o žalobě o náhradu nemajetkové újmy

1. Napadeným rozsudkem soud I. stupně zamítl žalobu na zaplacení částky 25 000 Kč (výrok I.) a současně žalované vůči žalobci přiznal náhradu nákladů řízení ve výši 27 769,50 Kč k rukám jejího advokáta (výrok II.)

2. Takto rozhodl o žalobě na zaplacení satisfakce za imateriální újmu, kterou mu měla žalovaná způsobit zaviněným a úmyslným porušováním čl. 82 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR). To mělo spočívat v tom, že žalovanou provozovaná platforma [sociální síť] o něm od roku 2009 shromáždila mimořádně rozsáhlý soubor osobních údajů, které byly podle žalobce dlouhodobě zpracovávány pro účely behaviorální reklamy bez jeho souhlasu, bez platného právního základu a bez transparentního poučení o rozsahu zpracování, přičemž část údajů byla neoprávněně předávána do [stát], kde k nim mohly mít přístup tamní bezpečnostní složky. Žalobce tvrdil, že tím ztratil kontrolu nad svými osobními údaji, což samo o sobě představuje nemajetkovou újmu, která trvala až do listopadu 2023, kdy žalovaná poprvé zavedla model souhlasu. Své nároky opíral o rozhodnutí Evropského sboru pro ochranu osobních údajů ([Označení]) a [stát] komise pro ochranu osobních údajů ([Označení]) z let 2022 a 2023, která konstatovala nezákonnost dosavadního zpracování, včetně nedostatečné ochrany při předávání dat do [stát]. Žalobce zdůraznil, že podle judikatury SDEU není nutné prokazovat faktické zneužití dat, protože újmu může představovat již samotná ztráta kontroly či obava z možných budoucích dopadů, zejména pokud poškozený jako on často cestuje a obává se možných komplikací na hranicích [stát].

3. Žalovaná s žalobou nesouhlasila, trvala na tom, že žalobce nesplnil žádnou z podmínek odpovědnosti podle čl. 82 GDPR, protože neprokázal konkrétní porušení vůči své osobě, nevznikla mu žádná individuální újma a neexistuje ani příčinná souvislost mezi tvrzeným porušením a jeho situací. Tvrdila, že žaloba je šablonová a opírá se pouze o obecná, navíc nepravomocná správní rozhodnutí [Označení] a [Označení], která se týkala zpracování on‑site dat, a nelze je automaticky vztáhnout na žalobce ani na off‑site data, jež byla podle žalované vždy zpracovávána na základě souhlasu. Dále namítala, že žalobce nesprávně interpretoval judikaturu SDEU, neboť újma nemohla být presumována a nelze ji odvozovat z hypotetických obav, zvláště když žalobce sám neví, zda jeho údaje vůbec [stát] orgány získaly, a v roce 2023 navíc dobrovolně udělil souhlas se zpracováním. Žalovaná také poukazovala na to, že obdobná žaloba již byla zamítnuta Obvodním soudem pro [adresa], protože žalobce v tamní věci rovněž neprokázal vznik újmy.

4. Soud I. stupně po provedeném dokazování, jehož závěry rekapituloval v bodech 33 až 41, shrnul, v čem tkví jádro sporu (body 42 - 44 a 86) a popsal relevantní zákonná ustanovení (body 45 - 85), přičemž odvolací soud zde pro stručnost na jeho podrobná zjištění odkazuje, a po citaci aplikovaných ustanovení zákona č. 89/2012 Sb., občanský zákoník (dále jen „o. z.“), věc právně uzavřel tak, že žaloba není důvodná.

