl.

20. Ani tato námitka, ačkoli je opodstatněnější než předchozí, nemůže obstát. Je legitimní, že se soud táže, zda kromě dodržování zásad rovnocennosti a efektivity musí při posouzení újmy posoudit i další požadavky stanovené unijním právem.

2. Vymezení předmětu tohoto stanoviska

21. Článek 82 GDPR se skládá ze šesti odstavců. Předkládající soud neodkazuje na žádný z těchto odstavců konkrétně, ale implicitně se odvolává na první z nich. Neupřesňuje ani pravidlo, jehož porušení by zakládalo nárok na náhradu.

22. Moje stanovisko bude vycházet z těchto předpokladů: – Zpracování osobních údajů UI bylo provedeno bez vyžádání si jeho souhlasu ve smyslu čl. 6 odst. 1 písm. a) GDPR. – Právo na náhradu újmy má každá osoba, která utrpěla újmu. V projednávané věci je UI, jako fyzická osoba identifikovaná a dotčená zpracováním, „subjektem údajů“ ( 8 ). – GDPR stanoví náhradu hmotné a nehmotné újmy. Nárok UI je omezen na nehmotnou újmu a má peněžitý obsah.

B. První předběžná otázka

23. Svou první otázkou se předkládající soud ve stručnosti táže, zda prosté porušení ustanovení GDPR zakládá nárok na náhradu újmy bez ohledu na to, zda byla újma způsobena.

24. Ze stanoviska předkládajícího soudu a vyjádření předložených Soudnímu dvoru lze dovodit, že otázka připouští i jiný, poněkud složitější výklad: otázkou je, zda porušení ustanovení GDPR nutně vede ke vzniku újmy, která zakládá právo na náhradu újmy, aniž by žalovaný měl možnost prokázat opak.

25. Mezi těmito dvěma přístupy je určitý (teoretický) rozdíl: v prvním případě není újma předpokladem pro náhradu újmy, ve druhém naopak ano. V praxi v obou případech odpadá požadavek, aby žalobce prokázal vznik újmy; žalobce nemusí prokazovat ani příčinnou souvislost mezi protiprávním jednáním a touto újmou ( 9 ).

26. V každém případě si podle mého názoru ani jeden z obou výkladů první otázky nezaslouží kladnou odpověď. O obou budu hovořit samostatně.

1. Náhrada újmy bez vzniku újmy?

27. Tvrzení, že existuje právo na náhradu újmy, i když porušením GDPR nevznikla subjektu údajů újma, vyvolává zjevné obtíže, počínaje tou týkající se znění čl. 82 odst. 1 tohoto nařízení.

28. Podle tohoto ustanovení se náhrada újmy ( 10 ) přiznává právě proto, že došlo k předchozí újmě. Je tedy jednoznačně nutné, aby fyzická osoba utrpěla újmu v důsledku porušení GDPR.

29. Výklad, který automaticky spojuje pojem „porušení“ s pojmem „náhrada“, aniž by nastala újma, tedy neodpovídá znění článku 82 GDPR. Neodpovídá ani hlavnímu cíli občanskoprávní odpovědnosti zavedené GDPR, kterým je poskytnout zadostiučinění subjektu údajů, a to právě prostřednictvím „plné a účinné“ náhrady újmy, kterou utrpěl ( 11 ).

30. V případě neexistence újmy by náhrada újmy již neplnila funkci kompenzace nepříznivých důsledků, které porušení způsobilo, ale jinou funkci, která by se blížila sankční funkci.

31. Je však pravda, že právní systém členského státu může stanovit zaplacení represivní náhrady újmy ( 12 ). Tím se rozumí uložení povinnosti zaplatit vysokou částku, která přesahuje rámec náhrady újmy.

32. Represivní náhrada újmy obecně zohledňuje předchozí existenci újmy. Při zohlednění tohoto výchozího bodu jsou však její finanční důsledky odděleny od výše náhrady přizpůsobené této újmě.

33. Není nicméně zcela nepředstavitelné, že by se v případě přiznání represivní náhrady újmy k újmě nepřihlíželo nebo že by byla považována za irelevantní pro uspokojení žalobce.

34. Odpověď na první otázku vyžaduje, abych analyzoval, jak tento typ náhrady zapadá do GDPR, zejména vzhledem k tomu, že se na něj odvolává předkládací rozhodnutí a vyjádření účastníků řízení a zúčastněných v řízení o předběžné otázce.

2. Represivní náhrada újmy?

a) Doslovný výklad

35. Ke klasické funkci občanskoprávní odpovědnosti lze přidat další „represivní“ nebo „exemplární“ funkci, kdy, jak jsem již popsal, se výše náhrady újmy nerovná utrpěné újmě, ale je vyšší nebo je dokonce jejím násobkem.

36. Unijní právo v zásadě nebrání takové náhradě újmy v případě porušení unijních pravidel, pokud ji lze přiznat v rámci obdobných žalob založených na vnitrostátním právu ( 13 ).

37. Represivní náhrada újmy má odrazující účel. O stejný účel může jít v případě, kdy jsou členské státy v případě porušení směrnice povinny přijmout opatření, která mají mít „skutečně odrazující účinek“ ( 14 ). Některé směrnice výslovně stanoví, že náhrada újmy, chápaná jako sankce, má mít odrazující účinek ( 15 ).

38. Na druhou stranu v jiných textech normotvůrce uvádí, že cílem směrnice „není zavést povinnost stanovit náhradu škody jako trest“ ( 16 ); nebo že se členské státy musí při provádění směrnice tohoto typu náhrady vyvarovat ( 17 ). V unijním právu je přímé uložení tzv. „represivní náhrady“ výjimečné ( 18 ).

39. GDPR neobsahuje žádnou zmínku o sankční povaze náhrady hmotné nebo nehmotné újmy, ani o tom, že by výpočet její výše měl tuto povahu odrážet, nebo že by tato náhrada měla mít odrazující účinek (tuto vlastnost však přisuzuje trestním sankcím a správním pokutám) ( 19 ). Z doslovného hlediska tedy neumožňuje náhradu újmy represivní povahy.

b) Výklad s ohledem na historii vzniku tohoto ustanovení

40. Článek 82 odst. 1 GDPR vychází z čl. 23 odst. 1 směrnice 95/46. Tento článek byl součástí systému, jehož efektivita se opírala o veřejnoprávní a soukromoprávní prosazování ( 20 ), ale v němž se náhrada (soukromá) a sankce (veřejná) nezaměňovaly ( 21 ). Za dohled nad dodržováním pravidel odpovídaly především nezávislé orgány dozoru ( 22 ).

41. GDPR tento model přebírá, ale posiluje nástroje k zajištění efektivity svých nyní podrobnějších ustanovení a nyní intenzivnějších reakcí na jejich porušení nebo hrozbu jejich porušení: – Zaprvé rozšiřuje funkce dozorových úřadů, které jsou mimo jiné odpovědné za ukládání harmonizovaných sankcí stanovených v samotném GDPR ( 23 ). Zdůrazňuje tak složku veřejnoprávního prosazování pravidel. – Zadruhé umožňuje jednotlivcům hájit práva, která jim GDPR přiznává ( 24 ), a to buď aktivací činnosti dozorových úřadů (článek 77) nebo podáním žaloby (články 79 a 82). Kromě toho článek 80 opravňuje některé subjekty k podávání zástupných žalob ( 25 ), což usnadňuje ochranu obecných zájmů v mezích možností jednotlivců ( 26 ).

42. Vývoj jednotného režimu občanskoprávní odpovědnosti za škodu v GDPR byl omezený. Aspekty, které mohly být podle směrnice 95/46 sporné, jako například zahrnutí nehmotné újmy mezi typ újmy, kterou lze nahradit ( 27 ), byly brzy vyjasněny. Vyjednávání se zaměřilo na další aspekty tohoto režimu ( 28 ).

43. V legislativních pracích jsem nenašel žádnou diskusi o možné represivní funkci občanskoprávní odpovědnosti stanovené v GDPR. Nelze tedy vyvozovat, že má své místo v článku 82, když o této otázce neproběhla žádná debata, zejména když proběhla debata o jejím začlenění do jiných textů unijního práva ( 29 ).

44. Za těchto podmínek mám za to, že žaloba podle čl. 82 odst. 1 GDPR byla koncipována a upravena v rámci typických funkcí občanskoprávní odpovědnosti: funkce náhrady újmy (pro poškozeného) a sekundárně funkce předcházení budoucí újmě (pro porušovatele práv).

c) Kontextuální výklad

45. Jak jsem již uvedl, článek 82 GDPR je součástí systému záruk efektivity pravidel, v němž soukromá iniciativa doplňuje veřejnoprávní prosazování. K této efektivitě přispívá náhrada újmy ze strany správců nebo zpracovatelů.

