C-655/23

proti

Quirin Privatbank AG

[návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof (Spolkový súdny dvor, Nemecko)]

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 5 ods. 1 písm. a) – Článok 6 ods. 1 – Článok 17 – Článok 18 – Článok 79 ods. 1 – Článok 82 ods. 1 – Právo požadovať zdržanie sa opakovaného nezákonného spracúvania – Právo na náhradu škody – Nemajetková ujma – Posúdenie“

1.

Spor, ktorý viedol k podaniu tohto návrhu na začatie prejudiciálneho konania, sa v podstate týka toho, či je fyzická osoba oprávnená požadovať, aby sa prevádzkovateľ jej osobných údajov v budúcnosti zdržal konania, ktoré je v rozpore s ustanoveniami nariadenia (EÚ) 2016/679 ( 2 ). Tá istá osoba sa tiež domáha, aby sa prevádzkovateľovi uložila povinnosť nahradiť jej nemajetkovú ujmu, ktorá jej vznikla v dôsledku porušenia GDPR, ku ktorému už došlo.

Článok 4 s názvom „Vymedzenie pojmov“ uvádza:

„Na účely tohto nariadenia:

…

2.

‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad… obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

3.

spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);

…

2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

5.

Článok 6 s názvom „Zákonnosť spracúvania“ v odseku 1 uvádza:

„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

…

d) osobné údaje sa spracúvali nezákonne;

…“

7.

Článok 18 s názvom „Právo na obmedzenie spracúvania“ stanovuje:

„1. Dotknutá osoba má právo na to, aby prevádzkovateľ obmedzil spracúvanie, pokiaľ ide o jeden z týchto prípadov:

„Bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 77, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak sa domnieva, že v dôsledku spracúvania jej osobných údajov v rozpore s týmto nariadením došlo k porušeniu jej práv ustanovených v tomto nariadení.“

9.

Článok 82 s názvom „Právo na náhradu škody a zodpovednosť“ v odseku 1 stanovuje:

„Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.“

10.

Článok 84 s názvom „Sankcie“ v odseku 1 uvádza:

2. Rovnakú povinnosť má ten, kto poruší zákon, ktorého účelom je ochrana inej osoby. Ak je podľa obsahu tohto zákona možné jeho porušenie aj bez zavinenia, povinnosť nahradiť škodu vzniká len v prípade zavinenia.“

12.

Ustanovenie § 1004 s názvom „Nárok na odstránenie alebo zdržanie sa konania“ v odseku 1 stanovuje:

„Ak sa vlastnícke právo naruší iným spôsobom ako vyvlastnením alebo odňatím majetku, vlastník môže od narušiteľa požadovať, aby upustil od predmetného konania. Ak sa možno obávať ďalšieho narušenia, majiteľ môže podať žalobu o zdržanie sa konania“ ( 6 ).

II. Skutkový stav, spor a prejudiciálne otázky

13.

Tretia osoba, ktorej bola správa doručená, ju preposlala IP, ktorého poznala z predchádzajúceho zamestnania v rovnakom holdingu. Opýtala sa ho, či ide o správu pre neho (IP) a či si hľadá prácu.

14.

IP podal na Landgericht (Krajinský súd, Nemecko) žalobu, ktorou sa domáhal, aby sa banke Quirin uložila povinnosť, aby sa táto úverová inštitúcia v budúcnosti alebo prostredníctvom iných osôb zdržala spracúvania jeho osobných údajov, ktoré súvisia s výberovým konaním, „ako k tomu došlo v správe cez portál Xing… 23. októbra 2018“. Domáhal sa tiež náhrady nemajetkovej ujmy vo výške najmenej 2500 eur. ( 7 )

15.

Landgericht (krajinský súd) čiastočne vyhovel žalobe a banke Quirin uložil povinnosť, aby sa zdržala konania a zaplatila IP náhradu škody vo výške 1000 eur spolu s úrokmi.

16.

IP nemá nárok na náhradu škody podľa článku 82 GDPR, pretože nepreukázal, že mu vznikla ujma.

