C-185/25

proti

TS

[návrh na začatie prejudiciálneho konania, ktorý podal Oberster Gerichtshof (Najvyšší súd, Rakúsko)]

„ Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 4 bod 7 – Pojem ‚prevádzkovateľ údajov‘ – Fyzická osoba konajúca ako vedúci verejného orgánu – Riaditeľ školy – Určenie účelov a prostriedkov spracúvania osobných údajov – Osobné údaje v e‑maile, ktorý poslal riaditeľ školy zo svojej pracovnej e‑mailovej adresy – Článok 15 ods. 1 písm. g) – Právo dotknutej osoby na prístup k ‚akýmkoľvek dostupným informáciám‘, pokiaľ ide o zdroj osobných údajov – Osobné údaje pozostávajúce z názoru na dotknutú osobu – Názor založený na diskusii s treťou stranou – Právo dotknutej osoby na prístup k informáciám o totožnosti tretej strany – Článok 82 – Právo na náhradu škody a zodpovednosť – Škoda pravdepodobne spôsobená porušením práva na prístup – Vylúčenie zodpovednosti riaditeľa školy – Platnosť vylúčenia “

I. Úvod

1. Prejednávaná vec sa týka situácie, ktorá nie je na pracoviskách neobvyklá. Fyzická osoba, ktorá koná ako zamestnanec alebo zástupca súkromnej alebo verejnej právnickej osoby, požiada v osobnom rozhovore tretiu stranu, aby vyjadrila svoj názor na osobu vybranú na obsadenie pozície v rámci tejto právnickej osoby. Po tejto diskusii zamestnanec alebo zástupca pošle zo svojej pracovnej e‑mailovej adresy e‑mail osobe zodpovednej za navrhnutie kandidáta a požiada ju, aby namiesto toho bola navrhnutá iná osoba.

5. V tomto kontexte sa Oberster Gerichtshof (Najvyšší súd, Rakúsko) snaží objasniť pôsobnosť uvedeného ustanovenia. Predbežne si tiež kladie otázku, či osobu ako TS možno považovať za „prevádzkovateľa“ v zmysle článku 4 bodu 7 GDPR. Napokon by chcel vedieť, či nepriaznivé dôsledky vyplývajúce z porušenia povinnosti poskytovať informácie stanovenej v článku 15 ods. 1 GDPR môžu predstavovať „škodu spôsobenú spracúvaním, ktoré bolo v rozpore s [uvedeným] nariadením“, v zmysle článku 82 ods. 2 GDPR a vyvolávať povinnosť prevádzkovateľa zaplatiť náhradu škody. Pýta sa tiež, či v takejto situácii bráni článok 82 GDPR vnútroštátnej právnej úprave, ktorá vylučuje zodpovednosť za takúto škodu v prípade osôb, ktoré konajú ako „výkonní pracovníci“ určitých verejnoprávnych subjektov (ako v prejednávanej veci TS).

II. Právny rámec

A. Právo Európskej únie

6. V odôvodnení 63 GDPR sa uvádza:

„Dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. … Každá dotknutá osoba by preto mala mať právo vedieť a byť informovaná najmä o účeloch spracúvania osobných údajov, podľa možnosti o dobe spracúvania osobných údajov, o príjemcoch osobných údajov, o postupe v každom automatickom spracúvaní osobných údajov a aspoň v prípadoch, v ktorých sa spracúvanie opiera o profilovanie, o následkoch takéhoto spracúvania. … Uvedené právo by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb, ani obchodného tajomstva alebo práv duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru. Výsledkom zohľadnenia týchto skutočností by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe. …“

„Spolková republika, [ spolkové krajiny ], obce, iné verejnoprávne subjekty a inštitúcie sociálneho poistenia – ďalej len ‚právnické osoby‘ – zodpovedajú podľa ustanovení občianskeho práva za škodu na zdraví alebo na majetku spôsobenú protiprávnym konaním osôb, ktoré zavinili pri vykonávaní práva v mene týchto právnických osôb; títo výkonní pracovníci, ktorí vykonávajú právo, nie sú zodpovední voči poškodeným osobám. [Náhrada škody] sa vypláca len v peniazoch.“

11. Podľa § 9 ods. 5 tohto zákona (ktorý patrí do kapitoly II s názvom „Konanie“) „náhradu škody spôsobenej vedúcim pracovníkom právnickej osoby uvedenej v [§] 1 tohto spolkového zákona pri vykonávaní zákona nemôže poškodený uplatniť v štandardnom súdnom konaní“.

III. Skutkový stav, vnútroštátne konanie a prejudiciálne otázky

12. TS, žalovaný vo veci samej, je riaditeľom základnej školy v Rakúsku. V tejto funkcii organizuje programy ďalšieho vzdelávania pre učiteľov školy, ktorí majú zákonnú povinnosť sa ich zúčastňovať.

13. Vysoká škola pedagogická poskytuje predmetné vzdelávacie programy. Konkrétne poskytuje školám organizačných pracovníkov (koordinátorov programov), ktorí sú špeciálne vybraní na uľahčenie realizácie týchto programov.

14. Po tom, ako sa TS dozvedel, že RS, žalobcu vo veci samej, navrhla Vysoká škola pedagogická za koordinátora pripravovaného vzdelávacieho programu pre učiteľov jeho školy, sa v osobnom rozhovore s učiteľom (ďalej len „tretia strana“) zaujímal o povesť RS.

