62025CC0185 – stanovisko GA

null STANOVISKO GENERÁLNÍHO ADVOKÁTA RIMVYDASE NORKUSE přednesené dne 18. června 2026(1) Věc C‑185/25 [Waldfelber](i) RS proti TS [žádost o rozhodnutí o předběžné otázce, kterou podal Oberster Gerichtshof (Nejvyšší soud, Rakousko)] „ Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 4 bod 7 – Pojem ‚správce údajů‘ – Fyzická osoba jednající jako vedoucí veřejnoprávního subjektu – Ředitel školy – Určení účelů a prostředků zpracování osobních údajů – Osobní údaje obsažené v e-mailu odeslaném ředitelem školy z jeho pracovní e-mailové adresy – Článek 15 odst. 1 písm. g) – Právo subjektu údajů na přístup k ‚veškerým dostupným informacím‘ o zdroji osobních údajů – Osobní údaje sestávající z názoru o subjektu údajů – Názor založený na rozhovoru se třetí osobou – Právo subjektu údajů na přístup k informacím o totožnosti třetí osoby – Článek 82 – Právo na náhradu újmy a odpovědnost – Újma údajně způsobená porušením práva na přístup – Vyloučení odpovědnosti ředitele školy – Platnost vyloučení“ I.      Úvod 1.        Projednávaná věc se týká situace, která není na pracovišti nikterak ojedinělá. Fyzická osoba, která jedná jako zaměstnanec nebo zástupce soukromého či veřejnoprávního subjektu, požádá v rámci osobního rozhovoru třetí osobu o vyjádření názoru ohledně osoby vybrané k obsazení pracovního místa v tomto subjektu. V návaznosti na tento rozhovor zaměstnanec nebo zástupce odešle e-mail ze své pracovní e-mailové adresy osobě odpovědné za navržení kandidáta s žádostí, aby místo něj byla navržena jiná osoba. 2.        Osoba určená k obsazení dané pozice se o tomto e-mailu dozví a snaží se zjistit totožnost třetí osoby. Může tato osoba získat tyto informace na základě nařízení (EU) 2016/679(2) a konkrétně jeho čl. 15 odst. 1 písm. g)? 3.        Podle tohoto ustanovení má subjekt údajů (tj. identifikovaná nebo identifikovatelná fyzická osoba, jejíž osobní údaje(3) byly zpracovány)(4) právo získat od „správce“ „veškeré dostupné informace o zdroji“ svých osobních údajů, pokud tyto osobní údaje nejsou získány od něj samotného. V projednávané věci je údajným „správcem“ (TS, žalovaný v původním řízení) ředitel základní školy v Rakousku. V této funkci organizuje programy dalšího vzdělávání pro učitele své školy. Tyto programy organizuje Pädagogische Hochschule (Vysoká škola pedagogická) s pomocí „koordinátorů programu“ („Prozessbegleiter“). 4.        Subjekt údajů (RS, žalobce v původním řízení) je jedním z těchto koordinátorů programu. TS, který byl informován o tom, že nadcházející vzdělávací program pro učitele jeho školy bude koordinovat RS, se dotázal třetí osoby na jeho pověst. Na základě informací, které mu byly poskytnuty, zaslal TS ze své pracovní e-mailové adresy e-mail Vysoké škole pedagogické, v němž požádal, aby byl místo dotyčného určen jiný koordinátor programu. RS chce na základě čl. 15 odst. 1 písm. g) GDPR zjistit totožnost třetí osoby, která se o něm vyjádřila negativně. 5.        V této souvislosti žádá Oberster Gerichtshof (Nejvyšší soud, Rakousko) o objasnění rozsahu působnosti uvedeného ustanovení. Na úvod si taktéž klade otázku, zda lze takovou osobu, jako je TS, považovat za „správce“ ve smyslu čl. 4 bodu 7 GDPR. Nakonec se táže, zda nepříznivé následky, jež jsou způsobeny porušením práva na zpřístupnění údajů stanoveného v čl. 15 odst. 1 GDPR, mohou představovat „újmu, [která byla způsobena] zpracováním, jež porušuje [uvedené] nařízení“ ve smyslu čl. 82 odst. 2 GDPR a být spojeny s povinností správce poskytnout náhradu. Předkládající soud si rovněž klade otázku ohledně toho, zda v takové situaci brání článek 82 GDPR vnitrostátní právní úpravě, která vylučuje, aby osoby jednající jako „orgány“ určitých veřejnoprávních subjektů (jako je v projednávané věci TS) byly činěny odpovědnými za takovou újmu. II.    Právní rámec A.      Unijní právo 6.        V bodě 63 odůvodnění GDPR je uvedeno: „Subjekt údajů by měl mít právo na přístup ke shromážděným osobním údajům, které se ho týkají, a měl by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byl o jejich zpracování informován a mohl si ověřit jeho zákonnost [...] Každý subjekt údajů by proto měl mít právo vědět a být informován zejména o tom, za jakým účelem se osobní údaje zpracovávají, případně období, po které budou uchovávány, kdo jsou příjemci osobních údajů, v čem spočívá logika automatizovaného zpracování osobních údajů a jaké mohou být důsledky takového zpracování přinejmenším v případech, kdy je zpracování založeno na profilování [...] Tímto právem by neměla být nepříznivě dotčena práva ani svobody ostatních, například obchodní tajemství nebo duševní vlastnictví a zejména autorské právo chránící programové vybavení. Zohlednění těchto skutečností by ovšem nemělo vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací [...]“ 7.        Podle čl. 4 bodu 7 uvedeného nařízení se „správcem“ rozumí „fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení“. 8.        Článek 15 odst. 1 písm. g) GDPR přiznává subjektu údajů „právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a [...] veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů“. 9.        Článek 82 odst. 1 GDPR přiznává „[každému], kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu [...] právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy“. Podle odstavce 2 uvedeného článku „[s]právce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje toto nařízení“. Toto ustanovení dále upřesňuje, že „[z]pracovatel je za újmu způsobenou zpracováním odpovědný pouze v případě, že nesplnil povinnosti stanovené tímto nařízením konkrétně pro zpracovatele nebo že jednal nad rámec zákonných pokynů správce nebo v rozporu s nimi“. B.      Rakouské právo 10.      Kapitola I (nadepsaná „Odpovědnost“) Bundesgesetz über die Haftung der Gebietskörperschaften und der sonstigen Körperschaften und Anstalten des öffentlichen Rechts für in Vollziehung der Gesetze zugefügte Schäden (Amtshaftungsgesetz) [spolkový zákon o odpovědnosti místních orgánů a jiných veřejnoprávních subjektů za škodu způsobenou při uplatňování zákonů (dále jen „zákon o odpovědnosti orgánů veřejné moci“)] ze dne 18. prosince 1948 (BGBl. 20/1949), ve znění použitelném na spor v původním řízení, obsahuje §1 odst. 1, který stanoví: „Spolek, spolkové země, obce, jiné veřejnoprávní subjekty a instituce sociálního pojištění – dále jen ‚právní subjekty‘ – odpovídají podle ustanovení občanského práva za škodu na majetku nebo osobní újmu, kterou komukoliv zaviněně způsobily osoby jednající jako jejich orgány při naplňování zákonů protiprávním jednáním; osoba jednající jako orgán [dále jen ‚orgán‘] nenese vůči poškozenému odpovědnost. Újma se nahrazuje pouze v penězích.“ 11.      Ustanovení §9 odst. 5 (obsaženého v kapitole II, nadepsané „Postup“) stanoví, že „[p]oškozený se nemůže náhrady újmy, kterou mu způsobil orgán právního subjektu uvedeného v §1 [...] při naplňování zákona, domáhat vůči tomuto orgánu v řízení před obecnými soudy“. III. Skutkový stav, původní řízení a předběžné otázky 12.      TS, žalovaný v původním řízení, je ředitelem základní školy v Rakousku. V této funkci organizuje programy dalšího vzdělávání pro učitele uvedené školy, kteří mají zákonnou povinnost se jich účastnit. 13.      Vysoká škola pedagogická zajišťuje dotčené vzdělávací programy. Zejména poskytuje školám organizační personál (koordinátory programů), který je speciálně vybírán za účelem usnadnění realizace těchto programů. 14.      Když byl TS informován o tom, že RS, žalobce v původním řízení, byl Vysokou školou pedagogickou navržen jako koordinátor nadcházejícího vzdělávacího programu pro učitele na jeho škole, dotázal se v rámci osobního rozhovoru s učitelem (dále jen „třetí osoba“) na pověst RS. 15.      Několik dní po rozhovoru s touto třetí osobou zaslal TS e-mail ze své pracovní e-mailové adresy, kterou používá výlučně pro pracovní účely, a to z počítače školy a přes speciálně určený server, zaměstnanci Vysoké školy pedagogické, v němž požádal o přidělení jiného koordinátora programu (dále jen „sporný e-mail“). Svou žádost odůvodnil informacemi, které získal o RS od třetí osoby a podle nichž RS zpochybňuje veřejný školský systém a je trvale ve sporu s příslušným školským úřadem. 16.      