C-655/23

62023CJ0655

ROZSUDOK

SÚDNEHO DVORA (štvrtá komora)

zo 4. septembra 2025 ( *1 )

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Práva dotknutej osoby – Článok 17 – Právo na vymazanie údajov – Článok 18 – Právo na obmedzenie spracúvania – Článok 79 – Právo účinný súdny prostriedok nápravy – Nezákonné spracúvanie osobných údajov – Žaloba, ktorou sa domáha, aby bola prevádzkovateľovi uložená povinnosť zdržať sa v budúcnosti ďalšieho nezákonného spracúvania – Základ – Podmienky – Článok 82 ods. 1 – Právo na náhradu škody – Pojem ‚nemajetková ujma‘ – Posúdenie náhrady škody – Prípadné zohľadnenie miery zavinenia prevádzkovateľa – Prípadný vplyv vydania ‚príkazu na zdržanie sa konania‘“

Vo veci C‑655/23,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Bundesgerichtshof (Spolkový súdny dvor, Nemecko) z 26. septembra 2023 a doručený Súdnemu dvoru 7. novembra 2023, ktorý súvisí s konaním:

tajomník: A. Calot Escobar,

so zreteľom na písomnú časť konania,

so zreteľom na pripomienky, ktoré predložili:

–

IP, v zastúpení: M. Rodenhausen, Rechtsanwältin,

–

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článkov 17, 18, 79, 82 a 84 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi IP, fyzickou osobou, a bankou Quirin Privatbank AG vo veci návrhu tejto osoby, ktorým sa domáhala, aby bolo tejto banke nariadené zdržať sa ďalšieho neoprávneného poskytnutia osobných údajov IP tretej strane a nahradiť nemajetkovú ujmu, ktorá bola tejto osobe údajne spôsobená v dôsledku pôvodného poskytnutia jej osobných údajov.

Právny rámec

Právo Únie

S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. … Týmto nariadením sa tiež členským štátom dáva priestor na spresnenie svojich pravidiel vrátane pravidiel spracúvania osobitných kategórií osobných údajov (ďalej len ‚citlivé údaje‘). V danom rozsahu toto nariadenie nevylučuje právo členského štátu, ktorým sa vymedzujú okolnosti špecifických spracovateľských situácií vrátane presnejšieho stanovenia podmienok, za ktorých je spracúvanie osobných údajov v súlade so zákonom.

(11)

Účinná ochrana osobných údajov v rámci celej Únie si vyžaduje posilnenie a spresnenie práv dotknutých osôb a povinností tých, ktorí osobné údaje spracúvajú a o ich spracúvaní rozhodujú, ako aj zodpovedajúcich právomocí na monitorovanie a zabezpečenie súladu s pravidlami ochrany osobných údajov a zodpovedajúcich sankcií za porušenia pravidiel v členských štátoch.

…

(75)

Riziko pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä ak spracúvanie môže viesť k diskriminácii, krádeži totožnosti alebo podvodu, finančnej strate, poškodeniu dobrého mena, strate dôvernosti osobných údajov chránených profesijným tajomstvom, neoprávnenej reverznej pseudonymizácii alebo akémukoľvek inému závažnému hospodárskemu alebo sociálnemu znevýhodneniu; ak by dotknuté osoby mohli byť pozbavené svojich práv a slobôd alebo im bolo bránené v kontrole nad svojimi osobnými údajmi;…

4

Článok 1 GDPR, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:

„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“

5

Článok 4 tohto nariadenia s názvom „Vymedzenie pojmov“ stanovuje:

„Na účely tohto nariadenia:

‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;…

…

10.

‚tretia strana‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt než dotknutá osoba, prevádzkovateľ, sprostredkovateľ a osoby, ktoré sú na základe priameho poverenia prevádzkovateľa alebo sprostredkovateľa poverené spracúvaním osobných údajov;

…

12.

„1. Osobné údaje musia byť:

a)

spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);

b)

získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi… (‚obmedzenia účelu‘);

c)

Článok 6 toho istého nariadenia, nazvaný „Zákonnosť spracúvania“, vo svojom odseku 1 stanovuje:

„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

a)

dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;

…“

9

dotknutá osoba namieta voči spracúvaniu podľa článku 21 ods. 1 a neprevažujú žiadne oprávnené dôvody na spracúvanie alebo dotknutá osoba namieta voči spracúvaniu podľa článku 21 ods. 2;

d)

osobné údaje sa spracúvali nezákonne;

…“

11

Článok 18 toho istého nariadenia, nazvaný „Právo na obmedzenie spracúvania“, nachádzajúci sa v tomto oddiele 3, v odseku 1 stanovuje:

…“

12

Kapitola VIII GDPR s názvom „Prostriedky nápravy, zodpovednosť a sankcie“ obsahuje články 77 až 84 tohto nariadenia.