18.

Proti tomuto rozsudku podal IP opravný prostriedok „Revision“, v ktorom sa domáha svojich nárokov v plnom rozsahu. Quirin vo svojom opravnom prostriedku „Revision“ požaduje zamietnutie žaloby v plnom rozsahu.

19.

Za týchto okolností Bundesgerichtshof (Spolkový súdny dvor, Nemecko) položil Súdnemu dvoru šesť prejudiciálnych otázok, z ktorých uvádzam prvú, druhú, tretiu a šiestu: ( 8 )

„1.

a)

Existuje právo na zdržanie sa konania podľa práva Únie iba vtedy, ak existujú obavy, že práva dotknutej osoby, ktoré vyplývajú z GDPR, budú v budúcnosti ďalej narušované (riziko opakovania)?

b)

Existuje domnienka rizika opakovania z dôvodu už existujúceho porušenia GDPR?

3.

V prípade zápornej odpovede na otázku 1 písm. a) a otázku 1 písm. b):

Návrh na začatie prejudiciálneho konania bol doručený do kancelárie Súdneho dvora 7. novembra 2023.

21.

Písomné pripomienky predložili IP, Quirin a Európska komisia. Nariadenie pojednávania sa nepovažovalo za nevyhnutné.

IV. Posúdenie

22.

Na základe žiadosti Súdneho dvora sa tieto návrhy budú zameriavať len na prvú, druhú, tretiu a šiestu prejudiciálnu otázku.

25.

Podstatou tejto diskusie je nedostatočné výslovné uznanie tohto práva v GDPR. Táto absencia by pre niektorých znamenala, že takéto právo neexistuje v samotnom GDPR, zatiaľ čo v prípade iných by ho bolo možné vyvodiť z jeho článkov 17 alebo 18. ( 9 )

26.

Medzi zástancami prvého stanoviska navyše existuje ďalšie rozdelenie. Podľa niektorých z nich GDPR zavádza uzavretý systém, ktorý bráni podpore návrhu na zdržanie sa vo vnútroštátnom práve. Iní, ako napríklad súd prvého stupňa v prejednávanej veci, zastávajú opačný názor.

27.

Je pravda, že GDPR vo svojom texte výslovne neuvádza právo dotknutej osoby na to, aby sa prevádzkovateľ nezákonného spracúvania zdržal opakovania nezákonného spracúvania. Na účely výkladu ustanovenia práva Únie je však potrebné zohľadniť nielen jeho znenie, ale aj kontext, do ktorého patrí, ako aj ciele a účel, ktorý sleduje akt, ktorého je súčasťou, a prípadne aj históriu jeho vzniku. ( 10 )

Chápem obavy, ktoré môže tento názor vyvolávať, keďže články 5 a 6 GDPR sú súčasťou jeho kapitoly II s názvom „Zásady“, a nie kapitoly III, ktorá sa osobitne venuje „Právam dotknutej osoby“. Na prvý pohľad by sa mohlo zdať, že katalóg práv dotknutých osôb, ktoré sú chránené GDPR, je úplný v zozname práv uvedených v kapitole III.

31.

Tieto obavy sa mi však nezdajú byť neprekonateľné.

32.

Kapitola II GDPR sa v časti „Zásady“ neobmedzuje len na programové vyhlásenia alebo len na užitočné vyhlásenia na účely výkladu iných noriem. Stanovuje skôr právne povinnosti pre všetky osoby, na ktoré sa vzťahuje GDPR. Tieto povinnosti naproti tomu a logicky zodpovedajú buď subjektívnym záujmom, ktoré si vyžadujú ochranu, alebo prípadne skutočným právam dotknutých osôb. ( 12 )

33.

Nechcem tým povedať, že akékoľvek porušenie pravidiel GDPR automaticky spôsobuje nezákonnosť spracúvania osobných údajov. ( 16 ) Ak je však porušenie GDPR takého rozsahu, že samo osebe porušuje hlavné zásady spracúvania, nezákonnosť spracúvania, opakujem, znamená porušenie samotného práva na ochranu osobných údajov.

