10 C 81/2024 - 463

Rubrum

Obvodní soud pro Prahu 5 rozhodl předsedkyní senátu Mgr. Evou Harmachovou jako samosoudkyní v právní věci žalobce: [Jméno žalobce], narozený [Datum narození žalobce] bytem [Adresa žalobce] zastoupený advokátem [Jméno advokáta A], [Anonymizováno]. sídlem [Adresa advokáta A] proti žalované: [Anonymizováno] [Anonymizováno] [Anonymizováno] [Anonymizováno] sídlem [Anonymizováno] [Anonymizováno] [Anonymizováno] [Anonymizováno], [Anonymizováno] [Anonymizováno], [Anonymizováno] zastoupená advokátem [Jméno advokáta B] sídlem [Adresa advokáta B] o náhradu nemajetkové újmy způsobené zásahem do práva na ochranu osobních údajů takto:

Výrok

I. Žaloba, kterou se žalobce po žalované domáhal zaplacení částky [částka], se zamítá.

II. Žalobce je povinen zaplatit žalované k rukám jejího právního zástupce na náhradě nákladů řízení částku [částka], a to do 3 dnů od právní moci rozsudku.

Odůvodnění

1. Žalobce se žalobou podanou zdejšímu soudu dne [datum] domáhal náhrady nemajetkové újmy ve výši [částka]. V odůvodnění žaloby uvedl, že je od roku 2014 uživatelem sociální sítě [Anonymizováno], kterou žalovaná provozuje, pod uživatelským jménem [Jméno žalobce], s kontaktním e-mailem [e-mail]. Za tu dobu o žalobci [Anonymizováno] získal extrémní množství informací, jak o obsahu zpráv, tak o veškeré aktivitě žalobce na Facebooku, o užitých IP adresách, lokalitách, zjištěných preferencích, účastech na akcích, vyhledáváních, reakcích na reklamy na [Anonymizováno] i mimo něj apod. Dle žalobce velikost souboru s údaji o užití [Anonymizováno], a to jen těch, které [Anonymizováno] poskytuje, činí několik GB, což je zhruba ekvivalent několika tisíc elektronických knih. Rozhodně se tak nejedná pouze o to, co žalobce sám sdílel, takto sdílené informace tvoří naprosto zanedbatelnou část zpracovávaných dat, které jsou všechny pro jejich vztah k žalobci, který je pro žalovanou identifikovaný, jeho osobními údaji. Žalobce měl obecné povědomí o skutečnostech, že žalovaná prostřednictvím sociální sítě [Anonymizováno] zpracovává jeho osobní údaje. Nejedná se přitom pouze, jak činí laická představa, o několik sdílených příspěvků. [Anonymizováno] sbírá téměř nekonečné množství informací o aktivitě uživatele, jeho zařízení, preferencích, přátelích, geografické poloze, obsahu soukromých zpráv apod. Žalobce velmi zasáhlo, když se dozvěděl o flagrantním porušování pravidel ochrany osobních údajů ze strany žalované ve vztahu k sociální síti [Anonymizováno], čímž byly dotčeny také osobní údaje žalobce. Podle žalobce toto porušování spočívá ve zpracování údajů bez souhlasu se zpracováním osobních údajů, ač povaha zpracování získání souhlasu vyžadovala, neplnění informační povinnosti dle GDPR, stejně jako předávání údajů do USA bez jejich zabezpečení, a následně téměř roční ignorování rozhodnutí dozorových úřadů. Žalobce se přitom sám nemůže užití [Anonymizováno] vyhnout, jelikož s ohledem na dominantní postavení [Anonymizováno], kdy má žalovaná na poli sociálních sítí masově užívaných v České republice prakticky monopol, by bez jeho užití, spolu s nástrojem [Anonymizováno], nebyl schopen komunikovat se svými přáteli a rodinnými příslušníky. Tím by totiž bylo dotčeno jeho právo na svobodu vyjadřování a právo na informace, jak bylo dovozeno Evropským sborem pro ochranu osobních údajů („EDPB“) v Závazném rozhodnutí EDPB č. 3/2022 o sporu předloženém IE DPA ve vztahu k [Anonymizováno] [Anonymizováno] [Anonymizováno] [Anonymizováno] a její službě [Anonymizováno] ze dne [datum]. Žalobce zakládá své přesvědčení o porušení svých práv na ochranu osobních údajů na v žalobě uvedených pěti rozhodnutích EDPB a [Anonymizováno] [Anonymizováno] pro ochranu osobních údajů („IE DPA“). Ve všech těchto případech jsou přitom rozhodnutí IE DPA založena na závazném rozhodnutí EDPB, jehož členem je také český [právnická osoba], přičemž jsou posuzována práva vyplývající z harmonizované úpravy obsažené v GDPR, citovaná rozhodnutí jsou tak dle názoru žalobce plně aplikovatelná také v prostředí České republiky. Žalobci tak byla, v souvislosti s nezákonným a netransparentním zpracováním jeho osobních údajů, způsobena nemajetková újma, a to spočívající jednak v nezákonném zpracování jeho velmi citlivých osobních údajů bez získání jeho souhlasu, který byl nezbytný a jednak ve ztrátě kontroly nad jeho údaji a ztrátě schopnosti uplatňovat volby týkající se zpracování osobních údajů žalobce. Osobní údaje žalobce byly zpracovány ve velkém rozsahu, zcela protiprávně, a jelikož o jejich zpracování nebyl řádně informován, nemohl takové zpracování ovlivnit ani na ně uplatnit jakýkoli vliv. Žalobce uvedl, že neví, co se dělo s jeho osobními údaji po předání do USA, a tedy ani neví, kdo všechno k jeho údajům získal přístup, za jakým účelem byly využity, a zda takové využití dále trvá či nikoli. Žalovaná porušila své povinnosti ve vztahu k několika gigabytům údajů žalobce, často velmi citlivým. Tohoto se dopouštěla minimálně s hrubou nedbalostí, vědomě a s cílem dosažení zisku prostřednictvím takového nezákonného zpracování. Tímto se dopustila porušení práv žalobce značné intenzity a za tímto jednáním způsobenou újmu má žalobce dle svého názoru nárok na finanční kompenzaci minimálně ve výši [částka], ač žaluje částku nižší. Žalobce vyzval žalovanou k náhradě nemajetkové újmy předžalobní výzvou ze dne [datum], na kterou žalovaná odpověděla dne [datum] s tím, že nároky žalobce odmítla.

2. Z důvodu porušování pravidel ochrany osobních údajů žalovanou se žalobce domáhá ochrany svých práv a náhrady způsobené nemajetkové újmy ve výši [částka].

