–

za AT a VX: O. Leuze, Rechtsanwalt,

–

za Gemeinde Ummendorf: A. Staudacher, Rechtsanwalt,

–

za Irsko: M. Browne, A. Joyce a M. Tierney, jako zmocněnci, ve spolupráci s: D. Fennelly, BL,

–

za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 82 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi dvěma fyzickými osobami, AT a VX, na straně jedné a Gemeinde Ummendorf (obec Ummendorf, Německo) na straně druhé ve věci přiznání náhrady újmy na základě čl. 82 odst. 1 GDPR z titulu náhrady za utrpení (pretium doloris), které jim podle jejich tvrzení bylo bez jejich souhlasu způsobeno zpřístupněním, jejich osobních údajů na internetových stránkách uvedené obce.

3

První, třetí a šestá věta bodu 146 odůvodnění GDPR zní takto:

„Veškerou újmu, která může osobám vzniknout v důsledku zpracování, které porušuje toto nařízení, by měl nahradit správce nebo zpracovatel. […] Výklad pojmu ‚újma‘ by měl být široký a opírat se o judikaturu Soudního dvora [Evropské unie] při plném zohlednění cílů tohoto nařízení. […] Subjekty údajů by měly obdržet plnou a účinnou náhradu újmy, kterou utrpěly. […]“

4

Článek 5, nadepsaný „Zásady zpracování osobních údajů“, v odst. 1 písm. a) stanoví:

„Osobní údaje musí být:

5

Článek 82 tohoto nařízení, nadepsaný „Právo na náhradu újmy a odpovědnost“, v odstavci 1 stanoví:

„Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.“

6

Obec Ummendorf zveřejnila dne 19. června 2020 na internetu bez souhlasu žalobců program jednání schůze obecního zastupitelstva, v němž byla několikrát uvedena jména žalobců, jakož i rozsudek vyhlášený dne 10. března 2020 Verwaltungsgericht Sigmaringen (správní soud v Sigmaringenu, Německo), který rovněž uváděl jména, příjmení a adresy bydliště žalobců. Tyto dokumenty byly přístupné na úvodní stránce internetových stránek této obce do 22. června 2020.

7

Žalobci v původním řízení měli za to, že toto zveřejnění bylo v rozporu GDPR a obec Ummendorf jednala úmyslně, jelikož jména ostatních účastníků řízení, které vedlo k vydání uvedeného rozsudku, byla odstraněna, a požádali obec o náhradu údajně utrpěné nehmotné újmy ve smyslu čl. 82 odst. 1 uvedeného nařízení. Mají za to, že protiprávní zpřístupnění osobních údajů jednotlivce představuje „újmu“ ve smyslu tohoto ustanovení, aniž se lze dovolávat „prahové hodnoty de minimis“, která by byla v rozporu se systematikou GDPR a odrazujícím účinkem uvedeného ustanovení.

8

Obec Ummendorf má naproti tomu za to, že náhrada „nehmotné újmy“ ve smyslu čl. 82 odst. 1 GDPR vyžaduje prokázání citelné újmy a objektivně pochopitelného zásahu do osobnostních zájmů.

9

Landgericht Ravensburg (zemský soud v Ravensburgu, Německo), na který je odvolacím soudem ve sporu mezi účastníky původního řízení a předkládajícím soudem v této věci, má za to, že zveřejněním osobních údajů žalobců v původním řízení na internetu obec Ummendorf porušila čl. 5 odst. 1 písm. a) GDPR. Uvedený soud si nicméně klade otázku, zda toto zveřejnění způsobilo uvedeným žalobcům nehmotnou újmu ve smyslu čl. 82 odst. 1 uvedeného nařízení, takže mají nárok na náhradu újmy způsobené utrpením.

10

Předkládající soud má zejména za to, že pouhá ztráta kontroly nad osobními údaji žalobců v původním řízení nestačí k tomu, aby se jednalo o nehmotnou újmu ve smyslu čl. 82 odst. 1 GDPR. Má za to, že pro připuštění existence nehmotné újmy musí být překročena „prahová hodnota de minimis“, a že tomu tak není, pokud subjekty údajů ztratily kontrolu nad svými údaji pouze po krátkou dobu, aniž jim to způsobilo citelnou újmu a byl prokázán objektivně pochopitelný zásah do jejich osobnostních zájmů.

11

Za těchto podmínek se Landgericht Ravensburg (zemský soud v Ravesnburgu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:

„Musí být pojem ‚nehmotná újma‘ podle čl. 82 odst. 1 [GDPR] vykládán v tom smyslu, že jejím předpokladem je citelná újma a objektivně pochopitelný zásah do osobnostních zájmů, nebo k tomu postačuje pouhá krátkodobá ztráta kontroly subjektu nad svými údaji z důvodu zveřejnění osobních údajů na internetu po dobu několika dnů, které nemělo pro subjekt údajů žádné citelné, příp. škodlivé následky?“

12

Podstatou otázky předkládajícího soudu je, zda musí být čl. 82 odst. 1 GDPR vykládán v tom smyslu, že brání vnitrostátní právní úpravě nebo vnitrostátní praxi, která stanoví „prahovou hodnotu de minimis“ k tomu, aby se jednalo o nehmotnou újmu způsobenou porušením tohoto nařízení.

13

V tomto ohledu je třeba připomenout, že uvedené ustanovení stanoví, že „[k]dokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy“.

