Soudní dvůr Evropské Unie (SDEU) dne 4. května 2023 uveřejnil několik rozsudků, ve kterých se vyjádřil k některým klíčovým otázkám ochrany osobních údajů.

V rozhodnutí ve věci C-300/21 se SDEU zabýval otázkou náhrady újmy ve spojitosti s porušením ustanovení GDPR. SDEU v prvé řadě vyvrátil tezi, že by k přiznání náhrady újmy podle čl. 82 GDPR mohlo postačovat samotné prokázání porušení tohoto nařízení, bez dalšího. Podle SDEU je naopak nezbytné důsledně rozlišovat mezi sankčními ustanoveními GDPR (zejména čl. 83 a 84 GDPR), jejichž aplikace není podmíněna existencí individuální újmy, a čl. 82 GDPR, který se uplatní pouze v případě skutečně zapříčiněné újmy. 

SDEU dále upřesnil, že vznik nároku na náhradu – v tomto případě nehmotné – újmy podle čl. 82 GDPR není podmíněn dosažením určitého stupně závažnosti újmy. Podmínkou náhrady újmy je ovšem schopnost subjektu údajů dostatečně prokázat v řízení vedeném u příslušného vnitrostátního soudu, že utrpěl skutečnou a určitou citovou újmu. Je tedy důležité pamatovat, že ačkoliv „újma“ ve smyslu GDPR je podle ustálené judikatury SDEU autonomním pojmem unijního práva, tak posuzování, zda subjekt údajů tuto újmu dostatečně prokázal, je vyhrazeno vnitrostátnímu soudu.  

Dále platí, že ačkoliv nezávažnost újmy nezakládá překážku vzniku práva na náhradu újmy, bude mít vliv na výši peněžité náhrady. Náhrada za způsobenou újmu musí podle SDEU představovat „plnou a účinnou náhradu újmy, kterou subjekty údajů utrpěly“, aniž by pro účely takové plné kompenzace bylo nezbytné uložit povinnost k zaplacení sankční náhrady újmy. V případě nehmotné újmy ve formě pouhých obav či rozhořčení se tedy dá očekávat, že peněžitá náhrada újmy zůstane relativně nízká, a to bez ohledu na závažnost porušení nařízení GDPR ze strany správce dat.  

Ve věci C-487/21 se SDEU zabýval rozsahem práva subjektu údajů na získání kopie zpracovávaných osobních údajů ve smyslu čl. 15 GDPR. SDEU judikoval, že tyto kopie musí vykazovat všechny vlastnosti umožňující subjektu údajů účinně uplatňovat svá práva, která mu přiznává GDPR, a musí proto tyto údaje úplně a přesně reprodukovat.

Právo na získání kopie proto může, v závislosti na kontextu, zahrnovat též právo na získání nejen kopie údajů samotných, ale též kopie výpisů z částí dokumentů, z celých dokumentů nebo z databází, které obsahují mimo jiné předmětné údaje, pokud je to nezbytné, aby subjekt údajů mohl účinně uplatňovat práva, která mu nařízení přiznává. V tomto ohledu musí být zohledněna práva a svobody jiných osob, přičemž platí, že čl. 15 GDPR neopravňuje subjekt údajů k získání jiných osobních údajů než svých vlastních.

Tomuto rozhodnutí SDEU jsme se rovněž blíže věnovali zde.

Ve věci C-60/22  SDEU potvrdil, že subjekt údajů má právo na výmaz nebo omezení zpracování jeho údajů v případě, že správce dat zpracovává tyto údaje nezákonně v rozporu s čl. 6 odst. 1 GDPR, nebo v rozporu se základními zásadami zpracování osobních údajů obsaženými v čl. 5 GDPR.  

Naopak porušení povinností společných správců dat (čl. 26 GDPR) nebo povinností o vedení záznamů o činnostech zpracování dat (čl. 30 GDPR) samo o sobě nečiní zpracovávání dat nezákonným, a proto bez dalšího nezakládá právo subjektu údajů na výmaz nebo omezení zpracování dat. SDEU výslovně uvedl, že obdobný závěr lze učinit i ve vztahu k jiným povinnostem správců dat obsaženým v kapitole IV GDPR. Otázka, jaké intenzity musí porušení těchto povinností ze strany správce dosáhnout, aby se již jednalo o porušení základních zásad zpracování osobních údajů ve smyslu čl. 5 GDPR, zůstává i nadále otevřená.

SDEU též výslovně judikoval, že vnitrostátní soud je oprávněn přihlédnout k údajům zpracovávaným správcem dat v rozporu s čl. 26 nebo čl. 30 GDPR i bez dodatečného souhlasu subjektu těchto údajů, jelikož vnitrostátní soud při výkonu svých pravomocí zpracovává údaje ve veřejném zájmu.

Autor: Veronika Odrobinová, Martina Šumavská, Tatiana Podstolná,