Po raz kolejny konsultant telefonicznie oferuje Ci nowy zestaw garnków? A może firma oferująca udzielająca szybkie pożyczki ma Twoje wszystkie dane i nie daje Ci spokoju, zasypując kolejnymi ofertami?
Czy poza zgłoszeniem sprzeciwu administratorowi lub podmiotowi przetwarzającemu dane, bądź też złożeniem skargi do Prezesa Urzędu Ochrony Danych Osobowych, osobie, której dane osobowe zostały ujawnione w sposób sprzeczny z przepisami RODO przysługuje odszkodowanie?
Wielu przedsiębiorców zdaje sobie sprawę z astronomicznych kar – nawet do 20 mln euro – które mogą zostać na nich nałożone na podstawie decyzji Prezesa Urzędu Ochrony Danych Osobowych za naruszenia przepisów RODO, czyli Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), które to środki trafiają do budżetu Państwa.
Mało kto jednak wie, że poza drogą administracyjną, Poszkodowany, którego dane „wyciekły” – tj. zostały ujawnione sprzecznie z RODO – może wystąpić także o odszkodowanie i zadośćuczynienie bezpośrednio na swój rachunek. Roszczenie takie można formułować w oparciu o art. 82 RODO, w myśl którego każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.
Czym są dane osobowe? W jaki sposób mogą być przetwarzane?
Według definicji zawartej w RODO, „dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować – w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową, czy też społeczną tożsamość osoby fizycznej (art. 4 pkt 1 RODO). Z art. 5 ust. 1 lit. c) RODO wynika przy tym, że przetwarzane (a więc i przekazywane osobie trzeciej) dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne jest do celów, w których są przetwarzane.
Jak dotychczas orzekały sądy w takich sprawach?
W wyroku z 6 sierpnia 2020 roku, Sąd Okręgowy w Warszawie XXV Wydział Cywilny, w sprawie o sygn. akt XXV C 2596/19, przyznał na rzecz Powódki kwotę 1 500 zł, jako zadośćuczynienie za bezprawne przekazanie jej numeru telefonu oraz numeru PESEL. Ubezpieczyciel przekazał pokrzywdzonemu w wyniku szkody komunikacyjnej dane właścicielki pojazdu, pomimo iż to nie ona była sprawcą zdarzenia. Sąd w rozpoznawanej sprawie doszedł do przekonania, że przekazanie jej imienia i nazwiska, czy numeru rejestracyjnego było konieczne dla celów dochodzenia przez Poszkodowanego odszkodowania. Sąd wskazał, że poza te cele wykracza udostępnienie numeru PESEL i numeru telefonu właściciela pojazdu i w konsekwencji działanie Ubezpieczyciela było zawinione – wykraczało poza upoważnienie ustawowe wynikające z przywołanych wyżej przepisów, a więc było bezprawne.
Kiedy i jak żądać odszkodowania i zadośćuczynienia za ujawnienie naszych danych niezgodnie z RODO?
Jeżeli zatem Twoje dane osobowe zostały przekazane bez Twojej zgody lub też przekazano więcej informacji, niż było to niezbędne na podstawie przepisów odrębnych ustaw, możesz dochodzić stosownego odszkodowania w Sądzie.
Zgodnie z art. 17 pkt. 45 – Sądem właściwym do rozpoznania sprawy o roszczenia wynikające z naruszenia praw przysługujących na mocy przepisów o ochronie danych osobowych jest Sąd Okręgowy.
Jednocześnie podkreślić należy, iż ciężar dowodowy spoczywa na podmiocie przetwarzającym dane osobowe. To administrator danych musi udowodnić przed sądem, że w sposób zgodny z przepisami przetwarzał dane powoda, co wynika z art. 82 ust. 3 RODO.
