TSUE wyjaśnia zasady odpowiedzialności za naruszenie RODO

Już sama obawa przed konsekwencjami wycieku danych może stanowić szkodę wymagającą rekompensaty. Trzeba ją jednak udowodnić – uznał TSUE.

Szkodę trzeba udowodnić
Kompensacja, nie represja

Najnowsze, ubiegłotygodniowe orzeczenie Trybunału Sprawiedliwości Unii Europejskiej jest kolejnym, w którym doprecyzowano zasady odszkodowania, którego można się domagać po wycieku danych. To jedna z najczęściej pojawiających się wątpliwości, jakie w swych pytaniach prejudycjalnych kierowanych do trybunału poruszają sądy krajowe.

W tej sprawie zostali poszkodowani małżonkowie z Niemiec, będący klientami kancelarii doradztwa podatkowego. Poinformowali oni kancelarię o tym, że zmienili adres zamieszkania. Na skutek błędu korespondencję dotyczącą zeznania podatkowego przesłano jednak pod stary adres. Nowi mieszkańcy przekazali ją za pośrednictwem swej rodziny właściwym odbiorcom, ale okazało się, że w kopercie brakuje oryginału deklaracji podatkowej, który, zdaniem małżeństwa, też powinien się tam znaleźć. Potencjalnie mogło więc dojść do ujawnienia wielu istotnych danych podatników. Dlatego skierowali oni do sądu pozew przeciwko kancelarii, domagając się 15 tys. euro odszkodowania.

Szkodę trzeba udowodnić

Część pytań zadanych przez niemiecki sąd już wcześniej była przedmiotem rozważań TSUE, dlatego odpowiadając na nie, skład orzekający poprzestał na samym wskazaniu orzeczeń. Dotyczy to m.in. kwestii tego, czy sam fakt naruszenia RODO może oznaczać konieczność wypłaty odszkodowania.

„Osoba dochodząca odszkodowania za szkodę niemajątkową (…) jest zobowiązana wykazać nie tylko naruszenie przepisów tego rozporządzenia, ale również to, iż owo naruszenie wyrządziło jej taką szkodę” – napisano w uzasadnieniu wyroku, odsyłając do orzeczeń w sprawach C 300/21 oraz C 741/21.

W kolejnym pytaniu niemiecki sąd docieka, czy do zaistnienia szkody trzeba wykazać, że dane rzeczywiście zostały ujawnione osobie nieuprawnionej, czy też wystarczy sama obawa, że tak mogło się stać z powodu utraty kontroli nad tymi danymi. TSUE, również odnosząc się do swego wcześniejszego orzecznictwa, uznał, że sama obawa może oznaczać szkodę niemajątkową. Podkreślił jednak, że trzeba ją wykazać.

Zwolnienie dyscyplinarne za naruszenie RODO możliwe, ale trzeba być ostrożnym

„Z uwagi na brak jakiegokolwiek odniesienia w art. 82 ust. 1 RODO do prawa krajowego państw członkowskich pojęcie «szkody niemajątkowej» w rozumieniu tego przepisu powinno otrzymać autonomiczną i jednolitą definicję, właściwą prawu Unii. (…) Obawa przed potencjalnym nadużywaniem jej danych osobowych przez stronę trzecią, jaką osoba, której dane dotyczą, odczuwa w następstwie naruszenia tego rozporządzenia, może sama w sobie stanowić «szkodę niemajątkową»” – można przeczytać w uzasadnieniu wyroku.

Kompensacja, nie represja

Osobną kwestią jest wysokość odszkodowania. Sąd niemiecki dociekał, czy przy ustalaniu jego wysokości pewną wskazówką mogą być określone w RODO zasady dotyczące kar administracyjnych. Zdaniem TSUE w przypadku odszkodowań sądy nie powinny się jednak nimi kierować.

„RODO nie zawiera przepisu mającego na celu określenie zasad dotyczących ustalenia odszkodowania (…). W związku z tym, w braku norm prawa Unii w tej dziedzinie, do porządku prawnego każdego państwa członkowskiego należy określenie zasad dotyczących działań mających na celu zapewnienie podmiotom prawa ochrony uprawnień wynikających ze wspomnianego art. 82, a w szczególności kryteriów pozwalających na określenie zakresu należnego w tych ramach odszkodowania, z zastrzeżeniem poszanowania zasad równoważności i skuteczności” – uznał trybunał. Jednocześnie zastrzegł, że odszkodowanie nie pełni funkcji odstraszającej czy represyjnej. Waga naruszenia nie może mieć wpływu na wysokość odszkodowania. W przeciwnym razie mogłoby się okazać, że przewyższa ono całkowitą kompensatę szkody.©℗