28 C 96/2024

Plný text

Obvodní soud pro Prahu 4 rozhodl soudcem Mgr. Janem Bártou ve věci žalobce: Jméno žalobce , narozený Datum narození žalobce bytem Adresa žalobce , 140 00 Praha 4 zastoupený advokátem Jméno advokáta A sídlem Adresa advokáta A proti žalované: Anonymizováno sídlem Anonymizováno zastoupená advokátem Jméno advokáta B sídlem Adresa advokáta B v řízení o náhradu nemajetkové újmy I. Žaloba, kterou se žalobce domáhal toho, aby byla žalované uložena povinnost zaplatit žalobci částku ve výši , částka, , se zamítá., jméno FO, . Žalobce je povinen zaplatit žalované ve lhůtě do jednoho měsíce ode dne právní moci tohoto rozsudku na náhradu nákladů řízení částku ve výši , částka, , a to k rukám zástupce žalované.

1. Žalobce se žalobou podanou dne , datum, domáhal na žalované zaplacení částky , částka, jakožto satisfakce za imateriální újmu, kterou mu žalovaná měla způsobit zaviněným a úmyslným porušování čl. 82 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne , datum, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR).

2. Žalobce uvedl, že je dlouhodobě (od roku 2009) uživatelem , Anonymizováno, . Za dobu, po kterou žalobce , Anonymizováno, užívá, získala , Anonymizováno, o osobě žalobce extrémní množství informací, jak o obsahu zpráv, které si píše se svými přáteli, tak o veškeré aktivitě žalobce na , Anonymizováno, , o užitých IP adresách, lokalitách, zjištěných preferencích, účastech na akcích, vyhledáváních, reakcích na reklamy na , Anonymizováno, i mimo něj apod. Velikost souborů s daty žalobce, které , Anonymizováno, poskytuje, činí několik GB, což je ekvivalent několika tisíc elektronických knih. Nejedná se pak pouze o data, která žalobce sám sdílel – takto sdílené informace tvoří zanedbatelnou část zpracovávaných dat, které jsou pro jejich vztah k žalobci, který je pro žalovanou identifikovatelným uživatelem, jeho osobními údaji. Žalobce měl obecné povědomí o skutečnostech, že žalovaná prostřednictvím , Anonymizováno, zpracovává jeho osobní údaje. , Anonymizováno, však sbírá téměř nekonečné množství informací o aktivitě uživatele (žalobce), jeho preferencích, přátelích, geografické poloze, obsahu soukromých zpráv apod. Žalobce dle obsahu žaloby velmi zasáhlo, když se dozvěděl o flagrantním porušování pravidel ochrany osobních údajů ze strany žalované ve vztahu k , Anonymizováno, , kterým byly dotčeny také jeho osobní údaje. Podle žalobce toto porušování pravidel ochrany osobních údajů spočívá ve zpracování údajů žalobce (mj. pro účely behaviorální reklamy) bez souhlasu žalobce se zpracováním osobních údajů (bez dostatečného právního základu dle čl. 6 GDPR), ač povaha zpracování získání souhlasu vyžadovala; dále v neplnění informační povinnosti žalované dle GDPR; a konečně v předávání údajů do , Anonymizováno, bez jejich zabezpečení proti zneužití.

3. Žalobce dále sdělil, že se nemůže užití , Anonymizováno, vyhnout, jelikož s ohledem na dominantní postavení , Anonymizováno, (dle žalobce se jedná v zásadě o postavení monopolní) by bez jeho používání nebyl schopen komunikovat se svými přáteli a rodinnými příslušníky. Tím by bylo dotčeno jeho právo na svobodu vyjadřování a právo na informace. Osobní údaje žalobce byly zpracovány ve velkém rozsahu, zcela protiprávně, a jelikož žalobce o jejich zpracování nebyl řádně informován, nemohl takové zpracování ovlivnit ani na ně uplatnit jakýkoli vliv. Žalobce doplňoval, že neví, co se dělo s jeho osobními údaji po jejich předání do USA, a že tedy ani neví, kdo všechno k jeho údajům získal přístup, za jakým účelem byly jeho údaje využity, a zda takové využití dále trvá či nikoli. Žalobce pociťoval obavy z toho, jakým způsobem bylo s jeho osobními údaji v USA naloženo a zda k nim nebyl ze strany žalované umožněn (prakticky neomezený) přístup třetím stranám (jako například , podezřelý výraz, . Žalobce uvedl, že újma mu vznikla v období do listopadu 2023, kdy žalovaná poprvé zavedla právní základ v podobě souhlasu se zpracováním pro účely behaviorální reklamy.

4. Žalobní argumentace žalobce je konkrétně vystavěna na tvrzení, že žalovaná společnost dlouhodobě a systematicky zasahovala do jeho práv na ochranu osobních údajů tím, že jeho osobní údaje zpracovávala pro účely tzv. behaviorální reklamy bez jeho souhlasu a bez adekvátního právního základu, a dále tím, že jeho údaje předávala do Spojených států amerických, kde k nim mají přístup tamní státní orgány na základě tamních právních předpisů, a to zejména zákona FISA (žalobce měl v této souvislosti za to, že žalovaná neposkytla dostatečnou úroveň ochrany osobním údajům žalobce předávaných do USA, čímž se dopustila porušení čl. 46 odst. 1 GDPR). Stěžejním je v tomto kontextu ust. § 702 amerického zákona FISA (Foreign Intelligence Surveillance Act), na jehož základě lze po udělení osvědčení pro uplatňování zákona FISA cíleně sledovat osoby, které nejsou občany USA, a zároveň se nacházejí mimo území USA, a to za účelem získávání zahraničních zpravodajských informací. Cílené sledování dotčených osob se realizuje mj. poskytnutím identifikačních údajů o elektronických komunikacích sledovaných osob ze strany poskytovatelů služeb elektronických komunikací. Žalobce se v důsledku toho ocitl v situaci, kdy ztratil kontrolu nad svými osobními údaji, což je dle judikatury Soudního dvora Evropské unie samo o sobě uznatelnou nemajetkovou újmou ve smyslu čl. 82 GDPR. Tento zásah je navíc nenapravitelný – k zásahu docházelo po dobu několika let a mezitím byly údaje zcela či zčásti předávány do USA a třetím osobám. Žalobce ani , Anonymizováno, nejsou schopni zvrátit následky takového jednání ani dosledovat, kde všude údaje žalobce skončily, a jak budou dále užívány. Přitom došlo ke ztrátě kontroly žalobce nad jeho osobními údaji, nemožnosti řádně a informovaně vykonávat práva žalobce podle GDPR.

5. Žalobce opakovaně zdůrazňuje, že , Anonymizováno, o něm eviduje extrémní množství údajů, které dalece přesahují to, co sám vědomě sdílel. Jak bylo naznačeno, jedná se mimo jiné o jeho identifikační a kontaktní údaje, údaje o vzdělání, obsah všech soukromých zpráv a konverzací, seznam přátel a kontakty včetně telefonních čísel, fotografie a videa, historii všech vyhledávání a navštívených stránek, informace o lokalitě a použitých zařízeních, záznamy o aktivitách na stránkách třetích stran, údaje o jeho nákupních preferencích, reklamní zájmy a reakce na reklamu. Tyto údaje byly dle žalobce zpracovávány pro účely cílení reklamy bez jeho vědomého souhlasu, přičemž souhlas byl od uživatelů , Anonymizováno, vyžádán teprve v listopadu 2023. Do té doby žalovaná spoléhala na právní základ „plnění smlouvy“, který byl však následně shledán nedostatečným.

6. Žalobce v tomto směru odkazuje na rozhodnutí Evropského sboru pro ochranu osobních údajů (EDPB) č. 3/2022 a na rozhodnutí Irské komise pro ochranu osobních údajů (IE DPA) ze dne , datum, a ze dne , datum, , která výslovně konstatovala nezákonnost postupu žalované a uložila jí povinnost ukončit zpracování pro účely reklamy bez souhlasu uživatelů (toliko na základě právního základu „plnění smlouvy“) a rovněž ukončit předávání osobních údajů do USA. Žalobce též připomíná, že žalovaná rozhodnutí těchto orgánů dlouhodobě nerespektovala a v nezákonném zpracování údajů pokračovala. Z podání žalobce v této souvislosti vyplynulo, že žalovaná byla opakovaně sankcionována ze strany evropských dozorových orgánů, a to jak za způsob zpracování osobních údajů pro účely tzv. behaviorální reklamy, tak za předávání osobních údajů uživatelů do Spojených států amerických a nedostatečnou ochranu osobních údajů uživatelů, které byly do USA předávány. Pokud jde o první oblast, Evropský sbor pro ochranu osobních údajů v závazném rozhodnutí č. 3/2022 a následně irský dozorový úřad (IE DPA) ve svém rozhodnutí ze dne , datum, dospěly k závěru, že žalovaná nesprávně odvozovala právní základ zpracování osobních údajů uživatelů pro reklamní účely z ustanovení čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) a čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem). Podle těchto orgánů žalovaná zpracovávala osobní údaje uživatelů, včetně údajů o poloze a interakcích s reklamou, bez jejich informovaného souhlasu a bez toho, aby jim poskytla transparentní informace o účelu a rozsahu tohoto zpracování. IE DPA proto žalované uložil povinnost ukončit zpracování osobních údajů pro behaviorální reklamu na těchto právních základech, přizpůsobit podmínky služby i informační povinnosti požadavkům GDPR a současně jí uložil pokutu ve výši 210 milionů eur.

7. Pokud jde o druhou oblast, tedy předávání osobních údajů uživatelů do USA, vycházel IE DPA ze závazného rozhodnutí EDPB č. 1/2023 a ve svém rozhodnutí ze dne , datum, shledal, že žalovaná porušila čl. 46 odst. 1 GDPR tím, že předávala osobní údaje uživatelů do USA, aniž by zajistila odpovídající záruky ochrany. Orgány konstatovaly, že mateřská společnost žalované sídlící v USA podléhá americkým právním předpisům a je povinna poskytovat data státním orgánům USA, přičemž právní úprava ve Spojených státech amerických neposkytuje srovnatelnou úroveň ochrany osobních údajů jako právo Evropské unie. Standardní smluvní doložky ani dodatečná opatření žalované podle závěrů dozorových orgánů nedokázaly tato rizika eliminovat. IE DPA proto žalované nařídil pozastavení předávání osobních údajů uživatelů do USA prostřednictvím služby , Anonymizováno, . S těmito postupy žalované pak souvisí i důvodná obava žalobce týkající se tvrzené ztráty kontroly nad jeho osobními údaji, které byly předávány do USA.

8. K povaze způsobené újmy pak žalobce uvedl, že není nutné prokazovat závažné následky porušení povinností při zpracování osobních údajů, neboť podle rozsudku Soudního dvora EU ve věci C-300/21 (UI v. Österreichische Post) i dle dalších rozsudků tohoto soudu (C-340/21, C-456/22, C-687/21) představuje újmu i samotná ztráta kontroly uživatele nad jeho osobními údaji, případně oprávněná obava ze ztráty kontroly a z budoucího zneužití osobních údajů (ke kterému fakticky nemusí dojít). Za zcela opodstatněnou považuje žalobce s odkazem na závěry rozhodnutí EDPB a IE DPA svou obavu z toho, že jeho údaje mohly být zpřístupněny americkým orgánům, což pro něj může mít negativní důsledky při cestování či v jiných životních situacích, a to např. pokud by navštívil některou z blízkovýchodních zemí a sdílené údaje o této jeho poloze v dané „rizikové“ zemi by se dostaly do dispozice amerických vládních agentur – ty by pak žalobci mohly z těchto důvodů způsobovat i komplikace při vstupu do USA, a to zejména v nynější mezinárodní situaci týkající se mj. protiteroristických opatření apod. Žalobce pak jako sportovec často cestuje a obává se možného porušování jeho korespondujících práv, k němuž by mohlo dojít při zneužití jeho osobních údajů americkými vládními agenturami. Nemajetková újma žalobce dle jeho názoru spočívá v nejistotě a ztrátě možnosti rozhodovat o vlastních datech, přičemž tato újma je reálná a konkrétní, nikoliv čistě hypotetická.

