28 C 96/2024-310 — Obvodní soud pro Prahu 4

1. Žalobce se žalobou podanou dne , datum, domáhal na žalované zaplacení částky , částka, jakožto satisfakce za imateriální újmu, kterou mu žalovaná měla způsobit zaviněným a úmyslným porušování čl. 82 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne , datum, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR).2. Žalobce uvedl, že je dlouhodobě (od roku 2009) uživatelem , Anonymizováno, . Za dobu, po kterou žalobce , Anonymizováno, užívá, získala , Anonymizováno, o osobě žalobce extrémní množství informací, jak o obsahu zpráv, které si píše se svými přáteli, tak o veškeré aktivitě žalobce na , Anonymizováno, , o užitých IP adresách, lokalitách, zjištěných preferencích, účastech na akcích, vyhledáváních, reakcích na reklamy na , Anonymizováno, i mimo něj apod. Velikost souborů s daty žalobce, které , Anonymizováno, poskytuje, činí několik GB, což je ekvivalent několika tisíc elektronických knih. Nejedná se pak pouze o data, která žalobce sám sdílel – takto sdílené informace tvoří zanedbatelnou část zpracovávaných dat, které jsou pro jejich vztah k žalobci, který je pro žalovanou identifikovatelným uživatelem, jeho osobními údaji. Žalobce měl obecné povědomí o skutečnostech, že žalovaná prostřednictvím , Anonymizováno, zpracovává jeho osobní údaje. , Anonymizováno, však sbírá téměř nekonečné množství informací o aktivitě uživatele (žalobce), jeho preferencích, přátelích, geografické poloze, obsahu soukromých zpráv apod. Žalobce dle obsahu žaloby velmi zasáhlo, když se dozvěděl o flagrantním porušování pravidel ochrany osobních údajů ze strany žalované ve vztahu k , Anonymizováno, , kterým byly dotčeny také jeho osobní údaje. Podle žalobce toto porušování pravidel ochrany osobních údajů spočívá ve zpracování údajů žalobce (mj. pro účely behaviorální reklamy) bez souhlasu žalobce se zpracováním osobních údajů (bez dostatečného právního základu dle čl. 6 GDPR), ač povaha zpracování získání souhlasu vyžadovala; dále v neplnění informační povinnosti žalované dle GDPR; a konečně v předávání údajů do , Anonymizováno, bez jejich zabezpečení proti zneužití.3. Žalobce dále sdělil, že se nemůže užití , Anonymizováno, vyhnout, jelikož s ohledem na dominantní postavení , Anonymizováno, (dle žalobce se jedná v zásadě o postavení monopolní) by bez jeho používání nebyl schopen komunikovat se svými přáteli a rodinnými příslušníky. Tím by bylo dotčeno jeho právo na svobodu vyjadřování a právo na informace. Osobní údaje žalobce byly zpracovány ve velkém rozsahu, zcela protiprávně, a jelikož žalobce o jejich zpracování nebyl řádně informován, nemohl takové zpracování ovlivnit ani na ně uplatnit jakýkoli vliv. Žalobce doplňoval, že neví, co se dělo s jeho osobními údaji po jejich předání do USA, a že tedy ani neví, kdo všechno k jeho údajům získal přístup, za jakým účelem byly jeho údaje využity, a zda takové využití dále trvá či nikoli. Žalobce pociťoval obavy z toho, jakým způsobem bylo s jeho osobními údaji v USA naloženo a zda k nim nebyl ze strany žalované umožněn (prakticky neomezený) přístup třetím stranám (jako například , podezřelý výraz, . Žalobce uvedl, že újma mu vznikla v období do listopadu 2023, kdy žalovaná poprvé zavedla právní základ v podobě souhlasu se zpracováním pro účely behaviorální reklamy.4. Žalobní argumentace žalobce je konkrétně vystavěna na tvrzení, že žalovaná společnost dlouhodobě a systematicky zasahovala do jeho práv na ochranu osobních údajů tím, že jeho osobní údaje zpracovávala pro účely tzv. behaviorální reklamy bez jeho souhlasu a bez adekvátního právního základu, a dále tím, že jeho údaje předávala do Spojených států amerických, kde k nim mají přístup tamní státní orgány na základě tamních právních předpisů, a to zejména zákona FISA (žalobce měl v této souvislosti za to, že žalovaná neposkytla dostatečnou úroveň ochrany osobním údajům žalobce předávaných do USA, čímž se dopustila porušení čl. 46 odst. 1 GDPR). Stěžejním je v tomto kontextu ust. § 702 amerického zákona FISA (Foreign Intelligence Surveillance Act), na jehož základě lze po udělení osvědčení pro uplatňování zákona FISA cíleně sledovat osoby, které nejsou občany USA, a zároveň se nacházejí mimo území USA, a to za účelem získávání zahraničních zpravodajských informací. Cílené sledování dotčených osob se realizuje mj. poskytnutím identifikačních údajů o elektronických komunikacích sledovaných osob ze strany poskytovatelů služeb elektronických komunikací. Žalobce se v důsledku toho