46. Povinnost nahradit újmu funguje (v ideálním případě) jako pobídka k tomu, aby se v budoucnu postupovalo opatrněji, dodržovala se pravidla a předešlo se další újmě. Tímto způsobem každý jednotlivec tím, že si sám nárokuje náhradu újmy, přispívá k celkové efektivitě pravidel.

47. V tomto rámci jsou kompenzační a represivní funkce odděleny: – K represivní funkci slouží pokuty, které mohou ukládat dozorové úřady nebo soudy (čl. 83 odst. 1 a 9 GDPR), a další sankce, které státy přijímají podle článku 84 GDPR ( 30 ). – Ke kompenzační funkci slouží podání stížnosti ze strany jednotlivce (článek 77) a soudní řízení (článek 79). Posuzování nároku na náhradu újmy však nepřísluší dozorovým úřadům.

48. Stejně tak je třeba oddělit funkci kompenzace a sankce: – Při ukládání pokuty a stanovení její výše musí orgán zohlednit faktory uvedené v článku 83 GDPR, které nejsou stanoveny v oblasti občanskoprávní odpovědnosti a které v zásadě nelze přenést do výpočtu náhrady újmy ( 31 ). – Ačkoli je pro odstupňování pokuty rozhodující míra škody, jež byla způsobena dotčeným subjektům údajů ( 32 ), při výpočtu výše pokuty není zohledněna případná náhrada újmy, kterou tyto subjekty obdržely ( 33 ).

49. Z teoretického hlediska výklad, který v případě neexistence újmy přiznává občanskoprávní odpovědnosti represivní funkci, vytváří riziko, že kompenzační mechanismy se stanou nadbytečnými ve vztahu k sankčním mechanismům.

50. V praxi by snadnost získání „represivního“ zisku formou náhrady újmy mohla vést k tomu, že subjekty údajů dají přednost této cestě před cestou podle článku 77 GDPR. Pokud by se tento přístup rozšířil, připravilo by to dozorové úřady o nástroj (stížnost subjektu údajů), který by jim umožnil zjistit a tedy vyšetřit a sankcionovat případná porušení GDPR, a to na úkor nejvhodnějších nástrojů na ochranu obecného zájmu.

d) Teleologický výklad

51. Cíle GDPR jsou v zásadě dva a jsou uvedeny již v jeho názvu: a) jednak „ochrana fyzických osob v souvislosti se zpracováním osobních údajů“; b) jednak aby tato ochrana byla formulována tak, aby „volný pohyb těchto údajů“ v rámci Unie nebyl zakázán ani omezen ( 34 ).

52. Mám za to, že k dosažení těchto cílů GDPR nevyžaduje, aby náhrada újmy byla spojena s prostým porušením pravidla upravujícího zpracování, čímž by občanskoprávní odpovědnosti byla přiznána represivní funkce.

53. Pokud jde o první cíl, k jeho dosažení není nutné výkladem rozšiřovat oblast působnosti článku 82 GDPR na případy, kdy došlo k porušení pravidla, ale nikoli k újmě. Naopak, toto rozšíření by mohlo mít negativní dopad na druhý cíl.

54. Již jsem zdůraznil, že GDPR stanoví několik mechanismů prosazování, které vedle sebe existují a vzájemně se doplňují. Členské státy si pro zajištění ochrany údajů nemusí (ve skutečnosti ani nemohou) vybírat mezi mechanismy kapitoly VIII. V případě porušení, které nevede k újmě, má subjekt údajů stále (přinejmenším) právo podat stížnost u dozorového úřadu podle čl. 77 odst. 1 GDPR.

55. Kromě toho by vyhlídka na získání náhrady bez ohledu na jakoukoli újmu pravděpodobně podnítila občanskoprávní spory s nároky, které by nemusely být vždy oprávněné ( 35 ), a v tomto ohledu by mohla odrazovat od činnosti zpracování údajů ( 36 ).

3. Domněnka újmy?

56. Některá vyjádření účastníků řízení navrhují jiný výklad první předběžné otázky, než o jakém jsem dosud hovořil. Chápu-li správně jejich postoj ( 37 ), zdá se, že tvrdí, že existuje nevyvratitelná domněnka újmy, jakmile dojde k porušení pravidla.

57. Dodávají, že takové porušení nutně znamená ztrátu kontroly nad údaji, což samo o sobě představuje újmu, kterou lze nahradit podle čl. 82 odst. 1 GDPR.

58. Teoreticky taková domněnka neumožňuje obejít se bez újmy, čímž je dodržena typická struktura občanskoprávní odpovědnosti, jakož i doslovné znění ustanovení GDPR. V praxi by však pro žalobce i žalovaného byly důsledky jejího připuštění podobné těm, které vyplývají ze spojení náhrady újmy podle čl. 82 odst. 1 GDPR s prostým porušením pravidla.

59. Opět se uchýlím k obvyklým výkladovým kritériím, abych vysvětlil, proč se mi tento výklad nezdá správný.

a) Doslovný výklad

60. Pokud se normotvůrce v jiných oblastech unijního práva domníval, že porušení pravidla automaticky zakládá právo na náhradu újmy, neváhal tak stanovit ( 38 ). Jinak je tomu v případě GDPR, kde sice existují pravidla týkající se dokazování nebo s přímými důsledky pro něj ( 39 ), ale neexistuje žádná taková automatická vazba, a to ani přímá, ani prostřednictvím nevyvratitelné domněnky.

61. Odkazy na kontrolu údajů (nebo na ztrátu této kontroly) uvedené v bodech 75 ( 40 ) a 85 ( 41 ) odůvodnění GDPR se mi nezdají být nahrazením této neexistence. Kromě toho, že body odůvodnění jako takové nemají žádnou normativní hodnotu, ani jeden z nich nepodporuje tvrzení, že porušení pravidla samo o sobě implikuje újmu, kterou lze nahradit: – V bodě 75 odůvodnění se jako jedno z možných rizik zpracování uvádí zbavení kontroly nad osobními údaji. – V bodě 85 odůvodnění se uvádí ztráta kontroly jako jeden z důsledků, které může mít porušení zabezpečení osobních údajů ( 42 ).

62. Ztráta kontroly nad údaji nemusí nutně vést k újmě. Tento výraz lze chápat jako jazykový obrat pro označení újmy následující po této ztrátě, pokud taková újma nastane ( 43 ).

b) Výklad ve světle legislativní historie

63. Ani analýza legislativní historie nepotvrzuje existenci takové domněnky, která nebyla obsažena ve směrnici 95/46 ( 44 ) a nestanovily ji ani dokumenty Komise, Evropského parlamentu nebo Rady předcházející přijetí GDPR, které jsem zkoumal.

c) Kontextuální výklad

64. Systém GDPR nabízí prvky, které popírají, že by zahrnoval spornou domněnku, přičemž za referenční bod považuje souhlas subjektu údajů ( 45 ). Tento souhlas jako prostředek jeho kontroly nad údaji legitimizuje zpracování údajů na stejné úrovni jako jiné právní základy (článek 6 GDPR) ( 46 ).

65. Zákonné zpracování osobních údajů je možné bez souhlasu subjektu údajů, a tedy bez kontroly, kterou představuje udělení nebo neudělení tohoto souhlasu. Její váha v rámci systému v konečném důsledku není absolutní.

66. Kromě toho GDPR stanoví další možnosti výkonu této kontroly: mimo jiné právo na výmaz, které správci ukládá povinnost vymazat příslušné informace „bez zbytečného odkladu“ ( 47 ).

67. Pro osobu, jejíž údaje jsou zpracovávány, funguje toto právo jako pojistka ochranného režimu: trvá (jako zásadní pravidlo) i v případě, že správce údajů nezískal souhlas subjektu údajů, jakož i v případě, že neexistuje žádný jiný důvod pro legitimizaci zpracování údajů; a nezávisí na tom, zda zpracování údajů způsobí nějakou újmu ( 48 ).

d) Teleologický výklad

1) Možnost subjektu údajů kontrolovat své údaje, cíl GDPR?

68. Automatická rovnocennost mezi zpracováním osobních údajů, k němuž nebyl získán souhlas subjektu údajů, a újmou, kterou lze nahradit, předpokládá, že kontrola, jejímž prostředkem je souhlas, představuje hodnotu sama o sobě.

69. Uznávám, že na první pohled tento názor nepostrádá opodstatnění. To, že občané mají mít kontrolu nad svými údaji, je v návrhu Komise uvedeno jako jeden z hlavních důvodů reformy ( 49 ). Bod 7 odůvodnění GDPR uvádí, že „fyzické osoby by měly mít možnost kontrolovat své vlastní osobní údaje“.

