Wyciek danych osobowych z portalu

Takie pytanie zadał nasz Czytelnik podczas dyżuru redakcyjnego radcy prawnego, Alicji Surel. Otóż, prawo do ochrony danych osobowych to ochrona własnej prywatności i ma swoje źródło w przepisach art. 47, art. 49, art. 50 i art. 51 Konstytucji RP.

Zgodnie z Ustawą o ochronie danych osobowych, przetwarzanie danych osobowych może mieć miejsce jedynie ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym tą ustawą.
Imię i nazwisko oraz adres danej osoby jako sfera prywatności człowieka należy do danych osobowych. Naruszenie tej sfery sprowadza odpowiedzialność z tytułu ochrony dóbr osobistych.

W przypadku naruszenia przepisów ustawy o ochronie danych osobowych osoba, której dane dotyczą, może złożyć skargę do Generalnego Inspektora Ochrony Danych Osobowych. Po przeprowadzeniu postępowania w sprawie GIODO - o ile doszło do naruszenia przepisów - w drodze decyzji administracyjnej nakazuje przywrócenie stanu zgodnego z prawem. Niezależnie od powyższego, GIODO na podstawie informacji zgromadzonych w postępowaniu wyjaśniającym przeprowadzonym w sprawie zainicjowanej skargą, podejmuje z urzędu (nie zaś na podstawie skargi) niezależną od treści skargi decyzję co do ewentualnego skorzystania ze swoich uprawnień. I tak, w ramach kompetencji GIODO może skierować do podmiotu, którego dotyczy skarga, wystąpienie służące polepszeniu ochrony danych, może żądać wszczęcia postępowania dyscyplinarnego lub innego postępowania przeciwko osobom winnym dopuszczenia do uchybień w procesie przetwarzania danych osobowych (art. 17), bądź kieruje do organu powołanego do ścigania przestępstw zawiadomienie o podejrzeniu popełnienia przestępstwa.
Niestety, ponieważ siedziba firmy Avid Life Media - właściciela portalu Ashley Madison, z którego nastąpił wyciek danych osobowych, mieści się w Kanadzie i prawdopodobnie nie ma zarejestrowanej filii swojej firmy na terenie UE, dochodzenie roszczeń w praktyce może okazać się bardzo trudne.

- Skarga na naruszenie prawa do ochrony danych osobowych do GIODO w trybie Kodeksu postępowania administracyjnego w tej konkretnej sprawie, w mojej ocenie, nie przysługuje - wyjaśnia radca prawny, Alicja Surel. - Zgodnie bowiem z art. 3a ust. 1 pkt 2 Ustawy o ochronie danych osobowych, przepisów tej ustawy nie stosuje się do podmiotów mających siedzibę lub miejsce zamieszkania w państwie trzecim (tj. poza UE), wykorzystujących środki techniczne znajdujące się na terytorium RP wyłącznie do przekazywania danych.

Tak więc osoby, których dane osobowe wyciekły, mogą domagać się zadośćuczynienia lub odszkodowania (jeśli na skutek takiego wycieku doznały szkody) za naruszenie przysługujących im dóbr osobistych, jedynie na drodze procesu cywilnego przed sądem powszechnym. Możliwe są dwie podstawy takiej odpowiedzialności: tzw. deliktowa oraz z tytułu naruszenia dóbr osobistych.

Ogólnym przepisem regulującym odpowiedzialność deliktową jest art. 415 Kodeksu cywilnego, który stanowi, że "kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia". Zatem, jeżeli w wyniku niedopełnienia przez administratora danych osobowych lub osoby przez niego upoważnionej obowiązków zachowania danych w tajemnicy, osoba, której one dotyczą, poniosła jakąś szkodę na majątku (np. ujawnione dane osobowe zostały wykorzystane do zaciągnięcia zobowiązania, zawarcia umowy), to może ona domagać się naprawienia tej szkody.

Z kolei w sytuacji naruszenia dóbr osobistych, osoba, której dane zostały ujawnione, może na podstawie art. 24 K.c. domagać się od administratora danych osobowych zaniechania zachowania, w wyniku którego ujawnione zostały dane osobowe, przeproszenia lub podjęcia innych czynności, które mają na celu usunięcie skutków ujawnienia danych osobowych. Osoba taka może też żądać zapłaty zadośćuczynienia za cierpienia psychiczne spowodowane ujawnieniem jej danych osobowych lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny.

Postępowanie sądowe w takim przypadku będzie się toczyło z uwzględnieniem przepisów z zakresu międzynarodowego postępowania cywilnego. Co do zasady, w takich sytuacjach pozew należy kierować do sądu według właściwości miejscowej pozwanego, czyli do sądu zagranicznego. W tym jednak przypadku, w związku z tym, że naruszenie dotyczy praw konsumentów, na podstawie art. 11036 § 1. K.p.c., pozew można wytoczyć przed sąd krajowy według właściwości miejscowej powoda (czyli przed sąd miejsca zamieszkania powoda).

Sporym utrudnieniem do uzyskania zadośćuczynienia lub odszkodowania w praktyce może okazać się chęć zrealizowania przez pozwanego prawa do zgłoszenia żądania zabezpieczenia kosztów procesu przed wdaniem się w spór co do istoty sprawy (żądanie złożenia tzw. kaucji aktorycznej). Jest to jak obowiązek złożenia przez powoda określonej przez sąd kwoty kosztów, których zwrot przysługiwałby pozwanemu w razie oddalenia powództwa (tj. w razie wygrania przez pozwanego sprawy). Co istotne, sporą dolegliwością z punktu widzenia powoda może być to, że pozwany, zgłaszając w przepisanym czasie wniosek o zabezpieczenie kosztów, nie ma obowiązku składania wyjaśnień co do istoty sprawy przed rozstrzygnięciem tego wniosku przez sąd. W przypadku niezłożenia przez powoda kaucji aktorycznej, sąd odrzuci pozew, orzekając o kosztach, jak w przypadku cofnięcia pozwu. Stosowanie instytucji kaucji aktorycznej niedopuszczalne jest jedynie przez sąd państwa członkowskiego w stosunku do cudzoziemca będącego obywatelem innego państwa członkowskiego UE. Ograniczenie to nie występuje natomiast w przypadku pozwanych z państw spoza UE.

Sprawa byłaby prostsza, gdyby ww. firma miała zarejestrowany jakiś oddział na terenie UE. W sprawie miałoby wówczas zastosowanie Rozporządzenie Rady UE (WE) nr 44/2001 z 22 grudnia 2000 r. w sprawie jurysdykcji i uznawania orzeczeń sądowych oraz ich wykonywania w sprawach cywilnych i handlowych. Aby uruchomić tryb określony w rozporządzeniu, trzeba by było najpierw uzyskać tytuł wykonawczy w sądzie krajowym, tj. np. nakaz czy wyrok z klauzulą wykonalności, a następnie złożyć wniosek, wraz z dokumentami przetłumaczonymi przez tłumacza przysięgłego, do sądu w kraju będącym siedzibą pozwanego.