37.

Pokiaľ ide o zásadu zákonnosti spracúvania, Súdny dvor:

–

Uznal jej záväznú povahu, pričom opakovane pripomína, že každé spracúvanie osobných údajov musí byť v súlade so zásadou zákonnosti. ( 17 )

–

Opakujem, že nebolo nevyhnutné, aby sa v GDPR výslovne stanovilo právo na to, aby sa každé spracúvanie osobných údajov zakladalo na legitímnom základe, a to nad rámec toho, čo je už uvedené v článku 5. ( 20 ) V záujme jednotnosti a právnej istoty všetkých dotknutých osôb stačilo tieto základy spresniť a uviesť v samotnom GDPR.

41.

Okrem toho nie som si istý, že práva dotknutej osoby sú výlučne len tie, ktoré sú uvedené v kapitole III GDPR. V GDPR sa nachádzajú aj ďalšie práva, ktorých výkon musí v prvom rade umožniť prevádzkovateľ. ( 21 ) Ako príklad možno uviesť právo na odvolanie súhlasu, ktoré je stanovené v článku 7 ods. 3 GDPR a ktoré ako také nie je zahrnuté v jeho kapitole III.

42.

Podľa môjho názoru právo dotknutej osoby požadovať od prevádzkovateľa, aby neopakoval nezákonné spracúvanie, ktoré je podobné spracúvaniu, ktoré sa už predtým vykonalo, možno zahrnúť ako dôsledok práva tejto osoby na to, aby akékoľvek spracúvanie jej osobných údajov bolo zákonné.

43.

Udelenie týchto právomocí dozornému orgánu je plne zlučiteľné s tým, aby sa dotknutá osoba, ak to považuje za vhodné, obrátila na súdny orgán s cieľom dosiahnuť účinnú ochranu svojich práv, ktoré boli porušené. Na tento účel môže podať proti prevádzkovateľovi žalobu na súd podľa článku 79 ods. 1 GDPR. ( 23 ) Nič nebráni tomu, aby súčasťou nárokov, ktoré sa majú uplatniť v rámci tejto žaloby, bolo aj uloženie povinnosti prevádzkovateľovi neopakovať nezákonné spracúvanie.

47.

Vzhľadom na vyššie uvedené sa domnievam, že dotknutá osoba má tak právo ( ius ), aby sa prevádzkovateľ zdržal ďalšieho nezákonného spracúvania podľa GDPR, ako aj možnosť podať žalobu na súd ( actio ) s cieľom uložiť prevádzkovateľovi túto povinnosť zdržať sa spracúvania.

48.

Takáto žiadosť dotknutej osoby je v súlade s typickým obsahom článku 79 ods. 1 GDPR, teda môže patriť medzi mechanizmy účinnej súdnej ochrany, ktoré jej toto nariadenie poskytuje. ( 24 ) Treba zohľadniť skutočnosť, že náhrada škody ako prostriedok nápravy škody už spôsobenej porušením GDPR je osobitne upravená v jeho článku 82 a že jej funkcia je „výlučne kompenzačná“, a nie odrádzajúca alebo sankčná. ( 25 )

49.

52.

Vnútroštátny súd kladie svoju prvú prejudiciálnu otázku s odkazom na články 17 a 18 alebo na „iné ustanovenia GDPR“ ako na možné základy práva dotknutej osoby požadovať od prevádzkovateľa, aby sa zdržal opakovania nezákonného prenosu jej osobných údajov.

53.

Ako som už uviedol, domnievam sa, že tento základ poskytujú články 5 a 6 v spojení s článkom 79 GDPR, v dôsledku čoho nie je potrebné zaoberať sa vplyvom článkov 17 a 18 tohto nariadenia na túto otázku.

54.

Pre úplnosť sa však budem ďalej zaoberať týmito dvoma ustanoveniami. Uvediem dôvody, ktoré podľa môjho názoru svedčia proti vyvodeniu uvedeného práva:

56.

