Odszkodowanie za naruszenie RODO po ujawnieniu danych - co wynika z wyroków TSUE?

Firma, urząd albo sklep internetowy ujawnia Wasze dane: adres, PESEL, numer rachunku. Nikt jeszcze nie wziął na Was kredytu, ale niepokój zostaje. Czy za sam ten niepokój należą się pieniądze?

Od 2023 roku Trybunał Sprawiedliwości Unii Europejskiej (TSUE) odpowiedział na to pytanie w kilkunastu wyrokach. Zebraliśmy je w jednym miejscu, razem z kwotami, które faktycznie zasądzają sądy w Polsce i w Unii. Kwoty są zwykle skromne, ale droga jest realna i warto ją znać.

W skrócie

• Art. 82 RODO daje prawo do odszkodowania za szkodę majątkową i niemajątkową. Samo naruszenie przepisów nie wystarcza: trzeba wykazać naruszenie, szkodę i związek między nimi (wyrok TSUE z 4 maja 2023 r., C-300/21).
• Nie ma progu dotkliwości. Szkoda niemajątkowa nie musi być „poważna”, żeby sąd się nią zajął. Musi jednak być prawdziwa i udowodniona.
• Uzasadniona obawa, że ktoś wykorzysta ujawnione dane, może sama być szkodą (wyrok TSUE z 14 grudnia 2023 r., C-340/21). Ryzyko czysto hipotetyczne nie wystarczy.
• W wyrokach sądów warszawskich z lat 2020-2025, do których dotarliśmy, za jednorazowe ujawnienie danych zasądzano najczęściej od 1000 do 1500 zł. Najwyższa znaleziona kwota to 40 000 zł (wyrok z 2025 r.).
• W Niemczech Federalny Trybunał Sprawiedliwości wskazał w 2024 r., że za samą utratę kontroli nad danymi można przyjąć kwotę rzędu 100 euro. Sąd Unii Europejskiej zasądził w 2025 r. 400 euro od Komisji Europejskiej.
• W 2025 r. administratorzy zgłosili do UODO 22 435 naruszeń ochrony danych, a sądy zawiadomiły Urząd o 71 postępowaniach cywilnych. Z tej drogi korzysta więc niewiele osób.

Co mówi art. 82 RODO i kto odpowiada za szkodę?

Przepis jest krótki. Zgodnie z art. 82 ust. 1 RODO każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo uzyskać odszkodowanie od administratora lub podmiotu przetwarzającego. Administrator to firma lub instytucja, która decyduje, po co i jak przetwarza Wasze dane. Podmiot przetwarzający robi to na jej zlecenie, na przykład firma hostingowa albo biuro rachunkowe.

Szkoda majątkowa.
To strata, którą da się policzyć: pieniądze wyłudzone z konta, koszt wymiany dokumentu, opłata za raport z biura informacji kredytowej, jeśli musieliście ją ponieść.

Szkoda niemajątkowa.
To krzywda, której nie widać na wyciągu z konta: lęk, stres, poczucie utraty kontroli nad danymi, naruszenie dobrego imienia. Polskie sądy nazywają pieniądze za taką krzywdę zadośćuczynieniem. RODO używa jednego słowa „odszkodowanie” dla obu rodzajów szkody, dlatego w tym tekście te pojęcia się przeplatają.

Wina administratora.
Art. 82 ust. 3 pozwala administratorowi uwolnić się od odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy za zdarzenie. To on ma to wykazać, nie Wy. Motyw 146 RODO dodaje, że pojęcie szkody należy interpretować szeroko, a odszkodowanie ma być pełne i skuteczne.

Ten tekst opisuje stan prawny i orzecznictwo, ale nie zastępuje porady prawnika, który zna Waszą sprawę.

Co wynika z wyroków TSUE?

Trybunał nie rozstrzyga sporów między ludźmi a firmami. Odpowiada na pytania sądów krajowych o to, jak rozumieć unijny przepis. Jego odpowiedzi wiążą jednak sądy we wszystkich państwach Unii, także w Polsce. Poniżej najważniejsze z nich w kolejności, w jakiej zapadały.

Samo naruszenie to za mało, ale progu dotkliwości nie ma

Pierwszy był wyrok z 4 maja 2023 r. w sprawie C-300/21. Austriacka poczta przypisała obywatelowi sympatię do jednej z partii politycznych na podstawie algorytmu. Mężczyzna żądał 1000 euro za wzburzenie i poczucie upokorzenia. Jak podaje komunikat prasowy Trybunału nr 72/23, dane nie zostały przekazane nikomu z zewnątrz.

Trybunał powiedział trzy rzeczy. Po pierwsze, samo naruszenie RODO nie daje prawa do odszkodowania. Potrzebne są trzy elementy łącznie: naruszenie, szkoda i związek przyczynowy. Po drugie, prawo krajowe nie może wymagać, żeby szkoda niemajątkowa osiągnęła „pewien stopień wagi”. Po trzecie, wysokość kwoty ustala sąd krajowy według własnych przepisów, byle ochrona była skuteczna.

