SDEU: I první žádost o přístup k osobním údajům může být odmítnuta jako zneužívající
Soudní dvůr EU ve věci C-526/24 Brillen Rottler poprvé výslovně potvrdil, že právo na přístup podle čl. 15 GDPR není absolutní. I jediná, první žádost může být odmítnuta, pokud správce prokáže, že jejím skutečným cílem není transparentnost, ale umělé vytvoření nároku na náhradu škody.
Rozsudek ze 19. března 2026 posouvá dosavadní praxi, podle které mohli správci odmítat žádosti o přístup převážně jen tehdy, pokud byly opakované nebo zjevně excesivní (čl. 12 odst. 5 GDPR). Soudní dvůr nyní jasně uvedl, že pojem „nepřiměřená žádost“ není omezen pouze na opakování – lze jej aplikovat i na první žádost, pokud je zneužívající.
Případ Brillen Rottler
Žadatel se přihlásil k odběru newsletteru německého optika Brillen Rottler a pouhých 13 dní poté podal formální žádost o přístup k osobním údajům. Firma žádost odmítla, protože měla důvodné podezření, že žadatel systematicky podává podobné žádosti u různých společností a následně vymáhá náhradu nemajetkové újmy. Takovým praktikám se v německy mluvících zemích říká „DSGVO-Abmahnungen“.
Praktické dopady
Rozsudek neznamená, že mohou správci plošně odmítat žádosti o přístup. Výjimka je výjimečná a vyžaduje silné důkazy. Naopak neopodstatněné odmítnutí žádosti může samo o sobě zakládat nárok na náhradu škody.
Pro e-shopy, provozovatele newsletterů, věrnostních programů a další firmy s velkým počtem zákazníků je však rozsudek důležitý – posiluje jejich pozici v boji proti spekulativním a systematickým žádostem.
Doporučení pro praxi:
- Vedejte evidenci podezřelých žadatelů (samozřejmě v souladu s GDPR).
- Při odmítnutí vždy řádně zdůvodněte a poučte žadatele o možnosti stížnosti k dozorovému úřadu.
- Nepoužívejte rozsudek jako univerzální „zástěrku“ pro odmítání běžných žádostí.
Další články
SDEU: I první žádost o přístup k osobním údajům může být odmítnuta jako zneužívající
Nové zranitelnosti v katalogu CISA KEV: čtení paměti v Citrix NetScaler při konfiguraci SAML IDP
