Prečo sa ťažisko zodpovednosti presúva z úradov do súdnych siení

Dlhé roky sa slovenské i európske firmy v súvislosti s nariadením GDPR obávali predovšetkým drakonických pokút od dozorných orgánov. Tento naratív sa však v poslednom období zásadne mení. Do popredia sa dostáva občianske právo a súkromnoprávne žaloby, ktoré predstavujú pre podnikateľov omnoho nevyspytateľnejšiu hrozbu než štátny dohľad. Právo na náhradu škody, zakotvené priamo v článku 82 GDPR, sa stáva novou zbraňou v rukách nespokojných klientov, zamestnancov či aktivistov. Kým pokuty končia v štátnom rozpočte, odškodné smeruje priamo do peňaženiek dotknutých osôb, čo vytvára silnú motiváciu pre masové súdne spory. V nasledujúcich riadkoch si rozoberieme, prečo súdne spory o nemajetkovú ujmu menia pravidlá hry, akú rolu v tom zohráva judikatúra Súdneho dvora EÚ a prečo by sa firmy mali namiesto vypĺňania tabuliek zamerať na reálnu prevenciu pred súdnymi konaniami, ktoré môžu mať pre ich reputáciu a financie likvidačné následky.

Článok 82 GDPR: Právny základ pre individuálne žaloby

Základným pilierom novej vlny žalôb je článok 82 Všeobecného nariadenia o ochrane údajov (GDPR). Tento článok výslovne uvádza, že každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu škody od prevádzkovateľa alebo sprostredkovateľa.

Pre firmy to znamená zásadný rozdiel oproti minulosti:

• Priamy nárok: Jednotlivec nepotrebuje súhlas dozorného úradu (Úradu na ochranu osobných údajov), aby žaloval firmu na civilnom súde.
• Nemajetková ujma: Do popredia sa dostáva náhrada za psychický stres, stratu súkromia, obavy zo zneužitia údajov alebo poškodenie dobrej povesti.
• Solidárna zodpovednosť: Ak sa na spracúvaní podieľa viac subjektov, poškodený môže žalovať ktoréhokoľvek z nich o plnú sumu odškodného.

Tento mechanizmus robí z ochrany osobných údajov klasický inštitút občianskeho práva, kde sa spor neodohráva medzi štátom a podnikateľom, ale medzi dvoma rovnocennými subjektmi pred všeobecným súdom. To dramaticky zvyšuje počet potenciálnych konfliktov, keďže nespokojných jednotlivcov sú milióny, kým kontrolórov na úradoch len desiatky.

Prelomové rozhodnutia Súdneho dvora EÚ a koniec „prahovej hodnoty“

Dlhý čas panovala neistota, či musí byť porušenie GDPR „dostatočne závažné“ na to, aby vznikol nárok na odškodné. Mnohé národné súdy zamietali žaloby s argumentom, že drobný diskomfort (napríklad jeden nevyžiadaný e-mail) nespôsobuje reálnu ujmu. Súdny dvor Európskej únie (SDEÚ) však v kľúčových rozsudkoch, ako je napríklad C-300/21 (Österreichische Post), nastavil nový kurz.

Podľa aktuálneho výkladu neexistuje žiadna minimálna prahová hodnota závažnosti ujmy. Ak osoba preukáže, že porušenie nariadenia jej spôsobilo hoci aj miernu psychickú nepohodu alebo stratu kontroly nad údajmi, má nárok na finančnú kompenzáciu. SDEÚ síce zdôrazňuje, že samotné porušenie GDPR automaticky neznamená škodu, ale dôkazné bremeno v otázke, čo je „ujma“, sa stalo pre žalobcov oveľa prijateľnejším.

Tento posun v judikatúre otvoril dvere pre tzv. „žalobný priemysel“, kde právnické firmy cielene vyhľadávajú bezpečnostné incidenty firiem a následne oslovujú tisíce dotknutých klientov s ponukou na zastupovanie v spore o odškodné.

1. Hrozba hromadných žalôb na Slovensku

Novým faktorom, ktorý posilňuje občianskoprávny tlak na firmy, je zákon o žalobách na ochranu kolektívnych záujmov spotrebiteľov. Tento zákon umožňuje oprávneným subjektom (napríklad spotrebiteľským združeniam) žalovať firmy v mene veľkých skupín ľudí naraz. V kontexte GDPR to predstavuje toxický koktail rizík.

Predstavte si únik e-mailových adries z e-shopu, ktorý zasiahne 10 000 zákazníkov. Ak by každý z nich individuálne žiadal odškodné 200 eur, procesne by to bolo náročné. Ak však združenie podá jednu hromadnú žalobu, firma čelí nároku vo výške 2 miliónov eur plus nákladom na konanie. Hromadné žaloby robia z drobných prešľapov existenčné hrozby.