Kilka miesięcy później, 14 grudnia 2023 r., Trybunał potwierdził to wprost w sprawie C-456/22: sądy nie mogą stosować „progu de minimis”, czyli odrzucać spraw jako zbyt błahych. Poszkodowany musi jednak pokazać, że poniósł skutki inne niż samo złamanie przepisu.

Obawa przed wykorzystaniem danych może być szkodą

To najważniejsza odpowiedź dla osób po wycieku. W sprawie C-340/21 chodziło o atak na bułgarską agencję skarbową, po którym w internecie opublikowano dane osobowe z jej systemu. Zdarzenie dotknęło ponad 6 milionów osób. Jedna z poszkodowanych żądała 1000 lewów, czyli około 510 euro, za sam lęk przed tym, co się stanie z jej danymi.

Trybunał orzekł 14 grudnia 2023 r., że obawa przed ewentualnym wykorzystaniem danych przez osoby trzecie może sama w sobie stanowić szkodę niemajątkową. Sąd krajowy ma sprawdzić, czy ta obawa jest uzasadniona w okolicznościach konkretnej osoby.

Z tego samego wyroku wynikają dwie rzeczy korzystne dla poszkodowanych. To administrator musi udowodnić, że jego zabezpieczenia były odpowiednie. A to, że dane wykradł ktoś z zewnątrz, nie zwalnia go automatycznie z odpowiedzialności.

Kolejne wyroki doprecyzowały granice:

• Ryzyko hipotetyczne nie wystarczy. W wyroku z 25 stycznia 2024 r. (C-687/21, punkty 67-68) Trybunał uznał, że uzasadniona obawa przed rozpowszechnieniem danych mieści się w pojęciu szkody. Zastrzegł jednak, że czysto hipotetyczne ryzyko nadużycia nie jest podstawą odszkodowania, na przykład gdy nikt obcy nie zapoznał się z danymi.
• Nie trzeba udowodnić, że ktoś faktycznie użył danych. Według wyroku z 20 czerwca 2024 r. (C-590/22) wystarcza obawa, że dane zostały ujawnione osobie trzeciej, jeśli ta obawa i jej negatywne skutki zostaną należycie udowodnione.
• Krótka utrata kontroli też się liczy. W wyroku z 4 października 2024 r. (C-200/23) Trybunał stwierdził, że ograniczona w czasie utrata kontroli nad danymi opublikowanymi w internetowym rejestrze może wystarczyć, nawet jeśli szkoda jest nieznaczna. Nie trzeba wykazywać dodatkowych wymiernych skutków.
• Negatywne uczucia to szkoda. Wyrok z 4 września 2025 r. (C-655/23) mówi, że szkoda niemajątkowa obejmuje obawę lub niezadowolenie wywołane utratą kontroli nad danymi, ich możliwym nadużyciem albo naruszeniem dobrego imienia. Warunek jest ten sam: trzeba wykazać, że takie uczucia i ich skutki rzeczywiście wystąpiły.

Odszkodowanie ma wyrównać szkodę, a nie ukarać firmę

Wiele osób liczy, że sąd „ukarze” firmę wysoką kwotą. Trybunał konsekwentnie mówi co innego. Odszkodowanie z art. 82 pełni wyłącznie funkcję kompensacyjną: ma w pełni naprawić Waszą szkodę i nic ponad to. Karaniem zajmują się organy nadzorcze, które nakładają kary administracyjne.

Z tej zasady wynikają konkretne wskazówki dla sądów:

• Stopień winy administratora nie wpływa na wysokość kwoty. Wina jest domniemana, ale to, czy firma działała umyślnie, czy przez nieuwagę, nie podnosi ani nie obniża odszkodowania (wyrok z 21 grudnia 2023 r., C-667/21).
• Sąd nie stosuje kryteriów, według których wymierza się kary administracyjne z art. 83 RODO. Administrator nie zwolni się też z odpowiedzialności samym stwierdzeniem, że zawinił jego pracownik (wyrok z 11 kwietnia 2024 r., C-741/21).
• Szkoda wynikająca z naruszenia ochrony danych nie jest z natury mniej istotna niż uszczerbek na zdrowiu. Gdy szkoda nie jest poważna, sąd może przyznać kwotę minimalną, o ile w pełni ją wyrównuje (wyrok z 20 czerwca 2024 r., sprawy połączone C-182/22 i C-189/22).
• Przeprosiny mogą być odpowiednim naprawieniem szkody niemajątkowej, jeśli w pełni ją kompensują. Dobra wola administratora nie może natomiast obniżać należnej kwoty poniżej rzeczywistej szkody (wyrok z 4 października 2024 r., C-507/23).
• Sądowy nakaz zaniechania dalszych naruszeń nie zastępuje pieniędzy i nie zmniejsza odszkodowania (wyrok z 4 września 2025 r., C-655/23).

