Za bezprawne przetwarzanie i ujawnienie danych osobowych grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat (art. 107 UODO), a dodatkowo możliwe są roszczenia o odszkodowanie i zadośćuczynienie na podstawie art. 82 roda oraz przepisów cywilnych o dobrach osobistych. Ujawnienie danych osobowych przez osobę prywatną nie zawsze wymaga zgody, ale aby legalnie przetwarzać i udostępniać informacje o innej osobie, trzeba mieć wyraźną podstawę z roda, a po jej braku łatwo naruszyć ochrona danych osobowych i prywatność.
Ochrona danych osobowych a ujawnienie danych przez osobę prywatną – kiedy wolno przetwarzać i udostępniać dane zgodnie z prawem
Ochrona danych osobowych nie dotyczy wyłącznie firm. Również osoba prywatna może być traktowana jak administrator, jeżeli decyduje, po co i jak przetwarzać cudze dane osobowe. Wynika to z art. 4 roda, gdzie administrator danych to podmiot ustalający cele i sposoby przetwarzania. Jeżeli ktoś publikuje imię, nazwisko, numer telefonu, adres, wizerunek lub inne dane osobowe innej osoby, zaczyna przetwarzać dane i może naruszyć przepisy roda oraz ustawa o ochronie danych osobowych.
Nie każda czynność jest jednak zakazana. Roda nie ma zastosowania do czynności o czysto osobistym lub domowym charakterze. To tzw. wyłączenie domowe. Przykładowo można legalnie przetwarzać dane w prywatnym notesie, rodzinnej korespondencji albo zamkniętej komunikacji wewnątrz gospodarstwa domowego. Problem pojawia się wtedy, gdy dane zaczyna się udostępniać szerzej, zwłaszcza w mediach społecznościowych, na forach, w grupach osiedlowych czy przez masowe wiadomości. W takim momencie łatwo naruszyć ochrona danych, bo działanie przestaje być wyłącznie domowe.
Osoba prywatna może też legalnie przetwarzać dane bez zgody osoby, gdy ma inną podstawę z art. 6 ust. 1 roda. Najczęściej chodzi o prawnie uzasadniony interes, np. aby dochodzić roszczeń, bronić się przed roszczeniami, zgłosić sprawę organom ścigania lub wykonać obowiązek wynikający z przepisu prawa. Taka podstawa nie daje jednak prawa, by dowolnie udostępnić dane publicznie. Nadal trzeba zachować zasadę minimalizacji, celowości i proporcjonalności. Innymi słowy: można przetwarzać tyle, ile potrzeba, ale nie więcej.
W praktyce legalny zakres jest wąski. Jeżeli ktoś chce udostępnić korespondencję z numerem telefonu byłego partnera, opublikować skan pisma z adresem sąsiada albo przesłać dalej informacje dotyczące ochrony danych osobowych pracownika czy kontrahenta, powinien najpierw sprawdzić, czy w ogóle jest do tego uprawnić przez ustawę, umowę albo inny przepis. Sama ciekawość, konflikt osobisty lub chęć napiętnowania kogoś nie tworzy legalnej podstawy, aby przetwarzać dane.
Udostępnianie danych osobowych bez zgody, wyłączenie domowe i legalny zakres ochrony danych
Udostępnianie danych osobowych bez zgody może być legalny tylko wtedy, gdy istnieje inna podstawa z art. 6 roda lub wyjątkowo z art. 9 roda, jeśli chodzi o szczególne kategorie danych. Dotyczy to np. sytuacji, gdy trzeba przetwarzać informacje na potrzeby postępowania sądowego, zgłoszenia przestępstwa albo realizacji obowiązku ustawowego. Inaczej mówiąc, brak zgody osoby nie przesądza automatycznie o bezprawności, ale brak jakiejkolwiek podstawy prawnej już tak.
