–

za lotyšskou vládu: J. Davidoviča a K. Pommere, jako zmocněnkyně,

–

za Evropskou komisi: A. Bouchagiar, H. Kranenborg a I. Naglis, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 82 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi A a Patērētāju tiesību aizsardzības centrs (Středisko pro ochranu práv spotřebitelů, Lotyšsko) (dále jen „PTAC“) týkajícího se náhrady nehmotné újmy, kterou žalobce v původním řízení údajně utrpěl z důvodu, že PTAC zpracovalo některé jeho osobní údaje, aniž k tomu udělil souhlas.

3

Body 1, 75, 85, 146 a 148 odůvodnění GDPR znějí následovně:

[…]

[…]

[…]

[…]

4

Článek 1 tohoto nařízení, nadepsaný „Předmět a cíle“, v odstavci 2 stanoví:

„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“

5

Článek 4 uvedeného nařízení, nadepsaný „Definice“, stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“

6

Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, v odstavci 1 stanoví, že zpracování je zákonné, pouze pokud je splněna nejméně jedna z podmínek, které stanoví, a pouze v odpovídajícím rozsahu.

7

Kapitola VIII GDPR, nadepsaná „Právní ochrana, odpovědnost a sankce“, obsahuje články 77 až 84 uvedeného nařízení.

8

Článek 82 tohoto nařízení, nadepsaný „Právo na náhradu újmy a odpovědnost“, v odstavcích 1 a 2 stanoví:

„1.   Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.

2.   Správce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení. […]“

9

Článek 83 GDPR, nadepsaný „Obecné podmínky pro ukládání správních pokut“, v odstavci 2 stanoví:

„[…] Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:

[…]

10

Článek 84 tohoto nařízení, nadepsaný „Sankce“, v odstavci 1 uvádí:

„Členské státy stanoví pravidla pro jiné sankce, jež se mají ukládat za porušení tohoto nařízení, zejména za porušení, na něž se nevztahují správní pokuty podle článku 83, a učiní veškerá opatření nezbytná k zajištění jejich uplatňování. Tyto sankce musí být účinné, přiměřené a odrazující.“

11

Článek 14 Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (zákon o náhradě škody způsobené orgány veřejné moci) ze dne 2. června 2005 (Latvijas Vēstnesis, 2005, č. 96), ve znění použitelném na spor v původním řízení (dále jen „zákon z roku 2005“), nadepsaný „Stanovení náhrady nehmotné újmy“, stanoví:

„1.   Povinnost nahradit nehmotnou újmu se uloží podle významu porušených práv a zákonem chráněných zájmů a podle závažnosti daného zásahu, s ohledem na odůvodnění aktu přijatého orgánem a na věcné a právní důvody, na nichž je tento akt založen, jakož i na chování a spoluodpovědnost poškozeného a na ostatní okolnosti, jež mají význam pro daný případ.

2.   Nehmotná újma se napraví obnovením stavu, který existoval před vznikem újmy, nebo, je-li toto řešení zcela či částečně nemožné nebo nevhodné, omluvou nebo zaplacením přiměřeného odškodnění.

3.   Pokud orgán nebo soud po posouzení okolností daného případu prohlásí, že zásah do zákonem chráněných práv nebo zájmů jednotlivce není závažný, jediným nebo doplňkovým prostředkem náhrady nehmotné újmy může být písemná nebo veřejná omluva.

4.   Náhrada nehmotné újmy může dosahovat výše až 7000 eur. V případě vzniku závažné nehmotné újmy může náhrada dosáhnout výše 10000 eur, ale v případě újmy na životě nebo zvláště závažné újmy na zdraví může výše náhrady dosáhnout až 30000 eur.“

12

Žalobce v původním řízení je v Lotyšsku znám jako novinář specializující se na motorismus.

13

V rámci kampaně, jejímž cílem bylo zvýšit informovanost spotřebitelů o rizicích při nákupu ojetého vozidla, šířilo PTAC na několika internetových stránkách video, v němž mimo jiné vystupovala postava napodobující žalobce v původním řízení, aniž k tomu posledně uvedený udělil souhlas.

14

Navzdory nesouhlasu, jejž žalobce v původním řízení vyjádřil v souvislosti s výrobou a šířením tohoto videa, zůstalo toto video dostupné na internetu. PTAC mimoto odmítlo jeho výslovné výzvy k zastavení tohoto šíření a náhradě újmy vzniklé poškozením jeho pověsti.

