Ograniczona odpowiedzialność administratorów danych za naruszenie RODO – wyrok TSUE

Trybunał Sprawiedliwości Unii Europejskiej w wyroku z dnia 25 stycznia 2024 r. (sygn. akt C – 687/21) orzekł, że sama utrata kontroli nad danymi osobowymi nie oznacza konieczności wypłaty odszkodowania, jeśli żadna osoba postronna nie miała dostępu do tych danych. Wniosek z pytaniem prejudycjalnym złożył sąd z Niemiec, który prowadzi sprawę dotyczącą odszkodowania jakiego domaga się klient od sieci sklepów RTV Saturn. Zakupił on urządzenie na raty i jednocześnie podpisał w sklepie umowę pożyczki. Niestety przez pomyłkę inny klient odebrał towar i dokumenty wpychając się do kolejki. Pracownicy zareagowali jednak dość szybko i zaledwie po 30 minutach wszystkie przedmioty trafiły do swojego właściciela. W ramach rekompensaty za złą obsługę sprzedawca zaproponował bezpłatne dostarczenie produktu klientowi. Ten jednak uznał, że nie jest to wystarczające i pozwał sklep domagając się odszkodowania w związku z naruszeniem RODO. Warto zaznaczyć, że niemiecki sąd miał wątpliwości co do ram odpowiedzialności. Co więcej, TSUE we wcześniejszych orzeczeniach wskazywał, że art. 82 ust. 1 RODO nie wyklucza tego, że szkoda majątkowa dotyczy również sytuacji, w której osoba, w celu uzyskania odszkodowania, powołuje się na  obawę, że jej dane osobowe mogą być w przyszłości wykorzystane przez osoby trzecie. Europejski Trybunał potwierdził swoje stanowisko, ale uznał również, że jeśli nieuprawniony nie mógł zapoznać się z danymi osobowymi, nad którymi administrator stracił kontrolę, to obawa o ich wykorzystanie nie może być podstawą roszczenia odszkodowawczego. W wyroku tym TSUE zaznaczył też, że jeśli pracownik nieumyślnie naruszył RODO to nie oznacza to automatycznie, że środki techniczne i organizacyjne podjęte przez administratora w celu ochrony danych były nieodpowiednie.