Przejdź do treści 
Naruszenie RODO może uzasadniać odszkodowanie, ale samo stwierdzenie naruszenia nie wystarcza do wypłaty. Trzeba wykazać rzeczywistą szkodę majątkową lub niemajątkową i związek z naruszeniem. Nie ma przy tym zasady, że szkoda niemajątkowa musi przekroczyć określony próg powagi. Te dwie reguły trzeba stosować łącznie.
Trzy elementy roszczenia z art. 82 RODO
Art. 82 RODO wymaga naruszenia rozporządzenia, szkody i związku przyczynowego. Przykładowo trzeba oddzielić nieuprawnione ujawnienie danych od tego, jakie rzeczywiste konsekwencje wywołało dla danej osoby. Decyzja dotycząca naruszenia nie jest automatycznie wyceną poniesionej przez nią szkody.
W wyroku z 4 maja 2023 r., C-300/21 TSUE potwierdził odrębność tych przesłanek, a zarazem wykluczył wymaganie minimalnej wagi szkody niemajątkowej. Nie oznacza to odszkodowania za samo niezadowolenie z naruszenia. Poszkodowany powinien wykazać, że rzeczywiście poniósł konsekwencje stanowiące szkodę.
Utrata kontroli i obawa wymagają konkretnego opisu
Szkoda nie musi ograniczać się do utraty pieniędzy. Może dotyczyć rzeczywistej utraty kontroli nad danymi lub uzasadnionej obawy o ich wykorzystanie. Nie trzeba zakładać, że dopiero dokonana kradzież tożsamości pozwala rozważyć ochronę. Jednocześnie sama ogólna deklaracja obawy nie dowodzi jeszcze szkody konkretnej osoby.
TSUE w wyroku z 19 marca 2026 r., C-526/24 nakazał ocenę rzeczywistości takiej szkody i związku z naruszeniem. Wyjaśnił też, że art. 82 może obejmować szkodę z naruszenia prawa dostępu do danych, a nie wyłącznie z niezgodnej z prawem operacji przetwarzania. Nie wolno jednak sztucznie tworzyć warunków roszczenia; zachowanie zainteresowanego będące decydującą przyczyną szkody może przerwać wymagany związek. Nie jest to przyzwolenie na uznawanie każdego wniosku o dostęp za nadużycie.
Administrator i podmiot przetwarzający mają różne role
Trzeba ustalić podmiot decydujący o celach i sposobach przetwarzania oraz ewentualny podmiot działający w jego imieniu. Według art. 82 ust. 2 podmiot przetwarzający odpowiada w określonych sytuacjach dotyczących własnych obowiązków albo działania poza zgodnymi z prawem poleceniami administratora lub wbrew nim. Nie wystarczy więc pozwać dowolnej firmy technicznie uczestniczącej w obiegu danych.
Art. 82 ust. 3 przewiduje zwolnienie, jeżeli administrator lub podmiot przetwarzający udowodni, że nie ponosi w żaden sposób winy za zdarzenie prowadzące do szkody. Nie przenosi to na te podmioty obowiązku wykazania za poszkodowanego samego istnienia jego szkody. Brzmienie ust. 2 uwzględnia urzędowe sprostowanie z 4 marca 2021 r..
Roszczenie pieniężne nie jest karą administracyjną
Skarga do organu nadzorczego i dochodzenie odszkodowania mają różne cele. Art. 77 i 79 przewidują środki ochrony niezależne od samego roszczenia z art. 82. Odszkodowanie służy kompensacji rzeczywiście poniesionej szkody; nie jest prywatnym odpowiednikiem administracyjnej kary ani kwotą wyliczaną według obrotu naruszającej firmy.
Jak przygotować materiał
Zachowaj zawiadomienie o incydencie, korespondencję, treść żądania dostępu i odpowiedzi oraz informacje, jakich danych dotyczyło naruszenie. Opisz konkretne następstwa i ich przebieg, a wydatki udokumentuj. Oddziel własne doświadczenia od przypuszczeń o tym, co mogło spotkać inne osoby. RODO stosuje się od 25 maja 2018 r.; starsza sytuacja wymaga odrębnej oceny prawa i terminów.
W ramach analizy roszczenia odszkodowawczego można ocenić naruszenie, podmiot odpowiedzialny i dowody szkody. Odrębnym zagadnieniem pozostaje ochrona dóbr osobistych; nie każde roszczenie o prywatność ma tę samą podstawę i przesłanki.
