Odszkodowanie za naruszenie przepisów RODO

Trybunał Sprawiedliwości Unii Europejskiej rozpatrywał sprawę naruszenia przepisów o ochronie danych osobowych przez Österreichische Post. Instytucja gromadziła dane dotyczące preferencji politycznych osób zamieszkujących w Austrii. Stosując określony algorytm możliwe było ustalenie, jakie preferencje względem konkretnej austriackiej partii ma konkretny obywatel. Dało się w ten sposób generować adresy grup docelowych. Na uwagę zasługuje fakt, że dane te nie zostały przekazane osobom trzecim. 

• UODO wyjawił plan kontroli sektorowych na 2023 rok 
• Odpowiedzialność inspektora ochrony danych za szkodę - na jakich zasadach 

Jednemu z obywateli to się nie spodobało, szczególnie, że nie udzielił zgody na przetwarzanie jego danych osobowych. Co więcej - stwierdził on, że określenie za pomocą przygotowanego algorytmu jego preferencji wobec partii politycznej wywołało u niego poczucie upokorzenia, utratę zaufania, o wzburzeniu nie wspominając. Domagał się odszkodowania w wysokości 1 tys. euro, za szkodę niemajątkową, którą takie przetwarzanie danych osobowych u niego spowodowało. 

Jednak austriacki sąd miał wątpliwości dotyczące możliwości przyznania w przedstawionej sytuacji odszkodowania na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.

• Procedura ochrony danych osobowych przy pracy zdalnej z Kodeksu pracy od 7 kwietnia 2023 r. 
• RODO w małych i średnich przedsiębiorstwach – poradnik EROD  

W swoim wyroku z 4 maja 2023 r. Trybunał Sprawiedliwości Unii Europejskiej wyraźnie zaznaczył, że możliwość przyznania odszkodowania na podstawie przepisów rozporządzenia RODO jest uzależnione od łącznego spełnienia trzech przesłanek:
a) naruszenie przepisów o RODO
b) wynikająca z tego naruszenia szkoda majątkowa lub niemajątkowa
c) występowanie związku przyczynowo-skutkowego między naruszeniem a powstałą szkodą. 

Ważne: TSUE wyraźnie podkreślił, że nie rodzi prawa do odszkodowania każde naruszenie RODO samo w sobie. 

Zgodnie z przepisami rozporządzenia, nie jest konieczne wykazanie wyrządzenia indywidualnej szkody w przypadku nakładania pieniężnej kary administracyjnej za naruszenie RODO. Jednak nie jest to możliwe w przypadku roszczenia o odszkodowanie. 

• Usuwanie danych osobowych z dokumentów – w praktyce 
• Dokumentacja dotycząca kontroli trzeźwości trafi do akt osobowych pracownika 

O ile rozporządzenie wymaga powstania szkody, aby móc domagać się odszkodowania, to nie ma w nim mowy o określonej wysokości (określonej wadze) takiej szkody. Przepisy przyjmują szerokie rozumienie pojęcia szkody. Wprowadzenie jakiegokolwiek progu w przypadku szkody, szczególnie szkody niemajątkowej, prowadziłoby do sytuacji, w której przyznanie odszkodowania byłoby uzależnione od oceny sądu rozpatrującego sprawę. 

Sam zakres odszkodowania i jego wysokość powinna być uregulowana w wewnętrznych przepisach każdego z państw członkowskich, które będą zawierały kryteria służące do ustalania zakresu przyznanego odszkodowania, z uwzględnieniem zasad równoważności i skuteczności, a jednocześnie gwarantujących przyznanie pełnego i skutecznego odszkodowania za poniesioną szkodę.