TS nesepsal žádný úřední záznam ani žádný jiný dokument o rozhovoru se třetí osobou. Informace získané během tohoto rozhovoru žádným jiným způsobem nešířil. Kromě samotného sporného e-mailu neexistuje žádný další písemný záznam o osobních údajích týkajících se RS, které jsou v něm obsaženy. 17.      Když se RS dozvěděl o obsahu sporného e-mailu, podal u TS stížnost. Požádal, aby mu byly v souladu s čl. 15 odst. 1 GDPR poskytnuty určité informace zejména ohledně totožnosti třetí osoby a aby mu byla zaslána kopie osobních údajů, které se ho týkají a které TS v tomto e-mailu zpracoval. 18.      TS téhož dne informoval RS e-mailem, že nikdy neměl k dispozici žádné osobní údaje, které by se ho týkaly, ani takové údaje nikomu dalšímu neposkytl. Uvedl, že pouze vyjádřil své obavy ohledně toho, že byl RS vybrán jako koordinátor vzdělávacího programu, kterého se měli zúčastnit učitelé jeho školy. 19.      RS následně zahájil soudní řízení, v němž se domáhal toho, aby byla TS uložena povinnost poskytnout mu v souladu s čl. 15 odst. 1 písm. g) GDPR určité informace týkající se zejména totožnosti třetí osoby, jakož i kopii osobních údajů, které se ho týkají. Rovněž navrhoval, aby byla TS uložena povinnost uhradit mu částku ve výši 800 eur jako náhradu nemajetkové újmy způsobené údajným porušením jeho práva na informace, jak je stanoveno v článku 15 GDPR. TS s touto žalobou nesouhlasil s odůvodněním, že odpovědnost může nést pouze právní subjekt, který spravuje školu, jejímž jménem jednal, a osobní údaje RS nezpracovával ani neukládal. 20.      Soud prvního stupně žalobu RS zamítl. Toto rozhodnutí bylo později potvrzeno příslušným odvolacím soudem. Oba soudy měly v podstatě za to, že TS jednal jako orgán právního subjektu, který spravuje školu, a že mu byly určeny prostředky zpracování osobních údajů (zvláštní server, pracovní e-mailová adresa). S ohledem na tyto skutečnosti dospěly k závěru, že by bylo v rozporu se zákonem o odpovědnosti orgánů veřejné moci považovat TS za „správce“ ve smyslu GDPR. Odvolací soud měl dále za to, že v každém případě zde neexistovala žádná povinnost vést písemné záznamy o jménu třetí osoby, a tudíž ani povinnost poskytnout informace o její totožnosti. 21.      RS podal proti rozhodnutí odvolacího soudu opravný prostředek „Revision“ k Oberster Gerichtshof (Nejvyšší soud, Rakousko), který je předkládajícím soudem. 22.      Vzhledem k pochybnostem o správném výkladu čl. 4 bodu 7, čl. 15 odst. 1 písm. g) a článku 82 GDPR se předkládající soud rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky: „1)      Musí být čl. 4 bod 7 [GDPR] vykládán v tom smyslu, že fyzická osoba, která při výkonu své činnosti prostřednictvím jí poskytnutých a určených prostředků nejedná při zpracování osobních údajů ve vlastním osobním zájmu, nýbrž jako vedoucí organizace (zařízení nebo jiné entity bez právní subjektivity), za kterou však stojí právní subjekt, je ‚správcem‘, vůči němuž se lze domáhat nároků před soudem? 2) a)      Musí být čl. 15 odst. 1 písm. g) GDPR vykládán v tom smyslu, že v případě, kdy zpracovávané osobní údaje spočívají ve faktickém vyjádření o subjektu údajů nebo jeho hodnocení v e-mailu, zahrnují ‚veškeré dostupné informace o zdroji osobních údajů‘ pouze autora e-mailu nebo i okruh osob, s nimiž autor o subjektu údajů hovořil? 2) b)      Pro případ, že neuložená jména účastníků rozhovoru patří mezi ‚dostupné informace o zdroji osobních údajů‘ ve smyslu čl. 15 odst. 1 písm. g) GDPR: Je při zvažování mezi zájmy osoby dotčené zpracováním údajů a zájmy takového účastníka rozhovoru relevantní skutečnost, že nemohl předvídat, že se jeho vyjádření stanou předmětem zpracování údajů? 3)      Musí být čl. 82 odst. 2 GDPR vykládán v tom smyslu, že nepříznivé následky pro subjekt údajů, jež jsou způsobeny porušením GDPR, k němuž došlo časově po zpracování osobních údajů a které je pouze porušením práva subjektu údajů na zpřístupnění údajů podle čl. 15 odst. 1 tohoto nařízení, představují újmu, která byla způsobena ‚zpracováním, jež porušuje toto nařízení‘ a je spojeno s povinností správce poskytnout náhradu? 4)      Je-li odpověď na první nebo třetí otázku kladná, brání článek 82 GDPR takovým vnitrostátním právním předpisům, podle kterých se nelze náhrady újmy, kterou poškozenému způsobil orgán právního subjektu při naplňování zákona, domáhat proti samotnému orgánu?“ 23.      Žádost o rozhodnutí o předběžné otázce ze dne 18. února 2025 byla kanceláři Soudního dvora doručena dne 7. března 2025. Písemná vyjádření předložili žalobce v původním řízení, rakouská a italská vláda, jakož i Komise. Ve věci nebylo nařízeno jednání. IV.    Posouzení 24.      GDPR bylo přijato s cílem vytvořit „pevný […] rámec pro ochranu osobních údajů v Unii“(5) prostřednictvím „posílení a [podrobného] vymezení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají“(6), a zajistit zejména, aby fyzické osoby měly „vysokou úroveň ochrany“(7) a možnost „kontrolovat své vlastní osobní údaje“(8). Za tímto účelem články 12 až 15 GDPR přiznávají subjektům údajů právo na získání určitých informací týkajících se mimo jiné zpracování(9) jejich osobních údajů, jakož i kategorií osobních údajů a dotčených příjemců. Jak jsem vysvětlil v úvodu, podle čl. 15 odst. 1 písm. g) uvedeného nařízení má subjekt údajů v případě, že osobní údaje nejsou získány od něj, rovněž právo získat „veškeré dostupné informace o zdroji“ těchto osobních údajů. Povinnost poskytnout tyto informace přísluší přímo „správci“(10). 25.      Bod 4 odůvodnění GDPR zároveň uvádí, že právo na ochranu osobních údajů zakotvené v článku 8 Listiny základních práv Evropské unie (dále jen „Listina“) „není právem absolutním“ a „musí být posuzováno v souvislosti se svou funkcí ve společnosti a […] musí být v rovnováze s dalšími základními právy“, včetně práva na svobodu myšlení a projevu. 26.      Z toho plyne, že existují určité meze jednotlivých práv, která subjektům údajů vyplývají z GDPR a jejichž cílem je zajistit užitečný účinek práva na ochranu osobních údajů, včetně práva na informace stanoveného v čl. 15 odst. 1 uvedeného nařízení. 27.      Projednávaná věc se týká právě mezí posledně uvedeného práva a konkrétně rozsahu, v jakém má subjekt údajů (v projednávané věci RS, žalobce v původním řízení) na základě čl. 15 odst. 1 písm. g) GDPR právo na přístup k informacím od správce o „zdroji“ osobních údajů, které se ho týkají. Pokud byly tyto údaje zpracovány správcem v návaznosti na ústní rozhovor s třetí osobou (jako je tomu ve věci v původním řízení), má subjekt údajů právo na sdělení totožnosti této třetí osoby? 28.      Touto otázkou, která v podstatě odpovídá druhé předběžné otázce položené Oberster Gerichtshof (Nejvyšší soud), se budu zabývat v oddíle B níže. Než tak učiním, nejprve v rámci odpovědi na první otázku objasním, zda taková fyzická osoba, která (tak jako TS) zpracovává osobní údaje nikoli ve svém osobním zájmu, ale při výkonu své činnosti jakožto vedoucí organizace (v projednávané věci školy) a prostřednictvím prostředků, které jí byly poskytnuty a určeny takovou organizací, může být považována za „správce“ ve smyslu čl. 4 bodu 7 GDPR (oddíl A). 29.      Nakonec se budu zabývat třetí a čtvrtou otázkou, které se týkají práva subjektů údajů na náhradu újmy podle článku 82 GDPR. Konkrétně se třetí otázka týká toho, zda nepříznivé následky, jež jsou způsobeny porušením práva na zpřístupnění údajů podle čl. 15 odst. 1 GDPR, mohou představovat „újmu, kterou způsobí [zpracování], jež porušuje [uvedené] nařízení“ ve smyslu čl. 82 odst. 2 uvedeného nařízení (oddíl C). Čtvrtá otázka poskytuje Soudnímu dvoru příležitost, aby posoudil, zda tento článek brání vnitrostátní právní úpravě, která stanoví, že osoby jednající jako „orgány“ – tedy jménem – určitých veřejnoprávních subjektů nemohou být činěny odpovědnými za újmu způsobenou subjektům údajů v rámci jejich postavení správců nebo zpracovatelů (oddíl D). A.      K pojmu „správce“ (čl. 4 bod 7 GDPR) (první otázka) 30.      