20. Súd prvého stupňa žalobu RS zamietol. Toto rozhodnutie neskôr potvrdil príslušný odvolací súd. Oba súdy dospeli v podstate k záveru, že TS konal ako výkonný pracovník právneho subjektu, ktorý riadi školu, a že mu boli nariadené prostriedky spracúvania osobných údajov (konkrétny server, pracovná e‑mailová adresa). Vzhľadom na tieto prvky dospeli k záveru, že posúdenie TS ako „prevádzkovateľa“ v zmysle GDPR by bolo v rozpore so zákonom o verejnoprávnej zodpovednosti. Odvolací súd dospel ďalej k záveru, že v každom prípade neexistuje povinnosť viesť písomný záznam o mene tretej strany, a teda ani povinnosť zverejniť informácie o totožnosti tejto osoby.

21. RS podal proti rozsudku odvolacieho súdu opravný prostriedok „Revision“ na Oberster Gerichtshof (Najvyšší súd), ktorý je vnútroštátnym súdom predkladajúcim návrh na začatie prejudiciálneho konania.

22. Vzhľadom na pochybnosti o správnom výklade článku 4 bodu 7, článku 15 ods. 1 písm. g) a článku 82 GDPR predkladajúci vnútroštátny súd rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1. Má sa článok 4 bod 7 [GDPR] vykladať v tom zmysle, že fyzická osoba, ktorá pri vykonávaní svojej činnosti s využitím určených prostriedkov, ktoré sú jej k dispozícii, pri spracúvaní osobných údajov nekoná vo vlastnom osobnom záujme, ale ako vedúci organizácie (agentúry alebo iného subjektu bez právnej subjektivity), za ktorou však stojí právnická osoba, je ‚prevádzkovateľom‘, ktorého je možné žalovať na súde?

2a) Má sa článok 15 ods. 1 písm. g) GDPR vykladať v tom zmysle, že v prípade, keď spracúvané údaje spočívajú vo faktickom tvrdení o dotknutej osobe alebo jej hodnotení v e‑maile, zahŕňajú ‚akékoľvek dostupné informácie, pokiaľ ide o ich zdroj‘ len autora e‑mailu, alebo aj skupinu osôb, s ktorými autor hovoril o dotknutej osobe?

25. V odôvodnení 4 GDPR sa zároveň uvádza, že právo na ochranu osobných údajov, ktoré je zakotvené v článku 8 Charty základných práv Európskej únie (ďalej len „Charta“), „nie je absolútne právo“ a „musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami“ vrátane práva na slobodu myslenia a prejavu.

26. Z toho vyplýva, že existujú obmedzenia rôznych práv, ktoré dotknutým osobám vyplývajú z GDPR a ktorých cieľom je, aby právo na ochranu osobných údajov vrátane práva na informácie, ako je stanovené v článku 15 ods. 1 GDPR, malo praktický účinok.

27. Prejednávaná vec sa týka práve hraníc tohto posledného uvedeného práva, konkrétne rozsahu, v akom má dotknutá osoba (v tomto prípade RS, žalobca vo veci samej) právo na prístup k informáciám od prevádzkovateľa o „zdroji“ osobných údajov, ktoré sa jej týkajú, podľa článku 15 ods. 1 písm. g) GDPR. Ak tieto údaje poskytol prevádzkovateľ na základe ústneho rozhovoru s treťou stranou (ako je to vo veci samej), má dotknutá osoba právo na poskytnutie totožnosti tretej strany?

28. Tejto otázke, ktorá v podstate zodpovedá druhej prejudiciálnej otázke, ktorú položil Oberster Gerichtshof (Najvyšší súd), sa budem venovať v časti B nižšie. Predtým však najprv v odpovedi na prvú otázku ozrejmím, či fyzická osoba, ktorá (ako TS) spracúva osobné údaje nie vo svojom osobnom záujme, ale pri výkone svojich povinností ako vedúci organizácie (v danom prípade školy) a prostredníctvom nástrojov, ktoré jej takáto organizácia sprístupnila a predpísala, je „prevádzkovateľom“ v zmysle článku 4 bodu 7 GDPR (časť A).

30. V článku 4 bode 7 GDPR sa opisujú dve situácie, v ktorých „fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt“ môžu byť „prevádzkovateľom“. Podľa druhej vety tohto ustanovenia totiž „možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu“ (prvá situácia).( 11 ) Druhá situácia nastáva vtedy, keď sa po posúdení relevantných skutočností má za to, že daná osoba „[sama] alebo spoločne s inými urč[uje] účely a prostriedky spracúvania“. Súdny dvor naznačil, že na splnenie tohto kritéria musí fyzická alebo právnická osoba skutočne „ovplyvň[ovať] spracovanie osobných údajov“.( 12 ) Z toho vyplýva, že fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt fakticky schopný určiť účely a prostriedky spracúvania, sa teda bude považovať za „prevádzkovateľa“, bez ohľadu na to, či bol (zákonom, zmluvou alebo inak) za prevádzkovateľa formálne určený.( 13 )

31. Prvá otázka predkladajúceho vnútroštátneho súdu sa týka tejto druhej situácie. Uvedený súd totiž uvádza, že rakúske právo výslovne označuje riaditeľov základných škôl za „prevádzkovateľov“ len vo vzťahu k osobným údajom žiakov. Konanie vo veci samej sa netýka spracúvania takýchto údajov. Ako som už vysvetlil, týka sa spracúvania osobných údajov osoby (RS), ktorá bola vybraná na koordináciu programu odbornej prípravy pre učiteľov predmetnej školy, riaditeľom základnej školy (TS).