Najważniejsze wyroki w jednej tabeli

Data wyroku	Sprawa	Co z niego wynika dla poszkodowanych
4 maja 2023 r.	C-300/21	Trzy warunki: naruszenie, szkoda, związek przyczynowy. Brak progu dotkliwości.
14 grudnia 2023 r.	C-340/21	Obawa przed nadużyciem danych może być szkodą. Administrator dowodzi, że zabezpieczenia były odpowiednie.
14 grudnia 2023 r.	C-456/22	Zakaz „progu de minimis”. Trzeba jednak wykazać skutki inne niż samo naruszenie.
21 grudnia 2023 r.	C-667/21	Wina administratora jest domniemana. Jej stopień nie wpływa na kwotę.
25 stycznia 2024 r.	C-687/21	Uzasadniona obawa tak, ryzyko czysto hipotetyczne nie.
11 kwietnia 2024 r.	C-741/21	Błąd pracownika nie zwalnia administratora. Odszkodowanie to nie kara.
20 czerwca 2024 r.	C-590/22	Nie trzeba dowodzić, że ktoś faktycznie poznał dane, jeśli obawa i jej skutki są udowodnione.
20 czerwca 2024 r.	C-182/22 i C-189/22	Funkcja wyłącznie kompensacyjna. Kwota minimalna jest dopuszczalna, gdy szkoda nie jest poważna.
4 października 2024 r.	C-200/23	Nawet krótka utrata kontroli nad danymi może być szkodą.
4 października 2024 r.	C-507/23	Przeprosiny mogą naprawić szkodę, jeśli w pełni ją kompensują.
4 września 2025 r.	C-655/23	Obawa i niezadowolenie to szkoda niemajątkowa. Nakaz zaniechania nie zmniejsza kwoty.

Źródło: opracowanie własne na podstawie sentencji wyroków Trybunału Sprawiedliwości UE opublikowanych przez Urząd Publikacji Unii Europejskiej. Odnośniki do poszczególnych wyroków znajdują się w tekście powyżej.

Ile zasądzają sądy w Polsce?

W Polsce nie ma urzędowej statystyki kwot zasądzanych na podstawie art. 82 RODO. Przejrzeliśmy więc orzeczenia sądów powszechnych udostępnione w otwartej bazie SAOS (System Analizy Orzeczeń Sądowych), która gromadzi wyroki publikowane przez sądy. Poniżej dziewięć spraw z lat 2020-2025, w których sądy oceniały ujawnienie danych.

Rok wyroku	Co się stało	Żądanie	Zasądzono	Orzeczenie
2020	Ubezpieczyciel przekazał dane właścicielki pojazdu innemu uczestnikowi zdarzenia drogowego	10 000 zł	1500 zł	SO w Warszawie, XXV C 2596/19
2021	Sprzedawca energii omyłkowo wysłał jednemu klientowi plik z danymi około 1500 innych osób	3000 zł	1500 zł	SO Warszawa-Praga, III C 1169/19
2022	Ten sam rodzaj zdarzenia: plik z danymi klientów sprzedawcy energii wysłany innemu klientowi	20 000 zł	1000 zł	SO Warszawa-Praga, II C 1228/19
2023	Wyciek danych użytkowników portalu pożyczkowego	30 149 zł	1500 zł	SO w Warszawie, III C 280/22
2023	Wyciek danych użytkowników portalu pożyczkowego (inny powód)	30 198 zł	3197 zł	SO w Warszawie, II C 1711/20
2023	Orzeczenie sądu opublikowane w internetowej bazie bez usunięcia danych strony	30 000 zł	10 000 zł (w pierwszej instancji 20 000 zł)	SA w Warszawie, I ACa 352/23
2025	Ubezpieczyciel wysłał decyzję z danymi klientki do innego podmiotu	20 000 zł	1500 zł	SO w Warszawie, I C 874/22
2025	Instytucja publiczna rozesłała dane osoby do ponad 28 tysięcy podmiotów	50 000 zł	40 000 zł	SO w Warszawie, III C 904/23
2025	Pracownik instytucji przesłał plik z danymi na własną prywatną skrzynkę	4000 zł	0 zł (powództwo oddalone)	SO w Warszawie, I C 321/24

Źródło: opracowanie własne na podstawie treści orzeczeń dostępnych w bazie SAOS. Kwoty żądane obejmują roszczenia majątkowe i niemajątkowe łącznie. Baza nie podaje, czy wyroki pierwszej instancji są prawomocne.

Co widać w tych sprawach?

Typowa kwota to 1000-1500 zł.
Tyle sądy przyznawały, gdy dane trafiły do jednej osoby lub firmy, a poszkodowany odczuwał lęk, lecz nie poniósł dalszych konsekwencji. W sprawie z 2023 r. sąd napisał wprost, że 1500 zł to kwota zbliżona do zasądzanych w podobnych stanach faktycznych.

O wysokości decyduje skala ujawnienia i dowody.
Najwyższą znalezioną kwotę, 40 000 zł, sąd uzasadnił przede wszystkim tym, że dane trafiły do ponad 28 tysięcy instytucji i podmiotów, a pogorszenie stanu psychicznego powoda potwierdził świadek. Sam sąd nazwał tę kwotę bardzo wysoką.

Obawa musi być realna.
W sprawie z 2025 r. zakończonej oddaleniem powództwa sąd uznał, że doszło do naruszenia RODO, ale dane nie trafiły do żadnej osoby trzeciej. Plik przeszedł między dwiema skrzynkami tego samego pracownika. Zagrożenie było więc tylko potencjalne. To ta sama granica, którą Trybunał wyznaczył w sprawie C-687/21.

