Odszkodowanie za wyciek danych - ile można dostać

Autor: radca prawny Iwona Rohloff · Kancelaria prawna Prometheus Legal Office · Stan prawny na 13 października 2026 r.

Za wyciek odpowiada administrator, który nie zabezpieczył danych. Poszkodowany może żądać odszkodowania za szkodę majątkową i zadośćuczynienia za krzywdę (art. 82 RODO). Przepisy nie podają stawek - kwotę ustala się w każdej sprawie, zwykle w przedziale od kilkuset do kilku tysięcy złotych.

Czy za wyciek danych należy się odszkodowanie?

Tak. Administrator musi zapewnić danym odpowiednie bezpieczeństwo (art. 5 ust. 1 lit. f, art. 24 i art. 32 RODO). Jeżeli tego nie zrobił, a dane trafiły w niepowołane ręce, odpowiada za szkodę, którą wyciek wyrządził - majątkową (np. wyłudzony kredyt, przelew na podmieniony rachunek, koszty zastrzeżenia i wymiany dokumentów) i niemajątkową (krzywda: stres, obawa przed nadużyciem, utrata kontroli nad danymi).

Trybunał Sprawiedliwości UE potwierdził, że szkodą niemajątkową może być już uzasadniona obawa przed wykorzystaniem danych przez oszustów, nawet zanim do nadużycia dojdzie (C-340/21).

Od czego zależy wysokość odszkodowania?

• rodzaj danych - PESEL, dane dowodu osobistego, dane o zdrowiu, dane finansowe i dane do logowania pozwalają podszyć się pod poszkodowanego; sam adres e-mail waży mniej,
• skutki - czy doszło już do prób wyłudzeń, podejrzanych telefonów i wiadomości albo do realnej straty,
• szkoda majątkowa - zwracana w udokumentowanej wysokości, obok zadośćuczynienia,
• zachowanie administratora - np. zwłoka w zawiadomieniu o wycieku przedłuża okres, w którym poszkodowany nie mógł się chronić.

Odszkodowanie z art. 82 RODO ma charakter kompensacyjny: ma wyrównać szkodę, a nie ukarać administratora (C-741/21). Wysokość ustala sąd według prawa krajowego.

Ile wynoszą odszkodowania za wyciek danych w praktyce?

Kwoty zadośćuczynienia przyznawane przez sądy mieszczą się zwykle w przedziale od kilkuset do kilku tysięcy złotych. Wyższe kwoty dotyczą spraw, w których dane zostały już wykorzystane albo wyciek objął dane szczególnie wrażliwe. Szkoda majątkowa - np. wyłudzona kwota - podlega zwrotowi w całości, jeżeli zostanie wykazana.

Do zasądzonej kwoty dochodzą odsetki ustawowe za opóźnienie od dnia następującego po upływie terminu wyznaczonego w wezwaniu do zapłaty (art. 455 i art. 481 § 1 k.c.).

Co trzeba udowodnić w sprawie o odszkodowanie za wyciek?

Poszkodowany wykazuje naruszenie, szkodę i związek przyczynowy. Samo naruszenie RODO nie daje automatycznie prawa do pieniędzy (C-300/21), ale szkoda niemajątkowa nie musi przekraczać żadnego progu powagi (C-300/21, C-456/22). Czysto hipotetyczne ryzyko nie wystarcza, gdy nikt nieuprawniony nie zapoznał się z danymi (C-687/21) - przy wycieku z ataku hakerskiego dane zwykle zostały jednak skopiowane.

Ciężar dowodu w kluczowym punkcie spoczywa na administratorze: to on musi wykazać, że zastosowane środki bezpieczeństwa były odpowiednie i że w żaden sposób nie ponosi winy za zdarzenie (art. 82 ust. 3 RODO, C-340/21).

Dowodami po stronie poszkodowanego są najczęściej: zawiadomienie o wycieku, komunikat administratora, podejrzane wiadomości i połączenia, potwierdzenia kosztów zastrzeżenia dokumentów.

Jak przebiega sprawa - od wezwania do wyroku?

1. Wezwanie do zapłaty - pełnomocnik żąda od administratora odszkodowania i zadośćuczynienia w terminie 14 dni.
2. Wezwanie ostateczne - przy braku zapłaty, z krótszym terminem i zapowiedzią pozwu.
3. Pozew - sprawy o odszkodowanie z RODO rozpoznaje sąd okręgowy, niezależnie od kwoty (art. 92 i 93 ustawy o ochronie danych osobowych). W sądzie powoda reprezentuje radca prawny lub adwokat.
4. Wypłata - po zapłacie albo ugodzie (zawieranej tylko za zgodą poszkodowanego).

Ile jest czasu na dochodzenie odszkodowania za wyciek danych?

Roszczenie przedawnia się z upływem 3 lat od dnia, w którym poszkodowany dowiedział się albo przy zachowaniu należytej staranności mógł się dowiedzieć o szkodzie i o osobie obowiązanej do jej naprawienia, nie później niż z upływem 10 lat od zdarzenia (art. 442¹ § 1 k.c.). W praktyce bieg trzech lat liczy się najczęściej od zawiadomienia o wycieku.

Podstawa prawna i orzecznictwo

• Art. 82 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) - prawo do odszkodowania za szkodę majątkową lub niemajątkową; administrator zwolniony z odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy za zdarzenie (ust. 3).
• Art. 5 ust. 1 lit. f, art. 24 i art. 32 RODO - obowiązek zapewnienia odpowiedniego bezpieczeństwa danych za pomocą środków technicznych i organizacyjnych.
• Art. 92 ustawy z 10 maja 2018 r. o ochronie danych osobowych - w sprawach o naruszenie praw z RODO właściwy jest sąd okręgowy.
• Wyrok TSUE z 4 maja 2023 r., C-300/21 (Österreichische Post) - samo naruszenie RODO nie wystarcza do odszkodowania, potrzebna jest szkoda i związek przyczynowy; brak progu „poważnej" szkody niemajątkowej.
• Wyrok TSUE z 14 grudnia 2023 r., C-340/21 (Natsionalna agentsia za prihodite) - obawa przed możliwym nadużyciem danych może stanowić szkodę niemajątkową; to administrator musi wykazać odpowiedniość środków bezpieczeństwa.
• Wyrok TSUE z 14 grudnia 2023 r., C-456/22 (Gemeinde Ummendorf) - brak progu bagatelności szkody niemajątkowej; szkodę trzeba jednak wykazać.
• Wyrok TSUE z 25 stycznia 2024 r., C-687/21 (MediaMarktSaturn) - czysto hipotetyczne ryzyko nie wystarcza, gdy osoba nieuprawniona nie zapoznała się z danymi.
• Wyrok TSUE z 11 kwietnia 2024 r., C-741/21 (juris) - odszkodowanie z art. 82 RODO pełni funkcję kompensacyjną, nie karną; administrator nie uwalnia się od odpowiedzialności, wskazując na błąd pracownika.
• Art. 455 i art. 481 § 1 k.c. - wymagalność świadczenia po wezwaniu i odsetki za opóźnienie.
• Art. 442¹ § 1 k.c. - przedawnienie roszczenia o naprawienie szkody wyrządzonej czynem niedozwolonym: 3 lata od dowiedzenia się o szkodzie i o osobie obowiązanej, nie dłużej niż 10 lat od zdarzenia.

Powiązane materiały

Materiał opracowała radca prawny Iwona Rohloff · Stan prawny na 13 października 2026 r.