62024CC0526 – stanovisko GA

62024CC0526  STANOVISKO GENERÁLNÍHO ADVOKÁTA MACIEJE SZPUNARA přednesené dne 18. září 2025 ( 1 ) Věc C‑526/24 Brillen Rottler GmbH & Co. KG proti TC [žádost o rozhodnutí o předběžné otázce, kterou podal Amtsgericht Arnsberg (Okresní soud v Arnsbergu, Německo)] „Řízení o předběžné otázce – Nařízení (EU) 2016/679 – Ochrana osobních údajů – Žádost subjektu údajů o přístup k osobním údajům, které se jej týkají – Právo správce odmítnout žádosti vyhovět – Nepřiměřenost žádosti – Zneužití práva – Právo na náhradu újmy – Událost, jež vedla ke vzniku újmy“ I. Úvod 1. Pokud právní řád přiznává jednotlivci subjektivní právo, musí být výkon tohoto práva v zásadě považován za oprávněný. Pokud však způsob výkonu tohoto práva není slučitelný s cíli ustanovení, které jej zakotvuje, mohou být právním řádem stanoveny meze, zejména prostřednictvím mechanismu zneužití práva ( 2 ). 2. Stejně tak v unijním právu existuje obecná právní zásada, podle níž se právní subjekty nemohou podvodně nebo zneužívajícím způsobem dovolávat unijních právních norem a která se použije rovněž v soukromoprávních vztazích ( 3 ). 3. Projednávaná věc se týká konkrétního vyjádření této zásady v sekundárním právu, konkrétně v rámci private enforcement nařízení (EU) 2016/679 ( 4 ) (dále jen „GDPR“). Soudní dvůr je žádán, aby upřesnil zejména meze výkonu práva na přístup a práva na náhradu újmy, kterých se subjekt údajů údajně zneužívajícím způsobem dovolává vůči soukromoprávnímu podniku jakožto správci. II. Unijní právo: GDPR 4. Body 10, 11, 60, 63, 141 a 146 odůvodnění GDPR uvádějí: „(10) S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. [...] (11) Účinná ochrana osobních údajů v celé Unii vyžaduje nejen posílení a podrobné vymezení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují [...] [...] (60) Zásady spravedlivého a transparentního zpracování vyžadují, aby byl subjekt údajů informován o probíhající operaci zpracování a jejích účelech. Správce by měl subjektu údajů poskytnout veškeré další informace nezbytné pro zajištění spravedlivého a transparentního zpracování, s přihlédnutím ke konkrétním okolnostem a kontextu, v němž jsou osobní údaje zpracovávány. [...] [...] (63) Subjekt údajů by měl mít právo na přístup ke shromážděným osobním údajům, které se ho týkají, a měl by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byl o jejich zpracování informován a mohl si ověřit jeho zákonnost. [...] Každý subjekt údajů by proto měl mít právo vědět a být informován zejména o tom, za jakým účelem se osobní údaje zpracovávají, případně období, po které budou uchovávány, kdo jsou příjemci osobních údajů, v čem spočívá logika automatizovaného zpracování osobních údajů a jaké mohou být důsledky takového zpracování přinejmenším v případech, kdy je zpracování založeno na profilování. [...] [...] (141) Každý subjekt údajů by měl mít právo podat stížnost u jediného dozorové[ho] úřadu, zejména v členském státě, kde má své obvyklé bydliště, a právo na účinnou soudní ochranu v souladu s článkem 47 [Listiny základních práv Evropské unie], jestliže se domnívá, že byla porušena jeho práva podle tohoto nařízení [...] [...] (146) Veškerou újmu, která může osobám vzniknout v důsledku zpracování, které porušuje toto nařízení, by měl nahradit správce nebo zpracovatel. Správce nebo zpracovatel by však měl být odpovědnosti zproštěn, pokud prokáže, že za újmu nenese žádným způsobem odpovědnost. Výklad pojmu ‚újma‘ by měl být široký a opírat se o judikaturu Soudního dvora při plném zohlednění cílů tohoto nařízení. [...] Subjekty údajů by měly obdržet plnou a účinnou náhradu újmy, kterou utrpěly. [...]“ 5. Článek 4 bod 2 tohoto nařízení definuje pojem „zpracování“ jako „[jakoukoliv operaci] nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“. 6. Článek 12 uvedeného nařízení, nadepsaný „Transparentní informace, sdělení a postupy pro výkon práv subjektu údajů“ v odstavcích 1 a 5 stanoví: „1.   Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování [...]. [...] 5.   Informace podle článků 13 a 14 a veškerá sdělení se poskytují a veškerá opatření podle článků 15 až 22 a 34 se přijímají bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď: a) uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s přijetím požadovaných opatření; nebo b) odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce. [...]“ 7. Článek 15 téhož nařízení, nadepsaný „Právo subjektu údajů na přístup“, v odstavci 1 stanoví: „Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům [...]“ 8. Článek 57 GDPR, nadepsaný „Úkoly“, v odstavci 4 stanoví: „Jestliže jsou požadavky zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může dozorový úřad uložit přiměřený poplatek na základě svých administrativních nákladů nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá dozorový úřad.“ 9. Článek 79 tohoto nařízení, nadepsaný „Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“, v odstavci 1 stanoví: „Aniž je dotčena jakákoli dostupná správní či mimosoudní ochrana, včetně práva na podání stížnosti u dozorového úřadu podle článku 77, má každý subjekt údajů právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením. [...]“ 10. Článek 80 uvedeného nařízení, nadepsaný „Zastupování subjektů údajů“, v odstavci 2 stanoví: „Členské státy mohou stanovit, že jakýkoliv subjekt, organizace nebo sdružení uvedené v odstavci 1 tohoto článku má bez ohledu na pověření od subjektu údajů právo podat v daném členském státě stížnost u dozorového úřadu příslušného podle článku 77 a vykonávat práva uvedená v článcích 78 a 79, pokud se domnívá, že v důsledku zpracování byla porušena práva subjektu údajů podle tohoto nařízení.“ 11. Článek 82 téhož nařízení, nadepsaný „Právo na náhradu újmy a odpovědnost“, v odstavcích 1 až 3 stanoví: „1.   Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy. 2.   Správce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení. Zpracovatel je za újmu způsobenou zpracováním odpovědný pouze v případě, že nesplnil povinnosti stanovené tímto nařízením konkrétně pro zpracovatele nebo že jednal nad rámec zákonných pokynů správce nebo v rozporu s nimi. 3.   Správce nebo zpracovatel jsou odpovědnosti podle odstavce 2 zproštěni, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla.“ III. Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem 12. V březnu 2023 se TC, žalovaný v původním řízení, fyzická osoba žijící ve Vídni (Rakousko), přihlásil k odběru informačního bulletinu společnosti Brillen Rottler GmbH & Co. KG (dále jen „Brillen Rottler“), která je rodinnou optikou se sídlem v Arnsbergu (Německo). Do přihlašovacího formuláře na internetové stránce společnosti zadal své osobní údaje a potvrdil svůj souhlas se zpracováním těchto údajů. Po třinácti dnech zaslal žalovaný v původním řízení společnosti Brillen Rottler žádost o přístup podle článku 15 GDPR. 13. Společnost Brillen Rottler tuto žádost ve stanovené lhůtě odmítla, neboť měla za to, že se jedná o zneužití práva ve smyslu čl. 12 odst. 5 druhé věty GDPR, a vyzvala žalovaného v původním řízení, aby od ní s konečnou platností upustil. Žalovaný na své žádosti o přístup trval a připojil k ní návrh na náhradu újmy podle článku 82 tohoto nařízení ve výši 1000 eur. 14. Společnost Brillen Rottler se obrátila na předkládající soud s návrhem na určení, že žalovaný v původním řízení není oprávněn požadovat náhradu újmy. Tvrdila, že z různých on-line reportáží a příspěvků z blogů advokátů vyplývá, že žalovaný v původním řízení systematicky a zneužívajícím způsobem podává žádosti o přístup, a to pouze s cílem získat náhradu újmy na základě tvrzení o porušení GDPR, které záměrně způsobuje podle stejného modu operandi: přihlášení se k odběru informačního bulletinu, podání žádosti o přístup a následně návrhu na náhrady újmy. 15. Dne 25. září 2023 podal žalovaný k předkládajícímu soudu vzájemnou žalobu, kterou se domáhal, aby bylo společnosti Brillen Rottler uloženo poskytnout mu přístup k informacím týkajícím se zpracování jeho údajů a zaplatit mu náhradu podle článku 82 GDPR za utrpěnou nehmotnou újmu. Tvrdil, že jeho právo na přístup podle článku 15 tohoto nařízení může být vykonáváno bezpodmínečně a pravidelně pobývá v Německu, takže má oprávněný zájem odebírat informační bulletin společnosti Brillen Rottler. 16. Předkládající soud má za to, že s ohledem na zásadu transparentnosti zpracování osobních údajů by omezení práva na přístup v případě první žádosti mělo zůstat výjimečné a skutečnost, že úmyslem žadatele je následně získat náhradu újmy, nemůže být dostatečným důvodem pro odmítnutí. Tento soud zastává názor, že vzhledem k riziku, že by správce údajů mohl zneužít této možnosti odmítnutí, nemůže odkaz na veřejné informace prokazující, že subjekt údajů je autorem řady žádostí, sám o sobě postačovat k odůvodnění odmítnutí žádosti o přístup. 17. Pokud jde o právo na náhradu újmy, předkládající soud má za to, že jakékoli porušení GDPR správcem může zakládat nárok na náhradu újmy i v případě, že nedošlo ke zpracování údajů. Subjekt údajů tedy může odvozovat právo na náhradu újmy podle čl. 82 odst. 1 GDPR i z porušení práva na přístup. 18. Za těchto okolností se Amtsgericht Arnsberg (Okresní soud v Arnsbergu, Německo) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky: „1) Musí být čl. 12 odst. 5 druhá věta [GDPR] vykládán v tom smyslu, že v případě první žádosti o přístup k osobním údajům, kterou subjekt údajů předloží správci, se nemůže jednat o nepřiměřenou žádost? 2) Musí být čl. 12 odst. 5 druhá věta [GDPR] vykládán v tom smyslu, že správce může odmítnout vyhovět žádosti subjektu údajů o přístup k osobním údajům, pokud ji subjekt podal proto, aby mohl následně získat náhradu újmy od správce? 3) Musí být čl. 12 odst. 5 druhá věta [GDPR] vykládán v tom smyslu, že veřejně dostupné informace o subjektu údajů, na jejichž základě lze dospět k závěru, že při porušení práva na ochranu údajů uplatňuje subjekt údajů v mnoha případech nárok na náhradu újmy vůči správci, mohou odůvodnit odmítnutí vyhovět žádosti? 4) Musí být čl. 4 bod 2 [GDPR] vykládán v tom smyslu, že žádost o přístup k osobním údajům předložená správci subjektem údajů podle čl. 15 odst. 1 tohoto nařízení nebo odpověď na ni představují ‚zpracování‘ ve smyslu čl. 4 bodu 2 [GDPR]? 5) Musí být čl. 82 odst. 1 [GDPR] s přihlédnutím k bodu 146 první větě odůvodnění tohoto nařízení vykládán v tom smyslu, že nahradit lze pouze takovou újmu, která subjektu údajů vznikla v důsledku zpracování? Znamená to, že pro vznik nároku na náhradu újmy podle čl. 82 odst. 1 [GDPR] je nutná – za předpokladu existence příčinné souvislosti s újmou, kterou utrpěl subjekt údajů – existence předchozího zpracování jeho osobních údajů? 6) V případě kladné odpovědi na pátou otázku: Znamená to tedy, že subjekt údajů nemá – za předpokladu existence příčinné souvislosti s újmou – z důvodu samotného porušení práva na přístup k osobním údajům podle čl. 15 odst. 1 [GDPR] právo na náhradu újmy podle čl. 82 odst. 1 tohoto nařízení? 7) Musí být čl. 82 odst. 1 [GDPR] vykládán v tom smyslu, že námitka zneužití práva vznesená správcem ve vztahu k žádosti subjektu údajů o přístup k jeho osobním údajům nemůže s přihlédnutím k unijnímu právu spočívat v tom, že subjekt údajů sám vyvolal zpracování svých osobních údajů pouze proto, nebo mimo jiné proto, aby mohl uplatnit nároky na náhradu újmy? 8) V případě záporné odpovědi na pátou a šestou otázku: Představuje již samotná ztráta kontroly nebo nejistota subjektu údajů ohledně zpracování jeho osobních údajů, která je spojena s porušením čl. 15 odst. 1 [GDPR], nehmotnou újmu subjektu údajů ve smyslu čl. 82 odst. 1 tohoto nařízení, nebo je kromě toho vyžadováno další (objektivní nebo subjektivní) omezení nebo (citelné) dotčení subjektu údajů?“ 19. Společnost Brillen Rottler, žalovaný v původním řízení a Evropská komise předložili písemná vyjádření a zúčastnili se jednání konaného dne 5. června 2025. 20. V souladu se žádostí Soudního dvora se toto stanovisko zaměří na analýzu první až sedmé předběžné otázky. IV. Analýza A.   K první, druhé, třetí a sedmé předběžné otázce 1. K přeformulování otázek 21. Podstatou první, druhé a třetí otázky předkládajícího soudu, které lze podle mého názoru projednat společně, je, zda lze první žádost o přístup kvalifikovat jako „nepřiměřenou“ ve smyslu čl. 12 odst. 5 druhé věty GDPR, pokud ji subjekt údajů podal, aby mohl následně získat náhradu újmy od správce, a pokud z veřejně dostupných informací vyplývá, že při porušení práva na ochranu údajů uplatnil subjekt údajů v mnoha případech nárok na náhradu újmy vůči správci. 