Odszkodowanie za naruszenie RODO — art. 82, krzywda i wymagany związek przyczynowy

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL.

Odpowiedź w skrócie

Art. 82 RODO umożliwia żądanie naprawienia szkody majątkowej lub niemajątkowej spowodowanej naruszeniem rozporządzenia. Samo naruszenie nie daje automatycznie odszkodowania: trzeba wykazać szkodę i związek przyczynowy, przy czym TSUE odrzucił wymaganie szczególnego progu powagi szkody niemajątkowej.

Odpowiedzialność odszkodowawcza a kara administracyjna

RODO przewiduje różne mechanizmy ochrony: skargę do organu nadzorczego, środki sądowe i roszczenie odszkodowawcze. Kara administracyjna nakładana na administratora nie jest automatyczną wypłatą dla osoby dotkniętej zdarzeniem. Art. 82 służy naprawieniu rzeczywistej szkody, majątkowej albo niemajątkowej. Nie powinno się utożsamiać kwoty kary ogłoszonej przez organ z wysokością indywidualnego roszczenia. Są to różne reżimy prawne, oceniane według odmiennych przesłanek.

Trzy elementy roszczenia

Osoba powinna wykazać naruszenie RODO, szkodę i związek przyczynowy między nimi. Sam fakt wysłania pisma na niewłaściwy adres nie przesądza automatycznie o określonej kwocie zadośćuczynienia. Z drugiej strony nie można odmówić ochrony tylko dlatego, że szkoda nie ma charakteru finansowego. Istotna jest indywidualna sytuacja osoby oraz to, jakie konsekwencje rzeczywiście wywołała utrata kontroli nad jej informacjami.

Orzecznictwo TSUE w sprawie C-300/21

Trybunał Sprawiedliwości w wyroku C-300/21 Österreichische Post wyjaśnił, że samo naruszenie RODO nie wystarcza do otrzymania odszkodowania na podstawie art. 82. Jednocześnie prawo unijne nie wymaga, aby szkoda niemajątkowa osiągała szczególny próg powagi. Krajowy sąd ocenia istnienie i wysokość uszczerbku zgodnie z odpowiednimi regułami, z zachowaniem skuteczności prawa UE. Uproszczenie, że „za każdy wyciek należy się 10 tys. zł”, nie znajduje takiej podstawy.

Możliwa szkoda niemajątkowa

Uszczerbek niemajątkowy może dotyczyć uzasadnionego lęku przed nadużyciem danych, utraty kontroli nad informacją albo naruszenia prywatności, jeśli w konkretnej sprawie spełnione są wymogi dowodowe. Nie każdy subiektywny dyskomfort automatycznie oznacza tożsame odszkodowanie. Ważne są charakter danych, krąg odbiorców, sposób ujawnienia i faktyczne konsekwencje dla osoby. Należy ocenić, czy jej obawy są oparte na rzeczywistych okolicznościach zdarzenia.

Szkoda majątkowa i dokumentacja

W niektórych sprawach naruszenie danych prowadzi do konkretnych kosztów: nieautoryzowanych transakcji, wydatków na zabezpieczenie kont lub konieczności ograniczenia skutków podszycia się pod tożsamość. Wtedy trzeba wykazać rozmiar szkody i jej związek z naruszeniem. Należy odróżnić wydatki konieczne od dobrowolnych działań niezwiązanych z realnym ryzykiem. Dokumentacja bankowa, korespondencja, zgłoszenia i ustalenia techniczne mogą mieć zasadnicze znaczenie dla wysokości roszczenia.

Administrator a procesor i odpowiedzialność

Art. 82 przewiduje zasady odpowiedzialności administratora oraz podmiotu przetwarzającego w zależności od ich roli i naruszonych obowiązków. Nie można z góry przyjąć, że zawsze odpowiada jedynie firma widniejąca na stronie jako administrator, a podmiot techniczny jest całkowicie zwolniony. Kluczowe są rzeczywiste działania, instrukcje, sposób zabezpieczenia danych i ustawowe przesłanki. Umowa powierzenia nie może sama w sobie pozbawić osoby fizycznej uprawnienia wynikającego z RODO.

