Bartosz Świdrak, Zygmunt Waga: Naruszenia RODO. Kosztowne skutki złej translacji

Trybunał Sprawiedliwości UE uściślił przesłanki dochodzenia roszczeń za złamanie zasad ochrony danych osobowych. Ale błędy w tłumaczeniu mogą utrudnić walkę o odszkodowanie.

Publikacja: 20.03.2024 02:00

Bartosz Świdrak, Zygmunt Waga: Naruszenia RODO. Kosztowne skutki złej translacji

Foto: Adobe Stock

W jednym z ostatnich orzeczeń Trybunał Sprawiedliwości Unii Europejskiej odniósł się do najważniejszych aspektów dowodzenia naruszenia obowiązków z rozporządzenia o ochronie danych osobowych oraz powstania szkody niemajątkowej (wyrok z 25 stycznia 2024 r. w sprawie C-687/21). Dokonana wykładnia może istotnie wpłynąć na podejście polskich sądów do kwestii dowodowych w sprawach odszkodowawczych związanych z naruszeniem RODO. Niestety ze względu na wadliwości polskiego tłumaczenia najważniejsze wskazówki TSUE mogą być niewłaściwie interpretowane w praktyce sądowej.

Pomyłka z przekazaniem danych

Pytania, na które odpowiadał TSUE, były związane z następującą sytuacją faktyczną. Klient sieci MediaMarkt Saturn zakupił na kredyt sprzęt gospodarstwa domowego. W toku załatwiania formalności związanych z wydaniem rzeczy i zawarciem umowy kredytu inna osoba omyłkowo otrzymała zarówno urządzenie zamówione przez klienta, jak i jego dokumenty kredytowe. Te zawierały dane, w tym nazwisko i imię, adres, miejsce zamieszkania, nazwę pracodawcy, dochody oraz dane bankowe.

Czytaj więcej

Ważny wyrok TSUE ws. RODO. Chodzi o dane przetwarzane przez urzędy

Błąd został wykryty szybko. Dokumenty zostały zwrócone właściwemu klientowi w ciągu pół godziny od przekazania ich nieuprawnionej osobie trzeciej. Ta nie zapoznała się z danymi osobowymi. Następnie klient zażądał od sieci MediaMarkt Saturn zapłaty odszkodowania na podstawie przepisów RODO. Powód miał doznać szkody niemajątkowej z powodu błędu popełnionego przez pracowników sklepu i wynikającego z tego ryzyka utraty kontroli nad swoimi danymi osobowymi.

Rozstrzygając przedstawione przez sąd niemiecki kwestie, TSUE doszedł do dwóch wniosków mogących mieć szczególny wpływ na odpowiedzialność podmiotów przetwarzających dane osobowe. Po pierwsze, sprecyzował swoją dotychczasową linię orzeczniczą. Wprawdzie pracownicy administratora omyłkowo przekazali nieupoważnionej stronie trzeciej dokument zawierający dane osobowe, ale to nie wystarcza samo w sobie do uznania, że środki techniczne i organizacyjne wdrożone przez administratora nie były „odpowiednie”.

TSUE potwierdził tym, że chociaż omyłkowe przekazanie dokumentów może świadczyć o naruszeniu RODO, to możliwe jest również przeprowadzenie skutecznego przeciwdowodu przez administratora. Innymi słowy, samo wystąpienie incydentu nie świadczy jeszcze, że doszło do naruszenia przepisów.

Utrata kontroli i szkoda niemajątkowa

Wyrok zawiera także wskazówkę TSUE, jak należy rozumieć pojęcie szkody niemajątkowej w związku z naruszeniem RODO. To drugi istotny wniosek wynikający z omawianego orzeczenia. Powód, uzasadniając swoje prawo do odszkodowania przed sądem niemieckim, wskazywał przede wszystkim na obawę, że nawet w trakcie półgodzinnego posiadania dokumentów przez osobę nieuprawnioną mogło dojść do wykonania kopii dokumentów, a w przyszłości do nadużycia wspomnianych danych. Jak się wydaje, okoliczność ta miała stanowić jego szkodę niemajątkową.

TSUE potwierdził wynikający z dotychczasowego orzecznictwa pogląd, że utrata kontroli nad danymi osobowymi przez krótki okres może spowodować po stronie osoby, której dane dotyczą, „szkodę niemajątkową” w rozumieniu art. 82 ust. 1 RODO, wywołującą prawo do odszkodowania. Co jednak istotne, TSUE wskazał, że obawa nadużycia danych przez nieupoważnioną osobę trzecią nie powinna mieć charakteru czysto hipotetycznego. Doprowadziło to do konkluzji, że szkoda niemajątkowa nie zachodzi, gdy żadna strona trzecia nie zapoznała się z danymi osobowymi.

Ponadto TSUE potwierdził i rozwinął niektóre poglądy wynikające z jego dotychczasowego orzecznictwa. Wskazał, że odszkodowanie z art. 82 RODO ma charakter kompensacyjny, a nie represyjny. Na zakres należnego świadczenia wpływa zakres doznanej szkody (majątkowej lub niemajątkowej, której wystąpienie poszkodowany musi udowodnić). Bez znaczenia dla wysokości odszkodowania jest więc waga naruszenia RODO, które spowodowało szkodę.

Trybunał potwierdził także, że przesłanką odpowiedzialności odszkodowawczej jest wystąpienie szkody (majątkowej lub niemajątkowej), naruszenia RODO oraz adekwatnego związku przyczynowego pomiędzy szkodą a naruszeniem.

Problem z tłumaczeniem

Co ciekawe, duże zamieszanie może wywołać polska wersja omawianego wyroku. Najważniejsze tezy zostały bowiem błędnie przetłumaczone.

