Odpowiedzialność cywilna za naruszenia ochrony danych

Zgodnie z art. 23 Kodeksu cywilnego dobra osobiste człowieka takie, jak w szczególności: zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska są pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach.

Prawo do żądania ewentualnego odszkodowania nie wynika z ustawy o ochronie danych osobowych. Takiego uprawnienia trzeba szukać w zasadach ogólnych przewidzianych w prawie cywilnym. Dodatkowo będzie wiązało się to z koniecznością złożenia pozwu w sądzie.

Ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie naruszenia może także żądać, żeby osoba, która się go dopuściła, dopełniła czynności potrzebnych do usunięcia jego skutków.

W szczególności chodzi o złożenie oświadczenia, o odpowiedniej treści i formie. Pokrzywdzony może również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny.

Ustawodawca zadecydował też, że jeżeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, poszkodowany może żądać jej naprawienia na zasadach ogólnych. To z kolei korespondować będzie z odpowiedzialnością deliktową wyrażoną w art. 415 kc: Kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia.

Żeby mówić o ochronie dobra osobistego, niewątpliwie muszą być spełnione łącznie trzy przesłanki:

• istnienie dobra osobistego,
• naruszenie bądź samo zagrożenie tego dobra,
• bezprawność naruszenia bądź zagrożenia dobra osobistego.

Na powodzie, czyli żądającym ochrony, będzie spoczywał obowiązek dowiedzenia dwóch pierwszych przesłanek. Z kolei pozwany – naruszyciel (zazwyczaj jest to administrator danych) będzie musiał dowieść, że jego działaniom nie można przypisać znamion bezprawności.

Zgodnie z art. 448 kc w razie naruszenia dobra osobistego sąd może przyznać temu, czyje dobro osobiste zostało naruszone, odpowiednią sumę tytułem zadośćuczynienia pieniężnego za doznaną krzywdę. Na żądanie pokrzywdzonego może też zasądzić odpowiednią sumę pieniężną na wskazany przez niego cel społeczny, niezależnie od innych środków potrzebnych do usunięcia skutków naruszenia.

Obowiązujące przepisy wskazują na istnienie niemajątkowego i majątkowego charakteru ochrony dóbr osobistych. Charakter niemajątkowy będzie miało roszczenie w postaci zażądania zaniechania naruszeń i żądanie dopełnienia czynności potrzebnych do usunięcia skutków naruszenia.

Skutki naruszenia można usunąć w zależności od konkretnej sprawy poprzez złożenie odpowiedniego w treści i w formie oświadczenia (np. przeprosiny w mediach, obwieszczenie na forum zakładu pracy, ale też poprzez usunięcie danych osobowych ze zbioru danych itp.).

Środkami ochrony majątkowej są roszczenia o naprawienie szkody majątkowej czy zapłata odpowiedniej sumy pieniężnej na wskazany cel społeczny.

Jeżeli dobro osoby fizycznej zostało jedynie zagrożone czyimś działaniem, pokrzywdzony może żądać zaniechania działania. Jeżeli doszło już do naruszenia dobra osobistego, to powód może domagać się usunięcia skutków naruszenia, a ponadto jeśli zostaną dowiedzione w konkretnej sprawie okoliczności za tym przemawiające, także wystąpić z roszczeniami majątkowymi.

Odpowiedzialność cywilna może zachodzić niezależnie od innych toczących się już postępowań. Oznacza to, że postępowanie cywilne może zainicjować osoba, której dane osobowe zostały wykorzystane niezgodnie z ustawą bez względu na to, czy w sprawie toczą się postępowania administracyjne bądź karne.

W praktyce gotowość do wszczęcia postępowania cywilnego, które podlega opłacie sądowej, materializować się powinna, kiedy zainteresowany będzie dysponował przychylną sobie decyzją administracyjną GIODO bądź wyrokiem w procesie karnym (lub w trakcie trwania procesu karnego w ramach powództwa adhezyjnego, które dotyczy odpowiedzialności cywilnej spowodowanej przestępstwem, a nie niesie za sobą dodatkowych kosztów związanych z wpisem sądowym od roszczenia).

Katalog niepożądanych skutków związanych z przetwarzaniem danych jest zapewne długi, gdyż zależy od sposobów działań bądź zaniechań ADO osób przetwarzających dane oraz od poczucia doznanej krzywdy przez osoby, których dane dotyczą.

Coś, co jednemu może wydać się nieistotnym incydentem niegodzącym w jego dobra osobiste i prywatność jako taką, drugiemu może wydać się atakiem na jego wolność, prywatność, prawo do bycia anonimowym itp. Przykładem może być udostępnienie danych osobowych dotyczących adresu e-mail, które skutkować będzie bombardowaniem skrzynki poczty elektronicznej informacjami handlowymi.

Paweł Osiński, mgr nauk prawnych, trener i prowadzący warsztaty z zakresu ochrony danych osobowych, był pierwszym pełnomocnikiem wojewody podlaskiego ds. ochrony danych osobowych