C-741/21

TSUE orzekł, że samo naruszenie RODO nie jest wystarczające do uzyskania odszkodowania za szkodę niemajątkową, a administrator danych nie jest zwolniony z odpowiedzialności, jeśli szkoda wynika z błędu pracownika.

Sprawa dotyczyła wykładni art. 82 RODO w kontekście prawa do odszkodowania za szkodę niemajątkową. TSUE wyjaśnił, że samo naruszenie przepisów RODO nie jest wystarczające do przyznania odszkodowania – konieczne jest wykazanie poniesionej szkody, nawet jeśli jest ona niewielka. Ponadto, administrator danych nie może uchylić się od odpowiedzialności, powołując się jedynie na błąd pracownika, a kryteria ustalania kar administracyjnych z art. 83 RODO nie mają zastosowania do ustalania wysokości odszkodowania.

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczył wykładni art. 82 ust. 1 i 3 rozporządzenia RODO w związku z art. 29 i 83 tego rozporządzenia. Sprawa wywodziła się ze sporu między osobą fizyczną (GP) a spółką juris GmbH, dotyczącym odszkodowania za szkodę niemajątkową, którą GP miał ponieść w wyniku przetwarzania jego danych osobowych do celów marketingu bezpośredniego, mimo zgłoszonych sprzeciwów. Landgericht Saarbrücken zadał cztery pytania prejudycjalne dotyczące pojęcia szkody niemajątkowej, odpowiedzialności administratora za błędy pracowników, stosowania kryteriów z art. 83 RODO do ustalania odszkodowania oraz sposobu ustalania odszkodowania w przypadku wielokrotnych naruszeń. Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w swoim wyroku z dnia 11 kwietnia 2024 r. udzielił następujących odpowiedzi: 1. **Szkoda niemajątkowa:** Samo naruszenie przepisów RODO, które przyznają prawa osobie, której dane dotyczą, nie jest wystarczające do uznania za „szkodę niemajątkową” w rozumieniu art. 82 ust. 1 RODO. Konieczne jest wykazanie, że naruszenie to faktycznie wyrządziło szkodę, nawet jeśli jest ona niewielka. Utrata kontroli nad danymi osobowymi może stanowić szkodę niemajątkową, ale wymaga udowodnienia jej wystąpienia. 2. **Odpowiedzialność administratora za błędy pracownika:** Administrator danych nie może zostać zwolniony z odpowiedzialności na podstawie art. 82 ust. 3 RODO, powołując się jedynie na to, że szkoda została spowodowana uchybieniem osoby działającej z jego upoważnienia (np. pracownika). Administrator jest odpowiedzialny za zapewnienie, że jego pracownicy przestrzegają poleceń i przepisów RODO. Aby skorzystać ze zwolnienia, administrator musiałby udowodnić brak związku przyczynowego między ewentualnym naruszeniem jego obowiązków a szkodą. 3. **Ustalanie wysokości odszkodowania:** Kryteria ustalania wysokości administracyjnych kar pieniężnych, określone w art. 83 RODO, nie mają zastosowania do ustalania wysokości odszkodowania na podstawie art. 82 RODO. Prawo do odszkodowania ma charakter kompensacyjny, a nie represyjny. W przypadku wielokrotnych naruszeń, odszkodowanie powinno być ustalane na podstawie konkretnie poniesionej szkody, a nie poprzez sumowanie indywidualnych naruszeń czy stosowanie kryteriów kar. Wyrok ten ma istotne znaczenie praktyczne dla oceny roszczeń odszkodowawczych w związku z naruszeniami RODO, precyzując warunki przyznania odszkodowania i zakres odpowiedzialności administratorów.

Zagadnienia prawne (3)

Rozstrzygnięcie

Strony

Przepisy (10)

Argumenty

Skład orzekający

Informacje dodatkowe

Powiązane tematy