32. Oberster Gerichtshof (Najvyšší súd) uvádza nasledujúce okolnosti ako relevantné pre otázku, či je TS „prevádzkovateľom“ v zmysle článku 4 bodu 7 GDPR: TS konal pri výkone svojich povinností; osobné údaje nespracúval vo svojom osobnom záujme, ale v záujme školy, a to prostredníctvom nástrojov, ktoré mal k dispozícii a ktoré mu boli predpísané (pomocou svojej pracovnej e‑mailovej adresy, školského počítača a osobitne určeného servera).

37. V tomto smere pripomínam, že Súdny dvor rozhodol, že článok 4 bod 7 GDPR definuje pojem „prevádzkovateľ“ široko. Cieľ tejto širokej definície spočíva v súlade s cieľom GDPR v zabezpečení účinnej ochrany základných práv a slobôd fyzických osôb, ako aj najmä vysokej úrovne ochrany práva každej osoby na ochranu osobných údajov, ktoré sa jej týkajú.( 15 )

38. Súdny dvor zároveň zdôraznil, že prevádzkovateľ musí „ na svoje vlastné účely ovplyvň[ovať] spracúvanie takýchto údajov“( 16 ). Z toho vyplýva, že fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene inej osoby, a nie na svoje vlastné účely, nie je „prevádzkovateľom“ v zmysle článku 4 bodu 7 GDPR.

39. Potvrdzuje to odôvodnenie 74 uvedeného nariadenia, v ktorom sa stanovuje, že povinnosti a zodpovednosť prevádzkovateľa sú rovnaké v súvislosti s „akýmkoľvek spracúvaním osobných údajov, ktoré vykonáva sám alebo ktoré sa vykonáva v jeho mene “( 17 ), ako aj judikatúra Súdneho dvora k jeho článku 29, v ktorom sa uvádza, že „každá osoba konajúca na základe poverenia prevádzkovateľa…, môže spracúvať tieto údaje len na základe pokynov prevádzkovateľa…“. Súdny dvor z tohto ustanovenia vyvodil, že prevádzkovateľ sa nemôže zbaviť zodpovednosti len z dôvodu, že táto škoda bola spôsobená protiprávnym konaním osoby konajúcej na základe jeho poverenia.( 18 )

40. Okrem toho, ako uviedol predkladajúci vnútroštátny súd vo svojom návrhu na začatie prejudiciálneho konania, judikatúra Súdneho dvora obsahuje viaceré príklady, v ktorých predmetné osobné údaje spracúvala fyzická osoba v mene právnickej osoby a v ktorých sa ale za „prevádzkovateľa“ považovala táto právnická osoba (a nie fyzická osoba).( 19 ) Súdny dvor najmä rozhodol, že právnické osoby (ako sú spoločnosti) sú zodpovedné nielen za porušenia GDPR, ktorých sa dopustili ich zástupcovia, riadiaci pracovníci alebo manažéri, ale aj akákoľvek iná osoba konajúca v rámci obchodnej činnosti týchto právnických osôb a v ich mene.( 20 ) Podľa môjho názoru sa to isté prirodzene vzťahuje na akýkoľvek „orgán verejnej moci, agentúru alebo iný subjekt“, ak použijem pojmy použité v článku 4 bode 7 GDPR.

45. Na základe vyššie uvedených úvah navrhujem Súdnemu dvor, aby na prvú otázku odpovedal záporne. Vzhľadom na túto odpoveď sa domnievam, že nie je potrebné, aby Súdny dvor odpovedal na druhú až štvrtú otázku, ktoré sa týkajú povinností podľa článku 15 ods. 1 písm. g) a článku 82 GDPR, ktoré by sa vzťahovali na fyzickú osobu ako TS, ak by bola „prevádzkovateľom“ v zmysle článku 4 bodu 7 uvedeného nariadenia.( 25 ) Domnievam sa, že to platí bez ohľadu na to, že tieto otázky nie sú výslovne formulované tak, že by záviseli od odpovede na prvú otázku.( 26 )

46. Ak by však Súdny dvor zaujal iný názor, a pre úplnosť, zameriam sa teraz na vecné záležitosti, ktoré sú uvedené v druhej až štvrtej otázke.

B. Rozsah práva na informácie o zdroji osobných údajov [článok 15 ods. 1 písm. g) GDPR] (otázka 2)

47. Druhá prejudiciálna otázka sa skladá z dvoch častí: V prvej časti sa predkladajúci vnútroštátny súd pýta, či v prípade, ak osobné údaje, ktoré boli spracúvané, pozostávajú zo skutkového tvrdenia alebo hodnotiaceho posúdenia dotknutej osoby v e‑maile, má sa článok 15 ods. 1 písm. g) GDPR vykladať v tom zmysle, že „akékoľvek dostupné informácie, pokiaľ ide o… zdroj“ týchto údajov, sa vzťahujú len na totožnosť autora e‑mailu, alebo sa vzťahujú aj na totožnosť osôb, s ktorými autor (ústne) diskutoval o dotknutej osobe a na ktorých názore je takéto skutkové tvrdenie alebo hodnotiace posúdenie založené.

