Autor: Natalia Groszyk

Kodeksy branżowe z zakresu ochrony danych osobowych są nie tylko narzędziem pomocnym dla administratorów i podmiotów przetwarzających w przestrzeganiu wymogów RODO i wykazywaniu zgodności z tym aktem prawnym, ale także pełnią praktyczną rolę w dążeniu do zachowania jak najwyższego poziomu spójności w stosowaniu przepisów dotyczących ochrony danych osobowych.
W krajach członkowskich UE z inicjatywy organizacji branżowych powstaje co raz więcej tego typu kodeksów. W Polsce pierwszym formalnie zatwierdzonym kodeksem jest dedykowany sektorowi medycznemu „Kodeks postępowania dotyczącego ochrony danych osobowych przetwarzanych w małych placówkach medycznych”.

Jak przebiega procedura zatwierdzania kodeksu?

Na wstępie warto wspomnieć o ścieżce prawnej zatwierdzania kodeksów postępowania w obszarze ochrony danych osobowych. W art. 40 ust. 2 RODO przewidziano, że zrzeszenia i inne podmioty reprezentujące określone kategorie administratorów lub podmioty przetwarzające mogą opracowywać lub zmieniać kodeksy postępowania lub rozszerzać ich zakres, aby doprecyzować zastosowanie RODO. Inicjatywę opracowywania kodeksów mogą więc podejmować przykładowo zrzeszenia przedsiębiorców, stowarzyszenia, izby gospodarcze.
Warunkiem przyjęcia kodeksu postępowania jest przedłożenie jego projektu organowi nadzorczemu do zatwierdzenia. Projekt taki musi spełniać wymogi określone w RODO i ustawie o ochronie danych osobowych, ale również te określone w Wytycznych Europejskiej Rady Ochrony Danych Osobowych nr 1/2019 dotyczących kodeksów postępowania i podmiotów monitorujących , w szczególności zawierać jasne i zwięzłe uzasadnienie, w którym przedstawia się szczegółowe informacje o celu kodeksu, zakresie jego stosowania oraz sposobie, w jaki ułatwi on skuteczne stosowanie RODO. Złożenie wniosku do organu nadzorczego o zatwierdzenie kodeksu postępowania powinno być poprzedzone konsultacjami. Konsultacje powinny zostać przeprowadzone w jak najszerszym zakresie przy wykorzystaniu wszelkich dostępnych kanałów komunikacji, w tym np. strony internetowej, prasy branżowej czy też pism kierowanych wprost do zainteresowanych podmiotów i organizacji. Poprawnie złożony do organu nadzorczego wniosek o zatwierdzenie projektu kodeksu postępowania powinien zawierać informację o przeprowadzonych konsultacjach oraz ich wyniku. W treści projektu musi się znaleźć również propozycja mechanizmów umożliwiających monitorowanie przestrzegania jego przepisów, co stanowi wymóg formalny.
Zgodnie z wytycznymi EROD twórcy kodeksów powinni być w stanie wykazać, że ich projekt kodeksu zaspokaja określoną potrzebę danego sektora dokonującego przetwarzania lub danej czynności przetwarzania, ułatwia stosowanie RODO, doprecyzowuje stosowanie RODO, zapewnia wystarczające zabezpieczenia oraz zapewnia skuteczne mechanizmy monitorowania przestrzegania kodeksu (tzw. kryteria zatwierdzania kodeksów).
W pierwszej kolejności organ nadzorczy rozpatruje czy przedłożony projekt spełnia wymogi formalne oraz kryteria dopuszczalności, o których mowa w Wytycznych EROD. Po zakończeniu tej wstępnej oceny, możliwe jest przejście do kolejnego etapu, tj. do pełnej oceny treści przedłożonego projektu w świetle kryteriów zatwierdzania kodeksów. Etap ten służy wyjaśnieniu treści projektu z wnioskodawcą, umożliwiając mu wprowadzenie ewentualnych modyfikacji. Kończy się on wydaniem przez organ nadzorczy opinii o zgodności projektu kodeksu z RODO. Na ostatnim etapie organ nadzorczy zatwierdza projekt kodeksu w formie decyzji administracyjnej, jeżeli uzna, że stanowi on odpowiednie zabezpieczenie właściwego stosowania RODO. Zatwierdzone kodeksy postępowania podlegają rejestracji przez właściwy organ nadzorczy i EROD.

