Keď v roku 2018 vstúpilo do platnosti nariadenie GDPR, väčšina firiem sa sústredila výhradne na technické zabezpečenie a hrozbu astronomických pokút od dozorných orgánov, ako je Úrad na ochranu osobných údajov. Prvá vlna implementácie bola predovšetkým o administratívnej zhode a „zaškrtávaní políčok“. Dnes sa však nachádzame na prahu druhej, oveľa ničivejšej vlny: vlny občianskoprávnych sporov. Občianske právo sa stáva novým, sofistikovaným nástrojom v rukách dotknutých osôb, ktoré už nečakajú na zásah štátu, ale berú iniciatívu do vlastných rúk. Táto zmena paradigmy znamená, že firmy už nečelia len jednému regulátorovi, ale potenciálne tisícom jednotlivcov domáhajúcich sa svojich práv na súde. Občianskoprávna zodpovednosť prináša riziko náhrady nemajetkovej ujmy, čo v kombinácii s novou legislatívou o hromadných žalobách vytvára pre podnikateľské prostredie výbušnú zmes. Tento článok podrobne analyzuje päť kľúčových predpovedí, ktoré zmenia spôsob, akým vnímame ochranu údajov, a vysvetlí, prečo sa súdne siene stanú hlavným bojiskom o digitálne súkromie.

Od administratívnych pokút k súdnym sieňam: Nová realita GDPR

Doterajší naratív okolo GDPR sa točil najmä okolo článku 83, ktorý upravuje podmienky ukladania správnych pokút. Firmy sa báli sankcií do výšky 20 miliónov eur alebo 4 % z celosvetového obratu. Avšak skutočné nebezpečenstvo, ktoré bolo dlho prehliadané, sa skrýva v článku 82 GDPR. Ten priznáva každej osobe, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia nariadenia, právo na náhradu škody od prevádzkovateľa alebo sprostredkovateľa.

Prečo je to pre firmy horšie ako pokuta od úradu? Správne konanie je proces medzi štátom a firmou, kde má firma určité procesné záruky a priestor na nápravu. Naproti tomu občianskoprávny spor je priamym útokom na cash-flow spoločnosti zo strany poškodených klientov alebo zamestnancov. Ak úrad udelí pokutu, peniaze idú do štátneho rozpočtu. Ak však firma prehrá súdny spor o náhradu škody, peniaze idú priamo žalobcovi. To vytvára obrovskú motiváciu pre jednotlivcov a právnické kancelárie hľadať aj tie najmenšie pochybenia v spracúvaní údajov.

Tento posun k občianskoprávnej zodpovednosti je poháňaný aj narastajúcim právnym vedomím verejnosti. Ľudia si začínajú uvedomovať, že ich súkromie má hodnotu, a že akákoľvek strata kontroly nad ich údajmi môže byť kompenzovaná v eurách. Súdy v celej Európskej únii začínajú vydávať rozsudky, ktoré potvrdzujú, že na priznanie náhrady škody nie je potrebný závažný zásah, čo otvára dvere pre masovú litigáciu.

1. Nástup hromadných žalôb: Nočná mora pre korporácie

Jednou z najzásadnejších zmien, ktoré nás čakajú, je plná implementácia Smernice o zástupných žalobách na ochranu kolektívnych záujmov spotrebiteľov. Táto legislatíva umožňuje kvalifikovaným subjektom (napríklad spotrebiteľským organizáciám) podávať žaloby v mene tisícov dotknutých osôb súčasne. V kontexte GDPR to znamená, že ak dôjde k úniku databázy s miliónom klientov, firma nebude čeliť miliónu malých súdov, ale jednej gigantickej hromadnej žalobe.

• Ekonomika rozsahu pre žalobcov: Pre jednotlivca je neefektívne žalovať firmu o 200 eur za porušenie ochrany údajov. Pre spotrebiteľskú organizáciu je však mimoriadne lukratívne žalovať firmu o 200 eur v mene 100 000 ľudí.
• Financovanie tretími stranami: Na trhu sa objavujú investičné fondy, ktoré financujú súdne spory (Litigation Funding). Tieto fondy zaplatia náklady na právnikov výmenou za podiel na vysúdenej sume, čo odstraňuje finančnú bariéru pre poškodených.
• Reputačné riziko: Hromadná žaloba priťahuje mediálnu pozornosť, čo môže viesť k okamžitému poklesu hodnoty akcií a strate dôvery zákazníkov ešte pred vynesením rozsudku.

Predpokladáme, že v najbližších troch rokoch sa počet kolektívnych žalôb v oblasti ochrany údajov v EÚ zvýši o viac ako 300 %. Firmy sa nebudú môcť spoliehať na to, že „ľuďom sa nechce súdiť“. Profesionálne organizácie to urobia za nich a so značným ziskom.

2. Subjektívny pocit strachu ako uznaná nemajetková ujma

Dlho sa viedli právne diskusie o tom, či na priznanie náhrady nemajetkovej ujmy stačí samotné porušenie GDPR, alebo či musí nastať reálna psychická či fyzická trauma. Prelomové rozhodnutia Súdneho dvora Európskej únie (SD EÚ), najmä v kauze Österreichische Post (C-300/21), však naznačujú smer, ktorým sa budeme uberať. Hoci súd uviedol, že samotné porušenie nariadenia automaticky neznamená náhradu škody, zároveň odmietol stanoviť „prah závažnosti“.