22. Podstatou sedmé otázky tohoto soudu je, zda čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že námitka zneužití práva vznesená správcem ve vztahu k žádosti subjektu údajů o přístup k jeho osobním údajům nemůže spočívat v tom, že subjekt údajů sám vyvolal zpracování svých osobních údajů pouze proto, nebo mimo jiné proto, aby mohl uplatnit nároky na náhradu újmy. 23. Ačkoli se tato otázka formálně týká výkladu čl. 82 odst. 1 GDPR, mám za to, že jejím cílem není vykládat podmínky práva na náhradu újmy zakotveného v tomto ustanovení. Neodkazuje totiž na žádnou z těchto podmínek, na rozdíl od čtvrté, páté, šesté a osmé předběžné otázky, které se týkají přesně uvedeného ustanovení. Sedmá předběžná otázka, tak jak byla formulována, má podle mého názoru za cíl objasnit, zda se správce může dovolávat nepřiměřenosti žádosti o přístup ve smyslu čl. 12 odst. 5 druhé věty tohoto nařízení, pokud je záměrem subjektu údajů „vyvolat“ zpracování svých údajů za účelem uplatnění nároků na náhradu újmy. 24. Je tedy třeba mít za to, že podstatou sedmé otázky předkládajícího soudu je modus operandi, který podle společnosti Brillen Rottler využívá žalovaný v původním řízení, když udělí souhlas se zpracováním svých údajů přihlášením se k odběru informačního bulletinu, aby mohl podat žádost o přístup a následně podat návrh na náhradu újmy. Z tohoto úhlu pohledu se tato otázka týká výkladu čl. 12 odst. 5 druhé věty GDPR, na který je zaměřena první, druhá a třetí předběžná otázka. 25. Navrhuji tedy posoudit první, druhou, třetí a sedmou předběžnou otázku společně tak, že jejich cílem je určit, zda čl. 12 odst. 5 druhá věta GDPR musí být vykládán v tom smyslu, že první žádost o přístup podaná na základě článku 15 tohoto nařízení ke správci může být kvalifikována jako „nepřiměřená“, pokud: – subjekt údajů udělil souhlas se zpracováním svých údajů, aby mohl tuto žádost o přístup podat a následně požadovat náhradu újmy; – z veřejně dostupných informací vyplývá, že při porušení práva na ochranu údajů uplatnil subjekt údajů v mnoha případech nárok na náhradu újmy vůči správci. 2. Analýza a) K nepřiměřenosti první žádosti o přístup 26. Článek 12 odst. 5 první věta GDPR stanoví, že „[i]nformace podle článků 13 a 14 a veškerá sdělení se poskytují a veškerá opatření podle článků 15 až 22 a 34 se přijímají bezplatně“. Jak Soudní dvůr uvedl v rozsudku FT (Kopie zdravotnické dokumentace) ( 5 ), toto ustanovení stanoví zásadu, podle níž výkon zejména práva subjektu údajů na přístup k jeho údajům, které jsou předmětem zpracování, a k informacím, které jsou s nimi spojeny, podle článku 15 tohoto nařízení, není pro subjekt údajů spojen s žádnými poplatky. 27. V článku 12 odst. 5 druhé a třetí větě GDPR jsou pak uvedeny dva důvody, proč může správce buď účtovat přiměřený poplatek zohledňující administrativní náklady, nebo odmítnout vyhovět žádosti o přístup: pokud doloží, že žádosti subjektu údajů jsou „zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují“. 28. Ze znění tohoto ustanovení tak vyplývá, že žádost o přístup může být „nepřiměřená“ nejen v případě podání několika žádostí, neboť opakující se povaha je zde uvedena pouze demonstrativně. 29. Ačkoli tedy podle mého názoru nelze vyloučit, že by první žádost o přístup mohla být považována za nepřiměřenou, sdílím nicméně názor předkládajícího soudu, podle kterého se správce může dovolávat takové nepřiměřenosti pouze výjimečně. 30. Zaprvé vzhledem k tomu, že druhá věta čl. 12 odst. 5 GDPR zavádí výjimku ze zásady bezplatného výkonu práva na přístup, musí být možnost správce účtovat přiměřený poplatek nebo odmítnout vyhovět žádosti o přístup vykládána podle obecné výkladové zásady ( 6 ) restriktivně ( 7 ). 31. Zadruhé připomínám zásadní význam, který má právo na přístup stanovené v článku 15 GDPR pro zajištění transparentnosti způsobu zpracování osobních údajů a tím i výkonu řady dalších práv přiznaných tímto nařízením subjektům údajů ( 8 ). Kromě toho čl. 8 odst. 2 druhá věta Listiny základních práv zakotvuje zásadu, podle které „[k]aždý má právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu“. Výkon práva na přístup tedy nemůže podléhat příliš přísným podmínkám ( 9 ). 32. Toto právo na přístup je totiž nezbytné k tomu, aby subjekt údajů mohl případně využít právo na opravu, právo na výmaz („právo být zapomenut“) a právo na omezení zpracování, která mu přiznávají články 16 až 18 GDPR, právo na námitku proti zpracování svých osobních údajů stanovené v článku 21 tohoto nařízení, jakož i právo na soudní ochranu a na náhradu újmy, zakotvená v článcích 79 a 82 uvedeného nařízení ( 10 ). 33. Zatřetí výjimečná povaha možnosti účtovat přiměřené náklady nebo odmítnout vyhovět žádosti o přístup podle čl. 12 odst. 5 druhé věty GDPR je podle mého názoru v souladu s účelem tohoto nařízení. Cílem uvedeného nařízení je, jak uvádí body 10 a 11 jeho odůvodnění, zajistit soudržnou a vysokou úroveň ochrany fyzických osob v rámci Unie a posílit a podrobně vymezit nejen práva subjektů údajů ( 11 ), ale i povinnosti těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují. 34. S ohledem na výše uvedené mám za to, že kritéria pro kvalifikování první žádosti o přístup jako „nepřiměřené“ musí být přísná. b) K okolnostem umožňujícím kvalifikovat žádost jako „nepřiměřenou“ 35. Z rozsudku FT ( 12 ) vyplývá, že oba důvody zavádějící výjimku ze zásady bezplatnosti, mimo jiné ve vztahu k výkonu práva na přístup, se týkají případů „zneužití práva“. 36. Soudní dvůr však v tomto rozsudku rozsah tohoto pojmu neupřesnil. V této věci bylo totiž nesporné, že žádost subjektu údajů nebyla zneužívající povahy ( 13 ). 37. Základem rozsudku FT byla žádost pacienta směřující k bezplatnému získání první kopie jeho zdravotnické dokumentace od jeho zubního lékaře za účelem uplatnění nároku z odpovědnosti tohoto lékaře z důvodu údajných pochybení při ošetření ( 14 ). Zcela legitimním úmyslem pacienta tedy bylo získat přístup k jeho údajům, aby mohl případně uplatnit práva vyplývající ze smlouvy o lékařském ošetření v případě pochybení při ošetření. V tomto kontextu Soudní dvůr na základě jazykového, kontextuálního a teleologického výkladu čl. 12 odst. 5 a článku 15 GDPR dospěl k závěru, že není nutné uvést některý ze zvláštních důvodů odůvodňujících žádost o přístup uvedených v bodě 63 první větě odůvodnění tohoto nařízení, a to seznámit se se zpracováním údajů a ověřit jeho zákonnost ( 15 ). 