Podľa môjho názoru ani jedno z týchto dvoch ustanovení samo osebe nepostačuje na to, aby sa dotknutej osobe priznalo právo požadovať, aby sa prevádzkovateľ zdržal opakovania nezákonného spracúvania (podobného tomu, ktoré sa už vykonalo):

–

Získanie výmazu nezákonne spracúvaných osobných údajov na základe článku 17 ods. 1 písm. d) GDPR zabráni opakovaniu tohto spracúvania, avšak zabráni aj akémukoľvek ďalšiemu spracúvaniu, ( 35 ) ktoré sa niekedy uskutoční na úkor všetkých dotknutých osôb. ( 36 )

–

Obmedzenie spracúvania údajov na základe článku 18 ods. 1 písm. b) GDPR nepredstavuje opatrenie, ktoré poskytuje dostatočnú ochranu pred nezákonným spracúvaním. Týmto opatrením (za určitých podmienok) sa na žiadosť dotknutej osoby pozastavuje povinnosť prevádzkovateľa vymazať údaje práve z dôvodu, že spracúvanie je nezákonné.

60.

Keďže tento výklad je vylúčený, nezdá sa mi preto logické vyvodzovať z článku 17 GDPR právo požadovať zdržanie sa konkrétneho spracúvania osobných údajov do budúcnosti tým istým prevádzkovateľom, ktorý ich mal k dispozícii. Z definície vyplýva, že ak prevádzkovateľ splní príkaz na vymazanie údajov, údaje už nebude mať k dispozícii a v skutočnosti ich nebude môcť spracúvať. ( 39 )

61.

Ani článok 18 GDPR sa nevzťahuje na právo dotknutej osoby požadovať, aby sa prevádzkovateľ zdržal opakovania nezákonného spracúvania jej osobných údajov, ktoré je podobné tomu, ktoré sa už vykonalo.

62.

Článok 18 GDPR s názvom „Právo na obmedzenie spracúvania“ priznáva dotknutej osobe alternatívne práva k právu požadovať vymazanie svojich osobných údajov. Ide o práva, ktoré sa poskytujú dotknutej osobe s presným obsahom, za určitých podmienok a na obmedzený čas. Článok 18 GDPR tiež umožňuje dotknutej osobe namietať proti vymazaniu týchto údajov.

66.

Článok 18 ods. 1 písm. b) GDPR, ktorého význam a rozsah rozhodne nie sú jasné, ( 48 ) sa totiž musí vykladať v jeho kontexte, t. j. v súlade s ostatnými ustanoveniami článku 18 ods. 1 GDPR. ( 49 ) V tomto rámci je súčasťou kombinácie doplnenej písmenom c), ktoré sa týka zákonného spracúvania, ktoré sa skončilo. V tomto poslednom uvedenom prípade, rovnako ako v prípade nezákonného spracúvania, prevádzkovateľ nie je oprávnený uchovávať údaje dlhšie, ako je nevyhnutné. ( 50 ) Prinútiť ho k tomu na základe námietky dotknutej osoby týkajúcej sa výmazu týchto údajov môže byť len dočasnou situáciou.

67.

Aj zo systematických dôvodov by sa skutočnosť, že v článku 18 ods. 1 písm. b) GDPR sa neuvádza žiadny odkaz na dôvody dotknutej osoby namietať proti vymazaniu jej údajov (a namiesto toho žiadať o obmedzenie ich používania), nemala považovať za bezvýhradné priznanie akéhokoľvek dôvodu, už vôbec nie ako priznanie, že žiadny dôvod nie je potrebný. Právo požadovať obmedzenie spracúvania podľa článku 18 ods. 1 písm. b) musí skôr zodpovedať opodstatnenému a legitímnemu účelu. ( 51 )

68.

Uchovávanie osobných údajov predstavuje pre prevádzkovateľa záťaž, ktorá nie je bez rizika, a preto by sa malo vyžadovať len na určitý čas za okolností, keď by vymazanie týchto údajov poškodilo oprávnené záujmy dotknutej osoby.

C.

Druhá prejudiciálna otázka

71.