Wyłączenie domowe nie obejmuje publikacji skierowanych do nieoznaczonego lub szerokiego kręgu odbiorców. Jeżeli osoba prywatna zaczyna udostępniać dane na publicznym profilu, w ogólnodostępnej grupie lub rozsyła je do wielu osób, może naruszyć ochrona danych osobowych. Takie działanie często staje się klasycznym przetwarzanie danych osobowych, za które odpowiada administrator. To ważne zwłaszcza tam, gdzie pojawiają się dane dotyczących zdrowia, adres zamieszkania, PESEL, numer dowodu, informacje o zadłużeniu czy inne danych wrażliwych.
Niekiedy osoba prywatna powołuje się na to, że „tylko przekazała prawdę”. To nie wystarcza. Nawet prawdziwe informacje można udostępnić bezprawnie, jeśli brak podstawy, cel jest nieproporcjonalny albo można było osiągnąć go mniej ingerencyjnie. Ochrona danych wymaga, by przetwarzać dane adekwatnie do celu i nie udostępniać ich osobom nieupoważnionym. Dlatego np. wysłanie skanu pozwu do znajomych czy publikacja screenów prywatnych wiadomości z pełnymi danymi zwykle będzie ryzykowna.
Odpowiedzialność karna i cywilny wymiar naruszenia – co mówi art 107 ustawy o ochronie danych
Za bezprawne przetwarzanie i ujawnienie danych osobowych grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat (art. 107 UODO). To przepis karne, który stosuje się także do osoby prywatnej, gdy bez podstawy przetwarzać dane, choć ich przetwarzanie nie jest dopuszczalne, albo gdy nie jest do tego uprawnić. Właśnie dlatego 107 ustawy o ochronie danych jest kluczowy przy ocenie, co grozi za bezprawne udostępnienia danych osobowych.
Odpowiedzialność karna osoby fizycznej różni się od kar nakładanych na firmy. Wobec przedsiębiorców lub innych organizacji może pojawić się środek administracyjny, np. decyzja prezesa urzędu ochrony danych osobowych czy kara pieniężna na podstawie roda. Osoba prywatna częściej odczuje skutki na gruncie karne i cywilny: zawiadomienie o przestępstwo, powództwo o dobra osobiste, żądanie usunięcia danych, przeprosin, zadośćuczynienia lub odszkodowanie.
W zależności od okoliczności można też naruszyć inne przepisy, w tym kodeks karny z 1997 r., np. dotyczące bezprawnego uzyskania informacji, zniesławienia albo uporczywego nękania. Samo roda nie wyczerpuje więc odpowiedzialności. Jeżeli publikacja narusza prywatność i dobre imię, dochodzi także reżim cywilny. Jeżeli skutkiem jest np. wyłudzenie, groźby lub wykorzystanie danych do podszywania się, pojawić się może kolejne przestępstwo.
Warto odróżnić sytuację osoby prywatnej od relacji profesjonalnych. Gdy dane przekazuje firma zewnętrzna, znaczenie ma także umowy powierzenia przetwarzania danych oraz zakres, w jakim administrator danych albo procesor był uprawnić do działania. Przy osobie prywatnej ocena skupia się głównie na tym, czy mogła legalnie przetwarzać dane i czy nie doszło do bezprawnego upublicznienia.
Zgłoszenie do UODO, urząd ochrony danych osobowych i działania przeciwko administratorowi
Jeżeli doszło do bezprawnego ujawnienia, pierwszym krokiem powinno być szybkie wezwanie sprawcy do zaprzestania naruszeń oraz usunięcia publikacji. Trzeba wskazać, jakie dane zostały ujawnione, gdzie są dostępne, dlaczego sprawca nie był uprawnić do ich publikacji i jakie przepisy roda oraz ustawa o ochronie danych osobowych mogły zostać naruszyć. Jeżeli dane opublikowano w serwisie internetowym, warto zawiadomić też właściciela portalu lub administratora danych osobowych danej platformy.
