C-526/24

62024CC0526

NÁVRHY GENERÁLNEHO ADVOKÁTA

MACIEJ SZPUNAR

prednesené 18. septembra 2025 ( 1 )

Vec C‑526/24

Brillen Rottler GmbH & Co KG

Ak právny poriadok priznáva jednotlivcovi subjektívne právo, výkon tohto práva sa v zásade musí považovať za zákonný. Ak však spôsob, akým sa toto právo vykonáva, nie je zlučiteľný s cieľmi ustanovenia, ktoré ho zakotvuje, právny poriadok môže stanoviť obmedzenia najmä prostredníctvom mechanizmu zneužitia práva ( 2 ).

2.

V tom istom zmysle existuje v práve Únie všeobecná právna zásada, podľa ktorej sa osoby podliehajúce súdnej právomoci nemôžu podvodne alebo zneužívajúcim spôsobom dovolávať právnych noriem Únie, ktorá sa uplatňuje aj v súkromnoprávnych vzťahoch ( 3 ).

3.

Prejednávaná vec sa týka konkrétneho vyjadrenia tejto zásady v sekundárnom práve, konkrétne v rámci private enforcement nariadenia (EÚ) 2016/679 ( 4 ) (ďalej len „GDPR“). Súdny dvor má najmä spresniť obmedzenia výkonu práva na prístup a práva na náhradu škody, ktorých sa dotknutá osoba údajne zneužívajúcim spôsobom dovoláva voči súkromnoprávnemu podniku ako prevádzkovateľovi.

II. Právo Únie: GDPR

…

(60)

Zásady spravodlivého a transparentného spracúvania si vyžadujú, aby dotknutá osoba bola informovaná o existencii spracovateľskej operácie a jej účeloch. Prevádzkovateľ by mal dotknutej osobe poskytnúť všetky ďalšie informácie, ktoré sú potrebné na zaručenie spravodlivého a transparentného spracúvania, pričom sa zohľadnia konkrétne okolnosti a kontext, v ktorom sa osobné údaje spracúvajú…

…

(63)

Dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. … Každá dotknutá osoba by preto mala mať právo vedieť a byť informovaná najmä o účeloch spracúvania osobných údajov, podľa možnosti o období spracúvania osobných údajov, o príjemcoch osobných údajov, o postupe pri každom automatickom spracúvaní osobných údajov a aspoň v prípadoch, v ktorých sa spracúvanie opiera o profilovanie, o následkoch takéhoto spracúvania. …

5.

Podľa článku 4 ods. 2 tohto nariadenia je pojem „spracúvanie“ vymedzený ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“.

6.

Článok 12 uvedeného nariadenia, nazvaný „Transparentnosť informácií, oznámenia a postupy výkonu práv dotknutej osoby“, v odsekoch 1 a 5 stanovuje:

„1. Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania…

…

…“

7.

Článok 15 tohto nariadenia s názvom „Právo dotknutej osoby na prístup k údajom“ vo svojom odseku 1 stanovuje:

„Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom…“

8.

Článok 57 GDPR s názvom „Úlohy“ v odseku 4 stanovuje:

„Členské štáty môžu stanoviť, že akýkoľvek subjekt, organizácia alebo združenie uvedené v odseku 1 tohto článku má v tomto členskom štáte nezávisle od poverenia dotknutej osoby právo podať sťažnosť dotknutému dozornému orgánu, ktorý je príslušný podľa článku 77, a uplatňovať práva uvedené v článkoch 78 a 79, ak sa domnieva, že boli porušené práva dotknutej osoby uvedené v tomto nariadení v dôsledku spracúvania.“

11.

Článok 82 toho istého nariadenia, nazvaný „Právo na náhradu škody a zodpovednosť“, v odsekoch 1 až 3 stanovuje:

„1. Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.

2. Každý prevádzkovateľ, ktorý sa zúčastnil na spracúvaní, je zodpovedný za škodu spôsobenú spracúvaním, ktoré bolo v rozpore s týmto nariadením Sprostredkovateľ zodpovedá za škodu spôsobenú spracúvaním, len ak neboli splnené povinnosti, ktoré sa týmto nariadením ukladajú výslovne sprostredkovateľom, alebo ak konal nad rámec alebo v rozpore s pokynmi prevádzkovateľa, ktoré boli v súlade so zákonom.

3. Prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa odseku 2, ak sa preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.“

Brillen Rottler podala na predkladajúci vnútroštátny súd žalobu, ktorou sa domáhala určenia, že žalovaný vo veci samej nemá nárok na náhradu škody. Tvrdila, že z rôznych on‑line reportáží a blogov advokátov vyplýva, že žalovaný vo veci samej systematicky a zneužívajúcim spôsobom podával žiadosti o prístup s jediným cieľom získať náhradu škody tým, že sa odvolával na porušenie GDPR, ktoré úmyselne spôsobil podľa toho istého modus operandi : prihlásenie sa k odberu informačného bulletinu, podanie žiadosti o prístup a následne uplatnenie nároku na náhradu škody.

15.

Žalovaný podal 25. septembra 2023 na predkladajúci vnútroštátny súd vzájomný návrh, ktorým sa domáhal, aby bola spoločnosti Brillen Rottler uložená povinnosť poskytnúť mu prístup k informáciám týkajúcim sa spracúvania jeho údajov a zaplatiť mu náhradu za spôsobenú nemajetkovú ujmu podľa článku 82 GDPR. Tvrdil, že právo na prístup, ktoré mu priznáva článok 15 tohto nariadenia, možno vykonávať bezpodmienečne a že sa legálne zdržiava v Nemecku, takže má oprávnený záujem na odoberaní informačného bulletinu spoločnosti Brillen Rottler.

16.

Predkladajúci vnútroštátny súd sa domnieva, že vzhľadom na zásadu transparentnosti spracúvania osobných údajov by obmedzenie práva na prístup v prípade prvej žiadosti malo byť naďalej výnimočné a že skutočnosť, že úmyslom žalovaného je následne získať náhradu škody, nemôže byť dostatočným dôvodom odmietnutia. Podľa tohto súdu vzhľadom na riziko, že prevádzkovateľ môže zneužiť túto možnosť odmietnutia, použitie verejných informácií preukazujúcich, že dotknutá osoba je autorom mnohých žiadostí, nemôže samo osebe stačiť na odôvodnenie zamietnutia žiadosti o prístup.

2.

Má sa článok 12 ods. 5 druhá veta [GDPR] vykladať v tom zmysle, že prevádzkovateľ môže zamietnuť žiadosť dotknutej osoby o prístup, ak ju podala s cieľom dosiahnuť od prevádzkovateľa náhradu škody?

3.

Má sa článok 12 ods. 5 druhá veta [GDPR] vykladať v tom zmysle, že zamietnutie žiadosti o prístup je odôvodnené, ak existujú verejne dostupné informácie o dotknutej osobe, z ktorých vyplýva, že v prípade porušenia práva na ochranu údajov dotknutá osoba v mnohých prípadoch uplatňuje svoje právo na náhradu škody voči prevádzkovateľovi?

4.

Má sa článok 4 bod 2 [GDPR] vykladať v tom zmysle, že žiadosť o prístup, ktorú dotknutá osoba podala prevádzkovateľovi podľa článku 15 ods. 1 tohto nariadenia, a/alebo odpoveď na túto žiadosť predstavujú ‚spracúvanie‘ v zmysle článku 4 ods. 2 tohto nariadenia?

8.

V prípade zápornej odpovede na piatu a šiestu otázku: vznikla dotknutej osobe morálna ujma v zmysle článku 82 ods. 1 [GDPR] len z dôvodu straty kontroly nad svojimi osobnými údajmi v dôsledku porušenia článku 15 ods. 1 tohto nariadenia a/alebo v dôsledku neistoty, či jej osobné údaje boli spracúvané, alebo škoda vzniká len v prípade, ak utrpí ďalšie (objektívne alebo subjektívne) obmedzenie a/alebo (citeľnú) ujmu?“

19.

Brillen Rottler, žalovaný vo veci samej, ako aj Európska komisia predložili písomné pripomienky a zúčastnili sa na pojednávaní, ktoré sa konalo 5. júna 2025.

20.