13

Článok 77 GDPR je nazvaný „Právo podať sťažnosť dozornému orgánu“ a článok 78 tohto nariadenia je nazvaný „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“.

14

3. Prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa odseku 2, ak sa preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.

…“

16

Článok 83 tohto nariadenia s názvom „Všeobecné podmienky ukladania správnych pokút“ v odseku 2 stanovuje:

„… Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:

a)

k)

akékoľvek iné priťažujúce alebo poľahčujúce okolnosti prípadu, ako napríklad akékoľvek získané finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením.“

17

Článok 84 uvedeného nariadenia s názvom „Sankcie“ v odseku 1 stanovuje:

„Členské štáty stanovia pravidlá pre iné sankcie za porušenia tohto nariadenia, predovšetkým za tie, na ktoré sa nevzťahujú správne pokuty podľa článku 83, a prijmú všetky opatrenia potrebné na zabezpečenie ich vykonávania. Takéto sankcie musia byť účinné, primerané a odrádzajúce.“

Nemecké právo

2. Ak má byť poskytnutá náhrada škody z dôvodu ujmy na tele, zdraví, slobode alebo sexuálnom sebaurčení, možno spravodlivú peňažnú náhradu požadovať aj za nemajetkovú ujmu.“

20

Ustanovenie § 823 BGB s názvom „Povinnosť nahradiť škodu“ uvádza:

„1. Kto úmyselne alebo z nedbanlivosti protiprávne spôsobí inému ujmu na živote, tele, zdraví, slobode, majetku alebo akomkoľvek inom práve, je povinný nahradiť mu škodu, ktorá tým vznikla.

2. Rovnakú povinnosť má ten, kto poruší zákon, ktorého účelom je ochrana inej osoby. Ak je podľa obsahu tohto zákona možné jeho porušenie aj bez zavinenia, povinnosť nahradiť škodu vzniká len v prípade zavinenia.“

21

Žalobca vo veci samej sa prostredníctvom online profesijnej sociálnej siete uchádzal o zamestnanie v banke Quirin Privatbank, založenej podľa nemeckého práva. Pracovníčka tejto banky následne využila službu zasielania tejto siete na to, aby tretej strane, ktorá nebola účastníkom tohto výberového konania, zaslala správu určenú len žalobcovi vo veci samej, v ktorej ho informovala o odmietnutí jeho mzdových nárokov a ponúkla mu inú odmenu (ďalej len „dotknutá správa“). Táto tretia osoba, ktorá žalobcu vo veci samej poznala, pretože s ním predtým pracovala, mu túto správu zaslala a opýtala sa ho, či si hľadá prácu.

24

Žalobca vo veci samej podal na Landgericht Darmstadt (Krajinský súd Darmstadt, Nemecko) žalobu, ktorou sa domáhal, aby bola banke Quirin Privatbank uložená jednak povinnosť zdržať sa akéhokoľvek spracúvania jeho osobných údajov v súvislosti s jeho žiadosťou o pracovné miesto, ktoré by opakovane viedlo k ich neoprávnenému poskytnutiu v nadväznosti na zaslanie dotknutej správy, a jednak povinnosť zaplatiť mu náhradu nemajetkovej ujmy, ktorá mu v dôsledku tejto udalosti vznikla. V podstate tvrdil, že táto ujma spočíva v jeho obavách, ktoré vznikli z dôvodu, že aspoň jednej tretej osobe, ktorá ho pozná a pracuje v rovnakom profesijnom odvetví, bolo umožnené poskytnúť tieto dôverné údaje bývalým alebo potenciálnym zamestnávateľom, získať výhodu v porovnaní s ním v prípadnom konkurenčnom postavení pri prijímaní do zamestnania a byť svedkom poníženia, ktoré IP pocítil z neúspechu pri vyjednávaní o plate.