Článek 4 bod 7 GDPR popisuje dvě situace, kdy může být za „správce“ považována „fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt“. Podle druhé věty tohoto ustanovení totiž „může [právo Unie či členského státu] určit dotčeného správce nebo zvláštní kritéria pro jeho určení“ (první situace)(11). Druhá situace nastává, když se na základě posouzení relevantních skutečností má za to, že dotčený subjekt „sám nebo společně s jinými určuje účely a prostředky zpracování“. Soudní dvůr uvedl, že ke splnění tohoto kritéria musí fyzická nebo právnická osoba skutečně „[vykonávat] [...] vliv na zpracování osobních údajů“(12). Z toho plyne, že fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který je ve skutečnosti schopen určovat účely a prostředky zpracování, bude považován za „správce“, bez ohledu na to, zda byl takto formálně jmenován (zákonem nebo smlouvou či jinak)(13). 31.      První otázka předkládajícího soudu se týká této druhé situace. Tento soud totiž uvádí, že rakouské právo výslovně označuje ředitele základních škol za „správce“ pouze ve vztahu k osobním údajům žáků. Spor v původním řízení se netýká zpracování takových údajů. Jak jsem již vysvětlil, zpracování osobních údajů se týká osoby (RS), která byla vybrána ke koordinaci vzdělávacího programu pro učitele dotčené základní školy, ze strany ředitele této školy (TS). 32.      Oberster Gerichtshof (Nejvyšší soud) má za to, že pro určení, zda lze TS považovat za „správce“ ve smyslu čl. 4 bodu 7 GDPR, jsou relevantní následující okolnosti: TS jednal v rámci výkonu své činnosti; osobní údaje zpracovával nikoli ve vlastním osobním zájmu, ale v zájmu školy, a činil tak prostřednictvím prostředků, které mu byly poskytnuty a určeny (používal svou pracovní e-mailovou adresu, školní počítač a speciálně určený server). 33.      RS zpochybňuje správnost skutkových okolností uvedených předkládajícím soudem. Tvrdí, že prostředky, které TS použil při shromažďování dotčených osobních údajů (ústní rozhovor se třetí osobou), mu nebyly určeny, že TS mohl při shromažďování těchto údajů od třetí osoby a při zasílání sporného e-mailu (který obsahoval osobní údaje) sledovat vlastní zájmy a takový soubor operací zpracování nebyl v žádném případě „běžný“ ani nezbytný pro plnění povinností TS jako ředitele školy. Podle RS tudíž TS překročil meze prostoru pro uvážení, který mu byl přiznán, a jednal mimo rámec svých povinností stanovených rakouským právem. 34.      Připomínám, že v rámci řízení o předběžné otázce nepřísluší Soudnímu dvoru určovat, zda jsou tvrzené skutečnosti prokázány, ale přísluší mu pouze poskytnout výklad relevantních ustanovení unijního práva. Podle judikatury Soudního dvora totiž platí, že otázky týkající se výkladu unijního práva jsou položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat(14). 35.      Z toho vyplývá, že bez ohledu na argumenty RS, které jsem shrnul v bodě 33 tohoto stanoviska, se pro účely odpovědi na první otázku omezím na skutkové okolnosti předložené předkládajícím soudem, jak jsou vylíčeny v bodě 32 výše. 36.      Na základě výše uvedeného mám za to, že fyzická osoba, která (tak jako TS) zpracovává osobní údaje nikoli ve vlastním osobním zájmu, ale při výkonu své činnosti jako vedoucí organizace (v projednávané věci školy) a prostřednictvím prostředků, které jí taková organizace poskytla a určila, nemůže být považována za „správce“ ve smyslu čl. 4 bodu 7 GDPR. Tento postoj zastávají také rakouská a italská vláda, jakož i Komise. 37.      V tomto ohledu připomínám, že Soudní dvůr konstatoval, že čl. 4 bod 7 GDPR definuje pojem „správce“ široce. V souladu s cílem uvedeného nařízení je cílem této široké definice zajistit účinnou ochranu základních práv a svobod fyzických osob a zejména vysokou úroveň ochrany práva každého na ochranu osobních údajů, které se ho týkají(15). 38.      Soudní dvůr zároveň zdůraznil, že správce musí „[ovlivňovat] [zpracování takových údajů] pro vlastní účely“(16). Je tedy zřejmé, že fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jiný subjekt, který zpracovává osobní údaje pro jiný subjekt, a nikoli pro vlastní účely, nelze považovat za „správce“ ve smyslu čl. 4 bodu 7 GDPR. 39.      To potvrzuje bod 74 odůvodnění tohoto nařízení, který uvádí, že odpovědnost správce je tatáž za „jakékoliv zpracování osobních údajů prováděné správcem nebo pro něj“(17), jakož i judikatura Soudního dvora k článku 29 tohoto nařízení, v níž se uvádí, že „jakákoliv osoba, která jedná z pověření správce [...] a má přístup k osobním údajům, může tyto osobní údaje zpracovávat pouze na pokyn správce [...]“. Soudní dvůr z tohoto ustanovení vyvodil, že správce nelze zprostit odpovědnosti pouze z toho důvodu, že předmětná újma byla způsobena pochybením osoby jednající z jeho pověření(18). 40.      Jak taktéž uvedl předkládající soud ve své žádosti o rozhodnutí o předběžné otázce, judikatura Soudního dvora obsahuje různé příklady, kdy byly dotčené osobní údaje zpracovány fyzickou osobou pro právnickou osobu a tento subjekt (tedy nikoli fyzická osoba) byl přesto považován za „správce“(19). Soudní dvůr zejména konstatoval, že právnické osoby (jako jsou společnosti) jsou odpovědné nejen za porušení GDPR, kterých se dopustili jejich zástupci, řídící pracovníci nebo manažeři, ale i za porušení, kterých se dopustily jakékoliv jiné osoby, které jednají v rámci obchodní činnosti těchto právnických osob jejich jménem(20). Podle mého názoru to samozřejmě platí i pro jakýkoli „orgán veřejné moci, agenturu nebo jiný subjekt“, použiji-li pojmy uvedené v čl. 4 bodě 7 GDPR. 41.      Tato zjištění jsou v souladu s pokyny Evropského sboru pro ochranu osobních údajů 07/2020, které v podstatě stanoví, že i v případě, že je právnickou osobou (společností či veřejným subjektem) jmenována zvláštní osoba za odpovědnou za provádění činnosti zpracování, tato právnická osoba i nadále ponese konečnou odpovědnost při porušení pravidel jakožto správce(21). 42.      Z těchto úvah podle mého názoru vyplývá, že je třeba mít za to, že ředitel školy, který (tak jako TS) zpracovává osobní údaje nikoli ve vlastním osobním zájmu (čili nikoli pro vlastní účely), ale jako vedoucí takového veřejnoprávního subjektu, jedná jménem tohoto subjektu. V takové situaci nelze ředitele školy považovat za „správce“ ve smyslu čl. 4 bodu 7 GDPR. „Správcem“ je naopak škola(22). 43.      Tento závěr není dotčen okolností, že škola sama nemá právní subjektivitu. Soudní dvůr již totiž uvedl, že určitá entita může být považována za „správce“ ve smyslu uvedeného ustanovení, aniž má právní osobnost(23). 44.      Jiný výsledek by byl podle mého názoru odůvodněný pouze v případě, že by předkládající soud v rámci posouzení skutečností, jež mu byly předloženy, dospěl k závěru, že TS při zpracování osobních údajů RS jednal buď mimo rámec svých povinností, tj. výlučně pro vlastní účely (v takovém případě by byl jediným „správcem“), nebo pro vlastní účely, jakož i pro účely školy (jako společný správce)(24). Kdyby byla ve věci v původním řízení prokázána některá z těchto situací, mám za to, že TS by musel být považován za subjekt, který určuje nejen účely, ale i prostředky zpracování osobních údajů. Jestliže by totiž používal svou pracovní e-mailovou adresu a také školní počítač a nezávislý server, které mu byly dány k dispozici, pro své vlastní účely, bylo by použití těchto prostředků „neoprávněné“, a nebylo by tedy možné mít za to, že mu byly určeny. Je však na předkládajícím soudu, aby takové skutečnosti zjistil. 45.      Na základě výše uvedených úvah navrhuji, aby Soudní dvůr odpověděl na první otázku záporně. S ohledem na tuto odpověď mám za to, že není nutné, aby Soudní dvůr odpovídal na druhou až čtvrtou otázku, jež se týkají povinností vyplývajících z čl. 15 odst. 1 písm. g) a článku 82 GDPR, které by se na takovou fyzickou osobu, jako je TS, vztahovaly, pokud by byla „správcem“ ve smyslu čl. 4 bodu 7 uvedeného nařízení(25). Domnívám se, že tomu tak je bez ohledu na skutečnost, že tyto otázky nejsou výslovně formulovány tak, že by závisely na odpovědi na první otázku(26). 46.      Nicméně pro případ, že by Soudní dvůr zaujal odlišný názor, jakož i pro úplnost se budu nyní zabývat věcnými otázkami vznesenými v rámci druhé až čtvrté otázky. B.      Rozsah práva na informace o zdroji osobních údajů (čl. 15 odst. 1 písm. g) GDPR) (druhá otázka) 47.      