Všeobecné nariadenie o ochrane údajov (GDPR) dáva dotknutým osobám právo na náhradu utrpenej škody, ktorá vznikla v dôsledku porušenia GDPR. Za škodu môže zodpovedať prevádzkovateľ aj sprostredkovateľ. Súdny dvor EÚ svojimi rozhodnutiami postupne vyjasňuje čo je možné považovať za škodu, najmä v prípade nemajetkovej ujmy.
Podmienky zodpovednosti za škodu
Sú tri podmienky vzniku zodpovednosti za škodu, ktoré musia byť splnené kumulatívne (všetky naraz):
- porušenie GDPR;
- vznik škody (majetková alebo nemajetková ujma);
- príčinná súvislosť medzi porušením GDPR a vznikom škody (tzv. kauzálny nexus).
Ide o zodpovednosť objektívnu, teda bez ohľadu na zavinenie. Všetky podmienky vzniku zodpovednosti za škodu musí preukázať poškodený. Prevádzkovateľ alebo sprostredkovateľ sa môže zbaviť zodpovednosti za škodu, ale zaťažuje ho dôkazné bremeno na preukázanie naplnenia liberačného dôvodu. Porušiť povinnosť ustanovenú GDPR je možné komisívne (aktívnym konaním) alebo omisívne (nekonaním alebo pasivitou v prípade, ak bola povinnosť konať).
Súdny dvor Európskej únie (SD EÚ) v jednom prípade rozhodol, že len samotné porušenie GDPR nestačí na priznanie náhrady škody. Na druhej strane v prípade nemajetkovej ujmy SD EÚ rozhodol, že právo na náhradu škody nie je obmedzené len na vážnu nemajetkovú ujmu, pretože GDPR neobsahuje žiadne takéto obmedzenie. Inými slovami v prípade nemajetkovej ujmy sa tento pojem neobmedzuje len na určitý stupeň závažnosti (prahová hodnota závažnosti, tzv. threshold). Pojem škody by sa mal vykladať v širokom zmysle a spôsobom, ktorý v plnej miere zohľadňuje ciele GDPR. Dotknuté osoby by za utrpenú škodu mali dostať úplnú a účinnú náhradu.
Príklady nemajetkovej ujmy
GDPR (recitál 85) uvádza nasledovné príklady nemajetkovej ujmy:
- strata kontroly nad svojimi osobnými údajmi alebo obmedzenie práv týchto osôb,
- diskriminácia,
- krádež totožnosti alebo podvod,
- finančná strata,
- neoprávnená reverzná pseudonymizácia,
- poškodenie dobrého mena,
- strata dôvernosti osobných údajov chránených profesijným tajomstvom,
- alebo akékoľvek iné závažné hospodárske či sociálne znevýhodnenie dotknutej fyzickej osoby.
V slovenskom právnom poriadku nemajetková ujma môže zahŕňať rôzne druhy psychického a emocionálneho utrpenia ako sú napr.:
- strata súkromia: neoprávnené zverejnenie citlivých informácií (napr. citlivých osobných údajov);
- psychická ujma: stres, úzkosť, depresia alebo iné psychické problémy spôsobené napríklad neoprávneným zverejnením osobných údajov;
- emocionálna bolesť: pocity hanby, poníženia alebo strachu, ktoré môžu vzniknúť v dôsledku neoprávneného zásahu do osobnostných práv;
- poškodenie dobrého mena: nepravdivé alebo urážlivé informácie môžu poškodiť reputáciu osoby, čo môže mať dlhodobé negatívne následky na jej osobný a pracovný život.
Spôsob a rozsah náhrady škody
Spôsob a rozsah náhrady škody sa spravuje Občianskym zákonníkom. Podľa Občianskeho zákonníka sa uhrádza sa skutočná škoda a to, čo poškodenému ušlo (ušlý zisk). Škoda sa uhrádza v peniazoch; ak však o to poškodený požiada a ak je to možné a účelné, uhrádza sa škoda uvedením do predošlého stavu.
Pozoruhodné príklady
- Nemecko: Súdy priznali náhradu nemajetkovej ujmy, ako je napríklad emocionálny stres, ktorá vznikla v dôsledku porušenia GDPR. Súd napríklad priznal náhradu škody za neoprávnené zverejnenie osobných údajov, ktoré viedlo k psychickej ujme.
- Spojené kráľovstvo: V jednom prípade súd priznal 250,- libier za „mierne utrpenie“ spôsobené porušením ochrany údajov (DATA BREACH), čo poukazuje na to, že aj menšia nemajetková ujma môže byť nahradená.
Proces uplatnenia nároku
Poškodený môže nárok na náhradu škodu uplatniť priamo u škodcu (v prípade porušenia GDPR by škodcom bola najmä právnická osoba, ale nie je vylúčené, že škodcom môže byť aj fyzická osoba, keďže prevádzkovateľom/sprostredkovateľom môže byť aj fyzická osoba) alebo žalobou na súde. Predpokladom úspešného vymáhania náhrady škody na súde nie je prvotné uplatnenie náhrady škody u škodcu. Poškodený sa môže obrátiť priamo na súd. Súd na základe žaloby rozhodne o výške náhrady škody.
Záver
Pod porušením GDPR je potrebné rozumieť nielen situácie, pri ktorých dochádza k bezpečnostnému incidentu, tzv. porušenie ochrany osobných údajov (DATA BREACH), ale akékoľvek porušenie právnej povinnosti, ktorá vyplýva z GDPR. Podstatné je, aby boli kumulatívne splnené všetky predpoklady vzniku zodpovednosti škodcu za škodu. Uplatnením náhrady škody môže poškodená osoba získať primeranú kompenzáciu za utrpenú škodu.
Ako vám vieme pomôcť?
- poskytneme vám konzultáciu,
- zanalyzujeme vás skutkový stav a vyhodnotíme, či máte právo na náhradu škody v akej predpokladanej výške a či môžete uspieť s jeho vymáhaním,
- pripravíme vám predžalobnú výzvu škodcovi na dobrovoľné uhradenie náhrady škody,
- pripravíme vám žalobu na súd a budeme vás zastupovať v rámci celého súdneho konania.