48. V kontexte uvedenej otázky pripomínam, že vo veci samej RS tvrdí, že by mal mať na základe článku 15 ods. 1 písm. g) GDPR nárok od TS, (ktorého považuje za „prevádzkovateľa“ v zmysle článku 4 bodu 7 uvedeného nariadenia), zistiť totožnosť tretej strany (s ktorou TS diskutoval o povesti RS), keďže túto tretiu stranu treba považovať za „zdroj“ osobných údajov – názoru týkajúceho sa RS – obsiahnutých v predmetnom e‑maile.

53. „Zdroj“ niečoho je v bežnom význame vymedzený ako „osoba, miesto alebo vec, od ktorej alebo z ktorého sa to získava“( 29 ). Preto sa pri informáciách, ktoré sa musia poskytnúť podľa článku 15 ods. 1 písm. g) GDPR, treba pozrieť na pôvod týchto osobných údajov. Okrem toho, keďže článok 15 ods. 1 písm. g) GDPR sa uplatňuje len vtedy, „ak sa osobné údaje nezískali od dotknutej osoby“, je zrejmé, že „zdrojom“ podľa tohto ustanovenia nemôže byť samotná dotknutá osoba.

54. Pokiaľ ide o kontext článku 15 ods. 1 písm. g) GDPR, konštatujem, že pojem „zdroj“ sa vyskytuje aj v článku 14 ods. 2 písm. f) uvedeného nariadenia, v ktorom sa stanovuje právo získať od prevádzkovateľa informácie o tom, „z akého zdroja pochádzajú osobné údaje“( 30 ), ak neboli získané od samotnej dotknutej osoby. To podľa môjho názoru potvrdzuje, že pojem „zdroj“ v článku 15 ods. 1 písm. g) GDPR znamená pôvod osobných údajov.

55. Napokon, pokiaľ ide o ciele GDPR, je dôležité pripomenúť, že článok 15 GDPR „dopĺňa rámec transparentnosti zavedený týmto nariadením tým, že dotknutej osobe priznáva právo na prístup k jej osobným údajom a právo na informácie o spracúvaní týchto údajov“( 31 ).

56. Cieľom odseku 1 písm. a) až h) uvedeného článku je dosiahnuť účinnosť tohto práva. Tým, že toto ustanovenie stanovuje, že dotknutá osoba má nárok na informácie o spracúvaní svojich osobných údajov, umožňuje jej posúdiť správnosť osobných údajov a zákonnosť spracúvania, ako aj účinne uplatniť súvisiace práva stanovené v uvedenom nariadení, okrem iného právo na opravu, vymazanie (tzv. právo na zabudnutie), obmedzenie spracúvania a námietku( 32 ) – pričom všetky majú za cieľ posilniť „kontrolu“ dotknutej osoby nad jej osobnými údajmi.( 33 )

60. Súhlasím. Podľa môjho názoru však k takémuto záveru možno dospieť len za predpokladu, že názor („hodnotenie“) alebo skutkové tvrdenie týkajúce sa dotknutej osoby v predmetnom e‑maile možno skutočne pripísať autorovi tohto e‑mailu. V tomto smere súhlasím s Komisiou, že skutočnosť, že autor v e‑maile odkazuje na názory iných osôb týkajúce sa dotknutej osoby, je irelevantná, pokiaľ predmetné osobné údaje (teda názor alebo skutkové tvrdenie) možno stále pripísať samotnému autorovi a neznamenajú len citáciu týchto názorov. V druhom uvedenom prípade sa domnievam, že „zdrojom“ osobných údajov (názoru) by bola tretia strana alebo strany, ktorých názory sa citujú, a nie autor e‑mailu.

61. V danom prípade je úlohou predkladajúceho vnútroštátneho súdu, aby na základe skutočností, ktoré mu boli predložené, určil, či názor („hodnotenie“) týkajúci sa RS obsiahnutý v predmetnom e‑maile možno skutočne pripísať TS, alebo či naopak pozostáva len z názorov, ktoré voči TS predtým vyjadrila tretia strana (konkrétne ten iný učiteľ, s ktorým TS o RS diskutoval) a ktoré TS v e‑maile jednoducho reprodukoval alebo citoval, ako to zrejme tvrdí RS.( 37 ) Ak by uvedený súd rozhodol, že názor o RS v predmetnom e‑maile možno pripísať TS, potom sa domnievam – v zhode s Komisiou a talianskou vládou – že právo RS na informácie o „zdroji“ tohto názoru podľa článku 15 ods. 1 písm. g) GDPR nemôže pokrývať získanie informácií týkajúcich sa takejto tretej strany, keďže za „zdroj“ predmetného názoru možno považovať len TS.