3. Žalovaná se k žalobě vyjádřila svým podáním ze dne 22. 7. 2024 tak, že s žalobou nesouhlasí, a navrhla její zamítnutí. Dle názoru žalované žaloba představuje zjevný pokus o zneužití nařízení GDPR k získání nahodile určeného peněžitého plnění, aniž by se žalobce vůbec pokusil prokázat porušení GDPR či vznik peněžité nebo nepeněžité újmy. Vyčíslení nárokované částky zcela chybí. Dle žalované žalobce jasně nespecifikuje ustanovení GDPR, která byla údajně porušena, a nejsou v ní uvedeny jakékoli skutečnosti nebo okolnosti specifické pro žalobce, které by mohly zakládat nárok ve vztahu k porušení takových ustanovení. Rozhodnutí, na která se žalobce odkazuje, jsou pouze zobecněné závěry, které nemají žádný konkrétní vztah k okolnostem žalobce. Vnitrostátní civilní soud má přitom povinnost nezávisle posoudit údajná porušení GDPR a určit, zda danému jednotlivci skutečně byla takovým porušením způsobena újma. Žalovaná namítala, že žalobce netvrdí žádnou skutečnou a konkrétní újmu, místo toho poukazuje pouze na své povědomí o správních zjištěních jakožto základ pro svůj nárok na odškodnění. I za předpokladu, že by žalobce mohl prokázat porušení GDPR, pouhé porušení GDPR samo o sobě nezakládá nárok na odškodnění. Žalobce musí prokázat vznik individualizované újmy, na což zcela rezignoval. Žalovaná dále uvedla, že od doby, kdy nařízení GDPR vstoupilo v platnost, měla vždy platný právní základ pro zpracování údajů žalobce pro dotčené zpracování. Právní základ Žalované pro dotčené zpracování se postupem času měnil podle toho, jak se vyvíjel výklad GDPR. Žalovaná odmítla, že by z její strany došlo k porušení čl. 6 GDPR. Před 5. 4. 2023 se žalovaná pro dotčené zpracování primárně spoléhala na právní základ plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR). Nařízení GDPR zavedlo nový a odlišný právní režim a správci údajů museli přezkoumat a posoudit své postupy při zpracování a právní základy, aby určili vhodný přístup podle nového nařízení. Stejně jako mnozí jiní poskytovatelé služeb a další podniky Žalovaná dne 19. 4. 2018 aktualizovala Podmínky používání služby [Anonymizováno] a související informaci o ochraně osobních údajů (tehdy označovanou jako „[jméno FO]“), aby jako správce údajů provedla změny v souladu se svými novými povinnostmi podle GDPR, které následně nabyly účinnosti dne 25. 5. 2018. Od 5. 4. 2023 do začátku listopadu 2023 se Žalovaná spoléhala na oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) ve vztahu k dotčenému zpracování. Před touto změnou žalovaná dotčeným uživatelům poskytla upozornění a informace o dalších možnostech týkajících se dotčeného zpracování. Žalovaná také aktualizovala Podmínky používání služby [Anonymizováno] a související informaci o ochraně osobních údajů (v tu dobu označovanou jako „[adresa] ochrany osobních údajů“), aby zohlednila změnu právního základu pro dotčené zpracování. Od začátku listopadu 2023 se žalovaná spoléhá na souhlas (čl. 6 odst. 1 písm. a) GDPR) pro dotčené zpracování. Dne [datum] žalovaná oznámila, že zavede novou možnost předplatného, která uživatelům Facebooku v EU/EHP starším 18 let umožní zvolit, zda žalovaná bude zpracovávat jejich údaje pro účely reklamy (dále jen „Model souhlasu“). Následně od 3. 11. 2023 začala žalovaná v EU/EHP tento Model souhlasu používat a vyzývala uživatele prostřednictvím oznámení v rámci platformy [Anonymizováno], aby se rozhodli buď nadále používat [Anonymizováno] zdarma a souhlasit s tím, aby žalovaná používala informace o nich shromážděné na produktech [Anonymizováno] [Anonymizováno] pro účely reklamy, nebo se rozhodli předplatit si za měsíční předplatné službu [Anonymizováno] bez reklam, přičemž v takovém případě by informace o nich nebyly použity pro reklamy. Uživatelé si také nemusí zvolit ani jednu z těchto možností a místo toho opustit [Anonymizováno] odstraněním svého účtu (či účtů) s tím, že si mohou stáhnout informace o svém účtu předtím, než tak učiní. Tato změna právního základu pro dotčené zpracování se odráží v aktualizovaných Zásadách ochrany osobních údajů žalované, které vysvětlují, že žalovaná zpracovává informace uživatelů za účelem „[p]ersonalizace reklam v produktech společnosti [Anonymizováno] […] pokud nám k tomu [udělí] souhlas […]“. Zásady ochrany osobních údajů také vysvětlují, že uživatelé „[s]vůj výběr [mohou] kdykoli změnit v „Předvolbách pro reklamy“.“ Žalovaná poznamenala, že žalobce dne 9. 11. 2023 souhlasil s dotčeným zpracováním, což znamená, že veškeré zpracování osobních údajů žalobce po tomto datu bylo založeno na jeho souhlasu. Dále žalovaná odmítla, že by porušila svou informační povinnost dle článků 12 až 14 GDPR a že by nezákonně předávala osobní údaje žalobce do třetí země v rozporu s čl. 46 odst. 1 GDPR. Žalovaná proto měla vždy platný právní základ podle Kapitoly V GDPR pro předávání údajů (tj. podle čl. 45 nebo čl. 46 GDPR). Konečně žalovaná uvedla, že obdržela několik dalších žalob a předžalobních výzev od právního zástupce žalobce, které jsou, včetně tvrzení o údajně utrpěné újmě a požadované částce, do posledního slova totožné se zdejší věcí (např. řízení u Obvodního soudu pro Prahu 2 pod sp.zn. 10 C 55/2024, u Obvodního soudu pro Prahu 5 pod sp.zn. 28 C 96/2024, u Okresního soudu v Semilech po sp.zn. 6 C 53/2024).

4. Žalovaná z výše uvedených důvodů navrhla zamítnutí žaloby.

5. Žalobce na vyjádření žalované reagoval svou replikou ze dne 29. 9. 2024, ve které uvedl, že nesouhlasí s námitkami žalované. Žalobce připomněl, že v žalobě uvedl, že je přesvědčen, že žalovaná zpracovávala osobní údaje žalobce pro účely behaviorální reklamy bez řádného právního základu, čímž se dopustila porušení čl. 6 GDPR. Dále žalovaná porušila svou informační povinnost vůči žalobci dle čl. 5 odst. 1 písm. a) GDPR a čl. 12 až 14 GDPR. A v neposlední řadě žalovaná neposkytla dostatečnou úroveň ochrany osobním údajům žalobce předávaných do USA, čímž se dopustila porušení čl. 46 odst. 1 GDPR. Žalobce není schopen přesně identifikovat, které konkrétní osobní údaje žalobce byly použity pro účely behaviorální reklamy, a to z důvodu neposkytnutí dostatečně konkrétních informací o zpracování osobních údajů ze strany žalované a extrémní šíře zpracovávaných kategorií údajů. Žalobce nicméně při určování rozsahu dotčených údajů vychází z Rozhodnutí IE DPA o zákonnosti zpracování, se kterými se plně ztotožňuje a uvádí je jako své tvrzení. Rozsah údajů předávaných do USA ze strany žalované je popsán v Rozhodnutí IE DPA ve vztahu k [Anonymizováno] [Anonymizováno] [Anonymizováno] [Anonymizováno] ze dne 12. května 2023, vydaném v návaznosti na předchozí rozhodnutí EDPB (dále jen „Rozhodnutí IE DPA o předávání dat“), na které žalobce v plném rozsahu odkazuje. Dle žalobce došlo ke sběru jeho nejdůvěrnějších údajů a k jejich využití pro účely behaviorální reklamy, včetně předávání údajů do USA, a užití těchto údajů pro cílení reklamy či přímo předávání části těchto údajů třetím osobám v pozici inzerentů. Navíc díky užití těchto údajů ze strany třetích osob a jejich předávání do USA, bez dostatečné úrovně jejich ochrany, je pro žalobce nemožné zjistit, kde všude jeho nejdůvěrnější údaje skončily a jak s nimi bylo, je a do budoucna bude nakládáno, ani s užitím informací o zpracování jeho údajů, které si od žalované vyžádal na základě čl. 15 GDPR. Výše uvedené má možné dopady jak do osobní sféry žalobce, tak do sféry pracovní či finanční (užití důvěrných údajů žalobce pro posouzení jeho vhodnosti pro určitou práci či pro posouzení úvěruschopnosti apod.). Tento zásah je navíc nenapravitelný – k zásahu docházelo po dobu několika let a mezitím byly údaje zcela či zčásti předávány do USA a třetím osobám. Žalobce ani [Anonymizováno] nejsou schopni zvrátit následky takového jednání ani dosledovat, kde všude údaje žalobce skončily, a jak budou dále užívány. Přitom došlo ke ztrátě kontroly žalobce nad jeho osobními údaji, nemožnosti řádně a informovaně vykonávat práva žalobce podle GDPR, což jsou vše druhy nemajetkové újmy, které jsou dle výkladové praxe Soudního dvora EU popsané výše nahrazovány. Současně žalobce tvrdil, že dle výkladové praxe Soudního dvora EU žalobce nemusí prokazovat, že ke zneužití jeho údajů reálně došlo (což je s ohledem na uzavřenost informačních systémů žalované pro žalobce nemožný úkol), naopak stačí poukázat potencialitu takového zásahu a odůvodněnost obavy ze zneužití údajů na straně žalobce. Výši újmy žalobce řádově odhaduje pomocí porovnání s odměnou, za kterou jsou lidé ochotni být ve svém soukromí nepřetržitě sledováni. Například účastníci reality show Výměna manželek, kteří jsou v podobné situaci, obdrží dle veřejných zdrojů 100 000 Kč za 10 dní natáčení, při zhruba 2 až 4 osobách na rodinu. Děleno 3 osobami (odhad průměrného počtu členů domácnosti účastníků) a násobeno 5,5 lety, odpovídající minimální době porušení od poloviny roku 2018 do konce roku 2023 (2 000 dní, tj. 200 cyklů o 10 dnech), by výše odměny činila za 5 let zhruba 6,66 milionu Kč za osobu. Rozdíl je v tom, že účastníci reality show Výměna manželek jsou sledováni pro potěchu televizních diváků a finanční příjem na straně TV Nova, naopak uživatelé [Anonymizováno] jsou sledováni pro potěchu inzerentů a finanční příjem na straně žalované. Žalobce takto vysokou náhradu újmy neuplatňuje, je však přesvědčen, že výše jemu způsobené újmy činí minimálně [částka], jak uvedl v žalobě. Žalobce současně, z důvodu procesní opatrnosti, uplatňuje náhradu újmy pouze ve výši 25 000 Kč.

6. Žalobce tedy trval na podané žalobě a domáhal se náhrady nemajetkové újmy ve výši [částka].