Zawyżone żądanie kosztuje.
W obu sprawach o wyciek z portalu pożyczkowego powodowie żądali około 30 000 zł. Jeden uzyskał 1500 zł i musiał zwrócić pozwanej spółce 3179,75 zł kosztów procesu. Drugi uzyskał 3197 zł i zwrócił 2545,16 zł. Wygrana w niewielkiej części może więc oznaczać, że po rozliczeniu kosztów niewiele zostaje albo trzeba dopłacić.

Dla porównania opisaliśmy osobno, jakie kwoty zasądzają sądy w sprawach o hejt i dobra osobiste oraz ile można uzyskać za publikację wizerunku bez zgody.

Jakie kwoty padają w innych krajach Unii?

Nie istnieje unijna statystyka odszkodowań z art. 82. Kilka kwot da się jednak potwierdzić w oficjalnych dokumentach sądów.

Niemcy: około 100 euro za samą utratę kontroli.
W kwietniu 2021 r. w internecie opublikowano dane około 533 milionów użytkowników Facebooka ze 106 krajów. Sąd pierwszej instancji przyznał jednemu z nich 250 euro, sąd drugiej instancji oddalił powództwo. Federalny Trybunał Sprawiedliwości w wyroku z 18 listopada 2024 r. uznał, że nawet krótkotrwała utrata kontroli nad danymi może być szkodą, i wskazał, że nie ma przeszkód, by wyrównanie za samą utratę kontroli ustalić w granicach 100 euro. Informacje te podaje komunikat prasowy trybunału nr 218/2024.

Sąd Unii Europejskiej: 400 euro od Komisji Europejskiej.
W wyroku z 8 stycznia 2025 r. w sprawie T-354/22 Sąd zasądził 400 euro za przekazanie danych użytkownika, w tym adresu IP, do państwa trzeciego. Mężczyzna żądał łącznie 1200 euro. Ta sprawa dotyczyła odrębnego rozporządzenia 2018/1725, które obowiązuje instytucje unijne, ale pokazuje podobny rząd wielkości.

Bułgaria i Łotwa: od 100 do 255 euro.
Z opisu stanu faktycznego w sprawie C-200/23 wynika, że bułgarski sąd administracyjny zasądził w 2022 r. 500 lewów, czyli około 255 euro, za dane pozostawione w publicznym rejestrze handlowym. W sprawie C-507/23 łotewski sąd pierwszej instancji przyznał 100 euro oraz nakazał przeprosiny. Poszkodowany żądał 2000 euro.

Wniosek jest podobny jak w Polsce. Gdy skutkiem naruszenia jest niepokój bez dalszych następstw, sądy przyznają kwoty rzędu kilkuset euro albo kilkuset złotych do kilku tysięcy. Wyższe sumy wymagają mocniejszych dowodów i poważniejszych skutków.

Dlaczego tak mało osób idzie do sądu?

Skala naruszeń rośnie. Według sprawozdania Prezesa UODO za 2025 r. administratorzy zgłosili w tym roku 22 435 naruszeń ochrony danych, wobec 14 842 w 2024 r. To wzrost o 51 procent. W latach 2021-2023 było ich od 12 772 do 14 069 rocznie.

Jednocześnie w 2025 r. do Prezesa UODO wpłynęło 71 zawiadomień z sądów o toczących się lub prawomocnie zakończonych sprawach cywilnych o naruszenie przepisów o ochronie danych. Sądy mają obowiązek przesyłać takie zawiadomienia. Sam Urząd zastrzega w sprawozdaniach, że sądy nie zawsze go wykonują, więc rzeczywista liczba spraw może być wyższa. Nawet z tą poprawką dysproporcja jest ogromna.

Przyczyny są zrozumiałe: niskie kwoty, ryzyko kosztów, długi czas postępowania. Część spraw kończy się też wcześniej, bo firma płaci po wezwaniu albo zawiera ugodę. Tych przypadków żadna statystyka nie obejmuje.

Jak dochodzić odszkodowania za ujawnienie danych w Polsce?

Sprawy z art. 82 RODO prowadzi się przed sądem cywilnym. Prezes UODO nie przyznaje odszkodowań. W sprawozdaniu za 2025 r. Urząd odnotował, że odmawia wszczęcia postępowania, gdy skarżący żąda nakazania wypłaty odszkodowania lub zadośćuczynienia, bo wykracza to poza jego kompetencje.

Najważniejsze zasady z polskiej ustawy

Postępowanie sądowe reguluje rozdział 10 ustawy z 10 maja 2018 r. o ochronie danych osobowych.

• Właściwy jest sąd okręgowy (art. 93), niezależnie od wysokości żądanej kwoty.
• Stosuje się Kodeks cywilny w zakresie, którego RODO nie reguluje (art. 92).
• Sąd zawiesza postępowanie, jeśli sprawa dotycząca tego samego naruszenia została wszczęta przed Prezesem UODO (art. 95).
• Prawomocna decyzja Prezesa UODO wiąże sąd co do tego, że doszło do naruszenia (art. 97). Nie trzeba wtedy udowadniać naruszenia od nowa. Zostaje wykazanie szkody i jej związku z naruszeniem.
• Prezes UODO może wstąpić do sprawy za zgodą powoda albo przedstawić sądowi istotny pogląd (art. 98 i 99).