70. Je pravda, že mimo doktrinální debaty, které tento pojem vyvolal, je při jeho výkladu nutná opatrnost. V GDPR není (ani jsem ji nenašel někde jinde) přesná definice pojmu „kontrola“ ( 50 ). Tento pojem má přinejmenším dva významy, které se vzájemně nevylučují: jako „moc“ nebo „nadvláda“ a jako „dohled“.

71. Formulace bodu 7 odůvodnění GDPR vyvolává určité nejasnosti, protože se liší podle jazykových verzí ( 51 ). Na základě jeho obsahu se domnívám, že GDPR poskytuje subjektu údajů možnosti dohledu a zásahu do operací, které s údaji provádějí jiné osoby, a to jako jeden nástroj (spolu s dalšími) za účelem ochrany těchto údajů.

72. Subjekt údajů sám přispívá k ochraně informací obsažených v údajích a je za ni odpovědný, a to v rozsahu – úrovni a způsobech – stanoveném v GDPR. Rozsah individuální akce je omezený: pokud jde o práva uvedená v GDPR, je omezen na jejich uplatnění za určitých podmínek.

73. Souhlas subjektu údajů jako nejvyšší projev kontroly ( 52 ), je pouze jedním z právních základů pro zákonné zpracování, ale není způsobilý zhojit nesplnění ostatních povinností a podmínek, které má správce a zpracovatel.

74. Z GDPR podle mne nelze snadno vyvodit, že jeho cílem je poskytnout subjektu údajů kontrolu nad osobními údaji jako hodnotu samu o sobě. Ani to, že by subjekt údajů měl mít nad těmito údaji co největší možnou kontrolu.

75. Toto konstatování není překvapivé. Zaprvé není zřejmé, že kontrola v jejím významu nadvlády nad údaji je součástí podstatného obsahu základního práva na ochranu osobních údajů ( 53 ). Zadruhé chápání tohoto práva jako práva na informační sebeurčení není zdaleka jednotné: článek 8 Listiny tyto výrazy nepoužívá ( 54 ).

76. Stejně tak nebyl do konečného znění GDPR zahrnut bod odůvodnění, podle něhož je „právo na ochranu osobních údajů založeno na právu subjektu údajů vykonávat kontrolu nad zpracovávanými osobními údaji“ ( 55 ).

77. Výše uvedené úvahy, možná příliš abstraktní, mě vedou k tvrzení, že pokud subjekt údajů nedá souhlas se zpracováním a toto zpracování se provádí bez jakéhokoli jiného legitimního právního základu, nemusí být z tohoto důvodu finančně odškodněn z důvodu ztráty kontroly nad svými údaji, jako by tato ztráta sama o sobě implikovala újmu, kterou lze nahradit ( 56 ). Zda také utrpěl újmu či nikoli se teprve ukáže (a bude třeba prokázat) ( 57 ).

2) Kontrola subjektu údajů v kontextu

78. Konečně se mi zdá vhodné připomenout, že ochrana osobních údajů je uvedena jako cíl GDPR spolu s cílem podporovat volný pohyb údajů ( 58 ).

79. Posílení kontroly občanů nad jejich osobními údaji v digitálním prostředí je jedním z uznávaných cílů modernizace režimu ochrany osobních údajů, nejde však o samostatný nebo izolovaný cíl.

80. Komise ve sdělení, které doprovází její návrh GDPR, spojila vysokou úroveň ochrany údajů s důvěrou v online služby, která umožňuje naplnit potenciál digitální ekonomiky a podpořit „hospodářský růst a konkurenceschopnost průmyslu EU“. Obnovení (a zvýšená harmonizace) unijní právní úpravy „posiluje […] rozměr jednotného trhu z hlediska ochrany údajů“ ( 59 ).

81. Vzhledem ke zjevné hodnotě údajů (osobních i neosobních) pro hospodářský a společenský pokrok v Evropě se GDPR nesnaží zvýšit kontrolu jednotlivce nad informacemi, které se ho týkají, tím, že se jednoduše přizpůsobí jeho preferencím, ale snaží se sladit právo na ochranu osobních údajů se zájmy třetích osob a společnosti ( 60 ).

82. Trvám na tom, že cílem GDPR není systematicky omezovat zpracování osobních údajů, ale za splnění přísných podmínek jej legitimizovat. Tomuto účelu slouží především posílení důvěry subjektu údajů, že zpracování bude probíhat v bezpečném kontextu ( 61 ), ke kterému sám přispívá. Tímto způsobem je podporována jeho dobrovolná ochota umožnit přístup ke svým údajům a jejich využívání, mimo jiné v oblasti online obchodních transakcí.

C. Druhá předběžná otázka

83. Předkládající soud se táže, zda „se na stanovení výše náhrady újmy [vztahují] kromě zásad efektivity a rovnocennosti další požadavky unijního práva“.

84. Ve skutečnosti se zdá, že zásada rovnocennosti zde nehraje relevantní roli: harmonizovaný režim GDPR se v této oblasti použije přímo a článek 82 GDPR se vztahuje na všechny nehmotné újmy vzniklé v důsledku porušení, ať už pocházejí odkudkoli.

85. Totéž platí pro zásadu efektivity. Jiná věc je, zda by náhrada újmy měla mít v souladu s tím, co je uvedeno v bodě 146 odůvodnění GDPR (subjekty údajů by měly obdržet plnou a účinnou náhradu újmy, kterou utrpěly), ten či onen obsah.

86. Článek 82 GDPR neukládá žádný jiný požadavek než porušení jeho pravidel, pokud v jeho důsledku vznikne jakékoli osobě hmotná či nehmotná újma. Pokud jde konkrétně o výpočet výše náhrady takové újmy, nestanoví vodítka pro vnitrostátní soudy.

87. V souladu s výše uvedenými dvěma kvalifikačními znaky (plná a účinná) bude náhrada záviset především na nároku, který konkrétní žalobce uplatní.

88. Pokud by tento nárok spočíval v přiznání represivní náhrady ( 62 ), postačí odpověď na první otázku: taková náhrada újmy se v nařízení GDPR nevyskytuje. V jeho rámci plní občanskoprávní odpovědnost „soukromoprávní“ kompenzační funkci, zatímco pokuty a trestní sankce mají veřejnoprávní funkci spočívající v odrazení a případně potrestání.

89. Nelze vyloučit, že požadovaná náhrada za nehmotnou újmu zahrnuje i jiné složky než jen peněžní, například uznání, že k porušení došlo, čímž se žalobci dostane určitého morálního zadostiučinění. Rozsudek Soudního dvora ze dne 15. dubna 2021 ( 63 ), ačkoli byl vydán v jiné oblasti než oblasti ochrany údajů, analogicky umožňuje tomuto nároku vyhovět.

90. V právních řádech, které tak stanoví, je možné, aby režim občanskoprávní odpovědnosti stanovil odsuzující rozsudky formou konstatování práva (zaplacení symbolické náhrady) nebo neutralizace neoprávněné výhody (vzdání se neoprávněně získaného prospěchu).

91. Základem prvního z nich je myšlenka trvání a uplatnění práva („Rechtsfortsetzungsfunktion“) prostřednictvím čistě symbolické náhrady, doplněné o prohlášení, že se žalovaný dopustil protiprávního jednání a porušil práva žalobce. Článek 82 GDPR tuto formu nestanoví ani v přípravných pracích o ní není žádný náznak, což není překvapivé, protože není společná právním systémům členských států ( 64 ), ani není prostá kontroverze v systémech, kde existuje ( 65 ).

92. Systém GDPR a jeho cíle však nebrání členským státům, které tento prostředek nápravy uznávají, aby jej v případě úplné neexistence újmy poskytly osobám dotčeným porušením předpisu v rámci prostředků nápravy stanovených v článku 79. Pokud naopak žalobce tvrdí, že mu vznikla hmotná újma, je situace upravena článkem 82 GDPR a obtížnost jejího prokázání by neměla vést k symbolické náhradě ( 66 ).

93. Pokud jde o odsuzující rozsudky spočívající ve vydání částky získané v důsledku porušení práva, mohou být zaměřeny na zbavení autora protiprávního jednání získaného zisku. Mimo oblast duševního vlastnictví ( 67 ) není tento účel běžný v právu odpovědnosti za škodu, které se zaměřuje spíše na ztrátu poškozené osoby než na zisk porušovatele práv ( 68 ). GDPR jej do svých článků nezahrnuje.

94. Tyto úvahy předkládám s cílem usnadnit práci předkládajícímu soudu vzhledem k šíři jeho druhé předběžné otázky. Jsem si však vědom toho, že nemusí být moc užitečné pro vyhovění nebo zamítnutí žaloby, v níž žalobce požaduje čistě peněžitou náhradu nehmotné újmy.