7. V této věci jde o řízení s mezinárodním prvkem, protože žalobce je státní příslušník Slovenské republiky a žalovaná je zahraniční osoba se sídlem v Irsku. Soud se proto nejprve zabýval otázkou, zda je k rozhodnutí ve věci mezinárodně příslušný a které právo je v daném případě právem rozhodným. Podle § 2 zákona č. 91/2012 Sb., o mezinárodním právu soukromém, se zákon o mezinárodním právu soukromém použije v mezích ustanovení vyhlášených mezinárodních smluv, kterými je Česká republika vázána, a přímo použitelných ustanovení práva Evropské unie. Jelikož Česká republika, Slovenská republika i Irsko jsou členskými státy Evropské unie a vzhledem k tomu, že se žalobce jako subjekt údajů domáhal náhrady nemajetkové újmy, jež měla vzniknout porušením žalobcova práva na ochranu osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne [datum] o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů, dále jen jako GDPR), určil soud svou mezinárodní příslušnost pro daný vztah podle nařízení GDPR, které je ve vztahu k nařízení Evropského parlamentu a Rady (ES) č. 1215/2012, o příslušnosti a uznávání a výkonu soudních rozhodnutí v občanských a obchodních věcech (Brusel I bis), speciální. Podle čl. 79 odst. 2 věta druhá nařízení GDPR se může řízení zahájit i u soudů členského státu, kde má subjekt údajů své obvyklé bydliště. Žalobce má obvyklé bydliště v české republice na [adresa], proto zdejší soud dovodil svou mezinárodní příslušnost věc projednat a rozhodnout.

8. Soud provedl dokazování všemi listinami, které účastníci předložili (ust. § 120 odst. 1 o.s.ř. ve spojení s ust. § 129 odst. 1 o.s.ř.). Potřeba provedení důkazů dalších v řízení najevo nevyšla (ust. § 120 odst. 3 věta prvá o.s.ř.), na základě provedených důkazů měl soud dostatek podkladů pro rozhodnutí.

9. V řízení byl prokázán následující skutkový děj:

10. Žalobce zaslal dne 19. 2. 2024 žalované dopis, ve kterém jí sdělil, že žalobce z rozhodnutí irského úřadu pro ochranu osobních údajů zjistil, že porušila práva žalobce na ochranu osobních údajů, což jej velmi zasáhlo a po žalované žádal, aby se zdržela porušování práva žalobce na ochranu osobních údajů a nahradila žalobci nemajetkovou újmu ve výši 25 000 Kč podle čl. 82 GDPR (prokázáno předžalobní výzvou ze dne 12. 2. 2024).

11. Žalovaná ve své reakci žalobci sdělila, že s tvrzením, že by porušovala práva na ochranu osobních údajů, nesouhlasí a zároveň odmítla, že by žalobci vznikl nárok na náhradu nemajetkové újmy. Žalovaná rovněž žalobce upozornila, že s údaji nakládá tak, jak je vysvětleno v Zásadách ochrany osobních údajů a každý uživatel má možnost kdykoli svůj účet na Facebooku smazat (prokázáno reakcí žalované ze dne 29. 2. 2024).

12. Cena předplatného účtu na sociální síti [Anonymizováno] bez reklam je v případě aktivace předplatného přímo na webu [Anonymizováno][Anonymizováno] [částka] měsíčně pro jeden účet a [částka] měsíčně za každý další účet ve stejném Centru účtů. V případě aktivace předplatného přes [Anonymizováno] [Anonymizováno] nebo [Anonymizováno][Anonymizováno][Anonymizováno] [Anonymizováno] je cena předplatného 12,99 EUR měsíčně za jeden účet a 8 EUR měsíčně za každý další účet ve stejném Centru účtů (prokázáno ceníkem předplatného bez reklam v [Anonymizováno] [Anonymizováno] [Anonymizováno]).

13. Žalovaná má z inzerce příjmy (prokázáno tabulkou v článku o příjmech [Anonymizováno] z inzerce).

14. Žalovaná uživatele sociální sítě [Anonymizováno] v Podmínkách služby seznamuje s oprávněními, která uživatel žalované uděluje. Pokud uživatelé sdílí, zveřejňují nebo nahrávají obsah, na který se vztahují práva duševního vlastnictví (např. fotografie nebo videa) na sociální síti [Anonymizováno] nebo na jiném produktu žalované, udělují žalované nevýhradní, přenosnou, sublicencovatelnou, bezplatnou a celosvětovou licenci k hostování, používání, distribuci, úpravám, spouštění, kopírování, veřejnému předvádění nebo zobrazování, překládání a vytváření odvozených děl z obsahu (v souladu s nastavením ochrany osobních údajů a aplikací). Dále uživatelé žalované udělují povolení používat jméno, profilový obrázek a informace o akcích uživatelů v reklamách a sponzorovaném obsahu (prokázáno podmínkami služby sociální sítě [Anonymizováno]).

15. Žalovaná uživatele sociální sítě [Anonymizováno] v [adresa] údajů informuje o tom, jaké údaje o uživatelích shromažďuje. Jedná se o informace a obsah, který sami uživatelé poskytují, dále informace o lidech, stránkách, účtech, hashtagech a skupinách, se kterými jsou uživatelé ve spojení, dále kontaktní údaje, pokud se uživatel rozhodne synchronizovat nebo importovat ze svého zařízení kontakty, informace o tom, jak uživatelé produkty žalované používají, jaké využívají funkce, jaký typ obsahu si prohlíží, a informace o transakcích provedených na produktech žalované, jako například platební údaje jako číslo kreditní nebo debetní karty, dodací a kontaktní údaje apod. Dále žalovaná přijímá a analyzuje i informace, které o uživatelích zveřejňují ostatní uživatelé, ať již posílají zprávu, nebo komentují fotografii. Žalovaná získává a shromažďuje i informace o zařízeních, která uživatelé používají. Tyto informace zahrnují atributy zařízení jako operační systém, verze hardwaru a softwaru, úroveň baterie, síla signálu, typ prohlížeče nebo typy aplikací, dále operace zařízení jako chování uživatelů, pohyb myši, dále jedinečné identifikátory, signály zařízení, data z nastavení zařízení jako je přístup k poloze GPS, fotoaparátu, nebo fotografiím, síť a připojení, tedy mobilní operátor, jazyk, časové pásmo, IP adresa a údaje o souborech cookies. Tyto nashromážděné informace o uživatelích žalovaná využívá tak, že při poskytování svých sociálních sítí a aplikací přizpůsobuje funkce a obsah pro každého uživatele, a to ať už jde o zpravodajský kanál či zobrazování navrhovaných událostí, skupin, témat nebo jiných uživatelů, které by mohl uživatel znát. Žalovaná rovněž informace o uživatelích využívá k výběru a přizpůsobení konkrétních reklam, které uživateli zobrazuje. Takto žalovaná vytváří personalizované produkty. S tím souvisí spolupráce žalované s partnery třetích stran. Žalovaná v Zásadách údajů uvádí, že žádné údaje uživatelů třetím stranám neprodává. Partnerům, kteří využívají analytické služby žalované poskytuje žalovaná souhrnné statistiky, které pomáhají lidem a firmám porozumět, jak lidé reagují na jejich stránku, příspěvek apod. Správci stránek a firemních profilů tak dostávají informace o počtu lidí, kteří si prohlíželi jejich příspěvek, reagovali na něj nebo ho komentovali. Inzerentům poskytuje žalovaná přehledy o typech lidí, kterým se jejich reklamy zobrazují, a o tom, jak jsou jejich reklamy úspěšné, ale nejsou jim poskytovány informace, které jednotlivé uživatele identifikují. Inzerentům tak žalovaná poskytuje obecné demografické informace a informace o zájmech (například, že reklamu viděla žena ve věku 25 až 30 let, která žije v Madridu a má ráda softwarové inženýrství). Žalovaná také sděluje inzerentům, které reklamy vedly uživatele k nákupu nebo interakci s inzerentem. Dále žalovaná sdílí informace s partnery pro měření, partnerům nabízejícím zboží a služby přímo v rámci produktů žalované, prodejcům a poskytovatelům služeb, kteří podporují podnikání žalované, výzkumníkům a akademikům pro podporu inovací, které rovněž podporují podnikání žalované, nebo inovací v tématech obecného sociálního blahobytu, technologického pokroku, veřejného zájmu a zdraví. V neposlední řadě poskytuje žalovaná informace orgánům činným v trestním řízení (prokázáno Zásadami údajů).

16. Žalovaná zobrazuje jednotlivé reklamy svým uživatelům podle informací, které s ní uživatelé sdílí, a to, aniž by inzerenti zjistili, kdo jednotliví uživatelé jsou. [Anonymizováno] pomocí svých obchodních nástrojů zobrazuje jednotlivým uživatelům reklamy na základě produktů nebo služeb, které si uživatel v minulosti prohlížel, které si přidal do košíku, případně provedl i nákup nebo si stáhl aplikaci obchodu. Tyto údaje je žalovaná schopná zjistit, ať už si uživatel prohlíží produkt přímo na odkazu z reklamy na sociální síti nebo i jinde na webovém prohlížeči, případně přímo v aplikaci daného obchodu. Žalovaná k tomuto využívá i informace o stránkách, které se uživateli líbí, informace z profilu na sociálních sítích žalované, nebo místa, kde se uživatel pomocí [Anonymizováno] ohlásí. Zobrazovat pro uživatele relevantní reklamy žalované dále pomáhají informace o přihlášení se k odběru emailového zpravodaje, provádění obchodů v maloobchodních prodejnách nebo přihlášení se k získání kuponu nebo slevy (prokázáno dokumentem o reklamách na [Anonymizováno]).