Z art. 95 i 97 wynika wybór, który warto przemyśleć. Skarga do UODO może dać Wam mocny dowód naruszenia, ale na czas jej rozpatrywania sąd wstrzyma sprawę o pieniądze. Opisaliśmy osobno, jak złożyć skargę do Prezesa UODO oraz ile trwa postępowanie przed Urzędem.

Przedawnienie.
Do roszczeń stosuje się Kodeks cywilny. Zgodnie z art. 442(1) § 1 Kodeksu cywilnego roszczenie o naprawienie szkody wyrządzonej czynem niedozwolonym przedawnia się po trzech latach od dnia, w którym poszkodowany dowiedział się o szkodzie i o osobie zobowiązanej do jej naprawienia, nie później jednak niż po dziesięciu latach od zdarzenia. Datę, od której liczyć termin w Waszej sprawie, najlepiej ustalić z prawnikiem.

Kolejność działań

1. Zabezpieczcie dowód naruszenia. Zachowajcie zawiadomienie o naruszeniu od administratora, korespondencję, zrzuty ekranu. Jeśli dane wiszą w internecie, zapiszcie adres strony i datę. Pomoże w tym nasz tekst o tym, jak zabezpieczyć dowody, żeby przydały się w sądzie.
2. Ograniczcie skutki. Zmieńcie hasła, zastrzeżcie PESEL, sprawdźcie, czy nikt nie składał wniosków kredytowych. Krok po kroku opisaliśmy to w tekście o tym, co zrobić po zawiadomieniu o wycieku danych.
3. Dokumentujcie szkodę od pierwszego dnia. O tym niżej. To najczęściej zaniedbywany krok i zarazem ten, który decyduje o wyniku.
4. Zapytajcie administratora, co się stało. Macie prawo wiedzieć, jakie dane ujawniono, komu i kiedy. Odpowiedź przyda się w sądzie.
5. Wyślijcie wezwanie do zapłaty. Wskażcie naruszenie, opiszcie szkodę, podajcie kwotę i termin. Część administratorów woli zapłacić niż prowadzić proces.
6. Rozważcie pozew. Jeśli wezwanie nie przyniesie skutku, pozostaje pozew do sądu okręgowego. Na tym etapie pomoc prawnika jest bardzo wskazana.

Jak udowodnić szkodę niemajątkową?

Z wyroków TSUE i polskich sądów wynika jedno: sąd nie przyjmie szkody „na słowo”. Nie musi być ciężka, ale musi być pokazana. Co realnie pomaga?

• Własne notatki z datami. Krótko zapisujcie, co się działo: bezsenność, sprawdzanie konta kilka razy dziennie, rezygnacja z zakupów w sieci.
• Ślady podjętych działań. Potwierdzenie zastrzeżenia PESEL, raporty z biura informacji kredytowej, zmiana numeru telefonu, wymiana dokumentu. Pokazują, że obawa była na tyle poważna, że coś z nią zrobiliście.
• Skutki, które już wystąpiły. Podejrzane telefony, próby wyłudzeń, wiadomości od obcych osób, nasilony spam. Zrzuty ekranu i billingi.
• Świadkowie. Osoba z rodziny lub współpracownik, który widział zmianę w Waszym zachowaniu. W sprawie zakończonej kwotą 40 000 zł sąd oparł się między innymi na zeznaniach świadka.
• Dokumentacja od lekarza lub psychologa, jeśli korzystaliście z pomocy.
• Rodzaj i zasięg ujawnionych danych. Inaczej waży sam adres e-mail, inaczej PESEL z adresem i numerem rachunku, a jeszcze inaczej dane o zdrowiu. Inaczej jeden odbiorca, inaczej publikacja w internecie.

Wzór wezwania do zapłaty

Poniższy wzór możecie dopasować do swojej sytuacji. Wyślijcie go listem poleconym za potwierdzeniem odbioru albo na adres e-mail inspektora ochrony danych, jeśli administrator go wyznaczył.

Wezwanie do zapłaty
[miejscowość, data]
[Wasze imię i nazwisko, adres do korespondencji]
[nazwa i adres administratora]

Działając na podstawie art. 82 ust. 1 rozporządzenia (UE) 2016/679 (RODO), wzywam do zapłaty kwoty [kwota] zł tytułem odszkodowania za szkodę niemajątkową [oraz kwoty … zł tytułem szkody majątkowej] w terminie 14 dni od dnia doręczenia tego pisma, na rachunek bankowy nr [numer].

W dniu [data] doszło do naruszenia ochrony moich danych osobowych: [krótki opis, na przykład: przesłanie dokumentu z moim imieniem, nazwiskiem, numerem PESEL i adresem do osoby nieuprawnionej]. O naruszeniu dowiedziałam/dowiedziałem się [kiedy i w jaki sposób].

W następstwie naruszenia poniosłam/poniosłem szkodę polegającą na: [konkretne skutki z datami, na przykład: obawa przed wykorzystaniem danych do zaciągnięcia zobowiązań, konieczność zastrzeżenia numeru PESEL i stałego sprawdzania raportów kredytowych, próby wyłudzeń telefonicznych w dniach …].