D. Třetí předběžná otázka

95. Předkládající soud se táže, zda je podle GDPR přiznání náhrady nehmotné újmy podmíněno „protiprávním jednáním, které má přinejmenším určitou závažnost a překračuje rámec rozhořčení vyvolaného protiprávním jednáním“.

96. Jako kritérium toho, co lze nahradit, žádost o rozhodnutí o předběžné otázce zohledňuje intenzitu prožitku dotčené osoby. Naopak se netáže (alespoň ne přímo), zda je určitá emoce nebo pocit relevantní či irelevantní pro účely čl. 82 odst. 1 GDPR na základě svého obsahu ( 69 ).

97. Vyvstává tedy otázka, zda mohou členské státy podmínit náhradu nehmotné újmy rozsahem následků porušení pravidla, tedy zahrnutím pouze těch, které přesahují určitou hranici závažnosti. Otázka se tedy netýká kategorií, které lze nahradit ( 70 ), ani výše náhrady, ale existence minimální hranice pro reakci dotčené osoby, pod kterou nebude odškodněna.

98. Článek 82 GDPR neposkytuje přímou odpověď na tuto otázku. Podle mého názoru ji neposkytují ani body 75 a 85 odůvodnění. Oba obsahují demonstrativní výčet forem újmy, který je zakončen otevřenou klauzulí, která patrně omezuje nahraditelnou újmu na „významnou“ újmu.

99. Nedomnívám se však, že by tyto body odůvodnění byly užitečné k vyřešení pochybností předkládajícího soudu: – První se týká identifikace a posouzení rizik spojených se zpracováním údajů a přijetí opatření k jejich prevenci nebo zmírnění. Ilustruje nežádoucí důsledky jakéhokoli zpracování a některé z nich „zvláště“ zdůrazňuje, pravděpodobně pro jejich závažnější povahu. – Druhý se týká porušení zabezpečení údajů a upozorňuje, že důsledky takového porušení mohou být značné.

100. Ani z prohlášení v bodě 146 odůvodnění GDPR (odpovědné strany musí nahradit „veškerou újmu“) ( 71 ) nevyplývají žádná kritéria, která by umožnila tuto otázku zodpovědět.

101. Převedení tohoto bodu odůvodnění do textu GDPR vedl k tomu, že do něj byla výslovně zahrnuta nehmotná újma, čímž se nahradilo mlčení o této otázce ve směrnici 95/46 ( 72 ). Nebyla však řešena zejména otázka, která byla nyní předložena Soudnímu dvoru.

102. Tento bod 146 odůvodnění GDPR uvádí, že „výklad pojmu ‚újma‘ by měl být široký a opírat se o judikaturu Soudního dvora při plném zohlednění cílů tohoto nařízení“.

103. Nejsem si jist, že toto vodítko je v souvislosti s ochranou údajů příliš užitečné, protože Soudní dvůr v době přijetí GDPR v této otázce ještě nerozhodl ( 73 ). Mělo-li být odkazováno na rozsudky týkající se občanskoprávní odpovědnosti upravené v jiných směrnicích nebo nařízeních, bylo by vhodné uvést odkaz na analogii.

104. Soudní dvůr ve skutečnosti nevypracoval obecnou definici „újmy“, která by byla použitelná bez rozdílu v jakékoli oblasti ( 74 ). Pokud jde o projednávanou věc (nehmotná újma), lze z jeho judikatury vyvodit, že: – Pokud je cílem (nebo jedním z cílů) vykládaného ustanovení ochrana jednotlivce nebo určité kategorie jednotlivců ( 75 ), musí být pojem „újma“ široký. – V souladu s tímto kritériem se náhrada vztahuje i na nehmotnou újmu, i když není ve vykládaném ustanovení uvedena ( 76 ).

105. Judikatura Soudního dvora sice umožňuje tvrdit, že za výše uvedených podmínek existuje v unijním právu zásada náhrady nehmotné újmy, na druhou stranu se však nedomnívám, že z ní lze vyvodit pravidlo, podle něhož lze nahradit každou nehmotnou újmu, ať už je jakkoli závažná.

106. Soudní dvůr uznal slučitelnost vnitrostátní právní úpravy, která pro účely výpočtu náhrady újmy rozlišuje mezi nehmotnou újmou spojenou s újmou na zdraví způsobenou nehodou podle původu nehody, s unijní právní úpravou ( 77 ).

107. Rovněž posoudil, které okolnosti mohou vést ke vzniku nehmotné újmy, a to v souladu s ustanovením použitelným v každé jednotlivé věci ( 78 ), ale výslovně nerozhodl (pokud se nemýlím) o požadavku závažnosti takové újmy ( 79 ).

108. V tomto ohledu se domnívám, že na třetí předběžnou otázku je třeba odpovědět kladně.

109. Na podporu svého postoje připomínám, že cílem GDPR není pouze ochrana základního práva na ochranu osobních údajů ( 80 ) a jeho systém záruk zahrnuje mechanismy různých typů ( 81 ).

110. V této souvislosti je relevantní Soudnímu dvoru naznačené rozlišení mezi nahraditelnou nehmotnou újmou a jinými nepříznivými důsledky nedodržení právní úpravy, které by pro svůj menší význam nemusely nutně zakládat právo na náhradu újmy.

111. Takové rozdělení je ve vnitrostátních právních řádech vnímáno jako nevyhnutelný důsledek života ve společnosti ( 82 ). Soudnímu dvoru není tento rozdíl cizí a připouští jej, když označuje potíže a nepohodlí za samostatnou kategorii ve vztahu k újmám, a to v oblastech, kde se domnívá, že by měly být nahrazeny ( 83 ). Nic nebrání jeho převzetí v případě GDPR.

112. Kromě toho se mi právo na náhradu újmy podle čl. 82 odst. 1 GDPR nezdá být vhodným nástrojem k zamezení protiprávního jednání při zpracování osobních údajů, pokud jediné, co v subjektu údajů vyvolá, je hněv nebo rozhořčení.

113. Jakékoli porušení pravidla ochrany osobních údajů zpravidla vyvolá určitou negativní reakci ze strany subjektu údajů. Náhrada odvozená z pouhého pocitu nelibosti nad nerespektováním práva druhou osobou je snadno zaměnitelná s náhradou bez vzniku újmy, kterou jsem již výše odmítl.

114. Z praktického hlediska není efektivní zahrnovat mezi nahraditelné nehmotné újmy pouhá rozhořčení, a to s ohledem na nepříjemnosti a obtíže, které jsou pro žalobce v souvislosti s žalobou ( 84 ) a pro žalovaného v souvislosti s obhajobou ( 85 ) charakteristické.

115. Odepření práva na náhradu za slabé a pomíjivé pocity nebo emoce ( 86 ) spojené s porušením pravidel zpracování nezanechává subjekt údajů zcela bezmocným. Jak jsem již uvedl v části týkající se první otázky, systém GDPR nabízí i jiné prostředky nápravy.

116. Nepochybuji o tom, že hranice mezi pouhým rozhořčením (které nelze nahradit) a skutečnou nehmotnou újmou (kterou lze nahradit) je tenká, a jsem si vědom toho, jak složité je abstraktně vymezit obě kategorie, a konkrétně je aplikovat na spor. Tento obtížný úkol připadá soudům členských států, které ve svých rozhodnutích pravděpodobně nebudou moci ignorovat vnímání přípustné tolerance společností v daném okamžiku, pokud subjektivní důsledky porušení pravidla v této oblasti nepřesáhnou úroveň de minimis ( 87 ).

V. Závěry

117. Na základě výše uvedeného navrhuji odpovědět Oberster Gerichtshof (Nejvyšší soudní dvůr, Rakousko) následovně: „Článek 82 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že pro přiznání práva na náhradu újmy, kterou osoba utrpěla v důsledku porušení výše uvedeného nařízení, nestačí prosté porušení pravidla samo o sobě, pokud není doprovázeno odpovídající hmotnou nebo nehmotnou újmou; náhrada nehmotné újmy, kterou upravuje, se nevztahuje na pouhé rozhořčení, které dotčená osoba může pociťovat v důsledku porušení ustanovení nařízení 2016/679. Je na vnitrostátních soudech, aby rozlišily, kdy lze subjektivní pocit nelibosti na základě jeho vlastností považovat v každém jednotlivém případě za nehmotnou újmu.“

( 1 ) – Původní jazyk: španělština.

( 2 ) – Nařízení Evropského parlamentu a Rady (EU) ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1). Dále jen „GDPR“.

( 3 ) – Směrnice Evropského parlamentu a Rady ze dne 24. října 1995 ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 08/03, s. 3).

( 4 ) – Podle zprávy Agentury Evropské unie pro základní práva (FRA), Access to data protection remedies in the EU Member States, Úřad pro publikace Evropské unie, 2013, body 3 a 4.