17. Dne [datum] v 9:25 žalobce potvrdil souhlas s používáním služby sociální sítě [Anonymizováno], kdy v Podmínkách žalovaná uvádí, že osobní údaje shromažďuje a používá za účelem poskytování služeb. Odkazuje na [adresa] používání dat a vyzývá uživatele ke kontrole nastavení volby ohledně ochrany soukromí týkající se způsobů, jakým může [Anonymizováno] používat údaje uživatele (prokázáno podmínkami užívání služby a souhlas žalobce).

18. Úřad pro ochranu osobních údajů ve svém vyjádření v obdobném řízení vedeném proti žalované u Obvodního soudu v Semilech shrnul rozhodnutí irského úřadu pro ochranu osobních údajů a Evropského sboru pro ochranu osobních údajů, na které se žalobce u Obvodního soudu v Semilech odkazoval (stejně jako žalobce v tomto řízení – pozn. soudu). Upozornil na relevantní judikaturu Evropského soudního dvora, ze které vyplývá, že žalobce musí prokázat důvodnost obavy z nebezpečí zneužití jeho osobních údajů a že toto riziko je skutečné a není pouze hypotetické (prokázáno vyjádřením Úřadu pro ochranu osobních údajů ze dne 29. 10. 2024).

19. Mezi stranami nebylo sporu, že žalovaná zpracovává osobní údaje uživatelů, tedy i osobní údaje žalobce.

20. Všechny v řízení provedené důkazy soud zhodnotil postupem dle § 132 o.s.ř. a dospěl k závěru, že jsou plně věrohodné, nikterak si neodporují, naopak se navzájem doplňují a dohromady přesvědčivě vytváří ucelený obraz skutkového stavu. Z ostatních provedených důkazů soud nezjistil žádné skutečnosti rozhodné pro danou věc. Článek o odměně, kterou obdrží účastníci za dobrovolnou účast v reality show Výměna manželek, s projednávaným případem nijak nesouvisí, pro řízení tedy nenese žádné relevantní informace. Obsah žalobcem předloženého flash disku není relevantní, neboť obsahuje pouze informace a údaje, které na sociální síť [Anonymizováno] vložil sám žalobce, nijak však neprokazuje, že by tyto údaje byly zneužity. Soud neprovedl dokazování rozhodnutími irského úřadu, na které se odkazoval žalobce, protože tato rozhodnutí nejsou pro český soud závazná a zároveň nejsou dosud pravomocná. Dále soud neprováděl rozhodnutí cizích soudů, zejména soudů německých, když tyto taktéž nejsou pro český soud závazná.

21. Po zhodnocení všech provedených důkazů, kdy soud hodnotil každý důkaz jednotlivě a všechny důkazy potom v jejich vzájemné souvislosti, dospěl k závěru, že žaloba není důvodná.

22. Při hodnocení všech důkazů, které soud hodnotil samostatně i v jejich vzájemné souvislosti, dospěl k následujícímu závěru o skutkovém stavu: Žalobce je uživatelem sociální sítě [Anonymizováno], kterou provozuje žalovaná. Žalobce netvrdil, tím méně prokázal, jaké konkrétní osobní údaje žalovaná zneužila, nebo předala třetím osobám do USA. Žalobce ani neprokázal, jaká mu vznikla újma.

23. Po právní stránce soud věc posoudil podle nařízení GDPR, protože se žalobce jako subjekt údajů domáhal náhrady nemajetkové újmy, jež měla vzniknout porušením žalobcova práva na ochranu osobních údajů podle tohoto nařízení. Nařízení GDPR ale neupravuje způsob náhrady nemajetkové újmy a odkazuje v čl. 142 preambule na právo členského státu, proto bylo nutné, aby soud určil rozhodné právo. Rozhodné právo určil soud podle čl. 4 nařízení Evropského parlamentu a Rady (ES) č. 864/2007 o právu rozhodném pro mimosmluvní závazkové vztahy (Řím II), dle kterého je rozhodným právem pro mimosmluvní závazkové vztahy, které vznikají z civilních deliktů, právo země, kde škoda vznikla, bez ohledu na to, ve které zemi došlo ke skutečnosti, jež vedla ke vzniku škody, a bez ohledu na to, ve které zemi nebo kterých zemích se projevily nepřímé následky této skutečnosti. Škoda vznikla v České republice, rozhodným právem je proto české právo. Soud proto v rozsahu neupraveném nařízením GDPR postupoval podle českého práva, které je v projednávaném případě právem rozhodným, a to při zachování zásady rovnocennosti a efektivity.

24. Při posuzování merita věci tak soud postupoval vedle nařízení GDPR podle § 81 a násl. zákona č. 89/2012 Sb., občanský zákoník, a podle § 2956 a násl. občanského zákoníku.

25. Podle § 81 odst. 1 občanského zákoníku chráněna je osobnost člověka včetně všech jeho přirozených práv. Každý je povinen ctít svobodné rozhodnutí člověka žít podle svého.

26. Podle § 81 odst. 2 občanského zákoníku ochrany požívají zejména život a důstojnost člověka, jeho zdraví a právo žít v příznivém životním prostředí, jeho vážnost, čest, soukromí a jeho projevy osobní povahy.

27. Podle § 82 odst. 1 občanského zákoníku člověk, jehož osobnost byla dotčena, má právo domáhat se toho, aby bylo od neoprávněného zásahu upuštěno nebo aby byl odstraněn jeho následek.

28. Podle § 2956 občanského zákoníku vznikne-li škůdci povinnost odčinit člověku újmu na jeho přirozeném právu chráněném ustanoveními první části tohoto zákona, nahradí škodu i nemajetkovou újmu, kterou tím způsobil; jako nemajetkovou újmu odčiní i způsobené duševní útrapy.

29. Podle § 2971 občanského zákoníku odůvodňují-li to zvláštní okolnosti, za nichž škůdce způsobil újmu protiprávním činem, zejména porušil-li z hrubé nedbalosti důležitou právní povinnost, anebo způsobil-li újmu úmyslně z touhy ničit, ublížit nebo z jiné pohnutky zvlášť zavrženíhodné, nahradí škůdce též nemajetkovou újmu každému, kdo způsobenou újmu důvodně pociťuje jako osobní neštěstí, které nelze jinak odčinit.

30. Podle § 2951 odst. 2 občanského zákoníku nemajetková újma se odčiní přiměřeným zadostiučiněním. Zadostiučinění musí být poskytnuto v penězích, nezajistí-li jeho jiný způsob skutečné a dostatečně účinné odčinění způsobené újmy.

31. Podle čl. 142 preambule GDPR, pokud se subjekt údajů domnívá, že jeho práva podle tohoto nařízení byla porušena, měl by být oprávněn pověřit určitý neziskový subjekt, organizaci nebo sdružení, které jsou zřízeny v souladu s právem členského státu, jejichž statutární cíle jsou ve veřejném zájmu a které působí v oblasti ochrany osobních údajů, aby podaly jeho jménem stížnost u dozorového úřadu, uplatnily právo na soudní ochranu jménem subjektu údajů nebo uplatnily jménem subjektu údajů právo na odškodnění, je-li stanoveno v právu členského státu. Členský stát může stanovit, že tento subjekt, organizace nebo sdružení má právo podat v daném členském státě stížnost nezávisle na pověření od subjektu údajů a právo na účinnou soudní ochranu, pokud mají důvod se domnívat, že došlo k porušení práva subjektu údajů v důsledku zpracování osobních údajů, které je porušením tohoto nařízení. Tento subjekt, organizace nebo sdružení nesmí požadovat jménem subjektu údajů náhradu škody, aniž by ho tím subjekt údajů pověřil.

32. Podle čl. 75 preambule GDPR různě pravděpodobná a závažná rizika pro práva a svobody fyzických osob mohou vyplynout ze zpracování osobních údajů, které by mohlo vést k fyzické, hmotné nebo nehmotné újmě, zejména v případech, kdy by zpracování mohlo vést k diskriminaci, krádeži či zneužití identity, finanční ztrátě, poškození pověsti, ztrátě důvěrnosti osobních údajů chráněných služebním tajemstvím, neoprávněnému zrušení pseudonymizace nebo jakémukoliv jinému významnému hospodářskému či společenskému znevýhodnění, kdy by subjekty údajů mohly být zbaveny svých práv a svobod nebo možnosti kontrolovat své osobní údaje, kdy jsou zpracovávány osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, kdy jsou zpracovávány genetické údaje či údaje o zdravotním stavu či sexuálním životě nebo odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření, kdy jsou za účelem vytvoření či využití osobních profilů vyhodnocovány osobní aspekty, zejména prostřednictvím analýzy nebo odhadu aspektů týkajících se pracovních výsledků, ekonomické situace, zdravotního stavu, osobních preferencí nebo zájmů, spolehlivosti nebo chování, místa pobytu a pohybu, kdy jsou zpracovávány osobní údaje zranitelných osob, především dětí, nebo kdy je zpracováván velký objem osobních údajů a zpracování se dotýká velkého počtu subjektů údajů.