Nadzór nad stosowaniem kodeksu

Kodeks musi zawierać propozycje mechanizmów umożliwiających monitorowanie przestrzegania jego przepisów przez zainteresowane strony, które podjęły się jego stosowania. W kodeksie należy również wskazać podmiot monitorujący i określić mechanizmy umożliwiające temu podmiotowi wykonywanie jego zadań zgodnie z art. 41 RODO. Co ciekawe, obowiązek wskazania podmiotu monitorującego nie dotyczy kodeksów odnoszących się do przetwarzania danych osobowych wyłącznie przez organy i podmioty publiczne, aczkolwiek w przypadku takich kodeksów również należy uwzględnić skuteczne mechanizmy monitorowania kodeksu.
Monitorowaniem przestrzegania kodeksu postępowania może się zajmować podmiot, który dysponuje odpowiednim poziomem wiedzy fachowej w dziedzinie będącej przedmiotem kodeksu i został akredytowany w tym celu przez właściwy organ nadzorczy. Musi on wykazać organowi nadzorczemu w sposób satysfakcjonujący, że jego zadania i obowiązki nie powodują konfliktu interesów. Powinien być niezależny pod względem bezstronności pełnionej funkcji od członków, którzy zobowiązali się do stosowania kodeksu, oraz od przedstawicieli zawodu, branży lub sektora, do których ma zastosowanie dany kodeks. Podmiot ten musi dysponować procedurami, które pozwalają mu ocenić zdolność konkretnych administratorów i podmiotów przetwarzających do stosowania kodeksu, monitorować przestrzeganie przez nich jego przepisów oraz okresowo dokonywać przeglądu jego funkcjonowania, a także posiadać procedury i struktury, które pozwalają rozpatrywać skargi na naruszenie kodeksu, sposób wdrożenia lub wdrażania kodeksu przez administratora lub podmiot przetwarzający.

Pierwszy kodeks branżowy zatwierdzony przez PUODO

Opisana wyżej procedura zatwierdzania kodeksu postępowania została wykorzystana już w wielu krajach członkowskich Unii Europejskiej. W Polsce tego typu procedura również została zastosowana, a jej zwieńczeniem było zatwierdzenie przez Prezesa Urzędu Ochrony Danych Osobowych w dniu 14 grudnia 2022 r. pierwszego w Polsce kodeksu branżowego tj. Kodeksu postępowania dotyczącego ochrony danych osobowych przetwarzanych w małych placówkach medycznych . Opracowała go federacja Porozumienie Zielonogórskie.
Organ nadzorczy stwierdził, że w kodeksie zapewniono wystarczające zabezpieczenia, o których mowa wytycznych EROD, do których zaliczyć należy przede wszystkim wskazanie zakresu danych, które mogą być przetwarzane, wskazanie procedur związanych ze zbieraniem danych, szczegółowe określenie czasu retencji danych, wskazanie zabezpieczeń przy przechowywaniu dokumentacji papierowej, przykłady zarządzania dokumentacją oraz szczegółowe i konkretne pomoce do dokonania analizy ryzyka w placówce medycznej.
Organ nadzorczy udzielił również akredytacji dla RS Jamano spółka z ograniczoną odpowiedzialnością spółka komandytowa, który to podmiot został wpisany do Wykazu podmiotów akredytowanych prowadzonego przez Prezesa Urzędu Ochrony Danych Osobowych.

