Czy każde naruszenie RODO uprawnia do odszkodowania?

Bardzo często klienci pytają mnie co im grozi za naruszenie przepisów RODO. Odpowiadam im wtedy zazwyczaj niezbyt satysfakcjonująco - przytaczam treść przepisów RODO, które przewiduje rozległy zakres kar oraz wskazuję, iż naruszenie RODO może spowodować powództwo cywilne o ochronę dóbr osobistych. Przy czym roszczenie nie ma żadnych granic i ram i nie sposób oszacować kwoty, które mogą być zasądzone.

W Polsce takich powództw nie ma za dużo, niemniej w jednym z pierwszych wyroków w tej sprawie (Wyrok Sądu Okręgowego w Warszawie z 6 sierpnia 2020 r., sygn. akt XXV C 2596/19) sąd zasądził 1,5 tys. złotych na rzecz poszkodowanej, gdzie ubezpieczyciel przekazał zbyt dużo informacji na jej temat osobie, która dochodziła swoich praw z tytułu polisy ubezpieczeniowej. Kwota nie robi wrażenia, ale wszystko zależy od skali - warto mieć na względzie, że jeśli dane przetwarza się masowo (sklep internetowy, szpital etc.) to ww. kwota może urosnąć do nawet kilkuset tysięcy, jeśli poszkodowanych znajdzie się więcej.

Niemniej w tym wpisie chciałby wskazać, że niedawno ukazała się opinia Rzecznika Generalnego TSUE (Opinia rzecznika generalnego TSUE z 6 października 2022 r. w sprawie C-300/21 ) odnośnie naruszenia RODO w jednym z krajów. Opinia zazwyczaj pokrywa się później z wyrokiem, zatem warto się nad nią pochylić.

Otóż przede wszystkim opinia rozwiewa wątpliwości i wskazuje, że samo naruszenie RODO nie stanowi powodu i podstawy do żądania odszkodowania. Aby dochodzić roszczenia z tytułu naruszenia dóbr osobistych musi wystąpić rzeczywista krzywda/szkoda na osobie, która w dodatku może być zobiektywizowana. Jest to o tyle ciekawe, że zazwyczaj polskie sądy w uzasadnieniach podkreślają, że nie istnieje zobiektywizowana szkoda/krzywda, lecz ona jest zawsze indywidualna . Niemniej w tej sprawie rzecznik wskazuje odmiennie.

Stan faktyczny przedmiotowej sprawy wyglądał w ten sposób, iż austriacka poczta w ramach dodatkowej działalności związanej z wydawaniem baz adresowych profilowała swych klientów także pod kątem sympatii politycznych bez ich uprzedniej zgody. Na podstawie swojego wywiadu i rezultatu profilowania, wrzucała konkretne osoby do szufladki z określonymi poglądami politycznymi i dostarczała mu wówczas ulotki zgodne z jego poglądami. Takie działanie wzbudziło oburzenie jednego z klientów, który poczuł się urażony faktem, że poczta uznała go za zwolennika jednej z partii. W rezultacie klient wytoczył powództwo wskazując, iż takie działanie poczty wywołało u niego wielkie wzburzenie i poczucie kompromitacji.

Rzecznik tak odniósł się do silnego wzburzenia klienta:

„Prawo do odszkodowania nie wydaje mi się właściwym instrumentem przeciwdziałania naruszeniom w przetwarzaniu danych osobowych, jeśli naruszenia te wywołują u osoby, której dane dotyczą, jedynie złość lub wzburzenie. Co do zasady każde naruszenie przepisu dotyczącego ochrony danych osobowych wywołuje jakąś negatywną reakcję osoby, której dane dotyczą. Odszkodowanie wynikające z samego poczucia niezadowolenia z powodu braku poszanowania prawa przez inną osobę można łatwo pomylić z odszkodowaniem bez szkody, które już odrzuciłem”

Oznacza to, że subiektywne poczucie danej osoby o swojej krzywdzie, które objawia się złością nie stanowi podstawy do odszkodowania. To implikuje kilka wniosków. Przede wszystkim można mówić o pewnej obiektywizacji krzywdy, którą należy przeprowadzać w przypadku oceny naruszenia dóbr osobistych. Drugi wniosek jest zbawienny dla przedsiębiorców - samo naruszenie RODO nie stanowi samoistnej podstawy roszczenia o odszkodowanie.