Druhá prejudiciálna otázka vychádza z predpokladu, že GDPR priznáva dotknutej osobe právo na to, aby sa prevádzkovateľ zdržal nezákonného spracúvania osobných údajov, ktoré je podobné tomu, ktoré sa už predtým vykonalo.

72.

Na základe tohto predpokladu chce vnútroštátny súd vedieť, či toto právo závisí od existencie rizika opakovania , a ak áno, či toto riziko „existuje… z dôvodu už existujúceho porušenia GDPR“.

–

Na prvý pohľad sú tieto pravidlá rovnaké ako pravidlá stanovené pre podobné situácie vo vnútroštátnom práve. Ochrana práv priznaných jednotlivcom právnym poriadkom Únie teda nie je menej priaznivá ako ochrana práv stanovená pre práva uvedené vo vnútroštátnych ustanoveniach.

–

Nezdá sa ani, že by tieto pravidlá nadmerne zaťažovali dotknutú osobu, ktorá podáva žalobu. Je pravda, že v súlade s obvyklým rozdelením dôkazného bremena musí dotknutá osoba (žalobca) preukázať, že existuje riziko opakovania zo strany prevádzkovateľa. Nič však nebráni tomu, aby žalobca vzhľadom na už spáchané porušenie uplatnil vo svoj prospech vyvrátiteľnú domnienku, že takéto riziko existuje. Na základe tejto domnienky, ktorá pripúšťa dôkaz o opaku, je príkaz zdržať sa opakovania nezákonného spracúvania prípustný, pokiaľ prevádzkovateľ nepreukáže, že v konkrétnom prípade neexistuje riziko opakovania.

D.

Šiesta prejudiciálna otázka

79.

Podľa vnútroštátneho súdu „je sporné… či možno tieto zásady preniesť do nároku na náhradu nemajetkovej ujmy podľa článku 82 ods. 1 GDPR…“.

80.

Náhrada škody spôsobenej nezákonným spracúvaním údajov, ako to vyžaduje článok 82 ods. 1 GDPR, vychádza z odlišnej koncepcie, než je tá, ktorá vyplýva zo šiestej prejudiciálnej otázky. Podľa môjho názoru musí byť preto odpoveď na túto otázku záporná.

81.

Náhrada škody stanovená v článku 82 ods. 1 GDPR sa vzťahuje na všetky majetkové a nemajetkové ujmy, ktoré vznikli v dôsledku porušenia nariadenia. Pojem „nemajetková ujma“ v zmysle tohto ustanovenia musí mať autonómnu a jednotnú definíciu. ( 55 )

85.

Podľa ustálenej judikatúry Súdneho dvora je plná náhrada škody určená výlučne na odškodnenie. Hoci Súdny dvor pripúšťa, že právo požadovať náhradu škody môže tiež odradiť od opakovania protiprávneho konania, tvrdí, že účel náhrady škody podľa článku 82 GDPR nie je ani odrádzajúci, ani sankčný. ( 60 )

86.

Na základe tejto judikatúry možno konštatovať, že:

–

Účel náhrady škody požadovanej alebo získanej podľa článku 82 GDPR sa nezhoduje s účelom žalôb o zdržanie sa konania, ktoré boli podané s cieľom zabrániť prevádzkovateľovi, aby v budúcnosti opakoval nezákonné spracúvanie údajov podobné tomu, ktoré sa už vykonalo.

V. Návrh

89.

Vzhľadom na všetky vyššie uvedené úvahy navrhujem odpovedať na prvú, druhú, tretiu a šiestu prejudiciálnu otázku, ktorú položil Bundesgerichtshof (Spolkový súdny dvor, Nemecko), takto:

Článok 5 ods. 1 písm. a), článok 6 ods. 1, článok 79 ods. 1 a článok 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa majú vykladať v tom zmysle, že:

–

( 2 ) Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 ; ďalej len „GDPR“).

