Kiedy za naruszenia ochrony danych grozi odpowiedzialność cywilna

Odpowiedzialności karnej ustawodawca poświęcił cały 8. rozdział ustawy o ochronie danych osobowych (art. 49–54a). Odpowiedzialność dyscyplinarna osób winnych dopuszczenia się uchybień została określona w art. 17 uodo. Daje on możliwość kontrolerom GIODO żądania wszczęcia postępowania dyscyplinarnego bądź innego, przewidzianego prawem względem tych osób. Z kolei odpowiedzialność administracyjna została wprowadzona do ustawy w 2011 roku. Jednym z wyznaczonych zadań GIODO stało się zapewnienie wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji, przez stosowanie środków egzekucyjnych przewidzianych w ustawie o postępowaniu egzekucyjnym w administracji.

Wiele osób zadaje jednak pytanie, czy i na jakiej podstawie istnieje możliwość dochodzenia na drodze cywilnej swoich praw z tytułu naruszenia ochrony danych osobowych w procesie ich przetwarzania przez administratorów. Jest to kwestia ważna ze względu na poczucie krzywdy osoby fizycznej, jakiej doznała w wyniku ujawnienia osobom nieuprawnionym jej danych dotyczących stanu zdrowia czy nałogów.

Stan emocjonalny i przekonanie, że doszło do naruszenia prywatności, może mieć związek z naruszeniem dóbr osobistych, które są pod ochroną prawa cywilnego. Zgodnie z art. 23 Kodeksu cywilnego dobra osobiste człowieka takie, jak w szczególności:

• zdrowie,
• wolność,
• cześć,
• swoboda sumienia,
• nazwisko lub pseudonim,
• wizerunek,
• tajemnica korespondencji,
• nietykalność mieszkania,
• twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska

są pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach.

Prawo do żądania ewentualnego odszkodowania nie wynika z ustawy o ochronie danych osobowych. Takiego uprawnienia trzeba szukać w zasadach ogólnych przewidzianych w prawie cywilnym. Dodatkowo będzie wiązało się to z koniecznością złożenia pozwu w sądzie. Ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie naruszenia może także żądać, żeby osoba, która się go dopuściła, dopełniła czynności potrzebnych do usunięcia jego skutków.

W szczególności chodzi o złożenie oświadczenia, o odpowiedniej treści i formie. Pokrzywdzony może również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny. Ustawodawca zadecydował też, że jeżeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, poszkodowany może żądać jej naprawienia na zasadach ogólnych. To z kolei korespondować będzie z odpowiedzialnością deliktową wyrażoną w art. 415 kc: Kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia.

Żeby mówić o ochronie dobra osobistego, niewątpliwie muszą być spełnione łącznie trzy przesłanki:

• istnienie dobra osobistego,
• naruszenie bądź samo zagrożenie tego dobra,
• bezprawność naruszenia bądź zagrożenia dobra osobistego.

Na powodzie, czyli żądającym ochrony, będzie spoczywał obowiązek dowiedzenia dwóch pierwszych przesłanek. Z kolei pozwany – naruszyciel (zazwyczaj jest to administrator danych) będzie musiał dowieść, że jego działaniom nie można przypisać znamion bezprawności.

Zgodnie z art. 448 kc w razie naruszenia dobra osobistego sąd może przyznać temu, czyje dobro osobiste zostało naruszone, odpowiednią sumę tytułem zadośćuczynienia pieniężnego za doznaną krzywdę. Na żądanie pokrzywdzonego może też zasądzić odpowiednią sumę pieniężną na wskazany przez niego cel społeczny, niezależnie od innych środków potrzebnych do usunięcia skutków naruszenia.

