Wyciek danych a odszkodowanie: trzy warunki, które musi spełnić klient
Po każdym głośnym wycieku danych pojawia się to samo pytanie: czy klientom należą się pieniądze? Francuski organ ochrony danych CNIL opublikował 2 października 2026 roku krótkie wyjaśnienie dla osób, których dane wyciekły. Choć jest napisane z perspektywy poszkodowanego, równie dobrze czyta się je jako ściągę dla firm. Zasady wynikają bowiem z RODO, które obowiązuje tak samo we Francji, jak w Polsce.
Czym jest naruszenie ochrony danych
Naruszenie to każde zdarzenie, w którego wyniku dane osobowe zostają utracone, zniszczone, zmienione, ujawnione albo udostępnione komuś nieuprawnionemu. Może być przypadkowe albo celowe, na przykład w efekcie cyberataku. CNIL podaje proste przykłady:
- kradzież bazy danych,
- wysłanie danych do niewłaściwego odbiorcy przez pomyłkę,
- zgubienie laptopa lub nośnika z danymi,
- nieuprawniony dostęp do konta albo pliku.
Skutkiem może być utrata kontroli nad własnymi danymi, kradzież tożsamości, strata finansowa, uszczerbek na reputacji czy ujawnienie poufnych informacji. Ale, co CNIL podkreśla wyraźnie, sam fakt naruszenia nie wystarcza, żeby dostać odszkodowanie.
Trzy warunki odszkodowania
Podstawą jest art. 82 RODO: każdy, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, może żądać odszkodowania od administratora, a w pewnych sytuacjach od podmiotu przetwarzającego. Według CNIL muszą być spełnione łącznie trzy warunki.
1. Naruszenie RODO
Musi dojść do złamania przepisów. Typowy przykład to brak odpowiednich zabezpieczeń technicznych lub organizacyjnych. RODO wymaga od administratorów i podmiotów przetwarzających poziomu bezpieczeństwa dopasowanego do ryzyka. Ważny szczegół: odpowiedzialność administratora opiera się na domniemaniu winy. Może się od niej uwolnić, ale tylko jeśli wykaże, że w żaden sposób nie odpowiada za zdarzenie, które spowodowało szkodę.
2. Rzeczywista szkoda
Szkoda może być majątkowa albo niemajątkowa. CNIL wymienia stratę finansową, kradzież tożsamości, naruszenie reputacji, utratę poufności, utratę kontroli nad danymi, a także strach lub niepokój związany z ryzykiem, że dane zostaną nadużyte. Szkoda niemajątkowa nie musi osiągać żadnego minimalnego progu powagi. Musi jednak być rzeczywista i dotyczyć konkretnej osoby. Samo stwierdzenie, że doszło do naruszenia RODO, nie wystarcza.
3. Związek przyczynowy
Trzeba wykazać, że szkoda wynika właśnie z tego naruszenia. Nie wystarczy, że w tym samym czasie ktoś poniósł stratę, a firma miała wyciek. Musi dać się pokazać, że jedno spowodowało drugie.
Dowody po stronie poszkodowanego
CNIL radzi osobom, których dane wyciekły, by gromadziły wszystko, co pomoże wykazać naruszenie i jego skutki: powiadomienie otrzymane od firmy, korespondencję mailową, zrzuty ekranu, potwierdzenia wydatków, opis podjętych kroków i złożonych skarg. Z perspektywy firmy to ważna wskazówka. Każda wiadomość, którą wysyłasz klientom po incydencie, może później trafić do akt sprawy. Dlatego powinna być rzetelna, spokojna i zgodna z tym, co faktycznie wiesz o zdarzeniu. Obietnice bez pokrycia albo bagatelizowanie problemu mogą obrócić się przeciwko Tobie.
Wyciek danych nie oznacza automatycznie wypłaty. Liczy się naruszenie RODO, rzeczywista szkoda i związek między nimi. Ale ciężar dowodu nie leży wyłącznie po stronie klienta: to administrator musi wykazać, że nie ponosi winy.
Kto przyznaje pieniądze
CNIL odpowiada na to jednym słowem: nie my. Organ nadzorczy może przyjąć skargę, nakazać usunięcie nieprawidłowości albo nałożyć karę. Nie może natomiast przyznać odszkodowania. O tym decyduje sąd.
We Francji sprawy przeciwko firmom i osobom prywatnym trafiają co do zasady do sądu powszechnego, a przeciwko administracji publicznej do sądu administracyjnego, z osobnymi wymogami proceduralnymi. CNIL przypomina też, że poszkodowany może upoważnić organizację lub stowarzyszenie non profit do działania w jego imieniu. Od reformy z 30 kwietnia 2025 roku we Francji działa ujednolicony pozew zbiorowy, który obejmuje także sprawy o ochronę danych osobowych.
Polskie realia opierają się na tych samych przepisach RODO, w tym na art. 79, 80 i 82. Mechanizm jest więc ten sam: UODO może zbadać skargę, nakazać zmiany albo nałożyć karę, ale o odszkodowaniu dla konkretnej osoby rozstrzyga sąd.
Co to oznacza dla Twojej firmy
Poradnik CNIL jest skierowany do poszkodowanych, ale pokazuje, na co zwróci uwagę sąd, gdyby klient pozwał Twoją firmę. Skoro administrator musi wykazać brak winy, najważniejsza staje się dokumentacja.
- Dokumentuj zabezpieczenia. Zapisuj, jakie środki techniczne i organizacyjne stosujesz, kto ma dostęp do danych i jak często robisz aktualizacje oraz kopie zapasowe.
- Ogranicz dane do niezbędnych. Im mniej danych zbierasz i przechowujesz, tym mniejsza skala ewentualnego wycieku i mniej osób, które mogą odczuć szkodę.
- Miej procedurę na wypadek naruszenia. Ustal, kto ocenia incydent, kto powiadamia UODO i klientów, i w jakim terminie.
- Komunikuj się konkretnie. Jasna informacja dla klientów, co wyciekło i co mogą zrobić, ogranicza ich niepokój i ryzyko dalszych szkód.
- Sprawdź umowy z dostawcami. Hosting, sklep, system mailingowy czy narzędzia marketingowe przetwarzają dane w Twoim imieniu. Upewnij się, że umowy powierzenia określają ich obowiązki w zakresie bezpieczeństwa.
Nie tylko bazy klientów
Dane osobowe na stronie internetowej to nie tylko formularze i konta. To również identyfikatory zapisywane w plikach cookie i przekazywane narzędziom analitycznym czy reklamowym. Jeśli takie narzędzia uruchamiają się bez zgody odwiedzającego, trudniej później wykazać, że dbałeś o zgodność z przepisami. Warto wiedzieć, co dokładnie dzieje się na Twojej stronie. Możesz to szybko sprawdzić w Skanerze zgody.
Źródło: CNIL
RODOwyciek danychodszkodowanieCNIL