38. Ačkoli tedy po subjektu údajů nelze požadovat, aby svou žádost o přístup odůvodnil, neznamená to, že zohlednění jeho úmyslu je vždy vyloučeno. 39. V rozsudku Österreichische Datenschutzbehörde totiž Soudní dvůr na základě jazykového, kontextuálního a teleologického výkladu čl. 57 odst. 4 GDPR rozhodl, že konstatování existence nepřiměřených stížností vyžaduje, aby byla s ohledem na všechny relevantní okolnosti každého jednotlivého případu prokázána existence zneužívajícího úmyslu ze strany subjektu údajů, který se obrací na dozorový úřad ( 16 ). 40. Podotýkám, že čl. 57 odst. 4 a čl. 12 odst. 5 druhá věta GDPR mají stejné znění a sledují stejný cíl, a sice stanovit výjimku ze zásady bezplatnosti plnění úkolů dozorových úřadů a výkonu zejména práva subjektu údajů na přístup. Jsem proto toho názoru, že výklad uvedený v předchozím bodě se použije obdobně na posledně uvedené ustanovení ( 17 ). 41. Z toho vyplývá, že aby mohl správce využít možnosti odmítnout vyhovět nepřiměřené žádosti o přístup poskytnuté v čl. 12 odst. 5 druhé větě GDPR – nebo případně požadovat přiměřený poplatek – musí v souladu s třetí větou tohoto ustanovení doložit s ohledem na všechny relevantní okolnosti každé žádosti zneužívající úmysl subjektu údajů. 42. Zneužití práva je mechanismus, který se uplatňuje za daných okolností projednávaného případu. Je tak na předkládajícím soudu, aby ověřil, zda s ohledem na okolnosti projednávané věci společnost Brillen Rottler doložila nepřiměřenost žádosti o přístup podané žalovaným v původním řízení ( 18 ). 43. Úkolem Soudního dvora v oblasti výkladu je naproti tomu objasnit, zda určité okolnosti spadají pod obecný právní pojem „nepřiměřená povaha“. 44. Konkrétně se předkládající soud táže, zda lze první žádost o přístup považovat za nepřiměřenou, pokud subjekt údajů uplatňuje modus operandi spočívající v tom, že povolí zpracování svých údajů a následně podá žádost o přístup pouze – nebo zejména – za účelem uplatnění nároků na náhradu újmy, a pokud z veřejně dostupných informací vyplývá, že při porušení práva na ochranu údajů subjekt údajů uplatnil v mnoha případech nárok na náhradu újmy vůči správci. 45. V tomto ohledu Soudní dvůr v rozsudku Österreichische Datenschutzbehörde uvedl, že čl. 57 odst. 4 GDPR odráží ustálenou judikaturu týkající se obecné právní zásady, podle níž se právní subjekty nemohou podvodně nebo zneužívajícím způsobem dovolávat unijních právních norem ( 19 ). Tato judikatura stanoví dvoufázové posouzení, které k prokázání existence zneužívající praktiky vyžaduje přítomnost objektivního a subjektivního prvku ( 20 ). Jak jsem však již uvedl ( 21 ), pokud se jeví, že cíle sledovaného unijní právní úpravou bylo a priori dosaženo, je vhodné začít analýzu nikoliv objektivním prvkem, ale subjektivním prvkem, a tedy určit, jaký byl úmysl subjektu údajů. Vzhledem k tomu, že cílem článku 15 GDPR je zajistit přístup k údajům, které jsou předmětem zpracování, a k souvisejícím informacím, jeví se, že tohoto cíle je v projednávané věci a priori dosaženo, jelikož žalovaný v původním řízení podal žádost o přístup ke zpracovávaným údajům poté, co se přihlásil k odběru informačního bulletinu společnosti Brillen Rottler. 46. V rozsudku Österreichische Datenschutzbehörde Soudní dvůr za účelem výkladu pojmu „nepřiměřenost“ stížnosti uvedl, že konstatovat existenci zneužívajícího úmyslu při výkonu práva na stížnost lze, „pokud určitá osoba podává stížnosti, aniž je to objektivně nezbytné k ochraně práv, která jí vyplývají z [GDPR]“ ( 22 ). Pokud subjekt údajů podá u dozorového úřadu velký počet stížností, musí tento úřad doložit, že „tento počet není vysvětlen snahou subjektu údajů získat ochranu práv, která mu vyplývají z GDPR, ale jiným účelem, který s touto ochranou nesouvisí“ ( 23 ). 47. Vrátím-li se k právu na přístup a v první řadě k úmyslu subjektu údajů „vyvolat“ nárok na náhradu újmy podáním žádosti o přístup, podotýkám, jak vyplývá z bodu 63 odůvodnění GDPR, že může být zcela legitimní a v souladu s cíli sledovanými článkem 15 GDPR podat například žádost o přístup s úmyslem ověřit, zda správce údaje nezpracovává nezákonným způsobem ( 24 ). Kromě toho, jak vyplývá z bodu 32 tohoto stanoviska, právo na přístup je nezbytné k tomu, aby subjekt údajů mohl rovněž případně uplatnit své právo na náhradu újmy. 48. Ve druhé řadě podotýkám, že odůvodnění sedmé předběžné otázky, pokud jde o úmysl subjektu údajů „vyvolat“ zpracování svých osobních údajů pouze – nebo zejména – za účelem získání náhrady újmy, je velmi stručné. Toto odůvodnění spíše odkazuje na předpoklad, že skutečným záměrem subjektu údajů, který udělil souhlas se zpracováním svých údajů, je „odhalit“ porušení GDPR prostřednictvím podání žádosti o přístup za účelem následného podání žádostí o náhradu újmy. 49. S ohledem na tento předpoklad se podle mého názoru jeví, že podáním žádosti o přístup poté, co udělil souhlas se zpracováním svých údajů, si subjekt údajů ve skutečnosti nepřeje získat přístup k těmto údajům nebo informacím uvedeným v článku 15 GDPR, ale využít uspořádání – od počátku příznivé pro subjekty údajů – práv a povinností vyplývajících z tohoto nařízení pro jiné účely, než je ochrana jeho údajů. 50. Tak tomu může být konkrétně v případě, kdy je úmyslem subjektu údajů právě přimět správce k odmítnutí žádosti o přístup s cílem požadovat od něj okamžité vyplacení náhrady újmy, a to případně pod hrozbou podání žaloby na náhradu újmy. S ohledem na tyto okolnosti by měl takový úmysl podle mého názoru zneužívající povahu a neměl by být chráněn GDPR. Ve prospěch toho svědčí i příklady případů zneužití uvedené v pokynech Evropského sboru pro ochranu osobních údajů ( 25 ). 51. Ve třetí řadě, pokud jde o okolnost, že z veřejně dostupných informací vyplývá, že při porušení práva na ochranu údajů subjekt údajů uplatnil v mnoha případech nárok na náhradu újmy vůči správci, mám za to, že tato okolnost sama o sobě nepostačuje k prokázání zneužívajícího úmyslu, nejsou-li dány jiné skutečnosti. Článek 82 GDPR přiznává právě právo požadovat náhradu újmy v případě porušení tohoto nařízení, takže výkon tohoto práva nelze považovat za zneužití. 