RODO a dobra osobiste — które roszczenia wybrać po ujawnieniu danych?

Kiedy naruszenie danych osobowych narusza jednocześnie dobro osobiste

RODO i przepisy Kodeksu cywilnego chronią częściowo pokrywające się, lecz nieidentyczne interesy. Dlatego po ujawnieniu danych najpierw trzeba ustalić, co dokładnie zostało naruszone.

Dane osobowe to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Naruszenie zasad ich przetwarzania może polegać przykładowo na ujawnieniu danych niewłaściwemu odbiorcy, opublikowaniu ich bez podstawy prawnej, wykorzystaniu w innym celu niż ten, dla którego zostały zebrane, albo przechowywaniu ich mimo ustania podstawy dalszego przetwarzania.

Dobra osobiste chronione są natomiast przez art. 23 i 24 Kodeksu cywilnego. Ustawowy katalog jest otwarty. W sprawach związanych z danymi osobowymi znaczenie mogą mieć zwłaszcza prywatność, cześć, dobre imię, wizerunek, nazwisko, tajemnica korespondencji czy autonomia informacyjna jednostki.

Nie każde bezprawne przetwarzanie danych musi zatem prowadzić do naruszenia dobra osobistego. Przykładowo administrator może naruszyć obowiązek informacyjny wynikający z RODO, choć sposób przetwarzania nie ingeruje jeszcze w prywatność lub reputację osoby w stopniu uzasadniającym ochronę z art. 24 Kodeksu cywilnego. Z drugiej strony publiczne rozpowszechnienie informacji o czyimś życiu prywatnym może równocześnie naruszać przepisy o ochronie danych i dobro osobiste w postaci prywatności.

Ocena zależy także od rodzaju danych, liczby odbiorców, sposobu ujawnienia i jego skutków. Inaczej będzie ocenione jednorazowe omyłkowe przesłanie wiadomości jednej osobie, a inaczej publiczne zamieszczenie danych w internecie. Szersze omówienie sytuacji związanych z publikacją danych osobowych pomaga zobaczyć, jak znaczenie okoliczności ujawnienia wpływa na dostępne środki ochrony.

Skarga do UODO, żądania wobec administratora i droga cywilna

Po naruszeniu nie trzeba wybierać wyłącznie jednej ścieżki. RODO przewiduje kilka instrumentów o odmiennym celu, które mogą być wykorzystywane niezależnie od siebie albo kolejno.

Jeżeli celem jest przede wszystkim zatrzymanie nieprawidłowego przetwarzania, często racjonalnym pierwszym krokiem jest wystąpienie do administratora. W zależności od sytuacji można żądać m.in. dostępu do danych, sprostowania, usunięcia albo ograniczenia przetwarzania lub wnieść sprzeciw. Nie każde z tych praw przysługuje jednak w każdej sytuacji. Przykładowo prawo do usunięcia danych ma wyjątki wskazane w art. 17 ust. 3 RODO, m.in. gdy dalsze przetwarzanie jest konieczne do wywiązania się z obowiązku prawnego albo do ustalenia, dochodzenia lub obrony roszczeń.

Administrator powinien poinformować o działaniach podjętych w związku z żądaniem co do zasady bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od jego otrzymania. W sprawach skomplikowanych lub przy większej liczbie żądań termin może zostać przedłużony o dalsze dwa miesiące, ale administrator musi poinformować o przedłużeniu i jego przyczynach w pierwszym miesiącu.

Skargę można skierować do Prezesa UODO, jeżeli osoba uważa, że przetwarzanie dotyczących jej danych narusza RODO. Gdy przedmiotem skargi jest niewykonanie konkretnego prawa, np. prawa do usunięcia danych, wcześniejsze przedstawienie żądania administratorowi pozwala wykazać, czego zażądano i jaka była odpowiedź. Oficjalna praktyka UODO również zaleca wcześniejsze zwrócenie się do administratora.