Čo to znamená v praxi? V blízkej budúcnosti sa dočkáme rozsudkov, kde subjektívny pocit nepohody, strachu alebo neistoty z toho, čo sa stane s uniknutými údajmi, bude stačiť na priznanie odškodnenia. Ak firma stratí e-mailové adresy klientov, klient môže tvrdiť, že pociťuje úzkosť z možného budúceho phishingu. Tento typ škody je takmer nemožné objektívne vyvrátiť. Pre firmy to predstavuje nepredvídateľné riziko, pretože výška odškodného sa môže kumulovať do závratných súm aj pri drobných incidentoch.

3. Obrátené dôkazné bremeno a procesná pasca

V bežnom občianskoprávnom spore musí žalobca dokázať, že mu vznikla škoda, že žalovaný porušil zákon a že medzi tým existuje príčinná súvislosť. V sporoch o ochranu údajov sa však karta čoraz viac obracia v neprospech firiem. GDPR je postavené na princípe zodpovednosti (accountability), čo v súdnom spore znamená, že firma musí byť schopná preukázať, že urobila všetko pre ochranu údajov v súlade so zákonom.

Súdy začínajú aplikovať prísnejší pohľad: akonáhle dôjde k úniku údajov, predpokladá sa, že bezpečnostné opatrenia boli nedostatočné. Firma sa potom ocitá v defenzíve a musí dokazovať „negatívnu skutočnosť“ – že únik nebol zavinený jej nedbanlivosťou. Táto procesná nevýhoda robí z GDPR sporov nočnú moru, pretože technická zložitosť IT systémov sa v súdnej sieni vysvetľuje veľmi ťažko laikom (sudcom), ktorí sa často prikláňajú k ochrane „slabšej strany“ – fyzickej osoby.

4. Algoritmická diskriminácia a automatizované rozhodovanie

Štvrtá predpoveď sa týka nastupujúcej éry umelej inteligencie (AI). GDPR v článku 22 prísne reguluje automatizované individuálne rozhodovanie vrátane profilovania. S rozmachom AI nástrojov v bankovníctve (posudzovanie úverov), personalistike (skríning kandidátov) a marketingu sa otvára úplne nový priestor pre žaloby.

Budúce spory sa nebudú týkať len úniku údajov, ale spravodlivosti algoritmov. Ak vás algoritmus vyhodnotí ako rizikového klienta a nedostanete pôžičku, máte právo na vysvetlenie a ľudský zásah. Ak firma nedokáže transparentne vysvetliť, ako jej AI k danému výsledku dospela, vystavuje sa žalobám o náhradu škody za diskrimináciu a porušenie GDPR. Tieto spory budú technologicky nesmierne náročné a pre firmy extrémne drahé na obhajobu, nakoľko si budú vyžadovať zapojenie drahých znalcov z oblasti data science.

5. Osobné údaje ako majetková hodnota

Posledná a možno najviac šokujúca predpoveď hovorí o tom, že súdy začnú vnímať osobné údaje ako majetkovú hodnotu. Dnes vnímame stratu údajov skôr v morálnej rovine. V blízkej budúcnosti sa však udomácni koncept „straty kontroly nad údajmi ako majetkovej škody“.

Ak majú vaše údaje komerčnú hodnotu pre inzerentov, majú hodnotu aj pre vás. Ak vám firma tieto údaje „odcudzí“ tým, že ich spracúva bez súhlasu alebo ich stratí, pripravila vás o hodnotu, s ktorou ste mohli disponovať vy sami. Tento prístup úplne mení výpočet škody – už nebudeme hovoriť o 100 eurách za stres, ale o konkrétnej trhovej cene dát vynásobenej počtom dotknutých osôb a časom, počas ktorého firma údaje neoprávnene využívala. Pre firmy, ktoré budujú svoj biznis model na dátach, to môže byť likvidačné.

Budúcnosť GDPR sporov jasne naznačuje, že éra pasívneho dodržiavania predpisov skončila. Firmy už nemôžu vnímať ochranu osobných údajov len ako položku v zozname úloh pre IT oddelenie alebo právnika na polovičný úväzok. Občianskoprávna zodpovednosť prináša dynamické riziko, ktoré sa priamo dotýka finančnej stability a reputácie každého podniku. Prechod od administratívnych pokút k masovým individuálnym a kolektívnym žalobám je realitou, na ktorú sa treba pripraviť už dnes. Kľúčom k prežitiu v tejto novej ére nebude len technické zabezpečenie, ale predovšetkým transparentnosť, schopnosť preukázať súlad v reálnom čase a proaktívny prístup k riadeniu právnych rizík. Firmy, ktoré pochopia, že osobné údaje nie sú len komodita, ale záväzok spojený s prísnou zodpovednosťou, budú tie, ktoré v tomto novom právnom prostredí uspejú. Naopak tie, ktoré podcenia silu „nahnevaného jednotlivca“ vyzbrojeného novými legislatívnymi nástrojmi, sa môžu čoskoro ocitnúť v nekonečnom kolotoči súdnych sporov, ktoré odčerpajú nielen ich financie, ale aj dôveru trhu. GDPR už nie je len o strašiaku z úradu, je to o novom štandarde v občianskoprávnych vzťahoch digitálneho veku, kde je súkromie najcennejšou menou.