9. Žalobce proto tvrdí, že došlo k naplnění všech předpokladů odpovědnosti žalované dle čl. 82 GDPR – existuje porušení povinností podle nařízení, žalobci vznikla v příčinné souvislosti s tímto porušením nemajetková újma, a zavinění žalované je dáno minimálně ve formě hrubé nedbalosti, neboť žalovaná byla opakovaně upozorněna na nezákonnost svého postupu unijními i vnitrostátními orgány, avšak přesto v jednání pokračovala. Argumentačně se přitom žalobce opírá nejen o shora uvedená rozhodnutí EDPB a IE DPA, ale též o rozsudky Soudního dvora EU ve věci , jméno FO, (C-311/18), UI v. Österreichische Post (C-300/21), VB v. NAP (C-340/21), VX, AT v. Ummendorf (C-456/22), BL v. MediaMarktSaturn (C-687/, právnická osoba, v. juris GmbH (C-741/21), jakož i o novější judikaturu Tribunálu (T-354/22) a německého Spolkového soudního dvora (BGH VI ZR 10/24). Na tomto základě žalobce dovozuje, že mu vznikla nemajetková újma, za niž mu náleží přiměřená peněžitá satisfakce. Újmu přitom žalobce prokázal v souladu s požadavky Soudního dvora EU, které byly následně potvrzeny ze strany Nejvyššího soudu ČR (viz rozhodnutí sp. zn. , spisová značka, ), dle kterého nelze požadovat, aby bylo ve věci zásahu do práv na ochranu osobních údajů požadováno prokázání konkrétního měřitelného poškození namísto, samotná obava ze zneužití osobních údajů je způsobilá představovat nemajetkovou újmu (tzv. bez požadavku na únik či zneužití údajů) a poškozenému postačí prokázat, že se zásah do morální integrity osoby vzhledem ke konkrétním okolnostem případu a postavení osoby nejeví nepravděpodobným.

10. Žalobce ve svých podáních také akcentuje, že žalovaná zásadně porušila informační povinnosti, které jí ukládá GDPR. Předně nebylo žalobci nikdy srozumitelně a transparentně vysvětleno, že jeho osobní údaje jsou ve velkém rozsahu využívány k účelům behaviorální reklamy. Účely zpracování byly v zásadách ochrany osobních údajů popsány vágně a obecně, aniž by bylo zřejmé, že dochází k intenzivnímu profilování uživatelů. Žalovaná navíc zamlčela rozsah údajů, které k těmto účelům zpracovávala – žalobce nebyl informován, že jde nejen o jeho identifikační a kontaktní údaje, ale i o obsah soukromých zpráv, historii vyhledávání, polohové údaje, aktivitu na stránkách třetích stran či reklamní preference, jež byly pro cílení reklamy zcela zásadní.

11. Žalobce v této souvislosti dále namítá, že mu žalovanou nikdy nebylo transparentně sděleno, že jeho osobní údaje jsou předávány do Spojených států amerických mateřské společnosti žalované a že v důsledku americké právní úpravy (zejména již odkazovaného § 702 FISA) k nim mohou mít přístup tamní bezpečnostní složky. O těchto skutečnostech se žalobce dozvěděl až z rozhodnutí evropských orgánů a ze soudní judikatury. Žalovaná současně podle žalobce mylně založila zpracování osobních údajů uživatelů na právním základě „plnění smlouvy“, čímž obcházela povinnost získat informovaný souhlas subjektů údajů (tj. i žalobce). V listopadu 2023 pak žalovaná přešla na právní základ souhlasu, čímž fakticky přiznala, že její předchozí postup byl nedostatečný a nevyhovující GDPR.

12. V důsledku nedostatečných a nepravdivých informací nebyl žalobce schopen zjistit, jaká data o něm žalovaná zpracovává, za jakými účely a komu je zpřístupňuje. Tím mu bylo znemožněno efektivně uplatnit jeho práva podle článků 12 až 22 GDPR, zejména právo na přístup k informacím, právo na opravu, výmaz či právo vznést námitku proti zpracování. Podle žalobce tak žalovaná porušila zásadu transparentnosti a informační povinnosti podle čl. 5 odst. 1 písm. a) a článků 12 až 14 GDPR.

13. Podle obsahu žaloby a jejích doplnění, zejména přípisu žalobce z , datum, a následného podání z , datum, , žalobce tvrdí, že pro účely behaviorální reklamy – a to bez jeho souhlasu a tedy bez adekvátního právního základu – byly zpracovávány prakticky všechny osobní údaje, které o něm žalovaná prostřednictvím , Anonymizováno, shromažďovala.Konkrétně se jednalo o následující kategorie údajů: Identifikační a kontaktní údaje: jméno, příjmení, pohlaví, e-mail, telefonní číslo, stát. Údaje o vzdělání. Obsah soukromé komunikace: veškeré zprávy vedené přes , Anonymizováno, se všemi kontakty, včetně příloh. Seznam přátel a kontakty, včetně jejich telefonních čísel. Fotografie a videa pořízená a nahraná žalobcem. Informace o aktivitě na , Anonymizováno, : navštívené stránky, příspěvky, komentáře, reakce, účast a aktivita ve skupinách. Informace o pozvánkách na události a o účasti či neúčasti žalobce na těchto událostech. Historie všech vyhledávání a zobrazených stránek. Lokalizační údaje a technické údaje o přístupu: IP adresy, identifikace zařízení, přesná fyzická lokalita, časy přihlášení a odhlášení. Údaje o připojených aplikacích třetích stran, kterým byly předávány informace o žalobci. Aktivita mimo , Anonymizováno, : záznamy o navštívených webových stránkách a online nákupech (např. , Anonymizováno, ). Reklamní preference: odvozené zájmy, seznam inzerentů, kteří data využili k cílení, a reakce žalobce na reklamy.

14. Žalobce zdůraznil, že všechny výše specifikované osobní údaje byly využívány k vytváření reklamních profilů a cílení personalizovaných reklam bez jeho informovaného souhlasu, přičemž právě toto považuje za nejintenzivnější zásah do jeho soukromí.

15. Současně žalobce upozornil na zvláštní citlivost některých kategorií údajů – zejména soukromých zpráv, fotografií a lokalizačních údajů – neboť jejich případný únik nebo zneužití by pro něj mohlo znamenat značnou újmu.

16. Žalobce současně vyčíslil újmu, kterou pociťuje, a to mimo jiné s odkazem na částku, za kterou žalovaná umožňuje uniknout z nezákonného zpracovávání osobních údajů pro účely behaviorální reklamy (přičemž tato částka nijak nekompenzuje neplnění informační povinnosti či nezákonné předávání údajů do USA). Celkově tedy žalobce výši uplatněného nároku odvozuje od kombinace několika faktorů: délky a systematičnosti protiprávního jednání žalované, rozsahu a citlivosti dotčených osobních údajů, intenzity vzniklých obav a nejistoty ohledně jejich dalšího využití a konečně i od relevantní judikatury, která potvrzuje, že újma na právu na ochranu osobních údajů musí být kompenzována plně a účinně.

17. Žalovaná vystavěla svou obrannou argumentaci na několika hlavních liniích, které se opírají o aktuální judikaturu Soudního dvora EU a o závěry , právnická osoba, .

18. Žalovaná zdůraznila, že čl. 82 GDPR stanoví tři podmínky odpovědnosti za škodu: (i) porušení GDPR, (ii) vznik újmy, a (iii) příčinnou souvislost mezi nimi. Podle žalované žalobce nedoložil ani jednu z těchto podmínek – v žalobě ani v jejích doplněních neuvedl konkrétní individuální okolnosti, žádné přesvědčivé důkazy o vzniku újmy, ani souvislost mezi tvrzeným porušením GDPR a vlastní osobní situací.

19. Žalovaná dále poukázala na to, že v tomto řízení řešená žaloba je jednou z tzv. „šablonových žalob“ koordinovaných společností , Anonymizováno, , kdy jsou podávány téměř totožné návrhy u více soudů, aniž by obsahovaly individualizované skutkové okolnosti. Sama skutečnost, že existovala určitá správní rozhodnutí irské komise IE DPA či EDPB, podle žalované nezakládá soukromoprávní nárok žalobce. Tato správní rozhodnutí se totiž týkají obecné regulace a nejsou individualizována vůči žalobci; navíc jsou žalovanou napadána v probíhajících řízeních před irskými i unijními orgány.

20. K související judikatuře Soudního dvora EU žalovaná uvádí, že žalobce ji nesprávně interpretuje. Závěry rozhodnutí Österreichische Post (C-300/21), MediaMarktSaturn (C-687/21), či Natsionalna agentsia (C-340/21) podle žalované nelze vykládat tak, že by újma byla automaticky presumována již samotným porušením GDPR. Naopak – podle následné a konsolidované judikatury SDEU (rozsudky PS GbR, C-590/22; Agentsia po vpisvaniyata, C-200/23; juris GmbH, C-741/21) platí, že „pouhé porušení GDPR nestačí“ a že poškozený musí prokázat, že mu vznikla konkrétní (byť i minimální) újma. Žalovaná zdůrazňuje, že „čistě hypotetické riziko“ zneužití údajů nestačí (viz rozsudek MediaMarktSaturn). Žalovaná považuje žalobcovu argumentaci o ztrátě kontroly a obavách ze zneužití osobních údajů za spekulativní a neprokázanou.

21. Dalším bodem obrany žalované je fakt, že žalobce v listopadu 2023 dobrovolně udělil souhlas se zpracováním svých údajů pro účely behaviorální reklamy a že nadále , Anonymizováno, aktivně používá. Podle žalované tím žalobce sám vyvrátil tvrzení, že by toto zpracování pro něj bylo kdykoliv škodlivé či že by mu způsobilo újmu – pokud by tomu tak bylo, logickým krokem by bylo službu , Anonymizováno, nepoužívat.

22. Žalovaná dále upozorňuje, že žalobce ve svých podáních sám přiznal, že nemůže doložit, že k jeho údajům kdy měl přístup jakýkoli americký státní orgán, ani že byly tyto údaje zneužity. Obavy žalobce z možného odepření vstupu do USA či ze zneužití označuje žalovaná za „čistě hypotetické riziko“, které dle judikatury Soudního dvora EU nezakládá nárok na odškodnění.

23. Konečně žalovaná připomněla, že nárok obdobného typu byl již zamítnut, a to Obvodním soudem pro , adresa, ve věci sp. zn. , spisová značka, , kde bylo konstatováno, že žalobce neprokázal, jaké konkrétní údaje byly zneužity a jaká újma mu vznikla.

24. Žalovaná ve svých vyjádřeních také opakovaně namítala nesprávný výklad závěrů tzv. „Šetření právního základu“ (IN-18-5-5), vedeného irskou komisí pro ochranu osobních údajů. Podle žalované se toto šetření vztahovalo výlučně na zpracování tzv. „on-site“ údajů, tedy údajů generovaných samotným používáním platformy , Anonymizováno, (například interakcí uživatelů v podobě lajků, komentářů či jiných aktivit přímo na sociální síti). Předmětem posouzení bylo výhradně to, zda lze takové on-site údaje zpracovávat pro účely personalizace reklamy na právním základu plnění smlouvy dle čl. 6 odst. 1 písm. b) GDPR.

25. Žalovaná zdůraznila, že šetření nezahrnovalo tzv. „off-site“ údaje, tedy data shromažďovaná prostřednictvím pluginů, pixelů a dalších technologií mimo samotnou platformu , Anonymizováno, (např. údaje o návštěvách webů třetích stran). Správní řízení se proto nikdy netýkalo celého okruhu údajů, o nichž žalobce tvrdí, že byly zpracovávány pro účely behaviorální reklamy.

26. Z uvedeného žalovaná dovozuje, že závěry správních rozhodnutí IE DPA a EDPB nelze mechanicky přenášet na individuální nároky žalobce, a to ze dvou důvodů: jednak proto, že se tato rozhodnutí týkala výlučně on-site údajů a tedy nikoli všech kategorií dat, na něž žalobce ve své žalobě odkazuje, a jednak proto, že tato rozhodnutí nejsou dosud pravomocná a žalovaná je aktivně napadá před příslušnými irskými a unijními orgány. Žalovaná proto považuje výklad žalobce, podle něhož správní zjištění prokazují protiprávnost zpracování veškerých jeho osobních údajů, za nesprávný a zavádějící.

