Roszczenia wynikające z naruszenia RODO

RODO, czyli rozporządzenie o ochronie danych osobowych weszło w życie w 2018 roku. Z pewnością każdy z nas spotkał się przynajmniej raz z koniecznością wypełniania dokumentu zwanego klauzulą informacyjną o przetwarzaniu danych osobowych. Zamieszczenie takiej klauzuli umożliwia przetwarzanie danych osobowych w sposób zgodny z prawem. Czasami jednak słyszymy o naruszeniach w tym przedmiocie. Warto zatem zapoznać się z mechanizmami za pomocą, których możemy bronić swoich praw.

Czym jest naruszenie danych osobowych?

Naruszeniem ochrony danych osobowych jest zdarzenie, które będzie się wiązało z naruszeniem poufności, dostępności lub integralności danych i będzie wywierało niekorzystny wpływ na osobę, której dane dotyczą.

Skąd mam wiedzieć, że moje dane osobowe zostały naruszone?

Jeżeli doszło do wycieku danych osobowych Prezes Urzędu Ochrony Danych Osobowych powinien zostać poinformowany przez administratora bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Co w sytuacji, gdy administrator danych osobowych dopuszcza się naruszeń?

Naruszenie RODO może pociągnąć administratora danych do odpowiedzialności na różnych płaszczyznach. Pokrótce przedstawimy każdą z nich.
Po pierwsze, możemy wnieść skargę na działanie administratora do Prezesa Urzędu Ochrony Danych Osobowych. Ma on możliwość wymierzenia kar administracyjnych za naruszenie przepisów. Maksymalna wysokość kary jest uzależniona od rodzaju podmiotu. Dla podmiotów prywatnych – max. 20 mln euro; dla podmiotów publicznych do 100tys. zł.

Odpowiedzialność cywilna

Jeżeli naruszenie spowodowało szkodę majątkową lub niemajątkową możemy złożyć pozew. Wówczas właściwy jest sąd okręgowy i to on rozpoznaje sprawę. Co istotne, sąd zawiesi postępowanie, jeśli w odniesieniu do tego samego naruszenia została już wszczęta sprawa przed Prezesem UODO, więc nie możemy korzystać z tych dwóch trybów postępowania jednocześnie.
Szkoda majątkowa będzie uzasadniała przyznanie odszkodowania, którego wysokość jest proporcjonalna do wartości ubytku w naszym majątku. Natomiast, jeżeli dojdzie do naruszenia dóbr o charakterze niematerialnym, np. prywatności możemy żądać zadośćuczynienia.

Skarga, a może jednak pozew?

Którą drogę wybrać? Przede wszystkim należy zastanowić się, co chcemy osiągnąć. Podstawowa różnica polega na tym, że Prezes UODO może nałożyć karę na administratora, natomiast nie jest organem decyzyjnym w kwestii przyznania nam odszkodowania. Zatem, jeżeli naruszenie spowodowało szkodę i zależy nam na odszkodowaniu lepiej wytoczyć powództwo przed sądem.

Jak mam udowodnić, że doszło do naruszenia?

W sprawach dotyczących naruszeń danych osobowych powód stoi na uprzywilejowanej pozycji w zakresie ciężaru dowodowego. Z samego rozporządzenia wynika, że to nie on, a pozwany, a więc administrator danych lub podmiot przetwarzający dane ma udowodnić przed sądem, że w sposób należyty przetwarzał dane powoda, tym samym nie można przypisać mu winy. Tylko udowodnienie braku winy zwalnia z odpowiedzialności i konieczności płacenia odszkodowania.

Kto ponosi odpowiedzialność?

W przypadku odpowiedzialności cywilnej za wyrządzoną szkodę odpowiada przede wszystkim administrator. Natomiast RODO przewiduje także reżim odpowiedzialności karnej – naruszenie danych osobowych może bowiem skutkować kary grzywny, ograniczenia wolności lub pozbawienia wolności (nawet do trzech lat), w zależności od popełnionego czynu. Taka odpowiedzialność ma charakter indywidualny, co powoduje, że karany jest sprawca, nie administrator.