( 3 ) Pokiaľ ide o článok 82 ods. 1 GDPR, pozri najnovšie rozsudky z 20. júna 2024, Scalable Capital ( C‑182/22 a C‑189/22 , EU:C:2024:531 ); zo 4. októbra 2024, Agencija po vpisvanijata ( C‑200/23 , EU:C:2024:827 ; ďalej len „Agencija po vpisvanijata“), a zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs ( C‑507/23 , EU:C:2024:854 ; ďalej len „rozsudok Patērētāju tiesību aizsardzības centrs“).

( 4 ) Rozsudky z 28. apríla 2022, Meta Platforms Ireland ( C‑319/20 , EU:C:2022:322 ); ďalej len: „rozsudok Meta Platforms Ireland“, a zo 4. októbra 2024, Lindenapotheke ( C‑21/23 , EU:C:2024:846 ). V týchto veciach sa požadovalo ukončenie praktiky, ktorá sa považovala za nekalú, pretože nespĺňala zákonné podmienky na získanie platného súhlasu dotknutej osoby podľa GDPR. V oboch prípadoch sa ochrana osobných údajov prostredníctvom žalôb o zdržanie sa konania požadovala na základe právnych noriem zameraných na ochranu spotrebiteľov alebo na boj proti nekalým obchodným praktikám: porušenie GDPR predstavovalo skutkový základ týchto noriem. Otázky položené Súdnemu dvoru sa týkali aktívnej legitimácie žalobcov v príslušných sporoch.

( 5 ) Občiansky zákonník (ďalej len „BGB“).

( 6 ) V bode 10 návrhu na začatie prejudiciálneho konania sa vysvetľuje, že v prejednávanej veci sa toto ustanovenie uplatňuje analogicky na porušenie absolútnych práv v zmysle § 823 ods. 1 BGB alebo na porušenie niektorej z noriem uvedených v odseku 2 tohto ustanovenia.

( 13 ) Kogentná formulácia sa nachádza prinajmenšom v týchto jazykových verziách: „los datos personales serán“ (španielska verzia); „personal data shall be“ (anglická verzia); „les données à caractère personnel doivent être“ (francúzska verzia); „Personenbezogene Daten müssen“ (nemecká verzia).

( 14 ) Podľa článku 5 ods. 2 GDPR „prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘)“. Prevádzkovateľ musí na tento účel zabezpečiť, aby bolo spracúvanie zákonné. Pozri rozsudok zo 4. mája 2023, Bundesrepublik Deutschland (Elektronická súdna schránka) ( C‑60/22 , EU:C:2023:373 , body 53 a 54 ).

( 15 ) Článok 83 ods. 5 písm. a) GDPR.

( 16 ) Pozri v rámci porovnania povinností, ktorú sú uložené v článkoch 26 a 30 GDPR, a povinností, ktoré vyplývajú z jeho článkov 5 a 6, rozsudok zo 4. mája 2023, Bundesrepublik Deutschland (Elektronická súdna schránka) ( C‑60/22 , EU:C:2023:373 , bod 59 a nasl.).

( 17 ) Rozsudok zo 4. mája 2023, Bundesrepublik Deutschland (Elektronická súdna schránka) ( C‑60/22 , EU:C:2023:373 , bod 57 ): „každé spracúvanie osobných údajov musí byť v súlade so zásadami týkajúcimi sa spracúvania údajov uvedenými v článku 5 ods. 1 tohto nariadenia a musí spĺňať podmienky zákonnosti spracúvania vymenované v článku 6 uvedeného nariadenia“. Pozri tiež rozsudok z 1. októbra 2015, Bara a i. ( C‑201/14 , EU:C:2015:638 ), vo vzťahu k právnemu predpisu platnému pred prijatím GDPR, t. j. smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 13/015, s. 355). Zákonnosť spracúvania bola uvedená v článku 6 smernice 95/46 medzi „princípmi týkajúcimi sa kvality údajov“ a základ zákonnosti v článku 7 ako „kritéria na uzákonenie spracovania údajov“.