27. Žalovaná dále konkretizovala, že od doby, kdy nařízení GDPR vstoupilo v platnost, měla vždy platný právní základ pro zpracování údajů žalobce. Právní základ žalované pro dotčené zpracování se postupem času měnil podle toho, jak se vyvíjel výklad GDPR. Žalovaná odmítla, že by z její strany došlo k porušení čl. 6 GDPR. , adresa, se , Anonymizováno, pro dotčené zpracování primárně spoléhala na právní základ plnění smlouvy [čl. 6 odst. 1 písm. b) GDPR]. Nařízení GDPR zavedlo nový a odlišný právní režim a správci údajů museli přezkoumat a posoudit své postupy při zpracování a právní základy, aby určili vhodný přístup podle nového nařízení. Stejně jako mnozí jiní poskytovatelé služeb a další podniky i žalovaná dne , datum, aktualizovala Podmínky používání služby , Anonymizováno, a související informaci o ochraně osobních údajů (tehdy označovanou jako „, jméno FO, “, která již byla zrušena), aby jako správce údajů provedla změny v souladu s novými povinnostmi podle GDPR, které následně nabyly účinnosti dne , datum, . Od , datum, do začátku listopadu 2023 se Žalovaná spoléhala ve vztahu k dotčenému zpracování na oprávněný zájem [čl. 6 odst. 1 písm. f) GDPR]. Před touto změnou žalovaná uživatelům poskytla upozornění a informace o dalších možnostech týkajících se dotčeného zpracování. Žalovaná také aktualizovala Podmínky používání služby , Anonymizováno, a související informaci o ochraně osobních údajů (v tu dobu označovanou jako „, adresa, ochrany osobních údajů“), aby zohlednila změnu právního základu pro dotčené zpracování.

28. Od začátku listopadu 2023 se žalovaná pro dotčené zpracování spoléhá na souhlas uživatelů [čl. 6 odst. 1 písm. a) GDPR]. Dne , datum, žalovaná oznámila, že zavede novou možnost předplatného, která uživatelům , Anonymizováno, v EU/EHP starším 18 let umožní zvolit, zda žalovaná bude zpracovávat jejich údaje pro účely reklamy („Model souhlasu“). Následně od , datum, začala žalovaná v EU/EHP tento Model souhlasu používat a vyzývala uživatele prostřednictvím oznámení v rámci platformy , Anonymizováno, , aby se rozhodli: nadále používat , Anonymizováno, zdarma a souhlasit s tím, aby žalovaná používala informace o nich shromážděné na produktech skupiny , Anonymizováno, pro účely reklamy, nebo předplatit si za měsíční předplatné službu , Anonymizováno, bez reklam, přičemž v takovém případě by informace o nich nebyly použity pro reklamy. Uživatelé si také nemusí zvolit ani jednu z těchto možností a místo toho opustit , Anonymizováno, odstraněním svého účtu (či účtů) s tím, že si mohou stáhnout informace o svém účtu předtím, než tak učiní. Tato změna právního základu pro dotčené zpracování se odráží v aktualizovaných , adresa, ochrany osobních údajů žalované.

29. Aktuálně je pak systém zpracování osobních údajů uživatelů a jejich poskytování třetím stranám nastaven tak, že osobní údaje uživatelů neopouštějí společnost , Anonymizováno, . Jedná se o sdílení těchto údajů mezi společností , Anonymizováno, a uživatelem. Inzerent, který zadává inzerci, necílí na určité konkrétní osoby (konkrétní uživatele), ale na vzorek osob, který jeho inzerce může zaujmout. Na základě inzerce a na základě informací, které s , Anonymizováno, sdíleli uživatelé, pak , Anonymizováno, inzerci cílí na konkrétní uživatele odpovídající tomuto vzorku osob, které daná inzerce na základě jejich sdílených údajů zajímá. Samotný inzerent se však nedozví, komu konkrétně, jakým konkrétním uživatelům , Anonymizováno, , jsou jeho inzeráty a jeho reklamy zasílány a na koho konkrétně je jeho inzerce cílená. Nejedná se tedy o zpracování osobních údajů uživatelů , Anonymizováno, , které by bylo jakkoliv protiprávní.

30. Dále žalovaná v rámci jejích podání odmítla, že by ve vztahu k žalobci porušila svou informační povinnost dle článků 12 až 14 GDPR a že by nezákonně předávala osobní údaje žalobce do třetí země v rozporu s čl. 46 odst. 1 GDPR. Žalovaná měla v tomto kontextu vždy platný právní základ podle Kapitoly V. GDPR pro předávání údajů (tj. podle čl. 45 nebo čl. 46 GDPR).

31. Celkově tedy žalovaná staví svou obranu na tvrzení, že žalobce se snaží obrátit důkazní břemeno a dosáhnout automatické satisfakce pouze na základě obecné kritiky obchodního modelu , Anonymizováno, a na základě správních rozhodnutí, aniž by prokázal vlastní konkrétní újmu. Podle žalované je tento přístup v rozporu s GDPR, s českým procesním právem a s ustálenou judikaturou SDEU.

32. Z provedených listinných důkazů soud vygeneroval následující skutkové poznatky:

33. Dne , datum, zaslal žalobce žalované dopis, v němž uvedl, že z rozhodnutí irského dozorového úřadu pro ochranu osobních údajů a EDPB dovodil porušení svých práv. Toto zjištění jej hluboce zasáhlo a vyzval žalovanou, aby se zdržela dalšího porušování jeho práv a poskytla mu náhradu nemajetkové újmy ve výši , částka, podle čl. 82 GDPR. Popsané skutečnosti byly prokázány předžalobní výzvou žalobce ze dne , datum, .

34. Dále bylo zjištěno, že žalovaná na výzvu reagovala dopisem ze dne , datum, , v němž odmítla tvrzení žalobce o porušování jeho práv a o vzniku nároku na náhradu újmy. Současně uvedla, že zpracování osobních údajů probíhá v souladu se , adresa, ochrany osobních údajů a že každý uživatel má možnost svůj účet kdykoli zrušit.

35. Z obsahu Podmínek služby sociální sítě , Anonymizováno, soud zjistil, že uživatelé , Anonymizováno, udělují žalované široká oprávnění k využití obsahu, který na síti zveřejní. Konkrétně poskytují licenci k hostování, používání, distribuci, úpravám a dalším způsobům nakládání s tímto obsahem. Dále žalované udělují právo užít jejich jméno, profilovou fotografii a informace o aktivitách pro účely reklam a sponzorovaného obsahu.

36. Ze , adresa, údajů žalované se podává, že žalovaná shromažďuje široký okruh informací, a to od obsahu, který uživatelé sami poskytují, přes údaje o jejich kontaktech, aktivitách na platformě a transakcích, až po technické informace o používaných zařízeních a síti. Tyto údaje jsou využívány pro přizpůsobení obsahu i zobrazovaných reklam. Současně žalovaná spolupracuje s partnery třetích stran, jimž poskytuje statistické přehledy, nikoliv však údaje identifikující konkrétní uživatele, a deklaruje, že osobní údaje neprodává.

37. Z dokumentace k reklamním službám (dokument o reklamách na , Anonymizováno, ) bylo zjištěno, že žalovaná cílí reklamy na základě údajů o aktivitách uživatelů jak na , Anonymizováno, , tak mimo něj. Konkrétně využívá informace o tom, co si uživatelé prohlíželi, co přidali do košíku nebo zakoupili, dále údaje o stránkách, které označili jako oblíbené, či o místech, kde se přihlásili. Do cílení reklam jsou zahrnovány i informace o přihlášení k newsletterům či získání slevových kupónů.

38. Dne , datum, ve 14:01:53 hod. žalobce udělil souhlas s užíváním služby , Anonymizováno, , přičemž byl informován, že jeho osobní údaje budou shromažďovány a využívány pro poskytování služeb a že má možnost provést kontrolu nastavení soukromí. Tato skutečnost byla prokázána záznamem o udělení souhlasu žalobcem (č. l. 254 spisu).

39. Z vyjádření , právnická osoba, ze dne , datum, (č. j. , Anonymizováno, a ze dne , datum, (č. j. , Anonymizováno, ) soud zjistil, že Úřad v obdobné věci shrnul rozhodnutí irského dozorového orgánu a EDPB a upozornil na relevantní judikaturu Soudního dvora Evropské unie. Z těchto rozhodnutí vyplývá, že žalobce musí prokázat oprávněnost svých obav ze zneužití osobních údajů a že riziko musí být reálné a nikoli pouze hypotetické. V řízení je z pohledu úřadu klíčové určit, jaký je rozsah důkazního břemene na straně osoby, která údajně utrpěla nemajetkovou újmu ve smyslu čl. 82 GDPR, pokud jde o tvrzenou ztrátu kontroly nad jejími osobními údaji.

40. Z veřejných internetových zdrojů soud dále zjistil, že cena předplatného služby , Anonymizováno, bez reklam činí při objednání prostřednictvím webu , částka, měsíčně za jeden účet a , částka, měsíčně za každý další účet v Centru účtů. Pokud je služba aktivována prostřednictvím aplikací , jméno FO, či , Anonymizováno, , činí cena , částka, za první účet a , částka, za další účty. O tom, že si lze , Anonymizováno, bez reklam platit, ani nebylo mezi účastníky sporu.

41. Flashdisk předložený žalobcem obsahuje export veškerých dat a údajů žalobce dle kategorií popsaných v bodu 13. odůvodnění tohoto rozsudku, ohledně nichž žalobce dovozuje, že došlo k jejich neoprávněnému zpracování. Nejedná se pak pouze o údaje, které žalobce sám vědomě sdílel. Jedná se mimo jiné o jeho identifikační a kontaktní údaje, údaje o vzdělání, obsah všech soukromých zpráv a konverzací, seznam přátel a kontakty včetně telefonních čísel, fotografie a videa, historii všech vyhledávání a navštívených stránek, informace o lokalitě a použitých zařízeních, záznamy o aktivitách na stránkách třetích stran, údaje o jeho nákupních preferencích, reklamní zájmy a reakce na reklamu.

42. Mezi účastníky bylo nesporné, že žalovaná zpracovávala osobní údaje uživatelů , Anonymizováno, , mimo jiné i za účelem behaviorální reklamy a že osobní údaje uživatelů , Anonymizováno, byly z Evropské unie předávány mateřské společnosti žalované do USA za účelem poskytování služby , Anonymizováno, v celosvětovém globálním měřítku. K tomuto docházelo i v období let 2018-2023. Nesporným bylo rovněž to, že žalovaná má příjmy z inzerce na , Anonymizováno, . Sporným je, zdali došlo k neoprávněnému zpracování žalobcových osobních údajů ze strany žalované, kdy k tomuto případně došlo, a také, zdali v příčinné souvislosti s eventuálním neoprávněným zpracováním osobních údajů žalobce byla žalobci způsobena individualizovaná újma na jeho osobnostních právech, kterou lze případně saturovat v penězích.

43. Provedené důkazy zdejší soud zhodnotil z hlediska jejich pravosti a vypovídací hodnoty a posoudil je jednotlivě i ve vzájemné souvislosti dle § 132 o.s.ř. tak, aby mohl zjistit skutečný skutkový stav věci. Pokud soud provedl dokazování také některými dalšími důkazy, které nejsou výše popsány, nebyly tyto důkazy hodnoceny, neboť nejsou podstatné pro rozhodnutí v tomto sporu, resp. z nich nebylo zjištěno nic stěžejního pro tento spor. Další důkazy soud neprováděl, neboť dospěl k závěru, že z výše uvedených a popsaných důkazů získal dostatek skutkových zjištění, na jejichž základě mohl v této věci spolehlivě rozhodnout, a že další dokazování by bylo nadbytečné a časově i ekonomicky nehospodárné. Veškeré výše popsané důkazy pak byly předloženy soudu (potažmo navrženy soudu k vyžádání či k provedení) před koncentrací řízení nebo v důsledku výzev soudu dle ust. § 118a odst. 1, 3 o.s.ř.