( 5 ) – Legislativní uznání tohoto práva je do značné míry specifikem unijního systému ochrany. Při analýze platnosti právních nástrojů týkajících se předávání osobních údajů do třetích zemí se konkrétně zohledňuje, zda existuje ustanovení se stejným účelem. Viz body 226 a 227 posudku 1/15 [Dohoda o PNR mezi Evropskou unií a Kanadou, ze dne 26. července 2017 (EU:C:2017:592)]; a rozsudky ze dne 16. července 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559) a 21. června 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491).

( 6 ) – V době psaní tohoto stanoviska je projednáváno sedm dalších žádostí o rozhodnutí o předběžné otázce v této oblasti (věci C‑340/21; C‑667/21; C‑687/21; C‑741/21; C‑182/22; C‑189/22 a C-456/22). Současně byl Petiční výbor Evropského parlamentu požádán, aby „vyjasnil body odůvodnění GDPR, zejména pokud jde o nehmotnou újmu, aby se zabránilo dalším nespravedlivým rozhodnutím německých soudů“ (petice č. 0386/2021).

( 7 ) – Naopak vyhověl návrhu na zdržení se protiprávního jednání, který byl v odvolacím řízení potvrzen. Opravný prostředek Revision společnosti Österreichische Post proti uložení povinnosti zdržet se protiprávního jednání byl zamítnut.

( 8 ) – Tento výraz používám ve smyslu čl. 4 odst. 1 nařízení GDPR.

( 9 ) – V některých případech nebude muset subjekt údajů ani prokazovat, že souhlas udělil, neboť podle čl. 7 odst. 1 GDPR „pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů“. Žalobce může být vyzván, aby předložil důkazy, které umožní vyčíslit újmu.

( 10 ) – Výraz „indemnización“ se používá ve španělské a portugalské verzi („indemnização“). Velmi expresivní je také „Schadenersatz“ v německé verzi. Ve francouzštině se nepoužívá „indemnisation“, ale „réparation“; v angličtině „compensation“. Domnívám se, že v každé z těchto a podobných verzí je výsledek totožný: újma zůstává nezbytným prvkem občanskoprávní odpovědnosti.

( 11 ) – Bod 146 odůvodnění GDPR. Cílem náhrady újmy je obnovit rovnováhu právního stavu, který byl negativně změněn (poškozen) protiprávním jednáním.

( 12 ) – Náhrada újmy represivní povahy (punitive damages) je charakteristická pro anglosaské právo. Jiné právní systémy ji používají jako reakci na obzvláště úmyslné nebo hrubě nedbalé jednání. Někdy je spojena s posuzováním nehmotné újmy vyplývající z újmy na tělesné integritě nebo na intimní sféře jednotlivce.

( 13 ) – Rozsudek ze dne 13. července 2006, Manfredi a další (C‑295/04 až C‑298/04, EU:C:2006:461), bod 92: „Co se týče přiznání náhrady škody a případné možnosti přiznat náhradu škody s povahou sankce, v nepřítomnosti ustanovení práva Společenství v této oblasti přísluší vnitrostátnímu právnímu řádu každého členského státu určit kritéria umožňující vymezit rozsah této náhrady, za předpokladu, že jsou dodrženy zásady rovnocennosti a efektivity“. Kurzivou zvýraznil autor stanoviska.

( 14 ) – Rozsudek ze dne 11. října 2007, Paquay (C‑460/06, EU:C:2007:601, bod 44 a násl.) ve spojení s článkem 6 směrnice Rady 76/207/EHS ze dne 9. února 1976 o zavedení zásady rovného zacházení pro muže a ženy, pokud jde o přístup k zaměstnání, odbornému vzdělávání a postupu v zaměstnání a o pracovní podmínky (Úř. věst. 1976, L 39, s. 40; Zvl. vyd. 05/01, s. 187).

( 15 ) – Článek 28 směrnice Evropského parlamentu a Rady 2004/109/ES ze dne 15. prosince 2004 o harmonizaci požadavků na průhlednost týkajících se informací o emitentech, jejichž cenné papíry jsou přijaty k obchodování na regulovaném trhu, a o změně směrnice 2001/34/ES (Úř. věst. 2004, L 390, s. 38); nebo článek 25 směrnice Evropského parlamentu a Rady 2006/54/ES ze dne 5. července 2006 o zavedení zásady rovných příležitostí a rovného zacházení pro muže a ženy v oblasti zaměstnání a povolání (Úř. věst. 2006, L 204, s. 23).

( 16 ) – Bod 26 odůvodnění směrnice Evropského parlamentu a Rady 2004/48/ES ze dne 29. dubna 2004 o dodržování práv duševního vlastnictví (Úř. věst. 2004, L 157, s. 45; Zvl. vyd. 17/02, s. 32). V tomto případě není přijetí represivního opatření zakázáno, ale není povinné: rozsudek ze dne 25. ledna 2017, Stowarzyszenie Oławska Telewizja Kablowa (C‑367/15, EU:C:2017:36, bod 28).

( 17 ) – Článek 3 odst. 3 směrnice Evropského parlamentu a Rady 2014/104/EU ze dne 26. listopadu 2014 o určitých pravidlech upravujících žaloby o náhradu škody podle vnitrostátního práva v případě porušení právních předpisů členských států a Evropské unie o hospodářské soutěži (Úř. věst. 2014, L 349, s. 1); nebo body 10 a 42 odůvodnění směrnice Evropského parlamentu a Rady (EU) 2020/1828 ze dne 25. listopadu 2020 o zástupných žalobách na ochranu kolektivních zájmů spotřebitelů a o zrušení směrnice 2009/22/ES (Úř. věst. 2020, L 409, s. 1), která se týká oblasti ochrany údajů.

( 18 ) – Jako příklad je obvykle uváděn čl. 18 odst. 2 nařízení Komise (ES) č. 1768/95 ze dne 24. července 1995, kterým se stanoví prováděcí pravidla pro odchylku podle čl. 14 odst. 3 nařízení (ES) č. 2100/94 (Úř. věst. 1995, L 173, s. 14; Zvl. vyd. 03/18, s. 63): „[dotyčná osoba je] povinna k úhradě další škody […], tato povinnost úhrady zahrnuje alespoň paušální částku, která se vypočítává na základě čtyřnásobku průměrné částky poplatku […]“.

( 19 ) – Viz níže bod 47.

( 20 ) – Pojmy „veřejnoprávní prosazování“ a „soukromoprávní prosazování“ zde používám ve stejném smyslu jako směrnice 2014/104.

( 21 ) – Bod 55 odůvodnění uváděl obsah kapitoly III („Soudní přezkum, odpovědnost a sankce“) směrnice 95/46. Jednotlivým výrazům odpovídaly její články 22, 23 a 24. Orgánům dozoru byla věnována kapitola VI.

( 22 ) – Soudní dvůr potvrdil ústřední roli těchto orgánů v systému: například ve svém rozsudku ze dne 9. března 2010, Komise v. Německo (C‑518/07, EU:C:2010:125, bod 23). Odkazuje na ně čl. 8 odst. 3 Listiny základních práv Evropské unie (dále jen „Listina“) a čl. 16 odst. 2 SFEU in fine.

( 23 ) – Estonsko a Dánsko mají zvláštní režim, jak je uvedeno v bodě 151 odůvodnění GDPR.

( 24 ) – Ačkoli v GDPR chybí přímá zmínka o významu soukromoprávního prosazování pravidel, jako zmínka nacházející se v bodě 3 odůvodnění směrnice 2014/104.

( 25 ) – Možnost kolektivních žalob byla připuštěna již před GDPR: rozsudek ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629). Podle čl. 80 odst. 1 GDPR není v oblasti náhrady újmy činnost subjektů chránících zájmy dotčených osob možná s výjimkou toho, kdy tak stanoví členské státy a pokud subjekt údajů udělí požadované pověření. Situace se může změnit v důsledku směrnice 2020/1828.

( 26 ) – Jak uvedl generální advokát J. Richard de la Tour ve svém stanovisku ve věci Meta Platforms Ireland (C‑319/20, EU:C:2021:979), žaloba podle článku 80 GDPR je vhodná k ochraně soukromých i obecných zájmů. V dané věci se jednalo o žalobu na zdržení se jednání.

( 27 ) – Zejména v členských státech, které se zdráhají připustit uložení povinnosti za nehmotnou újmu bez příslušného zákonného ustanovení.

( 28 ) – Jako pasivní legitimace, důvody pro zproštění odpovědnosti a režim odpovědnosti pro společné správce a společné zpracovatele. Dokument Rady odráží následující otázku belgické delegace: „whether a violation of the principles of the Regulation was enough to constitute a damage or whether the data subject had to prove a specific damage“. Komise odpověděla, že prokázání újmy je nezbytné: viz poprvé v sdělení předsednictví č. 17831/13 ze dne 16. prosince 2013, poznámka pod čarou 541. Nebylo zjištěno, že by tato otázka byla předmětem další diskuse.

