Czy za naruszenie przepisów o ochronie danych osobowych przysługuje odszkodowanie?
Jesteś administratorem danych osobowych i chciałbyś poznać granice swojej odpowiedzialności cywilnej? A może, jako poszkodowany zamierzasz domagać się odszkodowania? Czy też będąc podmiotem przetwarzającym zastanawiasz się, czy odpowiadasz względem osoby, której dane przetwarzasz? Z artykułu dowiesz się:
- Jakie są granice odpowiedzialności cywilnej za naruszenie ochrony danych osobowych,
- Jak kształtuje się odpowiedzialność, gdy w przetwarzaniu bierze udział większa liczba podmiotów,
- Do jakiego sądu należy wnieść pozew?
Granice odpowiedzialności za naruszenie danych osobowych
Odpowiedzialność cywilna za sprzeczne z prawem przetwarzanie danych osobowych została określona w przepisach ogólnego rozporządzenia o ochronie danych (potocznie RODO). Zgodnie z nimi podmiot naruszający zasady zawarte w rozporządzeniu zobowiązany jest do wyrównania poszkodowanemu:
- szkody majątkowej – np. poniesionych przez nią kosztów, strat, utraconego zarobku,
- szkody niemajątkowej (tzw. krzywdy), która polegać może np. na naruszeniu godności, tajemnicy korespondencji, zniesławieniu, itp.
Przedmiotowa odpowiedzialność nie jest jednakże bezwzględna i nie obejmuje przypadków, gdy przetwarzający dane nie ponosi winy za spowodowanie określonej szkody. W grę wchodzi przy tym także rażące niedbalstwo, czyli uchybienie spowodowane niedochowaniem należytej staranności, zasad właściwego postępowania, przezorności, itp.
Za szkodę – na zasadzie winy – ponosić może odpowiedzialność zarówno podmiot będący administratorem danych osobowych, jak również podmiot przetwarzający (procesor). Niemniej, ten ostatni odpowiada tylko za szkody spowodowane niedopełnieniem obowiązków, które ww. rozporządzenie nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom.
Odpowiedzialność łączna?
Jeżeli w tym samym przetwarzaniu uczestniczy więcej niż jeden administrator lub podmiot przetwarzający lub uczestniczy w nim zarówno administrator jak i podmiot przetwarzający i każdy z nich odpowiada za szkodę spowodowaną przetwarzaniem (zgodnie ze ww. zasadami), to ponoszą oni odpowiedzialność solidarną za całą szkodę, tak by zapewnić osobie, której dane dotyczą, rzeczywiste uzyskanie odszkodowania.
Odpowiedzialność solidarna oznacza, że osoba poszkodowana może domagać się pełnego odszkodowania od obu podmiotów odpowiedzialnych łącznie, od jednego z nich w całości albo od każdego z nich w wybranej proporcji. Zaś każdy z tych podmiotów zobowiązany jest do spełnienia tegoż świadczenia. Solidarność dłużników ma zatem zwiększać realną możliwość wierzyciela w uzyskaniu zabezpieczenia.
Powyższe nie wyklucza jednakże wzajemnych rozliczeń pomiędzy podmiotami uczestniczącymi w przetwarzaniu, które są odpowiedzialne za daną szkodę. Administrator lub podmiot przetwarzający, bowiem który zapłacił odszkodowanie za całą wyrządzoną szkodę, ma prawo żądania od pozostałych administratorów lub podmiotów przetwarzających, którzy uczestniczyli w tym samym przetwarzaniu, zwrotu części odszkodowania odpowiadającej części szkody, za którą każdy z nich ponosi odpowiedzialność (regres).
W przypadku zawierania umów powierzenia danych osobowych do przetwarzania, zasady rozliczania regresu mogą zostać zawarte w treści tychże umów.
Postępowanie sądowe w sprawie naruszenia przepisów o ochronie danych osobowych
Bardziej szczegółowe regulacje procesowe w zakresie dochodzenia odszkodowania przed sądem znajdują się w polskiej ustawie z 10 maja 2018 r. o ochronie danych osobowych. Wynika z niej m.in., że sądem rzeczowo właściwym jest każdorazowo sąd okręgowy. Właściwość miejscową wyznacza się zaś na zasadach ogólnych, czyli przez miejsce zamieszkania albo siedzibę pozwanego. W przypadku zaś kilku pozwanych, powód może wybrać sąd okręgowy miejscowo właściwy dla jednego z nich. W zakresie nieuregulowanym w przepisach ww. ustawy stosuje się przepisy kodeksu postępowania cywilnego.
Sąd z urzędu zawiadamia Prezesa UODO o wszczęciu i prawomocnym zakończeniu postępowania w sprawie o odszkodowanie. Prezes UODO może zaś przedstawić swój pogląd na daną sprawę. Co więcej, jeżeli między czasie Prezes UODO wydałby decyzję w tej samej sprawie, to sąd będzie nią związany w zakresie stwierdzenia, że doszło do naruszenia przepisów o ochronie danych osobowych.
