# Únik osobních údajů: náhrada i za obavy?

> Náhrada nemajetkové újmy za únik osobních údajů podle čl. 82 GDPR: co musí poškozený prokázat, kdy stačí obava ze zneužití, kdo nese důkazní břemeno o zabezpečení a jak se určuje výše.

- Canonical URL: https://www.iustoria.cz/povest-a-soukromi/unik-osobnich-udaju/
- Markdown URL: https://www.iustoria.cz/povest-a-soukromi/unik-osobnich-udaju/index.md
- Language: cs
- Content type: hub
- Published: 2026-11-06
- Modified: 2026-11-09
- Status: preliminary text, awaiting review by the guarantor
- Author: Tým IUSTORIA
- Topics: Ochrana osobnosti, Soukromí

## Krátká odpověď

Kdo v důsledku porušení GDPR utrpěl hmotnou nebo nehmotnou újmu, má podle čl. 82 obecného nařízení o ochraně osobních údajů právo na náhradu od správce, případně od zpracovatele, musí ale prokázat porušení, újmu a příčinnou souvislost mezi nimi. Samotné porušení nestačí. Újma nemusí dosáhnout žádné minimální závažnosti a může jí být i důvodná obava, že uniklé údaje někdo zneužije; čistě hypotetické riziko nestačí. Správce se nezprostí jen tím, že údaje ukradl hacker, a vhodnost svého zabezpečení dokazuje on. Náhrada má újmu plně vyrovnat, ne správce trestat, a výši určuje soud podle českého práva. Schovávejte oznámení o úniku i podezřelé zprávy a telefonáty, které po něm přišly; dokládají, že obava není hypotetická.

## Stručně

- Kdokoli, kdo v důsledku porušení GDPR utrpěl hmotnou či nehmotnou újmu, má právo na náhradu od správce nebo zpracovatele.
- Podmínky jsou tři a kumulativní: porušení nařízení, újma a příčinná souvislost; samotné porušení nestačí.
- Náhradu nehmotné újmy nelze podmínit tím, že újma dosáhne určité závažnosti; i důvodná obava ze zneužití uniklých údajů může být nehmotnou újmou.
- Správce nese důkazní břemeno o vhodnosti zabezpečení a útok třetí osoby ho sám o sobě odpovědnosti nezprostí.
- Náhrada je kompenzační, ne sankční; výši určuje vnitrostátní soud podle národních pravidel a omluva může stačit, pokud újmu plně vyrovná.

<!-- obsah -->

## Tři podmínky náhrady

Kdokoli, kdo v důsledku porušení GDPR utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy  (čl. 82 — Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů), https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32016R0679). Hmotnou újmou je například vybraný účet. Nehmotnou je to, co penězi změřit nejde: strach, ponížení, ztráta kontroly nad vlastními údaji.

Soudní dvůr EU vyložil, že nárok má tři podmínky a všechny musí být splněny současně: porušení nařízení, újma a příčinná souvislost mezi nimi  (Rozsudek SDEU ze dne 4. 5. 2023 ve věci C-300/21 Österreichische Post: samotné porušení GDPR k náhradě nestačí, náhradu nehmotné újmy ale nelze podmínit určitou mírou její závažnosti, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0300). Šlo o rakouskou poštu, která obchodovala s adresami a algoritmem přiřadila lidem politické preference. Muž, kterému připsala blízkost k určité straně, se cítil ponížen. Soudní dvůr řekl dvě věci, na kterých dnes celá oblast stojí:

- **Samotné porušení nestačí.** Kdyby každé porušení zakládalo nárok, nemělo by smysl, že nařízení zvlášť jmenuje újmu a zvlášť porušení.
- **Žádný práh závažnosti.** Náhradu nehmotné újmy nelze podmínit tím, že újma dosáhla určité míry závažnosti. Poškozený ale musí prokázat, že negativní důsledky, kterých se dovolává, nehmotnou újmou jsou.

**Omyl:** „Firma porušila GDPR, takže mi automaticky dluží odškodné.“ — **Ve skutečnosti:** Samotné porušení nestačí. Prokázat se musí i újma a to, že ji porušení způsobilo. Újma ale nemusí dosáhnout žádné minimální závažnosti a může jí být i důvodná obava ze zneužití uniklých údajů. (čl. 82 odst. 1 GDPR; rozsudky SDEU ze dne 4. 5. 2023, C-300/21 Österreichische Post, a ze dne 14. 12. 2023, C-340/21 Nacionalna agencia za prichodite)

## Stačí obava ze zneužití?

Může stačit, je-li opodstatněná. Rozhodující otázkou u úniků dat je, co když se údaje zatím nikde nezneužily. Soudní dvůr ji řešil u bulharské daňové správy, z jejíhož systému hackeři ukradli a zveřejnili údaje více než šesti milionů lidí. Žalobkyně tvrdila, že se bojí zneužití svých údajů, vydírání i útoku  (Rozsudek SDEU ze dne 14. 12. 2023 ve věci C-340/21 Nacionalna agencia za prichodite: obava ze zneužití uniklých údajů může sama být nehmotnou újmou; vhodnost zabezpečení prokazuje správce a útok třetí osoby ho sám o sobě odpovědnosti nezprostí, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0340).