62. Predkladajúci vnútroštátny súd si však kladie otázku, či zo skutočnosti, že článok 15 ods. 1 písm. g) GDPR odkazuje nielen na „zdroj“ príslušných osobných údajov, ale aj na „akékoľvek dostupné informácie, pokiaľ ide o [tento] zdroj“, vyplýva, že aj ak je „zdrojom“ názoru alebo skutkového tvrdenia týkajúceho sa dotknutej osoby v e‑maile autor tohto e‑mailu, dotknutá osoba má nárok získať informácie o prvkoch alebo osobách, ktoré prispeli k vytvoreniu takéhoto názoru alebo k formulácii takéhoto skutkového tvrdenia autorom (ako je napríklad totožnosť tretej strany, s ktorou autor viedol ústny rozhovor).

65. Po tretie, ako už bolo uvedené v bodoch 25 a 26 vyššie, v odôvodnení 4 GDPR sa jasne uvádza, že právo na ochranu osobných údajov v každom prípade „nie je absolútne právo“ a „musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami“ vrátane práva na slobodu myslenia a prejavu. To isté platí aj pre rôzne práva, ktoré dotknutým osobám z GDPR vyplývajú a ktorých cieľom je dodať právu na ochranu osobných údajov praktický účinok, ako je napríklad právo na prístup k osobným údajom stanovené v článku 15 GDPR,( 39 ) ktoré by podľa Súdneho dvora nemalo mať nepriaznivý vplyv na práva alebo slobody iných osôb.( 40 ) Je samozrejmé, že podobné vyvažovanie sa musí vykonať aj vo vzťahu k právu na informácie o zdroji osobných údajov podľa článku 15 ods. 1 písm. g) GDPR.

66. V tejto súvislosti je podľa mňa zrejmé, že poskytnutie totožnosti tretej strany, ktorá sama nie je „zdrojom“ príslušných osobných údajov (v tomto prípade názoru alebo skutkového tvrdenia týkajúceho sa dotknutej osoby v e‑maile), ale ktorá len prispela k vytvoreniu takéhoto názoru alebo k formulácii takéhoto tvrdenia autorom e‑mailu po ústnom rozhovore s ňou, by neprimerane narušilo rovnováhu v prospech dotknutej osoby tým, že by nepriaznivo ovplyvnilo mnohé práva alebo slobody tretej strany, najmä jej právo na slobodu myslenia a prejavu( 41 ) alebo právo na súkromie a rešpektovanie komunikácie.( 42 )

67. Z týchto úvah vyplýva, že ak je „zdrojom“ názoru („hodnotenia“) alebo skutkového tvrdenia týkajúceho sa dotknutej osoby v e‑maile samotný autor e‑mailu, dotknutá osoba nemá podľa článku 15 ods. 1 písm. g) GDPR nárok na informácie o prvkoch alebo osobách (ako je totožnosť tretej strany, s ktorou autor viedol ústny rozhovor), ktoré prispeli k vytvoreniu takéhoto názoru alebo k formulovaniu takéhoto skutkového tvrdenia autorom.

71. V tomto zmysle predstavuje skutočnosť, že predmetná tretia strana nemohla predvídať, že jej vyhlásenia budú predmetom spracúvania, relevantný faktor. Naznačuje to totiž, že tretia strana sa zúčastnila na rozhovore, o ktorom predpokladala, že je dôverný alebo súkromný, a o ktorého obsahu, ako aj o skutočnosti, že sa na ňom zúčastnila, nepredpokladala, že bude poskytnutý dotknutej osobe na základe ustanovení GDPR. Podľa môjho názoru by v takejto situácii bolo nutné klásť osobitný dôraz na dôležitosť rešpektovania práva tretej strany na slobodu myslenia a prejavu( 43 ) a na súkromie a rešpektovanie komunikácie.( 44 )

72. Navyše nechápem, ako by aj v prípade, že názor alebo vyhlásenie týkajúce sa dotknutej osoby v e‑maile pozostáva len z reprodukcie alebo citácie názorov, ktoré predtým ústne vyjadrila tretia strana, mohlo získanie informácií o totožnosti tejto strany („zdroja“) na základe uplatnenia článku 15 ods. 1 písm. g) GDPR prispieť k splneniu cieľa, ktorému toto ustanovenie slúži, ktorým je, ako som už pripomenul v bode 57 vyššie, umožniť dotknutej osobe zabezpečiť okrem iného správnosť jej osobných údajov. Názory sú totiž svojou podstatou bytostne subjektívne. To znamená, že na rozdiel od faktických tvrdení sa ich presnosť alebo správnosť ťažko overuje.( 45 )

C. Právo na náhradu škody podľa článku 82 GDPR za porušenie článku 15 ods. 1 GDPR (otázka 3)

73. Treťou otázkou sa predkladajúci vnútroštátny súd pýta, či nepriaznivé dôsledky, ktoré dotknutá osoba utrpela v dôsledku porušenia povinnosti prevádzkovateľa poskytnúť informácie stanovenej v článku 15 ods. 1 GDPR [v danom prípade povinnosti poskytnúť informácie o „zdroji“ získaných osobných údajov podľa písmena g) uvedeného článku] predstavujú „škodu spôsobenú spracúvaním, ktoré bolo v rozpore s [uvedeným] nariadením“, v zmysle článku 82 ods. 2 GDPR, čo zakladá zodpovednosť prevádzkovateľa a zodpovedajúcu povinnosť prevádzkovateľa nahradiť dotknutej osobe škodu.

