–

AT a VX, v zastúpení: O. Leuze, Rechtsanwalt,

–

Gemeinde Ummendorf, v zastúpení: A. Staudacher, Rechtsanwalt,

–

Írsko, v zastúpení: M. Browne, A. Joyce a M. Tierney, splnomocnení zástupcovia, za právnej pomoci D. Fennelly, BL,

–

Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi dvomi fyzickými osobami AT a VX na jednej strane a Gemeinde Ummendorf (obec Ummendorf, Nemecko) na druhej strane vo veci priznania náhrady škody podľa článku 82 ods. 1 GDPR z dôvodu náhrady utrpenej ujmy (pretium doloris), ktorú tieto osoby údajne utrpeli v dôsledku sprístupnenia ich osobných údajov na internetovej stránke tejto obce bez ich súhlasu.

3

Prvá, tretia a šiesta veta odôvodnenia 146 GDPR znejú takto:

„Prevádzkovateľ alebo sprostredkovateľ by mali nahradiť akúkoľvek škodu, ktorú môže osoba utrpieť v dôsledku spracúvania, ktoré je v rozpore s týmto nariadením. … Podľa judikatúry Súdneho dvora by sa mal pojem škody vykladať v širokom zmysle spôsobom, ktorý v plnej miere zohľadňuje ciele tohto nariadenia. … Dotknuté osoby by za utrpenú škodu mali dostať úplnú a účinnú náhradu. …“

4

Článok 5 ods. 1 písm. a) tohto nariadenia s názvom „Zásady spracúvania osobných údajov“ stanovuje:

„Osobné údaje musia byť:

5

Článok 82 uvedeného nariadenia s názvom „Právo na náhradu škody a zodpovednosť“ v odseku 1 stanovuje:

„Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.“

6

Dňa 19. júna 2020 obec Ummendorf bez súhlasu žalobcov vo veci samej uverejnila na internete program zasadnutia obecnej rady, v ktorom boli viackrát uvedené ich mená, ako aj rozsudok, ktorý 10. marca 2020 vyhlásil Verwaltungsgericht Sigmaringen (Správny súd Sigmaringen, Nemecko) a v ktorom boli uvedené ich mená a priezviská, ako aj adresa ich bydliska. Tieto dokumenty boli prístupné na domovskej stránke internetového sídla tejto obce do 22. júna 2020.

7

Keďže žalobcovia vo veci samej zastávali názor, že toto uverejnenie porušuje GDPR a že obec Ummendorf konala úmyselne, keďže mená ostatných účastníkov konania, ktoré viedlo k vydaniu uvedeného rozsudku, boli vymazané, požiadali obec o náhradu nemajetkovej ujmy, ktorú údajne utrpeli, podľa článku 82 ods. 1 tohto nariadenia. Zastávajú názor, že neoprávnené zverejnenie osobných údajov jednotlivca predstavuje „ujmu“ v zmysle tohto ustanovenia bez toho, aby bolo možné uplatniť „prahovú hodnotu de minimis“, ktorá by bola v rozpore so štruktúrou GDPR a s odrádzajúcim účinkom uvedeného ustanovenia.

8

Obec Ummendorf naopak zastáva názor, že náhrada „nemajetkovej ujmy“ podľa článku 82 ods. 1 GDPR si vyžaduje preukázanie citeľnej nevýhody a objektívne mysliteľného zásahu do osobných záujmov.

9

Landgericht Ravensburg (Krajinský súd Ravensburg, Nemecko), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania a ktorý rozhoduje v spore vo veci samej, zastáva názor, že uverejnením osobných údajov žalobcov vo veci samej na internete obec Ummendorf porušila článok 5 ods. 1 písm. a) GDPR. Tento súd sa však pýta, či toto uverejnenie spôsobilo uvedeným žalobcom nemajetkovú ujmu v zmysle článku 82 ods. 1 tohto nariadenia takým spôsobom, že majú nárok na náhradu za utrpenie, ktoré znášali.