44. V této věci jde o řízení s mezinárodním prvkem, protože žalovaná je zahraniční osoba se sídlem v Irsku. Soud se proto nejprve zabýval otázkou, zda je k rozhodnutí ve věci mezinárodně příslušný a které právo je v daném případě právem rozhodným. Podle § 2 zákona č. 91/2012 Sb., o mezinárodním právu soukromém, se zákon o mezinárodním právu soukromém použije v mezích ustanovení vyhlášených mezinárodních smluv, kterými je Česká republika vázána, a přímo použitelných ustanovení práva Evropské unie. Jelikož Česká republika i Irsko jsou členskými státy Evropské unie a vzhledem k tomu, že se žalobce jako subjekt údajů domáhal náhrady nemajetkové újmy, jež měla vzniknout porušením žalobcova práva na ochranu osobních údajů podle nařízení GDPR, určil soud svou mezinárodní příslušnost pro daný vztah podle nařízení GDPR, které je ve vztahu k nařízení Evropského parlamentu a Rady (ES) č. 1215/2012, o příslušnosti a uznávání a výkonu soudních rozhodnutí v občanských a obchodních věcech (Brusel I bis), speciální. Podle čl. 79 odst. 2 věta druhá nařízení GDPR se může řízení zahájit i u soudů členského státu, kde má subjekt údajů své obvyklé bydliště. Žalobce má obvyklé bydliště v České republice na , adresa, , proto zdejší soud dovodil svou mezinárodní příslušnost věc projednat a rozhodnout.

45. Podle čl. 75 preambule GDPR různě pravděpodobná a závažná rizika pro práva a svobody fyzických osob mohou vyplynout ze zpracování osobních údajů, které by mohlo vést k fyzické, hmotné nebo nehmotné újmě, zejména v případech, kdy by zpracování mohlo vést k diskriminaci, krádeži či zneužití identity, finanční ztrátě, poškození pověsti, ztrátě důvěrnosti osobních údajů chráněných služebním tajemstvím, neoprávněnému zrušení pseudonymizace nebo jakémukoliv jinému významnému hospodářskému či společenskému znevýhodnění, kdy by subjekty údajů mohly být zbaveny svých práv a svobod nebo možnosti kontrolovat své osobní údaje, kdy jsou zpracovávány osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, kdy jsou zpracovávány genetické údaje či údaje o zdravotním stavu či sexuálním životě nebo odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření, kdy jsou za účelem vytvoření či využití osobních profilů vyhodnocovány osobní aspekty, zejména prostřednictvím analýzy nebo odhadu aspektů týkajících se pracovních výsledků, ekonomické situace, zdravotního stavu, osobních preferencí nebo zájmů, spolehlivosti nebo chování, místa pobytu a pohybu, kdy jsou zpracovávány osobní údaje zranitelných osob, především dětí, nebo kdy je zpracováván velký objem osobních údajů a zpracování se dotýká velkého počtu subjektů údajů.

46. Podle čl. 85 preambule GDPR Není-li porušení zabezpečení osobních údajů řešeno náležitě a včas, může to fyzickým osobám způsobit fyzickou, hmotnou či nehmotnou újmu, jako je ztráta kontroly nad jejich osobními údaji nebo omezení jejich práv, diskriminace, krádež nebo zneužití identity, finanční ztráta, neoprávněné zrušení pseudonymizace, poškození pověsti, ztráta důvěrnosti osobních údajů chráněných služebním tajemstvím nebo jakékoliv jiné významné hospodářské či společenské znevýhodnění dotčených fyzických osob. Jakmile se tedy správce o porušení zabezpečení osobních údajů dozví, měl by je bez zbytečného odkladu, a je-li to možné, do 72 hodin poté, co se o něm dozvěděl, ohlásit příslušnému dozorovému úřadu, ledaže může v souladu se zásadou odpovědnosti doložit, že je nepravděpodobné, že by dané porušení zabezpečení osobních údajů mělo za následek riziko pro práva a svobody fyzických osob. Není-li toto ohlášení možné učinit do 72 hodin, měly by být spolu s ním uvedeny důvody zpoždění a informace mohou být poskytnuty postupně bez zbytečného dalšího prodlení.

47. Podle čl. 142 preambule GDPR, pokud se subjekt údajů domnívá, že jeho práva podle tohoto nařízení byla porušena, měl by být oprávněn pověřit určitý neziskový subjekt, organizaci nebo sdružení, které jsou zřízeny v souladu s právem členského státu, jejichž statutární cíle jsou ve veřejném zájmu a které působí v oblasti ochrany osobních údajů, aby podaly jeho jménem stížnost u dozorového úřadu, uplatnily právo na soudní ochranu jménem subjektu údajů nebo uplatnily jménem subjektu údajů právo na odškodnění, je-li stanoveno v právu členského státu. Členský stát může stanovit, že tento subjekt, organizace nebo sdružení má právo podat v daném členském státě stížnost nezávisle na pověření od subjektu údajů a právo na účinnou soudní ochranu, pokud mají důvod se domnívat, že došlo k porušení práva subjektu údajů v důsledku zpracování osobních údajů, které je porušením tohoto nařízení. Tento subjekt, organizace nebo sdružení nesmí požadovat jménem subjektu údajů náhradu škody, aniž by ho tím subjekt údajů pověřil.

48. Podle čl. 146 preambule GDPR veškerou újmu, která může osobám vzniknout v důsledku zpracování, které porušuje toto nařízení, by měl nahradit správce nebo zpracovatel. Správce nebo zpracovatel by však měl být odpovědnosti zproštěn, pokud prokáže, že za újmu nenese žádným způsobem odpovědnost. Výklad pojmu „újma“ by měl být široký a opírat se o judikaturu Soudního dvora při plném zohlednění cílů tohoto nařízení. Tím nejsou dotčeny jakékoliv nároky uplatňované v případě újmy způsobené porušením jiných pravidel práva Unie nebo členského státu. Zpracování, které porušuje toto nařízení, zahrnuje rovněž zpracování, které porušuje akty v přenesené pravomoci a prováděcí akty přijaté v souladu s tímto nařízením a právními předpisy členského státu upřesňující pravidla tohoto nařízení. Subjekty údajů by měly obdržet plnou a účinnou náhradu újmy, kterou utrpěly. Jsou-li správci nebo zpracovatelé zapojeni do téhož zpracování, měl by každý správce nebo zpracovatel nést odpovědnost za celkovou újmu. Jsou-li však tito správci nebo zpracovatelé v souladu s právem členského státu spojeni v tomtéž řízení, může být náhrada újmy rozvržena podle odpovědnosti každého správce nebo zpracovatele za újmu způsobenou zpracováním, za podmínky, že je zajištěno úplné a účinné odškodnění subjektu údajů, jenž újmu utrpěl. Kterýkoli správce nebo zpracovatel, který uhradil plnou náhradu újmy, může následně zahájit soudní řízení proti jiným správcům nebo zpracovatelům zapojeným do téhož zpracování.

49. Podle čl. 4 odst. 1 GDPR pojmem osobní údaje se rozumí veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.

50. Podle čl. 5 odst. 1 písm. a) GDPR osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem.

51. Podle čl. 6 odst. 1 GDPR zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů; b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů; c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje; d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby; e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce; f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

52. Podle čl. 6 odst. 2 GDPR členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.

53. Podle čl. 6 odst. 3 GDPR základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven: a) právem Unie nebo b) právem členského státu, které se na správce vztahuje. Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.

54. Podle čl. 6 odst. 4 GDPR, pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné: jakoukoli vazbu mezi účely, kvůli nimž byly osobní údaje shromážděny, a účely zamýšleného dalšího zpracování; b) okolnosti, za nichž byly osobní údaje shromážděny, zejména pokud jde o vztah mezi subjekty údajů a správcem; c) povahu osobních údajů, zejména zda jsou zpracovávány zvláštní kategorie osobních údajů podle článku 9 nebo osobní údaje týkající se rozsudků v trestních věcech a trestných činů podle článku 10; d) možné důsledky zamýšleného dalšího zpracování pro subjekty údajů; e) existenci vhodných záruk, mezi něž může patřit šifrování nebo pseudonymizace.

55. Podle čl. 9 odst. 1 GDPR zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

56. Podle čl. 9 odst. 2 GDPR odstavec 1 se nepoužije, pokud jde o některý z těchto případů: subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen; b) zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů; c) zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas; d) zpracování provádí v rámci svých oprávněných činností a s vhodnými zárukami nadace, sdružení nebo jiný neziskový subjekt, který sleduje politické, filozofické, náboženské nebo odborové cíle, a za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy tohoto subjektu nebo na osoby, které s ním udržují pravidelné styky související s jeho cíli, a že tyto osobní údaje nejsou bez souhlasu subjektu údajů zpřístupňovány mimo tento subjekt; e) zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů; f) zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo pokud soudy jednají v rámci svých soudních pravomocí; g) zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů; h) zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče či léčby nebo řízení systémů a služeb zdravotní nebo sociální péče na základě práva Unie nebo členského státu nebo podle smlouvy se zdravotnickým pracovníkem a při splnění podmínek a záruk uvedených v odstavci 4; i) zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění přísných norem kvality a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva Unie nebo členského státu, které stanoví odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů, zejména služebního tajemství; j) zpracování je nezbytné pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely v souladu s čl. 89 odst. 1 na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů.

57. Podle čl. 12 odst. 1 GDPR správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. Pokud si to subjekt údajů vyžádá, mohou být informace poskytnuty ústně, a to za předpokladu, že identita subjektu údajů je prokázána jinými způsoby.

58. Podle čl. 12 odst. 3 GDPR správce poskytne subjektu údajů na žádost podle článků 15 až 22 informace o přijatých opatřeních, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. Správce informuje subjekt údajů o jakémkoliv takovém prodloužení do jednoho měsíce od obdržení žádosti spolu s důvody pro tento odklad. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, je-li to možné, pokud subjekt údajů nepožádá o jiný způsob.

59. Podle čl. 12 odst. 4 GDPR, pokud správce nepřijme opatření, o něž subjekt údajů požádal, informuje bezodkladně a nejpozději do jednoho měsíce od přijetí žádosti subjekt údajů o důvodech nepřijetí opatření a o možnosti podat stížnost u dozorového úřadu a žádat o soudní ochranu.

60. Podle čl. 12 odst. 5 GDPR informace podle článků 13 a 14 a veškerá sdělení a veškeré úkony podle článků 15 až 22 a 34 se poskytují a činí bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď: uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s učiněním požadovaných úkonů; nebo b) odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.

61. Podle čl. 13 odst. 1 GDPR, pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace: a) totožnost a kontaktní údaje správce a jeho případného zástupce; b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů; c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování; d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f); e) případné příjemce nebo kategorie příjemců osobních údajů; f) případný úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.

62. Podle čl. 13 odst. 2 GDPR vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování: a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby; b) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů; c) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním; d) existence práva podat stížnost u dozorového úřadu; e) skutečnost, zda poskytování osobních údajů je zákonným či smluvním požadavkem, nebo požadavkem, který je nutné uvést do smlouvy, a zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů; f) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

63. Podle čl. 13 odst. 3 GDPR, pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

64. Podle čl. 14 odst. 1 GDPR jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace: a) totožnost a kontaktní údaje správce a případně jeho zástupce; b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů; c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování; kategorie dotčených osobních údajů; e) případné příjemce nebo kategorie příjemců osobních údajů; f) případný záměr správce předat osobní údaje příjemci ve třetí zemi nebo mezinárodní organizaci a existence či neexistence rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo v čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.

65. Podle čl. 14 odst. 2 GDPR kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů: a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby; b) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f); c) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz anebo omezení zpracování a práva vznést námitku proti zpracování, jakož i práva na přenositelnost údajů; d) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním; e) existence práva podat stížnost u dozorového úřadu; f) zdroj, ze kterého osobní údaje pocházejí, a případně informace o tom, zda údaje pocházejí z veřejně dostupných zdrojů; g) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

66. Podle čl. 14 odst. 3 GDPR správce poskytne informace uvedené v odstavcích 1 a 2: a) v přiměřené lhůtě po získání osobních údajů, ale nejpozději do jednoho měsíce, s ohledem na konkrétní okolnosti, za nichž jsou osobní údaje zpracovávány; b) nejpozději v okamžiku, kdy poprvé dojde ke komunikaci se subjektem údajů, mají-li být osobní údaje použity pro účely této komunikace; nebo c) nejpozději při prvním zpřístupnění osobních údajů, pokud je má v úmyslu zpřístupnit jinému příjemci.

