Ak by som sa vás spýtala, či môže súd použiť dôkaz, ktorého súčasťou sú osobné údaje získané v rozpore s GDPR, mnohí by pravdepodobne odpovedali, že nie. Nový rozsudok Súdneho dvora EÚ však ukazuje, že odpoveď nemusí byť až taká jednoznačná. Ide o rozsudok vo veci C-484/24 (NTH Haustechnik GmbH proti EM).
O čo v prípade išlo?
Nemecká spoločnosť NTH Haustechnik (prevádzkovateľ) viedla spor so svojou bývalou zamestnankyňou. Prevádzkovateľ tvrdil, že prostredníctvom internetovej platformy eBay tajne predávala firemný tovar a spôsobila mu tým škodu vo výške viac ako 46 000 eur. Bývalá pracovníčka sa bránila a tvrdila, že nič nepredávala bez vedomia prevádzkovateľa. Obhajovala sa aj tým, že išlo len o vrátený, chybný alebo zastaraný tovar, ktorý pre firmu už nemal žiadnu hodnotu, a preto jej ho prevádzkovateľ bezodplatne prenechal. Kľúčovou otázkou však nebolo len to, kto mal pravdu.
Problémom bolo aj to, ako sa prevádzkovateľ k informáciám o týchto predajoch dostal.
- Verzia prevádzkovateľa bola, že heslo do konta eBay údajne našiel vo firemnom počítači, ktorý bývalá zamestnankyňa používala. Vraj na základe uloženej histórie prehliadania získal informáciu o používanej aplikácii, a heslo k nej bolo uložené v zložke na serveri prevádzkovateľa.
- Bývalá zamestnankyňa mala však inú verziu. Tvrdila, že heslo nemala uložené na firemnom serveri. Podľa nej bol jej služobný telefón prevádzkovateľom úmyselne nahlásený ako stratený. Následne bola operátorom vydaná k nemu nová SIM-ka a prostredníctvom telefónneho čísla bolo obnovené heslo k jej súkromnému účtu na eBay.
Nemecký súd preto nevylúčil, že údaje použité v spore mohli byť získané nezákonným spôsobom. Obrátil sa preto na Súdny dvor EÚ s viacerými otázkami. Zaujímalo ho aj to, či môže súd pracovať s osobnými údajmi, ktoré mohli byť získané v rozpore s GDPR.
Inými slovami: Ak bol spôsob získania osobných údajov povedzme problematický, musí súd takýto dôkaz automaticky odmietnuť?
Automatické vylúčenie dôkazu? Nie.
Práve tu je rozsudok zaujímavý. Súdny dvor nepovedal, že každý dôkaz získaný v rozpore s GDPR musí byť automaticky vylúčený zo súdneho konania. Rovnako však nepovedal ani to, že spôsob získania údajov je nehrá žiadnu rolu. Zdôraznil, že je potrebné zohľadniť všetky okolnosti konkrétneho prípadu a posudzovať rôzne základné práva, ktoré sa v spore stretávajú. Na jednej strane stojí právo na ochranu osobných údajov a súkromie. Na druhej strane môže stáť napríklad právo na súdnu ochranu alebo právo domáhať sa náhrady škody.
Čo z rozsudku určite nevyplýva?
Po prečítaní rozsudku by sme si mali dať pozor na príliš zjednodušené závery. Rozhodnutie neznamená, že prevádzkovatelia môžu od teraz získavať dôkazy s osobnými údajmi akýmkoľvek spôsobom. Neznamená ani to, že porušenie GDPR zostane bez následkov. (Totiž ten, kto získa dôkaz nezákonne, sa vystavuje riziku uloženia pokút zo strany dozorného orgánu podľa článku 83 GDPR, ako aj riziku žaloby o náhradu škody, napríklad nemajetkovej ujmy zo strany dotknutej osoby podľa článku 82 GDPR.) A už vôbec z neho nevyplýva, že každý dôkaz získaný v rozpore s GDPR bude súdom automaticky prijatý.
Čo si z rozsudku odniesť?
Podľa môjho názoru je najdôležitejším odkazom tohto rozsudku jedno jednoduché poznanie: Porušenie GDPR automaticky neznamená „červenú kartu“ pre dôkaz v súdnom konaní. Ako ďalej však Súdny dvor zdôrazňuje, hoci súd takýto dôkaz môže použiť, nie je to bez obmedzení. Musí uplatniť zásadu minimalizácie údajov. Napríklad tak, že pred tým, ako sprístupní údaje ďalším účastníkom alebo pred zverejnením rozsudku, anonymizuje alebo pseudonymizuje dokument.