Prezes UODO ocenia, że wykładnia art. 82 RODO może się zmienić

Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski w odpowiedzi skierowanej do Kancelarii Prezesa Rady Ministrów, dotyczącej oceny skutków wyroku Trybunału Sprawiedliwości Unii Europejskiej (C-655/23 Quirin Privatbank AG), wyjaśnił, że wyrok ten nie powoduje konieczności zmiany polskiego prawa, ale ma znaczenie dla wykładni przepisu art. 82 ust. 1 rozporządzenia 2016/679, zwłaszcza gdy chodzi o pojęcie szkody i odpowiedzialność administratora.

Opinia Prezesa UODO odnosi się do wyroku TSUE z 4 września 2025 r., w którym Trybunał wnioskuje o wydanie orzeczenia w trybie prejudycjalnym na temat wykładni art. 17, 18, 79, 82 i 84 rozporządzenia 2016/679 (RODO). Wniosek ten został złożony w ramach sporu pomiędzy IP, osobą fizyczną, a spółką Quirin Privatbank AG w przedmiocie żądania IP, mającego na celu, po pierwsze, nakazanie tej spółce zaniechania ponownego nieuprawnionego ujawnienia osobie trzeciej jego danych osobowych, a po drugie, odszkodowanie za szkodę niemajątkową, jaką miał on ponieść w następstwie pierwotnego ujawnienia tych danych.

Jak zaznacza Prezes Urzędu, TSUE uznał, że przepisy RODO nie przewidują, aby osobie, której dotyczy niezgodne z prawem przetwarzanie danych osobowych, przysługiwał (w sytuacji, gdy osoba ta nie żąda usunięcia swoich danych) środek ochrony prawnej przed sądem, umożliwiający jej uzyskanie prewencyjnego nakazania administratorowi zaniechania ponownego niezgodnego z prawem przetwarzania danych w przyszłości. Jednak przepisy nie stoją na przeszkodzie, aby państwa członkowskie UE w swoich systemach prawnych przewidziały taki środek.

Prezes UODO wyjaśnia, że art. 82 ust. 1 RODO zawiera pojęcie „szkody niemajątkowej”, która obejmuje negatywne uczucia, jakich doznaje osoba, której dane dotyczą, w następstwie nieuprawnionego przekazania jej danych osobowych, ale osoba ta musi wykazać, że doświadcza takich uczuć oraz ich konsekwencji. Z art. 82 ust. 1 wynika też, że stopień winy administratora pozostaje bez wpływu na określenie wysokości odszkodowania za szkodę niemajątkową, należnego na podstawie tego artykułu. Jednocześnie artykuł ten wyklucza możliwość, aby uzyskany przez osobę, której dane dotyczą, nakaz wobec administratora mógł ograniczać zakres odszkodowania należnego za szkodę niemajątkową lub tym bardziej mógł zastąpić takie odszkodowanie. Prezes Urzędu podkreśla, że taki nakaz realizuje funkcje prewencyjną, tymczasem przepis art. 82 ust. 1 realizuje funkcję odszkodowawczą.

Celem RODO jest zapewnienie jak najwyższego stopnia ochrony osób fizycznych z związku z przetwarzaniem ich danych, zatem ustawodawca unijny w żaden sposób nie ogranicza prawodawstwa krajowego, które może przewidywać powództwo o zaniechanie przetwarzania danych w przyszłości.

DOL.0623.31.2023