67. Podle čl. 14 odst. 4 GDPR, pokud správce hodlá osobní údaje dále zpracovat pro jiný účel, než pro který byly získány, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

68. Podle čl. 14 odst. 5 GDPR odstavce 1 a 4 se nepoužijí, pokud a do té míry, v níž: a) subjekt údajů již uvedené informace má; b) se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí; to platí zejména v případě zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely s výhradou podmínek a záruk uvedených v čl. 89 odst. 1, nebo pokud je pravděpodobné, že uplatnění povinnosti uvedené v odstavci 1 tohoto článku by znemožnilo nebo výrazně ztížilo dosažení cílů uvedeného zpracování. V takových případech přijme správce vhodná opatření na ochranu práv, svobod a oprávněných zájmů subjektu údajů, včetně zpřístupnění daných informací veřejnosti; c) je získávání nebo zpřístupnění výslovně stanoveno právem Unie nebo členského státu, které se na správce vztahuje a v němž jsou stanovena vhodná opatření na ochranu oprávněných zájmů subjektu údajů; nebo d) osobní údaje musí zůstat důvěrné s ohledem na povinnost zachovávat služební tajemství upravenou právem Unie nebo členského státu, včetně zákonné povinnosti mlčenlivosti.

69. Podle čl. 15 odst. 1 GDPR subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím: a) účely zpracování; b) kategorie dotčených osobních údajů; c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích; d) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby; e) existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování a nebo vznést námitku proti tomuto zpracování; f) právo podat stížnost u dozorového úřadu; g) veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů; h) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

70. Podle čl. 15 odst. 2 GDPR, pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46, které se vztahují na předání.

71. Podle čl. 15 odst. 3 GDPR správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.

72. Podle čl. 15 odst. 4 GDPR právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.

73. Podle čl. 44 GDPR k jakémukoli předání osobních údajů, které jsou předmětem zpracování nebo které jsou určeny ke zpracování po předání do třetí země nebo mezinárodní organizaci, může dojít pouze tehdy, splní-li správce a zpracovatel v závislosti na dalších ustanoveních tohoto nařízení podmínky stanovené v této kapitole, včetně podmínek pro další předávání osobních údajů z dané třetí země nebo mezinárodní organizace do jiné třetí země nebo jiné mezinárodní organizaci. Veškerá ustanovení této kapitoly se použijí s cílem zajistit, aby úroveň ochrany fyzických osob zaručená tímto nařízením nebyla znehodnocena.

74. Podle čl. 45 odst. 3 GDPR Komise může po posouzení odpovídající úrovně ochrany prostřednictvím prováděcího aktu rozhodnout, že určitá třetí země, určité území či jedno nebo více konkrétních odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje odpovídající úroveň ochrany ve smyslu odstavce 2 tohoto článku. Uvedený prováděcí akt stanoví mechanismus pro pravidelný přezkum prováděný nejméně každé čtyři roky, který zohlední veškerý relevantní vývoj v dotčené třetí zemi nebo mezinárodní organizaci. Stanoví také svou územní a odvětvovou působnost a případně určí dozorový úřad nebo úřady uvedené v odst. 2 písm. b) tohoto článku. Tento prováděcí akt se přijímá přezkumným postupem podle čl. 93 odst. 2.

75. Podle čl. 46 odst. 1 GDPR, jestliže neexistuje rozhodnutí podle čl. 45 odst. 3, správce nebo zpracovatel mohou předat osobní údaje do třetí země nebo mezinárodní organizaci, pouze pokud správce nebo zpracovatel poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů.

76. Podle čl. 46 odst. 2 GDPR vhodné záruky uvedené v odstavci 1 mohou být stanoveny, aniž je zapotřebí jakékoli zvláštní povolení dozorového úřadu, pomocí: a) právně závazného a vymahatelného nástroje mezi orgány veřejné moci nebo veřejnými subjekty; b) závazných podnikových pravidel v souladu s článkem 47; c) standardních doložek o ochraně osobních údajů přijatých Komisí přezkumným postupem podle čl. 93 odst. 2; d) standardních doložek o ochraně údajů přijatých dozorovým úřadem a schválených Komisí přezkumným postupem podle čl. 93 odst. 2; e) schváleného kodexu chování podle článku 40 spolu se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky, a to i ohledně práv subjektů údajů; nebo f) schváleného mechanismu pro vydání osvědčení podle článku 42 spolu se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky, a to i ohledně práv subjektů údajů.

77. Podle čl. 49 odst. 1 písm. b) GDPR, jestliže neexistuje rozhodnutí o odpovídající ochraně podle čl. 45 odst. 3 ani vhodné záruky podle článku 46, včetně závazných podnikových pravidel, může se předání nebo soubor předání osobních údajů do třetí země nebo mezinárodní organizaci uskutečnit pouze při splnění jedné z následujících podmínek předání je nezbytné pro splnění smlouvy mezi subjektem údajů a správcem nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů.

78. Podle čl. 82 odst. 1 GDPR kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.

79. Podle čl. 82 odst. 2 GDPR správce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení. Zpracovatel je za újmu způsobenou zpracováním odpovědný pouze v případě, že nesplnil povinnosti stanovené tímto nařízením konkrétně pro zpracovatele nebo že jednal nad rámec zákonných pokynů správce nebo v rozporu s nimi.

80. Podle čl. 82 odst. 3 GDPR správce nebo zpracovatel jsou odpovědnosti podle odstavce 2 zproštěni, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla.

81. Podle čl. 82 odst. 4 GDPR je-li do téhož zpracování zapojen více než jeden správce nebo zpracovatel, nebo správce i zpracovatel, a nesou-li podle odstavců 2 a 3 odpovědnost za jakoukoliv škodu způsobenou daným zpracováním, nese každý správce nebo zpracovatel odpovědnost za celou újmu, tak aby byla zajištěna účinná náhrada újmy subjektu údajů.

82. Podle čl. 82 odst. 5 GDPR, jestliže některý správce nebo zpracovatel zaplatil v souladu s odstavcem 4 plnou náhradu způsobené újmy, má právo žádat od ostatních správců nebo zpracovatelů zapojených do téhož zpracování vrácení části náhrady, která odpovídá jejich podílu na odpovědnosti za újmu v souladu s podmínkami v odstavci 2.

83. Podle čl. 82 odst. 6 GDPR soudní řízení za účelem výkonu práva na náhradu újmy se zahajují u soudů příslušných podle práva členského státu uvedeného v čl. 79 odst. 2.

84. Podle čl. 84 odst. 1 GDPR členské státy stanoví pravidla pro jiné sankce, jež se mají ukládat za porušení tohoto nařízení, zejména za porušení, na něž se nevztahují správní pokuty podle článku 83, a učiní veškerá opatření nezbytná k zajištění jejich uplatňování. Tyto sankce musí být účinné, přiměřené a odrazující.

85. Předpokladem úspěšného uplatnění práva na náhradu újmy způsobené porušením nařízení GDPR je dle čl. 82 GDPR, který je přímo použitelný, splnění tří kumulativních podmínek, a to prokázání 1) existence porušení nařízení GDPR, 2) existenci majetkové nebo nemajetkové újmy způsobené osobě, která žádá o náhradu, a 3) příčinné souvislosti mezi tímto porušením a způsobenou újmou. Pojem újmy by měl být dle čl. 146 preambule GDPR vykládán široce a způsobem, který plně odráží cíle nařízení. Z upřesnění uvedených v bodech 75, 85 a 146 preambule GDPR vyplývá, že vznik újmy v souvislosti se zpracováním porušujícím nařízení je pouze potenciální, že samotné porušení GDPR nutně nezpůsobuje újmu, a že k založení nároku subjektu údajů na náhradu újmy musí existovat příčinná souvislost mezi dotčeným porušením a újmou, kterou utrpěl subjekt údajů. Pouhé porušení nařízení GDPR nepostačuje k přiznání práva na náhradu újmy, což potvrdila i judikatura Soudního dvora EU. Pojem „nehmotná újma“ ve smyslu čl. 82 GDPR musí být vzhledem k neexistenci jakéhokoli odkazu na vnitrostátní právo členských států definován autonomně a jednotně v unijním právu. Podle Soudního dvora EU pak také není nárok na náhradu újmy s přihlédnutím k čl. 146 odůvodnění GDPR podmíněn dosažením určité hranice závažnosti porušení GDPR. Takto přijatý výklad ale nelze chápat tak, že by osoba dotčená porušením GDPR, které mělo vůči ní negativní důsledky, byla zproštěna povinnosti prokázat, že tyto důsledky pro ni představují nehmotnou újmu ve smyslu čl. 82 GDPR. Nařízení GDPR neobsahuje ustanovení, jehož cílem by bylo stanovit pravidla pro posuzování náhrady újmy, které se může subjekt údajů ve smyslu čl. 4 bodu 1 GDPR domáhat na základě čl. 82, pokud porušením uvedeného nařízení utrpěl újmu (srov. rozsudek Soudního dvora EU ze dne , datum, ve věci C-300/21).

86. V tomto řízení soud projednával žalobu, jíž se žalobce domáhal zaplacení částky , částka, jako náhrady nemajetkové újmy podle čl. 82 GDPR z titulu tvrzeného protiprávního zpracování jeho osobních údajů pro účely tzv. behaviorální reklamy a z titulu porušení informačních povinností žalované. Dále žalobce brojil i proti tomu, jakým způsobem jsou osobní údaje uživatelů , Anonymizováno, sdíleny do USA a měl za to, že v důsledku sdílení údajů do USA u něho vznikla důvodná obava ze ztráty kontroly nad jeho osobními údaji a z dalších potencionálních zásahů amerických orgánů proti jeho osobě. Žalobce stavěl svá tvrzení zejména na rozhodnutích irského dozorového orgánu (IE DPA) a na rozhodnutích EDPB týkajících se právního základu „on-site“ zpracování u služby , Anonymizováno, a na rozhodnutích k předávání údajů do USA; současně konkretizoval, jaké osobní údaje o něm měly být spravované a protiprávně využité k reklamnímu cílení. Soud si je těchto správních rozhodnutí vědom, nicméně vycházel z toho, že tento spor je primárně soukromoprávní a jádrem posouzení je, zda žalobce prokázal vznik individuální nemajetkové újmy a její příčinnou souvislost s porušením GDPR ve smyslu čl. 82 GDPR.I. Skutkový základ:

87. Ze spisu plyne, že žalobce je uživatelem , Anonymizováno, od , datum, (založení profilu), přičemž v řízení předložil export svých dat a popsal kategorie údajů, jež o něm měla žalovaná vést a (neoprávněně) využívat (identifikační a kontaktní údaje; údaje o vzdělání; obsah veškerých zpráv a příloh v , Anonymizováno, ; fotografie; přátelé a kontakty včetně telefonních čísel; navštívené stránky a záznamy o aktivitě; pozvánky a účast na akcích; , Anonymizováno, a související konverzace; příspěvky a reakce; členství ve skupinách; primární lokalita; historie vyhledávání a zobrazených stránek; odvozené reklamní preference; IP adresy a údaje o zařízení, časy přihlášení; aplikace třetích stran; „off-site“ aktivita a nákupy, mj. , Anonymizováno, ; seznam inzerentů, kteří využili data k cílení; reakce na reklamy).

88. Pokud jde o časové vymezení, žalobce dovozoval protiprávní „behaviorální“ zpracování bez souhlasu nejméně od nabytí účinnosti GDPR (, datum, ) do listopadu 2023; za totéž období se domáhal i náhrady újmy.

89. Žalovaná na výzvu soudu prokázala, že žalobce následně udělil souhlas se zpracováním „on-site“ údajů pro reklamu dne , datum, ve 14:01:53 UTC; žalobce tuto skutečnost nerozporoval.