Soudní dvůr rozhodl, že obava ze zneužití osobních údajů třetími stranami může sama o sobě představovat nehmotnou újmu. Nařízení nerozlišuje mezi zneužitím, ke kterému už došlo, a obavou, že k němu dojde. Za újmu lze považovat i samotnou ztrátu kontroly nad vlastními údaji. Obavu ale musí poškozený prokázat a soud musí ověřit, že je za konkrétních okolností opodstatněná  (Rozsudek SDEU ze dne 14. 12. 2023 ve věci C-340/21 Nacionalna agencia za prichodite: obava ze zneužití uniklých údajů může sama být nehmotnou újmou; vhodnost zabezpečení prokazuje správce a útok třetí osoby ho sám o sobě odpovědnosti nezprostí, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0340).

Hranici ukázal případ z německého elektra. Zaměstnanec omylem vydal jinému zákazníkovi spotřebič i se smlouvou, ve které byly údaje kupujícího včetně příjmu a zaměstnavatele. Dokument se vrátil do půl hodiny a zjistilo se, že ho mezitím nikdo nečetl. Soudní dvůr řekl, že důvodná obava ze zneužití újmou být může, čistě hypotetické riziko ale ne. Tak tomu je, když se s údaji žádná třetí osoba neseznámila  (Rozsudek SDEU ze dne 25. 1. 2024 ve věci C-687/21 MediaMarktSaturn: čistě hypotetické riziko zneužití, když se třetí osoba s údaji neseznámila, nehmotnou újmou není; náhrada podle čl. 82 GDPR je kompenzační, ne sankční, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0687).

Pro posouzení, zda obava obstojí, se proto vyplatí projít tyto otázky:

- **Dostaly se údaje skutečně k někomu cizímu?** Zveřejnění na internetu ano, vrácený a nepřečtený dokument ne.
- **O jaké údaje jde?** Rodné číslo, číslo účtu nebo zdravotní údaje odůvodňují obavu spíš než e-mailová adresa.
- **Co se od té doby děje?** Podezřelé e-maily, telefonáty, pokusy o přihlášení nebo žádosti o úvěr na vaše jméno obavu dokládají.
- **Jak se obava projevila?** Změna hesel, blokace karet, čas strávený hlídáním výpisů a nespavost jsou důkazy, ne jen pocit.

## Hacker správce neomlouvá

Správci se často brání tím, že únik způsobil útočník. Soudní dvůr k tomu řekl tři věci  (Rozsudek SDEU ze dne 14. 12. 2023 ve věci C-340/21 Nacionalna agencia za prichodite: obava ze zneužití uniklých údajů může sama být nehmotnou újmou; vhodnost zabezpečení prokazuje správce a útok třetí osoby ho sám o sobě odpovědnosti nezprostí, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0340):

- **Únik sám neprokazuje, že zabezpečení bylo špatné.** GDPR po správci chce zmírnit rizika, ne je vyloučit. Soud musí zabezpečení posoudit konkrétně.
- **Vhodnost zabezpečení dokazuje správce.** V řízení o náhradu nese důkazní břemeno on, ne poškozený.
- **Útok třetí osoby správce sám o sobě nezprostí.** Správce je odpovědnosti zproštěn, jen prokáže-li, že za událost, která ke vzniku újmy vedla, nenese žádným způsobem odpovědnost  (čl. 82 — Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů), https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32016R0679).

**Omyl:** „Data ukradli hackeři, firma za to nemůže a nic neplatí.“ — **Ve skutečnosti:** Správce se odpovědnosti nezprostí jen tím, že únik způsobila třetí osoba. Musí prokázat, že za událost nenese žádným způsobem odpovědnost, a v řízení o náhradu nese důkazní břemeno o tom, že jeho zabezpečení bylo vhodné. (čl. 82 odst. 3 GDPR; rozsudek SDEU ze dne 14. 12. 2023, C-340/21 Nacionalna agencia za prichodite)

Totéž platí u chyby vlastních zaměstnanců. To, že zaměstnanec omylem předal dokument cizímu člověku, samo o sobě neznamená, že opatření správce byla nevhodná. Soud ale musí zohlednit důkazy, které správce k vhodnosti opatření předloží  (Rozsudek SDEU ze dne 25. 1. 2024 ve věci C-687/21 MediaMarktSaturn: čistě hypotetické riziko zneužití, když se třetí osoba s údaji neseznámila, nehmotnou újmou není; náhrada podle čl. 82 GDPR je kompenzační, ne sankční, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0687).