25

Rozsudkom z 26. mája 2020 prvostupňový súd uložil banke Quirin Privatbank povinnosť zdržať sa konania uvedeného v žalobe a zaplatiť žalobcovi vo veci samej náhradu škody vo výške 1000 eur spolu s úrokmi. Quirin Privatbank podala proti tomuto rozsudku odvolanie.

29

Po prvé sa tento súd pýta, či GDPR priznáva osobe, ktorej osobné údaje boli predmetom nezákonného spracúvania, právo požadovať, aby sa prevádzkovateľ zdržal takého opakovaného spracúvania, a to aj v prípade, že táto osoba nežiada o vymazanie svojich údajov. S prihliadnutím na vnútroštátnu judikatúru a diskusie v právnej náuke na túto tému sa uvedený súd pýta, či by toto právo, o ktorom spresňuje, že sa vykonáva len preventívne, mohlo vyplývať z článku 17 tohto nariadenia týkajúceho sa práva na takéto vymazanie, z jeho článku 18 týkajúceho sa práva na obmedzenie spracúvania, z článku 79 uvedeného nariadenia týkajúceho sa práva na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi, alebo z akéhokoľvek iného ustanovenia toho istého nariadenia.

30

Po druhé, v prípade kladnej odpovede na tieto otázky vnútroštátny súd žiada s prihliadnutím na svoju vlastnú judikatúru založenú na článku 2 Ústavy Spolkovej republiky Nemecko a na uplatnení § 823 v spojení s § 1004 BGB jednak určiť, či sa takéto právo vyžadovať od prevádzkovateľa, aby sa zdržal ďalšieho porušenia GDPR, viaže na existenciou rizika opakovania, a jednak, či sa má toto riziko s prihliadnutím na pôvodné porušenie prípadne predpokladať.

31

Po tretie, v opačnom prípade, ak by bola odpoveď na obe časti jeho prvej otázky záporná, sa tento súd pýta, či zo znenia článku 79, ktorý sa týka práva na účinný súdny prostriedok nápravy voči prevádzkovateľovi, v spojení s článkom 84 GDPR, ktorý sa týka sankcií v prípade porušenia tohto nariadenia, vyplýva, že súd členského štátu je oprávnený uložiť prevádzkovateľovi takúto povinnosť zdržať sa konania na základe vnútroštátnych ustanovení, pričom dotknutej osobe prizná práva stanovené v článkoch 17, 18 a 82 uvedeného nariadenia.

35

Za týchto okolností Bundesgerichtshof (Spolkový súdny dvor) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1.

a)

Má sa článok 17 GDPR vykladať v tom zmysle, že dotknutá osoba, ktorej osobné údaje prevádzkovateľ nezákonne zverejnil prostredníctvom preposlania, má voči prevádzkovateľovi právo na zdržanie sa opätovného nezákonného preposielania týchto údajov, ak prevádzkovateľa nepožiada o vymazanie údajov?

b)

Existuje domnienka rizika opakovania z dôvodu už existujúceho porušenia GDPR?

3.

V prípade zápornej odpovede [na prvú otázku písm. a) a písm. b)]:

Majú sa článok 84 v spojení s článkom 79 GDPR vykladať tak, že umožňujú vnútroštátnemu sudcovi, aby dotknutej osobe, ktorej osobné údaje prevádzkovateľ preposlaním nezákonne zverejnil, priznal okrem náhrady majetkovej alebo nemajetkovej ujmy podľa článku 82 GDPR a práv, ktoré vyplývajú z článkov 17 a 18 GDPR, voči prevádzkovateľovi aj nárok na zdržanie sa opätovného nezákonného preposielania týchto údajov podľa ustanovení vnútroštátneho práva?

4.

Má sa článok 82 ods. 1 GDPR vykladať tak, že v prospech domnienky nemajetkovej ujmy v zmysle tohto ustanovenia postačujú iba negatívne pocity, napríklad: hnev, odpor, nespokojnosť, obavy a strach, ktoré sú samy osebe súčasťou všeobecného životného rizika a často každodennej skúsenosti? Alebo je na domnienku ujmy potrebné znevýhodnenie pre dotknutú fyzickú osobu, ktoré presahuje tieto pocity?