V súlade s požiadavkou Súdneho dvora sa tieto návrhy zamerajú na analýzu prvej až siedmej prejudiciálnej otázky.

22.

Svojou siedmou otázkou sa tento súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že prevádzkovateľ sa nemôže odvolávať na skutočnosť, že dotknutá osoba spôsobila spracúvanie svojich osobných údajov výlučne alebo najmä na účely uplatnenia svojho práva na náhradu škody, aby sa bránil žiadosti dotknutej osoby o prístup z dôvodu zneužitia práv.

23.

Hoci sa táto otázka formálne týka výkladu článku 82 ods. 1 GDPR, domnievam sa, že jej cieľom nie je vykladať podmienky práva na náhradu škody zakotveného v tomto ustanovení. Neodkazuje totiž na žiadnu z týchto podmienok, na rozdiel od štvrtej, piatej, šiestej a ôsmej otázky, ktoré sa týkajú práve uvedeného ustanovenia. Siedma prejudiciálna otázka, tak ako je formulovaná, má podľa môjho názoru za cieľ objasniť, či sa prevádzkovateľ môže odvolávať na neprimeranú povahu žiadosti o prístup v zmysle článku 12 ods. 5 druhej vety tohto nariadenia, ak je zámerom dotknutej osoby „vyvolať“ spracúvanie jej údajov na účely uplatnenia nárokov na náhradu škody.

24.

V dôsledku toho treba konštatovať, že siedmou otázkou predkladajúci vnútroštátny súd poukazuje na modus operandi , ktorý Brillen Rottler namieta voči žalovanému vo veci samej, a to na skutočnosť, že udelil súhlas so spracúvaním jej údajov tým, že sa prihlásil na odber informačného bulletinu, aby mohol podať žiadosť o prístup a následne uplatniť nárok na náhradu škody. Z tohto hľadiska sa táto otázka týka výkladu článku 12 ods. 5 druhej vety GDPR, ktorý je predmetom prvej, druhej a tretej prejudiciálnej otázky.

2. Analýza

a) O neprimeranej povahe prvej žiadosti o prístup

26.

Podľa článku 12 ods. 5 prvej vety GDPR „[i]nformácie poskytnuté podľa článkov 13 a 14 a všetky oznámenia a všetky opatrenia prijaté podľa článkov 15 až 22 a článku 34 sa poskytujú bezplatne“. Ako Súdny dvor uviedol v rozsudku FT (Kópie lekárskeho záznamu) ( 5 ), toto ustanovenie stanovuje zásadu, podľa ktorej najmä výkon práva dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú, a k informáciám, ktoré s týmto spracúvaním súvisia, podľa článku 15 tohto nariadenia, nevyžaduje od dotknutej osoby žiadne poplatky.

27.

Článok 12 ods. 5 druhá a tretia veta GDPR ďalej stanovuje dva dôvody, pre ktoré môže prevádzkovateľ buď účtovať primeraný poplatok zohľadňujúci administratívne náklady, alebo odmietnuť vyhovieť žiadosti o prístup: ak preukáže , že žiadosti dotknutej osoby sú „zjavne neopodstatnené alebo neprimerané najmä pre ich opakujúcu sa povahu“.

31.

V druhom rade pripomínam zásadný význam práva na prístup ustanoveného v článku 15 GDPR na zabezpečenie transparentnosti spôsobov spracúvania osobných údajov, a tým aj výkonu mnohých ďalších práv priznaných dotknutým osobám týmto nariadením ( 8 ). Okrem toho článok 8 ods. 2 druhá veta Charty základných práv zakotvuje zásadu, podľa ktorej „každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu“. Výkon práva na prístup preto nemôže podliehať príliš prísnym podmienkam ( 9 ).

32.

Právo na prístup nevyhnutné na to, aby dotknutá osoba mohla prípadne vykonať svoje právo na opravu, svoje právo na vymazanie („právo na zabudnutie“) a svoje právo na obmedzenie spracúvania, ktoré sú priznané v článkoch 16 až 18 GDPR, ako aj svoje právo namietať proti spracúvaniu svojich osobných údajov stanovené v článku 21 tohto nariadenia a svoje právo na prostriedok nápravy a jej právo na náhradu škody stanovené v článkoch 79 a 82 uvedeného nariadenia ( 10 ).

