Czy wystarczy uzasadniona obawa o wyciek danych, by domagać się odszkodowania?

Wyjaśnienia prezesa Urzędu Ochrony Danych Osobowych skierowane do Kancelarii Premiera dotyczą wyroku TSUE z 20 czerwca 2024 r. w sprawie o sygn. C-590/22 PS. Trybunał odniósł się w nim do pytań prejudycjalnych dotyczących dochodzenia roszczenia z tytułu szkody niemajątkowej za naruszenie przepisów RODO (art. 82 ust. 1 tego rozporządzenia). Wskazał, że dochodzenie takiego roszczenia wymaga wykazania, że powstała szkoda (nie wystarczy sam fakt naruszenia przepisów). Nie ma przy tym żadnego minimalnego progu wartości, jaki ta szkoda musi osiągnąć, ale od jej wielkości zależy jednak wysokość odszkodowania. Niezbędny jest związek przyczynowo-skutkowy między naruszeniem a szkodą.

Czytaj więcej

Dane osobowe

Kradzież danych osobowych ze szpitala. Co mogą zrobić pacjenci?

Po tym, gdy we włocławskim szpitalu doszło do włamania do skrzynki mailowej sekretariatu, pytamy ekspertów, co mogą teraz zrobić pacjenci i jak ochronić się przed takimi zdarzeniami w przyszłości. Pierwszym krokiem może być zastrzeżenie numeru PESEL.

W dalszej kolejności TSUE wskazał, że dla uzasadnienia prawa do odszkodowania wystarczy jedynie obawa osoby, której dane dotyczą, że w wyniku naruszenia trafiły one do osób trzecich. Wyrażając taką obawę, trzeba jednak wskazać negatywne skutki ujawnienia danych, których ona dotyczy, oraz należycie ją uzasadnić. W polskim prawie dopuszczalne jest bowiem uznanie samej obawy za szkodę niemajątkową. Na koniec TSUE dodał, że odszkodowanie, w odróżnieniu od kary, nie ma mieć funkcji odstraszającej, a zatem przy określaniu jego wysokości nie można stosować odpowiednio przepisów o wysokości kary.

Prezes UODO dodał, że choć orzeczenie TSUE nie rodzi konieczności zmiany przepisów krajowych, to może mieć wpływ na postępowania odszkodowawcze w tego typu sprawach.

Im lepiej udokumentowane obawy o naruszenie danych, tym wyższe zadośćuczynienie

Radca prawny Jakub Wezgraj z kancelarii ODOekspert podkreśla, że dochodzenie zadośćuczynienia finansowego trzeba powiązać z obowiązkami administratora danych. To on bowiem stwierdza, że doszło do naruszenia, i musi o tym poinformować osobę, której dane dotyczą. Obejmuje to też informację, na czym polegało naruszenie, jakie skutki może wywołać dla praw i wolności konkretnej osoby, oraz jak można temu przeciwdziałać we własnym zakresie, a także jakie działania podjął sam administrator.

– Takiej osobie już wówczas przysługuje roszczenie odszkodowawcze, nie musi ona już nic wykazywać, gdyż fakt naruszenia został stwierdzony przez administratora – tłumaczy ekspert. – Gdy zainteresowany dostaje taką wiadomość i obserwuje jakieś „dziwne działania” wobec siebie, to faktycznie może mieć uzasadnione obawy, że są to skutki wspomnianego naruszenia. Im bardziej jest w stanie to udokumentować, tym bardziej wskazuje poziom uszczerbku w swoich dobrach osobistych, co może mieć wpływ na poziom naruszenia tych dóbr, a co za tym idzie, wysokość zadośćuczynienia finansowego – dodaje.

Czytaj więcej

Opinie Prawne

Mirosław Wróblewski: Ochrona prywatności i danych osobowych jako prawo człowieka

Konieczne jest aktualizowanie uprawnień organów ochrony danych osobowych, zwłaszcza w odniesieniu do nowych technologii.

Inna jest sytuacja, gdy to dana osoba dowiaduje się o naruszeniu z innych źródeł niż administrator danych.

– Wówczas początkiem jest obawa, że dane wyciekły. Później trzeba je zaadresować – ustalić, skąd te dane wyciekły. Ale obarczanie kogoś odpowiedzialnością za wyciek, jeśli zainteresowany nie ma na to dowodów, jest obawą nieuzasadnioną. To na razie tylko przypuszczenia i można z nimi iść do sądu, ale on pewnie zapyta o dowody, a zainteresowany raczej ich nie ma, chyba że sam znajdzie swoje dane w internecie z plikami wskazującymi, od kogo one pochodzą. Jeśli uda się udowodnić, że do wycieku doszło, to już sam jego fakt jest podstawą do roszczeń z tytułu naruszenia dóbr osobistych – wyjaśnia Jakub Wezgraj.

I dodaje, że nie trzeba wykazywać winy za wyciek, a jedynie wskazać, kogo pozywamy i dlaczego akurat jego (a więc potwierdzić związek przyczynowo-skutkowy wycieku i działania administratora).

Mało pozwów o odszkodowanie za naruszenie RODO przez brak informacji i skomplikowane przepisy

Z kolei prof. Grzegorz Sibiga, adwokat z kancelarii Traple Konarski Podrecki i Wspólnicy, wskazuje że w warunkach polskich pismo prezesa UODO należy bardziej traktować jako „ćwiczenie intelektualne” niż urzędowe stanowisko mające wpływ na realną odpowiedzialność za naruszenia przepisów RODO.