Znaczenie kodeksów postępowania

Przystąpienie do stosowania kodeksu postępowania wiąże się z wieloma korzyściami dla podmiotów stosujących kodeks. Biorąc pod uwagę, że RODO nie wskazuje jakiego rodzaju środki techniczne i organizacyjne powinny być zastosowane, kodeks postępowania jest mechanizmem umożlwiającym wykazywanie spełnienia obowiązków dotyczących stosowanych środków organizacyjnych i technicznych. Podejście oparte na ryzyku zakłada bowiem, że administratorzy będą prowadzić analizę ryzyka naruszenia praw i wolności osób, których dane dotyczą, a jej rezultatem będzie dobór odpowiednich środków technicznych i organizacyjnych. Podejście to z jednej strony daje większą elastyczność w doborze rozwiązań zabezpieczających, z drugiej jednak strony wiąże się z trudnością w praktycznym zastosowaniu wymogów RODO. Wobec takiej rzeczywistości prawnej kodeksy postępowania odgrywają niezwykle istotną rolę, umożliwiając administratorom i podmiotom przetwarzającym wykazywanie zgodności z RODO. Mają oni gwarancję pewności stosowania określonych rozwiązań zatwierdzonych przez organ nadzorczy.
Niewątpliwą korzyścią ze stosowania kodeksu jest także swoista ochrona w kontekście ewentualnych kar pieniężnych. Organ nadzorczy w razie nakładania kary na dany podmiot bierze bowiem pod uwagę w każdym przypadku, czy podmiot ten właściwie stosował kodeks postępowania, który został zatwierdzony przez organ nadzorczy. Stosowanie się do zatwierdzonego kodeku postępowania umożliwia potwierdzenie wywiązywania się z obowiązków nałożonych przez RODO i jest dla podmiotów stosujących kodeks doskonałym narzędziem rozliczalności pozwalającym na udowodnienie przestrzegania RODO. W praktyce oznaczać to może uchylenie się od potencjalnie kilkumilionowej kary.
Nie bez znaczenia również jest fakt, że kodeksy postępowania przyczyniają się do uspójnienia praktyki stosowania RODO oraz zwiększenia transparentności sygnatariuszy kodeksu w zakresie stosowanych zabezpieczeń, co wpływa pozytywnie na zaufanie ze strony osób, których dane dotyczą i innych administratorów i podmiotów przetwarzających. Wymiana danych z sygnatariuszami kodeksu i weryfikacja tych podmiotów jest ułatwiona.
Wspomniany Kodeks postępowania dotyczącego ochrony danych osobowych przetwarzanych w małych placówkach medycznych stanowi ogromne ułatwienie dla gabinetów lekarskich w stosowaniu RODO i właściwej polityki bezpieczeństwa danych przetwarzanych w placówce medycznej. Kodeks uwzględnia specyfikę sektora związaną z przetwarzaniem danych dotyczących zdrowia pacjenta i procesów występujących w placówkach medycznych. Jest źródłem wielu cennych praktycznych wskazówek np. w kwestii okresu przechowywania dokumentacji, wykonywania badań satysfakcji, zakresu zbieranych danych osobowych, sposobu udzielania teleporad i ich nagrywania.
Podsumowując, kodeksy postępowania są bardzo cennym źródłem wskazówek dotyczących praktycznego zastosowania RODO w danym sektorze. Branżowy kodeks nie może obniżyć wymagań RODO, ale może doprecyzować, jak je stosować w danej branży, na przykład wprowadzając dobre praktyki i rozwiązania. Dzięki temu podmioty, który przystępują do stosowania kodeksu i respektują jego postanowienia mają łatwiejszą drogę do wykazania zgodności swoich działań z RODO. Z pewnością kodeksy postępowania są potrzebne i ułatwiłyby stosowanie przepisów także w innych niż branża medyczna sektorach.

Naruszenie bezpieczeństwa danych osobowych

Jednym z obowiązków jakie RODO nakłada na administratorów jest stosowanie odpowiednich środków technicznych i organizacyjnych, gwarantujących odpowiedni poziom ochrony danych osobowych, w szczególności chroniący przed nieuprawnionym lub bezprawnym dostępem do danych, a także przed przypadkową ich utratą, zniszczeniem lub uszkodzeniem.

Powyższy obowiązek dotyczy także procesorów, którzy stosownie do zakresu powierzenia – a więc charakteru przetwarzania, rodzaju danych i kategorii podmiotów, których te dane dotyczą – powinni zgodnie z art. 32 RODO wdrożyć środki zapewniające odpowiedni poziom ochrony. Jest to jeden z podstawowych obowiązków procesora wynikający także z umowy powierzenia przetwarzania.

