Prezes UODO wyjaśnia, jak dochodzić odszkodowania za naruszenie RODO

Opracowanie: Michał Kowalski

Obydwa wyroki Trybunału Sprawiedliwości dotyczą odszkodowania za szkodę niemajątkową (krzywdę) spowodowaną naruszeniem RODO. Pierwszy z nich wydany został w dniu 11 kwietnia 2024 r. w sprawie C-741/21 GP/juris GmbH.

TSUE wskazał, że do dochodzenia tego odszkodowania nie wystarczy samo wykazanie, że naruszono przepisy RODO. Przesłanką odpowiedzialności odszkodowawczej jest tu poniesienie szkody przez podmiot danych. Przy czym bez znaczenia dla istnienia odpowiedzialności pozostaje tu wysokość poniesionej szkody.

Ważnym aspektem jest tu także domniemanie winy. Otóż zakłada się, że administrator uczestniczył w przetwarzaniu danych, które doprowadziło do wyrządzenia szkody osobie, której dane dotyczą. Tym samym to na administratorze spoczywa ciężar dowodu, że takiej szkody nie wyrządził.

Do najnowszego orzeczenia TSUE odniósł się Prezes Urzędu Ochrony Danych Osobowych. W ocenie organu nadzorczego wydany wyrok, jako że wpisuje się w dotychczasową linię orzeczniczą, nie wymaga wprowadzania zmian w krajowych przepisach. Jest jednak istotny w kontekście interpretacji przepisów dotyczących zasad odpowiedzialności i prawa odszkodowania.

Prezes UODO wyjaśnił tu, że w zakresie dochodzenia odszkodowania za naruszenie RODO należy stosować przepisy Kodeksu cywilnego w zakresie odpowiedzialności deliktowej. Otóż zgodnie z art. 415 Kodeksu cywilnego, kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia.

Organ nadzorczy odniósł się także do kolejnego wyroku TSUE z 20 czerwca 2024 r. w C-590/22 PS. Trybunał udzielił w nim odpowiedzi na 6 pytań prejudycjalnych. Pierwsze dwa z nich brzmiały następująco:

1. Czy dla powstania roszczenia o odszkodowanie na podstawie art. 82 ust. 1 RODO wystarczy, że został naruszony przepis tego rozporządzenia chroniący osobę występującą z roszczeniem, czy też jest konieczne, aby doszło do dalszego uszczerbku u osoby występującej z roszczeniem, wykraczającego poza naruszenie przepisów jako takie?”

2. Czy zgodnie z prawem Unii dla powstania roszczenia o odszkodowanie za szkodę niemajątkową na podstawie art. 82 ust. 1 rozporządzenia 2016/679 jest konieczne, aby uszczerbek miał określoną wagę?

Trybunał tak jak w przypadku pierwszego orzeczenia wskazał, że samo w sobie naruszenie RODO nie jest wystarczające i konieczne jest wykazanie istnienia szkody spowodowanej tym naruszeniem. Z drugiej strony szkoda ta nie musi osiągnąć minimalnego progu uszczerbku – taki próg bowiem nie obowiązuje.

Kolejne pytanie prejudycjalne dotyczyło kwestii, czy do powstania roszczenia o odszkodowanie za szkodę niemajątkową na podstawie art. 82 ust. 1 RODO wystarczy, że osoba występująca z roszczeniem obawia się, że w wyniku naruszeń rozporządzenia jej dane osobowe trafiły w obce ręce, przy czym nie można tego stwierdzić pozytywnie. Odpowiadając na to pytanie TSUE wskazał, że do uzasadnienia prawa do odszkodowania wystarczająca jest wyrażona przez osobę obawa, że jej dane osobowe w wyniku naruszenia RODO zostały ujawnione stronie trzeciej. Przy czym obawa ta wraz z jej negatywnymi skutkami musi zostać należycie udowodniona.

TSUE odpowiedział też na pytanie, czy jest zgodne z prawem UE, jeśli krajowy sąd, ustalając wysokość odszkodowania za szkodę niemajątkowe, stosuje odpowiednio kryteria dotyczące administracyjnych kar pieniężnych z art. 83 ust. 2 RODO i czy odszkodowanie może mieć skutek odstraszający. W tym przypadku odpowiedź była przecząca.

Trybunał wyjaśnił także, czy jest zgodne z prawem UE uwzględnianie przy ustalaniu wysokości odszkodowania jednocześnie popełnionych naruszeń przepisów krajowych, których celem jest ochrona danych osobowych, ale które nie są aktami delegowanymi lub wykonawczymi przyjętymi na mocy tego RODO ani prawem krajowym doprecyzowującym to rozporządzenie. W tym przypadku TSUE nie wykluczył wyższego odszkodowania w związku ze szkodą spowodowaną także naruszeniem przepisów krajowych. 

Stanowisko UODO dotyczące drugiego z wyroków TSUE jest dostępne tutaj.