C-507/23

A

proti

Patērētāju tiesību aizsardzības centrs,

SÚDNY DVOR (ôsma komora),

v zložení: predseda komory N. Piçarra, sudcovia N. Jääskinen (spravodajca) a M. Gavalec,

generálny advokát: M. Szpunar,

Európska komisia, v zastúpení: A. Bouchagiar, H. Kranenborg a I. Naglis, splnomocnení zástupcovia,

so zreteľom na rozhodnutie prijaté po vypočutí generálneho advokáta, že vec bude prejednaná bez jeho návrhov,

vyhlásil tento

Rozsudok

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“).

„(1)

Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len ‚Charta‘) a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.

…

(75)

Riziko pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä ak spracúvanie môže viesť k… poškodeniu dobrého mena alebo akémukoľvek inému závažnému hospodárskemu alebo sociálnemu znevýhodneniu; ak by dotknuté osoby mohli byť pozbavené svojich práv a slobôd alebo im bolo bránené v kontrole nad svojimi osobnými údajmi;…

…

(148)

S cieľom posilniť presadzovanie pravidiel tohto nariadenia by sa… mali ukladať za akékoľvek porušenie tohto nariadenia sankcie vrátane správnych pokút… Náležitým spôsobom by sa mala zohľadniť povaha, závažnosť a trvanie porušenia, jeho úmyselná povaha, opatrenia prijaté na zmiernenie spôsobenej škody, miera zodpovednosti… a všetky ďalšie priťažujúce alebo poľahčujúce okolnosti…“

4

Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:

„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“

5

‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;…

…

12.

‚porušenie ochrany osobných údajov‘ je porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávnený prístup k nim;

…“

6

2. Každý prevádzkovateľ, ktorý sa zúčastnil na spracúvaní, je zodpovedný za škodu spôsobenú spracúvaním, ktoré bolo v rozpore s týmto nariadením…“

9

Článok 83 nariadenia GDPR, nazvaný „Všeobecné podmienky ukladania správnych pokút“, v odseku 2 stanovuje:

„… Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:

a)

povaha, závažnosť a trvanie porušenia, pričom sa zohľadní povaha, rozsah alebo účel dotknutého spracúvania, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ktorú utrpeli;

akékoľvek iné priťažujúce alebo poľahčujúce okolnosti prípadu, ako napríklad akékoľvek získané finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením.“

10

Článok 84 tohto nariadenia, nazvaný „Sankcie“, v odseku 1 stanovuje:

„Členské štáty stanovia pravidlá pre iné sankcie za porušenia tohto nariadenia, predovšetkým za tie, na ktoré sa nevzťahujú správne pokuty podľa článku 83, a prijmú všetky opatrenia potrebné na zabezpečenie ich vykonávania. Takéto sankcie musia byť účinné, primerané a odrádzajúce.“

Lotyšské právo

11

12

Žalobca vo veci samej je v Lotyšsku známy ako novinár – odborník v oblasti automobilov.

13

V rámci kampane zameranej na zvýšenie povedomia spotrebiteľov o rizikách spojených s kúpou ojazdených vozidiel PTAC na viacerých internetových stránkach šíril video, v ktorom vystupovala osoba imitujúca žalobcu vo veci samej, bez toho, aby s tým žalobca súhlasil.

14

Napriek námietke, ktorú vyjadril v súvislosti s realizáciou a šírením tohto videa, zostalo toto video dostupné online. PTAC navyše odmietol jeho výslovné žiadosti o zastavenie tohto šírenia a o náhradu ujmy z dôvodu poškodenia dobrého mena.

18

V prvom rade sa vnútroštátny súd so zreteľom na rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracúvaním osobných údajov) ( C‑300/21 , EU:C:2023:370 , ďalej len „rozsudok Österreichische Post“), domnieva, že článok 82 nariadenia GDPR neumožňuje nariadiť poskytnutie náhrady z titulu porušenia tohto nariadenia bez toho, aby predtým charakterizoval ujmu, ktorá bola týmto porušením spôsobená. Podľa neho v prejednávanej veci odvolací súd porušil tento článok 82, keď nariadil poskytnutie takejto náhrady bez toho, aby konštatoval poškodenie dobrého mena, cti a dôstojnosti žalobcu vo veci samej. V tomto kontexte sa tento súd snaží určiť, či vzhľadom na článok 1 ods. 2 nariadenia GDPR, ako aj na jeho odôvodnenia 75, 85 a 146 môže nezákonné spracúvanie osobných údajov samo osebe predstavovať porušenie základného práva na ochranu týchto údajov, ako je zaručené v článku 8 ods. 1 Charty, a v dôsledku toho predstavovať „ujmu“ v zmysle uvedeného článku 82, a to aj vtedy, keď nie je preukázané poškodenie dobrého mena, cti alebo dôstojnosti dotknutej osoby.