Dowody i sposób sformułowania pozwu

W sprawie warto zgromadzić zawiadomienie o naruszeniu, dokumentację incydentu, potwierdzenie ujawnienia danych, korespondencję z administratorem i dokumenty dotyczące szkody. Żądanie powinno rozdzielać uszczerbek majątkowy i niemajątkowy oraz wskazywać związek przyczynowy. Nie należy przypisywać administratorowi wszystkich negatywnych zdarzeń w życiu osoby wyłącznie dlatego, że wcześniej wystąpił wyciek. Trzeba wykazać konkretny ciąg faktów.

Przykład

Sklep internetowy ujawnił nazwiska, adresy i historię zamówień klientów wskutek błędnej konfiguracji systemu. Jeden z klientów udokumentował późniejszą próbę wykorzystania jego danych do oszustwa, poniósł realne koszty zabezpieczenia i doznał uzasadnionego lęku. Roszczenie wymaga odrębnej oceny naruszenia, szkody i związku przyczynowego. Inna będzie sytuacja, gdy osoba żąda wysokiej kwoty bez wykazania jakiegokolwiek rzeczywistego uszczerbku.

Właściwy materiał źródłowy

Oceniając art. 82 rodo odszkodowanie i krzywda, należy rozpocząć od dokumentów pozwalających jednoznacznie określić strony, zakres sporu i historię istotnych czynności. Szczególną wartość mają źródła powstałe na bieżąco, takie jak umowy, wpisy w rejestrach, korespondencja i protokoły. Późniejsze deklaracje powinny być weryfikowane w świetle tych materiałów. Warto oddzielić dane obiektywne od założeń i ocen, aby nie budować żądania procesowego na nieudokumentowanej hipotezie.

Kontrargumenty i proporcjonalność

Roszczenie z art. 82 RODO wymaga ustalenia naruszenia rozporządzenia, szkody majątkowej lub niemajątkowej oraz związku przyczynowego. Samo stwierdzenie wadliwej klauzuli informacyjnej nie oznacza automatycznej wypłaty dowolnej kwoty. Równie błędne jest zakładanie, że krzywda podlega naprawieniu tylko po przekroczeniu sztywnego ustawowego minimum dolegliwości. W praktyce trzeba zebrać materiał pokazujący rzeczywiste następstwa naruszenia, a argumentację opierać na odpowiednim orzecznictwie TSUE dotyczącym art. 82.

Checklista

1. Sprawdź właściwą podstawę prawną.
2. Wskaż konkretne przesłanki, terminy i uprawnionych.
3. Zgromadź chronologię i dokumenty.
4. Oceń kontrargumenty oraz interes osób trzecich.
5. Sformułuj wykonalne żądanie albo proces organizacyjny.

Warto oddzielić przyczynę szkody od samego faktu naruszenia danych

Naruszenie ochrony danych może mieć różną postać i natężenie. Inaczej należy oceniać publiczne ujawnienie danych wrażliwych, inaczej jednorazowe wysłanie mało istotnej informacji do błędnego odbiorcy. W pozwie trzeba wykazać nie tylko treść naruszenia, ale również indywidualny uszczerbek, jego przebieg i związek przyczynowy. Istotne mogą być świadectwa nadużyć, koszty zabezpieczenia tożsamości, dokumentacja bankowa oraz wiarygodny opis krzywdy. Nie należy podawać arbitralnej kwoty tylko dlatego, że w innej sprawie administrator zapłacił karę administracyjną. Z drugiej strony brak szkody majątkowej nie wyklucza roszczenia niemajątkowego, jeśli jej istnienie zostało wykazane zgodnie z prawem.

Źródła i podstawy prawne

Art. 82 RODO, orzecznictwo TSUE, w tym C-300/21 Österreichische Post. RODO — oficjalny tekst rozporządzenia, EUR-Lex.