5. Soud I. stupně konstatoval, že správní rozhodnutí [Označení] a [Označení] se týkala pouze on‑site údajů a nebyla určena k posouzení off‑site dat, a proto z nich nelze automaticky dovozovat újmu konkrétního žalobce, zejména když ten v listopadu 2023 sám udělil souhlas se zpracováním on‑site údajů. Přestože žalobce přesně popsal rozsah údajů, které o něm [sociální síť] shromažďuje, nepředložil žádné individuální okolnosti, jež by činily jeho obavy, ať již ze ztráty kontroly nad daty nebo z problémů při cestování do [stát], reálnými a konkrétními, a jeho tvrzení tak zůstala čistě hypotetická. Zdůraznil, že žádné incidenty, prověrky ani zásahy nebyly doloženy a že ani pocity stresu či úzkosti nelze uznat jako újmu, pokud nejsou prokazatelné. Zohlednil také, že žalobce [sociální síť] dále dobrovolně používá, což odporuje tvrzení o trvajícím zásahu do jeho soukromí. Správní rozhodnutí, na která se žalobce odvolával, podle soudu I. stupně nedopadají na jeho tvrzení o off‑site datech či soukromých zprávách, neboť se týkala užší oblasti zpracování. Soud I. stupně tedy uzavřel, že žalobce neunesl důkazní břemeno ani ohledně vzniku ani ohledně intenzity nemajetkové újmy, a jeho obavy nepřesahují rovinu abstraktních a hypotetických úvah, které na náhradu újmy dle čl. 82 GDPR nepostačují. Výrok o nákladech řízení soud I. stupně odůvodnil § 142 odst. 1 zákona č. 99/1963 Sb., občanský soudní řád („o. s. ř.“).

6. Proti tomuto rozsudku podal žalobce včasné a přípustné odvolání, přičemž namítal, že soud I. stupně opomenul jeho klíčová tvrzení i důkazy. Nezohlednil, že zpracování se týkalo i offsite údajů, že žalobce kvůli absenci souhlasu a nedostatku informací nemohl vykonávat svá práva, a že údaje předávané do [stát] mohly být přístupné tamním orgánům, což samo o sobě představuje ztrátu kontroly a vznik újmy. Dále tvrdil, že soud I. stupně neprovedl navržené důkazy, zejména pokud jde o povahu offsite dat a jejich posuzování dozorovými úřady. Žalobce také uvedl, že soud I. stupně dospěl k nesprávným skutkovým závěrům, neprávem označil informace žalobce o nakládání s údaji v [stát] za vágní, mylně uzavřel, že žalobce nedoložil vznik nemajetkové újmy, a chybně považoval jeho obavy za hypotetické, ačkoli vycházely ze skutečných systémových porušení GDPR ze strany žalované. Soud I. stupně také nesprávně uzavřel, že neexistuje událost zasahující do osobní sféry žalobce, přestože žalobce detailně popsal nezákonné zpracování i způsobenou újmu.

7. Dále žalobce namítal, že soud I. stupně věc nesprávně právně posoudil. I přes uznání systémových problémů soud I. stupně nesprávně dovodil absenci újmy a neoprávněně použil pozdější udělení souhlasu k popření dřívějšího zásahu. Soud I. stupně chybně neuznal samotnou ztrátu kontroly nad osobními údaji jako relevantní újmu podle čl. 82 GDPR, neprávem odmítl použitelnost judikatury Nejvyššího soudu a mylně požadoval psychickou újmu či jiné výrazné dopady, které však GDPR nevyžaduje. Navrhl proto změnu napadeného rozsudku a vyhovění žalobě.

8. Žalovaná ve vyjádření k odvolání setrvala na spekulativní povaze žalobcem uplatněného nároku, který byl soudem I. stupně správně zamítnut pro neprokázání porušení GDPR, vzniku újmy ani příčinné souvislosti. Podle žalované jde o součást širší litigace založené na obecných závěrech [stát] správních řízení, která se však netýkají konkrétní osoby žalobce ani jeho újmy, a obdobné žaloby již byly jinými soudy rovněž zamítnuty. Námitky žalobce proti rozsudku, včetně tvrzení o vadách řízení či nesprávném právním posouzení, žalovaná odmítla jako nepodložené a uvedla, že soud I. stupně rozhodl správně, logicky a plně v souladu s čl. 82 GDPR i judikaturou SDEU. Dále argumentovala, že tvrzení o údajně opomenutém „off‑site“ zpracování jsou vágní, nesouvisejí s uplatněným nárokem, a navíc jsou fakticky mylná, protože tato data byla vždy zpracovávána na základě souhlasu a nebyla předmětem [stát] šetření právního základu. Podle žalované se žalobce pouze snaží uměle vytvořit odvolací důvod, a proto nemůže být tato námitka úspěšná, stejně jako v totožném sporu pana [jméno FO], kde odvolací soud potvrdil zamítnutí nároku pro neprokázání individuální újmy. Žalovaná proto navrhla potvrdit napadený rozsudek jako věcně správný.