33.

V treťom rade výnimočná povaha možnosti účtovať primerané poplatky alebo odmietnuť vyhovieť žiadosti o prístup podľa článku 12 ods. 5 druhej vety GDPR je podľa môjho názoru v súlade s účelom tohto nariadenia. Ako sa uvádza v jeho odôvodneniach 10 a 11, cieľom uvedeného nariadenia je nielen zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb v rámci Únie, ako aj posilniť a spresniť nielen práva dotknutých osôb ( 11 ), ale aj povinnosti tých, ktorí osobné údaje spracúvajú a rozhodujú o ich spracúvaní.

Súdny dvor však v tomto rozsudku nespresnil rozsah tohto pojmu. V tejto veci bolo totiž nesporné, že žiadosť o prístup dotknutej osoby nebola zneužívajúca ( 13 ).

37.

Základom pre vydanie rozsudku FT bola žiadosť pacienta, ktorý chcel od svojho stomatológa bezplatne získať prvú kópiu svojho lekárskeho záznamu s cieľom uplatniť zodpovednosť tohto lekára za údajné pochybenia, ktorých sa dopustil pri poskytovaní zdravotnej starostlivosti ( 14 ). Úplne legitímnym zámerom pacienta bolo teda získať prístup k svojim údajom, aby mohol v prípade pochybenia lekára uplatniť práva vyplývajúce zo zmluvy o poskytovaní zdravotnej starostlivosti. Práve v tomto kontexte Súdny dvor na základe doslovného, kontextuálneho a teleologického výkladu článku 12 ods. 5 a článku 15 GDPR dospel k záveru, že nie je potrebné uvádzať jedno z osobitných odôvodnení žiadosti o prístup uvedených v odôvodnení 63 prvej vete tohto nariadenia, a to oboznámiť sa so spracúvaním údajov a overiť jeho zákonnosť ( 15 ).

38.

Hoci teda dotknutá osoba nemôže byť povinná odôvodniť svoju žiadosť o prístup, neznamená to, že zohľadnenie jej úmyslu je vždy vylúčené.

39.

Zneužitie práva je mechanizmus, ktorý funguje za daných okolností konkrétneho prípadu. Predkladajúcemu vnútroštátnemu súdu preto prináleží overiť, či Brillen Rottler vzhľadom na okolnosti prípadu preukázala, že žiadosť o prístup podaná žalovaným vo veci samej je neprimeraná ( 18 ).

43.

Naproti tomu výkladová úloha Súdneho dvora spočíva v tom, aby sa objasnilo, či určité okolnosti spadajú pod všeobecný právny pojem „neprimeraná povaha“.

44.

Predkladajúci vnútroštátny súd sa konkrétne pýta, či prvú žiadosť o prístup možno kvalifikovať ako neprimeranú, ak na jednej strane dotknutá osoba uplatňuje modus operandi spočívajúci v povolení spracúvania jej údajov a následne v podaní žiadosti o prístup výlučne – alebo najmä – na účely uplatnenia náhrady škody a ak na druhej strane z verejne dostupných informácií vyplýva, že v prípade porušenia práva na ochranu údajov dotknutá osoba v mnohých prípadoch uplatnila voči prevádzkovateľovi svoje právo na náhradu škody.

45.

47.

Tým, že sa vráti k právu na prístup a v prvom rade k úmyslu dotknutej osoby „vyvolať“ právo na náhradu škody podaním žiadosti o prístup, poukazujem na to, ako vyplýva z odôvodnenia 63 GDPR, že napríklad podanie žiadosti o prístup k údajom s cieľom overiť, či prevádzkovateľ spracúval údaje nezákonne, môže byť úplne legitímne a v súlade s cieľmi sledovanými článkom 15 GDPR ( 24 ). Okrem toho, ako vyplýva z bodu 32 vyššie, právo na prístup je nevyhnutné na to, aby dotknutá osoba mohla prípadne uplatniť aj svoje právo na náhradu škody.

48.