19

V druhom rade sa vnútroštátny súd pýta na primeranú náhradu nemajetkovej ujmy podľa článku 82 ods. 1 nariadenia GDPR, ktorého výklad je uvedený v rozsudku zo 4. mája 2023, Österreichische Post ( C‑300/21 , EU:C:2023:370 ). Chce vedieť, či sa povinnosť ospravedlniť sa poškodenej osobe, ktorá podľa lotyšského práva môže predstavovať jedinú alebo dodatočnú formu náhrady, môže v určitých prípadoch považovať z hľadiska tohto článku 82 ods. 1 za dostatočnú náhradu.

2.

Má sa článok 82 ods. 1 [nariadenia GDPR] vykladať v tom zmysle, že umožňuje, aby sa v prípade, ak neexistuje možnosť obnoviť stav, ktorý existoval pred vznikom ujmy, uložila povinnosť ospravedlniť sa ako jediná náhrada nemajetkovej ujmy?

3.

Má sa článok 82 ods. 1 [nariadenia GDPR] vykladať v tom zmysle, že umožňuje, aby okolnosti, ktoré naznačujú postoj a motiváciu osoby, ktorá spracúva údaje (napríklad potreba splniť úlohu realizovanú vo verejnom záujme, neexistencia úmyslu poškodiť osobu alebo ťažkosti s pochopením právneho rámca), odôvodňovali stanovenie nižšej náhrady za túto ujmu?“

O prejudiciálnych otázkach

O prvej otázke

Súdny dvor podal opakovane výklad tohto článku 82 ods. 1 v tom zmysle, že samotné porušenie tohto nariadenia nestačí na priznanie práva na náhradu ujmy na tomto základe, keďže existencia majetkovej alebo nemajetkovej „ujmy“ alebo „škody“, ktorá bola „utrpená“, predstavuje jednu z podmienok vzniku práva na náhradu ujmy stanoveného v tomto ustanovení, rovnako ako aj existencia porušenia ustanovení uvedeného nariadenia a príčinnej súvislosti medzi touto ujmou a týmto porušením, pričom tieto tri podmienky sú kumulatívne. Osoba, ktorá sa domáha náhrady nemajetkovej ujmy na základe uvedeného ustanovenia, je teda povinná preukázať nielen porušenie tohto nariadenia, ale aj to, že v dôsledku tohto porušenia jej takáto ujma aj skutočne vznikla [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21 , EU:C:2023:370 , body 32 , 33 , 42 a 50 ; z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22 , EU:C:2024:531 , body 41 a 42 , ako aj z 20. júna 2024, PS (Nesprávna adresa), C‑590/22 , EU:C:2024:536 , body 22 , 24 , 25 a 27 ].

25

Keďže tieto tri kumulatívne podmienky sú nevyhnutné a postačujú na vznik práva na náhradu ujmy v zmysle článku 82 ods. 1 nariadenia GDPR (rozsudok zo 14. decembra 2023, Gemeinde Ummendorf, C‑456/22 , EU:C:2023:988 , bod 14 ), toto právo nemôže podliehať dodatočnému preukázaniu toho, že vo vzťahu k dotknutej osobe, ako je definovaná v článku 4 bode 1 tohto nariadenia, došlo k neodôvodnenému zásahu do právneho záujmu, ktorý má toto nariadenie chrániť, a to do práva takejto osoby na ochranu svojich osobných údajov.

29

Vzhľadom na uvedené dôvody treba na prvú otázku odpovedať tak, že článok 82 ods. 1 nariadenia GDPR so zreteľom na článok 8 ods. 1 Charty sa má vykladať v tom zmysle, že porušenie ustanovení tohto nariadenia samo osebe nepostačuje na to, aby predstavovalo „ujmu“ v zmysle tohto článku 82 ods. 1.

O druhej otázke

30

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 nariadenia GDPR vykladať v tom zmysle, že ospravedlnenie môže predstavovať primeranú náhradu nemajetkovej ujmy na základe tohto ustanovenia, najmä ak nie je možné obnoviť stav, ktorý existoval pred vznikom tejto ujmy.

31

34

Pokiaľ ide o dodržanie zásady efektivity, výlučne kompenzačná funkcia práva na náhradu ujmy stanovená v článku 82 nariadenia GDPR znamená, že kritériá posúdenia náhrady podľa tohto článku musia byť stanovené v právnych poriadkoch jednotlivých členských štátov, pričom táto náhrada musí byť úplná a účinná, a to bez toho, aby bolo na účely takejto úplnej kompenzácie potrebné uložiť povinnosť zaplatiť sankčnú náhradu ujmy [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21 , EU:C:2023:370 , body 57 a 58 ; z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22 , EU:C:2024:531 , body 23 , 24 , 35 , 36 a 43 , ako aj z 20. júna 2024, PS (Nesprávna adresa), C‑590/22 , EU:C:2024:536 , bod 42 ].

