Najpierw zdarzenie — wyciek zbioru danych, mail reklamowy bez zgody, narzędzie śledzące na stronie —, potem poczta: osoba, której dane dotyczą, często reprezentowana, żąda odszkodowania za swoją „szkodę niemajątkową" na podstawie art. 82 RODO. I rzadko kończy się na jednym piśmie. Takie roszczenia przychodzą falami, z niemal identycznymi, powielanymi fragmentami tekstu, czasem po kilkadziesiąt naraz. Pierwsza reakcja wielu przedsiębiorstw waha się między „zignorujmy to" a „zapłaćmy, żeby był spokój". Oba podejścia mogą drogo kosztować. Czy w ogóle coś się należy — a jeśli tak, to ile —, rozstrzyga się bowiem przy pytaniach, które w pismach seryjnych chętnie się pomija: czy naprawdę wystąpiła szkoda? Czy powstała w wyniku Państwa przetwarzania? I czy to Państwa obciąża odpowiedzialność? Poniżej przeczytają Państwo, kiedy odpowiada się z art. 82 RODO, gdzie orzecznictwo europejskie stawia granice — i jakimi liniami taką wierzytelność można odeprzeć.
Zbiór danych wyciekł — przez atak, błędną konfigurację, pomyłkowe wysłanie. Tygodnie później przychodzą pisma, często od pełnomocnika, często tuzinami i jednobrzmiące: rzekomo doszło do „utraty kontroli", jest się „w obawie" i żąda się kwoty pieniężnej. Czy każdy z tych nadawców rzeczywiście poniósł naprawialną szkodę, jest pytaniem rozstrzygającym — i często otwartym.
Mail reklamowy bez skutecznej zgody, narzędzie analityczne lub reklamowe przekazujące dane osobom trzecim, formularz kontaktowy bez czystej podstawy prawnej. Także z tego wywodzi się roszczenia z art. 82. Tu obok szkody pojawia się przede wszystkim pytanie, czy w ogóle doszło do naruszenia — i czy właśnie u żądającego nadawcy wywołało ono uszczerbek.
Incydent zdarzył się u usługodawcy — chmura, firma wysyłkowa newslettera, serwis IT. Teraz niejasne jest, kto odpowiada: Państwo jako administrator, podmiot przetwarzający czy oboje? Kto za jaką część musi odpowiadać i kto może się zwolnić, rozstrzyga o Państwa pozycji w stosunku zewnętrznym wobec osoby, której dane dotyczą, oraz wewnętrznym wobec usługodawcy.
Odszkodowanie za naruszenie ochrony danych ma własną podstawę roszczenia, płynącą wprost z rozporządzenia europejskiego. Aby ocenić wierzytelność, trzeba rozdzielić trzy poziomy: co się naprawia, pod jakimi warunkami oraz kto może być pozwany. Właśnie na tych poziomach rozstrzyga się, czy pismo seryjne się broni, czy nie.
Co się naprawia — także szkoda niemajątkowa. Brzmienie jest punktem wyjścia każdego roszczenia: „Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę" (art. 82 ust. 1 RODO). Naprawia się więc nie tylko szkodę majątkową — konkretnie utracone euro —, ale też szkodę niemajątkową, na przykład odczuwaną utratę kontroli albo obawę o własne dane. To, że ta szkoda niemajątkowa w ogóle jest wyrównywana w pieniądzu, jest właściwym napędem fal roszczeń: da się ją twierdzić bez wykazywania konkretnego uszczerbku majątkowego.
Granica rozstrzygająca: samo naruszenie nie wystarcza. Tu leży największe nieporozumienie — i najskuteczniejsza linia obrony. Samo naruszenie RODO jeszcze nie rodzi roszczenia o zapłatę. Wedle orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej samo naruszenie przepisów rozporządzenia nie wystarcza do powstania prawa do odszkodowania; potrzebne są raczej trzy rzeczy jednocześnie: naruszenie RODO, rzeczywiście powstała u osoby, której dane dotyczą, szkoda oraz związek przyczynowy między naruszeniem a tą szkodą (TSUE, wyrok z 04.05.2023, C-300/21). Gdy brakuje wykazanej, rzeczywistej szkody, roszczenie trafia w próżnię — naruszenie może istnieć, lecz bez szkody nie jest wyrównywane. Właśnie tę szkodę wiele pism seryjnych jedynie twierdzi, zamiast ją w sposób sprawdzalny wykazać.
