Art. 82 RODO - zadośćuczynienie za naruszenie ochrony danych

Q: Kto odpowiada na podstawie art. 82 RODO?

Administrator odpowiada za szkodę wyrządzoną przetwarzaniem naruszającym RODO. Podmiot przetwarzający odpowiada, gdy nie dopełnił obowiązków nałożonych bezpośrednio na niego albo działał poza zgodnymi z prawem poleceniami administratora (art. 82 ust. 2 RODO). Gdy odpowiada kilka podmiotów, każdy odpowiada za całą szkodę (art. 82 ust. 4 RODO).

Q: Jakie przesłanki trzeba spełnić?

Trzy łącznie: naruszenie RODO, szkodę majątkową lub niemajątkową oraz związek przyczynowy między nimi. Samo naruszenie przepisów nie wystarcza do przyznania odszkodowania (wyrok TSUE z 4 maja 2023 r., C-300/21).

Q: Czym jest szkoda niemajątkowa przy wycieku danych?

To krzywda wywołana naruszeniem - np. stres i uzasadniona obawa, że skopiowane dane zostaną wykorzystane przez osoby trzecie. TSUE uznał, że taka obawa może sama w sobie stanowić szkodę niemajątkową (C-340/21), przy czym czysto hipotetyczne ryzyko nie wystarcza, gdy nikt nieuprawniony nie zapoznał się z danymi (C-687/21).

Q: Kto co musi udowodnić?

Poszkodowany wykazuje szkodę i jej związek z naruszeniem. Administrator, aby uwolnić się od odpowiedzialności, musi udowodnić, że w żaden sposób nie ponosi winy za zdarzenie (art. 82 ust. 3 RODO), a ciężar wykazania, że zastosowane środki bezpieczeństwa były odpowiednie, spoczywa na nim (C-340/21). Nie zwalnia go wskazanie na błąd pracownika (C-741/21).

Q: Który sąd rozpoznaje sprawę z art. 82 RODO?

W Polsce sprawy o naruszenie praw z RODO, w tym o odszkodowanie, rozpoznaje sąd okręgowy, niezależnie od wartości przedmiotu sporu (art. 92 i 93 ustawy z 10 maja 2018 r. o ochronie danych osobowych).

Autor: radca prawny Iwona Rohloff · Kancelaria prawna Prometheus Legal Office · Stan prawny na 13 października 2026 r.

Art. 82 RODO daje każdej osobie, która poniosła szkodę w wyniku naruszenia rozporządzenia, prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Pojęcie szkody - także niemajątkowej - wyjaśnił w ostatnich latach Trybunał Sprawiedliwości UE.

W skrócie

Trzy przesłanki: naruszenie RODO, szkoda, związek przyczynowy (C-300/21).
Brak progu bagatelności szkody niemajątkowej (C-300/21, C-456/22).
Administrator musi wykazać, że jego zabezpieczenia były odpowiednie (C-340/21).
Odszkodowanie wyrównuje szkodę - nie jest karą (C-741/21).

Kto odpowiada na podstawie art. 82 RODO?

Administrator - za szkodę wyrządzoną przetwarzaniem naruszającym rozporządzenie. Podmiot przetwarzający (np. dostawca systemu, który przechowywał dane) - gdy nie dopełnił obowiązków nałożonych bezpośrednio na niego albo działał poza zgodnymi z prawem poleceniami administratora (art. 82 ust. 2 RODO). Gdy odpowiada kilka podmiotów, poszkodowany może żądać całości od każdego z nich (art. 82 ust. 4 RODO).

Jakie przesłanki trzeba spełnić?

TSUE w wyroku z 4 maja 2023 r. (C-300/21) wskazał trzy łączne przesłanki: naruszenie RODO, szkodę oraz związek przyczynowy między nimi. Samo naruszenie przepisów nie wystarcza, ale prawo do odszkodowania nie zależy od tego, czy szkoda niemajątkowa osiągnęła określony próg powagi.

Czym jest szkoda niemajątkowa przy wycieku danych?

W wyroku z 14 grudnia 2023 r. (C-340/21) TSUE uznał, że obawa przed możliwym nadużyciem danych przez osoby trzecie może sama stanowić szkodę niemajątkową - poszkodowany musi wykazać, że obawa jest uzasadniona w okolicznościach sprawy. Tego samego dnia Trybunał potwierdził, że szkoda niemajątkowa nie musi przekraczać progu bagatelności (C-456/22).

