19 Co 209/2025-532 — Městský soud v Praze

1. V záhlaví označeným rozsudkem soud prvního stupně zamítl žalobu, kterou se žalobce po žalované domáhal zaplacení částky 25 000 Kč (výrok I.) a žalobci uložil povinnost k náhradě nákladů žalované v částce 28 798 Kč do tří dnů od právní moci rozsudku (výrok II.).2. Rozhodl tak o žalobě, kterou se žalobce domáhal náhrady nemajetkové újmy ve výši 25 000 Kč s odůvodněním, že od roku 2014 je uživatelem sociální sítě , název, , kterou provozuje žalovaná, a to pod uživatelským jménem , Jméno žalobce, , s kontaktním e-mailem , e-mail, . Za tu dobu o žalobci , název, získal extrémní množství informací, jak o obsahu zpráv, tak o veškeré aktivitě žalobce na , název, , o užitých IP adresách, lokalitách, zjištěných preferencích, účastech na akcích, vyhledáváních, reakcích na reklamy na , název, i mimo něj apod. Žalobci tak byla v souvislosti s nezákonným a netransparentním zpracováním jeho osobních údajů způsobena nemajetková újma, spočívající jednak v nezákonném zpracování jeho velmi citlivých osobních údajů bez získání jeho souhlasu, který byl nezbytný, a jednak ve ztrátě kontroly nad jeho údaji a ztrátě schopnosti uplatňovat volby týkající se zpracování osobních údajů žalobce. Své nároky pak zakládal na rozhodnutích Evropského sboru pro ochranu osobních údajů („EDPB“) a , stát, Komise pro ochranu osobních údajů („, název, “). Žalobce měl za to, že nemusí prokazovat, že ke zneužití jeho údajů reálně došlo, naopak stačí prokázat potencialitu takového zásahu a odůvodněnost obavy ze zneužití údajů. Výši újmy žalobce řádově odhadoval pomocí porovnání s odměnou, za kterou jsou lidé ochotni být ve svém soukromí nepřetržitě sledováni.3. Žalovaná navrhla zamítnutí žaloby s tím, že žaloba představuje zjevný pokus o zneužití nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“), k získání nahodile určeného peněžitého plnění, aniž by se žalobce vůbec pokusil prokázat porušení GDPR či vznik peněžité nebo nepeněžité újmy. Rozhodnutí, na která žalobce odkazuje, označila žalovaná pouze za zobecněné závěry, které nemají žádný konkrétní vztah k okolnostem na straně žalobce. Pouhé porušení GDPR navíc dle žalované samo o sobě nezakládá nárok na odškodnění, nýbrž musí být prokázán vznik individualizované újmy. Žalovaná však odmítla i samotné porušení GDPR. Žalobce totiž dne 9. 11. 2023, Anonymizováno, souhlasil se zpracováním, což znamená, že veškeré zpracování osobních údajů žalobce po tomto datu bylo založeno na jeho souhlasu. Pro předávání údajů pak měla vždy platný právní základ.4. Soud prvního stupně po skutkové stránce vyšel ze zjištění, že žalobce je uživatelem sociální sítě , název, , kterou provozuje žalovaná. Dále vycházel z toho, že žalobce netvrdil, tím méně prokázal, jaké konkrétní osobní údaje žalovaná zneužila nebo předala třetím osobám do , stát, . Soud prvního stupně dále vycházel z toho, že žalobce ani neprokázal, jaká újma mu vznikla.5. S ohledem na mezinárodní prvek (žalobce je státní příslušník , stát, a žalovaná je zahraniční osoba se sídlem v , stát, ) se soud prvního stupně nejdříve zabýval tím, zda je k rozhodnutí ve věci mezinárodně příslušný. Svou mezinárodní příslušnost shledal na základě aplikace ustanovení Čl. 79 odst. 2 věty druhé GDPR, a to s ohledem na bydliště žalobce v České republice. Při právním posouzení merita věci pak soud prvního stupně postupoval zejména podle ustanovení Čl. 82 GDPR a dále podle § 81 a násl. zákona č. 89/2012 Sb., občanský zákoník (dále jen „o. z.“), a podle § 2956 a násl. o. z. Soud prvního stupně vycházel z toho, že předpokladem úspěšného uplatnění práva na náhradu újmy způsobené porušením GDPR je splnění tří kumulativních podmínek, a to prokázání 1) existence porušení GDPR, 2) existence majetkové nebo nemajetkové újmy způsobené osobě, která žádá o náhradu, a 3) příčinné souvislosti mezi tímto porušením a způsobenou újmou. V této souvislosti se zabýval výkladem pojmu „újma“ a dospěl k závěru, že každé porušení nařízení GDPR samo o sobě automaticky nezakládá právo na náhradu újmy, když utrpěnou újmu musí žadatel prokázat. Soud prvního stupně dále konstatoval, že vzhledem k absenci úpravy způsobu náhrady vzniklé škody a nemajetkové újmy v GDPR je třeba aplikovat obecnou úpravu ochrany osobnosti obsaženou v občanském zákoníku. Zabýval se proto předpoklady pro úspěšné uplatnění práva na ochranu osobnosti podle ustanovení § 81 a násl. o. z. a formami zadostiučinění. Na základě toho soud prvního stupně dospěl k závěru, že žalobce ani po výzvě soudu neprokázal, v čem konkrétně žalovaná ve vztahu k žalobci porušila GDPR, ani jakým způsobem a jaká konkrétní újma mu vznikla. Žalovaná shromažďovala a následně zpracovávala data, která jí žalobce o sobě poskytl. S podmínkami žalované přitom dne 9. 