Ale: brak progu bagatelności przy szkodzie niemajątkowej. Granica nie biegnie tam, gdzie niejeden ją podejrzewa. Roszczenia nie da się zbyć argumentem, że twierdzona szkoda jest „zbyt mała". Trybunał orzekł, że art. 82 RODO stoi na przeszkodzie przepisowi krajowemu, który uzależnia naprawienie szkody niemajątkowej od tego, że szkoda osiągnie „określony stopień powagi (istotności)" (TSUE, C-300/21). Nie ma więc progu istotności ani bagatelności: także nieznaczna, ale rzeczywista szkoda niemajątkowa jest zasadniczo naprawialna. Właściwa obrona nie zaczyna się dlatego przy „za mało", lecz o stopień wcześniej — przy pytaniu, czy w ogóle wykazano i spowodowano rzeczywistą szkodę. Samo pojęcie szkody podlega przy tym autonomicznej wykładni prawa Unii, a więc jednolitej w całej Unii i niezależnej od wyobrażeń krajowych (TSUE, C-300/21).
Kto odpowiada — administrator i podmiot przetwarzający. Adresatem roszczenia jest administrator lub podmiot przetwarzający (art. 82 ust. 1 RODO). Przy tym każdy uczestniczący w przetwarzaniu administrator odpowiada za szkodę z przetwarzania niezgodnego z rozporządzeniem; podmiot przetwarzający odpowiada węziej — tylko wtedy, gdy nie dopełnił obowiązków nałożonych na niego wprost przez rozporządzenie albo działał poza zgodnymi z prawem instrukcjami administratora bądź wbrew nim (art. 82 ust. 2 RODO). Kto pełni jaką rolę, nie jest więc formalnością, lecz przesądza o tym, kto w ogóle ponosi odpowiedzialność.
Zwolnienie z odpowiedzialności — dowód braku winy. Odpowiedzialność nie jest czystą odpowiedzialnością za skutek. Administrator lub podmiot przetwarzający „zostaje zwolniony z odpowiedzialności …, jeżeli udowodni, że w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody" (art. 82 ust. 3 RODO). Kierunek dowodu jest więc odwrócony: to nie osoba, której dane dotyczą, musi wykazać winę, lecz przedsiębiorstwo może się zwolnić, dowodząc, że za zdarzenie wywołujące szkodę w żaden sposób nie ponosi winy. To wysoka poprzeczka — ale taka, przy której da się zaczepić właśnie przy przyczynach zewnętrznych lub zawinionych przez osoby trzecie.
Wielu uczestników — odpowiedzialność solidarna. Jeśli w tym samym przetwarzaniu uczestniczy wielu administratorów lub podmiotów przetwarzających i odpowiadają oni za szkodę, to każdy z nich odpowiada „za całą szkodę" — aby zapewnić osobie, której dane dotyczą, skuteczne odszkodowanie (art. 82 ust. 4 RODO). Osoba ta może więc wybrać sobie jednego i od niego żądać całości. Kto zapłacił w całości, może następnie od pozostałych uczestników odzyskać ich część (art. 82 ust. 5 RODO). Ten rozdział stosunku zewnętrznego i wewnętrznego jest ważny: na zewnątrz płacą Państwo może najpierw wszystko, w stosunku wewnętrznym odzyskują cudzą część — na przykład od usługodawcy, u którego zdarzył się incydent.
Praktyka Najdroższą pułapką jest skrót myślowy „było naruszenie, więc musimy zapłacić". To wedle orzecznictwa TSUE właśnie błąd — bez wykazanej, spowodowanej szkody nie ma odszkodowania. Drugą najdroższą pułapką jest odwrotny odruch, by pismo seryjne z ofertą ugody szybko zapłacić dla spokoju. Kto przy fali zapłaci raz bez sprawdzenia substancji, zaprasza kolejną falę i oddaje za darmo punkty, przy których roszczenia dają się odeprzeć.
Roszczenie z art. 82 RODO nie jest automatyzmem, lecz łańcuchem przesłanek, z których każda z osobna jest zaskarżalna. Gdzie pęknie jedno ogniwo, roszczenie nie utrzyma się. Poniższe linie da się prowadzić pojedynczo lub razem — która chwyci w konkretnej sprawie, zależy od stanu faktycznego i treści pisma.
Samo naruszenie nie wystarcza — musi wystąpić rzeczywiście powstała szkoda (TSUE, C-300/21). Pisma seryjne często tylko ryczałtowo twierdzą „utratę kontroli" albo „dyskomfort", nie uprawdopodabniając konkretnego uszczerbku. Gdzie realnej szkody nie wykazano, brakuje nośnej przesłanki roszczenia. Ważne: to nie jest kwestia istotności — progu bagatelności nie ma —, lecz pytanie, czy w ogóle istnieje rzeczywista szkoda.
Wymagany jest związek przyczynowy między konkretnym naruszeniem a konkretną szkodą (TSUE, C-300/21). Właśnie przy zbiorach danych krążących z wielu źródeł często otwarte jest, czy twierdzony uszczerbek wynika akurat z Państwa incydentu, a nie z innej przyczyny. To przyporządkowanie musi wykazać żądający — da się je celowo podważyć.