Jednocześnie proszę o informację, jakie dokładnie dane zostały ujawnione, komu oraz jakie środki zastosowano, aby ograniczyć skutki naruszenia. Brak zapłaty w wyznaczonym terminie spowoduje skierowanie sprawy na drogę sądową.

[podpis]
Załączniki: [kopia zawiadomienia o naruszeniu, zrzuty ekranu, potwierdzenia]

Jaką kwotę wpisać?

Nie ma taryfikatora. Kwota powinna odpowiadać temu, co potraficie udowodnić. Tabela powyżej pokazuje, że przy jednorazowym ujawnieniu danych jednemu odbiorcy i samym niepokoju sądy przyznawały 1000-1500 zł, niezależnie od tego, czy żądanie wynosiło 3000, czy 30 000 zł.

Żądanie wielokrotnie wyższe od realnej szkody nie zwiększa szans, a podnosi ryzyko kosztów. Jeśli Wasza sytuacja finansowa jest trudna, sprawdźcie, jak złożyć wniosek o zwolnienie od kosztów sądowych i pełnomocnika z urzędu.

Czy art. 82 RODO pomoże, gdy dane ujawnił hejter?

Nie zawsze. RODO nie obejmuje przetwarzania danych przez osobę fizyczną w ramach czynności czysto osobistych lub domowych. Prezes UODO podaje w sprawozdaniu za 2025 r., że odmawia wszczęcia postępowań także wtedy, gdy dane przetwarzano w celach osobistych albo w działalności prasowej.

Publikacja czyjegoś adresu na otwartym forum zwykle wykracza poza sferę domową, ale granica bywa sporna. Dlatego przy ujawnieniu danych przez osobę prywatną częściej korzysta się z przepisów o ochronie dóbr osobistych (art. 23 i 24 Kodeksu cywilnego) oraz z art. 448 Kodeksu cywilnego, który pozwala żądać zadośćuczynienia za naruszenie dobra osobistego. Praktyczne kroki opisaliśmy w tekście o tym, co zrobić, gdy ktoś opublikował Wasz adres lub numer telefonu.

Art. 82 jest natomiast właściwą podstawą, gdy dane wypłynęły z firmy, urzędu, szkoły, przychodni albo portalu, czyli od podmiotu, który miał je chronić. Można go też rozważyć wobec serwisu, który mimo zgłoszenia nadal przetwarza ujawnione dane. To już ocena dla prawnika.

Czego te dane nie pokazują?

Zestawienie polskich wyroków to dziewięć orzeczeń odnalezionych w otwartej bazie, a nie próba reprezentatywna. Pochodzą z sądów warszawskich, bo to ich orzeczenia były dostępne w bazie dla tego zagadnienia. Nie wszystkie wyroki są publikowane. Nie wiemy, które z wyroków pierwszej instancji są prawomocne. Nie obejmujemy ugód ani wypłat dokonanych po wezwaniu, bo nikt ich nie zlicza.

Liczba 71 zawiadomień z sądów za 2025 r. pokazuje tylko sprawy, o których sądy poinformowały UODO. Obejmuje zarówno nowe pozwy, jak i prawomocne zakończenia, a Urząd sam wskazuje, że obowiązek ten bywa wykonywany niepełnie. Liczba 22 435 dotyczy zgłoszeń dokonanych przez administratorów, a nie liczby poszkodowanych osób. Jedno zgłoszenie może dotyczyć jednej osoby albo setek tysięcy.

Kwoty z innych państw to pojedyncze przykłady z oficjalnych dokumentów sądowych, a nie średnie. Kwota 100 euro z Niemiec jest wskazówką dla sądów niższej instancji w konkretnej sprawie, a nie stawką obowiązującą w całej Unii. Orzecznictwo TSUE nadal się rozwija, więc część zasad może zostać doprecyzowana w kolejnych wyrokach.

Podsumowanie: realne prawo, skromne kwoty, decydują dowody

Trybunał Sprawiedliwości UE usunął najważniejszą przeszkodę: nie trzeba wykazywać, że szkoda była „poważna”, ani czekać, aż ktoś faktycznie użyje Waszych danych. Uzasadniona obawa i utrata kontroli nad danymi mogą wystarczyć. Trzeba je jednak udowodnić.

Odszkodowanie ma wyrównać Waszą krzywdę, a nie ukarać firmę. Dlatego typowe kwoty to w Polsce 1000-1500 zł, a w innych krajach Unii kilkaset euro. Wyższe sumy zapadają tam, gdzie dane rozeszły się szeroko, a skutki są dobrze udokumentowane.

Najlepsze, co możecie zrobić zaraz po ujawnieniu danych, to zabezpieczyć dowody, ograniczyć skutki i zacząć notować, co się z Wami dzieje. Te same notatki przydadzą się w wezwaniu do zapłaty, w skardze do UODO i w sądzie.

Gdzie szukać pomocy?

Fundacja Usuwanie Hejtu.
Pomagamy zabezpieczyć materiał, przygotować zgłoszenia do serwisów i administratorów oraz prowadzimy je do końca. Kierujemy też do prawnika lub psychologa. Nie zastępujemy prawnika i nie ustalamy tożsamości autorów poza drogą prawną. Telefon: 222 900 142, e-mail: biuro@usuwaniehejtu.pl.