V druhom rade poznamenávam, že odôvodnenie siedmej prejudiciálnej otázky, pokiaľ ide o úmysel dotknutej osoby „vyvolať“ spracúvanie svojich osobných údajov výlučne – alebo najmä – na účely získania náhrady škody, je veľmi stručné. Toto odôvodnenie skôr poukazuje na hypotézu, podľa ktorej skutočným úmyslom dotknutej osoby, ktorá udelila súhlas so spracúvaním svojich údajov, je „odhaliť“ porušenie GDPR podaním žiadosti o prístup s cieľom následne podať žiadosti o náhradu škody.

49.

Vzhľadom na tento prípad sa podľa môjho názoru zdá, že dotknutá osoba tým, že po udelení súhlasu so spracúvaním svojich údajov podá žiadosť o prístup, v skutočnosti nechce mať prístup k týmto údajom alebo informáciám uvedeným v článku 15 GDPR, ale využiť konfiguráciu práv a povinností vyplývajúcich z tohto nariadenia, ktorá je od začiatku v prospech dotknutých osôb, na iné účely ako ochranu svojich údajov.

53.

V tejto súvislosti poznamenávam, že prevádzkovateľ musí preukázať zneužívajúci úmysel v prípade sporu pred súdom alebo v prípade sťažnosti podanej dozornému orgánu, t. j. po tom, ako odmietol vyhovieť žiadosti dotknutej osoby. V štádiu podania žiadosti o prístup dotknutou osobou však prevádzkovateľ musí posúdiť, či je úmysel osoby, ktorá podáva žiadosť o prístup, prípadne zneužívajúci.

54.

Na účely preukázania zneužívajúceho úmyslu dotknutej osoby vzhľadom na všetky relevantné okolnosti prejednávanej veci by teda prevádzkovateľ mal mať možnosť vychádzať najmä z predmetu žiadosti o prístup, času, ktorý uplynul medzi súhlasom so spracúvaním a touto žiadosťou, počtu a povahy osobných údajov, ktorých sa uvedená žiadosť týka, ako aj činnosti, v rámci ktorej tieto údaje prípadne spracúva ( 27 ).

55.

Vzhľadom na predchádzajúce úvahy navrhujem odpovedať na prvú, druhú, tretiu a siedmu prejudiciálnu otázku tak, že článok 12 ods. 5 druhá veta GDPR sa má vykladať v tom zmysle, že:

1. O poradí analýzy otázok a ich preformulovaní

56.

Na úvod zdôrazňujem, že ak by predkladajúci vnútroštátny súd dospel k záveru, že žiadosť o prístup bola neprimeraná v zmysle článku 12 ods. 5 druhej vety GDPR, Brillen Rottler by bola skutočne oprávnená nevyhovieť tejto žiadosti. V tomto prípade tvrdenie žalovaného vo veci samej založené na porušení článku 15 GDPR s cieľom získať právo na náhradu škody podľa článku 82 tohto nariadenia nemôže uspieť.

57.

Svojou štvrtou otázkou sa predkladajúci vnútroštátny súd pýta, či sa má článok 4 bod 2 GDPR vykladať v tom zmysle, že žiadosť dotknutej osoby o prístup k údajom podaná prevádzkovateľovi podľa článku 15 ods. 1 GDPR a/alebo reakcia na ňu predstavuje „spracúvanie“ v zmysle článku 4 bodu 2 uvedeného nariadenia.

58.

a) O udalosti, ktorá spôsobila škodu v zmysle článku 82 GDPR

61.

Podľa článku 82 ods. 1 GDPR „má každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia , právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa“ ( 28 ).

62.

Súdny dvor opakovane vyložil toto ustanovenie v tom zmysle, že samotné porušenie GDPR nestačí na priznanie práva na náhradu škody dotknutej osobe na tomto základe, keďže toto právo podlieha splneniu troch kumulatívnych podmienok, a to existencie majetkovej alebo nemajetkovej „ujmy“, porušenia ustanovení tohto nariadenia a príčinnej súvislosti medzi touto ujmou a týmto porušením ( 29 ).

63.

