Jedno z najgłośniejszych medialnie naruszeń ochrony danych osobowych ostatnich miesięcy dotyczyło kradzieży laptopa z SGGW. Studenci, których dane mogły dostać się w niepowołane ręce zapowiadali dochodzenie odszkodowań „związanych z RODO”. Przez media przetoczyła się fala artykułów dotyczących tego zagadnienia, w tym i mój komentarz w Gazecie Prawnej:
Odpowiedzialność cywilna z RODO i DODO.
Nadto na portalach społecznościowych, studenci dotknięci potencjalnym wyciekiem danych, zakładali grupy dyskusyjne w celu dochodzenia wielotysięcznych odszkodowań. Byli tacy, którzy widzieli nawet możliwość pozwów zbiorowych, co w mojej opinii nie jest dopuszczalne, jeśli powództwo oprzemy o ochronę dóbr osobistych (porównaj art. 1 ust. 2a ustawy z dnia 17 grudnia 2009 r. o dochodzeniu roszczeń w postępowaniu grupowym – Dz.U. 2010 Nr 7 poz. 44).
Jaka może być podstawa odszkodowania?
Podstawy odpowiedzialności cywilnej zostały uregulowane nie tylko w kodeksie cywilnym, ale także w:
art. 82 ust. 1 RODO:
„Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę”.
art. 53 ust. 1 ustawy DODO (ustawa z 14 grudnia o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości):
„Osobie, która poniosła szkodę lub doznała krzywdy w wyniku czynności naruszającej przepisy ustawy DODO, przysługuje od administratora odszkodowanie lub zadośćuczynienie”.
Wniosek o informację publiczną do Prezesa UODO.
Odpowiedź na pytanie postawione w tytule dzisiejszego wpisu zna Prezes Urzędu Ochrony Danych Osobowych. Zna je dlatego, że art. 94 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych wprowadził obowiązek informowania Prezesa UODO o „wniesieniu pozwu oraz prawomocnym orzeczeniu kończącym postępowanie w sprawie o roszczenie z tytułu naruszenia przepisów o ochronie danych osobowych, o którym mowa w art. 79 lub art. 82 rozporządzenia 2016/679, sąd zawiadamia niezwłocznie Prezesa Urzędu”. Taki obowiązek spoczywa na wszystkich sądach okręgowych w kraju.
Jak wynika z treści uzasadnienia do projektu ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (druk 2410), „celem wprowadzenia przedmiotowych regulacji do projektu jest udrożnienie i przyspieszenie komunikacji pomiędzy sądami powszechnymi a Prezesem Urzędu. Należy zwrócić uwagę, iż wniesienie pozwu w sprawach, o których mowa w projekcie, obliguje sąd – przed którym toczy się postępowanie – do zawiadomienia Prezesa Urzędu. W ocenie projektodawcy ważnym do wskazania jest również, że wprowadzenie do projektu wskazanych regulacji nie ma wpływu na toczące się obecnie postępowania”.
Nic nie stało na przeszkodzie, aby zapytać o dane organ nadzorczy. Odpowiedź otrzymałem błyskawicznie i to zaledwie po kilku dniach, co pokazuje jak dobrze zarządza się w Urzędzie Ochrony Danych Osobowych przepływem informacji.
Czego się z niej dowiadujemy?
Na 7 stycznia 2020 r. nie wpłynęło do Urzędu Ochrony Danych Osobowych żadne zawiadomienie sądu o prawomocnym orzeczeniu kończącym postępowanie w sprawie o roszczenie z tytułu naruszenia przepisów o ochronie danych osobowych. Mówi nam to tyle, że żadne powództwo oparte o art. 82 ust. 1 RODO lub art. 53 ust. 1 ustawy DODO nie doczekało się swojego prawomocnego finału, choć nie musi to znaczyć, że w tych sprawa nie zapadł wyrok pierwszej instancji (tutaj jest nią sąd okręgowy zgodnie z art. 93 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych).
Jednakże do Urzędu Ochrony Danych Osobowych wpłynęło siedem zawiadomień z sądów okręgowych o wniesionych do nich interesujących nas pozwów. Zastanawiające jest, że aż cztery sprawy toczą się przed Sądem Okręgowym w Gliwicach (I C 216/19, I C 598/19, I C 756/18 i I C 763/18). Natomiast po jednej sprawie toczy się przed Sądem Okręgowym we Wrocławiu (I C 791/19), Sądem Okręgowym w Słupsku (tutaj Sąd nie przekazał do UODO sygnatury akt) oraz Sądem Okręgowym w Bielsku-Białej (VI P 10/19).
Jak widać z „twardych” danych statystycznych szturmu związanego z sądowym dochodzeniem roszczeń dotyczących naruszania przepisów o ochronie danych osobowych jeszcze nie odczuwamy. Moim zdaniem to tylko kwestia czasu, aż statystyki te będą zupełnie inaczej wyglądać. Spraw przybędzie lawinowo.