10

Vnútroštátny súd konkrétne zastáva názor, že samotná strata kontroly nad osobnými údajmi žalobcov vo veci samej nestačí na to, aby išlo o nemajetkovú ujmu v zmysle článku 82 ods. 1 GDPR. Zastáva názor, že na to, aby sa pripustila existencia nemajetkovej ujmy, musí byť prekročená „prahová hodnota de minimis“ a že to tak nie je v prípade, keď dotknuté osoby stratili kontrolu nad svojimi údajmi len počas krátkeho časového obdobia, bez toho, aby im to spôsobilo citeľnú nevýhodu, a bez toho, aby bol preukázaný objektívne mysliteľný zásah do ich osobných záujmov.

11

Za týchto okolností Landgericht Ravensburg (Krajinský súd Ravensburg) rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázky:

„Má sa pojem nemajetková ujma podľa článku 82 ods. 1 [GDPR] vykladať v tom zmysle, že jej predpokladom je citeľná nevýhoda a objektívne mysliteľný zásah do osobných záujmov, alebo na to postačuje len krátkodobá strata kontroly dotknutej osoby nad jej údajmi z dôvodu zverejnenia osobných údajov na internete počas obdobia niekoľkých dní, ktorá nemala pre dotknutú osobu žiadne citeľné, respektíve negatívne následky?“

12

Svojou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 82 ods. 1 GDPR vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave alebo vnútroštátnej praxi, ktoré stanovujú „prahovú hodnotu de minimis“ na účely konštatovania nemajetkovej ujmy spôsobenej porušením tohto nariadenia.

13

V tejto súvislosti treba pripomenúť, že toto ustanovenie stanovuje, že „každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa“.

14

Na jednej strane zo znenia článku 82 ods. 1 GDPR jasne vyplýva, že existencia „ujmy“ alebo „škody“, ktorá bola „utrpená“, predstavuje jednu z podmienok vzniku práva na náhradu škody stanoveného v uvedenom ustanovení, rovnako ako aj existencia porušenia tohto nariadenia a príčinnej súvislosti medzi touto ujmou a týmto porušením, pričom tieto tri podmienky sú kumulatívne [rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 32, a z dnešného dňa, Nacionalna agencija za prichodite, C‑340/21, bod 77]. Z toho vyplýva, že tieto tri podmienky sú nevyhnutné a dostatočné na vznik práva na náhradu škody v zmysle uvedeného ustanovenia.

15

Vzhľadom na to, že článok 82 ods. 1 GDPR neobsahuje nijaký odkaz na vnútroštátne právo členských štátov, pojem „nemajetková ujma“ v zmysle tohto ustanovenia musí mať autonómnu a jednotnú definíciu vlastnú právu Únie [pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, body 30 a 44].

16

Z tohto hľadiska Súdny dvor na základe doslovného, systematického a teleologického hľadiska vyložil článok 82 ods. 1 GDPR v tom zmysle, že bráni vnútroštátnej norme alebo praxi, ktorá podmieňuje náhradu nemajetkovej ujmy v zmysle tohto ustanovenia tým, že ujma spôsobená dotknutej osobe musí dosiahnuť určitý stupeň závažnosti [rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 51, a z dnešného dňa, Nacionalna agencija za prichodite, C‑340/21, bod 78].

17

Nemožno teda dospieť k záveru, že k trom podmienka uvedeným v bode 14 tohto rozsudku by bolo možné pridať aj ďalšie podmienky vzniku zodpovednosti stanovenej v článku 82 ods. 1 GDPR, akými sú citeľnosť ujmy alebo objektívna povaha zásahu.

18

Z toho vyplýva, že článok 82 ods. 1 GDPR nevyžaduje, aby v nadväznosti na preukázané porušenie ustanovení tohto nariadenia musela „nemajetková ujma“ uvádzaná dotknutou osobou dosiahnuť „prahovú hodnotu de minimis“ na to, aby mohlo dôjsť k náhrade tejto ujmy.