Vzhľadom na znenie článku 82 GDPR možno pochopiť, že na rozdiel od toho, čo stanovuje odsek 1 tohto článku, každé porušenie tohto nariadenia nezakladá právo na náhradu škody spôsobenej týmto porušením, ale že škoda musí byť presnejšie spôsobená spracúvaním údajov , ktoré je v rozpore s týmto nariadením, ako sa uvádza v odseku 2 toho istého článku.

67.

Tento výklad sa mi zdá byť v súlade s výkladom, ktorý Súdny dvor uviedol v niekoľkých rozsudkoch, počnúc rozsudkom vo veci Österreichische Post (Nemajetková ujma súvisiaca so spracúvaním osobných údajov) ( 31 ). Chcem však spresniť, že v prípadoch, v ktorých boli vydané tieto rozsudky, došlo skutočne k spracúvaniu údajov dotknutých osôb, takže otázka nevyhnutnosti spracúvania, ktoré spôsobilo ujmu, nebola relevantná.

68.

História, ciele a kontext článku 82 GDPR však podľa môjho názoru smeruje proti reštriktívnemu výkladu pojmu „udalosť, ktorá spôsobila“ škodu ako spracúvanie údajov v rozpore s týmto nariadením, a nie proti akémukoľvek porušeniu tohto nariadenia.

69.

V druhom rade zníženie úrovne ochrany by bolo v rozpore s cieľom GDPR posilniť a spresniť práva dotknutých osôb, najmä posilnením nástrojov na zabezpečenie účinnosti ustanovení tohto nariadenia ( 33 ).

73.

História a cieľ právnej úpravy, ktorej súčasťou je článok 82 GDPR, preto podľa môjho názoru svedčia v prospech výkladu odseku 2 tohto článku nie ako obmedzenia odseku 1, ale ako doplňujúceho pravidla. Podľa môjho názoru teda právo na náhradu škody vzniká, ak spôsobená škoda vyplýva buď zo spracúvania údajov, ktoré porušuje toto nariadenie, alebo z iného porušenia uvedeného nariadenia, pod podmienkou, že sa preukáže existencia takejto škody.

74.

Tento výklad je tiež v súlade so záverom, ktorý Súdny dvor vyvodil z kombinovaného výkladu odsekov 1 až 3 článku 82 GDPR, s ohľadom na kontext, v ktorom sa toto ustanovenie nachádza, a ciele, ktoré sleduje toto nariadenie, a to, že tento článok stanovuje režim zodpovednosti za zavinenie, v ktorom dôkazné bremeno nesie prevádzkovateľ ( 34 ). Keďže podľa môjho názoru článok 82 ods. 2 uvedeného nariadenia dopĺňa odsek 1, odkaz na tento odsek 2 v odseku 3, ktorý kladie dôkazné bremeno na prevádzkovateľa, implicitne zahŕňa aj odkaz na odsek 1. Bez ohľadu na to, či škoda vyplýva z porušenia GDPR alebo konkrétnejšie zo spracúvania, ktoré je v rozpore s týmto nariadením, uplatňujú sa rovnaké pravidlá.

75.

b) O pojme „spracúvanie“ na účely práva na náhradu škody

78.

Vzhľadom na môj návrh odpovede na piatu prejudiciálnu otázku nie je potrebné odpovedať na štvrtú a šiestu prejudiciálnu otázku. Pre prípad, že by sa Súdny dvor nestotožnil s týmto výkladom a domnieval sa, že škoda musela byť nevyhnutne spôsobená spracúvaním údajov, ktoré predstavuje porušenie GDPR, však preskúmam, do akej miery by bola podmienka uvedená v piatej prejudiciálnej otázke ( 38 ) splnená v prípade porušenia práva na prístup v situácii, o akú ide v prejednávanej veci, s cieľom poskytnúť návrh odpovede na tieto dve otázky.

79.

V prvom rade pripomínam, že článok 2 ods. 1 GDPR stanovuje, že toto nariadenie sa vzťahuje na „spracúvanie“ osobných údajov. Je ustálené, že tento pojem, ktorý je definovaný v článku 4 bode 2 uvedeného nariadenia ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov… bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“, má široký rozsah ( 39 ).

80.