90. V průběhu řízení soud žalobce výslovně poučil (usnesením č. j. , spisová značka, a také při jednání konaném dne , datum, dle ust. § 118a odst. 1, 3 občanského soudního řádu) o nutnosti individualizovat tvrzení a doplnit důkazy k prokázání jeho konkrétní újmy. Žalobce byl vyzván i k tomu, aby dotvrdil a prokázal, z čeho dovozuje důvodnost/opodstatněnost obavy, že bude s jeho osobními údaji neoprávněně nakládáno v USA a že mělo dojít ke zneužití nebo neoprávněnému zpracování či jinému nakládání s jeho osobními údaji a k jejich zpřístupnění třetím osobám, a aby uvedl, kdy k tomu mělo dojít a o jaké konkrétní údaje se mělo jednat. Dále byl žalobce vyzván, aby doložil, že mělo v případě jeho osoby existovat reálné riziko zneužití osobních údajů žalobce a ke specifikaci, ke kterým osobním údajům se mělo toto riziko vztahovat a z jakých skutkových okolností je toto riziko dovozováno. Žalobce na poučení reagoval podáním ze dne , datum, . Přes poučení soudu žalobce v klíčových bodech setrval na obecnostech, hypotézách a vágních úvahách, které však dle názoru soudu nijak konkrétně neprokázal a nepodložil.

91. Žalobce popsal své obavy zejména tak, že vzhledem k údajnému přístupu orgánů USA k datům uživatelů , Anonymizováno, (včetně jeho údajů) by mohl být při cestách do USA vystaven zvýšeným kontrolám, odmítnutí vstupu, zadržení či jiné perzekuci. Tyto obavy žalobce spojoval se ztrátou kontroly nad osobními údaji a s nemožností vůči orgánům USA uplatňovat práva podle GDPR. Žalobce měl za to, že takovéto obavy jsou dostatečně konkrétní. Zároveň žalobce uvedl, že by – pokud by byl řádně a srozumitelně informován ze strany žalované – souhlas s „behaviorálním“ zpracováním jeho údajů neudělil a že samotný proces získání souhlasu byl nastaven tak, aby většina uživatelů notifikaci bez hlubší reflexe „odklikla“ (vztažmo k době před listopadem 2023, kdy se model souhlasu měnil).II. Právní rámec a judikatura Soudního dvora EU:

92. Podle čl. 82 GDPR vzniká právo na náhradu jen osobě, která v důsledku porušení GDPR utrpěla materiální či nemateriální újmu; nestačí samotné porušení nařízení. Tento výklad opakovaně potvrdil Soudní dvůr EU: rozsudek Österreichische Post, č. C-300/21 (poškozený musí prokázat vznik újmy a příčinnou souvislost), juris GmbH, č. C-741/21 (čistě hypotetické riziko zneužití údajů nestačí), MediaMarktSaturn, č. C-687/21 (je nutná prokazatelná „důvodná obava“ vyvolaná konkrétní událostí, nestačí abstraktní možnost), a rozsudek č. C-590/22 (čl. 82 nemá sankční funkci a kritéria z čl. 83 pro správní pokuty se nepoužijí). Soudní dvůr EU nově zdůraznil i v řízení C-200/23 Agentsia po vpisvaniyata, že nelze presumovat újmu jen z porušení GDPR; je třeba individualizovat tvrzení a důkazy. Samotné porušení GDPR tedy automaticky neznamená vznik nároku na náhradu, musí být prokázána konkrétní újma. Soudní dvůr EU i některé národní soudy pak připustily, že i pocit ztráty kontroly/obava ze ztráty kontroly či nejistota ohledně nakládání s údaji může být považována za nehmotnou újmu (viz rozhodnutí č. C-340/21 – Natsionalna agentsia za prihodite). Už samotné obcházení práva subjektu rozhodovat o zpracování (např. absence souhlasu, pokud je souhlas právním základem, k čemuž však v tomto případě nedošlo) může tedy představovat zásah do sféry uživatele. Obavy uživatele však musejí být reálné a osobně prožívané (musí jít o skutečný a individuální dopad na uživatele), nepostačuje pouze teoretické/hypotetické tvrzení uživatele.III. Aplikace judikatury a právní úpravy na projednávanou věc:1) K tvrzenému porušení povinností žalované:

93. Soud v tomto řízení neposuzuje definitivní správnost závěrů IE DPA/EDPB o právním základu zpracování; vychází nicméně z toho, že citovaná správní rozhodnutí se týkala především „on-site“ dat (údaje vzniklé přímo uživatelskou aktivitou na , Anonymizováno, ), zatímco „off-site“ data (údaje od třetích stran) nebyla předmětem šetření, jak také žalovaná konzistentně namítala. Soud nepopírá, že v případě žalované a platformy , Anonymizováno, jsou patrné systémové problémy související s ochranou údajů uživatelů z prostředí Evropské unie; v případě tohoto občanskoprávního sporu však nelze pouze z těchto systémových poznatků dovozovat, že by byla žalobci automaticky způsobena újma, kterou by měla žalovaná saturovat v penězích. Soud při svém rozhodování rovněž zohlednil, že žalobce sám později souhlasil se zpracováním „on-site“ údajů pro reklamu (, datum, ), což je relevantní pro posouzení trvání a intenzity tvrzené újmy.2) K žalobcem tvrzeným obavám a ztrátě kontroly:

94. Žalobce z pohledu soudu k výzvě soudu přesvědčivě specifikoval šíři (kategorie) údajů, které o něm žalovaná vede, a které měly být dle jeho názoru protiprávně zpracovány (viz výše), přičemž vlastní újmu dovozoval primárně z (i) obavy ze ztráty kontroly a z (ii) obav z možných následků při cestách do USA (zvýšené kontroly, odmítnutí vstupu, detence). Soud k tomu konstatuje, že: Žalobce nedoložil žádné individualizované okolnosti a důkazy, které by odůvodnily uzavřít, že jeho obavy ze ztráty kontroly nad jeho údaji nebyly pouze hypotetické. Žalobce byl v tomto kontextu soudem vyzván k doložení konkrétních, individualizovaných skutečností (mohlo se jednat o osobní zkušenosti, incidenty na hranici, vyrozumění o bezpečnostních prověrkách apod.), jež by činily jeho obavu důvodnou a reálnou nad rámec jeho obecných úvah o transatlantickém přístupu k jeho osobním datům. Přes výzvu soudu však žalobce setrval na obecných odkazech a hypotézách. V této souvislosti soud uvádí, že z rozhodovací soudní praxe je patrno (viz např. také rozhodnutí Nejvyššího soudu sp. zn. , spisová značka, ), že i samotná obava ze ztráty kontroly nad osobními údaji a obava ze souvisejících budoucích rizik hrozících subjektu údajů může být újmou ve smyslu čl. 82 GDPR s tím, že není nutné prokazovat měřitelné, konkrétní psychické poškození; poškozenému postačí prokázat, že se zásah do morální integrity osoby vzhledem ke konkrétním okolnostem případu a postavení osoby nejeví nepravděpodobným. Žaloby v obdobných věcech tedy nelze zamítnout jen s tím, že újma není dostatečně zásadní – neexistuje žádný prahový test závažnosti újmy (de minimis) – i malá, ale prokázaná újma může být odškodnitelná. V tomto případě však absentuje jakákoliv událost týkající se osobní sféry žalobce vyvolávající jím tvrzenou důvodnou obavu. Nebylo prokázáno, že by v případě žalobce došlo k bezpečnostnímu flagování, zadržení, odmítnutí vstupu, zvláštnímu prověřování či jinému kroku ze strany amerických orgánů, a to ani v minimální podobě (např. sekundární kontrola navázaná na konkrétní datové shody). Obava žalobce tak zůstala čistě hypotetická. Podle judikatury Soudního dvora EU (juris GmbH, C-741/21; MediaMarktSaturn, C-687/21) pouhé riziko zneužití bez konkrétního spouštěče a dopadu k vyhovění nároku na satisfakci za porušení čl. 82 GDPR nepostačuje. Tvrzení žalobce jsou příliš vágní – žalobce přes výzvy a poučení soudu nekonkretizoval žádné individualizované skutečnosti či zkušenosti, z nichž by bylo možno dovodit, že právě u něj byly jím naznačované obavy reálné a důvodné (žalobce pouze hypoteticky uváděl, že by mohlo dojít např. k tomu, že nebude vpuštěn do USA např. proto, že v minulosti např. mohl navštívit některé blízkovýchodní země). Obavy subjektu údajů přitom musejí být reálné a osobně prožívané, nepostačuje pouze teoretické tvrzení, které obsahují podání žalobce, včetně toho, jímž bylo reagováno na poučení soudu dle ust. § 118a odst. 1, 3 občanského soudního řádu. Chybí tedy konkrétní individualizace, proč je právě u žalobce jeho obava ze ztráty kontroly skutečně pravděpodobná. Ke svým tvrzením o tom, že je žalobce sportovcem, který má důvodné obavy z toho, že by mu mohl být hypoteticky zamezen vstup do USA např. proto, že v minulosti mohl navštívit nějakou blízkovýchodní zemi, žalobce neoznačil žádné důkazy a důvodnost jeho obav tedy nebyla prokázána. Z exportu dat žalobce navíc vyplývá, že žalobce nikdy nesdílel na , Anonymizováno, polohu v některé z blízkovýchodních zemí, což hypotetičnost jeho obav a souvisejících žalobních tvrzení toliko podtrhuje. Žalobce neprokazuje, že skutečně cestoval do „rizikových“ zemí, chybí faktické podklady a tvrzení žalobce o možném zkrácení jeho práv je tak toliko spekulativním. Pocity jako úzkost z neznámého využití údajů, stres nebo ztráta důvěry mohou újmu představovat pouze, pokud jsou skutečné a prokazatelné (viz rozhodnutí Soudního dvora EU č. C-300/21 a C-340/21), což v případě žalobce nebylo prokázáno (přes výzvy a poučení soudu). Žalobce udělil se zpracováním osobních údajů následně souhlas a pokračuje v užívání , Anonymizováno, dodnes. To, že žalobce dne , datum, výslovně zvolil variantu používání služby se souhlasem s „on-site“ reklamním zpracováním, oslabuje jeho tvrzení o trvající a intenzivní ztrátě kontroly a způsobené újmě. Pokud žalobce tvrdil, že se cítil dotčen tím, že nebyl na zpracování osobních údajů výslovně dotázán, jeho pozdější dobrovolná volba odsouhlasit zpracování osobních údajů pro behaviorální reklamní účely svědčí o tom, že psychický zásah do jeho sféry nebyl nijak radikální či dlouhodobý. Žalobce očividně zpracování nevnímal jako zásadní zásah do své právní sféry, jinak by dle názoru soudu souhlas dne , datum, nemohl udělit. Žalobce v tomto kontextu argumentoval tím, že má pochybnosti o legalitě svého následného souhlasu se zpracováním osobních údajů, pokud alternativou bylo využívání služeb žalované pouze za úplatu bez reklam. Soud k tomu konstatuje, že otázka platnosti souhlasu, který žalobce sám výslovně nepopírá a na jehož základě služby žalované nadále využívá, není předmětem tohoto řízení. Rozhodující pro posouzení nároku na náhradu nemajetkové újmy podle čl. 82 GDPR je, zda žalobce prokázal, že v důsledku předchozího neoprávněného zpracování osobních údajů utrpěl konkrétní újmu. To však prokázáno nebylo. Obecná pochybnost o právním režimu následného souhlasu nemůže sama o sobě založit vznik ani intenzitu újmy žalobce. Naopak, skutečnost, že žalobce souhlas udělil a služby žalované nadále využívá, svědčí o tom, že zpracování svých údajů reálně akceptuje a nepociťuje je jako zásadní zásah do svých práv. Princip pay or okay pak využívá množství online platforem, nejen , Anonymizováno, . Pokud si pak uživatelé zvolí, že namísto předplatného chtějí tyto platformy využívat bezplatně, nespatřuje soud ničeho závadného na tom, že provozovatelé těchto platforem příjem z předplatného suplují reklamními příjmy. Pokud žalobce s tímto principem nesouhlasil, mohl přestat , Anonymizováno, používat a ke komunikaci a spojení s přáteli využít jiných sociálních sítí či komunikačních platforem. Žalobcova argumentace tím, že souhlas musel udělit mj. i proto, aby si uchoval podklady pro tento soudní spor, se pak jeví spíše účelově, neboť žalobce v průběhu řízení neuváděl, že by své aktivity na , Anonymizováno, v důsledku jím tvrzených obav jakkoliv omezil. Jak bylo výše naznačeno, soud z toho vyvozuje, že žalobce zpracování svých údajů reálně akceptuje a nepociťuje je jako zásadní zásah do svých práv. Rozsah šetření správních orgánů, o jejichž závěry se žalobce opírá, se týkal „on-site“ dat, nikoliv „off-site“ dat. Převážná část správních závěrů, o něž se žalobce opírá, dopadá na „on-site“ data; žalobce však stavěl obavu i na „off-site“ datech a na tvrzení o zpřístupnění jeho nejdůvěrnějšího obsahu (soukromé zprávy apod.), což žalovaná věcně zpochybnila a s tím, že šetření právního základu se „off-site“ dat netýkalo. S tímto závěrem se soud po prostudování souvisejících rozhodnutí a dalších podkladů ztotožňuje a pokládá jej za odpovídající realitě.3) K žalobcově argumentaci, že samotná „ztráta kontroly nad osobními údaji“ a „opodstatněná obava ze ztráty kontroly“ představují nemajetkovou újmu:

95. Žalobce staví svou argumentaci mj. na tom, že mu vznikla nemajetková újma spočívající ve ztrátě kontroly nad osobními údaji a na související důvodné obavě ze zneužití jeho osobních údajů; výslovně se dovolává judikatury SDEU (zejm. C-300/21, C-340/21, C-456/22, C-687/21) a na ni navazující české judikatury, především rozsudku Nejvyššího soudu sp. zn. , spisová značka, , který – dle tvrzení žalobce – potvrzuje, že pro přiznání náhrady není třeba prokazovat „měřitelné“ poškození, postačí, že pocit zásahu do morální integrity se vzhledem k okolnostem nejeví jako nepravděpodobný. Žalobce tyto závěry opakovaně akcentuje i v kontextu nezákonného zpracování údajů pro účely behaviorální reklamy a předávání dat do USA.

96. Soud této žalobcově argumentaci rozumí, nicméně musí především připomenout, že v systematice čl. 82 GDPR jsou (jak již bylo konstatováno) tři kumulativní předpoklady odpovědnosti: (i) porušení GDPR, (ii) vznik újmy, a (iii) příčinná souvislost mezi porušením a újmou. To opakovaně zdůraznil i Soudní dvůr EU – viz rozhodnutí Österreichische Post, C-300/21, dále PS GbR, C-590/22, Agentsia po vpisvaniyata, C-200/23 a juris GmbH, C-741/21. Pouhé porušení GDPR tedy samo o sobě nestačí a poškozený musí prokázat, že mu skutečně újma vznikla a že je dána kauzální vazba na porušení GDPR. Soudní dvůr EU zároveň připouští, že „obava ze zneužití“ může být nehmotnou újmou – avšak pouze tehdy, je-li opodstatněná v konkrétních okolnostech osoby a případu; nestačí čistě hypotetické riziko (srov. MediaMarktSaturn, C-687/21).

97. Optikou popsaných měřítek soud hodnotí učiněná skutková zjištění následovně: ačkoli žalobce tvrzení o „ztrátě kontroly“ a „obavě“ několikrát akcentuje, neoznačil a nepředložil (ani po adresné výzvě soudu dle ust. § 118a o. s. ř.) žádné individualizující důkazy o tom, že v jeho věci nastal konkrétní spouštěč obav (např. skutečné neoprávněné zpřístupnění jeho dat, bezpečnostní flagging či jakýkoli zásah do jeho života) a z něj plynoucí negativní dopad v jeho osobní sféře. Přes výzvu soudu (při jednání dne , datum, byl žalobce výslovně vyzván, aby konkretizoval tvrzení a důkazy) žalobce důkazní materiál k prokázání svých tvrzení a k prokázání újmy nedoložil. Za této procesní situace soud – při zohlednění citované judikatury Soudního dvora EU – uzavírá, že žalobcem tvrzená obava ze zneužití údajů zůstala hypotetická a nebyla prokázána jako „opodstatněná“ ve smyslu shora popisovaných kritérií.

98. Soud také v návaznosti na odkaz žalobce na rozhodnutí Nejvyššího soudu sp. zn. , spisová značka, v tomto kontextu doplňuje, že ve věci sp. zn. , spisová značka, Nejvyšší soud připustil (jak již bylo naznačen výše), že i samotná obava subjektu údajů ze ztráty kontroly může představovat nemajetkovou újmu ve smyslu čl. 82 GDPR. Šlo však o případ opožděné transpozice evropské směrnice do českého právního řádu, kde byla řešena obava stěžovatele z budoucích důsledků opožděné transpozice. Jednalo se tedy o obavu prospektivní, směřující do budoucna, kdy existovalo reálné riziko, že k zásahu do práv žalobce v budoucnu z důvodu opožděné transpozice dojde. V nyní projednávané věci je situace odlišná, neboť obava žalobce se odvíjí zejména od období před listopadem 2023, kdy dal žalobce souhlas se zpracováním osobních údajů podle aktuálního právního standardu. Jeho tvrzené obavy tak nesměřují k budoucím následkům případné přetrvávající nejistoty (kterou navíc žalobce neprokázal), ale ke zpracování údajů ze strany žalované, k němuž docházelo v minulosti, a které je navíc nyní realizováno na odlišném právním základě souhlasu uživatelů, který žalobce udělil. Tyto okolnosti činí tuto věc skutkově i právně odlišnou od případu řešeného Nejvyšším soudem, a závěry obsažené v jeho rozhodnutí sp. zn. , spisová značka, proto nelze na projednávanou věc bez dalšího a zcela přenášet.4) K obavám žalobce ve vztahu k zpracování údajů jejich poskytováním do USA a k možným dopadům na jeho cestování a sportovní činnost:

99. Žalobce na základě výzvy soudu konkretizoval obavu, že při cestách do USA může čelit extenzivním kontrolám, odmítnutí vstupu, či dokonce detenci, mj. v souvislosti s jeho polohovými údaji (např. týkajícími se pobytu v rizikových regionech). Soud tuto argumentační linii nepominul, jak je patrno již například z první odrážky bodu 94. odůvodnění tohoto rozsudku. Soud v této souvislosti dílem opakuje a dílem doplňuje, že žalobce netvrdil ani neprokázal žádnou událost či komunikaci s orgány USA, jež by nasvědčovala reálné existenci jím tvrzených obav a jejich dopadu do osobní sféry žalobce (nebylo doloženo žádné rozhodnutí o odepření vstupu, sekundární kontrola navázaná na datové shody apod.). Naproti tomu žalovaná připomněla (a doložila), že žalobce po , datum, výslovně udělil souhlas se zpracováním „on-site“ údajů pro reklamu a že službu , Anonymizováno, dále užívá, což samo o sobě oslabuje tvrzení o trvalé a intenzivní obavě (zvláště jde-li o tutéž kategorii zpracování údajů, k níž dal žalobce v listopadu 2023 výslovný souhlas). Dle Soudního dvora EU (MediaMarktSaturn, C-687/21) nelze vyvodit opodstatněnou obavu bez jakéhokoli individuálního faktického základu; jinými slovy, zůstává-li obava pouhou hypotézou, jako v tomto případě, nárok dle čl. 82 GDPR nevzniká. Nebylo pak zjištěno ani to, že by se data žalobce, jež jsou sdílena s mateřskou společností žalované sídlící v USA, dostala mimo dispozici těchto subjektů (žalované a její mateřské společnosti).5) K tvrzenému porušení informační povinnosti žalované (čl. 12–14 GDPR):

100. Žalobce také tvrdil, že nebyl v relevantním období transparentně informován o kategoriích zpracování (zejména ohledně behaviorální reklamy a „off-site“ sběru údajů) ani o předávání údajů do USA; v tomto směru podrobně odkazoval na rozhodnutí IE DPA a EDPB, jež popisují vágnost a neúplnost žalovanou poskytnutých informací. Soud nepopírá, že tato rozhodnutí obsahují podrobná regulatorní zjištění k informačním deficitům v daném období. Nicméně povaha tohoto civilního řízení je odlišná: i při existenci porušení GDPR (včetně porušení informační povinnosti) musí žalobce unesením břemene tvrzení a důkazního prokázat vznik vlastní nemajetkové újmy a kauzální nexus (čl. 82 GDPR; C-300/21, C-590/22, C-200/23, C-741/21). To se v projednávané věci nestalo, jak soud opakovaně naznačuje a odůvodňuje výše – žalobce nedoložil konkrétní dopad informačních deficitů do jeho osobní sféry (např. jaké z jeho pohledu problematické rozhodnutí či jednání učinil z důvodu nedostatku žalovanou poskytnutých informací a jak se to reálně promítlo do jeho psychické pohody či právního postavení). I kdyby tedy byla informační povinnost porušena, žalobce neprokázal, že by se tento deficit projevil konkrétně v jeho osobní sféře. Za této situace samotná možná existence obecných nedostatků transparentnosti – byť závažných na regulatorní úrovni – nezakládá bez dalšího nárok na náhradu nemajetkové újmy.6) K příčinné souvislosti a míře zásahu:

101. Ani při akceptaci konstrukce žalobce, že před listopadem 2023 mohla u žalované nastat pochybení ohledně právního titulu „on-site“ zpracování a nedostatečné transparentnosti, soud neshledal, že by žalobce prokázal individuální nemajetkovou újmu a kauzální nexus mezi porušením GDPR a jeho osobní sférou. Především nebyla prokázána žalobcova „důvodná obava“ v tom smyslu, jak ji vyžaduje prokázat judikatura Soudního dvora EU; nebyl doložen žádný faktický dopad (byť bagatelní) do sféry žalobce, ale byla prezentována toliko abstraktní možnost, že by americké orgány údaje žalobce možná mohly někdy zneužít. To dle Soudního dvora EU (ale ani dle rozhodnutí Nejvyššího soudu sp. zn. , spisová značka, ) k přiznání náhrady nestačí.

102. Soud také konstatuje, že žalovaná dle provedeného dokazování v průběhu času měnila právní základ pro zpracování osobních údajů uživatelů , Anonymizováno, , a to v návaznosti na vývoj rozhodovací praxe Soudního dvora EU týkající se GDPR, stanoviska Evropského sboru pro ochranu osobních údajů související s touto problematikou, atd. Zatímco v určitém období se žalovaná odvolávala na oprávněný zájem a na plnění smlouvy, v pozdější době přistoupila k vyžadování výslovného souhlasu uživatelů , Anonymizováno, se zpracováním jejich osobních údajů a též k zavedení variantního modelu poskytování služeb (placený a neplacený , Anonymizováno, ). Tyto změny z pohledu soudu odrážejí i určitou právní nejistotu na straně žalované a dynamický vývoj v oblasti ochrany osobních údajů, nikoli zcela svévolné jednání žalované směřující apriorně proti právům uživatelů , Anonymizováno, , jako je i žalobce. Je však pravdou, že v této souvislosti postupem času docházelo i k tomu, že právní základ pro „on-site“ zpracování a problematika související se sdílením dat uživatelů do USA byly dozorovými orgány v některých aspektech popsány jako nedostatečné a zdejší soud tedy nepopírá, že určitý systémový problém týkající se péče o ochranu osobních údajů uživatelů a jejich sdílení žalovaná mít pravděpodobně mohla (viz mj. také žalobcem poukazovaný a již zrušený tzv. Privacy Shield anebo také obecné závěry rozsudku Soudního dvora EU č. C-311/18 týkající se přenosu dat do USA). V tomto kontextu byly také žalované prozatím nepravomocně uloženy i sankce v žalobcem poukazovaných řízeních IE DPA/EDPB. Žalobce ale nad rámec těchto obecných zjištění dle názoru soudu v souzené věci neprokázal vztažmo k jeho právní sféře jakýkoliv individualizovaný a konkrétní zásah do jeho práv ani důvodnost jím tvrzených obav ze ztráty kontroly nad údaji. Lze souhlasit se žalobcem, že právní hodnocení EDPB/IE DPA se vztahuje na všechny uživatele , Anonymizováno, (včetně žalobce). Současně však platí, že ve sporu podle čl. 82 GDPR musí soud individuálně zkoumat vznik újmy a příčinnou souvislost. Navíc i sama žalovaná poukazuje na to, že dotčená správní řízení jsou napadána soudním přezkumem a (co do věcného rozsahu) byla primárně zaměřena na „on-site“ data. Soud tedy k těmto podkladům přihlíží jako k relevantnímu regulačnímu zdroji informací, nicméně nepřebírá z nich automaticky závěr o vzniku civilněprávní újmy bez individuálního prokázání žalobcem. Nedošlo pak ani k absenci žalobcova souhlasu se zpracováním „on-site“ dat v době, kdy byl souhlas uživatele právním základem pro zpracování osobních údajů uživatelů , Anonymizováno, .IV. Judikatura Tribunálu a Spolkového soudního dvora poukazovaná žalobcem:

103. Soud se dále zabýval i odkazem žalobce na rozsudek Tribunálu ve věci T-354/22 a na rozhodnutí německého Spolkového soudního dvora sp. zn. VI ZR 10/24. V této souvislosti dospěl soud k závěru, že tuto judikaturu nelze na projednávanou věc přímo aplikovat.