35

Súdny dvor navyše pripustil, že v prípade neexistencie vážnosti ujmy spôsobenej dotknutej osobe môže vnútroštátny súd túto ujmu kompenzovať tak, že tejto osobe prizná minimálnu náhradu, pokiaľ takto priznaná nízka výška náhrady môže v plnom rozsahu kompenzovať túto ujmu, čo prináleží overiť tomuto súdu (pozri v tomto zmysle rozsudok z 20. júna 2024, Scalable Capital, C‑182/22 a С‑189/22 , EU:C:2024:531 , bod 46 ).

36

Rovnako článok 82 ods. 1 GDPR nebráni tomu, aby ospravedlnenie predstavovalo jedinú alebo dodatočnú náhradu nemajetkovej ujmy, ako to v prejednávanej veci stanovuje § 14 zákona z roku 2005, ak táto forma náhrady rešpektuje uvedené zásady ekvivalencie a efektivity, a to najmä v rozsahu, v akom musí umožňovať úplnú kompenzáciu nemajetkovej ujmy, ktorá bola konkrétne spôsobená porušením tohto nariadenia, čo prináleží overiť príslušnému vnútroštátnemu súdu s ohľadom na okolnosti každého konkrétneho prípadu.

V prvom rade z článku 83 nariadenia GDPR so zreteľom na odôvodnenie 148 tohto nariadenia vyplýva, že pri rozhodovaní o tom, či treba uložiť správnu pokutu, a pri stanovení jej výšky treba ako „priťažujúce alebo poľahčujúce okolnosti“ zohľadniť najmä kritériá týkajúce sa postoja a motivácie prevádzkovateľa. Naopak, tieto kritériá nie sú uvedené v článku 82 tohto nariadenia a navyše ani v jeho odôvodnení 146, ktoré sa týka konkrétne práva na náhradu ujmy upraveného v uvedenom článku 82.

40

Neexistencia odkazu na takéto kritériá je odôvodnená skutočnosťou, že článok 82 nariadenia GDPR plní výlučne kompenzačnú funkciu, keďže náhrada, a to najmä peňažná, založená na tomto článku 82 musí umožňovať úplnú kompenzáciu vzniknutej ujmy, na rozdiel od iných ustanovení tohto nariadenia uvedených tiež v jeho kapitole VIII, konkrétne článkov 83 a 84, ktoré majú v podstate sankčný účel, pretože umožňujú uložiť správne pokuty a iné sankcie (pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post, C‑300/21 , EU:C:2023:370 , body 38 a 40 , ako aj z 20. júna 2024, Scalable Capital, C‑182/22 a C‑189/22 , EU:C:2024:531 , bod 22 ).

41

Na základe rozdielov v znení a účeloch, ktoré existujú medzi článkom 82 nariadenia GDPR v spojení s odôvodnením 146 tohto nariadenia a článkom 83 uvedeného nariadenia v spojení s odôvodnením 148 tohto nariadenia, sa preto nemožno domnievať, že kritériá posudzovania stanovené konkrétne v článku 83 sú uplatniteľné mutatis mutandis v rámci článku 82 [rozsudok z 20. júna 2024, PS (Nesprávna adresa), C‑590/22 , EU:C:2024:536 , bod 43 a citovaná judikatúra]. Toto konštatovanie platí najmä pre stanovenie výšky sumy, ktorá sa má zaplatiť z titulu náhrady ujmy založenej na uvedenom článku 82 [pozri v tomto zmysle rozsudok z 20. júna 2024, PS (Nesprávna adresa), C‑590/22 , EU:C:2024:536 , body 39 a 44 ], ako aj všeobecnejšie pre určenie formy, peňažnej alebo inej, a úrovne takejto náhrady.

45

Vzhľadom na uvedené dôvody treba na tretiu otázku odpovedať tak, že článok 82 ods. 1 nariadenia GDPR sa má vykladať v tom zmysle, že bráni tomu, aby bolo možné zohľadniť prístup a motiváciu prevádzkovateľa s cieľom prípadne priznať dotknutej osobe nižšiu náhradu v porovnaní s ujmou, ktorú v konkrétnom prípade utrpela.

O trovách

46

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (ôsma komora) rozhodol takto:

sa má vykladať v tom zmysle, že:

ospravedlnenie môže predstavovať primeranú náhradu nemajetkovej ujmy na základe tohto ustanovenia, najmä ak nemožno obnoviť stav, ktorý existoval pred vznikom tejto ujmy, pokiaľ je táto forma náhrady spôsobilá v plnom rozsahu kompenzovať ujmu, ktorú dotknutá osoba utrpela.

3.

Článok 82 ods. 1 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

bráni tomu, aby bolo možné zohľadniť postoj a motiváciu prevádzkovateľa s cieľom prípadne priznať dotknutej osobe nižšiu náhradu v porovnaní s ujmou, ktorú v konkrétnom prípade utrpela.