( 24 ) Ako ďalší argument pripomínam, že podľa článku 80 ods. 2 GDPR môžu členské štáty stanoviť, aby určité subjekty uplatňovali práva uvedené v článku 79 GDPR nezávisle od poverenia dotknutých osôb. Činnosť týchto subjektov často plní preventívnu funkciu. Domnievaním sa, že článok 79 ods. 1 neobsahuje takúto záruku, by toto ustanovenie (a uvedený článok 80 ods. 2 GDPR) stratilo veľkú časť svojej podstaty.

( 25 ) Rozsudok z 20. júna 2024, Scalable Capital ( C‑182/22 a C‑189/22 , EU:C:2024:531 , bod 23 ); Agencija po vpisvanijata, apartado, bod 153, a Patērētāju tiesību aizsardzības centrs, bod 40 a nasl. Súdny dvor pripustil, že právo každej osoby požadovať náhradu škody podľa článku 82 GDPR „posilňuje vykonateľný charakter pravidiel ochrany stanovených týmto nariadením a môže odradiť od opakovaného protiprávneho konania“: rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov) ( C‑300/21 , EU:C:2023:370 , bod 40 ); z 11. apríla 2024, juris ( C‑741/21 , EU:C:2024:288 , bod 59 ), a z 20. júna 2024, Scalable Capital ( C‑182/22 a C‑189/22 , EU:C:2024:531 , bod 22 ). Vylučuje však, že samotným účelom tohto ustanovenia je odradiť od budúceho nezákonného spracúvania.

( 26 ) Písomné pripomienky banky Quirin, bod 1 na konci.

( 27 ) Kurzívou zvýraznil generálny advokát. Išlo o článok 76 ods. 5 návrhu nariadenia Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov), COM(2012) 11 final, ktorý prebral článok 18 ods. 1 smernice Európskeho parlamentu a Rady 2000/31/ES z 8. júna 2000 o určitých právnych aspektoch služieb informačnej spoločnosti na vnútornom trhu, najmä o elektronickom obchode (smernica o elektronickom obchode) ( Ú. v. ES L 178, 2000, s. 1 ; Mim. vyd. 13/025, s. 399). Parlament nenavrhol zmeny v tomto bode.

( 34 ) Niekedy nebude možné uplatniť právo na vymazanie alebo obmedzenie spracúvania, alebo nie v plnom rozsahu: pozri článok 17 ods. 3 (spracúvanie nevyhnutné na určité účely) a článok 23 GDPR. Podobne je to aj v článku 18 ods. 2 GDPR, ktorý sa týka spracúvania údajov v záujme iných osôb ako dotknutej osoby alebo verejnosti. Logicky nebude možné dosiahnuť zákaz spracúvania povoleného týmito pravidlami alebo príkaz zdržať sa takéhoto spracúvania.

( 35 ) Uchovávanie osobných údajov, ktoré sa majú vymazať, zo strany prevádzkovateľa, je výnimočné: pozri článok 17 ods. 3 a odôvodnenie 65 GDPR. Povinnosť vymazať určité údaje spravidla vedie aj k ich zničeniu.

( 36 ) V „zmiešanej“ situácii, keď v súvislosti s tými istými údajmi dochádza k zákonnému a nezákonnému spracúvaniu, môže byť zachovanie prvého z nich v prospech nielen prevádzkovateľa, ale aj dotknutej osoby. V prejednávanej veci je napríklad odôvodnené predpokladať, že (zákonné) spracúvanie osobných údajov IP je v jeho záujme, pretože bez neho by sa v skutočnosti nemohol zúčastniť na výberovom konaní banky Quirin.

( 37 ) Medzi ne patrí aj to, že osobné údaje boli spracúvané nezákonne: článok 17 ods. 1 písm. d) GDPR.

( 38 ) Článok 18 (právo na obmedzenie spracúvania) alebo článok 21 (právo namietať).