Wytyczne 01/2021 Europejskiej Radych Ochrony Danych (EROD) w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych zawierają szereg wskazówek i kryteriów postępowania jakimi powinny się kierować podmioty przetwarzające dane w sytuacji wystąpienia naruszenia ochrony danych osobowych.

Analiza ryzyk

Ocena czy zastosowano odpowiednie środki techniczne i organizacyjne jest elementem analizy ryzyka, która powinna zostać przeprowadzona przez każdy podmiot przetwarzający dane. Ochrona danych osobowych nie ma jednak charakteru absolutnego – podmiot prowadzący taką analizę powinien uwzględnić również stan wiedzy technicznej i koszty wdrażania środków ochrony, a nie tylko same okoliczności dotyczące przetwarzania, jak zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych. Środki techniczne powinny zapewniać nie tylko ochronę danych, ale umożliwiać stwierdzenie czy doszło do jej naruszenia i zapewnić możliwość reakcji na naruszenie ochrony danych osobowych, tak aby podmiot mógł spełnić nałożone na niego obowiązki w zakresie np. notyfikacji incydentu w ciągu 72 godzin. Zasady przeciwdziałania naruszeniom I postępowanie w przypadku ich wystąpienia powinno być elementem procedury obowiązującej w podmiocie, która określi zasady postępowania, analizę samego naruszenia, jak i kroki jakie należy podjąć.

Definicja naruszenia ochrony danych osobowych

Naruszeniem ochrony danych osobowych jest każde naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do przetwarzanych danych osobowych.

Jak wskazuje EROD, przez zniszczenie należy rozumieć utratę danych lub taką zmianę ich formy, iż nie są one już dla administratora zdatne do wykorzystania (odczytania). W odróżnieniu od zniszczenia, w przypadku utracenia dane nadal istnieją, ale administrator straciło do nich dostęp – czy to przez utratę danych dostępowych, czy zagubienie nośnika. Modyfikacja polega na nieodwracalnej i niezamierzonej zmianie danych przez co nie są prawidłowe. Wreszcie, przez nieuprawniony dostęp lub nieuprawnione ujawnienie danych należy rozumieć okoliczność, w której przetwarzania danych (jakiejkolwiek czynności na danych) dokonuje osoba, która nie ma do tego upoważnienia.

W związku z wystąpieniem naruszenia administrator lub procesor, stosownie do swojej roli i obowiązków wynikających z RODO muszą niezwłocznie podjąć działania zmierzające do przeciwdziałania skutkom naruszenia, do ustalenia jego przyczyn i okoliczności wystąpienia, a w przypadku administratora – przeprowadzić analizę spełnienia przesłanek kwalifikujących naruszenie ochrony danych osobowych do zgłoszenie PUODO oraz zawiadomienia osób, których dotyczyło.

Podmiot przetwarzający zgodnie z umową powierzenia przetwarzania danych osobowych i art. 28 ust. 3 RODO powinien niezwłocznie zawiadomić administratora o stwierdzonym naruszeniu i w miarę możliwości wesprzeć go w ustaleniu okoliczności i przeprowadzaniu analizy skutków naruszenia.

Jeżeli administrator nie zrealizuje obowiązków związanych z notyfikacją naruszenia, organ nadzorczy ma prawo do zastosowania jednego ze środków wskazanych w art. 58 RODO, z nałożeniem kary administracyjnej włącznie. Prezes Urzędu Ochrony Danych Osobowych może m.in. nałożyć administracyjną karę pieniężną w wysokości do 10 milionów euro lub 2% całkowitego światowego obrotu. Należy jednak zwrócić uwagę, iż fakt wystąpienia naruszenia ochrony danych lub jego przeoczenie wiąże się często z naruszeniem również innych obowiązków administratora, w szczególności w zakresie wdrożenia odpowiednich środków technicznych i organizacyjnych pozwalających na zapobieganie naruszeniom i ich sprawne wykrywanie. Organ nadzorczy w przypadku gdy administrator narusza szereg obowiązków nałożonych na niego w RODO odpowiednio zwiększy wysokość kary administracyjnej stosownie do wagi i liczby naruszonych obowiązków.

