Bartosz Świdrak, Zygmunt Waga: Naruszenia RODO. Kosztowne skutki złej translacji

W jednym z ostatnich orzeczeń Trybunał Sprawiedliwości Unii Europejskiej odniósł się do najważniejszych aspektów dowodzenia naruszenia obowiązków z rozporządzenia o ochronie danych osobowych oraz powstania szkody niemajątkowej (wyrok z 25 stycznia 2024 r. w sprawie C-687/21). Dokonana wykładnia może istotnie wpłynąć na podejście polskich sądów do kwestii dowodowych w sprawach odszkodowawczych związanych z naruszeniem RODO. Niestety ze względu na wadliwości polskiego tłumaczenia najważniejsze wskazówki TSUE mogą być niewłaściwie interpretowane w praktyce sądowej.

Pomyłka z przekazaniem danych

Pytania, na które odpowiadał TSUE, były związane z następującą sytuacją faktyczną. Klient sieci MediaMarkt Saturn zakupił na kredyt sprzęt gospodarstwa domowego. W toku załatwiania formalności związanych z wydaniem rzeczy i zawarciem umowy kredytu inna osoba omyłkowo otrzymała zarówno urządzenie zamówione przez klienta, jak i jego dokumenty kredytowe. Te zawierały dane, w tym nazwisko i imię, adres, miejsce zamieszkania, nazwę pracodawcy, dochody oraz dane bankowe.

Czytaj więcej

Dane osobowe

Ważny wyrok TSUE ws. RODO. Chodzi o dane przetwarzane przez urzędy

Organ ochrony danych osobowych nie musi czekać na wniosek osoby, której dane są przetwarzane niezgodnie z prawem, by je skutecznie chronić - wynika z czwartkowego wyroku unijnego Trybunału Sprawiedliwości.

Błąd został wykryty szybko. Dokumenty zostały zwrócone właściwemu klientowi w ciągu pół godziny od przekazania ich nieuprawnionej osobie trzeciej. Ta nie zapoznała się z danymi osobowymi. Następnie klient zażądał od sieci MediaMarkt Saturn zapłaty odszkodowania na podstawie przepisów RODO. Powód miał doznać szkody niemajątkowej z powodu błędu popełnionego przez pracowników sklepu i wynikającego z tego ryzyka utraty kontroli nad swoimi danymi osobowymi.

Rozstrzygając przedstawione przez sąd niemiecki kwestie, TSUE doszedł do dwóch wniosków mogących mieć szczególny wpływ na odpowiedzialność podmiotów przetwarzających dane osobowe. Po pierwsze, sprecyzował swoją dotychczasową linię orzeczniczą. Wprawdzie pracownicy administratora omyłkowo przekazali nieupoważnionej stronie trzeciej dokument zawierający dane osobowe, ale to nie wystarcza samo w sobie do uznania, że środki techniczne i organizacyjne wdrożone przez administratora nie były „odpowiednie”.

TSUE potwierdził tym, że chociaż omyłkowe przekazanie dokumentów może świadczyć o naruszeniu RODO, to możliwe jest również przeprowadzenie skutecznego przeciwdowodu przez administratora. Innymi słowy, samo wystąpienie incydentu nie świadczy jeszcze, że doszło do naruszenia przepisów.

Utrata kontroli i szkoda niemajątkowa

Wyrok zawiera także wskazówkę TSUE, jak należy rozumieć pojęcie szkody niemajątkowej w związku z naruszeniem RODO. To drugi istotny wniosek wynikający z omawianego orzeczenia. Powód, uzasadniając swoje prawo do odszkodowania przed sądem niemieckim, wskazywał przede wszystkim na obawę, że nawet w trakcie półgodzinnego posiadania dokumentów przez osobę nieuprawnioną mogło dojść do wykonania kopii dokumentów, a w przyszłości do nadużycia wspomnianych danych. Jak się wydaje, okoliczność ta miała stanowić jego szkodę niemajątkową.