Dowód, że za zdarzenie wywołujące szkodę w żaden sposób nie ponosi się winy, zwalnia z odpowiedzialności (art. 82 ust. 3 RODO). To wysoka poprzeczka, ale przy zdarzeniach spowodowanych z zewnątrz — na przykład wyłącznym błędem osoby trzeciej — wart rozważenia trop, zakładający odpowiednią dokumentację Państwa środków.
Czy Państwa przedsiębiorstwo jest w konkretnym procesie administratorem czy podmiotem przetwarzającym — i czy w tej roli w ogóle odpowiada (art. 82 ust. 2 RODO)? Podmiot przetwarzający odpowiada tylko węziej. Przy wielu uczestnikach pojawia się nadto wewnętrzny rozrachunek (ust. 4 i 5): to, co płacą Państwo na zewnątrz, nie musi być tym, co ostatecznie ponoszą gospodarczo.
Nawet jeśli co do zasady coś się należy, nie wynika z tego dowolna kwota. Wysokość szkody wg orzecznictwa TSUE wymierzają sądy krajowe wedle swoich reguł procesowych — kwota podana w piśmie seryjnym jest żądaniem, a nie ustalonym roszczeniem. Między „nic się nie należy" a „żądaną kwotą" regularnie leży pole manewru.
W razie zdarzenia dwa bardzo różne skutki chętnie wrzuca się do jednego worka. Jeden to cywilne odszkodowanie z art. 82 RODO: należy się osobie, której dane dotyczą, ona sama go dochodzi i ono ląduje w jej kieszeni. Drugi to kara pieniężna organu nadzorczego z art. 83 RODO: nakłada ją państwo, przypada ona państwu i wymierza się ją wedle własnych ram — do 10 milionów euro albo 2 procent całkowitego rocznego światowego obrotu w jednej, do 20 milionów euro albo 4 procent w drugiej grupie przypadków (art. 83 ust. 4 i ust. 5 RODO), zależnie od tego, która kwota jest wyższa.
Dla Państwa reakcji rozróżnienie jest ważne: ugoda z pojedynczą osobą, której dane dotyczą, nie kończy ryzyka nadzorczego, i odwrotnie — załatwienie sprawy z organem nie likwiduje cywilnych roszczeń osób, których dane dotyczą. Oba tory mogą biec obok siebie i wymagają odrębnego sterowania — to, co wyjaśniają Państwo w jednym postępowaniu, może mieć znaczenie w drugim. Ten artykuł zajmuje się torem cywilnym, obroną przed roszczeniem odszkodowawczym.
Oba skrajne wyjścia są drogie. Płacenie bez sprawdzenia zaprasza kolejną falę i oddaje za darmo nośne zarzuty; zwykłe ignorowanie przy roszczeniach rzeczywiście zasadnych może prowadzić do postępowań i kosztów. Pisma trzeba najpierw przejrzeć i posortować wedle ich substancji.
Co się stało, jakie dane były dotknięte, jaka była podstawa prawna, czy uczestniczył podmiot przetwarzający? Ta jedna podstawa niesie obronę przeciw całej fali — bo pisma seryjne opierają się zwykle na tym samym incydencie i dają się odpowiedzieć tymi samymi punktami.
Sprawdzą Państwo dla każdego pisma: naruszenie, wykazaną rzeczywistą szkodę, przyczynowość, Państwa rolę i odpowiedzialność, wysokość (art. 82 RODO; co do przesłanek TSUE, C-300/21). Gdzie jednej z tych przesłanek nie wykazano, roszczenie da się celowo odrzucić — bez sięgania po niedopuszczalną argumentację bagatelnością.
Jeśli uczestniczył usługodawca, wyjaśnią Państwo wcześnie, kto w stosunku wewnętrznym ponosi jaką część (art. 82 ust. 4 i 5 RODO). To, co płacą Państwo najpierw na zewnątrz, mogą Państwo w stosunku wewnętrznym odzyskać proporcjonalnie — to należy do strategii, a nie dopiero do czasu po zapłacie.
Trzymają Państwo ryzyko kary organu (art. 83 RODO) i roszczenia cywilne (art. 82 RODO) osobno i uzgadniają oba ze sobą. To, co oświadczają Państwo wobec organu, może dotykać roszczeń cywilnych i odwrotnie — uzgodniona linia zapobiega temu, by na jednym froncie osłabić to, co potrzebne na drugim.
Właśnie przy fali opłaca się jednolita, nośna linia odpowiedzi, zamiast improwizować każdy przypadek na nowo. Niech substancja roszczeń i Państwa obrona zostaną sprawdzone, zanim odpowiedzą Państwo na pierwsze pismo — pierwsza reakcja często nadaje ton wszystkiemu dalszemu.