Termin

Jak zostało wskazane wcześniej, administrator ma stosunkowo krótki termin na analizę naruszenia i dokonanie zgłoszenia – zgodnie z art. 33 RODO jest to termin 72 godzin. Sposób liczenia terminów w prawie europejskim określa Rozporządzenie 1182/71, zgodnie z którym termin liczony w godzinach rozpoczyna się od kolejnej pełnej godziny i kończy się z upływem ostatniej. Jeśli więc naruszenie zostało stwierdzone w poniedziałek o 15:14 to termin na jego zgłoszenie upłynie w środę o 17:00 – zgłoszenia można dokonać do 16:59 włącznie. Jeśli natomiast naruszenie zostało stwierdzone w czwartek o 14:59, to zgłoszenia należy dokonać najpóźniej do godziny 15:59 w niedzielę.

Wspomniane rozporządzenie nie pozwala na przedłużenie terminu do kolejnego dnia roboczego jak ma to miejsce w polskich procedurach. Nawet w przypadku gdy całe 72 godziny będzie przypadać na dni wolne od pracy, formalnie administrator zobowiązany jest do dokonania zgłoszenia najpóźniej w ciągu tego terminu.

Termin jest liczony z uwzględnieniem nie tyle faktu wystąpienia naruszenia, ale momentu stwierdzenia naruszenia przez administratora, Przyjmuje się, że administrator stwierdza naruszenie w sytuacji, gdy ma uzasadnione podstawy (potwierdził), iż doszło do naruszenia bezpieczeństwa i że dotyczyło ono danych osobowych. Takie same zasady dotyczą procesora. Co jeśli to procesor zawiadamia administratora o stwierdzonym naruszeniu? Od kiedy biegnie termin na zgłoszenie? Europejska Rada Ochrony Danych wyraziła pogląd, iż przekazanie administratorowi przez procesora zawiadomienia o stwierdzonym naruszeniu powoduje, że od momentu otrzymania tej informacji administrator wie o naruszeniu i rozpoczyna bieg siedemdziesięciodwugodzinny termin na zgłoszenie naruszenia.

Podsumowanie

Naruszenia ochrony danych osobowych są jedną z najczęstszych przyczyn nakładania kar administracyjnych na administratorów danych i procesorów. Dzieje się tak dlatego, iż w postępowaniu związanym ze zgłoszeniem organ nadzorczy bada czy podmiot dostosował przetwarzanie do przepisów RODO, spełniając szereg wymogów mających m.in. przeciwdziałać naruszeniu, a fakt wystąpienia naruszenia często jest związany właśnie z tym, iż administrator nie dołożył należytej staranności przy przetwarzaniu danych.

W końcu ubiegłego roku zapadło ważne orzeczenie, w którym Sąd Okręgowy w Warszawie zasądził najwyższe dotychczas zadośćuczynienie w związku z naruszeniem przepisów – m.in. o ochronie danych osobowych – w wysokości 20 000 zł oraz obowiązek zwrotu kosztów postępowania na rzecz powódki.

Sprawa toczyła się z powództwa asesor komorniczej przeciwko Skarbowi Państwa – Naczelnemu Sądowi Administracyjnemu, a podstawą roszczenia było nieprzeprowadzenie anonimizacji orzeczenia (usunięcia danych identyfikujących stronę), które wraz z uzasadnieniem zostało opublikowane na stronie internetowej Naczelnego Sądu Administracyjnego (NSA), a zatem poprzez podanie do publicznej wiadomości i w sposób umożliwiający pełną identyfikację strony postępowania. Co istotne dla sprawy NSA miał obowiązek zanonimizować treść wyroku i uzasadnienia zgodnie z obowiązującym zarządzeniem Prezesa NSA, więc publikacja danych strony naruszała prawo i nie istniała inna podstawa prawna do przetwarzania danych osobowych.

Jak zostało stwierdzone w postępowaniu przed sądem okręgowym, orzeczenie NSA dotyczyło zakwestionowania nieposzlakowanej opinii asesora komorniczego niezbędnej do wpisu na listę komorników, do czego podstawą było przeprowadzone kilka lat wcześniej postępowanie dyscyplinarne i skreślenie z listy asesorów komorniczych. Były to więc, w ocenie powódki, informacje mogące istotnie wpłynąć na ocenę jej pracy zawodowej – zarówno przez kolegów, jak i strony postępowania egzekucyjnego.