Granicę wyznacza wyrok z 25 stycznia 2024 r. (C-687/21): czysto hipotetyczne ryzyko nie wystarcza, gdy dokument trafił do osoby trzeciej, która nie zapoznała się z danymi. Przy wycieku z ataku hakerskiego dane zwykle zostały skopiowane, a często - opublikowane.

Kto co musi udowodnić?

Poszkodowany wykazuje szkodę i związek przyczynowy. Administrator, aby uwolnić się od odpowiedzialności, musi udowodnić, że w żaden sposób nie ponosi winy za zdarzenie (art. 82 ust. 3 RODO). W sprawie wycieku z ataku hakerskiego TSUE przesądził, że ciężar wykazania odpowiedniości środków bezpieczeństwa spoczywa na administratorze, a sam fakt, że naruszenia dopuściły się osoby trzecie, nie zwalnia go automatycznie z odpowiedzialności (C-340/21). Administrator nie uwalnia się też, wskazując na błąd pracownika (C-741/21).

Jak ustala się wysokość odszkodowania?

RODO nie określa kwot. Wysokość ustala sąd według prawa krajowego, przy poszanowaniu zasad równoważności i skuteczności (C-300/21). Odszkodowanie ma w pełni wyrównać poniesioną szkodę, ale nie pełni funkcji karnej ani odstraszającej (C-741/21) - dlatego liczą się zakres danych i realne skutki dla poszkodowanego, a nie wysokość ewentualnej kary administracyjnej. Praktyczne widełki: ile można dostać za wyciek danych.

Który sąd rozpoznaje sprawę z art. 82 RODO?

Sprawy o naruszenie praw z RODO rozpoznaje sąd okręgowy, niezależnie od wartości przedmiotu sporu (art. 92 i 93 ustawy o ochronie danych osobowych).

Twoje dane wyciekły?

Kancelaria prawna Prometheus Legal Office dochodzi odszkodowania i zadośćuczynienia za wyciek danych od wezwania do wyroku. Jedynym kosztem klienta jest opłata sądowa od pozwu - tylko gdy sprawa trafi do sądu. Wynagrodzenie: 50% + VAT wyłącznie od kwot, które przeciwnik faktycznie wypłaci.

Zgłoś wyciek - bez kosztów z góry

Podstawa prawna i orzecznictwo

Art. 82 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) - prawo do odszkodowania za szkodę majątkową lub niemajątkową; administrator zwolniony z odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy za zdarzenie (ust. 3).
Art. 5 ust. 1 lit. f, art. 24 i art. 32 RODO - obowiązek zapewnienia odpowiedniego bezpieczeństwa danych za pomocą środków technicznych i organizacyjnych.
Art. 77 i art. 79 RODO - skarga do organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem.
Art. 92 ustawy z 10 maja 2018 r. o ochronie danych osobowych - w sprawach o naruszenie praw z RODO właściwy jest sąd okręgowy.
Wyrok TSUE z 4 maja 2023 r., C-300/21 (Österreichische Post) - samo naruszenie RODO nie wystarcza do odszkodowania, potrzebna jest szkoda i związek przyczynowy; brak progu „poważnej" szkody niemajątkowej.
Wyrok TSUE z 14 grudnia 2023 r., C-340/21 (Natsionalna agentsia za prihodite) - obawa przed możliwym nadużyciem danych może stanowić szkodę niemajątkową; to administrator musi wykazać odpowiedniość środków bezpieczeństwa.
Wyrok TSUE z 14 grudnia 2023 r., C-456/22 (Gemeinde Ummendorf) - brak progu bagatelności szkody niemajątkowej; szkodę trzeba jednak wykazać.
Wyrok TSUE z 25 stycznia 2024 r., C-687/21 (MediaMarktSaturn) - czysto hipotetyczne ryzyko nie wystarcza, gdy osoba nieuprawniona nie zapoznała się z danymi.
Wyrok TSUE z 11 kwietnia 2024 r., C-741/21 (juris) - odszkodowanie z art. 82 RODO pełni funkcję kompensacyjną, nie karną; administrator nie uwalnia się od odpowiedzialności, wskazując na błąd pracownika.

Powiązane materiały

Odszkodowanie za wyciek danych - ile można dostać Wyciek danych osobowych - co zrobić Zawiadomienie o wycieku danych - co oznacza

Materiał ma charakter informacyjny i przedstawia stan prawny na 13 października 2026 r.. Nie stanowi porady prawnej w indywidualnej sprawie. Ocena konkretnego stanu faktycznego wymaga analizy dokumentów.

Materiał opracowała radca prawny Iwona Rohloff · Stan prawny na 13 października 2026 r.