11. 2023 vyslovil souhlas. Žalobce současně dle soudu prvního stupně neprokázal, že by žalovaná poskytla osobní údaje žalobce třetí straně. Existenci rizika předání osobních údajů třetí straně nepovažoval soud prvního stupně k přiznání náhrady nemajetkové újmy za postačující. K žalobcem odkazovaným rozhodnutím zahraničních orgánů soud prvního stupně konstatoval, že pro něj nejsou závazná a mohou být nanejvýš určitým vodítkem. Rozhodnutí , název, navíc nejsou pravomocná. Vzhledem k tomu, že neměl prokázaný vznik újmy, nezabýval se již soud prvního stupně výší náhrady.6. Výrok o nákladech řízení odůvodnil soud prvního stupně s odkazem na ustanovení § 142 odst. 1 o. s. ř. tak, že náhradu nákladů řízení přiznal žalované v částce 28 798 Kč včetně DPH; tato částka odpovídá odměně advokáta za 4 úkony právní služby dle ustanovení § 9 odst. 4 písm. a), § 6 odst. 1 a § 7 bod 5 vyhlášky č. 177/1996 Sb., advokátního tarifu (dále jen „AT“), ve znění účinném do 31. 12. 2024, včetně 4 paušálních náhrad hotových výdajů po 300 Kč dle ustanovení § 13 odst. 4 AT, a odměně advokáta za 4 úkony právní služby dle § 9a odst. 4 písm. a), § 6 odst. 1 a § 7 bod 5 AT ve znění účinném od 1. 1. 2025, včetně 4 paušálních náhrad hotových výdajů po 450 Kč dle ustanovení § 13 odst. 4 AT, a dani z přidané hodnoty ve výši 21 % z částky 23 800 Kč, tedy ve výši 4 998 Kč.7. Proti tomuto rozsudku v celém jeho rozsahu brojí žalobce odvoláním. Namítal, že soud prvního stupně nepřihlédl k tvrzeným a nesporným skutečnostem a provedeným důkazům a neprovedl některé navržené důkazy. Soud prvního stupně nesprávně vyložil význam flashdisku s exportem údajů žalobce a neporozuměl jeho relevanci. Údaje vložené uživatelem tvoří jen dílčí část zpracovávaných údajů, přičemž velkou část zpracovávaných údajů tvoří údaje vypozorované samotnou žalovanou z chování uživatele. Soud prvního stupně dále ignoroval tvrzení a důkazy žalobce o tom, jaké jeho osobní údaje byly předmětem nezákonného zpracování, což bylo fakticky nesporné. Žalobce uvedl, ve vztahu k jakým údajům se žalovaná dopustila porušení GDPR, a tedy ve vztahu ke kterým byl žalobce vystaven ztrátě kontroly. Žalobce vždy tvrdil, že k nezákonnému zpracování údajů pro účely behaviorální reklamy, porušení informační povinnosti v souvislosti s takovým zpracováním, a dále k nezákonnému předávání údajů do , stát, docházelo ve vztahu ke všem údajům zpracovávaným ze strany žalované. Současně i žalovaná opakovaně uznala, že údaje žalobce zpracovávala pro účely behaviorální reklamy, byť bez dalšího zdůvodnění rozporovala zpracování dílčích skupin údajů žalobce za tímto účelem, zejména údajů z konverzací. Současně nebylo mezi stranami sporu o tom, že žalovaná předávala všechny údaje žalobce do , stát, třetí straně, mateřské společnosti žalované, a to pro zajištění funkčnosti globální služby. Další námitka spočívala v ignoraci rozhodnutí evropských orgánů. Soud prvního stupně se tím dle žalobce odchýlil od zásady presumpce správnosti rozhodnutí, jak byla v českém právu vyjádřena v nálezu Ústavního soudu ze dne 30. 5. 2018, sp. zn. I. ÚS 946/16, popř. v rámci unijního práva od zásady presumpce správnosti unijních aktů, jak byla uvedena v rozsudku SDEU ze dne 6. 10. 2015 ve věci C-362/14. Tímto přístupem současně soud prvního stupně nezohlednil tvrzení žalobce vztahující se k těmto rozhodnutím. Žalobce detailně zdůvodnil, jakým způsobem dochází ke zpracování osobních údajů žalovanou pro účely behaviorální reklamy. Soud prvního stupně dále nezohlednil, že všechna tato rozhodnutí byla založena na podkladových rozhodnutích EDPB, což je orgán všemi dozorovými úřady, a současně porušil ustanovení § 135 odst. 2 o. s. ř., když nezohlednil rozhodnutí příslušných správních orgánů, kterými byly s ohledem na pravidla příslušnosti dle GDPR i s ohledem na porušení GDPR s dopadem na české subjekty údajů, právě EDPB a , název, . Nejedná se tak o rozhodnutí cizího správního orgánu. Soud prvního stupně pak nereflektoval ani rozsudek Soudního dvora Evropské Unie (dále jen „SDEU“) ve věci C-311/18 z 16. července 2020, ve kterém SDEU dovodil, že předávání údajů do , stát, pro