9. Odvolací soud přezkoumal napadený rozsudek podle § 212 a § 212a o. s. ř.; dospěl přitom k závěru, že odvolání není důvodné.

10. Odvolací soud se nejprve zabýval návrhem žalobce ze dne 5. 1. 2026 na přerušení řízení, který žalobce odůvodnil procesní ekonomií, neboť ve skutkově obdobném případu projednávaném u zdejšího soudu pod sp. zn. [spisová značka] bylo podáno dovolání do rozhodnutí odvolacího soudu, jehož výsledek bude pravděpodobně předurčovat rozhodování obdobných případů. Odvolací soud ale tomuto návrhu nevyhověl, neboť rozhodnutí v předmětné věci na rozsudku č. j. [spisová značka], který je navíc již pravomocný, nezávisí, nejsou tedy dány důvody pro přerušení řízení dle § 109 odst. 2, písm. c) o. s. ř. Pokud jde o důvody přerušení řízení dle § 110 o. s. ř., ani ty dány nejsou, neboť přerušení řízení navrhuje jen jedna strana.

11. Soud I. stupně zjistil skutkový stav procesně správným postupem v míře dostatečné pro jeho rozhodnutí a tento i správně právně posoudil. Odvolací soud na správné právní závěry soudu I. stupně odkazuje a souhlasí s nimi. K jednotlivým odvolacím důvodům se odvolací soud podrobněji vyjadřuje dále.

12. V dané věci nebylo ve své podstatě sporu o to, zda žalovaný porušil své povinnosti plynoucí mu z nařízení GDPR, ale toliko o to, zda toto porušení mohlo žalobci způsobit nemajetkovou újmu, potažmo zda už pouze porušení povinností ze strany žalovaným způsobuje tuto újmu samo o sobě.

13. První odvolací důvod žalobce spočíval v jeho tvrzení, že soud I. stupně opomenul jím předložená tvrzení a důkazy, protože nezohlednil, že pro relevantní účely byly zpracovávány také tzv. off‑site údaje, jak žalobce tvrdil a prokazoval. Dále podle žalobce soud nepřihlédl k tomu, že v důsledku neudělení souhlasu a absence informací o zpracování nemohl řádně vykonávat svá práva, a vznikla mu tak újma v podobě ztráty kontroly nad osobními údaji. Stejnou újmu měl žalobce utrpět i tím, že předávané údaje mohly být zpřístupněny státním orgánům [stát].

14. Odvolací soud se s přesvědčením žalobce neztotožnil. Z rozsudku soudu I. stupně je dostatečně zřejmé, že se zabýval a zohlednil žalobcova tvrzení ohledně off-site údajů, konkrétně zejména na str. 20 napadeného rozsudku, obdobně je z napadeného rozsudku zjevné, že soud I. stupně posuzoval žalobcova tvrzení řádného výkonu jeho práv, do nějž mělo být zasaženo neudělením souhlasu o zpracování údajů, čemuž se věnoval na str. 19 - 20, resp. 22, napadeného rozhodnutí. Odvolací soud došel k závěru, že soud I. stupně se těmito tvrzeními žalobce zabýval dostatečně, přičemž je posoudil jak samy o sobě, tak se jimi zabýval ve vztahu k celkovému předmětu žaloby. Odvolací soud zde na správné odůvodnění soudu I. stupně zcela odkazuje.

15. Druhým odvolacím důvodem bylo tvrzení žalobce, že soud I. stupně neúplně zjistil skutkový stav, protože neprovedl potřebné důkazy, když bez opory v podkladech vycházel z toho, že tzv. off‑site údaje nebyly předmětem dozorových řízení.

16. Odvolací soud se s tímto tvrzením žalobce opětovně neztotožnil, neboť došel k závěru, že závěr soudu I. stupně obsažený v bodě 94 napadeného rozhodnutí, kde je výslovně uvedeno [„Převážná část správních závěrů, o něž se žalobce opírá, dopadá na „on-site“ data; žalobce však stavěl obavu i na „off-site“ datech a na tvrzení o zpřístupnění jeho nejdůvěrnějšího obsahu (soukromé zprávy apod.), což žalovaná věcně zpochybnila, a s tím, že šetření právního základu se „off-site“ dat netýkalo. S tímto závěrem se soud po prostudování souvisejících rozhodnutí a dalších podkladů ztotožňuje a pokládá jej za odpovídající realitě.“], je správný. Žalobce nepředložil žádný konkrétní důvod, proč je dle něj toto posouzení soudu I. stupně špatné.

17. Je třeba zdůraznit, že rozhodnutí Evropského sboru pro ochranu osobních údajů („[Označení]“) a [stát] Komise pro ochranu osobních údajů („[Označení]“), na něž se mimo jiné žalobce odvolává, nejsou pro české soudy závazná. Mohou sloužit toliko jako vodítko, které však soud nezavazuje k jednomu určitému rozhodnutí.

18. Třetím odvolacím důvodem bylo, že soud I. stupně dospěl k nesprávným skutkovým zjištěním, když považoval informace o neoprávněném nakládání s jeho údaji v [stát] za neúplné a neprokázané, ač je žalobce poskytl v požadovaném rozsahu, dále když uzavřel, že žalobce nedostatečně doložil vznik nemajetkové újmy dle čl. 82 GDPR, označil jeho obavy ze ztráty kontroly nad údaji za hypotetické navzdory existujícím a soudem samotným uznaným systémovým porušením GDPR ze strany žalované, a rovněž nesprávně konstatoval, že neexistuje událost týkající se osobní sféry žalobce vyvolávající jeho důvodné obavy, přestože žalobce jasně popsal nezákonné zpracování a předávání svých údajů do [stát] i povahu způsobené újmy.

19. Ani na tomto místě se odvolací soud se závěry žalobce neztotožnil a došel k závěru, že soud I. stupně všechna tvrzení týkající se újmy spočívající v obavách žalobce ze ztráty kontroly nad informacemi a případně z neoprávněného nakládání s těmito informacemi v [stát] vyhodnotil správně. V této souvislosti bylo třeba posoudit, zda takto tvrzená újma v případě žalobce splňuje kritérium skutečnosti a určitosti. Zde odvolací soud považuje za důležité vymezit podstatu újmy spočívající ve ztrátě kontroly nad osobními údaji, a to v souvislosti s okolnostmi posuzované věci. Není pochyb o tom, že žalovaná osobní údaje žalobce zpracovává v souvislosti s tím, že žalobce užívá jí provozovanou sociální síť [sociální síť]. [sociální síť] je přitom globální platforma, kterou v rámci EU provozuje žalovaná, nicméně mateřskou společností žalované je společnost [právnická osoba]., sídlící v [stát]. K předávání údajů mateřské společnosti do [stát] dochází za účelem poskytování služby [sociální síť] jejím uživatelům, když bez toho je nemyslitelné, aby síť [sociální síť] tak, jak je koncipována (tj. globálně), mohla vůbec fungovat. Z uvedeného je zřejmé, že byť samotná žalovaná sídlí v [stát], žalobce se nemohl důvodně domnívat, že jeho osobní údaje zůstanou pouze na území EU, neboť si byl vědom globální povahy služby, a právě i s tímto vědomím ji dobrovolně využíval. Aniž by tak odvolací soud jakkoli hodnotil předání osobních údajů žalobce společnosti [právnická osoba]. sídlící v [stát] a jejich následné zpracovávání z hlediska pravidel nakládání s osobními údaji podle GDPR, je toho názoru, že újma spočívající ve ztrátě kontroly s ohledem na shora uvedená východiska tímto způsobem žalobci vzniknout nemohla, byly-li jeho osobní údaje zpracovávány pouze v rámci skupiny [právnická osoba].

20. Pokud jde o podmínku týkající se újmy, dle výkladu SDEU je nezbytné, aby osoba, která žádá o náhradu újmy, prokázala, že hmotnou nebo nehmotnou újmu skutečně utrpěla. SDEU opakovaně vyslovil, že pouhé porušení GDPR k přiznání práva na náhradu újmy nepostačuje (srov. rozsudek SDEU Agentsia po vpisvaniyata proti OL ve věci C-200/23, či rozsudek SDEU A. T., B. T. proti PS GbR ve věci C-590/22). Újmu tedy nelze presumovat a ani hypotetická či neurčitá újma právo na náhradu nezakládá. Naopak je třeba, aby újma byla skutečná a určitá, což přísluší prokázat žalobci (srov. rozsudek SDEU Agraz a další proti Komisi ve věci C-243/05 nebo rozsudek SDEU MediaMarktSaturn C-687/21). Je tedy třeba tvrdit konkrétní skutečnosti, které mohou vést ke vzniku skutečně utrpěné nemajetkové újmy v důsledku porušení GDPR. Dle citovaného rozsudku SDEU přitom nesmí jít „o pouhé subjektivní vnímání, které je proměnlivé a závisí také na charakterových a osobních prvcích, ale o objektivizaci nepříjemnosti, byť nepatrné, ale prokazatelné, pro fyzickou nebo psychickou sféru člověka nebo pro jeho mezilidské vztahy; povaha dotčených osobních údajů a jejich význam v životě dotčené osoby a možná také vnímání, které v daném okamžiku má společnost o této konkrétní nepříjemnosti spojené s porušením ochrany osobních údajů“.

21. Žalobce byl soudem I. stupně vyzván k doložení konkrétních, individualizovaných skutečností (mohlo se jednat o osobní zkušenosti, incidenty na hranici, vyrozumění o bezpečnostních prověrkách apod.), jež by činily jeho obavu důvodnou a reálnou nad rámec jeho obecných úvah o transatlantickém přístupu k jeho osobním datům. Přes výzvu soudu však žalobce setrval na obecných odkazech a hypotézách. Odvolací soud tedy dospěl k závěru, že závěr soudu I. stupně o tom, že žalobce nedoložil žádné individualizované okolnosti a důkazy, které by odůvodnily uzavřít, že jeho obavy ze ztráty kontroly nad jeho údaji nebyly pouze hypotetické, je správný.

22. Jako poslední odvolací důvod uvedl žalobce své přesvědčení, že soud I. stupně nesprávně právně posoudil věc, když ačkoli uznal existenci systémových problémů při zpracování osobních údajů ze strany žalované, nesprávně z toho dovodil absenci vzniklé újmy, dále když následným udělením souhlasu negoval újmu způsobenou předchozím zpracováním, nevnímal ztrátu kontroly nad osobními údaji – zejména nemožnost rozhodnout o jejich zpracování a informovaně vykonávat svá práva – jako dostatečnou újmu ve smyslu čl. 82 GDPR, nesprávně uzavřel, že závěry rozhodnutí Nejvyššího soudu sp. zn. 30 Cdo 3909/2023 nelze použít, a neuznal pouhou ztrátu kontroly jako relevantní újmu, když neprávem požadoval vznik psychické újmy, zásah do soukromí či omezení cest žalobce.

23. K samotné otázce újmy již se odvolací soud vyjádřil výše. Shodně se soudem I. stupně dospěl k závěru, že žalobce dostatečně neprokázal, že by mu vznikla jakákoliv újma nad rámec hypotetických obav. Pouhá hypotetická možnost, že státní orgány např. [stát] budou osobní údaje žalobce vyžadovat, totiž k prokázání skutečné a určité újmy ve smyslu ustanovení Čl. 82 GDPR nepostačuje. Odvolací soud se tak ztotožnil se závěrem soudu I. stupně, který konstatoval, že není možné přiznávat náhradu nemajetkové újmy na základě pouhé žalobcovy domněnky. Pokud by odvolací soud přistoupil na tuto žalobcovu konstrukci, znamenalo by to v podstatě automatické přiznání náhrady újmy za každé porušení GDPR, což ovšem výslovně vylučuje SDEU (srov. např. rozsudek ve věci A. T., B. T. proti PS GbR C-590/22).

24. Odvolací soud musí též podotknout, že žalobce své tvrzení o jemu způsobené újmě poněkud relativizoval tím, že dne 11. 9. 2023 udělil žalované souhlas s podmínkami týkajícími se zpracování osobních údajů. Na argument žalobce, který tvrdí, že náhradu požaduje za období do udělení tohoto souhlasu, tak nelze ve vztahu ke vzniku újmy přistoupit. Logicky vzato, pokud by žalobce skutečně pociťoval újmu v souvislosti s jednáním žalované, nedávalo by smysl, aby následně s pokračováním takového jednání vyslovil souhlas.

25. Zbývá odvolací námitka, že soud I. stupně nesprávně vyhodnotil, že závěry rozhodnutí Nejvyššího soudu sp. zn. 30 Cdo 3909/2023 nelze pro rozhodnutí v této věci použít. Odvolací soud se na tomto místě opětovně ztotožnil s názorem soudu I. stupně. Rozhodnutí Nejvyššího soudu sp. zn. 30 Cdo 3909/2023, které připouští obavu ze ztráty kontroly nad osobními údaji jako nemajetkovou újmu podle čl. 82 GDPR, na daný případ nedopadá, protože tehdejší obava byla prospektivní a směřovala k budoucím důsledkům opožděné transpozice, zatímco žalobcem tvrzené obavy se týkají minulého zpracování údajů před udělením jeho souhlasu v listopadu 2023, a nynější zpracování probíhá na jiném právním základě; věc je proto skutkově i právně odlišná a závěry Nejvyššího soudu nelze plně přenést.

26. Z výše uvedených důvodů odvolací soud rozsudek soudu prvního stupně jako věcně správný potvrdil (§ 219 o. s. ř.), a to včetně správného akcesorického nákladového výroku.

27. O náhradě nákladů odvolacího řízení rozhodl odvolací soud podle ustanovení § 142 odst. 1 ve spojení s § 224 odst. 1 o. s. ř. Také v odvolacím řízení byla žalovaná zcela procesně úspěšná, a odvolací soud jí proto přiznal náhradu nákladů ve výši 9 256,50 Kč. Výše náhrady odpovídá nákladům vynaloženým na zastoupení advokátem, kterému náleží odměna stanovená dle ustanovení § 6 odst. 1 a § 7 advokátního tarifu (dále jen „AT“) z tarifní hodnoty podle ustanovení § 9a odst. 1, písm. a) AT ve výši 25 000 Kč, tj. odměna ve výši 2 100 Kč za každý ze tří úkonů právní služby spočívajících ve dvou vyjádření žalované, a to k odvolání a poté i k návrhu žalované na přerušení řízení, dle ustanovení § 11 odst. 1, písm. k) AT a účasti při jednání odvolacího soudu dle ustanovení § 11 odst. 1, písm. g) AT, navýšená o paušální náhradu hotových výdajů ve výši 3x po 450 Kč dle ustanovení § 13 odst. 4 AT a 21% DPH ze souhrnu těchto částek. Přiznanou náhradu je třeba zaplatit ve lhůtě 3 dnů od právní moci rozhodnutí (§ 160 odst. 1 o. s. ř.) k rukám advokáta (§ 149 odst. 1 o. s. ř.).