Druhá předběžná otázka se skládá ze dvou částí. Podstatou první části této otázky předkládajícího soudu je, zda v případě, kdy zpracovávané osobní údaje spočívají ve faktickém vyjádření o subjektu údajů nebo jeho hodnocení v e-mailu, musí být čl. 15 odst. 1 písm. g) GDPR vykládán v tom smyslu, že „veškeré dostupné informace o zdroji“ osobních údajů zahrnují pouze totožnost autora e-mailu, nebo zda zahrnují i totožnost osob, s nimiž autor vedl o subjektu údajů (ústní) rozhovor a na jejichž názoru je založeno takové faktické vyjádření nebo hodnocení. 48.      Pro účely zasazení této otázky do souvislostí připomínám, že ve věci v původním řízení RS tvrdí, že by měl být na základě čl. 15 odst. 1 písm. g) GDPR oprávněn zjistit od TS (kterého považuje za „správce“ ve smyslu čl. 4 bodu 7 uvedeného nařízení) totožnost třetí osoby (s níž TS hovořil o jeho pověsti), jelikož tato třetí osoba musí být považována za „zdroj“ osobních údajů – názoru týkajícího se jeho osoby – obsažených ve sporném e-mailu. 49.      Druhá část dotčené otázky se týká toho, zda je v případě, že by Soudní dvůr konstatoval, že totožnost takové třetí osoby představuje „dostupné informace o zdroji“ osobních údajů ve smyslu čl. 15 odst. 1 písm. g) GDPR, při zvažování mezi zájmy subjektu údajů a zájmy takové třetí osoby relevantní skutečnost, že tato třetí osoba nemohla předvídat, že se její vyjádření stanou předmětem zpracování údajů. 1.      K první části druhé otázky 50.      Na úvod připomínám, že Soudní dvůr uvedl, že použití výrazu „veškeré informace“ v rámci definice pojmu „osobní údaj“ v čl. 4 bodu 1 GDPR odráží cíl unijního normotvůrce přiznat tomuto pojmu široký význam, který potenciálně zahrnuje všechny druhy informací, a to jak objektivní, tak subjektivní ve formě názoru nebo hodnocení pod podmínkou, že jsou „o“ dotčené osobě(27). 51.      Jak předkládající soud správně předpokládá, z výše uvedeného vyplývá, že názor („hodnocení“) týkající se subjektu údajů (v projednávané věci RS) obsažený v e-mailu [v projednávané věci se jedná o e-mail, který TS zaslal Vysoké škole pedagogické] představuje „osobní údaj“ ve smyslu čl. 4 bodu 1 GDPR. 52.      Pokud jde o „zdroj“, ve smyslu čl. 15 odst. 1 písm. g) GDPR, takového názoru nebo faktického vyjádření týkajícího se subjektu údajů obsaženého v e-mailu, podotýkám, že toto ustanovení ani žádné jiné ustanovení uvedeného nařízení tento pojem nedefinuje. Neexistuje-li taková definice, je třeba podle ustálené judikatury zohlednit nejen obvyklý smysl pojmu „zdroj“ v běžném jazyce, ale také kontext tohoto ustanovení a cíle sledované právní úpravou, jejíž je součástí(28). 53.      Pojem „zdroj“ něčeho je ve svém obvyklém smyslu definován jako „osoba, místo nebo věc, od kterých to získáte“(29). V souladu s tím je třeba z hlediska informací, které musí být zpřístupněny podle čl. 15 odst. 1 písm. g) GDPR, zkoumat původ předmětných osobních údajů. Navíc vzhledem k tomu, že se čl. 15 odst. 1 písm. g) GDPR použije pouze „pokud [osobní údaje] nejsou získány od subjektu údajů“, je zřejmé, že „zdrojem“ podle tohoto ustanovení nemůže být samotný subjekt údajů. 54.      Pokud jde o kontext čl. 15 odst. 1 písm. g) GDPR, podotýkám, že pojem „zdroj“ je uveden rovněž v čl. 14 odst. 2 písm. f) tohoto nařízení, který stanoví právo získat od správce informace o „[zdroji], ze kterého osobní údaje pocházejí“(30), jestliže nebyly získány od samotného subjektu údajů. To podle mého názoru potvrzuje, že pojem „zdroj“ uvedený v čl. 15 odst. 1 písm. g) GDPR označuje původ osobních údajů. 55.      A nakonec, pokud jde o cíle GDPR, je důležité připomenout, že článek 15 GDPR „doplňuje rámec transparentnosti uvedeného nařízení tím, že subjektu údajů přiznává právo na přístup k jeho osobním údajům a právo na informace týkající se zpracování těchto údajů“(31). 56.      Cílem odstavce 1 písm. a) až h) tohoto článku je provést posledně uvedené právo. Toto ustanovení tím, že stanoví, že subjekt údajů má právo na informace o zpracování svých osobních údajů, umožňuje tomuto subjektu posoudit správnost osobních údajů a zákonnost zpracování, jakož i účinně vykonávat související práva stanovená v tomto nařízení, zejména právo na opravu, právo na výmaz („právo být zapomenut“), právo na omezení zpracování a právo na námitku(32), která všechna směřují k posílení „kontroly“ subjektu údajů nad jeho osobními údaji(33). 57.      Domnívám se, že rozsah práva na informace o „zdroji“ osobních údajů obsaženého v čl. 15 odst. 1 písm. g) GDPR je třeba určit právě s ohledem na tuto konkrétní funkci(34). Je tedy třeba zkoumat, zda jsou informace požadované podle tohoto ustanovení nezbytné k tomu, aby subjekt údajů mohl zajistit správnost svých osobních údajů nebo zákonnost jejich zpracování, nebo aby mohl účinně uplatňovat svá práva podle uvedeného nařízení(35). 58.      Podle mého názoru tomu tak je například v případě, kdy se subjekt údajů dovolává čl. 15 odst. 1 písm. g) GDPR za účelem zjištění „zdroje“ nepřesných údajů, které se ho týkají, aby tak zabránil dalšímu kolování těchto údajů mezi různými správci(36) (tedy zabránil dalšímu „zpracování“), nebo v případě, kdy zpřístupnění dostupných informací týkajících se „zdroje“ příslušných osobních údajů umožňuje subjektu údajů zjistit, že ve vztahu k totožným údajům byla provedena předchozí operace zpracování nebo soubor operací spadajících do věcné působnosti GDPR – v souvislosti s nimiž je oprávněn uplatnit práva, která mu vyplývají z uvedeného nařízení. 59.      Po těchto upřesněních poznamenávám, že Komise a italská vláda mají za to, že pokud relevantní osobní údaje spočívají v názoru („hodnocení“) nebo ve faktickém vyjádření týkajícím se subjektu údajů obsaženém v e-mailu, pak je „zdrojem“ takového názoru autor e-mailu (v projednávané věci TS). Komise a italská vláda tvrdí, že v takové situaci musí být čl. 15 odst. 1 písm. g) GDPR vykládán v tom smyslu, že „veškeré dostupné informace o zdroji“ osobních údajů nezahrnují totožnost osob, s nimiž autor vedl (ústní) rozhovor o subjektu údajů před tím, než si utvořil svůj názor nebo sepsal faktické vyjádření o tomto subjektu. 60.      S tím souhlasím. Podle mého mínění však lze k takovému závěru dospět pouze za podmínky, že názor („hodnocení“) nebo faktické vyjádření týkající se subjektu údajů ve sporném e-mailu lze skutečně přičíst autorovi tohoto e-mailu. V tomto ohledu souhlasím s Komisí, že skutečnost, že autor v e-mailu odkazuje na názory jiných osob týkající se subjektu údajů, je irelevantní, pokud lze dotčené osobní údaje (tj. názor nebo faktické vyjádření) stále přičíst samotnému autorovi a nejedná se pouze o citaci těchto názorů. V tomto druhém případě mám totiž za to, že „zdrojem“ osobních údajů (názoru) by byla třetí osoba nebo osoby, jejichž názory byly citovány, a nikoli autor e-mailu. 61.      V projednávané věci přísluší předkládajícímu soudu, aby s ohledem na skutečnosti, jež má k dispozici, určil, zda je názor („hodnocení“) týkající se RS a obsažený ve sporném e-mailu skutečně přičitatelný TS, nebo zda se naopak jedná pouze o názory dříve sdělené TS třetí osobou (a sice jiným učitelem, s nímž TS hovořil o RS), které TS pouze reprodukoval nebo citoval v e-mailu, jak podle všeho tvrdí RS(37).  Pokud by tento soud konstatoval, že názor na RS obsažený ve sporném e-mailu lze přičíst TS, pak se domnívám – podobně jako Komise a italská vláda – že právo RS na informace o „zdroji“ tohoto názoru, které plyne z čl. 15 odst. 1 písm. g) GDPR, by se nemohlo vztahovat na získání informací týkajících se takové třetí osoby, jelikož za „zdroj“ daného názoru může být považován pouze TS. 62.      Předkládající soud si nicméně klade otázku, zda ze skutečnosti, že čl. 15 odst. 1 písm. g) GDPR odkazuje nejen na „zdroj“ relevantních osobních údajů, ale rovněž na „veškeré dostupné informace o [tomto] zdroji“, vyplývá, že i v případě, kdy je „zdrojem“ názoru nebo faktického vyjádření týkajícího se subjektu údajů obsaženého v e-mailu autor e-mailu, má subjekt údajů právo získat informace o skutečnostech nebo osobách, které přispěly k vytvoření takového názoru nebo k takovému faktickému vyjádření autorem (jako je totožnost třetí osoby, s níž autor vedl ústní konverzaci). 63.      