Čo vám nikto nepovie o zodpovednosti firiem: GDPR žaloby za nemajetkovú ujmu sú novou nočnou morou podnikateľov

Väčšina podnikateľov na Slovensku žije v predstave, že najväčším strašiakom v oblasti ochrany osobných údajov je Úrad na ochranu osobných údajov a jeho vysoké administratívne pokuty. Realita dnešných dní sa však dramaticky mení. Do popredia sa dostáva fenomén, ktorý bol dlho prehliadaný – individuálne a hromadné žaloby dotknutých osôb za nemajetkovú ujmu. Zatiaľ čo pokuta od štátu končí v štátnom rozpočte, náhrada škody putuje priamo do vrecka poškodeného klienta alebo zamestnanca. Práve občianske právo sa stáva primárnym nástrojom ochrany súkromia, pričom stačí relatívne malé pochybenie pri spracúvaní dát, aby firma čelila lavíne súdnych sporov. Tento posun v dynamike právnej zodpovednosti znamená, že GDPR už nie je len o „papierovom“ súlade, ale o reálnom finančnom riziku, ktoré môže ohroziť likviditu spoločnosti rýchlejšie než akýkoľvek regulátor.

Koniec éry strašenia pokutami: Prichádza éra súdnych sporov

Dlhé roky sa diskusia o GDPR sústredila výhradne na článok 83, ktorý definuje podmienky pre ukladanie astronomických pokút do výšky 20 miliónov eur alebo 4 % z celosvetového obratu. Firmy investovali do dokumentácie, aby uspokojili kontrolné orgány. Podcenili však článok 82 GDPR, ktorý priznáva každej osobe, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia nariadenia, právo na náhradu škody od prevádzkovateľa.

Tento posun v pozornosti od verejnoprávnej k súkromnoprávnej zodpovednosti je poháňaný rastúcim právnym povedomím verejnosti a činnosťou špecializovaných právnických firiem, ktoré vyhľadávajú bezpečnostné incidenty a motivujú ľudí k podávaniu žalôb. V praxi to znamená, že aj keď vám úrad neudelí pokutu, pretože vaše pochybenie vyhodnotí ako menej závažné, stále môžete čeliť desiatkam žalôb od jednotlivcov, ktorých údaje ste spracúvali v rozpore so zákonom. Nemajetková ujma sa tak stáva efektívnym nástrojom, ktorým sa jednotlivci dožadujú spravodlivosti a často aj finančného prilepšenia za pocity úzkosti, straty kontroly nad údajmi či strachu zo zneužitia ich identity.

Čo je to nemajetková ujma v kontexte ochrany údajov?

Nemajetková ujma v rámci GDPR predstavuje akúkoľvek ujmu, ktorá nemá priamy dopad na peňaženku poškodeného, no zasahuje do jeho osobnostných práv a psychickej pohody. Na rozdiel od klasickej majetkovej škody, kde musíte dokázať presnú sumu, o ktorú ste prišli, pri nemajetkovej ujme sa argumentuje zásahom do integrity súkromného života.

Medzi najčastejšie formy nemajetkovej ujmy patria:

• Strata kontroly nad údajmi: Keď sa údaje dostanú k neoprávneným osobám a dotknutá osoba nevie, ako s nimi bude naložené.
• Diskriminácia: Ak sú údaje použité na neoprávnené profilovanie, ktoré vedie k znevýhodneniu osoby.
• Poškodenie dobrej povesti: Zverejnenie citlivých informácií, ktoré môžu osobu zdiskreditovať v očiach verejnosti alebo zamestnávateľa.
• Psychické útrapy: Strach, úzkosť alebo stres spôsobený vedomím, že osobné údaje (napríklad o zdravotnom stave alebo dlhoch) unikli na internet.

Kľúčovým zistením pre firmy by malo byť, že európska legislatíva a judikatúra už nevyžadujú, aby táto ujma dosahovala určitý „prah závažnosti“. Aj zdanlivo banálne porušenie, ktoré nespôsobí traumu, môže byť súdom uznané ako dôvod na odškodnenie, ak sa preukáže reálny negatívny vplyv na subjekt údajov.

3 kľúčové podmienky pre úspešné uplatnenie nároku na náhradu škody

Aby bola firma úspešne zažalovaná a musela vyplatiť odškodné, musia byť kumulatívne splnené tri podmienky. Je dôležité pochopiť ich vzťah, pretože práve tu leží priestor pre obranu prevádzkovateľa.

1. Porušenie nariadenia GDPR: Musí dôjsť k preukázateľnému porušeniu pravidiel – napríklad spracúvanie údajov bez právneho základu, nedostatočné zabezpečenie vedúce k úniku dát alebo nesplnenie informačnej povinnosti. Samotné porušenie však samo o sebe na odškodnenie nestačí.

2. Vzniknutá škoda (majetková alebo nemajetková): Žalobca musí tvrdiť a preukázať, že mu vznikla konkrétna ujma. Hoci Súdny dvor EÚ potvrdil, že ujma nemusí byť extrémne závažná, stále platí, že „pocit nespokojnosti“ s porušením zákona nestačí. Žalobca musí popísať, ako ho toto porušenie negatívne ovplyvnilo.