Pani asesor (której personaliów już tym razem nie poznaliśmy) dochodząc zadośćuczynienia za krzywdę jakiej doznała w związku z publikacją, wskazywała że działanie NSA miało charakter bezprawny i godziło w jej dobre imię oraz prawo do prywatności. W uzasadnieniu sąd podkreślił, że opublikowanie danych osobowych powódki w Internecie w sposób niezgodny z przepisami o ochronie danych osobowych, nastąpiło w wyniku działania instytucji, która powinna cieszyć się szczególnym zaufaniem obywateli. Niezależnie bowiem od przedmiotu rozpoznawanej przez NSA sprawy oraz od tego, jaki zawód czy funkcje pełnią strony postępowania, powinny mieć one pewność, że ich dane osobowe i informacje o przebiegu sprawy są w sposób odpowiedni chronione i nie staną się podstawą późniejszych problemów w życiu prywatnym czy tez zawodowym lub nawet nie będą źródłem jedynie ryzyka ich wystąpienia. Sąd miał przy tym na uwadze, że treść wyroku zawierająca niezanonimizowane dane osobowe powódki pozostawała dostępna w Internecie przez okres kilku lat, co niewątpliwie miało wpływ na rozmiar związanych z tym negatywnych przeżyć powódki.

Wydaje się, że stanowisko sądu co do przyznania i wysokości zadośćuczynienia jest trafne. Także wykonywanie funkcji publicznych nie pozbawia podmiotu danych ochrony prawa do prywatności. I pomimo, że część informacji była publicznie dostępna, to jednak została uzupełniona o informacje zgromadzone w postępowaniu administracyjnym, w którym jawność jest wyłączona, a sam dostęp do jego materiałów w postepowaniu przed sądem administracyjnym mocno ograniczony. Była to więc informacja nie podlegająca co do zasady upublicznieniu, a jej opublikowanie przez NSA naruszało przepisy, m.in. zasady przetwarzania określone w RODO.

Warto również podkreślić, iż sam fakt publicznej dostępności danych nie decyduje o legalności przetwarzania danych czy wyłączeniu ochrony na gruncie RODO – jest wprost przeciwnie – wszelkie dane osobowe i każda osoba fizyczna podlega ochronie, a jedynie w pewnych przypadkach wykorzystanie takich danych może być dopuszczalne – zawsze jednak są to kwestie podlegające ocenie na gruncie przepisów rozporządzenia.

Ze sprawy rozpoznanej przed sądem okręgowym płyną doniosłe wnioski zarówno teoretyczne, jak i praktyczne – każdy administrator poza odpowiedzialnością administracyjną związaną z postępowaniem przed Prezesem Urzędu Ochrony Danych Osobowych musi się liczyć z potencjalnymi roszczeniami osób, których dane przetwarza – odszkodowaniem – gdy naruszenie RODO spowoduje szkodę w majątku podmiotu danych – i zadośćuczynieniem, czyli rekompensatą za krzywdę (uraz psychiczny) jakiego doznał podmiot danych. O ile jednostkowe zadośćuczynienia są względnie niewielkie, o tyle masowość przetwarzania danych i skutki ew. błędu powodują, że potencjalne roszczenia mogą pochodzić od tysięcy podmiotów – np. w związku z kradzieżą bazy danych.

Katalog dóbr osobistych jest otwarty i poza prawem do prywatności obejmuje również szereg innych dóbr – np. prawo do ochrony wizerunku, prawo do tajemnicy korespondencji, prawo do ochrony życia rodzinnego, prawo pracownika do tajemnicy wynagrodzenia, czy prawo do ochrony mieszkania (temat bardzo aktualny w kontekście pracy zdalnej). Te wszystkie prawa podmiotowe mogą zostać naruszone również przez niewłaściwe przetwarzanie danych osobowych i np. przekazanie korespondencji niewłaściwemu adresatowi, ujawnienia informacji osobie nieuprawnionej, czy zbieranie nadmiarowych danych osobowych.