104. Pokud jde o rozsudek Tribunálu , Anonymizováno, , soud zdůrazňuje, že jde o rozhodnutí prvoinstančního unijního soudu vydané v individuálním řízení, které nemá obecnou závaznost srovnatelnou s výkladem Soudního dvora EU podle čl. 267 SFEU. Rozsudek Tribunálu nepředstavuje autoritativní výklad unijního práva pro členské soudy, neboť proti němu je přípustné odvolání k Soudnímu dvoru. Již proto k němu nelze přihlížet jako k závaznému precedentu ve smyslu judikatury Soudního dvora EU.

105. Rozhodnutí Spolkového soudního dvora , Anonymizováno, se pak dle názoru soudu týkalo skutkově odlišné situace. Jednalo se o incident bezpečnostní chyby na straně , Anonymizováno, , kdy třetí osoby mohly přiřazovat telefonní čísla k veřejně dostupným profilům a následně tato data systematicky „scrapovat“, což mělo za následek konkrétní újmu postižených osob, které obdržely phishingové zprávy. V posuzované věci však žalobce žádný obdobný únik dat ani konkrétní útok nedoložil, ani nedoložil, že by v jeho případě došlo k neoprávněnému zpřístupnění jeho údajů třetím osobám. Předmětem řízení zde není narušení zabezpečení, nýbrž právní základ pro behaviorální reklamu, otázka (obavy ze) ztráty kontroly nad osobními údaji a otázka informačních povinností žalované.V. Neunesení důkazního břemene žalobcem; závěrečné shrnutí a vypořádání zbylých stěžejních bodů žalobcovy argumentace:

106. Soud shrnuje, že žalobce sice dostatečně konkretizoval, které údaje o něm žalovaná evidovala a které měla dle jeho názoru neoprávněně zpracovat, nicméně neunesl důkazní břemeno o existenci jeho vlastní nemajetkové újmy a o příčinné souvislosti újmy s porušením GDPR. Jím popisované obavy (odmítnutí vstupu do USA, detence apod.) soud vyhodnotil jako čistě hypotetické, nepodložené žádným důkazem o konkrétním individuálním dopadu, a to i přesto, že žalobce byl k doplnění tvrzení a důkazů výslovně vyzván při jednání konaném dne , datum, a byl poučen o následcích neprokázání inkriminovaných skutečností.

107. Žalobce byl při jednání konaném dne , datum, v souladu s § 118a odst. 1 a 3 občanského soudního řádu poučen o nutnosti tvrdit rozhodné skutečnosti a označit důkazy k jejich prokázání, konkrétně pak mj. k prokázání toho, že jeho obavy z možného zneužití osobních údajů a dopadu těchto obav do jeho osobní sféry nebyly pouze hypotetické a že měly opodstatnění. Přes výzvu soudu žalobce žádné konkrétní důkazy k těmto tvrzením nepředložil a setrval toliko na obecné argumentaci ohledně možných dopadů např. na cestování. V poměrech této věci byl žalobce navíc na potřebu doplnit v popsaném směru důkazy upozorněn opakovaně; přesto žádné individualizované důkazy nepředložil. Žalobce tedy byl řádně poučen a měl reálnou možnost označit důkazy k prokázání toho, že jím tvrzené obavy nad ztrátou kontroly nad osobními údaji nebyly toliko hypotetické, avšak neučinil tak. Podle ustálené judikatury Nejvyššího soudu, jestliže účastník řízení nesplní svou povinnost tvrzení a důkazní povinnost ani po výzvě soudu dle § 118a o. s. ř., jde to k jeho tíži. V takovém případě je procesně korektní uzavřít, že daný účastník přes poučení a výzvu soudu neunesl důkazní břemeno, a rozhodnout v jeho neprospěch. Nejvyšší soud se v tomto smyslu vyjádřil v rámci jeho judikatury opakovaně (srov. např. mj. bod 38. rozhodnutí sp. zn. , spisová značka, ). Za popsané situace tak nejsou splněny kumulativní předpoklady odpovědnosti podle čl. 82 GDPR (porušení – újma – kauzální nexus). Žalobce neunesl důkazní břemeno ohledně existence konkrétní nemajetkové újmy, která by byla způsobilá založit odpovědnost žalované k náhradě podle čl. 82 GDPR. Žalobce – ač byl vyzván dle § 118a o. s. ř. – neoznačil a nepředložil důkazy, které by jeho obavu přenesly z roviny hypotetické v rovinu opodstatněnou ve smyslu judikatury Soudního dvora EU; zejména nedoložil žádnou událost, z níž by bylo možno objektivně dovodit konkrétní dopad do jeho osobní sféry (psychická újma, zásah do soukromí, omezení cest aj.). V intencích čl. 82 GDPR a judikatury SDEU (C-300/21, C-590/22, C-200/23, C-741/21; k „opodstatněné obavě“ C-687/21) platí, že pouhá možnost porušení či obecná rizika plynoucí z regulatorních zjištění nepostačují bez individuálního prokázání újmy a kauzální vazby.

108. Soud se rovněž zabýval tvrzením žalobce, že , Anonymizováno, je pro něj nezastupitelným prostředkem komunikace a že se proto nemohl užívání služby vyhnout. Tato námitka je však z hlediska čl. 82 GDPR irelevantní. Rozhodující je, zda žalobce prokázal vznik individualizované nemajetkové újmy a příčinnou souvislost s tvrzeným porušením GDPR. Samotná skutečnost, že žalobce pociťoval tlak na užívání služby, nemůže bez prokázání konkrétní újmy založit nárok na finanční satisfakci. Skutečnost, že se žalobce subjektivně cítil nucen , Anonymizováno, používat, sama o sobě neprokazuje, že mu v důsledku jednání žalované vznikla odškodnitelná újma. Konečně je třeba dodat, že i pokud by žalobce vnímal , Anonymizováno, jako obtížně nahraditelný komunikační nástroj, tato okolnost nijak nesnižuje jeho důkazní povinnost prokázat, že v důsledku konkrétního porušení GDPR utrpěl individualizovanou újmu.

109. Konečně soud dodává, že při stanovení výše odškodnění by soud eventuálně nesměl promítat do svého rozhodnutí úvahy a závěry správních orgánů spadající pod ust. čl. 83 GDPR (správní pokuty). Soudní dvůr EU v této souvislosti judikoval, že tato kritéria nejsou použitelná pro stanovení satisfakce podle čl.

82. Zdejší soud proto nemohl nahradit absentující důkaz újmy žalobce ani poukazem na obecnou závažnost porušení či na vysoké sankce (nepravomocně) uložené žalované správními orgány IE DPA/EDPB, nota bene za situace, kdy se proti žalobcem akcentovaným rozhodnutím těchto orgánů žalovaná v současné době brání a kdy tato rozhodnutí dosud nejsou pravomocná. K rozhodnutím IE DPA/EDPB by pak soud vzhledem k výše uvedenému při eventuálním stanovení odškodnění žalobce nemohl přihlížet ani v případě, že by byla tato rozhodnutí pravomocná. Je nutné zdůraznit, že i kdyby byla tato rozhodnutí pravomocná a konečná, zakládají toliko odpovědnost žalované v rovině veřejnoprávní. Civilní odpovědnost podle čl. 82 GDPR má odlišný charakter a vyžaduje vždy prokázání konkrétní újmy na straně jednotlivce a příčinné souvislosti mezi porušením a vznikem této újmy (i proto se již soud nezabýval ověřením, zdali jsou tato žalobcem odkazovaná rozhodnutí případně pravomocná – na rozhodnutí v této věci by taková informace neměla vliv).

110. Soud proto v návaznosti na vše výše uvedené žalobu v celém rozsahu zamítl (výrok I. rozsudku) a přiznal žalované právo na náhradu nákladů tohoto soudního řízení (výrok , jméno FO, . rozsudku).

111. O náhradě nákladů řízení rozhodl soud podle ust. § 142 odst. 1 občanského soudního řádu, neboť žalovaná měla ve věci plný úspěch. Při určení výše náhrady nákladů řízení vycházel soud z vyhlášky č. 177/1996 Sb., advokátního tarifu, zejména z ust. § 7 bod 5, § 9a odst. 1 písm. a), § 11 odst. 1 písm. a), d) a g) a § 13 odst.

4. Podle § 9a odst. 1 písm. a) advokátního tarifu se za tarifní hodnotu ve věcech vyplývajících z právní úpravy ochrany osobních údajů považuje výše uplatněného peněžitého nároku, která v projednávané věci činila , částka, . Z této tarifní hodnoty vyplývá mimosmluvní odměna ve výši , částka, za jeden úkon právní služby (§ 7 bod 5 advokátního tarifu). Právnímu zástupci žalované byla proto přiznána odměna za převzetí a přípravu zastoupení podle § 11 odst. 1 písm. a) advokátního tarifu, dále za čtyři písemná podání ve věci samé podle § 11 odst. 1 písm. d) advokátního tarifu, konkrétně vyjádření k žalobě ze dne , datum, , vyjádření k replice žalobce ze dne , datum, , vyjádření a odpověď na výzvu soudu ze dne , datum, a vyjádření ze dne , datum, . Kromě toho byla přiznána odměna i za dvě účasti na jednání soudu, která proběhla dne , datum, a , datum, , přičemž obě jednání trvala déle než dvě hodiny a byla proto započtena jako dva úkony právní služby ve smyslu § 11 odst. 1 písm. g) advokátního tarifu. Celkem tak bylo přiznáno devět úkonů právní služby, a to v hodnotě , částka, . K této částce soud připočetl paušální náhradu hotových výdajů ve smyslu § 13 odst. 4 advokátního tarifu, a to ve výši , částka, za každý z devíti úkonů, tedy celkem , částka, . Odměna s náhradou hotových výdajů tak činí , částka, . Vzhledem k tomu, že právní zástupce žalované je plátcem daně z přidané hodnoty, byla tato částka dále navýšena o 21 % DPH, tj. o , částka, . Celková náhrada nákladů řízení přiznaná žalované proto činí , částka, .

112. Podle ust. § 149 odst. 1 občanského soudního řádu je žalobce povinen zaplatit soudní výlohy advokátovi žalované.

113. S ohledem na aktuální neutěšenou ekonomickou situaci v ČR související s vysokými cenami služeb a zboží i energií, která zapříčinila zvýšení výdajů zejména fyzických osob, má soud za to, že standardní třídenní pariční lhůta k nahrazení soudních výloh žalované by byla pro žalobce příliš krátká. Žalobci tedy byla ke splnění tímto rozsudkem uložených povinností stanovena lhůta jednoměsíční. Soud má také za to, že stanovení delší pariční lhůty nepředstavuje nijak zásadní zásah do majetkové sféry žalované, která je zaběhlou obchodní korporací s vysokými finančními obraty. Stanovením delší pariční lhůty pro žalobce nebude žalovaná nijak zásadně dotčena. Pariční lhůtu v trvání 1 měsíce tedy soud vzhledem k výše uvedenému pokládal za proporcionální a spravedlivou pro obě strany sporu.