O prvej až tretej otázke

36

Svojou prvou až treťou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa majú ustanovenia GDPR vykladať v tom zmysle, že stanovujú v prospech osoby dotknutej nezákonným spracúvaním osobných údajov v prípade, že táto osoba nepožaduje vymazanie svojich údajov, súdny prostriedok nápravy, ktorý jej umožní preventívne dosiahnuť, aby sa prevádzkovateľovi nariadilo zdržať sa v budúcnosti ďalšieho nezákonného spracúvania, a či v prípade zápornej odpovede tieto ustanovenia bránia členským štátom stanoviť takýto prostriedok nápravy vo svojich príslušných právnych poriadkoch.

37

Na úvod treba pripomenúť, že na účely výkladu ustanovenia práva Únie je potrebné zohľadniť nielen jeho znenie, ale aj jeho kontext a ciele sledované právnou úpravou, ktorej je súčasťou (rozsudok zo 4. októbra 2024, Lindenapotheke, C‑21/23 , EU:C:2024:846 , bod 52 , ako aj citovaná judikatúra).

38

40

Ako v podstate uviedol generálny advokát v bodoch 32, 34 a 38 svojich návrhov, článok 8 Charty vo svojom odseku 1 zakotvuje právo na ochranu osobných údajov, ale vo svojom odseku 2 tiež vyžaduje, aby sa tieto údaje spracúvali v súlade s určitými podmienkami, od ktorých závisí zákonnosť posudzovaného spracúvania. Rovnako povinnostiam stanoveným v kapitole II GDPR, ktoré má prevádzkovateľ, zodpovedajú osobitné práva stanovené v tomto nariadení, ktoré sú priznané dotknutým osobám. Tieto osoby tak majú právo na zákonné spracúvanie svojich osobných údajov, ktoré je dôsledkom všeobecnej povinnosti tohto prevádzkovateľa nespracúvať takéto údaje spôsobom, ktorý nie je v súlade s požiadavkami uvedeného nariadenia.

41

V druhom rade Súdny dvor opakovane rozhodol, že právo Únie vrátane ustanovení Charty nemá za účinok uloženie povinnosti členským štátom zaviesť iné právne prostriedky nápravy, než sú tie, ktoré stanovuje vnútroštátne právo, s výnimkou toho, že by zo systematiky dotknutého vnútroštátneho právneho poriadku vyplývalo, že neexistuje žiadny súdny prostriedok nápravy umožňujúci, hoci len incidenčne, zabezpečiť dodržiavanie práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z práva Únie (rozsudok z 8. mája 2025, Barało, C‑530/23 , EU:C:2025:322 , bod 99 a citovaná judikatúra).

42

V prejednávanej veci treba na úvod zdôrazniť, že situácia, o ktorú ide vo veci samej, sa netýka možnosti vnútroštátneho súdu prijať predbežné opatrenia, ale prípadnej možnosti dotknutej osoby dosiahnuť vo veci samej prostredníctvom žaloby preventívnej povahy vydanie príkazu zakazujúceho prevádzkovateľovi, aby sa dopustil ďalšieho porušenia týchto práv.

46

Vzhľadom na znenie ustanovení kapitoly VIII GDPR, a najmä na uznanie práva každej dotknutej osoby na účinný súdny prostriedok nápravy podľa jeho článku 79 ods. 1, ak sa dotknutá osoba domnieva, že práva, ktoré jej priznáva toto nariadenie, boli porušené v dôsledku spracúvania jej osobných údajov v rozpore s uvedeným nariadením „bez toho, aby bol dotknutý“ akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy, treba vychádzať z toho, že členským štátom nič nebráni v tom, aby stanovili takýto preventívny prostriedok nápravy s cieľom uložiť prevádzkovateľovi povinnosť, aby sa zdržal akéhokoľvek ďalšieho porušenia týchto práv (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Lindenapotheke, C‑21/23 , EU:C:2024:846 , bod 53 ).

47

V tejto súvislosti treba zdôrazniť, že hoci je cieľom GDPR zabezpečiť harmonizáciu vnútroštátnych právnych predpisov týkajúcich sa ochrany osobných údajov, ktorá je v zásade úplná, nič to nemení na tom, že viaceré ustanovenia tohto nariadenia členským štátom výslovne umožňujú stanoviť dodatočné prísnejšie alebo odchylné vnútroštátne pravidlá, ktoré im ponechávajú mieru voľnej úvahy, pokiaľ ide o spôsob, akým sa môžu tieto ustanovenia vykonávať („ustanovenia o otvorení“) (rozsudok zo 4. októbra 2024, Lindenapotheke, C‑21/23 , EU:C:2024:846 , bod 57 a citovaná judikatúra).