14

Jak v této souvislosti zdůraznil Soudní dvůr, ze znění čl. 82 odst. 1 GDPR vyplývá, že existence „utrpěné“„újmy“ je jednou z podmínek práva na náhradu újmy stanoveného v tomto ustanovení, stejně jako existence porušení tohoto nařízení a příčinné souvislosti mezi touto újmou a tímto porušením, přičemž tyto tři podmínky jsou kumulativní [rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 32, a z dnešního dne, Nacionalna agencia za prichodite, C‑340/21, bod 77]. Z toho vyplývá, že tyto tři podmínky jsou nezbytné a dostatečné pro vznik nároku na náhradu újmy ve smyslu uvedeného ustanovení.

15

Pojem „nehmotná újma“ ve smyslu čl. 82 odst. 1 GDPR musí být vzhledem k neexistenci jakéhokoli odkazu na vnitrostátní právo členských států v uvedeném ustanovení, definován autonomně a jednotně v unijním právu [v tomto smyslu viz rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, body 30 a 44].

16

Z tohoto hlediska Soudní dvůr na základě doslovného, systematického i teleologického hlediska vyložil čl. 82 odst. 1 GDPR v tom smyslu, že brání vnitrostátnímu pravidlu nebo praxi, které náhradu „nehmotné újmy“ ve smyslu tohoto ustanovení podmiňují tím, že újma, kterou utrpěl subjekt údajů, dosáhla určité míry závažnosti [rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 51, a z dnešního dne, Nacionalna agencia za prichodite, C‑340/21, bod 78].

17

Nelze tedy mít za to, že ke třem podmínkám uvedeným v bodě 14 tohoto rozsudku lze přidat další podmínky vzniku odpovědnosti stanovené v čl. 82 odst. 1 GDPR, jako je prokázání citelné újmy či objektivně pochopitelného zásahu do osobnostních zájmů.

18

Z toho vyplývá, že čl. 82 odst. 1 GDPR k tomu, aby mohla „nehmotná újma“ tvrzená subjektem údajů být nahrazena, nevyžaduje, aby tato újma musela, kdyby se prokázalo porušení ustanovení tohoto nařízení, dosáhnout určité „prahové hodnoty de minimis“.

19

Tento výklad je potvrzen třetí větou bodu 146 odůvodnění GDPR, který uvádí, že „[v]ýklad pojmu ‚újma‘ by měl být široký a opírat se o judikaturu Soudního dvora při plném zohlednění cílů tohoto nařízení“. Toto široké pojetí pojmu „újma“ upřednostňované unijním normotvůrcem by přitom bylo popřeno, pokud by uvedený pojem byl omezen pouze na újmu určité závažnosti, zejména pokud jde o trvání doby, po kterou dotyčné osoby trpěly negativními důsledky porušení uvedeného nařízení [v tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 46, a z dnešního dne, Nacionalna agencia za prichodite, C‑340/21, bod 81].

20

Mimoto je takový výklad v souladu s jedním z cílů GDPR, který spočívá v zajištění soudržné a vysoké úrovně ochrany fyzických osob v Evropské unii v souvislosti se zpracováním osobních údajů. Podmínění náhrady nehmotné újmy dosažením určité hranice závažnosti by totiž mohlo narušit soudržnost režimu zavedeného uvedeným nařízením, neboť odstupňování takové hranice, na kterém by závisela možnost získat uvedenou náhradu újmy, by mohlo kolísat v závislosti na posouzení soudů, kterým byla věc předložena [v tomto smyslu viz rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, body 48 a 49].

21

Subjekt dotčený porušením GDPR, které pro něj mělo negativní důsledky, je povinen prokázat, že tyto důsledky představují nehmotnou újmu ve smyslu článku 82 tohoto nařízení [v tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 50, a z dnešního dne, Nacionalna agencia za prichodite, C‑340/21, bod 84]. Pouhé porušení ustanovení tohoto nařízení totiž nepostačuje k přiznání práva na náhradu újmy [rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), C‑300/21, EU:C:2023:370, bod 42].

22

Ačkoli za těchto podmínek nic nebrání tomu, aby zveřejnění osobních údajů na internetu a následná krátkodobá ztráta kontroly nad nimi mohly způsobit subjektům údajů „nehmotnou újmu“ ve smyslu čl. 82 odst. 1 GDPR, která zakládá nárok na náhradu újmy, je ještě třeba, aby tyto osoby prokázaly, že takovou újmu, byť jen minimální, skutečně utrpěly.

23

S ohledem na výše uvedené důvody je třeba na položenou otázku odpovědět tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě nebo vnitrostátní praxi, která stanoví „prahovou hodnotu de minimis“ k tomu, aby se jednalo o nehmotnou újmu způsobenou porušením tohoto nařízení. Dotčený subjekt je povinen prokázat, že následky tohoto porušení, které údajně utrpěl, představují újmu, která se liší od pouhého porušení ustanovení uvedeného nařízení.

24

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení vzhledem ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (třetí senát) rozhodl takto:

Článek 82 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

musí být vykládán v tom smyslu, že

brání vnitrostátní právní úpravě nebo vnitrostátní praxi, která stanoví „prahovou hodnotu de minimis“ k tomu, aby se jednalo o nehmotnou újmu způsobenou porušením tohoto nařízení. Dotčený subjekt je povinen prokázat, že následky tohoto porušení, které údajně utrpěl, představují újmu, která se liší od pouhého porušení ustanovení uvedeného nařízení.