TSUE: obawa wykorzystania danych musi być należycie udowodniona

W kolejnym orzeczeniu TSUE odpowiedział na pytania prejudycjalne jednego z niemieckich sądów rejonowych. Tym razem kwestia, którą miał rozstrzygnąć sąd krajowy dotyczyła m. in. tego, czy:

do powstania roszczenia o odszkodowanie za szkodę niemajątkową na podstawie art. 82 ust. 1 RODO wystarczy, że osoba występująca z roszczeniem obawia się, że w wyniku naruszeń RODO jej dane osobowe trafiły w obce ręce, przy czym nie można tego stwierdzić pozytywnie?

wysokość odszkodowania za szkodę niemajątkową na podstawie art. 82 ust. 1 RODO należy ustalać również tak, aby poprzez wysokość przyznanego odszkodowania osiągnąć skutek odstraszający i uniemożliwić »komercjalizację« (kalkulowane akceptowanie administracyjnych kar pieniężnych i zapłaty odszkodowań) naruszeń?

przy ustalaniu wysokości odszkodowania za szkodę niemajątkową na podstawie art. 82 ust. 1 RODO jednocześnie popełnionych naruszeń przepisów krajowych, których celem jest ochrona danych osobowych, ale które nie są aktami delegowanymi lub wykonawczymi przyjętymi na mocy tego rozporządzenia lub prawem państwa członkowskiego doprecyzowującym rzeczone rozporządzenie?”

Skarżący w postępowaniu głównym, AT i BT, są klientami PS, kancelarii doradztwa podatkowego. Poinformowali oni tę kancelarię o zmianie swego adresu pocztowego, co zostało odnotowane w informatycznym systemie przetwarzanie danych PS. Nowy adres skarżących w postępowaniu głównym został następnie wykorzystany przez PS do wysyłki szeregu pism.

W lipcu 2020 r. skarżący w postępowaniu głównym zlecili PS sporządzenie deklaracji podatkowej za 2019 r. Nie otrzymawszy żadnej odpowiedzi, skontaktowali się oni z PS, która poinformowała ich, że ta deklaracja podatkowa została im wysłana pismem z dnia 29 września 2020 r., bez wskazania adresu, na który pismo to zostało wysłane.

Nowi mieszkańcy zamieszkujący pod ich poprzednim adresem poinformowali ich, że na ten adres dotarła koperta skierowana do nich i że omyłkowo otworzyli ją. Jeden z tych nowych mieszkańców wskazał, że stwierdziwszy, iż przedmiotowa przesyłka pocztowa nie jest do niego adresowana, umieścił z powrotem dokumenty w kopercie. Następnie przekazał ją bliskim mieszkającym w pobliżu poprzedniego adresu skarżących w postępowaniu głównym, aby mogli oni ją otrzymać.

Gdy skarżący w postępowaniu głównym otrzymali odnośną kopertę, stwierdzili, że znajdowały się w niej jedynie kopia deklaracji podatkowej oraz pismo przewodnie. Zakładają oni jednak, że koperta zawierała również oryginał deklaracji podatkowej, zawierający dane osobowe, w tym ich nazwiska i daty urodzenia, a także nazwiska i daty urodzenia ich dzieci, ich numery identyfikacji podatkowej, dane ich rachunku bankowego, a także informacje dotyczące ich przynależności do wspólnoty wyznaniowej, informacje dotyczące statusu osoby niepełnosprawnej członka ich rodziny, ich zawodów i miejsc pracy lub różnych wydatków poniesionych przez nich.

Trybunał wskazał, że:

z brzmienia tego przepisu jasno wynika, iż istnienie „szkody”, majątkowej lub niemajątkowej, lub „szkody”, która została „poniesiona”, stanowi jedną z przesłanek prawa do odszkodowania przewidzianego w tym art. 82 ust. 1, podobnie jak istnienie naruszenia wspomnianego rozporządzenia i związku przyczynowego między tą szkodą a tym naruszeniem, przy czym te trzy przesłanki są kumulatywne [zob. podobnie wyroki: z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 32; z dnia 11 kwietnia 2024 r., juris, C‑741/21, EU:C:2024:288, pkt 34].

nie można uznać, że każde „naruszenie” przepisów RODO przyznaje samo w sobie to prawo do odszkodowania osobie, której dane dotyczą, zdefiniowanej w art. 4 pkt 1 tego rozporządzenia. Ponadto odrębna wzmianka w art. 82 ust. 1 RODO o „szkodzie” i „naruszeniu” byłaby zbędna, gdyby prawodawca Unii uznał, że naruszenie przepisów tego rozporządzenia może samo w sobie i w każdym wypadku wystarczyć dla uzasadnienia prawa do odszkodowania [wyrok z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych), C‑300/21, EU:C:2023:370, pkt 33, 34].

Nadto TSUE podkreślił, że: art. 82 ust. 1 RODO należy interpretować w ten sposób, że:

dla uzasadnienia prawa do odszkodowania wystarcza wyrażona przez osobę obawa, że jej dane osobowe w wyniku naruszenia tego rozporządzenia zostały ujawnione stronie trzeciej, również jeśli nie można przy tym wykazać, że rzeczywiście miało to miejsce, pod warunkiem że obawa ta wraz z jej negatywnymi skutkami zostanie należycie udowodniona;

do celów ustalenia wysokości należnego na podstawie tego przepisu odszkodowania za szkodę, po pierwsze, nie należy stosować mutatis mutandis kryteriów ustalania kwoty administracyjnych kar pieniężnych przewidzianych w art. 83 tego rozporządzenia, a po drugie, nie należy przypisywać temu prawu do odszkodowania funkcji odstraszającej;

do celów ustalenia wysokości należnego na podstawie tego przepisu odszkodowania za szkodę nie należy uwzględniać jednocześnie popełnionych naruszeń przepisów krajowych dotyczących ochrony danych osobowych, których celem nie jest jednak sprecyzowanie przepisów tego rozporządzenia;