48

Je pravda, že ustanovenia kapitoly VIII GDPR výslovne neobsahujú takéto ustanovenie o otvorení, ktoré by členským štátom výslovne umožnilo stanoviť možnosť pre dotknutú osobu, ktorá si praje zabrániť prevádzkovateľovi v porušovaní hmotnoprávnych ustanovení tohto nariadenia, podať žalobu s cieľom získať príkaz voči tomuto prevádzkovateľovi, aby sa držal konania v tomto zmysle. Normotvorca Únie však nemal v úmysle vykonať vyčerpávajúcu harmonizáciu prostriedkov nápravy dostupných v súvislosti s porušením ustanovení uvedeného nariadenia, a najmä nechcel vylúčiť dostupnosť takýchto prostriedkov nápravy (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Lindenapotheke, C‑21/23 , EU:C:2024:846 , body 59 a 60 ).

52

S prihliadnutím na všetky predchádzajúce dôvody treba na prvú až tretiu otázku odpovedať tak, že ustanovenia GDPR sa majú vykladať v tom zmysle, že nestanovujú v prospech osoby dotknutej nezákonným spracúvaním osobných údajov v prípade, že táto osoba nepožaduje vymazanie svojich údajov, súdny prostriedok nápravy, ktorý jej umožní preventívne dosiahnuť, aby sa prevádzkovateľovi nariadilo zdržať sa v budúcnosti ďalšieho nezákonného spracúvania. Tieto ustanovenia však nebránia členským štátom stanoviť takýto prostriedok nápravy vo svojich príslušných právnych poriadkoch.

O štvrtej otázke

53

Svojou štvrtou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že pojem „nemajetková ujma“ uvedený v tomto ustanovení zahŕňa negatívne pocity dotknutej osoby, ktoré prežíva v dôsledku neoprávneného prenosu jej osobných údajov tretej strane, ako sú obavy alebo nespokojnosť, ktoré sú spôsobené stratou kontroly nad týmito údajmi, ich možným zneužitím alebo poškodením jej dobrej povesti.

54

V tejto súvislosti Súdny dvor najmä s prihliadnutím na odôvodnenia 75, 85 a 146 GDPR opakovane rozhodol, že samotné porušenie tohto nariadenia nestačí na priznanie práva na náhradu škody podľa jeho článku 82 ods. 1 Existencia „ujmy“, či už majetkovej, alebo nemajetkovej, alebo „ujmy“, ktorú osoba „utrpela“, existencia porušenia ustanovení uvedeného nariadenia, ako aj príčinnej súvislosti medzi touto ujmou a týmto porušením, predstavujú tri kumulatívne, nevyhnutné a dostatočné podmienky tohto práva na náhradu škody. Osoba, ktorá sa domáha náhrady nemajetkovej ujmy na základe tohto článku 82 ods. 1, je tak povinná preukázať nielen porušenie tohto nariadenia, ale aj to, že toto porušenie jej skutočne spôsobilo takúto ujmu [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21 , EU:C:2023:370 , body 32 , 33 , 37 a 42 ; zo 4. októbra 2024, Agencija po vpisvanijata, C‑200/23 , EU:C:2024:827 , body 140 až 142 , ako aj zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23 , EU:C:2024:854 , body 24 a 25 ].

57

V prejednávanej veci vnútroštátny súd uvádza, že žalobca vo veci samej sa v súvislosti s nemajetkovou ujmou, ktorú údajne utrpel z dôvodu porušenia dotknutého GDPR, v podstate odvoláva na „obavu z prenosu údajov tretím stranám pôsobiacim v rovnakom odvetví, na skutočnosť, že sa určitá osoba dozvedela o informáciách, ktoré podliehajú dôvernému zaobchádzaniu, [ako aj] na poníženie v súvislosti s odmietnutím jeho mzdových nárokov a na skutočnosť, že o tom vedia tretie strany“. Tento súd sa pýta, či „negatívne pocity, ako sú napríklad hnev, odpor, nespokojnosť, obavy a strach“, ktoré označuje za súčasť „všeobecného životného rizika“, postačujú na preukázanie existencie „nemajetkovej ujmy“ v zmysle článku 82 tohto nariadenia, alebo či dotknutá osoba musí utrpieť ujmu presahujúcu tieto pocity.

