Francouzská CNIL vysvětlila, za jakých podmínek lze požadovat náhradu újmy po porušení ochrany osobních údajů. Samotné zjištění úniku nestačí, ale ani nemajetková újma nemusí překročit určitou hranici závažnosti.

Francouzská CNIL v přehledu zveřejněném 2. října vysvětluje rozdíl mezi incidentem, porušením GDPR a nárokem konkrétního člověka na náhradu újmy. Porušením zabezpečení nemusí být jen útok na databázi. Může jít také o odeslání údajů nesprávnému příjemci, ztrátu zařízení nebo neoprávněný přístup k souboru. Ani potvrzení takové události však samo o sobě neurčuje, zda a kolik má dotčená osoba dostat zaplaceno.

Podle článku 82 GDPR musí být současně splněny tři podmínky: porušení nařízení, skutečná majetková nebo nemajetková újma a příčinná souvislost mezi nimi. Nestačí tedy ukázat, že organizace pochybila. Člověk musí doložit také vlastní negativní následek a jeho vazbu na dané porušení. Podobně nestačí, že se finanční ztráta a únik dat odehrály ve stejné době.

Tento výklad má oporu v rozsudku Soudního dvora EU ze 4. května 2023 ve věci C-300/21, Österreichische Post. Spor vycházel z přiřazení politických preferencí konkrétnímu člověku bez jeho souhlasu. Soud potvrdil, že samotné porušení GDPR nárok nezakládá. Současně ale odmítl požadavek, aby nemajetková újma musela překročit určitou minimální hranici závažnosti. I méně závažný následek může být relevantní, pokud je skutečný a prokázaný.

Podstatné je také rozlišit odškodnění od sankce. Náhrada má kompenzovat utrpěnou újmu, nikoli automaticky trestat organizaci za každé pochybení. Rozsudek C-300/21 připomíná, že GDPR samo nestanoví sazebník náhrad. Podrobnosti posuzují vnitrostátní soudy podle příslušných pravidel, která musí zachovat účinnou ochranu práv vyplývajících z unijního práva. Z počtu uniklých záznamů proto nelze mechanicky odvodit pevnou částku pro každého člověka.