( 29 ) – Odkazuji na přípravné práce, které vedly k přijetí směrnic 2004/48 a 2014/104. Výklad rozšiřující článek 82 GDPR na represivní náhradu újmy by měl pro členské státy relevantní důsledky: musely by například řešit, kdo by měl být příjemcem náhrady újmy, která slouží jako sankce, jak ji vypočítat, aby splňovala cíl, nebo jak ji skloubit se správními pokutami a trestními sankcemi, aby nedocházelo k nadměrnému trestání.

( 30 ) – Tyto „jiné sankce“, trestní nebo správní povahy, nejsou harmonizovány. Stejně jako pokuty musí být „účinné, přiměřené a odrazující“ (čl. 84 odst. 1 in fine).

( 31 ) – Nevylučuji, že některé z nich by se mohly uplatnit i v rámci občanskoprávní odpovědnosti [mám na mysli např. „úmysl či nedbalost“ porušovatele práv podle čl. 83 odst. 2 písm. b) GDPR] nebo se promítnout do náhrady újmy [tedy „kategorie osobních údajů dotčené daným porušením“ podle písmene g) téhož ustanovení]. Ani v těchto případech by však převod jednotlivých faktorů z jedné oblasti do druhé neprobíhal automaticky.

( 32 ) – Článek 83 odst. 2 písm. a) GDPR.

( 33 ) – Ani jako parametr výpočtu, ani pro její odečtení od částky.

( 34 ) – Článek 1 GDPR a body 6, 9 a 170 odůvodnění. Bod 9 odůvodnění připomíná, že toto byly cíle směrnice 95/46 a uvádí, že nadále platí. Často se zdůrazňuje, že ve směrnici 95/46 převažoval cíl volného pohybu osobních údajů nad cílem ochrany, zatímco v GDPR je tomu naopak, což lze vysvětlit formálním uznáním tohoto práva v článku 8 Listiny, které přesahuje do nové právní úpravy. Článek 1 GDPR však jasně hovoří o snaze sladit ochranu osobních údajů a jejich volný pohyb. To samozřejmě znamená zajistit stejnou úroveň ochrany ve všech členských státech, vyhnout se překážkám vyplývajícím z roztříštěnosti právní úpravy, ale také snížit neochotu fyzických osob sdílet nebo poskytovat osobní údaje za účelem jejich zpracování tím, že se vybuduje důvěra, že jsou chráněny.

( 35 ) – Ve svém vyjádření, bod 53, irská vláda uvádí: „[…] very many claims for compensation under Article 82 GDPR arise in the context of very minor, marginal or speculative non-material damage“ (kurzivou zvýraznil autor stanoviska). V Německu některé doktríny upozorňují na riziko zneužití žalob a na nutnost zabránit vzniku „datenschutzrechtliche Klageindustrie“: Wybitul T., Neu L., Strauch M., „Schadensersatzrisiken für Unternehmen bei Datenschutzverstößen“, Zeitschrift für Datenschutz, 2018, s. 202 a násl., zejména s. 206; Paal, B.P., Kritzer, I., „Geltendmachung von DS-GVO-Ansprüchen als Geschäftsmodell“, Neue Juristische Wochenschrift, 2022, s. 2433 a násl.

( 36 ) – Není vyloučen „podněcující“ nebo multiplikační účinek odvozený z úspěchu občanskoprávní žaloby na náhradu bez vzniku újmy. Tím by se zvýšila pravděpodobnost, že hospodářské subjekty budou kromě možných správních nebo trestních sankcí čelit i kolektivním žalobám nebo množství individuálních žalob (více či méně zneužívajících).

( 37 ) – Vyjádření stran to pouze naznačují, ale nerozvádějí. Není například podrobně uvedeno, zda by se jednalo o nevyvratitelnou nebo vyvratitelnou domněnku. První možnost nejvíce odpovídá otázce předkládajícího soudu, a proto se na ni omezím.

( 38 ) – Viz článek 7 nařízení Evropského parlamentu a Rady (ES) č. 261/2004 ze dne 11. února 2004, kterým se stanoví společná pravidla náhrad a pomoci cestujícím v letecké dopravě v případě odepření nástupu na palubu, zrušení nebo významného zpoždění letů a kterým se zrušuje nařízení (EHS) č. 295/91 (Úř. věst. 2004, L 46, s. 1; Zvl. vyd. 07/08, s. 10); nebo článek 19 nařízení Evropského parlamentu a Rady (EU) č. 1177/2010 ze dne 24. listopadu 2010 o právech cestujících při cestování po moři a na vnitrozemských vodních cestách a o změně nařízení (ES) č. 2006/2004 (Úř. věst. 2010, L 334, s. 1).

( 39 ) – Aniž bych zacházel dále, v odstavcích 3 a 4 článku 82 GDPR.

( 40 ) –

( 41 ) –

( 42 ) – Důsledky uvedené v tomto bodě odůvodnění nejsou automatické. Podle článku 34 GDPR musí správce v každém případě posoudit, zda je nutné subjekt údajů o porušení informovat.

( 43 ) – Emocionální důsledky spojené se ztrátou kontroly nad údaji, jako je strach nebo úzkost z toho, co by se s údaji mohlo stát, jsou odvozené od ztráty, ale nejsou s ní totožné.

( 44 ) – Některé členské státy zavedly domněnku újmy v odvětvích blízkých ochraně údajů. Ve Španělsku čl. 9 odst. 3 Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (základní zákon 1/1982 ze dne 5. května 1982 o občanskoprávní ochraně práva na čest, osobní a rodinné soukromí a projevy osobní povahy) (BOE č. 115 ze dne 14. května 1982, s. 12546 až 12548) stanovil, že „existence újmy se předpokládá za předpokladu, že je prokázán protiprávní zásah [do práv zaručených tímto zákonem]“.

( 45 ) – Připomínám, že v tomto sporu je protiprávnost jednání spojena právě s neudělením souhlasu dotčené osoby. Argumenty týkající se místa práva na náhradu újmy mezi zárukami dodržování pravidel GDPR platí i v tomto případě.

( 46 ) – Jedná se však pouze o jeden ze základů pro zákonné zpracování; a všechny ty, které GDPR uvádí, mají stejnou hodnotu. Viz stanovisko 06/2014 pracovní skupiny pro ochranu údajů zřízené podle článku 29 k pojmu oprávněný zájem správce údajů podle článku 7 směrnice 95/46/ES, přijaté dne 9. dubna 2014, s. 10. Správce však nemůže změnit základ pro zpracování, jakmile bylo zahájeno: Evropský sbor pro ochranu osobních údajů, Pokyny 5/2020 k souhlasu podle nařízení (EU) 2016/679, body 121 až 123.

( 47 ) – Článek 17 odst. 1 GDPR. To neznamená, že neexistuje právo na náhradu újmy způsobené zpracováním provedeným do okamžiku výmazu.

( 48 ) – Rozsudek ze dne 13. května 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 4 výroku).

( 49 ) – Návrh nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů) [COM(2012) 011 final], s. 2 a bod 6 odůvodnění navrhovaného textu. Viz také bod 2 sdělení Komise Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a Výboru regionů „Ochrana soukromí v propojeném světě Evropský rámec pro ochranu údajů pro 21. století“ [COM(2012) 9 final].

( 50 ) – Toto mlčení podle mne není náhodné. Kromě koncepčních úvah o vlastnictví osobních údajů je otázkou, zda připuštění kontroly nad vlastními údaji znamená, že jednotlivci mají vlastnické právo nad informacemi, které se jich týkají (což by pravděpodobně nebylo v souladu se zájmy třetích osob a společnosti jako celku). Doporučení uznat vlastnická práva k osobním údajům je uvedeno ve stanovisku Evropského hospodářského a sociálního výboru k návrhu nařízení Evropského parlamentu a Rady o evropské správě dat (akt o správě dat), COM(2020) 767 final (Úř. věst. 2021, C 286, s. 38), v bodě 4.18: „EHSV proto doporučuje uznat evropská vlastnická práva k digitálním údajům s cílem umožnit občanům (zaměstnancům, spotřebitelům, podnikatelům) získat kontrolu nad používáním jejich údajů a spravovat tento proces nebo zakázat jejich používání“ (kurzivou zvýraznil autor stanoviska). Na druhou stranu popírá, že by data byla zbožím, viz poznámka pod čarou 53 in fine.