2. Nemajetková ujma ako hlavný nástroj žalobcov

Pri tradičných žalobách o náhradu škody musel žalobca presne vyčísliť finančnú stratu (napr. ukradnuté peniaze z účtu). Pri GDPR žalobách sa ťažisko presúva na nemajetkovú ujmu, ktorá je subjektívna a ťažšie vyvrátiteľná. Medzi najčastejšie formy patrí:

• Strata kontroly nad údajmi: Pocit bezmocnosti z toho, že neviem, kde sa moje dáta nachádzajú.
• Diskriminácia alebo stigmatizácia: Ak uniknú citlivé údaje o zdraví alebo politických názoroch.
• Strata dôvery: Psychická trauma spojená s vedomím, že firma, ktorej som dôveroval, ma zradila.

Súdy dnes akceptujú, že strach z budúcich následkov (napríklad z toho, že moje uniknuté dáta budú o tri roky zneužité na phishing) je legitímnou formou ujmy, ktorú treba finančne kompenzovať.

3. Obrátené dôkazné bremeno v praxi

V civilnom konaní podľa GDPR platí špecifický režim zodpovednosti. Podľa článku 82 ods. 3 GDPR sa prevádzkovateľ zbaví zodpovednosti za škodu len vtedy, ak preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá škodu spôsobila. To znamená, že nestačí, ak žalobca nepodá dostatok dôkazov – firma musí aktívne dokázať svoju nevinu a súlad s predpismi.

Ak firma nemá dôsledne vedenú dokumentáciu (záznamy o spracovateľských činnostiach, posúdenia vplyvu DPIA, záznamy o školeniach), v súdnom spore prehrá skôr, než sa začne riešiť výška škody. Dokumentácia sa tak mení z „papiera pre úrad“ na kľúčový dôkazný prostriedok v civilnom spore.

Ako môžu firmy minimalizovať riziko občianskoprávnych žalôb?

Prevencia už nesmie byť zameraná len na to, aby firma nedostala pokutu od ÚOOÚ. Stratégia sa musí zmeniť na minimalizáciu rizika sporov so subjektmi údajov. To zahŕňa niekoľko kritických krokov:

V prvom rade je nevyhnutná transparentná komunikácia. Ak dôjde k bezpečnostnému incidentu, spôsob, akým o ňom firma informuje dotknuté osoby, rozhoduje o tom, či ju zažalujú. Empatická a rýchla komunikácia spojená s ponukou pomoci (napríklad bezplatný monitoring úniku dát) môže dramaticky znížiť motiváciu ľudí k žalobám.

Ďalším krokom je Privacy by Design. Firmy by mali spracúvať len nevyhnutné minimum údajov. Čím menej dát máte, tým menšia je potenciálna ujma pri ich úniku. Zároveň je potrebné investovať do technickej bezpečnosti, pretože preukázanie, že firma urobila maximum pre ochranu dát (napr. šifrovanie, viacfaktorová autentifikácia), je najsilnejšou obranou v súdnej sieni.

V neposlednom rade by mali firmy zvážiť poistenie kybernetických rizík, ktoré v mnohých prípadoch kryje nielen náklady na právne zastúpenie, ale aj vyplatené odškodné za nemajetkovú ujmu.

Zhrnutím aktuálneho vývoja možno konštatovať, že éra, v ktorej bola ochrana osobných údajov vnímaná len ako byrokratická povinnosť a riziko administratívnej pokuty, sa definitívne končí. Prechod k občianskoprávnej zodpovednosti znamená, že každé pochybenie pri spracúvaní dát môže mať okamžitý dopad na cashflow firmy prostredníctvom žalôb o náhradu nemajetkovej ujmy. Kľúčovým zistením je, že súdy už nevyžadujú extrémne závažné poškodenie zdravia či majetku; postačuje strata kontroly nad údajmi alebo psychický diskomfort, čo dramaticky rozširuje okruh potenciálnych žalobcov. Pre firmy to znamená nevyhnutnosť prehodnotiť svoje procesy z hľadiska transparentnosti a bezpečnosti. Už nejde len o to mať v poriadku dokumentáciu pre prípad kontroly z Úradu na ochranu osobných údajov, ale o to, aby sa minimalizoval akýkoľvek dôvod pre nespokojnosť dotknutej osoby. Vzhľadom na prichádzajúce hromadné žaloby na Slovensku sa toto riziko ešte znásobuje. Podnikatelia, ktorí nebudú brať ochranu súkromia ako etický a právny štandard, sa vystavujú nielen finančným stratám, ale aj dlhodobej strate dôvery na trhu. Budúcnosť úspešného podnikania v digitálnom priestore tak priamo závisí od schopnosti rešpektovať práva jednotlivcov a predvídať nároky, ktoré voči nim občianske právo čoraz častejšie vznáša.