19

Tento výklad je podporený odôvodnením 146 treťou vetou GDPR, v ktorej sa uvádza, že „podľa judikatúry Súdneho dvora by sa mal pojem škody vykladať v širokom zmysle spôsobom, ktorý v plnej miere zohľadňuje ciele tohto nariadenia“. Tomuto širokému chápaniu pojmu „ujma“ alebo „škoda“, ktorý uprednostňuje normotvorca Únie, by pritom odporovalo, ak by bol uvedený pojem obmedzený len na ujmu alebo škodu určitej závažnosti, najmä pokiaľ ide o dĺžku obdobia, počas ktorého dotknuté osoby trpeli negatívne dôsledky porušenia uvedeného nariadenia [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 46, a z dnešného dňa, Nacionalna agencija za prichodite, C‑340/21, bod 81].

20

Okrem toho je takýto výklad v súlade s jedným z cieľov GDPR, ktorý spočíva v zabezpečení konzistentnej a vysokej úrovne ochrany fyzických osôb pri spracúvaní osobných údajov v rámci Únie. Podmienenie náhrady nemajetkovej ujmy dosiahnutím určitej prahovej hodnoty závažnosti by totiž mohlo narušiť koherenciu režimu, ktorý zavádza GDPR, pretože odstupňovanie takejto prahovej hodnoty, od ktorej by záviselo, či je alebo nie je možné získať uvedenú náhradu, by mohlo kolísať v závislosti od posúdenia konajúcich súdov [pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, body 48 a 49].

21

Osoba dotknutá porušením GDPR, ktoré voči nej malo negatívne dôsledky, je však povinná preukázať, že tieto dôsledky predstavujú nemajetkovú ujmu v zmysle článku 82 tohto nariadenia [pozri v tomto zmysle rozsudky zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 50, a z dnešného dňa, Nacionalna agencija za prichodite, C‑340/21, bod 84]. Samotné porušenie ustanovení tohto nariadenia totiž nestačí na priznanie práva na náhradu škody [rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma súvisiaca so spracovaním osobných údajov), C‑300/21, EU:C:2023:370, bod 42].

22

Za týchto podmienok, hoci nič nebráni tomu, aby zverejnenie osobných údajov na internete a následná strata kontroly nad týmito údajmi počas krátkeho časového obdobia mohli spôsobiť dotknutým osobám „nemajetkovú ujmu“ v zmysle článku 82 ods. 1 GDPR, ktorá zakladá právo na náhradu ujmy, je ešte potrebné, aby tieto osoby preukázali, že skutočne utrpeli takúto ujmu, hoci aj minimálnu.

23

Vzhľadom na vyššie uvedené dôvody treba na položenú otázku odpovedať tak, že článok 82 ods. 1 GDPR sa má vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave alebo vnútroštátnej praxi, ktoré stanovujú „prahovú hodnotu de minimis“ na účely konštatovania nemajetkovej ujmy spôsobenej porušením tohto nariadenia. Dotknutá osoba je povinná preukázať, že následky tohto porušenia, ktoré údajne utrpela, zakladajú ujmu, ktorá sa odlišuje od samotného porušenia ustanovení uvedeného nariadenia.

24

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (tretia komora) rozhodol takto:

Článok 82 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa má vykladať v tom zmysle, že:

bráni vnútroštátnej právnej úprave alebo vnútroštátnej praxi, ktoré stanovujú „prahovú hodnotu de minimis“ na účely konštatovania nemajetkovej ujmy spôsobenej porušením tohto nariadenia. Dotknutá osoba je povinná preukázať, že následky tohto porušenia, ktoré údajne utrpela, zakladajú ujmu, ktorá sa odlišuje od samotného porušenia ustanovení uvedeného nariadenia.