Jak má firma po úniku postupovat, co a komu ohlásit a jak zajistit důkazy o zabezpečení, popisuje článek [Kyberútok nebo únik dat ve firmě: co udělat v prvních 72 hodinách](/blog/kyberutok-unik-dat-ve-firme/).

## Koho žalovat

Nárok směřuje proti správci, tedy tomu, kdo o zpracování údajů rozhoduje. Zpracovatel, například firma, která pro správce provozuje systém, odpovídá jen tehdy, nesplnil-li povinnosti, které nařízení ukládá přímo jemu, nebo jednal-li v rozporu s pokyny správce. Odpovídá-li více správců nebo zpracovatelů, nese každý odpovědnost za celou újmu  (čl. 82 — Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů), https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32016R0679).

Žalobu lze podat u soudu státu, kde má správce nebo zpracovatel provozovnu, nebo u soudu státu, kde má poškozený obvyklé bydliště. Výjimkou je správce, který je orgánem veřejné moci a jedná při jejím výkonu  (čl. 79 — Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů), https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32016R0679).

Vedle toho lze podat stížnost u Úřadu pro ochranu osobních údajů  (čl. 77 — Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů), https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32016R0679). Úřad může porušení řešit a uložit pokutu. Náhradu újmy ale přiznává jen soud.

## Kolik a podle čeho?

GDPR žádná pravidla pro výši náhrady nestanoví. Soud proto použije vnitrostátní pravidla o rozsahu peněžité náhrady, pokud nejsou méně příznivá než u obdobných vnitrostátních nároků a nečiní náhradu prakticky nedosažitelnou  (Rozsudek SDEU ze dne 4. 5. 2023 ve věci C-300/21 Österreichische Post: samotné porušení GDPR k náhradě nestačí, náhradu nehmotné újmy ale nelze podmínit určitou mírou její závažnosti, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0300). V Česku jde o pravidla o přiměřeném zadostiučinění, popsaná na stránce [Kolik za zásah do osobnosti](/povest-a-soukromi/kolik-za-zasah-do-osobnosti/).

Soudní dvůr k tomu doplnil několik mantinelů:

- **Náhrada je kompenzační, ne sankční.** Má plně vyrovnat újmu, která konkrétně vznikla, a nemá být vyšší  (Rozsudek SDEU ze dne 25. 1. 2024 ve věci C-687/21 MediaMarktSaturn: čistě hypotetické riziko zneužití, když se třetí osoba s údaji neseznámila, nehmotnou újmou není; náhrada podle čl. 82 GDPR je kompenzační, ne sankční, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0687).
- **Závažnost porušení a míra zavinění správce na výši nemají vliv**  (Rozsudek SDEU ze dne 25. 1. 2024 ve věci C-687/21 MediaMarktSaturn: čistě hypotetické riziko zneužití, když se třetí osoba s údaji neseznámila, nehmotnou újmou není; náhrada podle čl. 82 GDPR je kompenzační, ne sankční, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0687).
- **Postoj a motivace správce náhradu nesnižují.** Ani to, že plnil úkol ve veřejném zájmu nebo nerozuměl složitému předpisu  (Rozsudek SDEU ze dne 4. 10. 2024 ve věci C-507/23 Patērētāju tiesību aizsardzības centrs: omluva může být přiměřenou náhradou nehmotné újmy, může-li ji plně nahradit; postoj a motivace správce náhradu snížit nemohou, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62023CJ0507).
- **Omluva může stačit.** Může být přiměřenou náhradou nehmotné újmy, zejména nelze-li obnovit původní stav, pokud újmu plně vyrovná  (Rozsudek SDEU ze dne 4. 10. 2024 ve věci C-507/23 Patērētāju tiesību aizsardzības centrs: omluva může být přiměřenou náhradou nehmotné újmy, může-li ji plně nahradit; postoj a motivace správce náhradu snížit nemohou, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62023CJ0507). Šlo o lotyšský úřad, který v osvětovém videu použil postavu napodobující známého novináře; tamní soud mu uložil veřejnou omluvu.
- **U malé újmy může stačit malá částka**, pokud ji plně vyrovná  (Rozsudek SDEU ze dne 4. 10. 2024 ve věci C-507/23 Patērētāju tiesību aizsardzības centrs: omluva může být přiměřenou náhradou nehmotné újmy, může-li ji plně nahradit; postoj a motivace správce náhradu snížit nemohou, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62023CJ0507).

Únik dat se často potká i se zásahem do soukromí podle občanského zákoníku, například když se zveřejní soukromé fotografie. Pravidla GDPR nároky z porušení jiných předpisů nevylučují  (Rozsudek SDEU ze dne 4. 5. 2023 ve věci C-300/21 Österreichische Post: samotné porušení GDPR k náhradě nestačí, náhradu nehmotné újmy ale nelze podmínit určitou mírou její závažnosti, https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0300), takže lze uplatnit i ochranu osobnosti.