52. Podotýkám, že v rozsudku ve věci Österreichische Datenschutzbehörde Soudní dvůr rovněž nepovažoval samotný počet žádostí za dostatečné kritérium pro konstatování „nepřiměřené“ povahy. Soudní dvůr dospěl k tomuto závěru na základě výkladu tohoto pojmu s přihlédnutím ke specifickému kontextu úkolů vykonávaných dozorovými úřady za účelem zajištění vysoké úrovně ochrany osobních údajů ( 26 ). Objektivní okolnosti, které je třeba vzít v úvahu, tedy podle mého názoru nejsou stejné pro stížnosti a pro žádosti o přístup, jelikož tyto žádosti nejsou adresovány dozorovému úřadu. 53. V tomto ohledu podotýkám, že správce musí doložit zneužívající úmysl v případě sporu před soudem nebo v případě stížnosti k dozorovému úřadu, tedy poté, co odmítl vyhovět žádosti subjektu údajů. Nicméně právě ve fázi, kdy subjekt údajů podává žádost o přístup, musí správce posoudit, zda úmysl osoby, která podává žádost o přístup, je případně zneužívající. 54. Aby tak mohl správce doložit zneužívající úmysl subjektu údajů s ohledem na všechny relevantní okolnosti projednávané věci, měl by mít možnost vycházet zvláště z předmětu žádosti o přístup, doby, která uplynula mezi souhlasem se zpracováním a touto žádostí, z množství a povahy osobních údajů, kterých se uvedená žádost týká, jakož i z činnosti, v jejímž rámci tyto údaje případně zpracovává ( 27 ). 55. S ohledem na výše uvedené úvahy navrhuji odpovědět na první, druhou, třetí a sedmou předběžnou otázku tak, že čl. 12 odst. 5 druhá věta GDPR musí být vykládán v tom smyslu, že: – první žádost o přístup, podanou u správce na základě článku 15 GDPR, lze kvalifikovat jako „nepřiměřenou“, pokud tento správce s ohledem na všechny relevantní okolnosti projednávané věci doloží zneužívající úmysl subjektu údajů, přičemž takový úmysl lze konstatovat, pokud tento subjekt údajů udělil souhlas se zpracováním svých osobních údajů, aby mohl podat tuto žádost o přístup a následně požádat o náhradu újmy; – pouhá skutečnost, že z veřejně dostupných informací vyplývá, že při porušení práva na ochranu údajů uplatnil subjekt údajů v mnoha případech nárok na náhradu újmy vůči správci, nepostačuje k tomu, aby taková žádost byla kvalifikována jako „nepřiměřená“. B.   Ke čtvrté, páté a šesté předběžné otázce 1. K pořadí analýzy otázek a jejich přeformulování 56. Úvodem zdůrazňuji, že pokud by předkládající soud dospěl k závěru, že žádost o přístup byla nepřiměřená ve smyslu čl. 12 odst. 5 druhé věty GDPR, byla by společnost Brillen Rottler skutečně oprávněna této žádosti nevyhovět. V tomto případě by nemohl obstát argument žalovaného v původním řízení založený na porušení článku 15 GDPR za účelem získání nároku na náhradu újmy podle článku 82 tohoto nařízení. 57. Čtvrtou otázkou se předkládající soud táže, zda čl. 4 bod 2 GDPR musí být vykládán v tom smyslu, že žádost o přístup podaná subjektem údajů správci podle čl. 15 odst. 1 tohoto nařízení nebo odpověď na tuto žádost představují „zpracování“ ve smyslu čl. 4 bodu 2 uvedeného nařízení. 58. Podstatou páté otázky tohoto soudu je, zda čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že nárok na náhradu může vzniknout pouze na základě újmy, kterou utrpěl subjekt údajů v důsledku zpracování svých osobních údajů. V případě kladné odpovědi se uvedený soud svou šestou otázkou táže, zda čl. 82 odst. 1 tohoto nařízení nepřiznává subjektu údajů právo na náhradu újmy utrpěné pouze v důsledku porušení práva na přístup stanoveného v čl. 15 odst. 1 uvedeného nařízení. 59. Pokud jde o pátou předběžnou otázku, ta je podle mého názoru předpokladem pro položení čtvrté a šesté předběžné otázky. Pouze v případě, že je odpovědnost za újmu podle čl. 82 odst. 1 GDPR podmíněna tím, že tato újma vznikla „v důsledku“ zpracování, jak je definováno v čl. 4 bodě 2 tohoto nařízení, je totiž třeba objasnit, zda je v případě porušení práva na přístup zakotveného v čl. 15 odst. 1 uvedeného nařízení tato podmínka splněna. 60. Nejprve tedy provedu analýzu páté předběžné otázky a poté případně analýzu čtvrté a šesté předběžné otázky společně, abych určil, zda čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že újma vzniklá v důsledku porušení práva na přístup je „způsobena zpracováním“ údajů. 2. Analýza a) K události, která vedla ke vzniku újmy, ve smyslu článku 82 GDPR 61. Článek 82 odst. 1 GDPR stanoví, že „kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy“ ( 28 ). 62. Soudní dvůr opakovaně vyložil toto ustanovení v tom smyslu, že pouhé porušení GDPR nestačí k přiznání práva na náhradu újmy subjektu údajů na tomto základě, jelikož toto právo je podmíněno splněním tří kumulativních podmínek, kterými jsou existence „újmy“, ať již hmotné, či nehmotné povahy, porušení ustanovení tohoto nařízení a příčinná souvislost mezi touto újmou a tímto porušením ( 29 ). 63. Předkládající soud má nicméně pochybnosti, pokud jde o bod 146 odůvodnění GDPR, který uvádí, že správce nebo zpracovatel by měl nahradit jakoukoli újmu, kterou může osoba utrpět v důsledku zpracování, které porušuje toto nařízení. Je třeba konstatovat, že jak tomu často je ( 30 ), tento bod odůvodnění se rovněž odráží v samotném znění uvedeného nařízení, a sice v jeho čl. 82 odst. 2, který mimo jiné stanoví, že každý správce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení. 64. Kromě toho odstavec 3 tohoto ustanovení stanoví, že správce nebo případně zpracovatel jsou odpovědnosti podle odstavce 2 zproštěni, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla. 65. Výklad těchto ustanovení skutečně činí obtíže, pokud jde o pochopení jejich vzájemného vztahu a rozsahu působnosti článku 82 GDPR. 66. S ohledem na znění článku 82 GDPR lze mít za to, že na rozdíl od toho, co stanoví odstavec 1 tohoto článku, právo na náhradu újmy způsobené tímto porušením nezakládá jakékoli porušení tohoto nařízení, ale újma musí být přesněji způsobena zpracováním údajů, jež porušuje toto nařízení, jak uvádí odstavec 2 téhož článku. 67. Mám za to, že tento výklad podal Soudní dvůr v několika rozsudcích, počínaje rozsudkem Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) ( 31 ). Upřesňuji však, že ve věcech, v nichž byly vydány tyto rozsudky, skutečně došlo ke zpracování údajů subjektů údajů, takže otázka nezbytnosti existence zpracování, které způsobilo újmu, nebyla relevantní. 