Urząd Ochrony Danych Osobowych.
Przyjmuje skargi na niezgodne z prawem przetwarzanie danych. Nie przyzna odszkodowania, ale jego prawomocna decyzja o naruszeniu wiąże sąd cywilny.

Punkty nieodpłatnej pomocy prawnej.
Działają w każdym powiecie. Prawnik pomoże ocenić, czy pozew ma sens i jaką kwotę wskazać.

Policja i prokuratura.
Jeśli ktoś już posłużył się Waszymi danymi, na przykład zaciągnął zobowiązanie, zgłoście to. W razie zagrożenia życia lub zdrowia dzwońcie pod 112.

Telefony wsparcia.
116 123 dla dorosłych w kryzysie emocjonalnym, 116 111 dla dzieci i młodzieży, 800 100 100 dla rodziców i nauczycieli. Sprawy dotyczące danych dziecka zawsze prowadzi dorosły opiekun.

Działania Fundacji można wesprzeć darowizną na stronie usuwaniehejtu.pl.

Najczęściej zadawane pytania

1. Czy za samo naruszenie RODO należy się odszkodowanie?
Nie. Trybunał Sprawiedliwości UE orzekł w sprawie C-300/21, że samo złamanie przepisów nie wystarcza. Potrzebne są trzy elementy: naruszenie, szkoda oraz związek przyczynowy między nimi.

2. Czy stres i lęk po wycieku danych to szkoda w rozumieniu art. 82 RODO?
Tak, mogą nią być. Trybunał uznał w sprawie C-340/21, że obawa przed wykorzystaniem danych przez osoby trzecie może sama stanowić szkodę niemajątkową. Sąd sprawdza jednak, czy obawa jest uzasadniona i czy została udowodniona.

3. Czy muszę udowodnić, że ktoś faktycznie wykorzystał moje dane?
Nie. Z wyroków w sprawach C-590/22 i C-200/23 wynika, że wystarczy udowodniona obawa albo utrata kontroli nad danymi. Ryzyko czysto hipotetyczne, gdy nikt obcy nie poznał danych, nie jest natomiast podstawą odszkodowania.

4. Do jakiego sądu składa się pozew o odszkodowanie z RODO?
Do sądu okręgowego. Wynika to z art. 93 ustawy o ochronie danych osobowych i nie zależy od wysokości żądanej kwoty.

5. Czy Prezes UODO może przyznać mi odszkodowanie?
Nie. Urząd może stwierdzić naruszenie i nałożyć karę na administratora, ale pieniądze dla poszkodowanego zasądza wyłącznie sąd cywilny. Prawomocna decyzja Urzędu o naruszeniu wiąże potem sąd.

6. Czy warto najpierw złożyć skargę do UODO, a dopiero potem pozew?
To zależy od sprawy. Decyzja Urzędu ułatwia wykazanie naruszenia, ale sąd zawiesza postępowanie, gdy sprawa o to samo naruszenie toczy się przed Prezesem UODO. Wybór kolejności najlepiej omówić z prawnikiem.

7. Ile wynosi odszkodowanie za wyciek danych w Polsce?
Nie ma stawek ustawowych. W wyrokach sądów warszawskich z lat 2020-2025, które przeanalizowaliśmy, przy jednorazowym ujawnieniu danych zasądzano zwykle 1000-1500 zł, a najwyższa znaleziona kwota wyniosła 40 000 zł.

8. Czy sąd zasądzi więcej, jeśli firma zawiniła rażąco?
Co do zasady nie. Trybunał orzekł, że odszkodowanie z art. 82 ma wyłącznie wyrównać szkodę, a stopień winy administratora nie wpływa na jego wysokość. Za rażące zaniedbania firma może natomiast dostać karę od organu nadzorczego.

9. Czy firma uniknie odpowiedzialności, jeśli dane wykradł haker?
Nie automatycznie. Według wyroku w sprawie C-340/21 administrator musi udowodnić, że w żaden sposób nie ponosi winy za zdarzenie i że jego zabezpieczenia były odpowiednie. Sam fakt ataku z zewnątrz go nie zwalnia.

10. Czy firma może się bronić tym, że zawinił pracownik?
Nie. W sprawie C-741/21 Trybunał stwierdził, że powołanie się na błąd osoby działającej z upoważnienia administratora nie wystarcza do zwolnienia z odpowiedzialności.

11. Ile mam czasu na dochodzenie odszkodowania?
Stosuje się Kodeks cywilny. Roszczenie o naprawienie szkody z czynu niedozwolonego przedawnia się zasadniczo po trzech latach od dnia, w którym dowiedzieliście się o szkodzie i o osobie zobowiązanej, nie później niż po dziesięciu latach od zdarzenia.

12. Czy przeprosiny mogą zastąpić pieniądze?
Mogą, ale tylko wtedy, gdy w pełni naprawiają szkodę niemajątkową. Tak orzekł Trybunał w sprawie C-507/23. Jeśli przeprosiny nie wyrównują krzywdy, należy się także kwota pieniężna.