Skarga administracyjna nie zastępuje jednak powództwa o pieniądze. Prezes UODO nie zasądza na rzecz poszkodowanego odszkodowania z art. 82 RODO. Takiego świadczenia dochodzi się przed sądem.

Odszkodowanie z art. 82 RODO a zadośćuczynienie na podstawie Kodeksu cywilnego

Najważniejsza różnica ujawnia się przy roszczeniach pieniężnych. Art. 82 ust. 1 RODO przyznaje prawo do odszkodowania osobie, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO.

Z orzecznictwa Trybunału Sprawiedliwości UE wynika, że do powstania prawa do odszkodowania potrzebne są łącznie:

• naruszenie RODO,
• rzeczywiście poniesiona szkoda majątkowa lub niemajątkowa,
• związek przyczynowy pomiędzy naruszeniem a szkodą.

Samo stwierdzenie, że administrator złamał przepis RODO, nie daje jeszcze automatycznie prawa do zapłaty. Jednocześnie TSUE wykluczył ustanawianie minimalnego progu powagi szkody niemajątkowej. Nie można więc odrzucić roszczenia wyłącznie dlatego, że krzywda została oceniona jako zbyt mało dotkliwa. Poszkodowany nadal musi jednak wykazać, że szkoda rzeczywiście wystąpiła.

TSUE dopuścił również możliwość uznania za szkodę niemajątkową uzasadnionej obawy przed przyszłym niewłaściwym wykorzystaniem danych. Sąd bada jednak realność takiej obawy w okolicznościach konkretnej sprawy. Samo abstrakcyjne stwierdzenie „boję się, że kiedyś coś może się wydarzyć” może nie wystarczyć.

Art. 82 RODO ma funkcję kompensacyjną, a nie karną. Kwota nie służy ukaraniu administratora i nie jest ustalana według kryteriów stosowanych przy administracyjnych karach pieniężnych. Ma rekompensować rzeczywistą szkodę.

Inną podstawą może być art. 24 w związku z art. 448 Kodeksu cywilnego. Jeżeli sposób wykorzystania danych naruszył dobro osobiste, sąd może przyznać odpowiednią sumę tytułem zadośćuczynienia za doznaną krzywdę albo – na zasadach określonych w art. 448 – zasądzić odpowiednią sumę na wskazany cel społeczny.

W sprawie cywilnej trzeba więc precyzyjnie określić nie tylko, jakie dane przetwarzano, lecz także jakie dobro osobiste zostało naruszone. Może nim być np. prywatność, cześć, tajemnica korespondencji czy wizerunek. Podobny problem pojawia się, gdy naruszenie następuje przez wiadomość skierowaną do osób trzecich – w takich sytuacjach znaczenie może mieć również sposób oceny e-maila naruszającego dobra osobiste.

Usunięcie danych, zakaz dalszego przetwarzania i przeprosiny

Roszczenie pieniężne nie zawsze jest najważniejsze. Jeżeli dane pozostają publicznie dostępne albo nadal są wykorzystywane, priorytetem może być przerwanie naruszenia i usunięcie jego skutków.

Na gruncie RODO można – po spełnieniu przesłanek odpowiedniego przepisu – korzystać m.in. z prawa do usunięcia danych, ograniczenia przetwarzania albo sprzeciwu. Trzeba jednak odróżnić usunięcie danych przez administratora od całkowitego usunięcia informacji z obiegu. Jeżeli dane zostały skopiowane, udostępnione przez inne podmioty albo rozpowszechnione w internecie, samo wykonanie żądania przez pierwotnego administratora nie zawsze oznacza faktyczne zniknięcie wszystkich kopii.

Ochrona dóbr osobistych daje inne instrumenty. Zgodnie z art. 24 § 1 Kodeksu cywilnego osoba, której dobro osobiste jest zagrożone cudzym bezprawnym działaniem, może żądać zaniechania. Jeżeli doszło już do naruszenia, może również żądać czynności potrzebnych do usunięcia jego skutków, w szczególności złożenia oświadczenia o odpowiedniej treści i formie.