RODO a ochrona dóbr osobistych

W kontekście omawianej sprawy warto zwrócić uwagę, że podstawą do zasądzenia zadośćuczynienia były przepisy kodeksu cywilnego o ochronie dóbr osobistych, a nie art. 82 ust. 1 RODO określający samodzielną podstawę do zasądzenia zadośćuczynienia w związku z naruszeniem przepisów tego rozporządzenia. I choć przepis ten został powołany w uzasadnieniu wyroku, to przepisy RODO zostały wskazane jako uzupełniające przesłanki ochrony dóbr osobistych.
Jest to niebagatelna kwestia mająca znaczenie dla podmiotów, które na gruncie RODO nazywamy administratorami danych osobowych i podmiotami przetwarzającymi – otóż naruszenie przepisów o ochronie danych osobowych może się wiązać nie tylko z odpowiedzialnością wskazaną w RODO, ale również z alternatywną odpowiedzialnością cywilnoprawną (tzw. odpowiedzialnością deliktową).

Art. 82 RODO kształtuje odpowiedzialność administratora szerzej i bardziej rygorystycznie niż przepisy kodeksu cywilnego, zwłaszcza w zakresie odpowiedzialności za szkodę w majątku osoby, której dane dotyczą – w tym zakresie RODO ustanawia domniemanie winy w spowodowaniu szkody przez administratora (lub procesora) i to administrator musi udowodnić, że nie jest winny szkody spowodowanej naruszeniem rozporządzenia. Jest to konsekwencja podstawowej zasady RODO, zasady rozliczalności, zgodnie z którą administrator jest odpowiedzialny za przestrzeganie przepisów RODO i musi być w stanie wykazać ich przestrzeganie. Przeniesienie tzw. ciężaru dowodu ma kolosalne znaczenie procesowe, ponieważ to na pozwanym (administratorze/podmiocie przetwarzającym) ciąży obowiązek udowodnienia, że dołożył szczególnej staranności i naruszenie przepisów nie nastąpiło z jego winy. W praktyce w sytuacji, gdy doszło do zdarzenia naruszającego przepisy RODO, wykazania szczególnej staranności będzie wymagało przedstawienia np. szczegółowych zasad ochrony danych i dowodów na ich stałe monitorowanie (np. przez audyty) albo wykazania dokładnej weryfikacji procesorów.

Zbieg przepisów RODO i kodeksu cywilnego

Stanowisko sądu łączące reżimy RODO i kodeksu cywilnego należy jednak uznać za kontrowersyjne, ponieważ odpowiedzialność określona w RODO nie może być ograniczana przez prawo krajowe, co w niektórych okolicznościach może wystąpić przy zastosowaniu przepisów kodeksu cywilnego. Podstawę określoną w RODO i przepisy kodeksu cywilnego należy ujmować alternatywnie – nie powinny być one łączone, a powód powinien wskazać czy domaga się np. ochrony na gruncie dóbr osobistych, czy danych osobowych.

Jeśli więc podmiot danych będzie się powoływał na RODO, to sąd oceniający podstawy do zasądzenia zadośćuczynienia powinien ostrożnie podchodzić do posiłkowania się przepisami o ochronie dóbr osobistych. Nieco odmiennie będzie w przeciwnym wypadku – ponieważ np. art. 24 i art. 448 kodeksu cywilnego wymagają bezprawności działania prowadzącego do naruszenia dóbr osobistych, to co do zasady naruszenie RODO takim bezprawnym działaniem będzie. Nie jest to jednak kwestia przesądzająca o zasadności przyznania ochrony na gruncie dóbr osobistych – wykazanie naruszenia RODO nie jest jednoznaczne z wykazaniem naruszenia określonych dóbr osobistych, choć najczęściej będzie do tego prowadzić.

Z kolei na gruncie art. 82 RODO nie ma powodu, aby w kontekście szkody niemajątkowej istniała konieczność precyzowania w pozwie naruszonego dobra osobistego – wymóg taki nie wynika z RODO. Art. 82 przyznaje prawo do odszkodowania lub zadośćuczynienia w związku z naruszeniem RODO – powód w oparciu o ten przepis – w przeciwieństwie do przepisów kodeksu cywilnego – nie musi wykazywać, że istnieje naruszone dobro osobiste, a jedynie to, że doszło do naruszenia przepisów rozporządzenia i że poniósł w związku z tym krzywdę (lub szkodę majątkową).