68. Historie, cíle a kontext článku 82 GDPR přitom podle mého názoru svědčí proti tomu, aby byl pojem „událost, která ke vzniku újmy vedla“ vykládán restriktivně jako zpracování údajů v rozporu s tímto nařízením, a nikoli jako jakékoliv porušení tohoto nařízení. 69. Zaprvé podotýkám, že odpovídající ustanovení směrnice 95/46/ES ( 32 ), konkrétně její článek 23, ukládalo členským státům povinnost stanovit, že kdokoli, kdo byl poškozen neoprávněným zpracováním nebo jinou činností neslučitelnou s vnitrostátními předpisy přijatými k provedení této směrnice, má právo na náhradu utrpěné škody od správce. 70. Unijní normotvůrce tak v článku 82 GDPR zaprvé upřesnil povahu utrpěné újmy (hmotná nebo nehmotná) a zadruhé stanovil odpovědnost zpracovatele, která nebyla uvedena v článku 23 směrnice 95/46. 71. Pokud by přitom měl být čl. 82 odst. 1 GDPR vykládán ve smyslu uvedeném v bodě 66 tohoto stanoviska, znamenalo by to, že unijní normotvůrce ve srovnání s touto směrnicí omezil rozsah odpovědnosti za újmu v GDPR pouze na protiprávní jednání spočívající ve zpracování údajů v rozporu s tímto nařízením. Domnívám se však, že pokud by normotvůrce zamýšlel snížit úroveň ochrany údajů v rámci private enforcement podle uvedeného nařízení, odrazilo by se to jasněji v samotném textu tohoto nařízení. 72. Zadruhé snížení úrovně ochrany by bylo v rozporu s cílem GDPR posílit a upřesnit práva subjektů údajů zejména prostřednictvím posílení nástrojů k zajištění efektivity ustanovení tohoto nařízení ( 33 ). 73. Historie a cíl právní úpravy, jejíž součástí je článek 82 GDPR, proto podle mého názoru svědčí pro to, aby byl odstavec 2 tohoto článku vykládán nikoli jako omezení odstavce 1, ale jako doplňující pravidlo. Mám tedy za to, že nárok na náhradu újmy vzniká v případě, že utrpěná újma vyplývá buď ze zpracování údajů, které porušuje toto nařízení, nebo z jiného porušení uvedeného nařízení, a to za podmínky, že je existence takové újmy doložena. 74. Tento výklad je rovněž slučitelný se závěrem, který Soudní dvůr vyvodil z kombinovaného výkladu odstavců 1 až 3 článku 82 GDPR s ohledem na kontext tohoto ustanovení a cíle sledované tímto nařízením, a sice že tento článek stanoví režim odpovědnosti za zavinění, v jehož rámci nese důkazní břemeno správce ( 34 ). Vzhledem k tomu, že podle mého názoru odstavec 2 článku 82 uvedeného nařízení doplňuje odstavec 1, totiž odkaz na tento odstavec 2 v odstavci 3, který ukládá důkazní břemeno správci, obsahuje implicitně i odkaz na odstavec 1. Bez ohledu na to, zda je újma způsobena porušením GDPR, nebo konkrétně zpracováním, které porušuje toto nařízení, použijí se stejná pravidla. 75. Zatřetí je tento závěr podpořen skutečností, že Soudní dvůr vyložil spíše extenzivně jiná ustanovení GDPR, která jsou podobně jako článek 82 obsažena v kapitole VIII tohoto nařízení, nadepsané „Právní ochrana, odpovědnost a sankce“, a která zmiňují porušení práv přiznaných uvedeným nařízením „v důsledku zpracování“. Pokud jde o čl. 80 odst. 2 téhož nařízení, který upravuje aktivní legitimaci pro zástupnou žalobu bez ohledu na pověření udělené subjektem údajů, Soudní dvůr vyložil toto ustanovení v tom smyslu, že je třeba tvrdit, že k porušení práv přiznaných GDPR „dochází v souvislosti“ se zpracováním ( 35 ). 76. Kromě toho čl. 79 odst. 1 GDPR stanoví, že každý subjekt údajů má právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením. Podle judikatury Soudního dvora musí být konkrétní pravidla uplatňování tohoto procesního prostředku stanovena v souladu s právem na účinnou právní ochranu ( 36 ), jak vyplývá i z bodu 141 odůvodnění téhož nařízení. Cíl účinné právní ochrany práv vyplývajících z GDPR podle mého názoru svědčí proti restriktivnímu výkladu podmínek výkonu uvedeného procesního prostředku, mezi něž spadá i porušení práv subjektu údajů „v důsledku zpracování“ ( 37 ). 77. S ohledem na výše uvedené úvahy navrhuji odpovědět na pátou předběžnou otázku tak, že čl. 82 odst. 1 GDPR musí být vykládán v tom smyslu, že újma, kterou utrpěl subjekt údajů v důsledku porušení tohoto nařízení, může zakládat nárok na náhradu, ačkoli tato újma nebyla způsobena zpracováním osobních údajů subjektu údajů. b) K pojmu „zpracování“ pro účely práva na náhradu újmy 78. S ohledem na můj návrh odpovědi na pátou předběžnou otázku není namístě odpovídat na čtvrtou a šestou předběžnou otázku. Nicméně pro případ, že by se Soudní dvůr s tímto výkladem neztotožnil a měl za to, že újma musí být nutně způsobena zpracováním údajů, které představuje porušení GDPR, budu se zabývat tím, do jaké míry by byla splněna podmínka uvedená v páté předběžné otázce ( 38 ) v případě porušení práva na přístup v takové situaci, jako je situace v projednávané věci, abych mohl poskytnout návrh odpovědi na obě tyto otázky. 79. Zaprvé připomínám, že čl. 2 odst. 1 GDPR stanoví, že se toto nařízení vztahuje na „zpracování“ osobních údajů. Tento pojem, definovaný v čl. 4 bodě 2 uvedeného nařízení jako „jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů“, má dle ustáleného přístupu široký rozsah ( 39 ). 80. Zadruhé s ohledem na široký rozsah uvedeného pojmu ve velké většině případů otázka, zda porušení GDPR zakládající odpovědnost podle článku 82 tohoto nařízení vyplývá ze zpracování osobních údajů, podle mého názoru ani nevyvstává. Tento závěr však není zřejmý, pokud jde o porušení práva na přístup podle čl. 15 odst. 1 tohoto nařízení. 81. Připomínám, že čl. 15 odst. 1 GDPR stanoví, že subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k informacím uvedeným v tomto ustanovení. Kromě toho bod 60 odůvodnění tohoto nařízení uvádí, že zásady spravedlivého a transparentního zpracování vyžadují, aby byl subjekt údajů informován o probíhající operaci zpracování a jejích účelech. 82. Z toho vyplývá, že cílem článku 15 GDPR je, jak v podstatě tvrdí Komise, umožnit subjektu údajů informovat se o tom, zda ze strany správce došlo ke zpracování jeho osobních údajů, či nikoli. Zaslání žádosti o přístup k těmto údajům správci tedy nepředstavuje „zpracování“, na které se vztahuje toto nařízení ve smyslu čl. 4 odst. 2. 