V tomto ohledu se zaprvé ztotožňuji s názorem italské vlády a Komise, že takový výklad čl. 15 odst. 1 písm. g) GDPR by byl příliš široký vzhledem k množství skutečností, které by mohly být relevantní zejména při utváření názoru. Uveďme jako příklad skutkové okolnosti věci, v níž byl vydán rozsudek Nowak(38). Část dotčených osobních údajů představovaly subjektivní korekturní poznámky zkoušejícího na listu s odpověďmi na zkušební otázky. Mohly by v takové situaci „veškeré dostupné informace o zdroji“ osobních údajů ve smyslu čl. 15 odst. 1 písm. g) GDPR zahrnovat veškeré informace o osobách, s nimiž zkoušející mohl přijít do styku při hodnocení odpovědí na zkušební otázky – počítaje v to například kolegu, který mu poskytl radu ohledně hodnocení odpovědí uchazečů, jakož i souseda, který způsoboval zvláště rušivý hluk, čímž zkoušejícího popudil do té míry, že hodnotil odpovědi přísněji než obvykle? Podle mého názoru nikoli. 64.      Zadruhé i s ohledem na zvláštní funkci práva na informace o zdroji osobních údajů obsaženého v čl. 15 odst. 1 písm. g) GDPR, kterou jsem nastínil v bodě 57 výše, mi není jasné, jak by získání informací o totožnosti třetí osoby, která není „zdrojem“ relevantních osobních údajů (v projednávané věci se jedná o názor nebo faktické vyjádření o subjektu údajů v e-mailu), ale pouze přispěla k vytvoření takového názoru nebo k tomu, že autor e-mailu formuloval takové vyjádření na základě ústního rozhovoru s ní, umožnilo subjektu údajů zajistit správnost svých osobních údajů či zákonnost jejich zpracování, nebo vykonat svá práva, která pro něj vyplývají z GDPR. 65.      Zatřetí, jak již bylo uvedeno v bodech 25 a 26 výše, bod 4 odůvodnění GDPR jasně stanoví, že právo na ochranu osobních údajů v žádném případě „není právem absolutním“ a „musí být posuzováno v souvislosti se svou funkcí ve společnosti a [...] musí být v rovnováze s dalšími základními právy“, včetně práva na svobodu myšlení a svobodu projevu. Totéž platí pro různá práva, která subjektům údajů vyplývají z GDPR a která mají za cíl zajistit užitečný účinek práva na ochranu osobních údajů, jako je právo na přístup k osobním údajům stanovené v článku 15 GDPR(39), ohledně něhož Soudní dvůr konstatoval, že tímto právem by neměla být nepříznivě dotčena práva ani svobody ostatních(40). Je nepochybné, že podobné zvážení musí být provedeno i ve vztahu k právu na informace o zdroji osobních údajů podle čl. 15 odst. 1 písm. g) GDPR. 66.      V této souvislosti je podle mého názoru zjevné, že sdělení totožnosti třetí osoby, která sama není „zdrojem“ relevantních osobních údajů (v projednávané věci se jedná o názor nebo faktické vyjádření týkající se subjektu údajů v e-mailu), ale která pouze přispěla k vytvoření takového názoru nebo k tomu, že autor e-mailu formuloval takové vyjádření na základě ústního rozhovoru s ní, by nepřiměřeně naklonilo rovnováhu ve prospěch subjektu údajů tím, že by byla nepříznivě dotčena řada práv nebo svobod třetí osoby, zejména její právo na svobodu myšlení a svobodu projevu(41) nebo právo na soukromí a respektování komunikace(42). 67.      Z těchto úvah vyplývá, že pokud je „zdrojem“ názoru („hodnocení“) nebo faktického vyjádření týkajícího se subjektu údajů obsaženého v e-mailu sám autor e-mailu, subjekt údajů nemá podle čl. 15 odst. 1 písm. g) GDPR právo na získání informací o skutečnostech nebo osobách (jako je totožnost třetí osoby, s níž autor vedl ústní rozhovor), které přispěly k vytvoření takového názoru nebo k tomu, že autor formuloval takové faktické vyjádření. 68.      Závěrem připomínám, že čl. 15 odst. 1 písm. g) GDPR přiznává subjektům údajů právo na „veškeré dostupné informace o zdroji“ osobních údajů, které se jich týkají, a nikoli právo na jakékoli informace o zdroji osobních údajů a zdrojích tohoto zdroje. Jestliže by Soudní dvůr na rozdíl od toho, co navrhuji, přijal výklad tohoto ustanovení nastíněný v bodě 62 výše, vedlo by to k tomu, že pokud by zdrojem osobních údajů byl například spis nebo záznam, měl by subjekt údajů podle čl. 15 odst. 1 písm. g) GDPR právo nejen na „veškeré dostupné informace“ o tomto spisu nebo záznamu, ale i na jakýkoli předchozí spis nebo záznam, na nichž je založen. Jinými slovy, rozsah působnosti tohoto ustanovení by se stal neomezeným. 2.      Ke druhé části druhé otázky 69.      Druhá část druhé otázky se týká situace, kdy za „zdroj“ dotčených osobních údajů – v projednávané věci se jedná o názor nebo faktické vyjádření týkající se subjektu údajů obsažené v e-mailu – musí být považována třetí osoba, a nikoli autor e-mailu. Jak jsem vysvětlil v bodě 60 výše, tato situace by nastala pouze tehdy, pokud by názor nebo vyjádření uvedené v e-mailu nebyly přičitatelné autorovi e-mailu, protože by se jednalo jen o reprodukci či citaci názorů dříve vyjádřených třetí osobou. 70.      Podle mého názoru je zřejmé, že v této situaci by se rovněž uplatnilo zvažování popsané v bodě 65 tohoto stanoviska. Jinak řečeno, sdělení totožnosti „zdroje“ relevantních osobních údajů podle čl. 15 odst. 1 písm. g) GDPR by nebylo automatické. Musely by být zohledněny taktéž práva a svobody osoby, která by byla považována za „zdroj“, a zváženy ve vztahu k právu subjektu údajů na získání informací o zdroji osobních údajů podle uvedeného ustanovení. 71.      V tomto ohledu představuje relevantní faktor skutečnost, že dotčená třetí osoba nemohla předvídat, že její vyjádření budou předmětem zpracování osobních údajů. To totiž naznačuje, že se třetí osoba účastnila rozhovoru, který považovala za důvěrný nebo soukromý, přičemž neočekávala, že by obsah tohoto rozhovoru, resp. vůbec skutečnost, že se jej zúčastnila, byly sdíleny se subjektem údajů na základě ustanovení GDPR. Podle mého mínění by v takové situaci měl být kladen zvláštní důraz na význam dodržování práva třetí osoby na svobodu myšlení a projevu(43), jakož i práva na soukromí a respektování komunikace(44). 72.      Kromě toho mi není jasné, jak by i v případě, že by názor nebo vyjádření týkající se subjektu údajů obsažené v e-mailu spočívaly pouze v reprodukci nebo citaci názorů dříve vyjádřených třetí osobou ústně, mohlo získání informací o totožnosti této osoby (tedy o „zdroji“) na základě čl. 15 odst. 1 písm. g) GDPR přispět k dosažení cíle sledovaného tímto ustanovením, kterým je, jak jsem připomněl v bodě 57 výše, umožnit subjektu údajů zajistit zejména správnost svých osobních údajů. Názory jsou totiž ze své podstaty zcela subjektivní. To znamená, že na rozdíl od faktických vyjádření je obtížné ověřit jejich přesnost či správnost(45). C.      Právo na náhradu újmy podle článku 82 GDPR za porušení čl. 15 odst. 1 GDPR (třetí otázka) 73.      Podstatou třetí otázky předkládajícího soudu je, zda nepříznivé následky, které subjekt údajů utrpěl v důsledku toho, že správce porušil povinnost poskytnout informace stanovenou v čl. 15 odst. 1 GDPR (v projednávané věci povinnost poskytnout informace o „zdroji“ shromážděných osobních údajů stanovená v písm. g) uvedeného článku GDPR), představují „újmu, [která byla způsobena] zpracováním, jež porušuje [uvedené] nařízení“ ve smyslu čl. 82 odst. 2 GDPR, což vede k odpovědnosti správce a jeho odpovídající povinnosti poskytnout subjektu údajů náhradu újmy. 74.      Předkládající soud vysvětluje, že Soudní dvůr žádá v podstatě o to, aby objasnil, zda porušení této povinnosti může založit subjektu údajů nárok na náhradu újmy podle článku 82 GDPR jako celku. Konkrétněji řečeno, pokud by byl TS považován za „správce“ ve smyslu čl. 4 bodu 7 uvedeného nařízení a za subjekt, který jednal v rozporu s čl. 15 odst. 1 písm. g) tohoto nařízení, měl by RS nárok na náhradu újmy podle článku 82 GDPR? Navrhuji tedy, aby Soudní dvůr přeformuloval třetí otázku tak, aby zahrnovala výklad uvedeného ustanovení v celém jeho rozsahu, namísto toho, aby byla omezena pouze na druhý odstavec dotčeného ustanovení(46). 75.      Pokud jde tedy o výklad článku 82 GDPR, rozumím tomu tak, že pochybnosti předkládajícího soudu ohledně výkladu tohoto ustanovení plynou ze skutečnosti, že povinnost poskytnout informace stanovená v čl. 15 odst. 1 uvedeného nařízení vzniká až poté, co došlo k příslušnému zpracování osobních údajů(47), jakož i v případě, že ke zpracování ve skutečnosti vůbec nedošlo(48), zatímco čl. 82 odst. 2 GDPR odkazuje na „újmu, [která byla způsobena] zpracováním [...]