33. Podle čl. 85 preambule GDPR Není-li porušení zabezpečení osobních údajů řešeno náležitě a včas, může to fyzickým osobám způsobit fyzickou, hmotnou či nehmotnou újmu, jako je ztráta kontroly nad jejich osobními údaji nebo omezení jejich práv, diskriminace, krádež nebo zneužití identity, finanční ztráta, neoprávněné zrušení pseudonymizace, poškození pověsti, ztráta důvěrnosti osobních údajů chráněných služebním tajemstvím nebo jakékoliv jiné významné hospodářské či společenské znevýhodnění dotčených fyzických osob. Jakmile se tedy správce o porušení zabezpečení osobních údajů dozví, měl by je bez zbytečného odkladu, a je-li to možné, do 72 hodin poté, co se o něm dozvěděl, ohlásit příslušnému dozorovému úřadu, ledaže může v souladu se zásadou odpovědnosti doložit, že je nepravděpodobné, že by dané porušení zabezpečení osobních údajů mělo za následek riziko pro práva a svobody fyzických osob. Není-li toto ohlášení možné učinit do 72 hodin, měly by být spolu s ním uvedeny důvody zpoždění a informace mohou být poskytnuty postupně bez zbytečného dalšího prodlení.

34. Podle čl. 4 odst. 1 GDPR pojmem osobní údaje se rozumí veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.

35. Podle čl. 5 odst. 1 písm. a) GDPR osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem.

36. Podle čl. 6 odst. 1 GDPR zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů; b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů; c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje; d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby; e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce; f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

37. Podle čl. 6 odst. 2 GDPR členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.

38. Podle čl. 6 odst. 3 GDPR základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven: a) právem Unie nebo b) právem členského státu, které se na správce vztahuje. Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.

39. Podle čl. 6 odst. 4 GDPR, pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné: a) jakoukoli vazbu mezi účely, kvůli nimž byly osobní údaje shromážděny, a účely zamýšleného dalšího zpracování; b) okolnosti, za nichž byly osobní údaje shromážděny, zejména pokud jde o vztah mezi subjekty údajů a správcem; c) povahu osobních údajů, zejména zda jsou zpracovávány zvláštní kategorie osobních údajů podle článku 9 nebo osobní údaje týkající se rozsudků v trestních věcech a trestných činů podle článku 10; d) možné důsledky zamýšleného dalšího zpracování pro subjekty údajů; e) existenci vhodných záruk, mezi něž může patřit šifrování nebo pseudonymizace.

40. Podle čl. 9 odst. 1 GDPR zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

41. Podle čl. 9 odst. 2 GDPR odstavec 1 se nepoužije, pokud jde o některý z těchto případů: a) subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen; b) zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů; c) zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas; d) zpracování provádí v rámci svých oprávněných činností a s vhodnými zárukami nadace, sdružení nebo jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, a za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy tohoto subjektu nebo na osoby, které s ním udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt; e) zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů; f) zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo pokud soudy jednají v rámci svých soudních pravomocí; g) zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů; h) zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče či léčby nebo řízení systémů a služeb zdravotní nebo sociální péče na základě práva Unie nebo členského státu nebo podle smlouvy se zdravotnickým pracovníkem a při splnění podmínek a záruk uvedených v odstavci 4; i) zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění přísných norem kvality a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva Unie nebo členského státu, které stanoví odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů, zejména služebního tajemství; j) zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely v souladu s čl. 89 odst. 1 na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů.

42. Podle čl. 12 odst. 1 GDPR správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. Pokud si to subjekt údajů vyžádá, mohou být informace poskytnuty ústně, a to za předpokladu, že identita subjektu údajů je prokázána jinými způsoby.

43. Podle čl. 12 odst. 3 GDPR správce poskytne subjektu údajů na žádost podle článků 15 až 22 informace o přijatých opatřeních, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. Správce informuje subjekt údajů o jakémkoliv takovém prodloužení do jednoho měsíce od obdržení žádosti spolu s důvody pro tento odklad. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, je-li to možné, pokud subjekt údajů nepožádá o jiný způsob.

44. Podle čl. 12 odst. 4 GDPR, pokud správce nepřijme opatření, o něž subjekt údajů požádal, informuje bezodkladně a nejpozději do jednoho měsíce od přijetí žádosti subjekt údajů o důvodech nepřijetí opatření a o možnosti podat stížnost u dozorového úřadu a žádat o soudní ochranu.

45. Podle čl. 12 odst. 5 GDPR informace podle článků 13 a 14 a veškerá sdělení a veškeré úkony podle článků 15 až 22 a 34 se poskytují a činí bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď: a) uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s učiněním požadovaných úkonů; nebo b) odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.

46. Podle čl. 13 odst. 1 GDPR, pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace: a) totožnost a kontaktní údaje správce a jeho případného zástupce; b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů; c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování; d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f); e) případné příjemce nebo kategorie příjemců osobních údajů; f) případný úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.

47. Podle čl. 13 odst. 2 GDPR vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování: a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby; b) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů; c) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním; d) existence práva podat stížnost u dozorového úřadu; e) skutečnost, zda poskytování osobních údajů je zákonným či smluvním požadavkem, nebo požadavkem, který je nutné uvést do smlouvy, a zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů; f) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

48. Podle čl. 13 odst. 3 GDPR, pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

49. Podle čl. 14 odst. 1 GDPR jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace: a) totožnost a kontaktní údaje správce a případně jeho zástupce; b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů; c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování; d) kategorie dotčených osobních údajů; e) případné příjemce nebo kategorie příjemců osobních údajů; f) případný záměr správce předat osobní údaje příjemci ve třetí zemi nebo mezinárodní organizaci a existence či neexistence rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo v čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.

50. Podle čl. 14 odst. 2 GDPR kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů: a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby; b) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f); c) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz anebo omezení zpracování a práva vznést námitku proti zpracování, jakož i práva na přenositelnost údajů; d) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním; e) existence práva podat stížnost u dozorového úřadu; f) zdroj, ze kterého osobní údaje pocházejí, a případně informace o tom, zda údaje pocházejí z veřejně dostupných zdrojů; g) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

51. Podle čl. 14 odst. 3 GDPR správce poskytne informace uvedené v odstavcích 1 a 2: a) v přiměřené lhůtě po získání osobních údajů, ale nejpozději do jednoho měsíce, s ohledem na konkrétní okolnosti, za nichž jsou osobní údaje zpracovávány; b) nejpozději v okamžiku, kdy poprvé dojde ke komunikaci se subjektem údajů, mají-li být osobní údaje použity pro účely této komunikace; nebo c) nejpozději při prvním zpřístupnění osobních údajů, pokud je má v úmyslu zpřístupnit jinému příjemci.

52. Podle čl. 14 odst. 4 GDPR, pokud správce hodlá osobní údaje dále zpracovat pro jiný účel, než pro který byly získány, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

53. Podle čl. 14 odst. 5 GDPR odstavce 1 a 4 se nepoužijí, pokud a do té míry, v níž: a) subjekt údajů již uvedené informace má; b) se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí; to platí zejména v případě zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely s výhradou podmínek a záruk uvedených v čl. 89 odst. 1, nebo pokud je pravděpodobné, že uplatnění povinnosti uvedené v odstavci 1 tohoto článku by znemožnilo nebo výrazně ztížilo dosažení cílů uvedeného zpracování. V takových případech přijme správce vhodná opatření na ochranu práv, svobod a oprávněných zájmů subjektu údajů, včetně zpřístupnění daných informací veřejnosti; c) je získávání nebo zpřístupnění výslovně stanoveno právem Unie nebo členského státu, které se na správce vztahuje a v němž jsou stanovena vhodná opatření na ochranu oprávněných zájmů subjektu údajů; nebo d) osobní údaje musí zůstat důvěrné s ohledem na povinnost zachovávat služební tajemství upravenou právem Unie nebo členského státu, včetně zákonné povinnosti mlčenlivosti.

54. Podle čl. 15 odst. 1 GDPR subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím: a) účely zpracování; b) kategorie dotčených osobních údajů; c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích; d) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby; e) existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování a nebo vznést námitku proti tomuto zpracování; f) právo podat stížnost u dozorového úřadu; g) veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů; h) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

55. Podle čl. 15 odst. 2 GDPR, pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46, které se vztahují na předání.

56. Podle čl. 15 odst. 3 GDPR správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.

57. Podle čl. 15 odst. 4 GDPR právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.

58. Podle čl. 44 GDPR k jakémukoli předání osobních údajů, které jsou předmětem zpracování nebo které jsou určeny ke zpracování po předání do třetí země nebo mezinárodní organizaci, může dojít pouze tehdy, splní-li správce a zpracovatel v závislosti na dalších ustanoveních tohoto nařízení podmínky stanovené v této kapitole, včetně podmínek pro další předávání osobních údajů z dané třetí země nebo mezinárodní organizace do jiné třetí země nebo jiné mezinárodní organizaci. Veškerá ustanovení této kapitoly se použijí s cílem zajistit, aby úroveň ochrany fyzických osob zaručená tímto nařízením nebyla znehodnocena.