( 51 ) – Španělská verze uvádí, že „las personas físicas deben tener el control de sus propios daños personales“ (kurzivou zvýraznil autor stanoviska); anglická verze uvádí, že „natural persons should have control of their own personal data“ (a nikoli the control). V jiných, jako je portugalská verze, se uvádí, že „as pessoas singulares deverão poder controlar a utilização que é feita dos seus dados pessoais“. Podle článku 4 GDPR je kontrola nad osobními údaji kontrolou nad informacemi, které představují. Kontrola nad používáním údajů by se týkala spíše jejich zpracování.

( 52 ) – V praxi se souhlas omezuje na přijetí nebo odmítnutí návrhu osoby, která hodlá údaje zpracovávat.

( 53 ) – Nevylučuji, že vývoj právního režimu bude směřovat k uznání vlastnického práva subjektu údajů. Pochybuji však, že by to vedlo k maximalizaci individuální kontroly: vlastnické právo subjektu údajů nad osobními údaji by nemuselo být v souladu s rozvojem ekonomiky a inovací; jeho slučitelnost s rozměrem základního práva by byla sporná. Viz bod 24 odůvodnění směrnice Evropského parlamentu a Rady (EU) 2019/770 ze dne 20. května 2019 o některých aspektech smluv o poskytování digitálního obsahu a digitálních služeb (Úř. věst. 2019, L 136, s. 1): „Ačkoli tato směrnice plně uznává, že ochrana osobních údajů je jedním ze základních práv a osobní údaje tudíž nemohou být považovány za komoditu […]“. Kurzivou zvýraznil autor stanoviska.

( 54 ) – Nebyly úspěšné takové formulace, jako byl návrh článku 19 sdělení předsednictví – Projet de Charte des Droits Fondamentaux de l’Union Européenne, Charte 4284/1/00 REV 1, ze dne 11. května 2000: „Toute personne a le droit de décider elle-même de la divulgation et de l'utilisation de ses données personnelles“. Ani formulace navržená pro stejné ustanovení ve sdělení předsednictví – Projet de Charte des Droits Fondamentaux de l’Union Européenne, Charte 4333/00, ze dne 4. června 2000: „Toute personne a le droit de décider elle-même de la collecte, de l’utilisation et de la divulgation des données à caractère personnel la concernant“. Na vnitrostátní úrovni se myšlenka informačního sebeurčení prosadila v některých členských státech, například v Německu, po rozhodnutí Bundesverfassungsgericht (Spolkový ústavní soud) ze dne 15. prosince 1983, 1 BvR 209/83. Ve Španělsku viz např. rozsudek Tribunal Constitucional (Ústavní soud) č. 292/2000 ze dne 30. listopadu 2000 (BOE ze dne 4. ledna 2001). Nejsem si jist, zda je tomu tak v případě Unie, ačkoli tomu nasvědčuje stanovisko generálního advokáta M. Szpunara ve věci Orange Romania (C‑61/19, EU:C:2020:158, bod 37): „Hlavní zásadou, jež tvoří základ unijního práva v oblasti ochrany údajů, je zásada sebeurčujícího rozhodnutí jednotlivce, který je schopen rozhodnout o použití a zpracování svých údajů“, s odkazem konkrétně na německou doktrínu.

( 55 ) – Návrh zprávy k návrhu nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů) (COM(2012) 0011 – C7-0025/2012 – 2012/0011(COD)), PE501.927v04-00, ze dne 16. ledna 2013, pozměňovací návrh 29.

( 56 ) – Nenavrhuji, aby porušení pravidla zůstalo nepotrestáno: říkám jen, že náhrada újmy není vhodným nástrojem, pokud nevznikla újma.

( 57 ) – Jestliže jsem vyloučil, že poskytnutí kontroly jednotlivci nad jeho údaji je samo o sobě účelem GDPR, nevylučuji, že ztráta kontroly bude vodítkem pro uznání nehmotné újmy ve smyslu zohlednění reakcí, které po takové ztrátě následují.

( 58 ) – Viz bod 51 tohoto stanoviska. Volný pohyb údajů je ve vztahu k neosobním údajům jediným cílem: článek 1 nařízení Evropského parlamentu a Rady (EU) 2018/1807 ze dne 14. listopadu 2018 o rámci pro volný tok neosobních údajů v Evropské unii (Úř. věst. 2018, L 303, s. 59).

( 59 ) – Sdělení Komise Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a Výboru regionů „Ochrana soukromí v propojeném světě. Evropský rámec pro ochranu údajů pro 21. století“ [COM(2012) 9 final], bod 1. Dále na s. 5: „mezi nejčastější důvody, proč lidé nekupují zboží a služby on-line, patří obavy o soukromí“.

( 60 ) – Bod 2 odůvodnění GDPR: „[…] přispět k dotvoření prostoru svobody, bezpečnosti a práva a hospodářské unie, k hospodářskému a sociálnímu pokroku, k posílení a sblížení ekonomik v rámci vnitřního trhu a k dobrým životním podmínkám fyzických osob“. Bod 4 odůvodnění: „[…] Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti […]“. Obdobně rozsudek ze dne 24. září 2019, Google (Územní dosah odstranění odkazů) (C‑507/17, EU:C:2019:772, bod 60), s dalšími odkazy.

( 61 ) – Tento cíl je společný pro regulační rámec zaměřený na posílení jednotného trhu s údaji. V tomto smyslu sdělení Komise Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a Výboru regionů „Evropská strategie pro data“, COM(2020) 66 final, bod 1, uvádí: „Ve společnosti, kde jednotlivci budou vytvářet stále větší objemy dat, musí způsob, jakým jsou data shromažďována a využívána, klást na první místo zájmy jednotlivce, a to v souladu s evropskými hodnotami, základními právy a pravidly. Občané budou daty podloženým inovacím důvěřovat a budou je přijímat pouze tehdy, pokud si budou jisti, že veškeré sdílení osobních údajů v EU bude podmíněno plným dodržováním přísných pravidel EU v oblasti ochrany údajů.“

( 62 ) – Předkládající soud se zřejmě obává toho (předkládací rozhodnutí, bod 5 odůvodnění předběžných otázek), že by náhrada újmy mohla nabýt represivní povahy, a to vzhledem k tomu, že GDPR již stanoví vysoké pokuty, takže jeho efektivita nevyžaduje také vysoké náhrady za nehmotnou újmu.

( 63 ) – Věc C‑30/19, Braathens Regional Aviation (EU:C:2021:269, bod 49): „vyplacení peněžité částky nestačí k tomu, aby bylo vyhověno nárokům osoby, která jako náhradu vzniklé nemajetkové újmy přednostně požaduje uznání, že byla diskriminována, takže u takové platby nelze mít pro tyto účely za to, že má dostatečnou reparační funkci“. Tato věc se týkala směrnice Rady 2000/43/ES ze dne 29. června 2000, kterou se zavádí zásada rovného zacházení s osobami bez ohledu na jejich rasu nebo etnický původ (Úř. věst. 2000, L 180, s. 22; Zvl. vyd. 20/01, s. 23).

( 64 ) – Viz Magnus U., „Comparative Report on the Law of Damage“, in Unification of Tort Law: Damages, Kluwer Law International, 2001, s. 187, odstavce 14 a 15.

( 65 ) – Typicky v systémech common law, zejména ve Spojených státech, kde se nárok na symbolické odškodnění objevuje jako poslední možnost obrany ústavních práv. Ohledně shrnutí debat o jeho užitečnosti v této zemi viz Grealish M-B., „A Dollar for Your Thoughts: Determining Whether Nominal Damages Prevent an Otherwise Moot Case from Being an Advisory Opinion“, in Fordham L. Rev.., sv. 87, s. 733; a nedávné rozhodnutí Nejvyššího soudu Spojených států ze dne 8. března 2021 ve věci Uzuegbunam v. Preczewski. Ani nominal damage ve Spojeném království nejsou přijímány bez výhrad: předpokládá se, že v praxi závisí zájem na přiznání symbolické náhrady na tom, zda je příjemce považován za úspěšnou stranu pro účely přiznání nákladů řízení, což není automatické po rozhodnutí Anglo-Cyprian Trade Agencies Ltd v Paphos Wine Industries Ltd [1951] 1 All ER 873.

( 66 ) – Soudní dvůr v rámci (tehdejšího) článku 215 Smlouvy o EHS požadoval prokázání škody i v případě, že žalobce s ohledem na obtížnost jejího prokázání požadoval symbolickou náhradu: rozsudek ze dne 21. května 1976, Roquette Frères v. Komise (26/74, EU:C:1976:69, body 23 a 24).

( 67 ) – V rámci duševního vlastnictví slouží náhrada, jako reakce na porušení pravidla, k dosažení vlastního zásadního cíle, kterým je ochrana ekonomické integrity práva. Článek 13 odst. 1 písm. a) směrnice 2004/48 uvádí „neoprávněné zisky porušovatele práv“ jako jeden z faktorů, které musí soudní orgány zvážit při stanovení náhrady škody.