Trzeba rozdzielić dwa ryzyka. Jedno to suma roszczeń cywilnych: przy fali pojedyncza kwota wydaje się mała, w masie może się zsumować — dlatego warto mierzyć roszczenia ich substancją, zamiast przepuszczać je bez sprawdzenia. Drugie to odrębne od niego ryzyko nadzorcze kary pieniężnej (art. 83 RODO), rządzące się własnymi regułami. Oba da się przez przemyślaną, jednolitą reakcję wyraźnie stłumić — a w wielu przypadkach roszczenie załamuje się już co do zasady, gdy rzeczywistej, przyczynowej szkody nie wykazano.
Stałych cen ryczałtowych świadomie nie podajemy: czy chodzi o obronę przed pojedynczym pismem, o skoordynowaną odpowiedź na całą falę jednobrzmiących roszczeń, czy o uzgodnienie z równoległym postępowaniem nadzorczym, robi dla nakładu i sposobu działania całą różnicę. Rząd wielkości i uczciwą ocenę, która droga jest dla Państwa sensowna, poznają Państwo, gdy tylko poznamy incydent i pisma — a z reguły sprawdzone odrzucenie bezzasadnych roszczeń jest tańsze niż płacenie całej serii bez sprawdzenia.
Nie. Samo naruszenie RODO właśnie nie wystarcza do powstania prawa do odszkodowania. Wedle orzecznictwa TSUE muszą zejść się naruszenie, rzeczywiście powstała szkoda oraz związek przyczynowy między nimi (TSUE, wyrok z 04.05.2023, C-300/21). Gdzie realnej, spowodowanej szkody nie wykazano, roszczenie nie istnieje — nawet jeśli naruszenie może istnieć. Właśnie przy tym często zaczyna się obrona.
Tak nie. Dla szkody niemajątkowej nie ma progu bagatelności ani istotności: naprawienia nie wolno uzależniać od tego, że szkoda osiągnie określony stopień powagi (TSUE, C-300/21). Także niewielka, ale rzeczywista szkoda jest naprawialna. Właściwy trop jest o stopień wcześniej — pytanie, czy w ogóle wykazano rzeczywistą, przyczynową szkodę. Samo poczucie dyskomfortu bez faktycznej szkody roszczenia nie niesie.
Tak. Naprawialna jest szkoda majątkowa i niemajątkowa (art. 82 ust. 1 RODO). Nie musi więc wystąpić konkretna utrata majątku, by w ogóle wchodziło w grę roszczenie. Warunkiem pozostaje jednak zawsze, że rzeczywista szkoda powstała i została spowodowana naruszeniem (TSUE, C-300/21) — samo twierdzenie dyskomfortu bez dalszych okoliczności nie wystarcza.
To zależy od ról. Administrator odpowiada za szkodę z przetwarzania niezgodnego z rozporządzeniem; podmiot przetwarzający odpowiada węziej, tylko przy naruszeniu nałożonych na niego wprost obowiązków albo przy działaniu wbrew instrukcjom (art. 82 ust. 2 RODO). Gdy uczestniczy wielu, na zewnątrz każdy odpowiada za całą szkodę (ust. 4); w stosunku wewnętrznym płacący może odzyskać cudzą część (ust. 5). To, co płacą Państwo na zewnątrz, nie musi więc być tym, co ostatecznie poniosą.
Nie, to dwie odrębne rzeczy. Odszkodowanie z art. 82 RODO należy się osobie, której dane dotyczą, i przez nią jest dochodzone. Karę pieniężną z art. 83 RODO nakłada organ nadzorczy, przypada ona państwu i rządzi się własnymi ramami (do 10 albo 20 milionów euro lub 2 albo 4 procent całkowitego rocznego światowego obrotu). Ugoda z osobą, której dane dotyczą, nie kończy więc ryzyka organu i odwrotnie — oba tory wymagają odrębnego sterowania.
Usłyszą Państwo od nas, zwykle w ciągu 24 godzin, w dni robocze gwarantowanie w ciągu 48. Właśnie gdy wpłynęła fala jednobrzmiących roszczeń i wyznaczono terminy do odpowiedzi, liczy się każdy dzień — niech opiszą Państwo incydent i pisma raczej wcześniej niż później, zanim odpowiedzą na pierwsze.
„Przy fali roszczeń o ochronę danych rozstrzyga nie to, czy doszło do naruszenia, lecz czy dla pojedynczego nadawcy wykazano rzeczywistą, spowodowaną szkodę — kto spokojnie to sprawdza, zamiast odruchowo płacić albo ignorować, odbiera fali większość jej rozpędu", mówi adwokat Sebastian Müller.
Niech opiszą Państwo krótko, o co chodzi — otrzymają Państwo pierwszą ocenę. Usłyszą Państwo od nas, zwykle w ciągu 24 godzin, w dni robocze gwarantowanie w ciągu 48.
Opisz swoją sprawę