75. Keď sa teraz vrátim k výkladu článku 82 GDPR, vychádzam z toho, že pochybnosti predkladajúceho vnútroštátneho súdu týkajúce sa výkladu uvedeného ustanovenia vyplývajú zo skutočnosti, že povinnosť poskytnúť informácie stanovená v článku 15 ods. 1 uvedeného nariadenia vzniká až po tom , ako došlo k príslušnému spracovaniu osobných údajov,( 47 ) ako aj v prípade, že k spracúvaniu v skutočnosti vôbec nedošlo ,( 48 ) zatiaľ čo článok 82 ods. 2 GDPR odkazuje na „škodu spôsobenú spracúvaním …“( 49 ). Vzhľadom na toto znenie by bolo možné vychádzať z toho, ako to zrejme urobil uvedený súd, že právo na náhradu škody stanovené v článku 82 uvedeného nariadenia vzniká len v súvislosti so škodou spôsobenou spracúvaním v rozpore s GDPR, a nie v súvislosti so škodou vyplývajúcou z porušenia povinnosti stanovenej v uvedenom nástroji, ku ktorému, podobne ako v prípade povinnosti poskytnúť informácie stanovenej v jeho článku 15 ods. 1, dochádza po takomto spracúvaní alebo bez ohľadu naň .

76. Podľa môjho názoru je však jasné, že právo na náhradu škody stanovené v prvom uvedenom ustanovení pokrýva aj škodu spôsobenú porušením tejto povinnosti.

77. Po prvé so zreteľom na legislatívnu históriu článku 82 GDPR pripomínam, že zodpovedajúce ustanovenie jeho predchodcu, článku 23 smernice 95/46, odkazovalo na „škodu ako dôsledok nezákonnej operácie spracovania alebo akéhokoľvek činu nezlúčiteľného s prijatými vnútroštátnymi predpismi na základe [smernice 95/46]“. Je zrejmé, že normotvorca EÚ nemal pri prijímaní GDPR v úmysle znížiť úroveň ochrany poskytovanú dotknutým osobám v porovnaní s ochranou, ktorá im bola poskytovaná podľa smernice 95/46, práve naopak.( 50 )

82. Vzhľadom na tieto prvky sa domnievam, že odkaz na „škodu spôsobenú spracúvaním“ v článku 82 ods. 2 GDPR nemožno vykladať tak, že obmedzuje rozsah práva na náhradu škody stanoveného v článku 82 ods. 1 uvedeného nariadenia len na takúto škodu. K podobnému záveru dospel aj generálny advokát Szpunar v návrhoch vo veci Brillen Rottler( 54 ), kde označil odsek 2 článku 82 GDPR za „doplňujúce pravidlo“, a nie za obmedzenie odseku 1 uvedeného článku.

83. Navyše, v nedávno vydanom rozsudku v uvedenej veci( 55 ) Súdny dvor výslovne rozhodol, že keďže článok 82 ods. 1 GDPR neobsahuje odkaz na „spracúvanie“, „právo na náhradu škody nemožno obmedziť na ujmu vyplývajúcu zo spracovania osobných údajov“.( 56 )

84. Súdny dvor v tomto rozsudku tiež pripomenul, že článok 82 ods. 1 GDPR sa nachádza v kapitole VIII uvedeného nariadenia, ktorá upravuje prostriedky nápravy, pravidlá zodpovednosti a sankcie na ochranu týchto práv, a že ho treba vykladať v spojení s odôvodnením 141 GDPR, ktoré stanovuje, že každá dotknutá osoba by mala mať v súlade s článkom 47 Charty právo na účinný súdny prostriedok nápravy, „ak sa domnieva, že boli porušené jej práva podľa [uvedeného] nariadenia“( 57 ). Súdny dvor dodal, že to zahŕňa právo dotknutej osoby na prístup k jej osobným údajom podľa článku 15 ods. 1 GDPR. Toto právo spolu s ostatnými právami, ktoré dotknutým osobám priznáva článok 15 uvedeného nariadenia, vrátane práva na získanie informácií uvedených v odseku 1 písm. a) až h), musí byť teda chránené článkom 82 GDPR, ktorý sa preto má vykladať tak, že sa vzťahuje na škody vyplývajúce z porušenia týchto práv.

88. Prejdem teraz k štvrtej otázke, ktorou sa predkladajúci vnútroštátny súd v prípade kladnej odpovede na prvú alebo tretiu otázku pýta, či článok 82 GDPR bráni vnútroštátnej právnej úprave, ktorá stanovuje, že osoby konajúce ako „výkonní pracovníci“ – teda v mene – určitých verejných právnických osôb nemôžu byť zodpovedné za škodu, ktorú spôsobia dotknutým osobám ako prevádzkovatelia alebo sprostredkovatelia.

