10 C 81/2024-463 — Obvodní soud pro Prahu 5

1. Žalobce se žalobou podanou zdejšímu soudu dne , datum, domáhal náhrady nemajetkové újmy ve výši , částka, . V odůvodnění žaloby uvedl, že je od roku 2014 uživatelem sociální sítě , Anonymizováno, , kterou žalovaná provozuje, pod uživatelským jménem , Jméno žalobce, , s kontaktním e-mailem , e-mail, . Za tu dobu o žalobci , Anonymizováno, získal extrémní množství informací, jak o obsahu zpráv, tak o veškeré aktivitě žalobce na Facebooku, o užitých IP adresách, lokalitách, zjištěných preferencích, účastech na akcích, vyhledáváních, reakcích na reklamy na , Anonymizováno, i mimo něj apod. Dle žalobce velikost souboru s údaji o užití , Anonymizováno, , a to jen těch, které , Anonymizováno, poskytuje, činí několik GB, což je zhruba ekvivalent několika tisíc elektronických knih. Rozhodně se tak nejedná pouze o to, co žalobce sám sdílel, takto sdílené informace tvoří naprosto zanedbatelnou část zpracovávaných dat, které jsou všechny pro jejich vztah k žalobci, který je pro žalovanou identifikovaný, jeho osobními údaji. Žalobce měl obecné povědomí o skutečnostech, že žalovaná prostřednictvím sociální sítě , Anonymizováno, zpracovává jeho osobní údaje. Nejedná se přitom pouze, jak činí laická představa, o několik sdílených příspěvků. , Anonymizováno, sbírá téměř nekonečné množství informací o aktivitě uživatele, jeho zařízení, preferencích, přátelích, geografické poloze, obsahu soukromých zpráv apod. Žalobce velmi zasáhlo, když se dozvěděl o flagrantním porušování pravidel ochrany osobních údajů ze strany žalované ve vztahu k sociální síti , Anonymizováno, , čímž byly dotčeny také osobní údaje žalobce. Podle žalobce toto porušování spočívá ve zpracování údajů bez souhlasu se zpracováním osobních údajů, ač povaha zpracování získání souhlasu vyžadovala, neplnění informační povinnosti dle GDPR, stejně jako předávání údajů do USA bez jejich zabezpečení, a následně téměř roční ignorování rozhodnutí dozorových úřadů. Žalobce se přitom sám nemůže užití , Anonymizováno, vyhnout, jelikož s ohledem na dominantní postavení , Anonymizováno, , kdy má žalovaná na poli sociálních sítí masově užívaných v České republice prakticky monopol, by bez jeho užití, spolu s nástrojem , Anonymizováno, , nebyl schopen komunikovat se svými přáteli a rodinnými příslušníky. Tím by totiž bylo dotčeno jeho právo na svobodu vyjadřování a právo na informace, jak bylo dovozeno Evropským sborem pro ochranu osobních údajů („EDPB“) v Závazném rozhodnutí EDPB č. 3/2022 o sporu předloženém IE DPA ve vztahu k , Anonymizováno, , Anonymizováno, , Anonymizováno, , Anonymizováno, a její službě , Anonymizováno, ze dne , datum, . Žalobce zakládá své přesvědčení o porušení svých práv na ochranu osobních údajů na v žalobě uvedených pěti rozhodnutích EDPB a , Anonymizováno, , Anonymizováno, pro ochranu osobních údajů („IE DPA“). Ve všech těchto případech jsou přitom rozhodnutí IE DPA založena na závazném rozhodnutí EDPB, jehož členem je také český , právnická osoba, , přičemž jsou posuzována práva vyplývající z harmonizované úpravy obsažené v GDPR, citovaná rozhodnutí jsou tak dle názoru žalobce plně aplikovatelná také v prostředí České republiky. Žalobci tak byla, v souvislosti s nezákonným a netransparentním zpracováním jeho osobních údajů, způsobena nemajetková újma, a to spočívající jednak v nezákonném zpracování jeho velmi citlivých osobních údajů bez získání jeho souhlasu, který byl nezbytný a jednak ve ztrátě kontroly nad jeho údaji a ztrátě schopnosti uplatňovat volby týkající se zpracování osobních údajů žalobce. Osobní údaje žalobce byly zpracovány ve velkém rozsahu, zcela protiprávně, a jelikož o jejich zpracování nebyl řádně informován, nemohl takové zpracování ovlivnit ani na ně uplatnit jakýkoli vliv. Žalobce uvedl, že neví, co se dělo s jeho osobními údaji po předání do USA, a tedy ani neví, kdo všechno k jeho údajům získal přístup, za jakým účelem byly využity, a zda takové využití dále trvá či nikoli. Žalovaná porušila své povinnosti ve vztahu k několika gigabytům údajů žalobce, často velmi citlivým. Tohoto se dopouštěla minimálně s hrubou nedbalostí, vědomě a s cílem dosažení zisku prostřednictvím takového nezákonného zpracování. Tímto se dopustila porušení práv žalobce značné intenzity a za tímto jednáním způsobenou újmu má žalobce dle svého názoru nárok na finanční kompenzaci minimálně ve výši , částka, , ač žaluje částku nižší. Žalobce vyzval žalovanou k náhradě nemajetkové újmy předžalobní výzvou ze dne , datum, , na kterou žalovaná odpověděla dne , datum, s tím, že nároky žalobce odmítla.2. Z důvodu porušování pravidel ochrany osobních údajů žalovanou se žalobce domáhá ochrany svých práv a náhrady způsobené nemajetkové újmy ve výši , částka, .3. Žalovaná se k žalobě vyjádřila svým podáním ze dne 22. 