Takim oświadczeniem mogą być w odpowiedniej sprawie przeprosiny, sprostowanie komunikatu lub inne oświadczenie odpowiadające charakterowi naruszenia. Nie oznacza to jednak, że przeprosiny przysługują automatycznie po każdym naruszeniu RODO. Ich treść, forma i miejsce publikacji powinny odpowiadać sposobowi oraz zasięgowi naruszenia dobra osobistego.

Gdy problemem jest treść opublikowana przez nieustalonego autora albo materiał nadal dostępny online, przydatne mogą być również zasady dotyczące usunięcia anonimowej publikacji. W takich sprawach ustalenie właściwego pozwanego i podmiotu posiadającego techniczną możliwość usunięcia treści może być równie ważne jak sama podstawa roszczenia.

Jak wykazać krzywdę, szkodę i związek z naruszeniem

W sporze o odszkodowanie nie wystarczy zwykle wykazać, że dane zostały ujawnione. Trzeba udokumentować następstwa tego zdarzenia.

Dowodami mogą być w szczególności:

• wiadomość e-mail lub pismo potwierdzające ujawnienie danych,
• zrzuty ekranu z publikacji wraz z datą i adresem strony,
• korespondencja z administratorem i inspektorem ochrony danych,
• zawiadomienie administratora o naruszeniu ochrony danych, jeżeli zostało przekazane osobie, której dane dotyczą,
• informacje o tym, komu i przez jaki czas dane były dostępne,
• dowody wykorzystania ujawnionych danych przez osoby trzecie,
• dokumenty potwierdzające koszty poniesione wskutek incydentu,
• korespondencja wskazująca na skutki zawodowe, rodzinne lub społeczne,
• zeznania świadków dotyczące następstw ingerencji w prywatność lub reputację.

Przy szkodzie majątkowej trzeba wykazać konkretny uszczerbek finansowy oraz jego związek z naruszeniem. Może chodzić przykładowo o koszt działań podjętych w następstwie bezprawnego wykorzystania danych, jeżeli pozostaje on w wymaganym związku przyczynowym ze zdarzeniem.

Przy szkodzie niemajątkowej znaczenie mogą mieć utrata kontroli nad danymi, uzasadniona obawa przed ich wykorzystaniem, poczucie naruszenia prywatności, stres czy inne rzeczywiste negatywne następstwa. Ich istnienie i intensywność są oceniane na tle konkretnego przypadku.

W ochronie dóbr osobistych trzeba dodatkowo wskazać dobro, w które ingerowano, i opisać sposób naruszenia. Przykładowo zupełnie inne znaczenie dowodowe będzie miało rozpowszechnienie informacji godzącej w reputację, a inne ujawnienie danych identyfikacyjnych bez dodatkowego negatywnego kontekstu. Mechanizm ochrony można zobaczyć także na przykładzie spraw dotyczących dóbr osobistych ucznia, gdzie decydujące jest ustalenie konkretnego chronionego dobra i charakteru ingerencji.

Łączenie roszczeń, właściwość sądu, terminy i ryzyko podwójnej kompensacji

RODO nie wyłącza innych środków ochrony przewidzianych przez prawo krajowe. Także art. 23 Kodeksu cywilnego wskazuje, że dobra osobiste pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach. Ten sam incydent może więc wymagać oceny w obu reżimach.

Nie oznacza to jednak, że zawsze należy formułować dwa identyczne żądania pieniężne. Roszczenia powinny odpowiadać temu, jaki uszczerbek ma zostać naprawiony.

Możliwe jest przykładowo połączenie żądania zaprzestania określonego działania i usunięcia skutków naruszenia dobra osobistego z żądaniem naprawienia szkody wynikającej z naruszenia RODO. Można też powołać kilka podstaw prawnych w jednym sporze, jeżeli ten sam stan faktyczny je uzasadnia. Konstrukcja żądań powinna jednak zapobiegać podwójnej kompensacji tej samej szkody niemajątkowej.