83. Zatřetí zdůrazňuji, že projednávaná věc se týká odmítnutí správce, který spravuje informační bulletin, k jehož odběru se žalovaný v původním řízení přihlásil, vyhovět žádosti o přístup, kterou posledně uvedený podal. Aby mohl správce údajů na takovou žádost odpovědět (kladně nebo záporně), nutně používá určité osobní údaje žadatele, přinejmenším fyzickou nebo elektronickou adresu nebo telefonní číslo (v případě odpovědi telefonicky/faxem) spojené s jeho jménem. Použití těchto údajů představuje samostatnou operaci zpracování, na kterou se vztahuje GDPR ( 40 ). 84. Mám přitom za to, že újma zde není způsobena zpracováním údajů prováděným za účelem sdělení tohoto odmítnutí, ale neodůvodněným odmítnutím vyhovět žádosti o přístup. 85. Jak správně tvrdí Komise, právní ochrana práva na přístup, která má v systému GDPR strukturální význam, by tedy byla významně omezena, pokud by takové porušení práva na přístup nemohlo vést ke vzniku práva na náhradu újmy. 86. Proto zastávám názor, že v zájmu zajištění cílů sledovaných GDPR, které jsou uvedeny v bodech 33 a 72 tohoto stanoviska, a v zájmu zajištění užitečného účinku práva na přístup je třeba vykládat podmínku uvedenou v čl. 82 odst. 2 tohoto nařízení, která se týká zpracování, jež způsobilo újmu, široce, ačkoli jde o podmínku nezbytnou. Takové řešení by znamenalo pojmout příčinnou souvislost ve smyslu článku 82 uvedeného nařízení široce. Jedním z argumentů ve prospěch tohoto výkladu je skutečnost, že v souvislosti s opravnými prostředky by restriktivní výklad podmínek pro uplatnění těchto prostředků byl v rozporu s cílem účinné soudní ochrany práv vyplývajících z GDPR ( 41 ). c) K existenci nehmotné újmy 87. Pokud jde o mnou navrhovaný výklad pojmu „událost, jež vedla ke vzniku újmy“, podotýkám, že nijak nepředjímá další podmínky, které jsou nutné k tomu, aby bylo možné v případě porušení článku 15 nařízení GDPR uplatnit právo na náhradu újmy podle článku 82 tohoto nařízení. Subjekt údajů dotčený porušením GDPR je konkrétně povinen prokázat, že jím utrpěné nepříznivé důsledky představují nehmotnou újmu ve smyslu článku 82 tohoto nařízení, neboť pouhé porušení ustanovení tohoto nařízení nepostačuje k přiznání práva na náhradu újmy ( 42 ). 88. Kromě toho odpověď, kterou navrhuji dát na pátou předběžnou otázku, bude vyžadovat rovněž odpověď na osmou předběžnou otázku, která se týká nehmotné újmy, za kterou náleží náhrada z důvodu ztráty kontroly nad osobními údaji v důsledku porušení čl. 15 odst. 1 GDPR nebo z důvodu existence nejistoty ohledně případného zpracování těchto údajů. 89. V tomto ohledu chci poznamenat, že ačkoli osmá předběžná otázka není předmětem tohoto stanoviska, Soudní dvůr opakovaně rozhodl, že i krátkodobá ztráta kontroly nad osobními údaji může představovat nehmotnou újmu ve smyslu čl. 82 odst. 1 GDPR, která zakládá právo na náhradu újmy, s výhradou, že subjekt údajů prokáže, že skutečně utrpěl takovou újmu ( 43 ), přičemž se nevyžaduje dosažení určité „prahové hodnoty de minimis“ ( 44 ). 90. Soudní dvůr však rovněž rozhodl, že v případě, že dojde k újmě, může vnitrostátní soud tuto újmu, není-li závažná, nahradit tím, že přizná subjektu údajů minimální odškodnění, může-li toto odškodnění způsobenou újmu plně nahradit ( 45 ). 91. V projednávané věci se žalovaný v původním řízení domáhá zaplacení náhrady ve výši 1000 eur z titulu utrpěné nemajetkové újmy, která podle něj vyplývá z údajné ztráty kontroly nad osobními údaji, které zadal do přihlašovacího formuláře k odběru informačního věstníku společnosti Brillen Rottler třináct dní před podáním žádosti o přístup. Předkládajícímu soudu přísluší posoudit, zda žalovaný v původním řízení prokázal, že toto případné porušení práva na přístup pro něj mělo nepříznivé důsledky a tyto důsledky představují nehmotnou újmu ve smyslu článku 82 GDPR. V. Závěry 92. S ohledem na všechny výše uvedené úvahy navrhuji, aby Soudní dvůr na první až sedmou předběžnou otázku položenou Amtsgericht Arnsberg (Okresní soud v Arnsbergu, Německo) odpověděl takto: „1) Článek 12 odst. 5 druhá věta nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES musí být vykládán v tom smyslu, že – první žádost o přístup, podanou u správce na základě článku 15 nařízení 2016/679, lze kvalifikovat jako ‚nepřiměřenou‘, pokud tento správce s ohledem na všechny relevantní okolnosti projednávané věci doloží zneužívající úmysl subjektu údajů, přičemž takový úmysl lze konstatovat, pokud tento subjekt údajů udělil souhlas se zpracováním svých osobních údajů, aby mohl podat tuto žádost o přístup a následně požádat o náhradu újmy; – pouhá skutečnost, že z veřejně dostupných informací vyplývá, že při porušení práva na ochranu údajů uplatnil subjekt údajů v mnoha případech nárok na náhradu újmy vůči správci, nepostačuje k tomu, aby taková žádost byla kvalifikována jako ‚nepřiměřená‘. 2) Článek 82 odst. 1 nařízení 2016/679 musí být vykládán v tom smyslu, že újma, kterou utrpěl subjekt údajů v důsledku porušení tohoto nařízení, může zakládat nárok na náhradu, ačkoli tato újma nebyla způsobena zpracováním osobních údajů subjektu údajů.“ ( 1 ) – Původní jazyk: francouzština. ( 2 ) – Viz Basedow, J., EU Private Law – Anatomy of a Growing Legal Order, Intersentia, Cambridge, 2021, body 98 a 99. ( 3 ) – V oblasti smluv o spotřebitelském úvěru viz například rozsudek ze dne 21. prosince 2023, BMW Bank a další (C‑38/21, C‑47/21 a C‑232/21, EU:C:2023:1014, body 280 až 282 a citovaná judikatura). ( 4 ) – Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů) (Úř. věst. 2016, L 119, s. 1). ( 5 ) – Rozsudek ze dne 26. října 2023 (C‑307/22, dále jen „rozsudek FT, EU:C:2023:811, bod 31). ( 6 ) – V tomto smyslu viz rozsudek ze dne 30. dubna 2025, Generalstaatsanwaltschaft Frankfurt am Main (Vývoz peněžní hotovosti do Ruska) (C‑246/24, EU:C:2025:295, bod 27 a citovaná judikatura). ( 7 ) – Viz obdobně, pokud jde o čl. 57 odst. 4 GDPR, rozsudek ze dne 9. ledna 2025, Österreichische Datenschutzbehörde (Nepřiměřené žádosti) (C‑416/23, dále jen „rozsudek Österreichische Datenschutzbehörde, EU:C:2025:3, body 33 a 48). ( 8 ) – V tomto smyslu viz rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 59). ( 9 ) – V tomto smyslu viz stanovisko generálního advokáta Richarda de la Tour ve věci Österreichische Datenschutzbehörde (Nepřiměřené žádosti) (C‑416/23, EU:C:2024:701, bod 62). ( 10 ) – Rozsudek ze dne 27. února 2025, Dun & Bradstreet Austria a další (C‑203/22, EU:C:2025:117, bod 54 a citovaná judikatura). ( 11 ) – V tomto smyslu viz rozsudek FT (bod 47) a rozsudek Österreichische