ocitl v situaci, kdy ztratil kontrolu nad svými osobními údaji, což je dle judikatury Soudního dvora Evropské unie samo o sobě uznatelnou nemajetkovou újmou ve smyslu čl. 82 GDPR. Tento zásah je navíc nenapravitelný – k zásahu docházelo po dobu několika let a mezitím byly údaje zcela či zčásti předávány do USA a třetím osobám. Žalobce ani , Anonymizováno, nejsou schopni zvrátit následky takového jednání ani dosledovat, kde všude údaje žalobce skončily, a jak budou dále užívány. Přitom došlo ke ztrátě kontroly žalobce nad jeho osobními údaji, nemožnosti řádně a informovaně vykonávat práva žalobce podle GDPR.5. Žalobce opakovaně zdůrazňuje, že , Anonymizováno, o něm eviduje extrémní množství údajů, které dalece přesahují to, co sám vědomě sdílel. Jak bylo naznačeno, jedná se mimo jiné o jeho identifikační a kontaktní údaje, údaje o vzdělání, obsah všech soukromých zpráv a konverzací, seznam přátel a kontakty včetně telefonních čísel, fotografie a videa, historii všech vyhledávání a navštívených stránek, informace o lokalitě a použitých zařízeních, záznamy o aktivitách na stránkách třetích stran, údaje o jeho nákupních preferencích, reklamní zájmy a reakce na reklamu. Tyto údaje byly dle žalobce zpracovávány pro účely cílení reklamy bez jeho vědomého souhlasu, přičemž souhlas byl od uživatelů , Anonymizováno, vyžádán teprve v listopadu 2023. Do té doby žalovaná spoléhala na právní základ „plnění smlouvy“, který byl však následně shledán nedostatečným.6. Žalobce v tomto směru odkazuje na rozhodnutí Evropského sboru pro ochranu osobních údajů (EDPB) č. 3/2022 a na rozhodnutí Irské komise pro ochranu osobních údajů (IE DPA) ze dne , datum, a ze dne , datum, , která výslovně konstatovala nezákonnost postupu žalované a uložila jí povinnost ukončit zpracování pro účely reklamy bez souhlasu uživatelů (toliko na základě právního základu „plnění smlouvy“) a rovněž ukončit předávání osobních údajů do USA. Žalobce též připomíná, že žalovaná rozhodnutí těchto orgánů dlouhodobě nerespektovala a v nezákonném zpracování údajů pokračovala. Z podání žalobce v této souvislosti vyplynulo, že žalovaná byla opakovaně sankcionována ze strany evropských dozorových orgánů, a to jak za způsob zpracování osobních údajů pro účely tzv. behaviorální reklamy, tak za předávání osobních údajů uživatelů do Spojených států amerických a nedostatečnou ochranu osobních údajů uživatelů, které byly do USA předávány. Pokud jde o první oblast, Evropský sbor pro ochranu osobních údajů v závazném rozhodnutí č. 3/2022 a následně irský dozorový úřad (IE DPA) ve svém rozhodnutí ze dne , datum, dospěly k závěru, že žalovaná nesprávně odvozovala právní základ zpracování osobních údajů uživatelů pro reklamní účely z ustanovení čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy) a čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem). Podle těchto orgánů žalovaná zpracovávala osobní údaje uživatelů, včetně údajů o poloze a interakcích s reklamou, bez jejich informovaného souhlasu a bez toho, aby jim poskytla transparentní informace o účelu a rozsahu tohoto zpracování. IE DPA proto žalované uložil povinnost ukončit zpracování osobních údajů pro behaviorální reklamu na těchto právních základech, přizpůsobit podmínky služby i informační povinnosti požadavkům GDPR a současně jí uložil pokutu ve výši 210 milionů eur.7. Pokud jde o druhou oblast, tedy předávání osobních údajů uživatelů do USA, vycházel IE DPA ze závazného rozhodnutí EDPB č. 1/2023 a ve svém rozhodnutí ze dne , datum, shledal, že žalovaná porušila čl. 46 odst. 1 GDPR tím, že předávala osobní údaje uživatelů do USA, aniž by zajistila odpovídající záruky ochrany. Orgány konstatovaly, že mateřská společnost žalované sídlící v USA podléhá americkým právním předpisům a je povinna poskytovat data státním orgánům USA, přičemž právní úprava ve Spojených státech amerických neposkytuje srovnatelnou úroveň ochrany osobních údajů jako právo Evropské unie. Standardní smluvní doložky ani dodatečná opatření žalované podle závěrů dozorových orgánů nedokázaly tato rizika eliminovat. IE DPA proto žalované nařídil pozastavení předávání osobních údajů uživatelů do USA prostřednictvím služby , Anonymizováno, . S těmito postupy žalované pak souvisí i důvodná obava žalobce týkající se tvrzené ztráty kontroly nad jeho osobními údaji, které byly předávány do USA.8. K povaze způsobené újmy pak žalobce uvedl, že není nutné prokazovat závažné následky porušení povinností při zpracování osobních údajů, neboť podle rozsudku Soudní