Można także złożyć skargę do urząd ochrony danych osobowych. W postępowaniu administracyjnym organ bada, czy doszło do naruszenia roda i czy administrator albo inny podmiot legalnie mógł przetwarzać dane. Skarga nie zastępuje jednak drogi sądowej o odszkodowanie. Równolegle można złożyć zawiadomienie o podejrzeniu popełnienia przestępstwo, jeżeli okoliczności wskazują na czyn z art. 107 uodo lub inny czyn karne.
Jeżeli sprawca działał na portalu społecznościowym, forum lub komunikatorze, trzeba niezwłocznie zabezpieczyć dowody i zgłosić naruszenie ochrony danych osobowych lub inne naruszenie regulaminu platformy. Sam fakt późniejszego usunięcia wpisu nie zamyka sprawy. Nadal można wykazywać, że doszło do szkody majątkowej lub krzywdy i że sprawca jako administrator faktycznie zaczął przetwarzać cudze dane bez podstawy.
Jak dochodzić odszkodowania za naruszenie ochrony danych i jakie dowody przygotować
Art. 82 roda przewiduje, że każda osoba, która poniosła szkodę majątkową lub niemajątkową wskutek naruszenia, ma prawo do roszczenia o odszkodowanie od administratora lub podmiotu przetwarzającego. W praktyce osoba poszkodowana może oprzeć roszczenie także na przepisach cywilnych o ochronie dóbr osobistych. Jeżeli ujawnienie danych osobowych przez osobę prywatną spowodowało stres, utratę poczucia bezpieczeństwa, nękanie, utratę klientów albo koszty zabezpieczenia tożsamości, są to okoliczności istotne dla roszczenia.
Najważniejsze są dowody. Sąd akceptuje przede wszystkim:
- zrzuty ekranu z widocznym adresem URL, datą i godziną,
- nagranie ekranu pokazujące cały kontekst publikacji,
- protokół notarialny z oględzin strony WWW,
- wydruki korespondencji e-mail, SMS lub komunikatorów,
- potwierdzenia zgłoszeń do serwisu i odpowiedzi administratora,
- wezwanie do usunięcia danych i dowód doręczenia,
- zeznania świadków, którzy widzieli publikację lub otrzymali dane,
- dokumenty potwierdzające skutki szkody, np. koszty wymiany dokumentów, obsługi prawnej, leczenia lub utraconych korzyści.
Poniżej praktyczny układ działań i dowodów:
| Etap | Co zrobić | Po co |
|---|---|---|
| 1 | Zabezpieczyć screeny, URL, datę i pełną treść wpisu | Wykazać zakres, czas i sposób naruszenia |
| 2 | Wezwać sprawcę i administratora serwisu do usunięcia | Ograniczyć dalsze skutki i udokumentować reakcję |
| 3 | Złożyć skargę do UODO lub zawiadomienie karne | Uruchomić tryb administracyjny lub postępowanie karne |
| 4 | Oszacować szkodę i krzywdę | Przygotować roszczenie o zadośćuczynienie i odszkodowanie |
Przy pozwie trzeba jasno wskazać, jakie przepisy zostały naruszyć, kto był administratorem danych, jaki podmiot otrzymał dane, komu je udostępnić oraz jakie skutki wywołało bezprawne działanie. Jeżeli pozwany twierdzi, że miał zgodę na przetwarzanie danych albo inną podstawę, powinien to wykazać. Sama ogólna zgodę na przetwarzanie nie oznacza jeszcze prawa, by publicznie udostępniać informacje.
Jak nie naruszyć ochrony danych – praktyczne zasady dla osoby fizycznej
Aby nie naruszyć cudzych praw, osoba prywatna powinna ostrożnie przetwarzać i udostępniać wszelkie informacje pozwalające zidentyfikować inną osobę. Dotyczy to zwłaszcza sporów rodzinnych, sąsiedzkich i konsumenckich, gdzie emocje skłaniają do publikowania screenów, zdjęć dokumentów czy nagrań. Jeżeli nie masz pewności, czy wolno ci udostępnić dane, bezpieczniej je zanonimizować albo w ogóle zrezygnować z publikacji.