15

Žalobce v původním řízení podal tedy k administratīvā rajona tiesa (Okresní správní soud, Lotyšsko) žalobu, kterou se domáhal, aby tento soud určil, že jednání PTAC spočívající ve využívání a šíření jeho osobních údajů bez udělení souhlasu byla nezákonná, a náhrady utrpěné nehmotné újmy ve formě omluvy, jakož i odškodnění ve výši 2000 eur. Tento soud poté, co prohlásil tato jednání za nezákonná, nařídil PTAC, aby jednání ukončilo a veřejně se žalobci omluvilo, jakož i aby mu zaplatilo odškodnění ve výši 100 eur z titulu náhrady utrpěné nehmotné újmy.

16

Administratīvā apgabaltiesa (Krajský správní soud, Lotyšsko), který rozhodoval o odvolání, potvrdil rozsudkem ze dne 20. května 2023 na základě článku 6 GDPR nezákonnou povahu zpracování osobních údajů prováděného PTAC a nařídil na základě článku 14 zákona z roku 2005 ukončení tohoto jednání, jakož i zveřejnění omluvy na internetových stránkách, na kterých bylo šířeno video. Tento soud naproti tomu zamítl návrh na peněžitou náhradu nehmotné újmy, kterou utrpěl žalobce v původním řízení. V tomto ohledu měl zejména za to, že spáchané porušení nebylo závažné, neboť účelem videa bylo plnění úkolu veřejného zájmu, a nikoli poškodit pověst, čest a důstojnost tohoto žalobce. Kromě toho měl soud za to, že k tomuto porušení došlo na základě nesprávného výkladu právních předpisů komplexní povahy ze strany PTAC.

17

Žalobce v původním řízení napadá v kasačním opravném prostředku podaném k Augstākā tiesa (Senāts) (Nejvyšší soud, Lotyšsko), který je předkládajícím soudem v projednávané věci, tento rozsudek v rozsahu, v němž byla zamítnuta peněžitá náhrada jeho nehmotné újmy. V podstatě tvrdí, že se odvolací soud dopustil nesprávného posouzení závažnosti porušení jeho práv a posouzení újmy vyplývající z tohoto porušení. Žalobce v původním řízení rovněž tvrdí, že náhrada ve formě omluvy není s ohledem na článek 82 GDPR ani spravedlivá, ani přiměřená.

18

Zaprvé má předkládající soud s ohledem na rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, dále jen rozsudek Österreichische Post, EU:C:2023:370), za to, že článek 82 GDPR neumožňuje uložit náhradu újmy z důvodu porušení tohoto nařízení, aniž byla předtím určena újma způsobená tímto porušením. Podle předkládajícího soudu porušil odvolací soud v projednávaném případě článek 82 tím, že takovou náhradu nařídil, aniž konstatoval poškození pověsti, cti a důstojnosti žalobce v původním řízení. Předkládající soud se v této souvislosti snaží určit, zda s ohledem na čl. 1 odst. 2 GDPR, jakož i na body 75, 85 a 146 odůvodnění tohoto nařízení může nezákonné zpracování osobních údajů samo o sobě představovat porušení základního práva na ochranu těchto údajů, jak je zaručeno v čl. 8 odst. 1 Listiny, a proto představovat „újmu“ ve smyslu uvedeného článku 82, včetně případu, kdy není zjištěno poškození pověsti, cti nebo důstojnosti subjektu údajů.

19

Zadruhé si předkládající soud klade otázku ohledně přiměřené náhrady nehmotné újmy na základě čl. 82 odst. 1 GDPR, jak byl vyložen v rozsudku ze dne 4. května 2023, Österreichische Post (C‑300/21, EU:C:2023:370). Předkládající soud si přeje zjistit, zda povinnost omluvy poškozené osobě, která podle lotyšského práva může představovat samostatnou nebo doplňkovou formu náhrady újmy, lze v určitých případech považovat za dostatečnou náhradu ve smyslu čl. 82 odst. 1.

20

A konečně zatřetí se tento soud s ohledem na bod 58 uvedeného rozsudku zamýšlí nad otázkou, zda čl. 82 odst. 1 GDPR umožňuje zohlednit pro účely posouzení formy a výše náhrady, která má být z tohoto důvodu přiznána, okolnosti, jež provázely nebo dokonce odůvodňovaly jednání osoby, která se dopustila porušení ustanovení tohoto nařízení.