V treťom rade zdôrazňujem, že prejednávaná vec sa týka odmietnutia prevádzkovateľa, ktorý spravuje informačný bulletin, na odber ktorého sa žalovaný vo veci samej prihlásil, vyhovieť žiadosti o prístup, ktorú podal. Na účely (kladnej alebo zápornej) odpovede na takúto žiadosť však prevádzkovateľ nevyhnutne použije určité osobné údaje žiadateľa, aspoň fyzickú alebo elektronickú adresu alebo telefónne číslo (v prípade telefonickej/faxovej odpovede) spojené s jeho menom. Použitie týchto údajov predstavuje samostatnú spracovateľskú operáciu, na ktorú sa vzťahuje GDPR ( 40 ).

84.

Domnievam sa však, že škoda nie je spôsobená spracúvaním údajov vykonaným na účely oznámenia tohto odmietnutia, ale neodôvodneným odmietnutím vyhovieť žiadosti o prístup.

85.

Ako správne tvrdí Komisia, právna ochrana práva na prístup, ktorá má v systéme GDPR štrukturálny význam, by teda bola značne obmedzená, ak by takéto porušenie práva na prístup nemohlo viesť k vzniku práva na náhradu škody.

86.

89.

V tejto súvislosti by som chcel poznamenať, že hoci ôsma prejudiciálna otázka nie je predmetom týchto návrhov, Súdny dvor opakovane konštatoval, že strata kontroly nad osobnými údajmi, a to aj počas krátkeho časového obdobia, môže predstavovať nemajetkovú ujmu v zmysle článku 82 ods. 1 GDPR, ktorá zakladá nárok na náhradu škody, pokiaľ dotknutá osoba preukáže, že takáto škoda skutočne vznikla ( 43 ), bez toho, aby sa vyžadovala „prahová hodnota de minimis “ ( 44 ).

90.

Súdny dvor však tiež rozhodol, že ak sa zistila ujma, predkladajúci vnútroštátny súd ju môže v prípade, že nie je závažná, nahradiť priznaním minimálnej náhrady škody dotknutej osobe za predpokladu, že uvedená náhrada môže v plnom rozsahu kompenzovať utrpenú ujmu ( 45 ).

91.

V prejednávanej veci žalovaný vo veci samej požaduje zaplatenie náhrady škody vo výške 1000 eur za spôsobenú nemajetkovú ujmu, ktorá podľa neho vyplýva z údajnej straty kontroly nad osobnými údajmi, ktoré uviedol v registračnom formulári na odber informačného bulletinu spoločnosti Brillen Rottler trinásť dní pred podaním žiadosti o prístup. Predkladajúcemu vnútroštátnemu súdu prináleží posúdiť, či žalovaný vo veci samej preukázal, že toto prípadné porušenie práva na prístup malo na neho negatívne dôsledky a že tieto dôsledky predstavujú nemajetkovú ujmu v zmysle článku 82 GDPR.

–

prvú žiadosť o prístup podanú podľa článku 15 nariadenia 2016/679 prevádzkovateľovi možno kvalifikovať ako „neprimeranú“, ak tento prevádzkovateľ vzhľadom na všetky relevantné okolnosti prejednávanej veci preukáže zneužívajúci úmysel zo strany dotknutej osoby, ktorý možno konštatovať, ak táto osoba vyjadrila súhlas so spracúvaním svojich osobných údajov, aby mohla podať túto žiadosť o prístup a následne uplatniť nárok na náhradu škody,

–

na kvalifikáciu takejto žiadosti ako „neprimeranej“ nepostačuje samotná skutočnosť, že z verejne dostupných informácií vyplýva, že v prípade porušenia práva na ochranu údajov dotknutá osoba v mnohých prípadoch uplatnila svoje právo na náhradu škody voči prevádzkovateľovi.

2.

Článok 82 ods. 1 nariadenia 2016/679

( 5 ) Rozsudok z 26. októbra 2023, (C‑307/22, ďalej len „rozsudok FT, EU:C:2023:811 , bod 31 ).

( 6 ) Pozri v tomto zmysle rozsudok z 30. apríla 2025, Generalstaatsanwaltschaft Frankfurt am Main (Vývoz hotovosti do Ruska) ( C‑246/24 , EU:C:2025:295 , bod 27 a citovanú judikatúru).