Ma to szczególne znaczenie dlatego, że według TSUE odszkodowanie z art. 82 RODO ma zapewniać pełną i skuteczną kompensację rzeczywiście poniesionej szkody, ale nie ma charakteru kary prywatnej. Jeżeli więc ta sama krzywda jest opisywana jednocześnie jako szkoda niemajątkowa z RODO i krzywda wynikająca z naruszenia dobra osobistego, sąd musi uwzględnić zbieżność podstaw i rzeczywisty zakres uszczerbku.

Jaki sąd rozpoznaje roszczenia z RODO?

Zgodnie z art. 93 ustawy o ochronie danych osobowych w sprawach o roszczenia z tytułu naruszenia przepisów o ochronie danych osobowych, o których mowa w art. 79 i 82 RODO, właściwy rzeczowo jest sąd okręgowy.

Art. 79 ust. 2 RODO przewiduje ponadto, że postępowanie przeciwko administratorowi lub podmiotowi przetwarzającemu może być wszczęte przed sądem państwa członkowskiego, w którym podmiot ten posiada jednostkę organizacyjną. Alternatywnie osoba, której dane dotyczą, może co do zasady wszcząć postępowanie przed sądem państwa członkowskiego swojego zwykłego pobytu. Wyjątek dotyczy organów publicznych państwa członkowskiego działających w ramach wykonywania swoich uprawnień publicznych.

Ustawa o ochronie danych osobowych przewiduje także koordynację postępowania cywilnego ze sprawą prowadzoną przez Prezesa UODO. Jeżeli sprawa dotycząca tego samego naruszenia została wcześniej wszczęta przed Prezesem UODO, art. 95 ustawy przewiduje zawieszenie postępowania sądowego. Prawomocne ustalenie naruszenia przez Prezesa UODO lub sąd administracyjny może mieć następnie znaczenie dla procesu odszkodowawczego na zasadach określonych w art. 97 ustawy.

Czy trzeba najpierw złożyć skargę do UODO?

Nie. Art. 79 i 82 RODO nie uzależniają drogi sądowej od wcześniejszego zakończenia postępowania przed organem nadzorczym. Można zatem dochodzić ochrony sądowej niezależnie od skargi do Prezesa UODO. Trzeba jednak uwzględnić wskazane wyżej reguły dotyczące równoległego postępowania o to samo naruszenie.

Jakie terminy trzeba kontrolować?

RODO nie ustanawia jednego unijnego terminu przedawnienia roszczenia z art. 82. W zakresie nieuregulowanym RODO polska ustawa o ochronie danych osobowych odsyła do Kodeksu cywilnego. Termin trzeba zatem ustalać według charakteru konkretnego roszczenia i podstawy odpowiedzialności, a nie przyjmować automatycznie jednego terminu dla wszystkich działań związanych z danymi.

W przypadku majątkowych roszczeń wynikających z czynu niedozwolonego znaczenie ma art. 442¹ Kodeksu cywilnego. Co do zasady roszczenie o naprawienie szkody przedawnia się po trzech latach od dnia, w którym poszkodowany dowiedział się albo przy zachowaniu należytej staranności mógł dowiedzieć się o szkodzie i osobie obowiązanej do jej naprawienia, z uwzględnieniem dalszych reguł i wyjątków określonych w tym przepisie. Jeżeli szkoda wynikła ze zbrodni lub występku, art. 442¹ § 2 przewiduje termin dwudziestoletni liczony od dnia popełnienia przestępstwa.

Nie należy przenosić terminu dotyczącego roszczenia pieniężnego automatycznie na żądanie zaniechania trwającego naruszenia dobra osobistego. Poszczególne roszczenia wymagają odrębnej kwalifikacji.