( 39 ) Pozri poznámku pod čiarou 35 vyššie. V návrhu Komisie sa v článku 17 ods. 1 dotknutej osobe priznalo právo „vymôcť prostredníctvom prevádzkovateľa výmaz svojich osobných údajov“, a doplnilo sa „ako aj to, aby sa prevádzkovateľ zdržal ďalšieho šírenia týchto údajov…“. Niektoré delegácie členských štátov, s ktorými predsedníctvo Rady tiež súhlasilo, považovali tento bod za „meaningless“, keďže po vymazaní údajov už nie je možné ich šírenie: pozri poznámku predsedníctva Rady pracovnej skupine pre ochranu údajov, dokument 16529/12 zo 4. decembra 2012, poznámka 245. Za nadbytočný sa považoval aj článok 17 ods. 8, podľa ktorého „ak sa vykonáva výmaz, prevádzkovateľ nesmie spracovať dotknuté osobné údaje iným spôsobom“: tamtiež poznámka 270.

( 46 ) Zatiaľ čo dotknutá osoba potrebuje údaje „na preukázanie, uplatňovanie alebo obhajovanie právnych nárokov“.

( 47 ) „… a to až do overenia, či oprávnené dôvody na strane prevádzkovateľa prevažujú nad oprávnenými dôvodmi dotknutej osoby“.

( 48 ) Pochybnosti vyjadrené v tejto súvislosti viedli k tomu, že tento bod návrhu Komisie, ktorý Parlament nespochybnil, bol počas rokovaní Rady najprv uvedený v zátvorkách (pozri poznámku predsedníctva Rady pracovnej skupine pre ochranu údajov, dokument 16529/12 zo 4. decembra 2012, poznámka 275), a následne sa bez ďalšieho vypustil. Jeho následné opätovné predloženie na posúdenie delegáciám sa (podľa môjho názoru argumentačne) vysvetľuje tým, že možnosť, ktorú poskytuje, zvyšuje ochranu dotknutej osoby „without entailing additional administrative burden on controllers“: poznámka predsedníctva Rady pre delegácie v rámci prípravy na trialóg, dokument 11696/15, zo 4. septembra 2015, s. 9, kde sa tiež žiada od delegácií „to show flexibility on this point“.

( 49 ) Ustanovenie podobné článku 18 ods. 1 písm. b) GDPR existovalo v smernici 95/46, ako aj v článku 15 ods. 1 písm. c) nariadenia č. 45/2001. Rovnaké znenie sa nachádza v článku 20 ods. 1 písm. b) nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie č. 45/2001 a rozhodnutie č. 1247/2002/ES ( Ú. v. EÚ L 295, 2018, s. 39 ). Tieto ustanovenia neboli vyložené Súdnym dvorom a podľa môjho názoru vyvolávajú rovnaké pochybnosti ako GDPR, a preto nie sú užitočné pri pochopení GDPR.

( 56 ) Rozsudky z 20. júna 2024, PS (Nesprávna adresa) ( C‑590/22 , EU:C:2024:536 , bod 32 ), a Agencija po vpisvanijata, bod 144.

( 57 ) Rozsudok zo 14. decembra 2023, Nacionalna agencija za prichodite ( C‑340/21 , EU:C:2023:986 , body 79 a 80 ).

( 58 ) Rozsudok Patērētāju tiesību aizsardzības centrs, body 36 a 37.

( 59 ) Rozsudok Agencija po vpisvanijata, bod 150.

( ) Pozri poznámku pod čiarou 25 vyššie. Výška peňažnej náhrady musí zodpovedať ujme, ktorú dotknutá osoba skutočne utrpela, bez toho, aby ju prekročila, a nesmie byť ani nižšia: rozsudky z 20. júna 2024, PS (Nesprávna adresa) ( C‑590/22 , EU:C:2024:536 , bod 41 ), a Patērētāju tiesību aizsardzības centrs, body 43 a 44. Nemožno zohľadniť stupeň závažnosti porušenia GDPR a jeho prípadnú úmyselnú povahu (rozsudok Patērētāju tiesību aizsardzības centrs, bod 42), ako je postoj a motivácia prevádzkovateľa (tamtiež bod 44), alebo skutočnosť, že prevádzkovateľ sa dopustil viacerých porušení vo vzťahu k tej istej dotknutej osobe [(rozsudok z 11. apríla 2024, juris ( C‑741/21 , EU:C:2024:288 ), bod 64 ].