“(49). S ohledem na toto znění lze předpokládat, jak podle všeho činí předkládající soud, že právo na náhradu újmy stanovené v článku 82 uvedeného nařízení vzniká pouze ve vztahu k újmě způsobené zpracováním v rozporu s GDPR, a nikoli ve vztahu k újmě vyplývající z porušení povinnosti stanovené v tomto právním předpise, k níž, stejně jako k povinnosti poskytnout informace stanovené v čl. 15 odst. 1 tohoto nařízení, dochází po takovém zpracování nebo nezávisle na něm. 76.      Podle mého názoru je však zřejmé, že se právo na náhradu újmy stanovené v prvním ustanovení vztahuje na újmu způsobenou porušením této povinnosti. 77.      Zaprvé, pokud jde o historii vzniku článku 82 GDPR, připomínám, že odpovídající ustanovení jeho předchůdce, a sice článku 23 směrnice 95/46, odkazovalo na „[škodu způsobenou] neoprávněným zpracováním nebo jinou činností neslučitelnou s vnitrostátními předpisy přijatými k provedení [směrnice 95/46]“. Je zřejmé, že unijní normotvůrce při přijímání GDPR nezamýšlel snížit úroveň ochrany poskytované subjektům údajů ve srovnání s úrovní, kterou jim poskytovala směrnice 95/46 – právě naopak(50). 78.      V tomto ohledu dále uvádím, že v průběhu legislativního procesu, který vedl k přijetí GDPR, Rada navrhla omezit právo subjektů údajů na odškodnění na škodu, která vznikla „následkem zpracování, jež není v souladu s [GDPR]“(51). Toto omezení však v konečném znění článku 82 uvedeného nařízení není obsaženo. 79.      Zadruhé článek 82 GDPR plní dvojí funkci. Na jedné straně přiznává subjektu údajů právo na náhradu újmy a v zásadě stanoví odpovídající odpovědnost správce nebo zpracovatele za utrpěnou újmu (čl. 82 odst. 1). Na druhé straně stanoví konkrétní podmínky, za nichž může být správce či zpracovatel případně oba shledáni odpovědnými (nebo zproštěni odpovědnosti) za tuto újmu, jakož i způsob, jakým by měla být odpovědnost mezi nimi rozdělena, pokud se do dotčeného zpracování zapojilo více subjektů (čl. 82 odst. 2 až 5). 80.      Z toho plyne, že účelem čl. 82 odst. 2 GDPR není určit rozsah práva subjektů údajů na náhradu újmy jako takového. Jeho účelem je naopak upřesnit režim odpovědnosti, jehož princip je stanoven v odstavci 1 tohoto článku(52). 81.      Rozsah práva na náhradu újmy musí být určen s ohledem na znění čl. 82 odst. 1 GDPR, který neobsahuje totéž omezení jako odstavec 2 tohoto článku, neboť mnohem obecněji stanoví, že „[k]dokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.“(53) „Zpracování“ zde není zmíněno. 82.      S ohledem na tyto skutečnosti mám za to, že odkaz na „újmu, [která byla způsobena] zpracováním“ uvedený v čl. 82 odst. 2 GDPR nelze vykládat tak, že omezuje rozsah práva na náhradu újmy stanoveného v čl. 82 odst. 1 tohoto nařízení pouze na takovou újmu. K podobnému závěru dospěl generální advokát M. Szpunar ve stanovisku ve věci Brillen Rottler(54), v němž popsal čl. 82 odst. 2 GDPR jako „doplňující pravidlo“, a nikoli jako omezení odst. 1 uvedeného článku. 83.      Kromě toho Soudní dvůr v nedávném rozsudku vydaném v této věci(55) výslovně konstatoval, že čl. 82 odst. 1 GDPR neobsahuje žádný odkaz na „zpracování“, takže „právo na náhradu újmy nemůže být omezeno na újmu vzniklou zpracováním osobních údajů“(56). 84.      V tomto rozsudku Soudní dvůr taktéž připomněl, že čl. 82 odst. 1 GDPR je uveden v kapitole VIII tohoto nařízení, která upravuje opravné prostředky, pravidla odpovědnosti a sankce umožňující ochranu těchto práv, a musí být vykládán ve světle bodu 141 odůvodnění GDPR, který stanoví, že každý subjekt údajů by měl mít právo na účinnou soudní ochranu v souladu s článkem 47 Listiny, „jestliže se domnívá, že byla porušena jeho práva podle [uvedeného] nařízení“(57). Dodal, že toto právo zahrnuje právo subjektu údajů na přístup ke svým osobním údajům podle čl. 15 odst. 1 GDPR. Toto právo, spolu s dalšími právy přiznanými subjektům údajů článkem 15 uvedeného nařízení, včetně práva na získání informací uvedených pod písm. a) až h) odstavce 1, tak musí být chráněno článkem 82 GDPR, který proto musí být vykládán v tom smyslu, že se vztahuje na újmu vyplývající z porušení těchto práv. 85.      Zatřetí považuji za zřejmé, že omezení práva subjektu údajů na náhradu újmy podle tohoto ustanovení na újmu způsobenou protiprávním zpracováním údajů by bylo rovněž neslučitelné s cíli sledovanými tímto nařízením jako celkem, které spočívají, jak jsem uvedl výše v bodě 24, v zajištění „vysoké úrovně ochrany“ a „posílení […] práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují“. V rozsudku Brillen Rottler(58) Soudní dvůr v podstatě uvedl, že čl. 82 GDPR má zajistit provádění těchto cílů. 86.      Jak Komise správně podotkla, pokud by právo subjektu údajů na náhradu újmy podle uvedeného ustanovení bylo omezeno na újmu způsobenou protiprávním zpracováním údajů, dotklo by se to nejen ochrany práv stanovených v článku 15 tohoto nařízení, ale také téměř všech práv subjektů údajů obsažených v kapitole III GDPR(59), která by se stala do značné míry právy symbolickými(60). Každé z těchto práv je totiž spojeno s odpovídající povinností správců, která jim vzniká až poté(61), co došlo k dotčenému (údajnému) zpracování údajů(62). 87.      Z těchto důvodů mám za to, že nepříznivé následky, které subjekt údajů utrpěl v důsledku porušení povinnosti poskytnout informace stanovené v čl. 15 odst. 1 GDPR, lze považovat za „újmu“ ve smyslu článku 82 tohoto nařízení, jež je spojena se vznikem povinnosti správce poskytnout subjektu údajů náhradu újmy podle tohoto ustanovení. D.      K otázce, zda článek 82 GDPR brání vnitrostátním právním předpisům, které stanoví vyloučení odpovědnosti správce (čtvrtá otázka) 88.      Nyní se budu zabývat čtvrtou otázkou, v rámci níž předkládající soud pro případ kladné odpovědi na první nebo třetí otázku žádá o odpověď na to, zda článek 82 GDPR brání vnitrostátní právní úpravě, která stanoví, že osoby jednající jako „orgány“ – čili jménem – určitých veřejnoprávních subjektů nemohou být činěny odpovědnými za újmu, kterou způsobí subjektům údajů jakožto správci nebo zpracovatelé. 89.      Tato otázka je položena v souvislosti s určitými specifickými rysy rakouského práva, konkrétně s těmi, které jsou uvedeny v §1 zákona o odpovědnosti orgánů veřejné moci, jenž stanoví, že osoby jednající jako „orgány“ spolku, spolkových zemí, obcí, jiných veřejnoprávních subjektů a institucí sociálního pojištění neodpovídají při naplňování zákonů za újmu, kterou komukoliv způsobí z důvodu svého protiprávního jednání. Proto nelze proti těmto osobám uplatnit nárok na náhradu újmy podle článku 82 GDPR(63). 90.      Pokud jde o projednávanou věc, rozumím tomu tak, že TS musí být jakožto ředitel základní školy v Rakousku považován za „orgán“ dotyčné spolkové země (jelikož podle rakouského práva školy nemají právní subjektivitu, a tudíž nemohou být žalovány). Z ustanovení §1 zákona o odpovědnosti orgánů veřejné moci vyplývá, že i kdyby TS splňoval všechny podmínky nezbytné k tomu, aby mohl být považován za „správce“ ve smyslu čl. 4 bodu 7 GDPR, pokud jde o zpracování osobních údajů, o které se jedná ve věci v původním řízení (čemuž tak podle mého názoru není, jak bylo vysvětleno), RS by proti němu přesto nemohl uplatnit podle článku 82 uvedeného nařízení nárok na náhradu újmy , která byla údajně způsobena porušením čl. 15 odst. 1 písm. g) uvedeného nařízení ze strany TS. Předkládající soud si klade otázku, zda je takové vnitrostátní ustanovení v rozporu s článkem 82 GDPR. 91.      Domnívám se, že nikoliv. Takové vnitrostátní ustanovení, jako je §1 zákona o odpovědnosti orgánů veřejné moci, totiž samo o sobě nebrání subjektu údajů v tom, aby podal žalobu na náhradu újmy, pokud se příslušného porušení GDPR dopustila osoba jednající jménem veřejnoprávního subjektu. Naopak pouze přenáší odpovědnost za náhradu újmy na dotčený subjekt. 92.      Podle všeho je hlavním cílem takového přenesení odpovědnosti zajištění ochrany poškozeného tím, že je mu umožněno obrátit se na solventního dlužníka(64). Na rozdíl od toho, co tvrdí žalobce, není tedy smyslem takového vnitrostátního ustanovení, jako je §1 zákona o odpovědnosti orgánů veřejné moci, omezit právní ochranu subjektu údajů, ale spíše ji posílit. 93.      S ohledem na tyto úvahy mi není jasné, jak by takové vnitrostátní ustanovení mohlo být považováno za neslučitelné s článkem 82 GDPR. 94.      