Datenschutzbehörde (bod 38). ( 12 ) – Bod 31. ( 13 ) – Body 31 a 32. ( 14 ) – Body 18 a 23. ( 15 ) – Rozsudek FT (body 35 až 51, zvláště body 38, 43, 50 a 51). Soudní dvůr tento výklad potvrdil v usnesení ze dne 27. května 2024, Addiko Bank (C‑312/23, EU:C:2024:458), které se týká odmítnutí banky poskytnout svým klientům, z nichž někteří zvažují podat stížnost nebo žalobu proti této bance, kopie úvěrové dokumentace, která se jich týká. ( 16 ) – V tomto smyslu viz rozsudek Österreichische Datenschutzbehörde (bod 50). ( 17 ) – Soudní dvůr již v bodě 48 rozsudku Österreichische Datenschutzbehörde použil per analogiam výklad uvedený v bodě 31 rozsudku FT. ( 18 ) – K vrácení věci vnitrostátnímu soudu viz rozsudek ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů) (C‑154/21, EU:C:2023:3, bod 50). ( 19 ) – Rozsudek Österreichische Datenschutzbehörde (bod 49). ( 20 ) – Viz například v soukromoprávních věcech rozsudky ze dne 21. prosince 2023, BMW Bank a další (C‑38/21, C‑47/21 a C‑232/21, EU:C:2023:1014, body 284 a 285 a citovaná judikatura), a ze dne 19. září 2024, Matmut (C‑236/23, EU:C:2024:761, bod 54). ( 21 ) – Viz mé stanovisko ve věci Matmut (C‑236/23, EU:C:2024:560, bod 67). ( 22 ) – Rozsudek Österreichische Datenschutzbehörde (bod 50). ( 23 ) – V tomto smyslu viz rozsudek Österreichische Datenschutzbehörde (bod 56). ( 24 ) – Viz zejména rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, body 33 až 35). ( 25 ) – Konkrétně v případě, že subjekty údajů nepřiměřeně využívají práva na přístup pouze za účelem způsobení újmy správci nebo pokud subjekt údajů podá žádost, ale zároveň navrhne, že ji stáhne výměnou za určitou formu plnění od správce; viz pokyny 01/2022 k právům subjektů údajů – Právo na přístup, verze 2.1, přijaté dne 28. března 2023, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_fr, body 188 a 190. ( 26 ) – V tomto smyslu viz rozsudek Österreichische Datenschutzbehörde (body 51 až 57). ( 27 ) – Viz rovněž příklady uvedené v pokynech Evropského sboru pro ochranu osobních údajů 01/2022 k právům subjektů údajů – Právo na přístup, verze 2.1, přijatých dne 28. března 2023, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_fr, body 13, 185, 188 a 190. ( 28 ) – Kurzivou zvýraznil autor stanoviska. ( 29 ) – V tomto smyslu viz rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2023:370, body 32 až 34) a naposledy rozsudek ze dne 4. října 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, bod 24). ( 30 ) – V tomto ohledu viz mé stanovisko ve spojených věcech X a Visser (C‑360/15 a C‑31/16, EU:C:2017:397, bod 132). ( 31 ) – V bodě 36 rozsudku ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2023:370), Soudní dvůr uvedl, že „[č]lánek 82 odst. 2 GDPR, který upřesňuje režim odpovědnosti, jehož princip je stanoven v odstavci 1 tohoto článku, […]přebírá tři podmínky nezbytné pro vznik nároku na náhradu újmy, a sice zpracování osobních údajů porušující ustanovení GDPR, újmu, kterou subjekt údajů utrpěl, a příčinnou souvislost mezi tímto protiprávním zpracováním a touto újmou“ (kurzivou zvýraznil autor stanoviska). Tento výklad byl převzat v bodě 159 rozsudku ze dne 4. října 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827). Viz rovněž rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, body 92 až 97), který podle všeho nerozlišuje mezi porušením GDPR a zpracováním, jež porušuje toto nařízení. ( 32 ) – Směrnice Evropského parlamentu a Rady ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. 1995, L 281, s. 31, Zvl. vyd. 13/15, s. 355). ( 33 ) – V tomto smyslu viz stanovisko generálního advokáta Campos Sánchez-Bordony ve věci Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2022:756, bod 41). ( 34 ) – Rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, body 94 a 95). ( 35 ) – Viz rozsudek ze dne 11. července 2024, Meta Platforms Ireland (Zástupná žaloba) (C‑757/22, EU:C:2024:598, body 40 a 42 a 59 až 64), v němž Soudní dvůr vyložil požadavek porušení práv subjektu údajů „v důsledku zpracování“ ve světle preventivní funkce zástupné žaloby. Viz rovněž rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2023:370, bod 39), podle kterého „články 77 a 78 GDPR, obsažené [v kapitole VIII], stanoví opravné prostředky k dozorovému úřadu nebo proti dozorovému úřadu v případě tvrzeného porušení tohoto nařízení [...]“. ( 36 ) – Naposledy viz rozsudek ze dne 30. dubna 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 a C‑332/23, EU:C:2025:303, bod 136 a citovaná judikatura). ( 37 ) – V tomto smyslu viz Martini, M., „Article 79“, DSGVO BDSG, in Paal, B. P., a Pauly, D. A. (vyd.), 3. vydání, Mnichov, 2021, bod 22a. ( 38 ) – Konkrétně podmínka, že osobní údaje subjektu údajů jsou zpracovávány. ( 39 ) – Naposledy viz rozsudek ze dne 3. dubna 2025, Ministerstvo zdravotnictví (Údaje týkající se zástupce právnické osoby) (C‑710/23, EU:C:2025:231, bod 27). ( 40 ) – Jak správně uvedly předkládající soud a Komise, zpracování osobních údajů subjektu údajů pro účely odpovědi na žádost o přístup podanou podle článku 15 GDPR je zákonné ve smyslu čl. 6 odst. 1 písm. c) a čl. 6 odst. 3 tohoto nařízení bez ohledu na to, zda správce údaje tohoto subjektu údajů již zpracovával. Toto zpracování je totiž ve smyslu výše uvedených ustanovení nezbytné ke splnění právní povinnosti, která se na správce vztahuje podle unijního práva. ( 41 ) – Co se týče článku 79 GDPR, viz Martini, M., „Article 79“, DSGVO BDSG, in Paal, B. P., a Pauly, D. A. (vyd.), 3. vydání, Mnichov, 2021, bod 22a. ( 42 ) – Rozsudek ze dne 4. října 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, bod 142 a citovaná judikatura). ( 43 ) – Viz zejména rozsudky ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2023:370, body 32 až 36); ze dne 20. června 2024, PS (Nesprávná adresa) (C‑590/22, EU:C:2024:536, bod 33) a ze dne 4. září 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, body 62 a 64). ( 44 ) – V tomto smyslu viz rozsudky ze dne 14. prosince 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988, bod 18), ze dne 20. června 2024, Scalable Capital (C‑182/22 a C‑189/22, EU:C:2024:531, bod 44), a ze dne 4. října 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, bod 149). ( 45 ) – Rozsudek ze dne 20. června 2024, Scalable Capital (C‑182/22 a C‑189/22, EU:C:2024:531, bod 46).