Jeżeli publikacji danych towarzyszą obraźliwe lub nieprawdziwe wypowiedzi, spór może przesunąć się z samego RODO w stronę klasycznej ochrony czci i dobrego imienia. Pomocne jest wówczas rozróżnienie tych podstaw na tle spraw takich jak pomówienia i wyzwiska sąsiadki.

Najczęstsze pytania o RODO i dobra osobiste

Czy każde ujawnienie danych daje prawo do odszkodowania?

Nie. Dla odszkodowania z art. 82 RODO potrzebne są naruszenie RODO, szkoda majątkowa lub niemajątkowa oraz związek przyczynowy między nimi. Samo naruszenie przepisu nie wystarcza. Nie ma jednak wymogu osiągnięcia przez szkodę niemajątkową określonego minimalnego poziomu powagi.

Czy muszę wykazać, że ktoś faktycznie wykorzystał wykradzione lub ujawnione dane?

Nie zawsze. TSUE wskazał, że uzasadniona obawa przed przyszłym wykorzystaniem danych może sama stanowić szkodę niemajątkową. Trzeba jednak wykazać rzeczywiste negatywne następstwo w postaci takiej obawy oraz okoliczności pozwalające ocenić ją jako uzasadnioną.

Czy Prezes UODO może zasądzić dla mnie zadośćuczynienie?

Nie. Prezes UODO może stosować środki należące do kompetencji organu nadzorczego, ale odszkodowanie z art. 82 RODO jest dochodzone przed sądem powszechnym.

Czy po usunięciu danych nadal można żądać rekompensaty?

Tak, samo późniejsze usunięcie danych nie przekreśla automatycznie roszczenia za szkodę już powstałą. Może natomiast wpływać na ocenę czasu trwania naruszenia, jego skutków oraz zakresu krzywdy.

Czy przeprosiny można uzyskać na podstawie samego RODO?

Typowym źródłem żądania przeprosin jest ochrona dóbr osobistych z art. 24 Kodeksu cywilnego, jeżeli okoliczności uzasadniają takie działanie jako sposób usunięcia skutków naruszenia. RODO przewiduje inne środki służące ochronie praw związanych z przetwarzaniem danych.

Czy można jednocześnie złożyć skargę do UODO i pozwać administratora?

Obie drogi są co do zasady niezależne, lecz polska ustawa przewiduje reguły ich koordynacji. W szczególności, jeżeli postępowanie dotyczące tego samego naruszenia zostało wszczęte wcześniej przed Prezesem UODO, sąd zawiesza postępowanie zgodnie z art. 95 ustawy o ochronie danych osobowych.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), w szczególności art. 12, 17, 18, 21, 77, 79 i 82.
• Ustawa z 10 maja 2018 r. o ochronie danych osobowych, w szczególności art. 92–99, według tekstu uwzględniającego zmiany obowiązujące w 2026 r.
• Ustawa z 23 kwietnia 1964 r. – Kodeks cywilny, tekst jednolity: Dz.U. z 2026 r. poz. 795, w szczególności art. 23, 24, 448 i 442¹.
• Wyrok Trybunału Sprawiedliwości UE z 4 maja 2023 r., C-300/21, Österreichische Post – przesłanki odszkodowania z art. 82 RODO i brak minimalnego progu powagi szkody niemajątkowej.
• Wyrok Trybunału Sprawiedliwości UE z 14 grudnia 2023 r., C-340/21, Natsionalna agentsia za prihodite – obawa przed potencjalnym wykorzystaniem danych jako możliwa szkoda niemajątkowa.
• Wyrok Trybunału Sprawiedliwości UE z 11 kwietnia 2024 r., C-741/21, juris – kompensacyjna, a nie represyjna funkcja art. 82 RODO.
• Urząd Ochrony Danych Osobowych, informacje dla osób składających skargę i korzystających z praw wynikających z RODO, stan informacji zweryfikowany na 26 września 2026 r.