Uznávám, že čl. 82 odst. 2 uvedeného nařízení, který stanoví, že „[s]právce zapojený do zpracování je odpovědný za újmu, kterou způsobí zpracováním, jež porušuje [GDPR]“, by mohl být na první pohled chápán tak, že stanoví přímou odpovědnost správce. 95.      Samotným důvodem existence článku 82 GDPR je však podle ustálené judikatury Soudního dvora(65) poskytnout subjektu údajů plnou a účinnou náhradu újmy, která mu vznikla v důsledku porušení GDPR(66). Jak jsem již uvedl v bodě 84 výše, toto ustanovení je obsaženo v kapitole VIII uvedeného nařízení, která upravuje opravné prostředky, pravidla odpovědnosti a sankce umožňující ochranu těchto práv. Je tedy třeba jej vykládat ve světle bodu 141 odůvodnění GDPR, který výslovně odkazuje na právo subjektů údajů na účinnou soudní ochranu v souladu s článkem 47 Listiny, jsou-li porušena jejich práva podle tohoto nařízení. 96.      Podle mého názoru tudíž nezáleží na tom, zda náhradu újmy poskytuje přímo správce či zpracovatel, nebo veřejnoprávní subjekt, který takovou osobu zaměstnává nebo za ni odpovídá. Důležité je, aby byla újma, kterou subjekt údajů v důsledku porušení GDPR skutečně utrpěl, plně nahrazena. 97.      Tento závěr není dotčen srovnáním článku 82 GDPR s čl. 83 odst. 7 tohoto nařízení, který výslovně ponechává na uvážení členských států, aby určily, do jaké míry je možno ukládat správní pokuty orgánům veřejné moci a veřejným subjektům. Podle RS lze neexistenci jakéhokoli podobného prostoru pro uvážení v článku 82 GDPR vykládat pouze v tom smyslu, že členské státy nejsou oprávněny vyloučit odpovědnost orgánů veřejné moci, veřejnoprávních subjektů a tedy výkonných pracovníků za soukromoprávní nároky na náhradu újmy. 98.      Tento argument však přehlíží skutečnost, že články 82 a 83 GDPR sledují odlišné cíle(67). Prvně uvedené ustanovení má výlučně kompenzační funkci (jinými slovy, týká se náhrady újmy vzniklé subjektu údajů), zatímco druhé ustanovení má sankční funkci(68). Domnívám se, že z důvodu této sankční funkce musí být správní pokuty v zásadě přímo „vázány“ na dotčeného správce nebo zpracovatele. 99.      Jak je vysvětleno v bodě 91 výše, takové vnitrostátní ustanovení, jako je §1 zákona o odpovědnosti orgánů veřejné moci, pouze přenáší odpovědnost za náhradu újmy z osoby jednající jménem právního subjektu na dotčený subjekt(69). Naproti tomu, pokud členský stát stanoví pravidla na základě čl. 83 odst. 7 uvedeného nařízení, může zcela vyloučit ukládání správních pokut svým orgánům veřejné moci a veřejným subjektům. 100. Za těchto okolností mám za to, že článek 82 GDPR nebrání vnitrostátní právní úpravě, podle níž osoby jednající jménem určitých veřejnoprávních subjektů nemohou být činěny odpovědnými za újmu, kterou způsobí subjektům údajů jakožto správci nebo zpracovatelé, jestliže tato právní úprava rovněž určuje subjekt, vůči němuž mohou tyto subjekty údajů uplatnit nárok na náhradu újmy. V.      Závěry 101. S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Oberster Gerichtshof (Nejvyšší soud, Rakousko) takto: „Článek 4 bod 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že fyzická osoba, která při výkonu své činnosti zpracovává osobní údaje nikoli ve vlastním osobním zájmu, ale jako vedoucí organizace a prostřednictvím prostředků, které jí taková organizace poskytuje a určuje, se nepovažuje za „správce“ ve smyslu uvedeného ustanovení.“ 1      Původní jazyk: angličtina. i      Název projednávané věci je fiktivní. Neodpovídá skutečnému jménu žádné ze zúčastněných stran. 2      Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1 až 88). 3      Viz čl. 4 bod 1 GDPR. 4      Tamtéž. 5      Viz bod 7 odůvodnění GDPR. 6      Viz bod 11 odůvodnění GDPR. 7      Viz čl. 1 odst. 2 GDPR a bod 10 odůvodnění GDPR. 8      Viz bod 7 odůvodnění GDPR. Toto nařízení vychází z pojetí subjektu údajů jako aktivního jedince, který je schopen rozhodovat o osobních údajích, které se ho týkají (viz Spieckergen. Döhmann, I.; Papakonstantinou, V.; Hornung, G. a De Hert, P., General Data Protection Regulation: Article-by-Article Commentary, Nomos Baden-Baden, 2023, s. 86). 9      „Zpracováním“ se podle čl. 4 bodu 2 GDPR rozumí „jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“. 10      Viz čl. 15 odst. 1 GDPR: „[s]ubjekt údajů má právo získat od správce […]“ (kurzivou zvýraznil autor stanoviska). 11      V takové situaci jsou „účely a prostředky zpracování osobních údajů“ samy o sobě určeny právem Evropské unie či členského státu. 12      Viz rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 68). Tento rozsudek se týkal výkladu pojmu „správce“, který byl vymezen čl. 2 písm. d) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355). Ačkoli tato směrnice již není v platnosti a byla nahrazena GDPR, výklad tohoto ustanovení podaný Soudním dvorem zůstává relevantní pro aplikaci posledně uvedeného nařízení, vzhledem k tomu, že definice tohoto pojmu je v obou nástrojích totožná, pomineme-li drobné formální změny. Budu tedy bez rozlišování odkazovat na rozsudky týkající se obou dvou těchto nástrojů. 13      V tomto ohledu viz také „Pokyny 07/2020 k pojmům správce a zpracovatele v GDPR“ Evropského sboru pro ochranu osobních údajů (EDPB), verze 2.1., přijaté dne 7. července 2021 (dále jen „pokyny EDPB 07/2020“, dostupné v angličtině na následující internetové adrese: https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf, s. 3 a body 21 a 25 až 27. 14      Viz rozsudek ze dne 4. října 2024, Bezirkshauptmannschaft Landeck (Pokus o přístup k osobním údajům uloženým v mobilním telefonu) (C‑548/21, EU:C:2024:830, bod 41 a citovaná judikatura). 15      Viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, bod 29). 16      Tamtéž, bod 30. 17      Kurzivou zvýraznil autor stanoviska. 18      Viz rozsudek ze dne 11. dubna 2024, juris (C‑741/21, EU:C:2024:288, body 47 až 49). 19      Tamtéž. V tomto ohledu viz také rozsudky ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501), ze dne 5. prosince 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950), a ze dne 25. ledna 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), v nichž bylo shledáno, že „správci“ byly společnosti, ačkoliv údajné „zpracování“ prováděli zaměstnanci těchto společností. 20      Viz rozsudek ze dne 5. prosince 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, bod 44). 21      Viz body 18 a 19 uvedených pokynů. 22      Souhlasím s Komisí, že podstatou první otázky předkládajícího soudu je pouze to, zda je nutno takovou osobu, jako je TS, považovat za „správce“ ve smyslu čl. 4 bodu 7 GDPR. Pokud by se tedy Soudní dvůr ztotožnil s mým názorem, že na tuto otázku je třeba odpovědět záporně, nedomnívám se, že by bylo nezbytné, aby rozhodl o tom, zda by za „správce“ měla být považována škola nebo příslušná spolková země namísto TS. 23      V tomto smyslu viz rozsudek ze dne 27. února 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, body 30 až 34). Viz také rozsudek ze dne 11. ledna 2024, État belge (Údaje zpracovávané v Úředním věstníku) (C‑231/22, EU:C:2024:7, bod 36). 24      V tomto ohledu viz rozsudek ze dne 7. března 2024, IAB Europe (C‑604/22, EU:C:2024:214, body 56 až 59). Pro příklad, kdy bylo skutečně shledáno, že subjekt (náboženská společnost) a členové tohoto subjektu jsou společnými správci, viz rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551). 25      V této souvislosti viz mé stanovisko ve věci Lindenberg (C‑205/25, EU:C:2026:312, dále jen „mé stanovisko ve věci Lindenberg“), v jehož bodě 49 uvádím, že článek 15 GDP může být uplatňován pouze vůči správci. 26      Totéž platí i pro čtvrtou otázku, která je relevantní pouze „v případě kladné odpovědi na první nebo třetí otázku“ (kurzivou zvýraznil autor stanoviska). 27      V tomto ohledu viz rozsudek ze dne 20. prosince 2017, Nowak (C‑434/16, EU:C:2017:994, bod 34), k pojmu „osobní údaje“, jak byl vymezen v čl. 2 písm. a) směrnice 95/46, a rozsudek ze dne 2. prosince 2025, Russmedia Digital a Inform Media Press (C‑492/23, EU:C:2025:935, bod 49). V tomto ohledu viz také „Pokyny 01/2022 k právům subjektů údajů – právo na přístup“, EDPB, verze 2.1, přijaté dne 28. března 2023 (dále jen „pokyny EDPB 01/2022“, dostupné na následující internetové adrese: https://www.edpb.europa.eu/system/files/2024-04/edpb_guidelines_202201_data_subject_rights_access_v2_cs.pdf 28      Viz rozsudek ze dne 19. března 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, bod 24 a citovaná judikatura). 