59. Podle čl. 45 odst. 3 GDPR Komise může po posouzení odpovídající úrovně ochrany prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku. Uvedený prováděcí akt stanoví mechanismus pro pravidelný přezkum prováděný nejméně každé čtyři roky, který zohlední veškerý relevantní vývoj v dotčené třetí zemi nebo mezinárodní organizaci. Stanoví také svou územní a odvětvovou působnost a případně určí dozorový úřad nebo úřady uvedené v odst. 2 písm. b) tohoto článku. Tento prováděcí akt se přijímá přezkumným postupem podle čl. 93 odst. 2.

60. Podle čl. 46 odst. 1 GDPR, jestliže neexistuje rozhodnutí podle čl. 45 odst. 3, správce nebo zpracovatel mohou předat osobní údaje do třetí země nebo mezinárodní organizaci, pouze pokud správce nebo zpracovatel poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů.

61. Podle čl. 46 odst. 2 GDPR vhodné záruky uvedené v odstavci 1 mohou být stanoveny, aniž je zapotřebí jakékoli zvláštní povolení dozorového úřadu, pomocí: a) právně závazného a vymahatelného nástroje mezi orgány veřejné moci nebo veřejnými subjekty; b) závazných podnikových pravidel v souladu s článkem 47; c) standardních doložek o ochraně osobních údajů přijatých Komisí přezkumným postupem podle čl. 93 odst. 2; d) standardních doložek o ochraně údajů přijatých dozorovým úřadem a schválených Komisí přezkumným postupem podle čl. 93 odst. 2; e) schváleného kodexu chování podle článku 40 spolu se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky, a to i ohledně práv subjektů údajů; nebo f) schváleného mechanismu pro vydání osvědčení podle článku 42 spolu se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky, a to i ohledně práv subjektů údajů.

62. Podle čl. 49 odst. 1 písm. b) GDPR, jestliže neexistuje rozhodnutí o odpovídající ochraně podle čl. 45 odst. 3 ani vhodné záruky podle článku 46, včetně závazných podnikových pravidel, může se předání nebo soubor předání osobních údajů do třetí země nebo mezinárodní organizaci uskutečnit pouze při splnění jedné z následujících podmínek předání je nezbytné pro splnění smlouvy mezi subjektem údajů a správcem nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů.

63. Podle čl. 82 odst. 1 GDPR kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.

64. Podle čl. 82 odst. 2 GDPR správce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení. Zpracovatel je za újmu způsobenou zpracováním odpovědný pouze v případě, že nesplnil povinnosti stanovené tímto nařízením konkrétně pro zpracovatele nebo že jednal nad rámec zákonných pokynů správce nebo v rozporu s nimi.

65. Podle čl. 82 odst. 3 GDPR správce nebo zpracovatel jsou odpovědnosti podle odstavce 2 zproštěni, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla.

66. Podle čl. 82 odst. 4 GDPR je-li do téhož zpracování zapojen více než jeden správce nebo zpracovatel, nebo správce i zpracovatel, a nesou-li podle odstavců 2 a 3 odpovědnost za jakoukoliv škodu způsobenou daným zpracováním, nese každý správce nebo zpracovatel odpovědnost za celou újmu, tak aby byla zajištěna účinná náhrada újmy subjektu údajů.

67. Podle čl. 82 odst. 5 GDPR, jestliže některý správce nebo zpracovatel zaplatil v souladu s odstavcem 4 plnou náhradu způsobené újmy, má právo žádat od ostatních správců nebo zpracovatelů zapojených do téhož zpracování vrácení části náhrady, která odpovídá jejich podílu na odpovědnosti za újmu v souladu s podmínkami v odstavci 2.

68. Podle čl. 84 odst. 1 GDPR členské státy stanoví pravidla pro jiné sankce, jež se mají ukládat za porušení tohoto nařízení, zejména za porušení, na něž se nevztahují správní pokuty podle článku 83, a učiní veškerá opatření nezbytná k zajištění jejich uplatňování. Tyto sankce musí být účinné, přiměřené a odrazující.

69. Žalobce se po žalované domáhal náhrady nemajetkové újmy v penězích. Tuto újmu žalobce dle svého tvrzení utrpěl ztrátou kontroly nad svými osobními údaji, což žalovaná zavinila tím, že zpracovávala osobní údaje žalobce pro účely behaviorální reklamy bez řádného právního základu, čímž se dopustila porušení čl. 6 GDPR. Dále žalovaná dle žalobce porušila svou informační povinnost vůči žalobci dle čl. 5 odst. 1 písm. a) GDPR a čl. 12 až 14 GDPR. A v neposlední řadě žalovaná neposkytla dostatečnou úroveň ochrany osobním údajům žalobce předávaných do USA, čímž se dopustila porušení čl. 46 odst. 1 GDPR. Dále žalobce tvrdil, že o něm žalovaná shromažďuje citlivé údaje.

70. Předpokladem úspěšného uplatnění práva na náhradu újmy způsobené porušením nařízení GDPR je dle čl. 82 GDPR, který je přímo použitelný, splnění tří kumulativních podmínek, a to prokázání 1) existence porušení nařízení GDPR, 2) existenci majetkové nebo nemajetkové újmy způsobené osobě, která žádá o náhradu, a 3) příčinné souvislosti mezi tímto porušením a způsobenou újmou. Pojem újmy by měl být dle čl. 146 preambule GDPR vykládán široce a způsobem, který plně odráží cíle nařízení. Z upřesnění uvedených v bodech 75, 85 a 146 odůvodnění GDPR vyplývá zaprvé, že vznik újmy v souvislosti se zpracováním porušujícím nařízení je pouze potenciální, zadruhé, že porušení GDPR nutně nezpůsobuje újmu, a zatřetí, že k založení nároku subjektu údajů na náhradu újmy musí existovat příčinná souvislost mezi dotčeným porušením a újmou, kterou utrpěl subjekt údajů. Pouhé porušení nařízení GDPR nepostačuje k přiznání práva na náhradu újmy. Pojem „újma“, a konkrétně v daném věci pojem „nehmotná újma“ ve smyslu čl. 82 GDPR, musí být vzhledem k neexistenci jakéhokoli odkazu na vnitrostátní právo členských států definován autonomně a jednotně v unijním právu. Přičemž podle Soudního dvora EU není nárok na náhradu újmy s přihlédnutím k čl. 146 odůvodnění GDPR podmíněna dosažením určité hranice závažnosti. Takto přijatý výklad ale nelze chápat tak, že by osoba dotčená porušením GDPR, které mělo vůči ní negativní důsledky, byla zproštěna povinnosti prokázat, že tyto důsledky představují nehmotnou újmu ve smyslu čl. 82 GDPR. Nařízení GDPR neobsahuje ustanovení, jehož cílem by bylo stanovit pravidla pro posuzování náhrady újmy, které se může subjekt údajů ve smyslu čl. 4 bodu 1 GDPR domáhat na základě čl. 82, pokud porušením uvedeného nařízení utrpěl újmu (srov. rozsudek Soudního dvora EU ze dne [datum] ve věci C-300/21).

71. V souladu s ustálenou judikaturou je při neexistenci pravidel unijního práva v dané oblasti na vnitrostátním právním řádu každého členského státu, aby na základě zásady procesní autonomie upravil procesní podmínky soudních řízení určených k zajištění ochrany práv jednotlivců, avšak za podmínky, že tyto podmínky nejsou v situacích, na které se uplatní unijní právo, méně příznivé než v podobných situacích podléhajících vnitrostátnímu právu (zásada rovnocennosti) a v praxi neznemožňují nebo nadměrně neztěžují výkon práv přiznaných unijním právem (zásada efektivity). Vzhledem k tomu, že GDPR neobsahuje ustanovení, jehož cílem by bylo stanovit pravidla pro posuzování náhrady újmy, která má být přiznána na základě práva na náhradu újmy zakotveného v čl. 82 GDPR, musí soud v projednávané věci za tímto účelem uplatnit vnitrostátní pravidla týkající se rozsahu peněžité náhrady za předpokladu, že jsou dodrženy výše zmíněné zásady, a to zásada rovnocennosti a efektivity unijního práva (srov. rozsudek Soudního dvora EU ze dne 4. 10. 2024 ve věci C-507/23).

72. Jinými slovy každé porušení nařízení GDPR samo o sobě automaticky nezakládá právo na náhradu újmy. Utrpěnou újmu musí žadatel prokázat. Vzhledem k tomu, že samo nařízení neupravuje způsob náhrady vzniklé škody a nemajetkové újmy, musí vnitrostátní soudy podle Soudního dvora EU i s odkazem v čl. 142 preambule GDPR pro účely stanovení výše náhrady újmy, uplatnit vnitrostátní pravidla, tedy v případě České republiky obecnou úpravu ochrany osobnosti obsaženou v občanském zákoníku, ke kterému je nařízení GDPR v poměru speciality. Dovolává-li se žalobce toho, že žalovaná nakládala s jeho osobními údaji v rozporu s nařízením GDPR, tvrdí zároveň, že bylo zasaženo do jeho osobnostních práv. Je tedy třeba uplatnit českou právní úpravu na ochranu osobnosti dle § 81 a násl. občanského zákoníku.