Art. 92 ustawy o ochronie danych osobowych wskazuje, że w zakresie nieuregulowanym rozporządzeniem do roszczeń z tytułu naruszenia przepisów o ochronie danych osobowych, o których mowa m.in w art. 82 rozporządzenia, stosuje się przepisy kodeksu cywilnego. Przepis ten nie do końca koreluje z motywem 146 RODO, zgodnie z którym „pojęcie szkody należy interpretować szeroko, w świetle orzecznictwa Trybunału Sprawiedliwości, w sposób w pełni odzwierciedlający cele niniejszego rozporządzenia”. Takie definiowane pojęcie „szkody”, na gruncie RODO rozumiane przez odniesienie do prawa unijnego i orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej, choć co do zasady jest zbieżne z przepisami kodeksu cywilnego, to może być zmienne w czasie i powodować rozbieżności. Szacując więc ryzyka związane z odpowiedzialnością administratora należy uwzględniać również regulacje unijne, a nie tylko prawo krajowe.

Odpowiedzialność podmiotów uczestniczących w przetwarzaniu

Każdy administrator uczestniczący w przetwarzaniu danych odpowiada za szkody spowodowane przetwarzaniem naruszającym rozporządzenie. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom, a wiec co do zasady w granicach umowy powierzenia przetwarzania danych osobowych.

Administrator lub podmiot przetwarzający zostają zwolnieni z odpowiedzialności, jeżeli udowodnią, że w żaden sposób nie ponoszą winy za zdarzenie, które doprowadziło do powstania szkody. Określenie „w żaden sposób” wskazuje, że nawet minimalna wina i niedochowanie szczególnej staranności nie pozwala na uwolnienie się od odpowiedzialności. Jak zostało wcześniej wspomniane, to na administratorze lub podmiocie przetwarzającym ciąży obowiązek wykazania, że nie ponoszą winy (istnieje więc domniemanie obalalne, że naruszenie obowiązków jest przez te podmioty zawinione).

Z uwagi na to, że administrator odpowiada za cele i sposoby przetwarzania oraz za wydawanie poleceń podmiotowi przetwarzającemu, to inaczej niż w prawie cywilnym nie może się zwolnić z odpowiedzialności względem podmiotu danych, wskazując na błędy podmiotu przetwarzającego (jeśli ten nie wykorzystał danych do własnych celów) i brak winy w wyborze podwykonawcy przetwarzania.

Odpowiedzialność administratora (administratorów) i podmiotów przetwarzających uczestniczących w przetwarzaniu jest solidarna, a zatem poszkodowany może domagać się odszkodowania lub zadośćuczynienia od dowolnego z tych podmiotów, jak i wszystkich jednocześnie.

Podsumowanie
Na koniec warto jeszcze wskazać, że zobowiązania kontraktowe dotyczące odpowiedzialności pozostają w zgodzie z RODO, o ile nie modyfikują jej w zakresie dotyczącym podmiotu danych – umowa może więc zawierać zobowiązanie do zwolnienia administratora lub podmiotu przetwarzającego przez drugą stronę, ale nie wpływa to na prawo dochodzenia odszkodowania przez podmiot danych zgodnie z zasadami wyrażonymi w art. 82 RODO.
W świetle przedstawionych uwag należy stwierdzić, że przepisy RODO dają szersze uprawnienia podmiotowi danych aniżeli przepisy kodeksu cywilnego. Wiąże się to również z większą odpowiedzialnością podmiotów zaangażowanych w przetwarzanie danych osobowych aniżeli na gruncie przepisów kodeksu cywilnego. Jakkolwiek na tym etapie podobne orzeczenia pojawiają się raczej wyjątkowo, to nie jest to kwestia braku podstaw do roszczeń, a raczej wady etapu – skomplikowanej procedury i niewielkiej świadomość prawnej społeczeństwa. Łatwo sobie wyobrazić, że w związku z ciągłym wzrostem świadomości liczba podobnych powództw będzie jednak rosła.