W wyroku z dnia 4 maja 2023 r. TSUE miał zająć się odpowiedzią na trzy pytania związane ze stosowaniem art. 82 RODO.
- Czy zasądzenie odszkodowania na podstawie art. 82 RODO wymaga, oprócz naruszenia przepisów RODO, aby powód poniósł szkodę, czy też samo naruszenie przepisów RODO jest wystarczające do zasądzenia odszkodowania?
- Czy dla ustalenia wysokości odszkodowania poza zasadami skuteczności i równoważności istnieją inne wymogi w prawie Unii?
- Czy zgodny z prawem Unii jest pogląd, że warunkiem stwierdzenia poniesienia szkody niemajątkowej jest to, iż powstała ona w konsekwencji lub w następstwie naruszenia prawa o przynajmniej pewnej wadze, które wykracza poza poczucie wzburzenia spowodowane naruszeniem prawa?
Ww. pytania powstały na gruncie następującego stanu faktycznego. Sprawa dotyczyła wykorzystywania przez Österreichische Post AG (spółkę pełniąca funkcję operatora pocztowego w Austrii) informacji o preferencjach politycznych ludności. Dane były generowane za pomocą algorytmu, badającego szereg aspektów społecznych i demograficznych, a następnie udostępniane firmom prywatnym w celu prowadzenia kampanii reklamowych. Na podstawie tak zbieranych danych, Österreichische Post wygenerowała dane dotyczące jednego z obywateli i powiązała je z określonymi partiami politycznymi. Informacja ta nie została udostępniona osobom trzecim, ale osoba pokrzywdzona stwierdziła, że rezultat takiego przetwarzania (na które nie wyraziła zgody) wywołała u niego „wielkie wzburzenie, utratę zaufania, a także poczucie kompromitacji.
Odpowiadając na pierwsze pytanie, TSUE zwrócił uwagę, że na potrzeby zasadzenia odszkodowania za naruszenie RODO kumulatywnie muszą być spełnione trzy przesłanki:
- istnienie naruszenia RODO,
- powstała szkoda majątkowa lub niemajątkowa,
- związek przyczynowy pomiędzy naruszeniem a szkodą.
Tym samym sam fakt istnienia naruszenia RODO nie jest wystarczający do zasądzenia odszkodowania, o którym mowa w art. 82. Osoba, która domaga się odszkodowania, musi wykazać, że rzeczywiście szkoda (niematerialna) u niej powstała – zgodnie z ogólnymi zasadami prawa Unii, w tym zakresie to na niej spoczywa ciężar dowodu. Natomiast jeżeli szkoda już powstała i zostanie udowodniona, to zgodnie z art. 82 ust. 3 to na administratorze bądź podmiocie przetwarzającym (który szkodę wyrządził) jest obowiązek udowodnienia, że nie ponosi winy za jej powstanie.
Odpowiadając na pytanie drugie sąd stwierdził, że należy tego dokonać w zgodzie z prawem państwa członkowskiego, o ile jest to zgodne z zasadami prawa Unii. Na pewno jednak odszkodowanie nie może mieć charakteru odstraszającego, czyli nie może dodatkowo penalizować niezgodnych z RODO zachowań, które doprowadziły do powstania szkody.
Co do trzeciego pytania, dotyczącego w skrócie, tego czy odszkodowanie należy się dopiero od pewnego poziomu poniesionych szkód, TSUE stwierdził, że nawet minimalna szkoda wymaga naprawienia.
Komentarz Auraco:
Wyrok TSUE może być przydatny przy ocenie żądań osób, które otrzymały pojedynczą wiadomość zawierającą informację handlową i które twierdzą, że nie wyraziły na nią zgody, a co za tym idzie żądają zadośćuczynienia za tego rodzaju działania.
W takich przypadkach trzeba mieć na uwadze wymóg wykazania przez nie dodatkowo szkody lub krzywdy jakie w wyniku dotarcia do nich spamu.
Art. 82 ust. 1 RODO. Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.
Źródła:
Rozstrzygnięcie z 4 maja 2023 przez TSUE sprawa C-300/21 UI p. Österreichische Post AG