Obowiązujące przepisy wskazują na istnienie niemajątkowego i majątkowego charakteru ochrony dóbr osobistych. Charakter niemajątkowy będzie miało roszczenie w postaci zażądania zaniechania naruszeń i żądanie dopełnienia czynności potrzebnych do usunięcia skutków naruszenia. Skutki naruszenia można usunąć w zależności od konkretnej sprawy poprzez złożenie odpowiedniego w treści i w formie oświadczenia (np. przeprosiny w mediach, obwieszczenie na forum zakładu pracy, ale też poprzez usunięcie danych osobowych ze zbioru danych itp.).

Środkami ochrony majątkowej są roszczenia o naprawienie szkody majątkowej czy zapłata odpowiedniej sumy pieniężnej na wskazany cel społeczny. Jeżeli dobro osoby fizycznej zostało jedynie zagrożone czyimś działaniem, pokrzywdzony może żądać zaniechania działania. Jeżeli doszło już do naruszenia dobra osobistego, to powód może domagać się usunięcia skutków naruszenia, a ponadto jeśli zostaną dowiedzione w konkretnej sprawie okoliczności za tym przemawiające, także wystąpić z roszczeniami majątkowymi.

Odpowiedzialność cywilna może zachodzić niezależnie od innych toczących się już postępowań. Oznacza to, że postępowanie cywilne może zainicjować osoba, której dane osobowe zostały wykorzystane niezgodnie z ustawą bez względu na to, czy w sprawie toczą się postępowania administracyjne bądź karne.

W praktyce gotowość do wszczęcia postępowania cywilnego, które podlega opłacie sądowej, materializować się powinna, kiedy zainteresowany będzie dysponował przychylną sobie decyzją administracyjną GIODO bądź wyrokiem w procesie karnym (lub w trakcie trwania procesu karnego w ramach powództwa adhezyjnego, które dotyczy odpowiedzialności cywilnej spowodowanej przestępstwem, a nie niesie za sobą dodatkowych kosztów związanych z wpisem sądowym od roszczenia).

Katalog niepożądanych skutków związanych z przetwarzaniem danych jest zapewne długi, gdyż zależy od sposobów działań bądź zaniechań ADO osób przetwarzających dane oraz od poczucia doznanej krzywdy przez osoby, których dane dotyczą.

Coś, co jednemu może wydać się nieistotnym incydentem niegodzącym w jego dobra osobiste i prywatność jako taką, drugiemu może wydać się atakiem na jego wolność, prywatność, prawo do bycia anonimowym itp. Przykładem może być udostępnienie danych osobowych dotyczących adresu e-mail, które skutkować będzie bombardowaniem skrzynki poczty elektronicznej informacjami handlowymi. Ktoś uzna taką korespondencję za nachalny niepożądany spam, podczas gdy ktoś inny będzie być może czuł się wyróżniony, że daje mu się możliwość zapoznania z ofertą takich czy innych towarów bądź usług.

Ocena, czy doszło do naruszenia dobra osobistego, dokonywana jest nie według subiektywnych odczuć osoby dochodzącej roszczeń z tego tytułu, ale przy zastosowaniu obiektywnych kryteriów, uwzględniających reakcję opinii publicznej na tego rodzaju naruszenie. Trzeba także mieć na uwadze, że nie każde naruszenie dobra osobistego będzie stanowiło podstawę udzielenia ochrony prawnej podmiotowi dotkniętemu naruszeniem, ponieważ warunkiem jej przyznania jest uznanie, że naruszenie to miało bezprawny charakter, to jest, że było sprzeczne z obowiązującymi przepisami i zasadami współżycia społecznego.

Może dojść do sytuacji, że mimo że doszło do naruszenia dobra osobistego, to trudno jest doszukać się bezprawności działania naruszyciela. Z taką sytuacją można się spotkać np. w publikacjach medialnych, w których ujawniane są dane osobowe w kontekście tzw. dozwolonej krytyki. Nie oznacza to jednak, że można przypisać ujawniającemu dane osobowe znamiona bezprawności. Działanie nie będzie bezprawne, jeżeli stanowi właściwy środek służący do ochrony uzasadnionego interesu.