73. Předpokladem úspěšného uplatnění práva na ochranu osobnosti ve smyslu § 81 a násl. občanského zákoníku je jednak to, že došlo k neoprávněnému zásahu, a jednak to, že tento zásah byl objektivně způsobilý přivodit újmu na právech chráněných zmíněnými zákonnými ustanoveními. Oba předpoklady musí být splněny zároveň, aby vznikl právní vztah, jehož obsahem je právo domáhat se ochrany podle § 81 občanského zákoníku a povinnost soudem uložené sankce snášet. Přitom nikoliv každý zásah (zejména do práva na ochranu občanské či profesní cti) je objektivně způsobilý újmu vyvolat. Záleží mimo jiné na prostředí, v němž k zásahu došlo, na subjektu a objektu zásahu, na jeho obsahu, pokud spočíval ve skutkových tvrzeních, na intenzitě a na ostatních okolnostech, za nichž byl proveden.

74. Žalobce se v řízení domáhal toliko relutární satisfakce ve výši [částka].

75. Nemajetková újma není vyjádřitelná v penězích, proto není účelem zadostiučinění její vyrovnání, ale poskytnutí morální nebo finanční satisfakce. Morální satisfakce může mít podobu omluvy, odvolání difamujícího výroku, uveřejnění soudního výroku v tisku, a tím uvedení věci veřejně na pravou míru, soudní konstatování porušení subjektivního práva apod. Zadostiučinění má být přiměřené, proto je nutné jeho odstupňování podle všech okolností, které provázejí vznik nemajetkové újmy tak, aby zvolený způsob zadostiučinění byl dostatečně účinný. Primární je posoudit, zda vůbec má být zadostiučinění poskytnuto, neboť člověk žijící ve společnosti musí ledacos snést (běžné slovní útoky, projevy neúcty apod.). Přiměřenost zadostiučinění je třeba posuzovat vždy podle okolností konkrétního případu, a to jak z hledisek objektivních (např. obecná hodnota újmou postiženého statku, rozsah újmy, doba jejího trvání), tak i subjektivních, a to jak na straně poškozeného (míra snížení jeho důstojnosti či vážnosti ve společnosti, význam postiženého statku pro poškozeného, vliv na jeho postavení profesní, společenské a rodinné), tak na straně škůdce (forma zavinění, pohnutka, způsob zásahu a doba jeho trvání, vědomí o významu narušeného statku pro poškozeného, snaha o odčinění následků, jeho majetkové poměry a hospodářský prospěch). Zákon v § 2951 odst. 2 o. z. stanoví, že zadostiučinění má být přiměřené. Jinak řečeno, musí být dán vztah přiměřenosti (proporcionality) mezi zásahem (deliktem) a satisfakcí. Aby soud mohl tomuto zákonnému požadavku dostát, posuzuje konkrétní skutkový stav z výše popsaných objektivních i subjektivních hledisek, na základě nichž pak dospívá k daným okolnostem přiměřenému zadostiučinění. Pouze při takovém postupu může soud naplnit ustanovení zákona a současně umožnit srovnatelnost jednotlivých případů, tedy dostát požadavku spravedlnosti rozhodnutí (srov. rozsudek Nejvyššího soudu ČR ze dne 10. července 2020, sp. zn. 25 Cdo 167/2019).

76. U újmy, která nemá majetkový charakter, je z povahy věci vyloučena náhrada, která by znamenala uvedení do předešlého stavu. Nastupuje proto princip kompenzační (satisfakční), kdy poskytnuté plnění má přinést odčinění nemajetkové újmy v podobě zadostiučinění, které má alespoň zmírnit (odčinit) nepříznivé stavy vzniklé škodlivým zásahem do osobnostní sféry poškozeného, případně poskytnout poškozenému možnost, aby si těžko měřitelné a na peníze ne zcela spolehlivě a exaktně převoditelné potíže nemajetkového charakteru vykompenzoval tím, že si pomocí prostředků či předmětů, pořízených za poskytnutou náhradu, zpříjemní či usnadní život. Peněžitá náhrada je uváděna jako subsidiární způsob, který nastupuje teprve v případě, že jiná forma není dostačující. Při určení přiměřenosti satisfakce je třeba vycházet z celkové povahy i z jednotlivých okolností případu (k intenzitě, povaze a způsobu neoprávněného zásahu, k charakteru a rozsahu zasažené hodnoty osobnosti, k trvání i šíři vzniklé nemajetkové újmy apod.). Je nezbytné zkoumat míru tvrzeného porušení základního práva na ochranu osobnosti (osobní cti a dobré pověsti), a to v kontextu se svobodou projevu a s právem na informace a se zřetelem na požadavek proporcionality uplatňování těchto práv a jejich ochrany (srov. NS 30 Cdo 332/2007).

77. Jde-li o požadavek na přisouzení náhrady nemajetkové újmy v penězích, je na soudech zjistit v prvé řadě míru závažnosti zásahu do práva na ochranu osobnosti fyzické osoby, tj. ověření toho, zda k němu došlo ve značné míře, což předpokládá zhodnocení jak podle celkové povahy případu, tak podle jeho jednotlivých okolností. Současně je třeba přihlížet i k tomu, že tato forma zadostiučinění je právním institutem do jisté míry výjimečného charakteru, který se uplatní právě jen za splnění zákonem stanovených předpokladů. Přiznání zadostiučinění v penězích soudem tedy předpokládá naplnění řady zákonných podmínek, které současně musí být soudem skutečně seznány a pro daný případ individualizovány. Určujícím je mimo jiné především zjištění, že v konkrétním případě jde o nemajetkovou újmu vzniklou v osobnostní sféře fyzické osoby, kterou tato fyzická osoba objektivně zejména vzhledem k povaze, intenzitě, trvání a rozsahu působení nepříznivého následku může pociťovat a prožívat jako závažnou. Soud současně musí uvážit, že právo na náhradu nemajetné újmy v penězích je („pouze“) jedním z dílčích a relativně samostatných prostředků ochrany jednotného práva na ochranu osobnosti fyzické osoby, které vzniká tehdy, kdy ostatní potencionální satisfakční instrumenty k vyvážení a zmírnění nepříznivých následků protiprávního zásahu do osobnostních práv nedostačují. Je proto na soudu, aby při úvahách o uplatněném nároku na náhradu nemajetkové újmy v penězích se těmito okolnostmi zabýval a do svého rozhodnutí je také promítl (srov. rozsudek Nejvyššího soudu ze dne 29. listopadu 2012, sp. zn. 30 Cdo 1092/2011).

78. Zadostiučinění v penězích plní především satisfakční funkci, i když úlohu preventivního významu zákonu odpovídajícího a spravedlivého zadostiučinění nelze vylučovat. Vlastní zásah je nutno hodnotit vždy objektivně s přihlédnutím ke konkrétní situaci, za které k neoprávněnému zásahu došlo (tzv. konkrétní uplatnění objektivního kritéria), jakož i k osobě postižené fyzické osoby (tzv. diferencované uplatnění objektivního kritéria). Uplatnění konkrétního a diferencovaného objektivního hodnocení znamená, že o snížení důstojnosti postižené fyzické osoby či její vážnosti ve společnosti ve značné míře půjde pouze tam, kde za konkrétní situace, za které k neoprávněnému zásahu do osobnosti fyzické osoby došlo, jakož i s přihlédnutím k dotčené fyzické osobě, lze spolehlivě dovodit, že by nastalou nemajetkovou újmu vzhledem k intenzitě a trvání nepříznivého následku spočívajícího ve snížení její důstojnosti či vážnosti ve společnosti pociťovala jako závažnou zpravidla každá fyzická osoba nacházející se na místě a v postavení postižené fyzické osoby (srov. rozsudek Nejvyššího soudu ČR ze dne 7.10.2009, sp.zn. 30 Cdo 4431/2007).

79. Žalobce tvrdil porušení nařízení ze strany žalované velmi obecně a odkazoval se na správní rozhodnutí irského úřadu pro ochranu osobních údajů, jehož závěry nejsou pro zdejší soud závazné. Vzhledem k tomu, že žalobce netvrdil ani neprokazoval, v čem konkrétně porušila žalovaná ve vztahu k němu nařízení GDPR, byl soudem při prvním jednání poučen a vyzván podle § 118a o. s. ř., aby dotvrdil a doložil, že žalovaná nezákonným způsobem zpracovala jeho velmi citlivé osobní údaje bez jeho souhlasu, o jaké konkrétní údaje šlo a jakým způsobem byly zpracovány, že žalovaná zapříčinila ztrátu kontroly žalobce nad jeho osobními údaji a ztrátu jeho schopnosti uplatňovat volby týkající se zpracování osobních údajů žalobce, a jakým konkrétním způsobem tak učinila, že žalovaná předala osobní údaje žalobce do USA, o jaké konkrétní osobní údaje žalobce šlo, kdy se tak ve vztahu k jednotlivým údajům stalo a jak byly v USA použity, jak byly zpracovány státními orgány USA, že žalovaná zpracovávala osobní údaje žalobce pro účely behaviorální reklamy bez řádného právního základu, že žalovaná porušila informační povinnost vůči žalobci dle GDPR a jakým způsobem a jaká konkrétní újma mu v důsledku tvrzené činnosti žalované vznikla.