7. 2024 tak, že s žalobou nesouhlasí, a navrhla její zamítnutí. Dle názoru žalované žaloba představuje zjevný pokus o zneužití nařízení GDPR k získání nahodile určeného peněžitého plnění, aniž by se žalobce vůbec pokusil prokázat porušení GDPR či vznik peněžité nebo nepeněžité újmy. Vyčíslení nárokované částky zcela chybí. Dle žalované žalobce jasně nespecifikuje ustanovení GDPR, která byla údajně porušena, a nejsou v ní uvedeny jakékoli skutečnosti nebo okolnosti specifické pro žalobce, které by mohly zakládat nárok ve vztahu k porušení takových ustanovení. Rozhodnutí, na která se žalobce odkazuje, jsou pouze zobecněné závěry, které nemají žádný konkrétní vztah k okolnostem žalobce. Vnitrostátní civilní soud má přitom povinnost nezávisle posoudit údajná porušení GDPR a určit, zda danému jednotlivci skutečně byla takovým porušením způsobena újma. Žalovaná namítala, že žalobce netvrdí žádnou skutečnou a konkrétní újmu, místo toho poukazuje pouze na své povědomí o správních zjištěních jakožto základ pro svůj nárok na odškodnění. I za předpokladu, že by žalobce mohl prokázat porušení GDPR, pouhé porušení GDPR samo o sobě nezakládá nárok na odškodnění. Žalobce musí prokázat vznik individualizované újmy, na což zcela rezignoval. Žalovaná dále uvedla, že od doby, kdy nařízení GDPR vstoupilo v platnost, měla vždy platný právní základ pro zpracování údajů žalobce pro dotčené zpracování. Právní základ Žalované pro dotčené zpracování se postupem času měnil podle toho, jak se vyvíjel výklad GDPR. Žalovaná odmítla, že by z její strany došlo k porušení čl. 6 GDPR. Před 5. 4. 2023 se žalovaná pro dotčené zpracování primárně spoléhala na právní základ plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR). Nařízení GDPR zavedlo nový a odlišný právní režim a správci údajů museli přezkoumat a posoudit své postupy při zpracování a právní základy, aby určili vhodný přístup podle nového nařízení. Stejně jako mnozí jiní poskytovatelé služeb a další podniky Žalovaná dne 19. 4. 2018 aktualizovala Podmínky používání služby , Anonymizováno, a související informaci o ochraně osobních údajů (tehdy označovanou jako „, jméno FO, “), aby jako správce údajů provedla změny v souladu se svými novými povinnostmi podle GDPR, které následně nabyly účinnosti dne 25. 5. 2018. Od 5. 4. 2023 do začátku listopadu 2023 se Žalovaná spoléhala na oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) ve vztahu k dotčenému zpracování. Před touto změnou žalovaná dotčeným uživatelům poskytla upozornění a informace o dalších možnostech týkajících se dotčeného zpracování. Žalovaná také aktualizovala Podmínky používání služby , Anonymizováno, a související informaci o ochraně osobních údajů (v tu dobu označovanou jako „, adresa, ochrany osobních údajů“), aby zohlednila změnu právního základu pro dotčené zpracování. Od začátku listopadu 2023 se žalovaná spoléhá na souhlas (čl. 6 odst. 1 písm. a) GDPR) pro dotčené zpracování. Dne , datum, žalovaná oznámila, že zavede novou možnost předplatného, která uživatelům Facebooku v EU/EHP starším 18 let umožní zvolit, zda žalovaná bude zpracovávat jejich údaje pro účely reklamy (dále jen „Model souhlasu“). Následně od 3. 11. 2023 začala žalovaná v EU/EHP tento Model souhlasu používat a vyzývala uživatele prostřednictvím oznámení v rámci platformy , Anonymizováno, , aby se rozhodli buď nadále používat , Anonymizováno, zdarma a souhlasit s tím, aby žalovaná používala informace o nich shromážděné na produktech , Anonymizováno, , Anonymizováno, pro účely reklamy, nebo se rozhodli předplatit si za měsíční předplatné službu , Anonymizováno, bez reklam, přičemž v takovém případě by informace o nich nebyly použity pro reklamy. Uživatelé si také nemusí zvolit ani jednu z těchto možností a místo toho opustit , Anonymizováno, odstraněním svého účtu (či účtů) s tím, že si mohou stáhnout informace o svém účtu předtím, než tak učiní. Tato změna právního základu pro dotčené zpracování se odráží v aktualizovaných Zásadách ochrany osobních údajů žalované, které vysvětlují, že žalovaná zpracovává informace uživatelů za účelem „[p]ersonalizace reklam v produktech společnosti , Anonymizováno, […] pokud nám k tomu [udělí] souhlas […]“. Zásady ochrany osobních údajů také vysvětlují, že uživat