3. Príčinná súvislosť: Medzi porušením GDPR a vzniknutou ujmou musí existovať priama spojitosť. Firma sa môže brániť tým, že škoda by vznikla aj bez jej pochybenia, alebo že ujma, ktorú žalobca popisuje, nesúvisí s konkrétnym únikom dát.

Prelomové rozhodnutia Súdneho dvora EÚ, ktoré zmenili pravidlá hry

Judikatúra Súdneho dvora Európskej únie (SDEÚ) je v tejto oblasti nesmierne dynamická. V posledných rokoch sme boli svedkami niekoľkých rozsudkov, ktoré doslova otvorili stavidlá žalobám. Najvýznamnejším je prípad C-300/21 (Österreichische Post), ktorý definoval, že právo na náhradu škody nie je podmienené dosiahnutím určitého stupňa závažnosti ujmy.

Tento rozsudok vyvrátil argumenty mnohých firiem, ktoré tvrdili, že krátkodobý stres alebo nahnevanie klienta nie je „skutočnou škodou“. SDEÚ však zároveň zdôraznil, že porušenie GDPR automaticky neznamená nárok na peniaze – poškodený musí stále dokázať, že mu vznikli negatívne dôsledky. Ďalšie rozhodnutia potvrdili, že prevádzkovateľ nesie zodpovednosť aj za pochybenia svojich spracovateľov (napríklad externých IT firiem), pokiaľ nepreukáže, že škodu nijakým spôsobom nespôsobil. To vytvára obrovský tlak na dôsledný výber partnerov a ich pravidelnú kontrolu.

Prečo sú hromadné žaloby najväčšou hrozbou pre slovenské firmy?

Skutočným „zabijakom“ pre stredné a veľké firmy nie sú jednotlivci, ale hromadné uplatňovanie nárokov. Predstavte si e-shop, ktorému uniknú e-mailové adresy a mená 10 000 klientov. Ak by sa každý z nich prihlásil o odškodné vo výške „iba“ 200 eur za stratu kontroly nad údajmi, celková suma dosiahne 2 milióny eur. K tomu treba pripočítať náklady na právne zastupovanie a súdne poplatky.

Na Slovensku a v celej EÚ sa navyše implementuje smernica o reprezentatívnych žalobách, ktorá uľahčuje spotrebiteľským organizáciám žalovať firmy v mene veľkých skupín ľudí. Pre podnikateľa to znamená, že už nečelí jednému nahnevanému klientovi, ale profesionálne pripravenej žalobe, ktorá zastupuje tisíce osôb. Tento model je mimoriadne atraktívny pre právne firmy, ktoré pracujú na báze „success fee“ (odmena z vysúdenej sumy), čo motivuje k agresívnemu postupu voči firmám so slabým zabezpečením dát.

Ako minimalizovať riziko: Praktické kroky pre podnikateľov

Prevencia pred žalobami za nemajetkovú ujmu sa líši od prevencie pred pokutami. Zatiaľ čo pri pokute stačí mať poriadok v dokumentoch, pri žalobách musíte minimalizovať reálny dopad na ľudí. Prvým krokom je implementácia princípu „privacy by design“ – teda nastavenie procesov tak, aby ste zbierali len minimum potrebných údajov. Čím menej údajov máte, tým menšie je riziko pri ich úniku.

Druhým kľúčovým prvkom je rýchlosť a transparentnosť pri riešení incidentov. Súdy posudzujú správanie firmy po zistení chyby. Ak incident zamlčíte a klienti sa o ňom dozvedia z médií, ich pocit neistoty a strachu (a teda nemajetková ujma) sa zvyšuje. Ak ich však včas informujete, vysvetlíte, čo sa stalo, a ponúknete kompenzačné opatrenia (napríklad bezplatný monitoring identity), výrazne oslabujete ich argumentáciu na súde. Taktiež je nevyhnutné mať uzatvorené kvalitné zmluvy so spracovateľmi s jasne definovanými regresnými nárokmi – ak chybu spraví váš dodávateľ IT, musíte mať možnosť preniesť náklady na odškodnenie priamo na neho.

V súčasnom právnom nastavení už ochrana osobných údajov nie je len administratívnou záťažou, ale kritickou súčasťou riadenia podnikateľských rizík. S rozširujúcou sa judikatúrou Súdneho dvora EÚ sa otvárajú nové dvere pre jednotlivcov, ktorí sa cítia byť poškodení neodborným nakladaním s ich súkromím. Pre firmy to znamená nevyhnutnosť prechodu od formálneho súladu s GDPR k reálnej bezpečnosti a empatii voči dotknutým osobám. Žaloby za nemajetkovú ujmu dokážu byť likvidačné nielen kvôli samotným finančným nárokom, ale aj kvôli dlhotrvajúcim súdnym sporom, ktoré vyčerpávajú personálne kapacity a nenávratne poškodzujú reputáciu značky na trhu. Víťazmi budú tie spoločnosti, ktoré pochopia, že dáta nie sú len ich aktívom, ale predovšetkým záväzkom voči ľuďom, ktorí im ich zverili. Investícia do robustného zabezpečenia a transparentnej komunikácie sa už nevracia len v podobe „pokoja od úradov“, ale v prevencii pred lavínou súkromnoprávnych sporov, ktoré môžu definovať budúcnosť podnikania v digitálnom veku. Ignorovanie tohto trendu by mohlo byť pre mnohých podnikateľov najdrahšou chybou ich kariéry.