( 7 ) Pozri analogicky, pokiaľ ide o článok 57 ods. 4 GDPR, rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti) (C‑416/23, ďalej len „rozsudok Österreichische Datenschutzbehörde, EU:C:2025:3 , body 33 a 48 ).

( 8 ) Pozri v tomto zmysle rozsudok z 22. júna 2023, Pankki S ( C‑579/21 , EU:C:2023:501 , bod 59 ).

( 9 ) Pozri v tomto zmysle návrhy, ktoré predniesol generálny advokát Richard de la Tour vo veci Österreichische Datenschutzbehörde (Neprimerané žiadosti) ( C‑416/23 , EU:C:2024:701 , bod 62 ).

( 10 ) Rozsudok z 27. februára 2025, Dun & Bradstreet Austria ( C‑203/22 , EU:C:2025:117 , bod 54 a citovanú judikatúru).

( 17 ) Súdny dvor už v bode 48 rozsudku Österreichische Datenschutzbehörde analogicky uplatnil výklad uvedený v bode 31 rozsudku FT.

( 18 ) Pokiaľ ide o postúpenie veci vnútroštátnemu súdu, pozri rozsudok z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov) ( C‑154/21 , EU:C:2023:3 , bod 50 ).

( 19 ) Rozsudok Österreichische Datenschutzbehörde (bod 49).

( 20 ) Pozri, napríklad, v prípadoch týkajúcich sa súkromného práva rozsudky z 21. decembra 2023, BMW Bank a i. ( C‑38/21, C‑47/21 a C‑232/21 , EU:C:2023:1014 , body 284 a 285 , ako aj citovanú judikatúru), a z 19. septembra 2024, Matmut ( C‑236/23 , EU:C:2024:761 , bod 54 ).

( 21 ) Pozri návrhy, ktoré som predniesol vo veci Matmut ( C‑236/23 , EU:C:2024:560 , bod 67 ).

( 22 ) Rozsudok Österreichische Datenschutzbehörde (bod 50).

( 29 ) Pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracúvaním osobných údajov) ( C‑300/21 , EU:C:2023:370 , body 32 až 34 ), a najnovšie rozsudok zo 4. októbra 2024, Patērētāju tiesību aizsardzības centrs ( C‑507/23 , EU:C:2024:854 , bod 24 ).

( 30 ) Pozri v tejto súvislosti návrhy, ktoré som predniesol v spojených veciach X a Visser ( C‑360/15 a C‑31/16 , EU:C:2017:397 , bod 132 a nasl.).

( 36 ) Pozri nedávny rozsudok z 30. apríla 2025, Inspektorat kăm Visšia sădeben săvet ( C‑313/23, C‑316/23 a C‑332/23 , EU:C:2025:303 , bod 136 a citovanú judikatúru).

( 37 ) Pozri v tomto zmysle MARTINI, M.: „Article 79“, DSGVO BDSG. In: PAAL, B. P. a PAULY, D. A. (eds.): 3. vydanie, Mníchov 2021, bod 22a.

( 38 ) T. j. podmienka spracúvania osobných údajov dotknutej osoby.

( 39 ) Pozri naposledy rozsudok z 3. apríla 2025, Ministerstvo zdravotnictví (Údaje týkajúce sa zástupcu právnickej osoby) ( C‑710/23 , EU:C:2025:231 , bod 27 ).

( 40 ) Ako správne uviedli predkladajúci vnútroštátny súd a Komisia, spracúvanie osobných údajov dotknutej osoby na účely odpovede na žiadosť o prístup podanú podľa článku 15 GDPR by bolo zákonné v zmysle článku 6 ods. 1 písm. c) a článku 6 ods. 3 tohto nariadenia bez ohľadu na to, či prevádzkovateľ už spracúval údaje tejto osoby. Toto spracúvanie je totiž v zmysle vyššie uvedených ustanovení nevyhnutné na splnenie zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa podľa práva Únie.

( 41 ) Pokiaľ ide o článok 79 GDPR, pozri MARTINI, M.: „Article 79“, DSGVO BDSG. In: PAAL, B. P. a PAULY, D. A. (eds.): 3. vydanie, Mníchov 2021, bod 22a.