W wydanym dziś wyroku TSUE potwierdził pogląd, który dla mnie zawsze był oczywistą oczywistością: że odszkodowanie za naruszenie przepisów RODO należy się za doznaną szkodę, a nie za samo naruszenie — toteż brak szkody oznacza brak możliwości żądania zapłaty jakiegokolwiek odszkodowania.
wyrok Trybunału Sprawiedliwości UE z 4 maja 2023 r. w/s Österreichische Post (C-300/21)
1) Samo naruszenie przepisów RODO nie wystarcza do przyznania prawa do odszkodowania.
2) [RODO] sprzeciwia się przepisowi krajowemu lub praktyce krajowej, które uzależniają uzyskanie odszkodowania za szkodę niemajątkową w rozumieniu tego przepisu od warunku, by szkoda poniesiona przez osobę, której dane dotyczą, osiągnęła pewien stopień wagi.
3) W celu ustalenia kwoty odszkodowania należnego z tytułu prawa do odszkodowania [wynikającego z art. 82 RODO] sądy krajowe powinny stosować wewnętrzne przepisy każdego państwa członkowskiego dotyczące zakresu odszkodowania pieniężnego, pod warunkiem przestrzegania zasad równoważności i skuteczności prawa Unii.
Sprawa dotyczyła odpowiedzialności austriackiego operatora pocztowego za przetwarzanie informacji o preferencjach politycznych mieszkańców kraju, a to na potrzeby świadczenia usług w zakresie reklamy wyborczej. Działanie to polegało na statystycznej ekstrapolacji w oparciu o algorytm, którego zadaniem było ocenić przekonania polityczne poszczególnych obywateli.
Zdaniem jednej z zainteresowanych osób przypisanie jej sympatii do określonej partii politycznej, bez jej zgody, było obelżywe i hańbiące, a także naruszało RODO, zatem do sądu trafił pozew o 1000 euro odszkodowania za szkodę niemajątkową (tj. zadośćuczynienie) polegającą na odczuciu wewnętrznego dyskomfortu.
Sąd uznał, że nie każde naruszenie RODO wiąże się z koniecznością zapłaty odszkodowania — istotne jest wykazanie, iż doszło do wyrządzenia szkody (na gruncie prawa austriackiego krzywda ta musi być bardziej istotna niż odczucie dyskomfortu i nieprzyjemności).
art. 82 ust. 1-2 RODO
1. Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.
2. Każdy administrator uczestniczący w przetwarzaniu odpowiada za szkody spowodowane przetwarzaniem naruszającym niniejsze rozporządzenie. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które niniejsze rozporządzenie nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom.
Oddalenie powództwa został zaskarżone do Oberster Gerichtshof (austriackiego sądu najwyższego), który zdecydował się zwrócić do TSUE z pytaniem, czy naruszenie rozporządzenia o ochronie danych osobowych jest wystarczające do zasądzenia odszkodowania, czy jednak na gruncie RODO także nie należy wykazać poniesienia szkody.
Trybunał Sprawiedliwości UE stwierdził, że dochodzenie odszkodowania na podstawie art. 82 RODO wymaga trzech przesłanek: naruszenia przepisów rozporządzenia 679/2016, wyrządzenia szkody majątkowej lub niemajątkowej oraz związku przyczynowego między naruszeniem a szkodą. Oznacza to, że nie każde naruszenie RODO skutkuje powstaniem szkody, przeto nie za każde naruszenie RODO przysługuje odszkodowanie (w przeciwieństwie do kary administracyjnej, która może być nałożona także za naruszenie przepisów, wskutek których nikt szkody nie poniósł).
Obowiązek wykazania szkody nie oznacza, iżby żądanie zapłaty odszkodowania były zależne od określonej wagi doznanej szkody. Szkodą jest każde uszczuplenie majątkowe lub niemajątkowe i tylko od osoby zainteresowanej zależy wykazanie, iż szkodę doznała — zaś w gestii każdego z państw leży określenie reguł dochodzenia roszczeń odszkodowawczych (od siebie mogę dodać, że rozmiar szkody czy intensywność krzywdy przekłada się na wysokość odszkodowania / zadośćuczynienia).
Zamiast komentarza: tekst ten dedykuję amatorom winszującym sobie 100 tys. zł odszkodowania za otrzymanie niezamawianej informacji handlowej — z obowiązkową litanią przepisów, które przy okazji zostały naruszone.