80. Žalobce na výzvu reagoval obsáhlými podáními, ve kterých však výzvě nevyhověl, neuvedl své osobní údaje, které měly být jakkoli zneužity či využity v rozporu s GDPR, zejména které měly být poskytnuty třetí straně, výslovně uvedl, že toto prokázat nelze 81. Žalobce tvrdil, že žalovaná shromažďuje jeho osobní údaje a dále je zpracovává. Toto žalovaná ani nerozporovala, když shromažďování dat a minimálně z části i jejich následné zpracování je podstatou sociálních sítí, kam uživatelé včetně žalobce sami nahrávají a sdílí svá data. Uživatelé si mohou nastavit, jak veřejně či soukromě obsah sdílí, ale zároveň je třeba počítat s tím, že cokoliv je na síť nahráno, je již v dispozici žalované jakožto správce údajů. Jak žalovaná na svých sociálních sítích s údaji nakládá, komu a v jaké formě je oprávněna je poskytovat třetím stranám bylo v řízení prokázáno Zásadami údajů a Podmínkami služby. Uživatelé s těmito podmínkami vyslovují svůj souhlas.

82. V řízení bylo prokázáno a ostatně nesporováno, že žalobce s podmínkami vyjádřil svůj souhlas dne 11. 9. 2023 v 9:25 hod. Pokud uživatel s podmínkami služby nesouhlasí, vždy má možnost službu nevyužít, případně ji využívat s určitými opatřeními, aby o sobě neposkytl téměř žádné relevantní informace. Již z vyjádření žalobce však plyne, že o sobě poskytoval značné množství informací, včetně těch o jeho zdravotním stavu, politickém přesvědčení či sexuální orientaci.

83. Co se týče žalobcova tvrzení, že o něm žalovaná shromažďuje citlivé údaje v rozporu s čl. 9 odst. 1 GDPR, jako například údaje o zdravotním stavu nebo politickém přesvědčení, toto nemůže jít k tíži žalované, když sám žalobce tyto údaje na sociální síť nahrál, a to tak, že sdílel svou fotografii s ulomeným zubem po úrazu a v rámci chatovací aplikace si s přáteli sděloval své politické názory. Žalobce nijak neprokázal, že by žalovaná s těmito citlivými údaji, které žalobce sám dobrovolně poskytl, dále nakládala, že by je poskytla třetí straně.

84. Žalovaná měla dle žalobce nezákonně předávat osobní údaje do USA, čímž měl žalobce utrpět ztrátu kontroly nad svými osobními údaji, které mohly být žalovanou údajně předány státním orgánům USA, a žalobce nemohl vědět, zda je tyto státní orgány dále zpracovávají a případně jak. Za své tvrzení označil správní rozhodnutí irského úřadu pro ochranu osobních údajů, ve kterém úřad připustil možnost předávání údajů žalovanou do USA, s tím, že pokud by k tomuto hypoteticky došlo, důsledkem předáním by byla ztráta kontroly nad osobními údaji. Žalobce ale ani na výzvu neprokázal, zda došlo ze strany žalované k nezákonnému předání konkrétně jeho osobních údajů třetí straně.

85. K přiznání náhrady nemajetkové újmy v penězích nestačí, že zde existuje riziko, že k předání údajů došlo. Tím spíše, že ne každé předání informací třetím stranám je v rozporu s nařízením GDPR. Žalobce by musel prokázat důvodnou obavu, že došlo k předání konkrétně jeho osobních údajů třetí straně bez jeho souhlasu a v rozporu s nařízením GDPR. Soud si je vědom obtížnosti důkazní situace žalobce, ale není možné přiznávat náhradu nemajetkové újmy na základě domněnky žalobce.

86. Žalobce se například v případě behaviorální reklamy domníval, že žalovaná poskytuje údaje o uživatelích třetím osobám, v tomto případě inzerentům, kteří na základě takto získaných dat, personalizují reklamu každému uživateli na míru. V řízení bylo ale prokázáno v dokumentech o reklamách na Facebooku, že takto žalovaná údaje o uživatelích inzerentům nepředává, pouze sama na základě informací o uživateli reklamy třídí a zobrazí každému reklamy, které pro něj vyhodnotila jako relevantní.

87. Žalobce se v řízení odkazoval na rozhodnutí irského úřadu pro ochranu osobních údajů a německých soudů. Cizí rozhodnutí může být pro soud určitým vodítkem, ale v žádném případě není pro soud závazné, neboť Česká republika má vlastní právní systém a též vlastní judikaturu. Tvrzeními z rozhodnutí irského úřadu se soud nezabýval, protože tato nejsou dosud pravomocná, když v těchto řízeních žalovaná podávala opravné prostředky, což žalobce nesporoval.

88. Vzhledem k tomu, že žalobce neprokázal vznik nemajetkové újmy ani nakládání žalovanou s jeho osobními údaji v rozporu s nařízením, nezabýval se soud výší náhrady nemajetkové újmy, protože nebyly splněny shora uvedené tři kumulativní podmínky pro vznik nároku na náhradu nemajetkové újmy. Soud k žalované náhradě jen podotýká, že způsob, jakým chce žalobce nahradit svou újmu, tedy výlučně formou relutární satisfakce, aniž by se domáhal zdržení se neoprávněného nakládání s osobními údaji či omluvy, působí značně účelově. Soud by očekával, že prioritním zájmem žalobce bude, aby žalovaná tvrzeného jednání zanechala, to však nárokováno není.

89. I vzhledem k množství identických žalob, které aktuálně různí žalobci s totožným právním zástupcem podávají proti žalované napříč Českou republikou, i tím, že soudní poplatek uhradil nikoli žalobce, ale společnost [právnická osoba]. specializující se na žaloby proti žalované, působí žaloba jako součást snahy o „tažení“ proti žalované, a to v projednávaném případě bez prokázání vzniku újmy na straně žalobce. Není úkolem soudu populisticky přiznávat v takových případech bez dalšího náhradu nemajetkové újmy, soud není ani správním orgánem, aby žalovanou za teoretické porušení GDPR trestal.

90. S ohledem na uvedené soud uzavírá, že žalobce nijak neprokázal vznik újmy na jeho straně, nadto v takové intenzitě, aby za ni bylo možno přiznat náhradu nemajetkové újmy v penězích, byť v nízké částce 25 000 Kč. Pro nadbytečnost se soud blíže nezabýval namítanou nedostatečností „privacy shield“ právě proto, že žalobce neprokázal vznik újmy ani to, jaké údaje o něm by měly být zneužity či předány třetí osobě/osobám.

91. Soud proto žalobu zamítl tak, jak je uvedeno ve výroku I. tohoto rozsudku.

92. O náhradě nákladů řízení rozhodl soud výrokem II. podle § 142 odst. 1 o. s. ř. tak, že přiznal žalované, jež byla v řízení zcela úspěšná, nárok na náhradu nákladů řízení v částce 28 798 Kč. Tyto náklady sestávají z nákladů zastoupení advokátem, kterému náleží odměna stanovená dle § 9 odst. 4 písm. a), § 6 odst. 1 a § 7 bod 5 vyhlášky č. 177/1996 Sb., advokátního tarifu, (dále jen „a. t.”) ve znění účinném do 31. 12. 2024 z tarifní hodnoty ve výši 50 000 Kč sestávající z částky 3 100 Kč za každý ze čtyř úkonů uvedených v § 11 odst. 1 a. t. (převzetí a příprava právního zastoupení, vyjádření k žalobě ze dne 22. 7. 2024, vyjádření k replice žalobce ze dne 12. 11. 2024 a účast na jednání soudu dne 26. 11. 2024) včetně čtyř paušálních náhrad výdajů po 300 Kč dle § 13 odst. 4 a. t. A dále žalované náleží odměna stanovená dle § 9a odst. 4 písm. a), § 6 odst. 1 a § 7 bod 5 a. t. ve znění účinném od 1. 1. 2025 z tarifní hodnoty ve výši 25 000 Kč sestávající z částky 2 100 Kč za každý ze čtyř úkonů uvedených v § 11 odst. 1 a. t. (vyjádření k doplnění žalobce ze dne 31. 1. 2025, účast na jednání soudu dne 12. 2. 2025, vyjádření žalované ze dne 14. 3. 2025 a účast na jednání soudu dne 9. 4. 2025) včetně čtyř paušálních náhrad výdajů po 450 Kč dle § 13 odst. 4 a. t. A daň z přidané hodnoty ve výši 21 % z částky 23 800 Kč ve výši 4 998 Kč.

93. Soud nepřiznal žalované náhradu tří úkonů – porady s klientem dne 14. 10. 2024, dne 16. 12. 2024 a dne 25. 3. 2025, neboť tyto úkony nebyly soudu doloženy.

94. Celkové náklady žalované ve výši 28 798 Kč byly přisouzeny v obecné pariční lhůtě (§ 160 odst. 1 věta prvá před středníkem o. s. ř.) a na zákonné platební místo (§ 149 odst. 1 o. s. ř.).

Poučení