Wysokość odszkodowania za wyciek danych osobowych

W dobie cyfryzacji nasze dane osobowe stały się jednymi z najbardziej wartościowych aktywów. Niestety, coraz częściej dochodzi do sytuacji, w których informacje te trafiają w niepowołane ręce – czy to na skutek ataku hakerskiego, czy zaniedbań administratora. Co w takiej sytuacji grozi firmom? Jakie prawa przysługują osobom poszkodowanym? A przede wszystkim – na jakie kwoty odszkodowania można liczyć?

Wyciek danych osobowych – czym jest i kiedy powstaje prawo do odszkodowania?

Wyciek danych to sytuacja, w której informacje osobowe zostają ujawnione osobom trzecim bez właściwego upoważnienia. Może do tego dojść w różnych okolicznościach – od omyłkowego wysłania dokumentów nie do tego odbiorcy, przez słabo zabezpieczone systemy informatyczne, aż po celowe działania przestępcze.

Zgodnie z art. 82 RODO, każda osoba fizyczna ma prawo uzyskać odszkodowanie za szkodę majątkową lub niemajątkową poniesioną w wyniku naruszenia przepisów o ochronie danych osobowych. Co istotne – nie musi dojść do faktycznego wykorzystania danych przez osoby trzecie, aby roszczenie było uzasadnione. Już sama uzasadniona obawa, poczucie zagrożenia czy utrata poczucia bezpieczeństwa mogą stanowić podstawę do dochodzenia zadośćuczynienia.

Kara za naruszenie RODO – perspektywa administratora

Prezes Urzędu Ochrony Danych Osobowych dysponuje uprawnieniem do nakładania kar administracyjnych, których wysokość może sięgać nawet 20 milionów euro lub 4% rocznego światowego obrotu przedsiębiorstwa – w zależności od tego, która z tych kwot jest wyższa. W praktyce wysokość kary zależy od szeregu czynników, w tym:

• charakteru i wagi naruszenia,
• stopnia zawinienia administratora,
• liczby osób, których dane zostały naruszone,
• podjętych działań naprawczych,
• współpracy z organem nadzorczym.

Nie jest to jednak jedyna forma odpowiedzialności. Administrator może zostać również zobowiązany do wypłaty odszkodowań poszczególnym osobom poszkodowanym – i to właśnie te roszczenia cywilne będą przedmiotem dalszej analizy.

Wysokość odszkodowania za wyciek danych – ile można otrzymać?

To pytanie pojawia się najczęściej zarówno po stronie osób poszkodowanych, jak i firm obawiających się konsekwencji finansowych naruszeń. Niestety, przepisy RODO nie określają konkretnych kwot – pozostawiając tę kwestię krajowym sądom.

Praktyka orzecznicza pokazuje, że wysokość odszkodowania za wyciek danych zależy od wielu czynników indywidualnych, takich jak:

• Zakres ujawnionych informacji – im więcej danych zostało ujawnionych i im bardziej są one wrażliwe (np. dane zdrowotne, orientacja seksualna, poglądy polityczne), tym wyższe zadośćuczynienie.
• Rzeczywiste konsekwencje naruszenia – czy dane zostały faktycznie wykorzystane przez osoby trzecie? Czy doszło do prób wyłudzenia kredytów, nękania poszkodowanego, czy innych negatywnych skutków?
• Działania naprawcze administratora – czy firma szybko zareagowała na incydent, poinformowała poszkodowanych i podjęła kroki zabezpieczające?
• Rozmiar krzywdy niemajątkowej – jak silny stres, obawa i utrata poczucia bezpieczeństwa dotknęły poszkodowanego?

Wysokość odszkodowania za wyciek danych - przykłady

Polskie sądy miały już okazję wypowiedzieć się w sprawach dotyczących naruszeń ochrony danych. Praktyka pokazuje, że najczęściej zasądzane kwoty wahają się w przedziale 1000-1500 zł w przypadkach, gdy doszło do ujawnienia danych, ale nie wystąpiły poważne konsekwencje dla poszkodowanego. Dotyczy to sytuacji, w których główną podstawą roszczenia jest sama obawa o przyszłe wykorzystanie danych oraz utrata poczucia bezpieczeństwa.

W przypadkach bardziej dotkliwych naruszeń, gdzie doszło do rzeczywistego wykorzystania danych lub znacznego uszczerbku dla poszkodowanego, zasądzone mogą być kwoty znacznie wyższe. Warto zauważyć, że Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 20 czerwca 2024 roku (C-590/22) wyraźnie stwierdził, że RODO nie przewiduje żadnego minimalnego progu powagi szkody – nawet drobne naruszenia mogą rodzić prawo do odszkodowania, a jego wysokość powinna być proporcjonalna do rozmiaru krzywdy.