Sąd Okręgowy w Warszawie w wyroku z 23 października 2025 r., sygn. III C 904/23, zasądził 40 tys. zł na rzecz osoby, której dane osobowe zostały omyłkowo przekazane przez Biuro Rzecznika Finansowego za pośrednictwem platformy ePUAP do 28 366 instytucji i podmiotów publicznych. Wyrok stał się ponownie aktualny po jego szerokim omówieniu we wrześniu 2026 r., gdy w Polsce trwa dyskusja o wysokości świadczeń należnych po dużych wyciekach danych, w tym danych medycznych.
Powód żądał 50 tys. zł. Nie wykazał przy tym konkretnej straty finansowej wynikającej z naruszenia. Sąd uznał jednak, że wystąpiła szkoda niemajątkowa związana przede wszystkim ze stresem, utratą kontroli nad własnymi danymi, poczuciem zagrożenia i obawą przed dalszym wykorzystaniem informacji.
Nie trzeba wykazać straty finansowej, aby dochodzić świadczenia
Art. 82 RODO pozwala dochodzić odszkodowania nie tylko za szkodę majątkową, ale również za szkodę niemajątkową. W praktyce oznacza to, że brak wyłudzonego kredytu, utraconych pieniędzy czy innych policzalnych strat nie zamyka automatycznie drogi do roszczenia.
Kluczowe pozostaje jednak wykazanie rzeczywistej krzywdy. Sam fakt naruszenia RODO nie powinien być utożsamiany z automatycznym prawem do określonej kwoty. Poszkodowany powinien opisać i w miarę możliwości udokumentować wpływ zdarzenia na swoje poczucie bezpieczeństwa, utratę kontroli nad informacjami, obawy przed ich dalszym rozpowszechnieniem czy konieczność podejmowania działań ochronnych.
40 tys. zł to kwota wysoka na tle dotychczasowych polskich spraw
W wielu dotychczasowych postępowaniach dotyczących naruszenia ochrony danych pojawiały się świadczenia znacznie niższe, często w granicach kilku tysięcy złotych. Wyrok III C 904/23 pokazuje jednak, że przy wyjątkowo dużej skali ujawnienia danych sąd może przyjąć zdecydowanie wyższą wartość krzywdy.
W tej sprawie informacje zostały przesłane do ponad 28 tys. podmiotów. To zasadniczo różni ją od przypadków, w których dane trafiają przypadkowo do jednej czy kilku osób. Im większy zakres rozpowszechnienia, tym trudniej odzyskać realną kontrolę nad informacjami i tym większe może być poczucie zagrożenia po stronie poszkodowanego.
Nie ma taryfikatora za wyciek danych
Kwoty 40 tys. zł nie można jednak traktować jako nowej stawki należnej każdej osobie, której dane zostały ujawnione. Wysokość świadczenia zależy od okoliczności konkretnego zdarzenia: rodzaju danych, liczby odbiorców, czasu trwania naruszenia, możliwości dalszego rozpowszechnienia, skutków dla poszkodowanego oraz działań administratora podjętych po wykryciu problemu.
Inaczej należy oceniać ujawnienie podstawowego adresu e-mail, a inaczej rozpowszechnienie numeru PESEL, dokumentacji medycznej, informacji finansowych czy innych danych o szczególnie prywatnym charakterze.
Wyrok jest szczególnie interesujący w kontekście dużych wycieków danych medycznych
Orzeczenie może stać się istotnym punktem odniesienia w toczącej się dyskusji o roszczeniach po incydentach obejmujących dane o zdrowiu. Nie oznacza to, że wysokość świadczeń w innych sprawach powinna wynosić właśnie 40 tys. zł. Pokazuje jednak, że polskie sądy nie są ograniczone do symbolicznych kwot, jeżeli naruszenie ma wyjątkowo dużą skalę i powoduje realną krzywdę.
Przy danych medycznych argumentacja może być jeszcze bardziej złożona, ponieważ są to informacje należące do szczególnych kategorii danych osobowych. Ich ujawnienie może dotyczyć wyjątkowo intymnej sfery życia człowieka.
Najważniejsze jest indywidualne wykazanie skutków naruszenia
Osoba rozważająca roszczenie powinna więc zabezpieczać wszelkie informacje dotyczące zakresu ujawnionych danych, komunikaty administratora, dowody prób wykorzystania informacji, wiadomości phishingowe czy dokumenty potwierdzające podjęte działania zabezpieczające.
W procesie o zadośćuczynienie nie wystarczy powołać się na samą wysokość świadczenia przyznanego w innej sprawie. Najważniejsze pozostaje wykazanie własnej szkody niemajątkowej i związku pomiędzy nią a konkretnym naruszeniem ochrony danych.
Źródło: Sąd Okręgowy w Warszawie, wyrok z 23 października 2025 r., sygn. III C 904/23.