Naruszenie danych osobowych może wiązać się, w przypadku niewielkich skutków, z obowiązkiem zapłaty niewielkiego odszkodowania, to już wiemy. Zatem czy jeśli naruszenie RODO spowodowało jeszcze mniejsze konsekwencje, wystarczające mogą okazać się publiczne przeprosiny? Czy jednak zwykłe „przepraszam” może nie wystarczyć? I, wcale nie na marginesie: czy waga naruszenia przepisów RODO powinna przekładać się na wysokość odszkodowania za doznane skutki — czy jednak odszkodowanie powinno wynikać wyłącznie z doznanej szkody?
wyrok Trybunału Sprawiedliwości z 4 października 2024 r. w/s Patērētāju tiesību aizsardzības centrs (C-507/23)
1) Naruszenie przepisów [RODO] nie jest samo w sobie wystarczające do tego, by mogło stanowić „szkodę” w rozumieniu art. 82 ust. 1 RODO.
2) Przeprosiny mogą stanowić odpowiednie naprawienie szkody niemajątkowej na podstawie [art. 82 ust. 1 RODO], w szczególności gdy niemożliwe jest przywrócenie stanu sprzed wystąpienia tej szkody, pod warunkiem że taka forma naprawienia szkody może w pełni skompensować szkodę poniesioną przez osobę, której dane dotyczą.
3) Art. 82 ust. 1 RODO stoi na przeszkodzie możliwości uwzględnienia postawy i motywacji administratora w celu ewentualnego przyznania osobie, której dane dotyczą, naprawienia szkody w zakresie niższym niż zakres szkody rzeczywiście przez nią poniesionej.
Orzeczenie dotyczyło sporu o naruszenie przepisów RODO — i tego, czy środkiem naprawienia konsekwencji naruszenia mogą być tylko i wyłącznie przeprosiny.
opis stanu faktycznego:
- spór zaczął się od rozpowszechnienia przez Patērētāju tiesību aizsardzības centrs (łotewskie centrum ochrony praw konsumenta) filmiku, w którym wystąpiła postać „naśladująca” znanego dziennikarza motoryzacyjnego;
- filmik był elementem kampanii mającej na celu uwrażliwienie konsumentów przed ryzykiem związanym z zakupem używanego auta;
art. 82 ust. 1 RODO
Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.
- nie trzeba dodawać, że ekspert nie wyrażał zgody na publikację — zaś po tym, jak organizacja nie zareagowała na żądanie zaniechania dalszego udostępniania materiału, wniósł do sądu skargę, w której zażądał m.in. zaprzestania dalszych naruszeń jego danych osobowych oraz 2 tys. euro zadośćuczynienia za wyrządzoną szkodę niemajątkową;
- sąd I instancji uwzględnił roszczenia co do zasady i zasądził na jego rzecz kwotę 100 euro;
- natomiast sąd odwoławczy, podzielając opinię, iż doszło do naruszenia RODO, zmienił orzeczenie, ograniczając się do wydania nakazu zaprzestania dalszego naruszania i opublikowania przeprosin — ale stwierdzając, że naruszenie nie było poważne, zaś cel działania PTAC służył interesowi publicznemu, odmówił zasądzenia zadośćuczynienia…
- zatem sprawa trafiła, poprzez łotewski sąd najwyższy, do TSUE;
orzeczenie Trybunału Sprawiedliwości UE:
- w swym wyroku TSUE przypomniał, że samo w sobie naruszenie przepisów RODO nie może być interpretowane jako szkoda niemajątkowa (por. „Nie ma czegoś takiego jak „odszkodowanie za naruszenie RODO””);
- sęk w tym naruszenie zasad ochrony danych osobowych może powodować określony skutek (szkodę, krzywdę), ale jest skutek jest potencjalny, a nie automatyczny — zaś naruszenie prawa nie wyrządza nikomu szkody bezpośrednio;
- czy wyłącznym środkiem nakazanym za naruszenie RODO mogą być przeprosiny? skoro nic nie stoi na przeszkodzie — jeśli wyrządzona szkoda była niewielka — przyznać minimalne odszkodowanie…
- …zaś RODO nie określa mechanizmów naprawienia szkody (ta kwestia pozostaje wyłącznie w gestii prawa wewnętrznego) — jest całkowicie dopuszczalne, iżby przepisy krajowe przewidywały możliwość ograniczenia odpowiedzialności do złożenia określonego oświadczenia, tj. właśnie przeprosin za naruszenie danych osobowych;
- (o ile oczywiście środek taki będzie uznany za równoważny i skuteczny, tj. będzie w pełni kompensował skutki poniesionej krzywdy);
- nie ma też wątpliwości, że skoro odszkodowanie za szkodę powstałą wskutek naruszenia RODO ma charakter wyłącznie kompensacyjny, zaś art. 82 ust. 1 RODO nie nakazuje brać pod uwagę takich kryteriów jak postawa naruszyciela (czynników obciążających lub łagodzących, jak w art. 83 rozporządzenia), to na wysokość odszkodowania nie może przekładać się waga i umyślność naruszenia przepisów RODO — lecz wyłącznie wartość rzeczywiście poniesionej szkody.
Zamiast komentarza: krótki wyrok, lakoniczne uzasadnienie — a jakże istotne, bo może wreszcie ludzie zapamiętają, że odpowiedzialność odszkodowawcza wynika z wysokości szkody (art. 361 kc), a nie z tego, co się komu przyśniło (choćby o roli RODO, które rzekomo „nie dowiozło”).