89. Táto otázka sa kladie v súvislosti s určitými osobitosťami rakúskeho práva, konkrétne s tými, ktoré sú uvedené v § 1 zákona o zodpovednosti orgánov verejnej moci, ktorý stanovuje, že osoby konajúce ako „výkonní pracovníci“ spolkovej vlády, spolkových krajín , obcí, iných verejnoprávnych korporácií a inštitúcií sociálneho zabezpečenia nie sú pri výkone práva zodpovedné za škodu, ktorú spôsobia akejkoľvek osobe svojím protiprávnym konaním. V dôsledku toho nemožno voči takýmto osobám uplatniť nárok na náhradu škody podľa článku 82 GDPR.( 63 )

90. V danom prípade vychádzam z toho, že TS ako riaditeľ základnej školy v Rakúsku musí byť považovaný za osobu konajúcu ako „výkonný pracovník“ príslušnej spolkovej krajiny (keďže podľa rakúskeho práva školy nemajú právnu subjektivitu, a preto nemôžu byť žalované). Z § 1 zákona o zodpovednosti orgánov verejnej moci vyplýva, že aj keby TS spĺňal všetky podmienky potrebné na to, aby bol „prevádzkovateľom“ v zmysle článku 4 bodu 7 GDPR, pokiaľ ide o spracúvanie osobných údajov, o ktoré ide vo veci samej (čo, ako som vysvetlil, podľa môjho názoru nie je pravda), RS by voči nemu nemohol uplatniť nárok na náhradu škody podľa článku 82 uvedeného nariadenia, pokiaľ ide o škodu údajne spôsobenú porušením jeho článku 15 ods. 1 písm. g) zo strany TS. Predkladajúci vnútroštátny súd si kladie otázku, či je takéto vnútroštátne ustanovenie v rozpore s článkom 82 GDPR.

96. Podľa môjho názoru preto nezáleží na tom, či kompenzáciu vypláca priamo prevádzkovateľ alebo spracovateľ, alebo verejná právnická osoba, ktorá takúto osobu zamestnáva, alebo je za ňu zodpovedná. Dôležité je, aby bola škoda, ktorú dotknutá osoba skutočne utrpela v dôsledku porušenia GDPR, v plnej výške nahradená.

97. Tento záver nie je ovplyvnený porovnaním článku 82 GDPR a jeho článku 83 ods. 7, ktorý členským štátom výslovne ponecháva priestor na určenie rozsahu, v akom možno uložiť správne pokuty orgánom verejnej moci a verejnoprávnym subjektom. Podľa RS sa absencia akéhokoľvek podobného priestoru na úvahu v článku 82 GDPR môže vykladať len tak, že členské štáty nesmú orgány verejnej moci a subjekty, a teda ani výkonných pracovníkov, oslobodiť od nárokov na náhradu škody podľa súkromného práva.

98. Toto tvrdenie však prehliada skutočnosť, že články 82 a 83 GDPR sledujú odlišné ciele.( 67 ) Prvé uvedené ustanovenie má výlučne kompenzačnú funkciu (inými slovami, týka sa náhrady škody, ktorú dotknutá osoba utrpela), zatiaľ čo to druhé slúži na represívny účel.( 68 ) Domnievam sa, že vzhľadom na tento represívny účel musia byť správne pokuty v zásade priamo „viazané“ na predmetného prevádzkovateľa alebo sprostredkovateľa.

99. Okrem toho, ako je vysvetlené v bode 91 vyššie, vnútroštátne ustanovenie, akým je § 1 zákona o zodpovednosti orgánov verejnej moci, len prenáša zodpovednosť za náhradu škody z osoby konajúcej v mene právnickej osoby na predmetnú právnickú osobu.( 69 ) Naopak, ak členský štát stanoví pravidlá na základe článku 83 ods. 7 uvedeného nariadenia, môže ukladanie správnych pokút svojim orgánom verejnej moci a verejnoprávnym subjektom úplne vylúčiť.

i Názov tejto veci je fiktívny. Nezodpovedá skutočnému menu ani názvu žiadneho z účastníkov konania.

2 Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1) (ďalej len „GDPR“).

3 Pozri článok 4 ods. 1 GDPR.

4 Tamže.

5 Pozri odôvodnenie 7 GDPR.

6 Pozri odôvodnenie 11 GDPR.

13 Pozri v tejto súvislosti aj „Usmernenia 07/2020 k pojmom prevádzkovateľ a sprostredkovateľ podľa všeobecného nariadenia o ochrane údajov“ Európskeho výboru pre ochranu údajov (EDPB), verzia 2.0, prijaté 7. júla 2021 (ďalej len „usmernenia EDPB 07/2020“, dostupné na: https://www.edpb.europa.eu/system/files/2023‑10/edpb_guidelines_202007_controllerprocessor_final_sk.pdf), s. 3 a body 21 a 25 až 27.

14 Pozri rozsudok zo 4. októbra 2024, Bezirkshauptmannschaft Landeck (Pokus o prístup k osobným údajom uloženým v mobilnom telefóne) (C‑548/21, EU:C:2024:830, bod 41 a citovaná judikatúra).

15 Pozri rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, bod 29).

16 Tamže, bod 30.

17 Kurzívou zvýraznil generálny advokát.

18 Pozri rozsudok z 11. apríla 2024, juris (C‑741/21, EU:C:2024:288, body 47 až 49).

25 Pozri v tomto smere návrhy, ktoré som predniesol vo veci Lindenberg (C‑205/25, EU:C:2026:312, ďalej len „moje návrhy vo veci Lindenberg“), v bode 49 ktorých uvádzam, že článok 15 GDPR možno uplatniť len voči prevádzkovateľovi.

26 To platí aj pre štvrtú otázku, ktorá je položená len „v prípade kladnej odpovede na otázku 1 alebo 3“ (kurzívou zvýraznil generálny advokát).