21

Za těchto podmínek se Augstākā tiesa (Senāts) (Nejvyšší soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

22

Podstatou první otázky předkládajícího soudu je, zda čl. 82 odst. 1 GDPR ve spojení s čl. 8 odst. 1 Listiny musí být vykládán v tom smyslu, že porušení ustanovení tohoto nařízení stačí samo o sobě k tomu, aby zakládalo „újmu“ ve smyslu tohoto čl. 82 odst. 1.

23

V článku 82 odst. 1 GDPR je stanoveno, že „[k]dokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy“.

24

Soudní dvůr čl. 82 odst. 1 opakovaně vyložil v tom smyslu, že pouhé porušení tohoto nařízení nestačí k přiznání práva na náhradu újmy na tomto základě, jelikož existence „újmy“, ať již hmotné, či nehmotné povahy, nebo „utrpěné“„újmy“ je jednou z podmínek práva na náhradu újmy stanoveného v tomto ustanovení, stejně jako existence porušení ustanovení uvedeného nařízení a příčinné souvislosti mezi touto újmou a tímto porušením, přičemž tyto tři podmínky jsou kumulativní. Osoba, která se domáhá náhrady nehmotné újmy podle uvedeného ustanovení, je tak povinna prokázat nejen porušení téhož nařízení, ale také skutečnost, že tímto porušením jí byla taková újma skutečně způsobena [v tomto smyslu viz rozsudky ze dne 4. května 2023,Österreichische Post, C‑300/21, EU:C:2023:370, body 32, 33, 42 a 50; ze dne 20. června 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 41 a 42, jakož i ze dne 20. června 2024, PS (Nesprávná adresa), C‑590/22, EU:C:2024:536, body 22, 24, 25 a 27].

25

Vzhledem k tomu, že tyto tři kumulativní podmínky jsou nezbytné a dostatečné pro vznik práva na náhradu újmy ve smyslu čl. 82 odst. 1 GDPR (rozsudek ze dne 14. prosince 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, bod 14), nelze toto právo podmínit dodatečným prokázáním skutečnosti, že subjekt údajů, jak je definován v čl. 4 bodě 1 tohoto nařízení, utrpěl neodůvodněný zásah do právního zájmu, jehož ochrana je cílem tohoto nařízení, a sice práva takového subjektu údajů na ochranu osobních údajů.

26

Soudní dvůr kromě toho zdůraznil, že i kdyby ustanovení GDPR, které bylo porušeno, přiznávalo práva fyzickým osobám, takové porušení nemůže samo o sobě představovat „nehmotnou újmu“ ve smyslu tohoto nařízení a založit z tohoto titulu právo na náhradu újmy, neboť uvedené nařízení vyžaduje splnění i dalších dvou podmínek připomenutých v bodě 24 tohoto rozsudku (v tomto smyslu viz rozsudek ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 40).

27

Tento výklad čl. 82 odst. 1 GDPR je podpořen body 75, 85 a 146 odůvodnění. Z těchto bodů odůvodnění totiž zaprvé vyplývá, že vznik újmy v souvislosti s nezákonným zpracováním osobních údajů je pouze potenciální, a nikoliv automatický důsledek takového zpracování, zadruhé, že porušení GDPR nutně nezpůsobuje újmu, a zatřetí, že k založení nároku subjektu údajů na náhradu újmy musí existovat příčinná souvislost mezi dotčeným porušením a újmou, kterou utrpěl subjekt údajů (v tomto smyslu viz rozsudek ze dne 4. května 2023, Österreichische Post, C‑300/21, EU:C:2023:370, bod 37).

28

Uvedený výklad může tedy zaručit ochranu osobních údajů jakožto základní právo zakotvené v čl. 8 odst. 1 Listiny, na které odkazuje bod 1 odůvodnění GDPR.

29

S ohledem na výše uvedené důvody je třeba na první otázku odpovědět tak, že čl. 82 odst. 1 GDPR ve spojení s čl. 8 odst. 1 Listiny musí být vykládán v tom smyslu, že porušení ustanovení tohoto nařízení nestačí samo o sobě k tomu, aby zakládalo „újmu“ ve smyslu tohoto čl. 82 odst. 1.