61

V treťom rade Súdny dvor už rozhodol, že obava pociťovaná dotknutou osobou, že jej osobné údaje budú v budúcnosti zneužité v dôsledku porušenia GDPR, môže sama osebe predstavovať „nemajetkovú ujmu“ v zmysle článku 82 ods. 1 tohto nariadenia pod podmienkou, že táto obava je s jej negatívnymi dôsledkami riadne preukázaná, čo prináleží overiť vnútroštátnemu súdu, ktorý vec prejednáva [pozri v tomto zmysle rozsudky z 20. júna 2024, PS (Nesprávna adresa), C‑590/22 , EU:C:2024:536 , body 32 , 35 a 36 , ako aj zo 4. októbra 2024, Agencija po vpisvanijata, C‑200/23 , EU:C:2024:827 , body 143 , 144 a 155 , ako aj citovanú judikatúru].

62

Hoci teda pocity uvedené vnútroštátnym súdom, najmä obava alebo hnev, môžu byť okrem toho súčasťou všeobecného životného rizika, ako uvádza samotný vnútroštátny súd, môžu takéto negatívne pocity predstavovať „nemajetkovú ujmu“ v zmysle článku 82 ods. 1 GDPR, pokiaľ v súlade s požiadavkou príčinnej súvislosti pripomenutou v bode 56 tohto rozsudku dotknutá osoba preukáže, že takéto pocity s ich negatívnymi dôsledkami prežíva práve z dôvodu dotknutého porušenia tohto nariadenia, akým je neoprávnený prenos jej osobných údajov tretej strane, ktorý so sebou nesie riziko ich zneužitia, čo prináleží posúdiť vnútroštátnym súdom, ktoré rozhodujú vo veci.

63

Vo štvrtom a v poslednom rade je tento výklad v súlade so znením článku 82 ods. 1 GDPR v spojení s odôvodneniami 85 a 146 tohto nariadenia, ktoré vyzývajú k širokému chápaniu pojmu „nemajetková ujma“ v zmysle tohto článku 82 ods. 1 Okrem toho je toto chápanie podporené cieľom uvedeného nariadenia, ktorý vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, a spočíva v zabezpečení vysokej úrovne ochrany fyzických osôb pri spracúvaní ich osobných údajov (pozri analogicky rozsudky zo 14. decembra 2023, Gemeinde Ummendorf, C‑456/22 , EU:C:2023:988 , body 19 a 20 , ako aj zo 4. októbra 2024, Agencija po vpisvanijata, C‑200/23 , EU:C:2024:827 , body 144 a 146 ).

V tejto súvislosti z judikatúry Súdneho dvora vyplýva, že vzhľadom na to, že GDPR neobsahuje ustanovenie, ktorého cieľom by bolo vymedziť pravidlá týkajúce sa posúdenia náhrady ujmy z titulu práva zakotveného v článku 82 tohto nariadenia, vnútroštátne súdy musia na tento účel uplatniť vnútroštátne pravidlá príslušného členského štátu týkajúce sa rozsahu peňažnej náhrady pri dodržaní zásad ekvivalencie a efektivity práva Únie [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21 , EU:C:2023:370 , body 54 a 59 , ako aj zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23 , EU:C:2024:854 , bod 32 ].

67

V prejednávanej veci sa vnútroštátny súd pýta, či by sa miera závažnosti zavinenia pôvodcu škody, ktorá je kritériom stanoveným v nemeckom práve na posúdenie peňažnej náhrady nemajetkovej ujmy, mohla uplatniť aj na náhradu nemajetkovej ujmy na základe článku 82 GDPR.

68

Z rozsudkov Súdneho dvora, z ktorých niektoré boli vyhlásené po podaní tohto návrhu na začatie prejudiciálneho konania, vyplýva, že na túto piatu otázku treba odpovedať záporne.

69

72

Presnejšie, výlučne kompenzačná funkcia práva na náhradu ujmy stanoveného v článku 82 ods. 1 nariadenia GDPR bráni tomu, aby sa na účely náhrady ujmy na tomto základe zohľadňoval stupeň závažnosti a prípadná úmyselná povaha porušenia tohto nariadenia, ktorého sa dopustil prevádzkovateľ. Z toho vyplýva, že v rámci tohto ustanovenia postoj a motiváciu prevádzkovateľa nemožno zohľadniť s cieľom prípadne priznať dotknutej osobe nižšiu náhradu v porovnaní s ujmou, ktorú v konkrétnom prípade utrpela, či už ide o sumu, alebo formu tejto náhrady (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23 , EU:C:2024:854 , body 42 až 45 a citovanú judikatúru).

