Czy każde naruszenie RODO daje prawo do odszkodowania?

Tak orzekł Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w wyroku z 4 maja 2023 r. w sprawie C-300/21  Österreichische Post dotyczącej szkody niemajątkowej związanej z przetwarzaniem danych osobowych.

Poczta Austriacka gromadziła informacje na temat preferencji politycznych ludności Austrii. Stan faktyczny sprawy

Od 2017 roku Österreichische Post gromadziła informacje na temat preferencji politycznych ludności Austrii. Za pomocą algorytmu uwzględniającego różne kryteria społeczne i demograficzne określiła ona „adresy grup docelowych”. Zebrane w ten sposób dane skłoniły Österreichische Post do ustalenia, że konkretny obywatel miał wysokie preferencje względem określonej austriackiej partii politycznej. Przetwarzane dane nie zostały jednak przekazane osobom trzecim.
Wspomniany obywatel, który nie udzielił zgody na przetwarzanie swoich danych osobowych, twierdzi, że ustalenie szczególnej preferencji dla danej partii wywołało u niego wielkie wzburzenie, utratę zaufania, a także poczucie upokorzenia. 

Z tytułu odszkodowania za szkodę niemajątkową, którą miał ponieść, dochodzi przed sądami austriackimi kwoty 1000 euro.

Austriacki sąd najwyższy wyraził wątpliwości co do zakresu prawa do odszkodowania, które ogólne rozporządzenie o ochronie danych (RODO) [chodzi o Rozporządzenie Parlamentu Europejskiego i Rady z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) - Dz.U. z 2016, L 119 s. 1 - dalej zwane „RODO”] przewiduje w wypadku szkody majątkowej lub niemajątkowej z powodu naruszenia tego rozporządzenia. 
Sąd ten zwrócił się do Trybunału Sprawiedliwości UEz pytaniem, czy samo naruszenie RODO jest wystarczające do przyznania tego prawa i czy odszkodowanie jest możliwe tylko wtedy, gdy przekroczony zostanie pewien próg wagi poniesionej szkody niemajątkowej. Zmierza również do ustalenia, jakie są wymagania prawa Unii co do ustalenia kwoty odszkodowania.

Odszkodowanie za naruszenie RODO - warunki. Naruszenie RODO nie musi powodować szkody

W wyroku z 4 maja 2023 r. Trybunał Sprawiedliwości UE stwierdził, że prawo do odszkodowania przewidziane w RODO jest podporządkowane, w jednoznaczny sposób, trzem kumulatywnym przesłankom: naruszenie RODO, szkoda majątkowa lub niemajątkowa wynikająca z tego naruszenia i związek przyczynowy między szkodą a naruszeniem. 

Stąd każde naruszenie RODO, samo w sobie, nie rodzi prawa do odszkodowania. Zdaniem TSUE inna wykładnia byłaby sprzeczna z wyraźnym brzmieniem RODO. 

Trybunał zauważył też, że naruszenie RODO niekoniecznie musi prowadzić do powstania szkody, a dla uzasadnienia prawa do odszkodowania musi istnieć związek przyczynowy między danym naruszeniem a poniesioną szkodą. 
Dlatego powództwo odszkodowawcze odróżnia się od innych środków odwoławczych przewidzianych w RODO, w szczególności tych, które pozwalają nakładać administracyjne kary pieniężne, w odniesieniu do których to środków wykazanie wyrządzenia indywidualnej szkody nie jest konieczne.

Prawo do odszkodowania za naruszenie RODO dot. każdej szkody bez względu na jej wagę

W drugiej kolejności Trybunał stwierdził, że prawo do odszkodowania nie jest zastrzeżone dla szkód majątkowych osiągających określoną wagę. RODO nie wspomina o takim wymogu i takie ograniczenie zaprzeczałoby szerokiej koncepcji pojęcia „szkody” przyjętej przez prawodawcę Unii. 
Zdaniem TSUE uzależnienie odszkodowania za szkodę niemajątkową od określonego progu wagi mogłoby zaszkodzić spójności systemu ustanowionego przez RODO. Wyznaczanie takiego progu, od którego zależałaby możliwość uzyskania odszkodowania, mogłoby ulegać wahaniom w zależności od oceny sądu rozpatrującego sprawę.

Jak ustalić odszkodowanie?

Odnośnie zasad dotyczących oszacowania odszkodowania, Trybunał zaznaczył, że RODO nie zawiera przepisów mających taki przedmiot. 
Zdaniem TSUE, do porządku prawnego każdego państwa członkowskiego należy zatem określenie zasad mających na celu zapewnienie podmiotom prawa ochrony uprawnień wynikających z RODO, a w szczególności kryteriów pozwalających na określenie zakresu odszkodowania należnego w tych ramach, z zastrzeżeniem poszanowania zasad równoważności i skuteczności. 
W tym względzie Trybunał podkreślił funkcję kompensacyjną prawa do odszkodowania przewidzianego w RODO i przypomniał, że ten instrument ma zapewnić pełne i skuteczne odszkodowanie za poniesioną szkodę.

oprac. Paweł Huczko

Źródło: Trybunał Sprawiedliwości UE (curia.europa.eu).