30

Podstatou druhé otázky předkládajícího soudu je, zda čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že omluva může představovat přiměřenou náhradu nehmotné újmy na základě tohoto ustanovení, zejména v případě, kdy nelze obnovit stav předcházející vzniku této újmy.

31

V souladu s ustálenou judikaturou je na vnitrostátním právním řádu každého členského státu, aby na základě zásady procesní autonomie upravil procesní podmínky soudních řízení určených k zajištění ochrany práv jednotlivců, avšak za podmínky, že tyto podmínky nejsou v situacích, na které se uplatní unijní právo, méně příznivé než v podobných situacích podléhajících vnitrostátnímu právu (zásada rovnocennosti) a v praxi neznemožňují nebo nadměrně neztěžují výkon práv přiznaných unijním právem (zásada efektivity) (rozsudky ze dne 4. května 2023, Österreichische Post, C‑300/21, EU:C:2023:370, bod 53, jakož i ze dne 20. června 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, bod 32).

32

Vzhledem k tomu, že GDPR neobsahuje ustanovení, jehož cílem by bylo stanovit pravidla pro posuzování náhrady újmy, která má být přiznána na základě práva na náhradu újmy zakotveného v článku 82 tohoto nařízení, musí vnitrostátní soudy v projednávané věci za tímto účelem uplatnit vnitrostátní pravidla každého členského státu týkající se rozsahu peněžité náhrady za předpokladu, že jsou dodrženy zásady rovnocennosti a efektivity unijního práva [v tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post, C‑300/21, EU:C:2023:370, body 54 a 59; ze dne 20. června 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 27 a 33, jakož i ze dne 20. června 2024, PS (Nesprávná adresa), C‑590/22, EU:C:2024:536, bod 40].

33

Pokud jde v tomto ohledu o dodržení zásady rovnocennosti, nemá Soudní dvůr k dispozici žádný poznatek, který by mohl nasvědčovat tomu, že uvedená zásada může mít konkrétní dopad na projednávaný spor v původním řízení.

34

Pokud jde o dodržení této zásady efektivity, výlučně kompenzační funkce práva na náhradu újmy stanoveného v článku 82 GDPR znamená, že kritéria pro posouzení náhrady újmy, která má být přiznána na základě tohoto článku, musí být stanovena v právním řádu každého členského státu tak, aby byla uvedená náhrada újmy plná a účinná, aniž je pro účely takové plné kompenzace nezbytné uložit povinnost k zaplacení sankční náhrady újmy [v tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post, C‑300/21, EU:C:2023:370, body 57 a 58; ze dne 20. června 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 23, 24, 35, 36 a 43, jakož i ze dne 20. června 2024, PS (Nesprávná adresa), C‑590/22, EU:C:2024:536, bod 42].

35

Soudní dvůr kromě toho připustil, že není-li újma vzniklá subjektu údajů závažná, může ji vnitrostátní soud kompenzovat tím, že tomuto subjektu přizná minimální odškodnění, může-li takto přiznaná nižší částka náhrady způsobenou újmu plně nahradit, což musí ověřit tento soud (v tomto smyslu viz rozsudek ze dne 20. června 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, bod 46).

36

Stejně tak čl. 82 odst. 1 GDPR nebrání tomu, aby omluva mohla představovat samostatnou nebo doplňkovou náhradu újmy, jak v projednávané věci stanoví článek 14 zákona z roku 2005, za předpokladu, že taková forma náhrady újmy je v souladu s uvedenými zásadami rovnocennosti a efektivity, jelikož musí umožnit zejména plnou náhradu nehmotné újmy, konkrétně utrpěné porušením tohoto nařízení, což musí s ohledem na okolnosti každého jednotlivého případu ověřit vnitrostátní soud.

37

S ohledem na výše uvedené důvody je třeba na druhou otázku odpovědět tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že omluva může představovat přiměřenou náhradu nehmotné újmy na základě tohoto ustanovení, zejména v případě, kdy nelze obnovit stav před vznikem této újmy, za předpokladu, že tato forma náhrady může plně nahradit újmu vzniklou subjektu údajů.

38

Podstatou třetí otázky předkládajícího soudu je, zda čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že brání tomu, aby postoj a motivace správce mohly být zohledněny za účelem případného přiznání nižší náhrady újmy subjektu údajů, než je újma, kterou konkrétně utrpěl.