29      Viz definice pojmu „zdroj“ uvedená v on-line verzi slovníku Collins Dictionary dostupné na následující internetové adrese: https://www.collinsdictionary.com/dictionary/english/source. Podle internetového Cambridge Dictionary se pojmem „zdroj“ obvykle rozumí místo, odkud něco pochází, nebo někdo či něco poskytující informace (https://dictionary.cambridge.org/dictionary/english/source). 30      Kurzivou zvýraznil autor stanoviska. 31      Viz rozsudek ze dne 9. ledna 2025, Österreichische Datenschutzbehörde (Nepřiměřené žádosti) (C‑416/23, EU:C:2025:3, bod 46). 32      V tomto smyslu viz rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, body 56 až 59 a citovaná judikatura). V tomto ohledu viz také bod 63 odůvodnění GDPR (bod 6 výše). 33      Viz bod 24 výše. 34      Obdobně viz bod 58 mého stanoviska ve věci Lindenberg, v němž mám za to, že rozsah práva získat kopii údajů podle čl. 15 odst. 3 GDPR zůstává striktně vymezen jeho funkcí. 35      V tomto smyslu viz opět rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, body 69 až 75), v němž Soudní dvůr analyzuje, zda sdělení relevantních informací může být nezbytné pro zaručení spravedlivého a transparentního zacházení, což by umožnilo subjektu údajů plně uplatnit práva, která pro něj vyplývají z tohoto nařízení. 36      Viz pokyny EDPB 01/2022, bod 36. 37      RS totiž tvrdí, že pokud jsou informace získané při ústní konverzaci s třetí osobou reprodukovány v e-mailu přesně tak, jak byly obdrženy (jako je tomu podle jeho názoru ve věci v původním řízení), musí být za „zdroj“ osobních údajů obsažených v e-mailu považována samotná třetí osoba. 38      Rozsudek ze dne 20. prosince 2017 (C‑434/16, EU:C:2017:994). 39      Viz bod 63 odůvodnění GDPR. 40      V tomto ohledu viz také rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 77). 41      Viz článek 11 Listiny a článek 10 Evropské úmluvy o ochraně lidských práv (EÚLP). 42      Která jsou chráněna článkem 7 Listiny a článkem 8 EÚLP. 43      Viz článek 11 Listiny a článek 10 EÚLP. 44      Která jsou chráněna článkem 7 Listiny a článkem 8 EÚLP. 45      Uznávám nicméně, že v takové situaci může získání informací o totožnosti zdroje osobních údajů umožnit subjektu údajů, aby zabránil tomu, aby jeho osobní údaje dále kolovaly mezi různými správci (tedy zabránil dalšímu „zpracování“) (viz bod 58 výše). Tato úvaha však podle mého názoru sama o sobě nestačí k odůvodnění zpřístupnění totožnosti zdroje (třetí osoby) subjektu údajů. 46      V tomto ohledu připomínám, že v rámci postupu spolupráce mezi vnitrostátními soudy a Soudním dvorem zavedeného článkem 267 SFEU Soudnímu dvoru přísluší poskytnout vnitrostátnímu soudu užitečnou odpověď, která mu umožní rozhodnout spor, jenž mu byl předložen. Z tohoto hlediska Soudnímu dvoru přísluší případně přeformulovat otázky, které jsou mu položeny, a v případě potřeby zohlednit i normy unijního práva, na které vnitrostátní soud ve své otázce neodkázal [viz rozsudek ze dne 30. dubna 2026, Lidl Italia (Nekalé obchodní praktiky týkající se potravin), C‑301/25, EU:C:2026:357, bod 25]. 47      Subjekt údajů má právo získat od správce informace uvedené v čl. 15. odst. 1 pod písm. a) až h) GDPR pouze tehdy, když jsou osobní údaje, které se ho týkají, zpracovávány. 48      Podle čl. 15 odst. 1 GDPR má subjekt údajů také „právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány“ (kurzivou zvýraznil autor stanoviska). 49      Kurzivou zvýraznil autor stanoviska. Viz rovněž čl. 82 odst. 4 GDPR a bod 146 odůvodnění tohoto nařízení, který zmiňuje „[v]eškerou újmu, která může osobám vzniknout v důsledku zpracování“. 50      V tomto ohledu viz také stanovisko generálního advokáta M. Szpunara ve věci Brillen Rottler (C‑526/24, dále jen „stanovisko ve věci Brillen Rottler“, EU:C:2025:723, body 69 až 71) 51      V tomto ohledu viz Poznámku předsednictví Rady č. 9565/15 ze dne 11. června 2015, „Návrh nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů) – příprava obecného přístupu“, dostupnou na následující internetové adrese: https://data.consilium.europa.eu/doc/document/ST‑9565-2015-INIT/cs/pdf (s. 185). 52      Viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata (C‑200/23, EU:C:2024:827, bod 159). V této souvislosti viz také stanovisko ve věci Brillen Rottler, v němž generální advokát v bodě 70 vysvětlil, že čl. 82 odst. 2 GDPR zavedl odpovědnost zpracovatele, která nebyla uvedena v článku 23 směrnice 95/46. 53      Kurzivou zvýraznil autor stanoviska. 54      Bod 73. 55      Viz rozsudek ze dne 19. března 2026, Brillen Rottler (C‑526/24, dále jen „rozsudek Brillen Rottler“, EU:C:2026:216). 56      Viz bod 48. V bodě 59 tohoto rozsudku Soudní dvůr rovněž připomněl svou ustálenou judikaturu, podle níž musí být pro vznik práva na náhradu újmy prokázána příčinná souvislost mezi utrpěnou újmou a porušením GDPR v širším smyslu. Pokud je mi známo, přísnější požadavek na příčinnou souvislosti mezi touto újmou a „protiprávním zpracováním“ (namísto „porušení GDPR“) je obsažen pouze v rozsudku ze dne 4. října 2024, Agencia po vpisvanijata (C‑200/23, EU:C:2024:827, bod 159). Je obsažen také v bodě 36 rozsudku ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů) (C‑300/21, EU:C:2023:370); nicméně bod 32 odkazuje obecněji na „porušení GDPR“. 57      Bod 49. 58      Bod 53. 59      Tato kapitola zahrnuje kromě různých práv na informace stanovených v článcích 12 až 15 také právo na opravu osobních údajů (článek 16), právo na výmaz těchto údajů (článek 17), právo na omezení zpracování osobních údajů (článek 18) a právo na přenositelnost údajů (článek 20). 60      V tomto smyslu viz rozsudek Brillen Rottler, bod 53. 61      Kapitola III GDPR rovněž zahrnuje právo „kdykoli“ vznést námitku proti zpracování osobních údajů (článek 21 GDPR). Na rozdíl od ostatních práv uvedených v této kapitole se mi jeví, že toto právo musí být uplatněno tehdy, když jsou tyto údaje zpracovávány, neboť z něj v zásadě vyplývá povinnost správce již dále dotčené osobní údaje nezpracovávat. 62      Totéž platí pro další povinnosti uložené správcům v rámci kapitoly III GDPR, jako jsou povinnosti stanovené v článcích 26 a 30 tohoto nařízení, jejichž porušení nepředstavuje „protiprávní zpracování“ (viz v tomto ohledu rozsudek Brillen Rottler, bod 52 a citovaná judikatura). 63      V tomto ohledu viz §9 odst. 5 zákona o odpovědnosti orgánů veřejné moci, jehož obsah jsem připomněl v bodě 11 výše. 64      V tomto ohledu viz Kucsko-Stadlmayer, G. „Art. 23 BV-G“ v Korinek, K., Holoubek M., et al (Hrsg), Österreichisches Bundesverfassungsrecht, Verlag Österreich, 2013. Ústavním základem §1 zákona o odpovědnosti orgánů veřejné moci je §23 Bundes-Verfassungsgesetz (dále jen „B-VG“ či „spolkový ústavní zákon“). 65      V tomto ohledu viz rozsudky ze dne 4. října 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, bod 34 a citovaná judikatura), a ze dne 4. září 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, bod 78 a citovaná judikatura). 66      V tomto ohledu viz také bod 146 odůvodnění GDPR, který uvádí, že „[s]ubjekty údajů by měly obdržet plnou a účinnou náhradu újmy, kterou utrpěly“. 67      V tomto ohledu viz rozsudky ze dne 11. dubna 2024, juris (C‑741/21, EU:C:2024:288, bod 56), a ze dne 20. června 2024, PS (Nesprávná adresa) (C‑590/22, EU:C:2024:536, bod 38). 68      V tomto ohledu viz rozsudky ze dne 20. června 2024, Scalable Capital (C‑182/22 a C‑189/22, EU:C:2024:531, body 2 a 23 a citovaná judikatura), ze dne 20. června 2024, PS (Nesprávná adresa) (C‑590/22, EU:C:2024:536, bod 41), a ze dne 4. září 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, bod 70 a citovaná judikatura). 69      V této souvislosti podotýkám, že přenesení odpovědnosti na základě §1 zákona o odpovědnosti orgánů veřejné moci nevede nutně k úplnému zproštění odpovědnosti dotčeného „orgánu“. Podle čl. 23 odst. 2 spolkového ústavního zákona a §3 zákona o odpovědnosti orgánů veřejné moci může veřejnoprávní subjekt, který nahradil subjektu údajů újmu způsobenou jedním z jeho „orgánů“, uplatnit regresní nárok vůči tomuto „orgánu“, pokud tento jednal úmyslně nebo se dopustil hrubé nedbalosti.