Odszkodowanie za nielegalne przetwarzanie danych osobowych

Do tej pory w przypadku naruszenia przez administratora danych przepisów o ochronie danych osobowych, dochodzenie rekompensaty pieniężnej w postaci zadośćuczynienia było możliwe na podstawie przepisów dotyczących naruszenia dóbr osobistych zgodnie z art. 24 oraz 448 Kodeksu cywilnego (prawo do ochrony danych osobowych jest dobrem osobistym). Ustawa o ochronie danych osobowych nie zawiera przepisu uprawniającego poszkodowanego do żądania odszkodowania za niezgodne z prawem przetwarzanie tych danych. Niedługo się to zmieni.

Administrator zapłaci

Na mocy przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (rozporządzenie) w ramach prawa do sądu, osobie, której dane dotyczą, przysługiwać będą roszczenia odszkodowawcze względem administratora danych oraz podmiotu przetwarzającego dane w jego imieniu (art. 82 rozporządzenia). Rozporządzenie to weszło w życie w 24 maja 2016 roku i będzie stosowane we wszystkich krajach członkowskich Unii Europejskiej od 25 maja 2018 roku. Do tego czasu przepisy obowiązujące w państwach członkowskich będą musiały zostać dostosowane do treści rozporządzenia. Co za tym idzie osoby, których dane osobowe podlegały nielegalnemu przetworzeniu będą mogły domagać się odszkodowania za naruszenie danych osobowych od administratorów danych.

Zgodnie z nowymi przepisami rozporządzenia, za szkody spowodowane naruszającym rozporządzenie unijne przetwarzaniem danych osobowych odpowiada uczestniczący w przetwarzaniu tych danych administrator. Rozporządzenie zawiera otwartą definicję przetwarzania, zgodnie z którą pod tym pojęciem należy rozumieć operacje wykonywane na danych osobowych w sposób zautomatyzowany lub niezautomatyzowany. Chodzi tu o: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. W przypadku, kiedy administratorów przetwarzających określone dane osobowe jest wielu, każdy z nich ponosi odpowiedzialność za szkody spowodowane przez siebie.

Większa odpowiedzialność

Rozporządzenie rozszerza odpowiedzialność za niezgodne z prawem przetwarzanie danych osobowych na szkody spowodowane przez podmioty niebędące administratorami danych, ale przetwarzające te dane. Warto podkreślić, że odpowiedzialność podmiotu przetwarzającego dane w imieniu administratora jest, zgodnie z rozporządzeniem, ograniczona i zachodzi wyłącznie w przypadku niedopełnienia przez niego obowiązków, które rozporządzenie nakłada bezpośrednio na podmioty przetwarzające. Obowiązki te to m.in. przetwarzanie danych wyłącznie na udokumentowane polecenie administratora, zachowanie danych osobowych w tajemnicy, wdrożenie odpowiednich środków technicznych i organizacyjnych dla zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku zagrożenia bezpieczeństwa danych. Podmiot przetwarzający dane ponosi również odpowiedzialność, gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom. Jak w takim razie należy interpretować pojęcie szkody związanej z niezgodnym z prawem przetwarzaniem danych osobowych? Mówiąc krótko - szeroko. Konieczne jest przy tym branie pod uwagę orzecznictwa Trybunału Sprawiedliwości w sposób w pełni odzwierciedlający cele rozporządzenia. Odszkodowanie przysługuje zarówno za szkody majątkowe jak i niemajątkowe, np. poczucie dyskomfortu wywołane niezgodnym z prawem przetwarzaniem danych osobowych. Poszkodowany będzie musiał przed sądem udowodnić wysokość poniesionej szkody, co może być utrudnione, zwłaszcza przy szkodach niematerialnych. Przetwarzanie dokonywane w sposób naruszający przepisy rozporządzenia obejmuje także przetwarzanie danych osobowych, które narusza akty delegowane i wykonawcze przyjęte na mocy rozporządzenia oraz prawo państwa członkowskiego doprecyzowujące rozporządzenie.

Decyduje wina

Odpowiedzialność zarówno administratora, jak i podmiotu przetwarzającego dane jest odpowiedzialnością opartą o zasadę winy. Oznacza to, że odszkodowanie będzie mogło zostać zasądzone w przypadku poniesienia przez te podmioty winy za zdarzenie, które doprowadziło do powstania szkody. Zwolnienie od odpowiedzialności może nastąpić, gdy administrator lub podmiot przetwarzający dane udowodnią, że winy za wystąpienie zdarzenia powodującego szkodę nie ponoszą. Ciężar dowodu w tym zakresie spoczywa zatem na administratorze oraz na podmiocie przetwarzającym dane, a nie na poszkodowanym. Przy czym warunkiem uwolnienia się od odpowiedzialności jest wykazanie, że podmioty przetwarzające dane lub administrator nie ponoszą winy za ich niezgodne przetwarzanie „w żaden sposób”. Zatem już najmniejsza wątpliwość dotycząca legalności przetwarzania danych, działać będzie na korzyść poszkodowanego.

Compliance w firmie - ochrona danych osobowych