TSUE potwierdził wynikający z dotychczasowego orzecznictwa pogląd, że utrata kontroli nad danymi osobowymi przez krótki okres może spowodować po stronie osoby, której dane dotyczą, „szkodę niemajątkową” w rozumieniu art. 82 ust. 1 RODO, wywołującą prawo do odszkodowania. Co jednak istotne, TSUE wskazał, że obawa nadużycia danych przez nieupoważnioną osobę trzecią nie powinna mieć charakteru czysto hipotetycznego. Doprowadziło to do konkluzji, że szkoda niemajątkowa nie zachodzi, gdy żadna strona trzecia nie zapoznała się z danymi osobowymi.

Ponadto TSUE potwierdził i rozwinął niektóre poglądy wynikające z jego dotychczasowego orzecznictwa. Wskazał, że odszkodowanie z art. 82 RODO ma charakter kompensacyjny, a nie represyjny. Na zakres należnego świadczenia wpływa zakres doznanej szkody (majątkowej lub niemajątkowej, której wystąpienie poszkodowany musi udowodnić). Bez znaczenia dla wysokości odszkodowania jest więc waga naruszenia RODO, które spowodowało szkodę.

Trybunał potwierdził także, że przesłanką odpowiedzialności odszkodowawczej jest wystąpienie szkody (majątkowej lub niemajątkowej), naruszenia RODO oraz adekwatnego związku przyczynowego pomiędzy szkodą a naruszeniem.

Problem z tłumaczeniem

Co ciekawe, duże zamieszanie może wywołać polska wersja omawianego wyroku. Najważniejsze tezy zostały bowiem błędnie przetłumaczone.

Pierwsza nieścisłość dotyczy możliwości dowodzenia przez administratora, gdy jego pracownicy omyłkowo przekazali nieupoważnionej osobie trzeciej dokument zawierający dane osobowe (pkt 45 uzasadnienia oraz pkt 1 petitum wyroku). Polska wersja językowa wyroku błędnie wskazuje, że jest to sytuacja wystarczająca sama w sobie do uznania, że środki techniczne i organizacyjne wdrożone przez odnośnego administratora nie były „odpowiednie”.

Inne wersje językowe, np. angielska i niemiecka, wskazują jednak odmiennie, co jest zgodne z wcześniejszymi wywodami TSUE (przykładowo, w angielskiej wersji wskazano: „the fact that the employees of the controller provided to an unauthorised third party in error a document containing personal data is not sufficient, in itself, to consider that the technical and organisational measures implemented by the controller at issue were not 'appropriate'”).

Podobna sytuacja dotyczy tezy związanej ze szkodą niemajątkową (pkt 69 uzasadnienia i pkt 5 petitum wyroku). Wersje językowe angielska i niemiecka są całkowicie odmienne od wersji polskiej i zgodne z wcześniejszymi wywodami TSUE. Wskazują, że szkoda niematerialna nie powstaje, gdy wykazano, że osoba trzecia nie zapoznała się z danymi osobowymi w posiadanie których weszła w sposób nieuprawniony. Wydźwięk polskiego tłumaczenia jest jednak odwrotny.

Więcej komplikacji z odszkodowaniem

Wyrok C-687/21 może więc wpłynąć na postępowanie dowodowe przed sądami polskimi i dodatkowo utrudnić dochodzenie roszczeń odszkodowawczych z art. 82 RODO. Obok stosunkowo niewielkiej wysokości zasądzanych dotychczas w Polsce świadczeń może to być więc kolejny czynnik, który przyczyni się do zmniejszenia atrakcyjności tej formy ochrony.

Orzeczenie może więc poprawić sytuację administratorów danych broniących się przed roszczeniami osób fizycznych. Skoro samo wystąpienie incydentu nie jest wystarczające do stwierdzenia, że doszło do naruszenia RODO, to polskie sądy nie powinny ograniczać postępowania dowodowego do samego stwierdzenia wycieku danych. Konieczność kompleksowego wyjaśnienia kwestii związanych z wprowadzeniem odpowiednich środków bezpieczeństwa daje z kolei duże możliwości wykazania się pełnomocnikom.

Dodatkowo, może się okazać, że sądy zmienią swoje podejście do kwestii związanych z rozumieniem i wykazywaniem szkody niemajątkowej. Wyrok C-687/21 może wywołać większą niechęć sądów do przyznawania zadośćuczynienia jedynie na podstawie obaw strony o nadużycie jej danych osobowych, bez przedstawienia dalszych dowodów.