39

Zaprvé z článku 83 GDPR ve spojení s bodem 148 odůvodnění tohoto nařízení vyplývá, že pro rozhodnutí, zda je třeba uložit správní pokutu, a pro stanovení její výše je nutné zohlednit z titulu „přitěžující nebo polehčující okolnosti“ zejména kritéria týkající se postoje a motivace správce. Naproti tomu nejsou tato kritéria zmíněna v článku 82 tohoto nařízení, a ostatně ani v bodě 146 odůvodnění tohoto nařízení, který se týká konkrétně práva na náhradu újmy stanoveného v tomto článku 82.

40

Neexistence odkazu na taková kritéria je odůvodněna skutečností, že článek 82 GDPR plní – na rozdíl od jiných ustanovení tohoto nařízení, která jsou obsažena rovněž v kapitole VIII tohoto nařízení, a sice jeho článků 83 a 84, které mají v zásadě sankční účel, neboť umožňují uložit správní pokuty a jiné sankce – výlučně kompenzační funkci, jelikož náhrada na základě článku 82, zejména peněžitá, musí umožnit plnou náhradu utrpěné újmy (v tomto smyslu viz rozsudky ze dne 4. května 2023, Österreichische Post, C‑300/21, EU:C:2023:370, body 38 a 40, jakož i ze dne 20. června 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, bod 22).

41

S ohledem na rozdíly ve znění a účelech mezi článkem 82 GDPR, vykládaným ve světle bodu 146 odůvodnění uvedeného nařízení, a článkem 83 tohoto nařízení, vykládaným ve světle bodu 148 odůvodnění uvedeného nařízení, tedy nelze mít za to, že kritéria uvedená konkrétně v tomto článku 83 jsou použitelná mutatis mutandis v rámci článku 82 [rozsudek ze dne 20. června 2024, PS (Nesprávná adresa), C‑590/22, EU:C:2024:536, bod 43 a citovaná judikatura]. Toto zjištění platí zvláště pro stanovení výše náhrady újmy, která má být přiznána na základě uvedeného článku 82 [v tomto smyslu viz rozsudek ze dne 20. června 2024, PS (Nesprávná adresa), C‑590/22, EU:C:2024:536, body 39 a 44], jakož i obecněji pro určení formy, peněžité nebo jiné, a výše takové náhrady újmy.

42

Zadruhé výlučně kompenzační funkce práva na náhradu újmy stanoveného v čl. 82 odst. 1 GDPR brání tomu, aby byl pro účely náhrady újmy na základě uvedeného ustanovení zohledněn stupeň závažnosti porušení tohoto nařízení správcem a jeho případná úmyslná povaha (v tomto smyslu viz rozsudek ze dne 20. června 2024, Scalable Capital, C‑182/22 a C‑189/22, EU:C:2024:531, body 28 až 30).

43

S ohledem na výlučně kompenzační, a nikoli sankční funkci, kterou plní toto právo na náhradu újmy, nemůže mít závažnost takového porušení vliv na částku náhrady újmy přiznané na základě čl. 82 odst. 1 a tato částka nemůže být stanovena na úrovni překračující plnou náhradu této újmy [v tomto smyslu viz rozsudek ze dne 20. června 2024, PS (Nesprávná adresa), C‑590/22, EU:C:2024:536, bod 41 a citovaná judikatura]. Pro určení výše takové peněžité náhrady je třeba zohlednit pouze újmu, která subjektu údajů skutečně vznikla (v tomto smyslu viz rozsudek ze dne 11. dubna 2024, juris, C‑741/21, EU:C:2024:288, bod 64).

44

Stejně tak by nebyla respektována výlučně kompenzační funkce uvedeného čl. 82 odst. 1, pokud by byly postoj a motivace správce zohledněny pro určení formy náhrady újmy přiznané na základě tohoto ustanovení nebo pro přiznání náhrady újmy „v nižší míře“, než je úplná náhrada újmy, kterou utrpěl subjekt údajů, jak ji zvažuje předkládající soud v projednávané věci.

45

S ohledem na výše uvedené důvody je třeba na třetí otázku odpovědět tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že brání tomu, aby postoj a motivace správce mohly být zohledněny za účelem případného přiznání nižší náhrady újmy subjektu údajů, než je újma, kterou konkrétně utrpěl.

46

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (osmý senát) rozhodl takto: