Únik osobních údajů: náhrada i za obavy?

¶ Tři podmínky náhrady

Kdokoli, kdo v důsledku porušení GDPR utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy čl. 82. Hmotnou újmou je například vybraný účet. Nehmotnou je to, co penězi změřit nejde: strach, ponížení, ztráta kontroly nad vlastními údaji.

Soudní dvůr EU vyložil, že nárok má tři podmínky a všechny musí být splněny současně: porušení nařízení, újma a příčinná souvislost mezi nimi C-300/21 Österreichische Post. Šlo o rakouskou poštu, která obchodovala s adresami a algoritmem přiřadila lidem politické preference. Muž, kterému připsala blízkost k určité straně, se cítil ponížen. Soudní dvůr řekl dvě věci, na kterých dnes celá oblast stojí:

• Samotné porušení nestačí. Kdyby každé porušení zakládalo nárok, nemělo by smysl, že nařízení zvlášť jmenuje újmu a zvlášť porušení.
• Žádný práh závažnosti. Náhradu nehmotné újmy nelze podmínit tím, že újma dosáhla určité míry závažnosti. Poškozený ale musí prokázat, že negativní důsledky, kterých se dovolává, nehmotnou újmou jsou.

¶ Stačí obava ze zneužití?

Může stačit, je-li opodstatněná. Rozhodující otázkou u úniků dat je, co když se údaje zatím nikde nezneužily. Soudní dvůr ji řešil u bulharské daňové správy, z jejíhož systému hackeři ukradli a zveřejnili údaje více než šesti milionů lidí. Žalobkyně tvrdila, že se bojí zneužití svých údajů, vydírání i útoku C-340/21 Nacionalna agencia za prichodite.

Soudní dvůr rozhodl, že obava ze zneužití osobních údajů třetími stranami může sama o sobě představovat nehmotnou újmu. Nařízení nerozlišuje mezi zneužitím, ke kterému už došlo, a obavou, že k němu dojde. Za újmu lze považovat i samotnou ztrátu kontroly nad vlastními údaji. Obavu ale musí poškozený prokázat a soud musí ověřit, že je za konkrétních okolností opodstatněná C-340/21 Nacionalna agencia za prichodite.

Hranici ukázal případ z německého elektra. Zaměstnanec omylem vydal jinému zákazníkovi spotřebič i se smlouvou, ve které byly údaje kupujícího včetně příjmu a zaměstnavatele. Dokument se vrátil do půl hodiny a zjistilo se, že ho mezitím nikdo nečetl. Soudní dvůr řekl, že důvodná obava ze zneužití újmou být může, čistě hypotetické riziko ale ne. Tak tomu je, když se s údaji žádná třetí osoba neseznámila C-687/21 MediaMarktSaturn.

Pro posouzení, zda obava obstojí, se proto vyplatí projít tyto otázky:

• Dostaly se údaje skutečně k někomu cizímu? Zveřejnění na internetu ano, vrácený a nepřečtený dokument ne.
• O jaké údaje jde? Rodné číslo, číslo účtu nebo zdravotní údaje odůvodňují obavu spíš než e-mailová adresa.
• Co se od té doby děje? Podezřelé e-maily, telefonáty, pokusy o přihlášení nebo žádosti o úvěr na vaše jméno obavu dokládají.
• Jak se obava projevila? Změna hesel, blokace karet, čas strávený hlídáním výpisů a nespavost jsou důkazy, ne jen pocit.

¶ Hacker správce neomlouvá

Správci se často brání tím, že únik způsobil útočník. Soudní dvůr k tomu řekl tři věci C-340/21 Nacionalna agencia za prichodite:

• Únik sám neprokazuje, že zabezpečení bylo špatné. GDPR po správci chce zmírnit rizika, ne je vyloučit. Soud musí zabezpečení posoudit konkrétně.
• Vhodnost zabezpečení dokazuje správce. V řízení o náhradu nese důkazní břemeno on, ne poškozený.
• Útok třetí osoby správce sám o sobě nezprostí. Správce je odpovědnosti zproštěn, jen prokáže-li, že za událost, která ke vzniku újmy vedla, nenese žádným způsobem odpovědnost čl. 82.

Totéž platí u chyby vlastních zaměstnanců. To, že zaměstnanec omylem předal dokument cizímu člověku, samo o sobě neznamená, že opatření správce byla nevhodná. Soud ale musí zohlednit důkazy, které správce k vhodnosti opatření předloží C-687/21 MediaMarktSaturn.

Jak má firma po úniku postupovat, co a komu ohlásit a jak zajistit důkazy o zabezpečení, popisuje článek Kyberútok nebo únik dat ve firmě: co udělat v prvních 72 hodinách.

¶ Koho žalovat

Nárok směřuje proti správci, tedy tomu, kdo o zpracování údajů rozhoduje. Zpracovatel, například firma, která pro správce provozuje systém, odpovídá jen tehdy, nesplnil-li povinnosti, které nařízení ukládá přímo jemu, nebo jednal-li v rozporu s pokyny správce. Odpovídá-li více správců nebo zpracovatelů, nese každý odpovědnost za celou újmu čl. 82.

Žalobu lze podat u soudu státu, kde má správce nebo zpracovatel provozovnu, nebo u soudu státu, kde má poškozený obvyklé bydliště. Výjimkou je správce, který je orgánem veřejné moci a jedná při jejím výkonu čl. 79.

Vedle toho lze podat stížnost u Úřadu pro ochranu osobních údajů čl. 77. Úřad může porušení řešit a uložit pokutu. Náhradu újmy ale přiznává jen soud.

¶ Kolik a podle čeho?

GDPR žádná pravidla pro výši náhrady nestanoví. Soud proto použije vnitrostátní pravidla o rozsahu peněžité náhrady, pokud nejsou méně příznivá než u obdobných vnitrostátních nároků a nečiní náhradu prakticky nedosažitelnou C-300/21 Österreichische Post. V Česku jde o pravidla o přiměřeném zadostiučinění, popsaná na stránce Kolik za zásah do osobnosti.

Soudní dvůr k tomu doplnil několik mantinelů:

• Náhrada je kompenzační, ne sankční. Má plně vyrovnat újmu, která konkrétně vznikla, a nemá být vyšší C-687/21 MediaMarktSaturn.
• Závažnost porušení a míra zavinění správce na výši nemají vliv C-687/21 MediaMarktSaturn.
• Postoj a motivace správce náhradu nesnižují. Ani to, že plnil úkol ve veřejném zájmu nebo nerozuměl složitému předpisu C-507/23 Patērētāju tiesību aizsardzības centrs.
• Omluva může stačit. Může být přiměřenou náhradou nehmotné újmy, zejména nelze-li obnovit původní stav, pokud újmu plně vyrovná C-507/23 Patērētāju tiesību aizsardzības centrs. Šlo o lotyšský úřad, který v osvětovém videu použil postavu napodobující známého novináře; tamní soud mu uložil veřejnou omluvu.
• U malé újmy může stačit malá částka, pokud ji plně vyrovná C-507/23 Patērētāju tiesību aizsardzības centrs.

Únik dat se často potká i se zásahem do soukromí podle občanského zákoníku, například když se zveřejní soukromé fotografie. Pravidla GDPR nároky z porušení jiných předpisů nevylučují C-300/21 Österreichische Post, takže lze uplatnit i ochranu osobnosti.

¶ Co udělat teď

1. Uschovejte oznámení o úniku od správce i všechny zprávy, ze kterých plyne, které vaše údaje unikly a kdy.
2. Změňte hesla, zablokujte karty a sledujte výpisy. Zapisujte si, co a kdy jste dělali a kolik vás to stálo času i peněz.
3. Ukládejte podezřelé e-maily, SMS a telefonáty, které se po úniku objevily. Jsou důkazem, že obava není hypotetická.
4. Požádejte správce písemně o informace, jaké údaje o vás zpracovává a co se s nimi stalo.
5. Uplatněte nárok písemně u správce a teprve potom zvažte žalobu. Stížnost u Úřadu pro ochranu osobních údajů podejte souběžně, chcete-li, aby porušení řešil i úřad.