Pierwsza nieścisłość dotyczy możliwości dowodzenia przez administratora, gdy jego pracownicy omyłkowo przekazali nieupoważnionej osobie trzeciej dokument zawierający dane osobowe (pkt 45 uzasadnienia oraz pkt 1 petitum wyroku). Polska wersja językowa wyroku błędnie wskazuje, że jest to sytuacja wystarczająca sama w sobie do uznania, że środki techniczne i organizacyjne wdrożone przez odnośnego administratora nie były „odpowiednie”.

Inne wersje językowe, np. angielska i niemiecka, wskazują jednak odmiennie, co jest zgodne z wcześniejszymi wywodami TSUE (przykładowo, w angielskiej wersji wskazano: „the fact that the employees of the controller provided to an unauthorised third party in error a document containing personal data is not sufficient, in itself, to consider that the technical and organisational measures implemented by the controller at issue were not 'appropriate'”).

Podobna sytuacja dotyczy tezy związanej ze szkodą niemajątkową (pkt 69 uzasadnienia i pkt 5 petitum wyroku). Wersje językowe angielska i niemiecka są całkowicie odmienne od wersji polskiej i zgodne z wcześniejszymi wywodami TSUE. Wskazują, że szkoda niematerialna nie powstaje, gdy wykazano, że osoba trzecia nie zapoznała się z danymi osobowymi w posiadanie których weszła w sposób nieuprawniony. Wydźwięk polskiego tłumaczenia jest jednak odwrotny.

Więcej komplikacji z odszkodowaniem

Wyrok C-687/21 może więc wpłynąć na postępowanie dowodowe przed sądami polskimi i dodatkowo utrudnić dochodzenie roszczeń odszkodowawczych z art. 82 RODO. Obok stosunkowo niewielkiej wysokości zasądzanych dotychczas w Polsce świadczeń może to być więc kolejny czynnik, który przyczyni się do zmniejszenia atrakcyjności tej formy ochrony.

Orzeczenie może więc poprawić sytuację administratorów danych broniących się przed roszczeniami osób fizycznych. Skoro samo wystąpienie incydentu nie jest wystarczające do stwierdzenia, że doszło do naruszenia RODO, to polskie sądy nie powinny ograniczać postępowania dowodowego do samego stwierdzenia wycieku danych. Konieczność kompleksowego wyjaśnienia kwestii związanych z wprowadzeniem odpowiednich środków bezpieczeństwa daje z kolei duże możliwości wykazania się pełnomocnikom.

Dodatkowo, może się okazać, że sądy zmienią swoje podejście do kwestii związanych z rozumieniem i wykazywaniem szkody niemajątkowej. Wyrok C-687/21 może wywołać większą niechęć sądów do przyznawania zadośćuczynienia jedynie na podstawie obaw strony o nadużycie jej danych osobowych, bez przedstawienia dalszych dowodów.

Z dotychczasowej polskiej praktyki orzeczniczej wynika, że sądy uwzględniały roszczenia odszkodowawcze, opierając się głównie na zeznaniach pokrzywdzonej strony. Przy założeniu, że szkodę ma udowodnić poszkodowany, a sąd przyjmuje koncepcję szkody niemajątkowej o charakterze niehipotetycznym, dowód w postaci zeznań może okazać się niewystarczający.

W takiej sytuacji dowodami, którymi osoba pokrzywdzona mogłaby się posłużyć, mogą być np. wiadomości świadczące o próbie użycia lub użyciu danych, raporty Biura Informacji Kredytowej lub nagłe otrzymanie komunikacji pochodzącej od innych podmiotów, którym nie przekazywano danych. Równie istotne mogą być dowody potwierdzające znaczny czas naruszenia. Długotrwałe utrzymywanie się braku kontroli nad danymi jest sytuacją skrajnie różną od półgodzinnej utraty kontroli, jak w omawianej sprawie.

Nie można także wykluczyć, że błędne tłumaczenie wyroku C-687/21 na język polski przyczyni się do powstania rozbieżności w orzecznictwie sądów polskich. Sądy, powołując się na ten sam wyrok TSUE, będą mogły konstruować dwie skrajnie odmienne tezy.

Bartosz Świdrak jest adwokatem, senior associate w kancelarii Taylor Wessing

Zygmunt Waga jest radcą prawnym, associate w kancelarii Taylor Wessing

W jednym z ostatnich orzeczeń Trybunał Sprawiedliwości Unii Europejskiej odniósł się do najważniejszych aspektów dowodzenia naruszenia obowiązków z rozporządzenia o ochronie danych osobowych oraz powstania szkody niemajątkowej (wyrok z 25 stycznia 2024 r. w sprawie C-687/21). Dokonana wykładnia może istotnie wpłynąć na podejście polskich sądów do kwestii dowodowych w sprawach odszkodowawczych związanych z naruszeniem RODO. Niestety ze względu na wadliwości polskiego tłumaczenia najważniejsze wskazówki TSUE mogą być niewłaściwie interpretowane w praktyce sądowej.

Pozostało 93% artykułu
Rzecz o prawie
Łukasz Guza: Szef stajni Augiasza
Rzecz o prawie
Jacek Dubois: Premier, komuna, prezes Manowska i elegancja słów
Rzecz o prawie
Mikołaj Małecki: Konstytucyjne credo zamiast czynnego żalu
Rzecz o prawie
Witold Daniłowicz: Myśliwi nie grasują. Wykonują zlecenia państwa
Materiał Promocyjny
Zarządzenie flotą może być przyjemnością
Rzecz o prawie
Joanna Parafianowicz: Wybory okazją do zmian