Naruszenie ochrony danych może być podstawą odpowiedzialności odszkodowawczej z art. 82 RODO nawet wtedy, gdy nie doszło do kradzieży środków, wyłudzenia czy innej wymiernej straty finansowej, natomiast powstała szkoda niemajątkowa. W niedawnym wyroku sąd przyznał 40 tys. zł zadośćuczynienia osobie, której dane przez przypadek zostały przekazane przez Biuro Rzecznika Finansowego do ponad 28 tys. nieuprawnionych podmiotów.
Prawomocny już wyrok Sądu Okręgowego w Warszawie w sprawie o sygn. III C 904/23 został opublikowany w czerwcu 2026 r. W ramach dyskusji na temat potencjalnych roszczeń, jakie mogą wysuwać osoby poszkodowane w wyniku wycieku danych z systemu firmy MyDr., orzeczenie przywołała Żaneta Rzepczyk-Zgoła, adwokat i pełnomocnik powoda w tej sprawie.
11 lutego 2021 r. Biuro Rzecznika Finansowego, prowadzące sprawę konkretnej osoby, chciało skierować pismo do prezesa konkretnej spółki. Omyłkowo wysłało je jednak przez system ePUAP do 28 366 instytucji i podmiotów publicznych. Korespondencja zawierała m.in. imię i nazwisko, adres korespondencyjny, numer i nazwę polisy, sygnaturę sprawy u rzecznika finansowego oraz oznaczenie podmiotu finansowego, którego interwencja dotyczy.
Rzecznik finansowy dochował procedur związanych z obsługą incydentu (m.in. poinformował o nim zainteresowanego i poprosił omyłkowych odbiorców informacji o usunięcie lub anonimizację danych), a Urząd Ochrony Danych Osobowych udzielił mu upomnienia. Zainteresowany nie poniósł żadnej szkody materialnej z powodu incydentu. Wkrótce jednak – jak wynika z ustalonego przez sąd stanu faktycznego – zaczął otrzymywać liczną korespondencję pocztową od instytucji i podmiotów publicznych oraz wiadomości na komunikatorze od nieznanych osób, z informacją o uzyskaniu jego danych osobowych. Jak odnotował sąd, „korespondencja nie mieściła się w skrzynce pocztowej”.
Powód wystąpił więc z pozwem o zadośćuczynienie, powołując się na art. 82 RODO. Zgodnie z tym przepisem każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.
Czytaj w LEX: Prawo do odszkodowania na drodze cywilnej za naruszenie ochrony danych zarówno w sektorze publicznym i prywatnym >
Sąd uznał, że rzecznik finansowy ponosi odpowiedzialność za incydent. Naruszenie powstało w wyniku pomyłki pracownika biura, sąd wytknął też rzecznikowi brak właściwych zabezpieczeń, m.in. ograniczenia możliwości wysyłki korespondencji seryjnej w systemie EZD (Elektronicznego Zarządzania Dokumentacją). Skład orzekający stwierdził również, że „skala naruszenia danych powoda była ogromna”, chociaż na ponad 28 tys. omyłkowych adresatów pisma odpowiedziało ok. 100. Sąd uznał, że nie ma znaczenia, iż były to podmioty publiczne, nie ma bowiem gwarancji, że dane są u nich bezpieczne.
Wreszcie sąd przychylił się do tego, że na skutek incydentu powód poniósł szkodę niemajątkową.
Zdarzenie z dnia 11 lutego 2021 r. wywołało u niego dyskomfort, zaczął odczuwać stres, do chwili obecnej myśli o tym, kto jest w posiadaniu jego danych. W związku z incydentem powód otrzymał wiele wiadomości i dużo korespondencji, co podkreślało powagę sytuacji – czytamy w uzasadnieniu.
Za adekwatną kwotę zadośćuczynienia sąd uznał 40 tys. zł (powód wnosił o wyższą rekompensatę).
– To ważne rozstrzygnięcie z perspektywy osób, których dane zostały bezprawnie ujawnione. Skutków naruszenia prywatności nie można sprowadzać wyłącznie do pytania, czy doszło już do wykorzystania danych i powstania szkody finansowej. Sama utrata kontroli nad danymi, uzasadniona obawa co do sposobu ich dalszego wykorzystania oraz związany z tym stres mogą stanowić realną krzywdę wymagającą odpowiedniej kompensacji – komentuje mec. Żaneta Rzepczyk-Zgoła.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