Najważniejsze zasady są proste:
- nie publikuj numerów telefonów, adresów, PESEL-i i skanów dokumentów,
- nie przesyłaj dalej prywatnej korespondencji bez wyraźnej potrzeby,
- przed wysłaniem wiadomości sprawdź odbiorcę, aby nie przekazać danych omyłkowo,
- gdy chcesz dochodzić roszczeń, kieruj informacje do sądu, pełnomocnika lub organu, a nie do internetu,
- jeżeli musisz przetwarzać dane, rób to w minimalnym zakresie i tylko przez czas potrzebny do celu.
Takie podejście wspiera ochrona danych i ochrona danych osobowych, a jednocześnie ogranicza ryzyko, że zwykły konflikt przerodzi się w odpowiedzialność prawnej, cywilny i karne.
FAQ – ochrona danych osobowych, kary, UODO i odszkodowanie
Co grozi za ujawnienie danych osobowych?
Grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat na podstawie art. 107 uodo, a także roszczenia cywilne. Jeżeli ktoś bez podstawy zaczął przetwarzać i udostępnić cudze dane, może ponieść odpowiedzialność karna, a poszkodowany może żądać przeprosin, zaniechania, zadośćuczynienia i odszkodowanie. Dodatkowo urząd ochrony danych osobowych może prowadzić postępowanie wobec administratora lub innego podmiotu.
Jakie są konsekwencje ujawnienia danych osobowych bez zgody?
Konsekwencje to odpowiedzialność karna, cywilna i czasem administracyjny nadzór organu, ale kluczowe jest to, czy istniała inna podstawa niż zgoda. Sam brak zgody nie zawsze przesądza o naruszeniu, bo można legalnie przetwarzać dane np. dla dochodzenia roszczeń. Jeżeli jednak brak było podstawy z art. 6 roda, sprawca mógł naruszyć przepisy o ochronie danych i dobra osobiste.
Czy udostępnianie danych osobowych jest legalne?
Tak, ale tylko wtedy, gdy jest legalny cel i podstawa prawna z roda albo działa wyłączenie domowe. Można przetwarzać dane zgodnie z prawem w sytuacjach przewidzianych przez przepisy o ochronie danych oraz ustawa o ochronie danych osobowych. Nie wolno natomiast udostępniać danych publicznie tylko dlatego, że są prawdziwe lub ktoś wszedł z tobą w spór.
Ile odszkodowania za ujawnienie danych osobowych?
Nie ma ustawowego cennika; wysokość zależy od skutków naruszenia, rodzaju danych i skali krzywdy lub szkody. Sąd ocenia, czy doszło do realnej szkody majątkowej albo niemajątkowej, jak długo dane były dostępne, ilu odbiorców je zobaczyło i czy sprawca chciał naruszyć prawa poszkodowanego. Im poważniejsze naruszenie ochrony danych, tym większa szansa na wyższe zadośćuczynienie lub odszkodowanie.
Ujawnienie danych osobowych przez osobę prywatną trzeba oceniać przez pryzmat roda, ustawa o ochronie danych osobowych i zasad ochrony dóbr osobistych. Jeżeli doszło do sytuacji, w której ktoś opublikował lub przekazał dane osobowe bez zgody, w tym dane bez zgody, warto szybko zabezpieczyć dowody, żądać usunięcia treści i rozważyć skargę do PUODO oraz działania prawnej natury. To samo dotyczy sytuacji określanych jako udostępnienie danych osobowych bez zgody, zwłaszcza gdy sprawca zaczął przetwarzać dane szerzej niż pozwalają przepisy rodo.
Treść ma charakter informacyjny i nie stanowi porady prawnej. Jeżeli potrzebna jest ocena konkretnego przypadku, w tym ujawnienie danych osobowych przez osobę prywatną, analiza odpowiedzialności sprawcy lub przygotowanie skargi, wezwania albo pozwu, zapraszamy do kontaktu z Kancelarią Adwokacką adwokata Mateusza Orlickiego.