13. Czy mogę pozwać osobę prywatną, która opublikowała mój adres?
Art. 82 RODO dotyczy administratorów i podmiotów przetwarzających, a rozporządzenie nie obejmuje czynności czysto osobistych. Wobec osoby prywatnej częściej korzysta się z przepisów Kodeksu cywilnego o ochronie dóbr osobistych.

14. Czy za wysoka kwota w pozwie może mi zaszkodzić?
Tak. W dwóch opisanych sprawach powodowie żądali około 30 000 zł, uzyskali 1500 zł i 3197 zł, a sąd obciążył ich częścią kosztów procesu drugiej strony. Kwotę warto dopasować do tego, co da się udowodnić.

Źródła

• Urząd Publikacji Unii Europejskiej, 2016: Rozporządzenie (UE) 2016/679 (RODO), art. 82 oraz motywy 85 i 146
• Trybunał Sprawiedliwości UE, 2023: Wyrok Trybunału z 4 maja 2023 r., C-300/21, Österreichische Post
• Trybunał Sprawiedliwości UE, 2023: Komunikat prasowy nr 72/23: wyrok w sprawie C-300/21
• Trybunał Sprawiedliwości UE, 2023: Wyrok Trybunału z 14 grudnia 2023 r., C-340/21, Natsionalna agentsia za prihodite
• Trybunał Sprawiedliwości UE, 2023: Wyrok Trybunału z 14 grudnia 2023 r., C-456/22, Gemeinde Ummendorf
• Trybunał Sprawiedliwości UE, 2023: Wyrok Trybunału z 21 grudnia 2023 r., C-667/21
• Trybunał Sprawiedliwości UE, 2024: Wyrok Trybunału z 25 stycznia 2024 r., C-687/21
• Trybunał Sprawiedliwości UE, 2024: Wyrok Trybunału z 11 kwietnia 2024 r., C-741/21
• Trybunał Sprawiedliwości UE, 2024: Wyrok Trybunału z 20 czerwca 2024 r., C-590/22
• Trybunał Sprawiedliwości UE, 2024: Wyrok Trybunału z 20 czerwca 2024 r., sprawy połączone C-182/22 i C-189/22
• Trybunał Sprawiedliwości UE, 2024: Wyrok Trybunału z 4 października 2024 r., C-200/23
• Trybunał Sprawiedliwości UE, 2024: Wyrok Trybunału z 4 października 2024 r., C-507/23
• Trybunał Sprawiedliwości UE, 2025: Wyrok Trybunału z 4 września 2025 r., C-655/23
• Sąd Unii Europejskiej, 2025: Wyrok Sądu z 8 stycznia 2025 r., T-354/22, Bindl przeciwko Komisji
• Bundesgerichtshof, 2024: Pressemitteilung Nr. 218/2024: Urteil vom 18. November 2024, VI ZR 10/24
• Urząd Ochrony Danych Osobowych, 2026: Sprawozdanie z działalności Prezesa Urzędu Ochrony Danych Osobowych w roku 2025
• Sejm RP, 2019: Ustawa z 10 maja 2018 r. o ochronie danych osobowych, art. 92-100 (Dz.U. 2019 poz. 1781)
• Sejm RP, 2026: Kodeks cywilny, art. 23, 24, 442(1) i 448 (tekst ujednolicony)
• System Analizy Orzeczeń Sądowych (SAOS), 2020: Wyrok SO w Warszawie z 6 sierpnia 2020 r., XXV C 2596/19
• System Analizy Orzeczeń Sądowych (SAOS), 2021: Wyrok SO Warszawa-Praga w Warszawie z 17 grudnia 2021 r., III C 1169/19
• System Analizy Orzeczeń Sądowych (SAOS), 2022: Wyrok SO Warszawa-Praga w Warszawie z 17 marca 2022 r., II C 1228/19
• System Analizy Orzeczeń Sądowych (SAOS), 2023: Wyrok SO w Warszawie z 7 lutego 2023 r., III C 280/22
• System Analizy Orzeczeń Sądowych (SAOS), 2023: Wyrok SO w Warszawie z 25 lipca 2023 r., II C 1711/20
• System Analizy Orzeczeń Sądowych (SAOS), 2023: Wyrok SA w Warszawie z 22 czerwca 2023 r., I ACa 352/23
• System Analizy Orzeczeń Sądowych (SAOS), 2025: Wyrok SO w Warszawie z 28 lutego 2025 r., I C 874/22
• System Analizy Orzeczeń Sądowych (SAOS), 2025: Wyrok SO w Warszawie z 23 października 2025 r., III C 904/23
• System Analizy Orzeczeń Sądowych (SAOS), 2025: Wyrok SO w Warszawie z 7 października 2025 r., I C 321/24

A jak było u Was? Napiszcie w komentarzu

Czy po ujawnieniu Waszych danych wysłaliście do firmy lub urzędu wezwanie do zapłaty i jaka była odpowiedź? Co okazało się dla Was najtrudniejsze do udowodnienia: samo naruszenie czy to, jak wpłynęło na Wasze codzienne życie? Prosimy, by w komentarzach nie podawać nazwisk ani danych innych osób.