73

S prihliadnutím na vyššie uvedené dôvody treba na piatu otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že bráni tomu, aby sa na účely posúdenia náhrady nemajetkovej ujmy podľa tohto článku zohľadnila miera závažnosti zavinenia prevádzkovateľom.

O šiestej otázke

74

77

V tejto súvislosti treba pripomenúť, ako je uvedené v bode 66 tohto rozsudku, že GDPR neobsahuje ustanovenia vymedzujúce pravidlá na určenie výšky náhrady škody podľa článku 82 tohto nariadenia, v dôsledku čoho vnútroštátne súdy musia na tento účel uplatniť vnútroštátne pravidlá každého členského štátu týkajúce sa rozsahu peňažnej náhrady, pod podmienkou dodržania zásad ekvivalencie a efektivity práva Únie.

78

Konkrétne treba zdôrazniť, že kritériá na posúdenie náhrady škody, ktorá sa má nahradiť v rámci žalôb určených na zabezpečenie ochrany práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z článku 82 GDPR, čo sú kritériá stanovené v rámci právneho poriadku každého členského štátu, musia umožniť zabezpečiť úplnú a účinnú náhradu škody spôsobenej dotknutej osobe v dôsledku porušenia tohto nariadenia (pozri v tomto zmysle rozsudky zo 4. októbra 2024, Agencija po vpisvanijata, C‑200/23 , EU:C:2024:827 , bod 152 , a zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23 , EU:C:2024:854 , bod 34 , ako aj citovanú judikatúru).

79

Súdny dvor už pripustil, že v medziach vyplývajúcich zo zásady efektivity môžu určité okolnosti ovplyvniť posúdenie náhrady škody podľa článku 82 GDPR, najmä s cieľom obmedziť túto náhradu škody. Rozhodlo sa, že v prípade neexistencie vážnosti ujmy spôsobenej dotknutej osobe môže priznať minimálnu náhradu, pokiaľ takto priznaná nízka výška náhrady môže v plnom rozsahu kompenzovať túto ujmu, čo prináleží overiť tomuto súdu. Rovnako ospravedlnenie môže predstavovať primeranú náhradu nemajetkovej ujmy na základe tohto článku 82, najmä ak nemožno obnoviť stav, ktorý existoval pred vznikom tejto ujmy, pokiaľ je táto forma náhrady, ak je stanovená vnútroštátnym právom, spôsobilá v plnom rozsahu kompenzovať uvedenú ujmu (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23 , EU:C:2024:854 , body 35 až 37 , ako aj citovanú judikatúru).

83

S prihliadnutím na vyššie uvedené dôvody treba na šiestu otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že bráni tomu, aby sa na účely zníženia rozsahu peňažnej náhrady nemajetkovej ujmy podľa tohto článku, či dokonca nahradenia tejto náhrady škody, zohľadnila okolnosť, že dotknutá osoba dosiahla podľa uplatniteľného vnútroštátneho práva vydanie príkazu zdržať sa opakovania porušenia tohto nariadenia, ktorý je vykonateľný voči prevádzkovateľovi.

O trovách

84

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (štvrtá komora) rozhodol takto:

sa má vykladať v tom zmysle, že:

pojem „nemajetková ujma“ uvedený v tomto ustanovení zahŕňa negatívne pocity dotknutej osoby, ktoré prežíva v dôsledku neoprávneného prenosu jej osobných údajov tretej strane, ako sú obavy alebo nespokojnosť, ktoré sú spôsobené stratou kontroly nad týmito údajmi, ich možným zneužitím alebo poškodením jej dobrej povesti za predpokladu, že dotknutá osoba preukáže, že takéto pocity s ich negatívnymi dôsledkami prežíva práve z dôvodu dotknutého porušenia tohto nariadenia.

3.

Článok 82 ods. 1 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

bráni tomu, aby sa na účely posúdenia náhrady nemajetkovej ujmy podľa tohto článku 82 ods. 1 zohľadnila miera závažnosti zavinenia prevádzkovateľa.