Nawet nałożenie na przedsiębiorcę administracyjnej kary pieniężnej nie zwalnia go z ewentualnej odpowiedzialności cywilnej wobec osób, których dane dotyczą. Niedopełnienie obowiązków wynikających z RODO może skutkować nie tylko pozwem cywilnym, ale także odpowiedzialnością karną.

Odpowiedzialność cywilna

Każda osoba, której prawa przysługujące na mocy przepisów o ochronie danych osobowych zostały naruszone, może żądać zaniechania tego działania, a także może żądać, żeby ten, kto dopuścił się naruszenia, dopełnił czynności potrzebnych do usunięcia jego skutków. Ponadto każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów RODO, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę. Należy przy tym zwrócić uwagę na pewne rozróżnienie odpowiedzialności administratora oraz podmiotu przetwarzającego. Każdy administrator uczestniczący w przetwarzaniu odpowiada za szkody spowodowane przetwarzaniem naruszającym przepisy RODO, natomiast podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem instrukcjami administratora lub wbrew tym instrukcjom.

Zarówno administrator, jak i podmiot przetwarzający zostają jednakże zwolnieni z odpowiedzialności, jeżeli udowodnią, że w żaden sposób nie ponoszą winy za zdarzenie, które doprowadziło do powstania szkody. Jeżeli w tym samym przetwarzaniu uczestniczy więcej niż jeden podmiot i zgodnie z RODO odpowiadają oni za szkodę spowodowaną przetwarzaniem, ponoszą oni odpowiedzialność solidarną za całą szkodę, tak by zapewnić osobie, której dane dotyczą, rzeczywiste uzyskanie odszkodowania.

Podmiot, który zapłacił odszkodowanie za całą wyrządzoną szkodę, ma prawo żądania od pozostałych podmiotów, które uczestniczyły w tym samym przetwarzaniu, zwrotu części odszkodowania odpowiadającej części szkody, za którą ponoszą odpowiedzialność.

Odpowiedzialność karna

Do opracowywanego projektu Ustawy o ochronie danych osobowych wprowadzono również przepisy karne. Odpowiedzialność karna ma być co do zasady wyjątkiem przewidzianym dla najcięższych naruszeń przepisów i stanowić jedynie uzupełnienie dla odpowiedzialności administracyjnej oraz cywilnej. W projekcie ustawy przewidziano odpowiedzialność karną za udaremnianie lub utrudnianie kontrolującym prowadzenia kontroli przestrzegani przepisów o ochronie danych osobowych, za co grozi kara grzywny. Orzekanie w tych sprawach ma następować na podstawie przepisów kodeksu postępowania w sprawach o wykroczenia.

Ponadto projekt przewiduje odpowiedzialność w przypadku przetwarzania określonej kategorii danych (tzw. danych wrażliwych) bez podstawy prawnej, za co grozi kara grzywny, kara ograniczenia wolności albo pozbawienia wolności. Zgodnie z projektem orzekanie w tych sprawach będzie następowało na podstawie przepisów Kodeksu postępowania karnego. Naruszenie przepisów o ochronie danych osobowych może również stanowić czyn zabroniony w rozumieniu przepisów Kodeksu karnego – np. przestępstwa przeciwko ochronie informacji.

Mając na uwadze ww. szeroki wachlarz sankcji, które grożą przedsiębiorcom za nieprzestrzeganie przepisów dotyczących ochrony danych osobowych, warto już teraz upewnić się, czy dane przedsiębiorstwo spełnia wszystkie wymogi stawiane przez RODO oraz Ustawę o ochronie danych osobowych, aby uniknąć wysokich kar oraz odszkodowań spowodowanych kontrolami.