## Kdy se do toho nepouštět

U úniku dat se snadno spojí oprávněné rozhořčení s nárokem, který u soudu neobstojí.

- **Údaje se k nikomu cizímu prokazatelně nedostaly.** Například dokument se vrátil dřív, než ho někdo přečetl. Čistě hypotetické riziko zneužití nehmotnou újmou není.
- **Nedokážete popsat, co únik změnil.** Újma se neprezumuje. Bez konkrétních obav a jejich důsledků, které lze doložit, žaloba stojí jen na porušení, a to nestačí.
- **Chcete správce hlavně potrestat.** Náhrada podle GDPR je čistě kompenzační. Trestat může dozorový úřad pokutou, ne soud v civilním sporu.
- **Únik byl drobný a správce se omluvil.** Omluva může být sama přiměřenou náhradou, pokud újmu plně vyrovná. Žaloba o peníze navíc pak riskuje náklady řízení.

## Co udělat teď

1. Uschovejte oznámení o úniku od správce i všechny zprávy, ze kterých plyne, které vaše údaje unikly a kdy.
2. Změňte hesla, zablokujte karty a sledujte výpisy. Zapisujte si, co a kdy jste dělali a kolik vás to stálo času i peněz.
3. Ukládejte podezřelé e-maily, SMS a telefonáty, které se po úniku objevily. Jsou důkazem, že obava není hypotetická.
4. Požádejte správce písemně o informace, jaké údaje o vás zpracovává a co se s nimi stalo.
5. Uplatněte nárok písemně u správce a teprve potom zvažte žalobu. Stížnost u Úřadu pro ochranu osobních údajů podejte souběžně, chcete-li, aby porušení řešil i úřad.

## Časté otázky

### Mám nárok na odškodné, když unikla databáze s mými údaji?

Můžete mít, ale musíte prokázat, že vám únik způsobil újmu. Samotné porušení GDPR nestačí. Nehmotnou újmou může být i důvodná obava ze zneužití údajů, kterou soud posoudí podle konkrétních okolností.

### Stačí, že se bojím zneužití?

Může stačit. Soudní dvůr EU v prosinci 2023 rozhodl, že obava ze zneužití uniklých údajů může sama být nehmotnou újmou. Soud ale ověří, zda je obava za daných okolností opodstatněná. Nestačí čistě hypotetické riziko, když se s údaji nikdo cizí neseznámil.

### Firmu napadli hackeři. Odpovídá i tak?

Může. Útok třetí osoby sám o sobě správce odpovědnosti nezbavuje. Správce musí prokázat, že za událost nenese žádným způsobem odpovědnost, a vhodnost svého zabezpečení dokazuje on.

### Kolik můžu dostat?

Pevná tabulka neexistuje. Výši určí český soud podle českých pravidel o rozsahu náhrady. Náhrada má újmu plně vyrovnat, ale nemá správce trestat; míra jeho zavinění ani jeho motivace na výši nemají vliv.

### Kam se mám obrátit?

Stížnost můžete podat u Úřadu pro ochranu osobních údajů; ten může porušení řešit a uložit pokutu, náhradu vám ale nepřizná. O náhradu se žaluje u soudu, a to buď ve státě, kde má správce provozovnu, nebo ve státě vašeho obvyklého bydliště.


## Prameny

- [Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů)](https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32016R0679)
- [Rozsudek SDEU ze dne 4. 5. 2023 ve věci C-300/21 Österreichische Post: samotné porušení GDPR k náhradě nestačí, náhradu nehmotné újmy ale nelze podmínit určitou mírou její závažnosti](https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0300)
- [Rozsudek SDEU ze dne 14. 12. 2023 ve věci C-340/21 Nacionalna agencia za prichodite: obava ze zneužití uniklých údajů může sama být nehmotnou újmou; vhodnost zabezpečení prokazuje správce a útok třetí osoby ho sám o sobě odpovědnosti nezprostí](https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0340)
- [Rozsudek SDEU ze dne 25. 1. 2024 ve věci C-687/21 MediaMarktSaturn: čistě hypotetické riziko zneužití, když se třetí osoba s údaji neseznámila, nehmotnou újmou není; náhrada podle čl. 82 GDPR je kompenzační, ne sankční](https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62021CJ0687)
- [Rozsudek SDEU ze dne 4. 10. 2024 ve věci C-507/23 Patērētāju tiesību aizsardzības centrs: omluva může být přiměřenou náhradou nehmotné újmy, může-li ji plně nahradit; postoj a motivace správce náhradu snížit nemohou](https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:62023CJ0507)