( 68 ) – Obdobné ustanovení se nachází v čl. 94 odst. 2 nařízení Rady (ES) č. 2100/94 ze dne 27. července 1994 o odrůdových právech Společenství (Úř. věst. 1994, L 227, s. 1; Zvl. vyd. 03/16, s. 390): „V případě mírné nedbalosti se může tento nárok snížit v souladu se stupněm této mírné nedbalosti, avšak nikoli pod výši výhody, která vznikla porušiteli z protiprávního jednání“.

( 69 ) – Nepopsatelnost emocí nebo pocitů, zejména pokud se vztahují k rizikům ohledně toho, co by se s údaji mohlo stát v budoucnu, vedla k tomu, že nebyly považovány za újmu z důvodu jejich nedostatečné konkrétnosti nebo hypotetické povahy.

( 70 ) – Tedy chefs de préjudice nebo heads of damage.

( 71 ) – Podle tohoto bodu odůvodnění musí subjekty údajů obdržet „plnou a účinnou“ náhradu újmy. Nemyslím si, že toto tvrzení je relevantní pro třetí předběžnou otázku, neboť se netýká kategorií nahraditelné újmy, ale výpočtu náhrady újmy (což je krok logicky následující po určení toho, co je nahraditelné, a nelze jej zaměňovat s tímto krokem). S ohledem na přípravné práce k GDPR je požadavek na „plnou a účinnou“ náhradu újmy zárukou, že zapojení několika správců nebo zpracovatelů nepovede k pouze částečné náhradě újmy subjektu údajů. Z tohoto důvodu čl. 82 odst. 4 GDPR uvádí, že „[…] každý správce nebo zpracovatel [nese] odpovědnost za celou újmu, tak aby byla zajištěna účinná náhrada újmy subjektu údajů“.

( 72 ) – Článek 23 směrnice 95/46 neupřesňoval, která újma je nahraditelná, což vyvolalo diskusi o tom, na jakou újmu se vztahoval. Jednání před GDPR se zaměřila na rozptýlení pochybností ohledně zahrnutí nehmotné újmy. V bodě 118 odůvodnění návrhu Komise citovaného v poznámce pod čarou 49 byla zmíněna náhrada veškeré škody. V dalších fázích legislativního procesu se hovořilo o „jakékoliv majetkové či jiné újmě“, což ustoupilo formulaci „nemajetková újma“ a nakonec vedlo k současné „nehmotné újmě“.

( 73 ) – Neučinil tak v souvislosti s článkem 23 směrnice 95/46 a dosud tak neučinil ani v souvislosti s článkem 82 GDPR. Ani, pokud se nemýlím, ve vztahu k článku 56 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89), ani článku 19 zrušeného rámcového rozhodnutí.

( 74 ) – Ani nestanovil jednu metodu výkladu – autonomní nebo s odkazem na vnitrostátní právní řády – jako přednostní: záleží na posuzované oblasti. Viz srovnání rozsudků ze dne 10. května 2001, Veedfald (C‑203/99, EU:C:2001:258, bod 27), týkající se vadných výrobků; ze dne 6. května 2010, Walz (C‑63/09, EU:C:2010:251, bod 21), o odpovědnosti leteckých dopravců; nebo ze dne 10. června 2021, Van Ameyde España (C‑923/19, EU:C:2021:475, bod 37 a násl.), ve vztahu k občanskoprávní odpovědnosti vztahující se na nehody způsobené provozem motorových vozidel. Dokumenty týkající se jednání o GDPR odrážejí pochybnosti členských států o tom, zda by pojmy újma a náhrada újmy v (tehdejším) článku 77 měly být autonomní, a svědčí o různých postojích k této otázce. Komise se vyslovila pro to, aby byla tato otázka přenechána Soudnímu dvoru. Viz Rada Evropské unie, sdělení předsednictví č. 17831/13 ze dne 16. prosince 2013, poznámka pod čarou 539.

( 75 ) – Například spotřebitelé výrobků nebo oběti dopravních nehod.

( 76 ) – Pokud jde o souborné cestovní služby, viz rozsudek ze dne 12. března 2002, Leitner (C‑168/00, EU:C:2002:163); v oblasti občanskoprávní odpovědnosti z provozu motorových vozidel rozsudky ze dne 24. října 2013, Haasová (C‑22/12, EU:C:2013:692, body 47 až 50); ze dne 24. října 2013, Drozdovs (C‑277/12, EU:C:2013:685, bod 40), a ze dne 23. ledna 2014, Petillo (C‑371/12, EU:C:2014:26, bod 35).

( 77 ) – Rozsudek ze dne 23. ledna 2014, Petillo (C‑371/12, EU:C:2014:26), výrok: unijní právo nebrání „takové vnitrostátní právní úpravě […], která stanoví zvláštní režim náhrad za nehmotné újmy pramenící z lehkých zranění způsobených dopravními nehodami, který omezuje náhrady za tyto újmy ve srovnání s tím, co se připouští v oblasti náhrad za stejné újmy z jiných příčin než těchto nehod“.

( 78 ) – Například rozsudky ze dne 12. března 2002, Leitner (C‑168/00, EU:C:2002:163), týkající se ztráty požitku z dovolené, a ze dne 6. května 2010, Walz (C‑63/09, EU:C:2010:251), týkající se ztráty zavazadel v oblasti souborných cestovních služeb.

( 79 ) – Rozsudek ze dne 17. března 2016, Liffers (C‑99/15, EU:C:2016:173, bod 17), týkající se výkladu směrnice 2004/48, zdůraznil, že morální újma představuje součást skutečně utrpěné újmy, „je-li prokázána“. Prokázání logicky předpokládá reálnost újmy; ta je zase blízká myšlence závažnosti újmy, i když se s ní neshoduje.

( 80 ) – Výše bod 51.

( 81 ) – Výše bod 45 a násl.

( 82 ) – V nedávné době, v oblasti ochrany údajů, v Itálii Tribunale di Palermo (soud v Palermu), první občanskoprávní senát, rozsudek č. 5261 ze dne 5. října 2017, stejně jako usnesení Kasačního soudu, šestého občanskoprávního senátu, č. 17383/2020. V Německu mimo jiné AG Diez, 7. listopadu 2018 – 8 C 130/18; LG Karlsruhe, 2. srpna 2019 – 8 O 26/19; a AG Frankfurt am Main, 10. července 2020 – 385 C 155/19 (70). V Rakousku OGH 6 Ob 56/21k.

( 83 ) – Viz rozsudek ze dne 23. října 2012, Nelson a další (C‑581/10 a C‑629/10, EU:C:2012:657, bod 51), týkající se rozlišení mezi „škodou“ ve smyslu článku 19 Úmluvy o sjednocení některých pravidel pro mezinárodní leteckou dopravu, uzavřené v Montrealu dne 28. května 1999, a „nepohodlím“ ve smyslu nařízení č. 261/2004, které je nahraditelné podle článku 7 tohoto nařízení, a to ve smyslu rozsudku ze dne 19. listopadu 2009, Sturgeon a další (C‑402/07 a C‑432/07, EU:C:2009:716). V tomto odvětví, stejně jako v případě přepravy cestujících po moři a na vnitrozemských vodních cestách, na kterou se vztahuje nařízení č. 1177/2010, mohl normotvůrce uznat abstraktní kategorii, protože faktor, který zakládá potíže, a podstata těchto potíží, jsou pro všechny dotčené subjekty totožné. Domnívám se, že takový závěr není ve věcech ochrany údajů možný.

( 84 ) – Typickým mechanismem pro uplatnění práva podle článku 82 GDPR je soudní řízení před obecnými soudy. Zásada efektivity může samozřejmě podmiňovat použití vnitrostátních pravidel v takových aspektech, jako jsou náklady řízení nebo dokazování. Potíže s připuštěním odškodnitelnosti pouhého nepohodlí však nejsou způsobeny pouze nepoměrem mezi jeho peněžní hodnotou a náklady soudního řízení (nehledě na to, že náklady soudního řízení nenesou pouze strany). Vzhledem k tomu, že GDPR mlčí, se mi nezdá oprávněné požadovat po členských státech, aby zavedly ad hoc řízení.

( 85 ) – Připomínám, že podle čl. 82 odst. 3 GDPR se správce nebo zpracovatel zprostí odpovědnosti pouze tehdy, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která vedla ke vzniku újmy.

( 86 ) – Těmito úvahami nepředjímám, zda v projednávané věci situace UI spadá do jedné či druhé kategorie, o tom rozhodne předkládající soud.

( 87 ) – Totéž platí i pro výši náhrady.