27 Pozri v tomto zmysle rozsudky z 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, bod 34), k pojmu „osobné údaje“, ako bol vymedzený v článku 2 písm. a) smernice 95/46, a z 2. decembra 2025, Russmedia Digital a Inform Media Press (C‑492/23, EU:C:2025:935, bod 49). Pozri v tomto zmysle aj „Usmernenia 01/2022 k právam dotknutých osôb – Právo na prístup“ EDPB, verzia 2.1, prijaté 28. marca 2023 (ďalej len „usmernenia EDPB 01/2022“, dostupné na : https://www.edpb.europa.eu/our‑work‑tools/our‑documents/guidelines/guidelines‑012022‑data‑subject‑rights‑right‑access_sk), bod 96.

28 Pozri rozsudok z 19. marca 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, bod 24 a citovaná judikatúra).

29 Pozri definíciu pojmu „source“ uvedenú v online verzii slovníka Collins Dictionary, ktorá je k dispozícii na: https://www.collinsdictionary.com/dictionary/english/source. Podľa online verzie Cambridge Dictionary sa pod pojmom „source“ zvyčajne rozumie miesto, odkiaľ niečo pochádza, alebo niekto či niečo, čo poskytuje informácie (https://dictionary.cambridge.org/dictionary/english/source).

30 Kurzívou zvýraznil generálny advokát.

37 RS totiž tvrdí, že ak sú informácie prijaté počas ústneho rozhovoru s treťou stranou reprodukované v e‑maile presne tak, ako boli prijaté (ako je to podľa jeho názoru v konaní vo veci samej), za „zdroj“ osobných údajov obsiahnutých v e‑maile musí byť považovaná samotná tretia strana.

38 Rozsudok z 20. decembra 2017 (C‑434/16, EU:C:2017:994).

39 Pozri odôvodnenie 63 GDPR.

40 Pozri v tomto smere aj rozsudok z 22. júna 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 77).

41 Pozri článok 11 Charty a článok 10 Európskeho dohovoru o ochrane ľudských práv a základných slobôd (ďalej len „EDĽP“).

42 Ako sú chránené podľa článku 7 Charty a článku 8 EDĽP.

49 Kurzívou zvýraznil generálny advokát. Pozri aj článok 82 ods. 4 GDPR a jeho odôvodnenie 146, v ktorom sa spomína „[akákoľvek škoda], ktorú môže osoba utrpieť v dôsledku spracúvania“.

50 Pozri v tomto zmysle aj návrhy, ktoré predniesol generálny advokát Szpunar vo veci Brillen Rottler (C‑526/24, ďalej len „návrhy vo veci Brillen Rottler“, EU:C:2025:723, body 69 až 71).

51 Pozri v tejto súvislosti „Poznámku predsedníctva Rady č. 9565/15“ z 11. júna 2015, „Návrh nariadenia Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe týchto údajov (všeobecné nariadenie o ochrane údajov) – príprava všeobecného smerovania“, k dispozícii na : https://data.consilium.europa.eu/doc/document/ST‑9565‑2015‑INIT/sk/pdf (s. 185).

52 Pozri rozsudok zo 4. októbra 2024, Agencija po vpisvanijata (C‑200/23, EU:C:2024:827, bod 159). Pozri v tomto zmysle aj návrhy vo veci Brillen Rottler, kde generálny advokát v bode 70 vysvetľuje, že článok 82 ods. 2 GDPR zaviedol zodpovednosť sprostredkovateľa, ktorá v článku 23 smernice 95/46 nebola.

53 Kurzívou zvýraznil generálny advokát.

54 Bod 73.

61 Kapitola III GDPR zahŕňa aj právo „kedykoľvek“ namietať proti spracúvaniu osobných údajov (článok 21 GDPR). Na rozdiel od ostatných práv uvedených v uvedenej kapitole sa mi zdá, že toto právo sa musí uplatniť počas spracúvania týchto údajov, pretože v zásade zakladá povinnosť prevádzkovateľa predmetné osobné údaje už nespracúvať .

62 To isté platí aj pre iné povinnosti uložené prevádzkovateľom v kapitole III GDPR, ako sú povinnosti stanovené v článkoch 26 a 30 uvedeného nariadenia, ktorých porušenie nepredstavuje „nezákonné spracúvanie“ (pozri v tomto zmysle rozsudok Brillen Rottler, bod 52 a citovaná judikatúra).

63 Pozri v tomto smere § 9 ods. 5 zákona o zodpovednosti orgánov verejnej moci, ktorého obsah som pripomenul v bode 11 vyššie.

64 Pozri v tomto zmysle KUCSKO‑STADLMAYER, G.: Art. 23 BV‑G. In: KORINEK, K., HOLOUBEK M., et al. (eds.): Österreichisches Bundesverfassungsrecht, Verlag Österreich, 2013. Ústavným základom § 1 zákona o zodpovednosti orgánov verejnej moci je článok 23 Bundes‑Verfassungsgesetz (Spolková ústava; ďalej len „B‑VG“ alebo „Spolková Ústava“).

65 Pozri v tejto súvislosti rozsudky zo 4. októbra 2024 , Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, bod 34 a citovaná judikatúra), a zo 4. septembra 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, bod 78 a citovaná judikatúra).

66 Pozri v tomto zmysle aj odôvodnenie 146 GDPR, v ktorom sa uvádza, že „dotknuté osoby by za utrpenú škodu mali dostať úplnú a účinnú náhradu“.