Czas na kolejne zagadnienie nurtujące czasem P.T. Czytelników: u mojego operatora komórkowego wyciekł skan dowodu osobistego — czy mogę się domagać odszkodowania za ujawnienie moich danych osobistych? Albo: czy naruszenie obowiązków w zakresie przetwarzania danych osobowych może rodzić odpowiedzialność za naruszenie dóbr osobistych? (Bazując na podstawie wyroku Sądu Apelacyjnego w Warszawie z 23 września 2015 r., sygn. akt VI ACa 1357 /14.)
Historia wyglądała następująco: klient jednego z operatorów komórkowych odkrył, że na stronie internetowej umieszczony został skan jego dowodu osobistego i numer PESEL, plus jakiś kpiący komentarz. W związku z tym wystąpił do sądu z dość rozbudowanym roszczeniem w zakresie ochrony dóbr osobistych, żądając m.in. przeprosin, usunięcia skutków naruszenia („przez umieszczenie na serwerach www pliku zawierającego instrukcje dla wyszukiwarek internetowych, w celu usunięcia z zasobów internetowych wyszukiwania dotyczącego zapytań…” — to by chyba był obowiązek dodania czegoś do robots.txt) oraz zobowiązania strony pozwanej zobowiązanie „do dokonania wpłat na rzecz 27 różnych, wskazanych przez powoda instytucji w kwotach po: 1.111.000 zł, 2.222.000 zł lub 3.333.000 zł” (sic!).
Sąd I instancji uwzględnił żądanie tylko częściowo, nakazując pisemne przeprosiny podpisane przez członków zarządu spółki — za to, że „bez jego zgody, jako administrator tych danych [osobowych] dopuściła do przetworzenia przez nieupoważnione osoby danych, poprzez umieszczenie ich na stronie portalu internetowego” plus 4 tys. złotych zadośćuczynienia za doznaną krzywdę.
Roszczenie okazało się o tyle zasadne, że dowód osobisty, który został zeskanowany w związku z zawarciem umowy telekomunikacyjnej, faktycznie wyciekł do internetu, przez co szereg danych, w tym wizerunek powoda, został bezprawnie ujawniony szerokiej publiczności. Dla ustalenia bezprawności działania wystarczało ustalenie naruszenia obowiązków administratora danych wynikających z art. 36 UoODO — skoro skan dowodu wyciekł, to nie trzeba nic więcej by ustalić, że zabezpieczenia były zbyt słabe. W dodatku operator wiedząc, że dane klientów mogą wyfruwać, nie zrobił nic by temu zapobiec, a nawet nie ustalił kto z pracowników i w jaki sposób tego dokonał.
Sąd II instancji zmienił wyrok w części dotyczącej usunięcia danych z wyszukiwarek i zapłaty zadośćuczynienia (zostaje do napisania list z przeprosinami), a to dlatego, że nawet jeśli skan dowodu pochodził z bazy firmy komórkowej, to jednak nie sposób przypisać operatorowi odpowiedzialności za jego ujawnienie. Z samego skanu wynika, że pochodzi on z systemu podmiotu, któremu operator powierzył przetwarzanie danych osobowych klientów (powierzenie przetwarzania danych osobowych w ramach usług obsługi klientów i call-center), zatem zgodnie z art. 429 kc operator mógł zwolnić się skutecznie z odpowiedzialności za szkodę wyrządzoną przez takie przedsiębiorstwo — wówczas zaś obowiązki w zakresie ochrony danych spoczywają na procesorze danych (art. 31 UoODO).
Wszystkie zarzuty zatem byłyby może i zasadne, gdyby pozwanym w sprawie był przedsiębiorca świadczący usługi w zakresie call-center, jednak z racji skierowania powództwa przeciwko operatorowi (który nawet wniósł o przypozwanie call-center) — operator nie może odpowiadać za to, co zrobił jego podwykonawca (zaś interwenient uboczny nie mógł zostać wezwany do udziału w sprawie jako pozwany).
I chociaż powód w znacznej części przegrał sprawę, nie został obciążony kosztami, a to przede wszystkim dlatego, że operator w ogóle nie zareagował na wcześniejsze wezwanie do usunięcia skanu dokumentu — tymczasem lekceważące traktowanie powoda, który próbuje polubownie załatwić spór jest jedną z przesłanek, która może być wzięta pod uwagę przy decyzji o nieobciążaniu przegrywającego kosztami (art. 102 kpc).