Za udostępnianie danych osobowych bez zgody grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat (art. 107 ustawy o ochronie danych osobowych z 2018 r.), a do tego kara administracyjna UODO sięgająca 20 mln euro lub 4% rocznego obrotu oraz odpowiedzialność cywilna wobec poszkodowanego. Poniżej znajdziesz konkretne przepisy, wysokości kar, sposób zgłoszenia naruszenia oraz drogę do odszkodowania.
Uwaga: ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. W konkretnej sprawie skonsultuj się z radcą prawnym lub adwokatem.
Najważniejsze informacje
- Za nieuprawnione przetwarzanie danych osobowych grozi grzywna, ograniczenie wolności lub więzienie do 2 lat (art. 107 ustawy o ODO).
- Przy danych szczególnej kategorii, np. o zdrowiu, kara pozbawienia wolności rośnie do 3 lat.
- UODO może nałożyć na firmę karę do 10 mln euro lub 2% obrotu, a w cięższych przypadkach do 20 mln euro lub 4% rocznego obrotu.
- Naruszenie zgłaszasz na policję lub do prokuratury (karne), a skargę do Prezesa UODO (administracyjne).
- Administrator danych musi zgłosić incydent do UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO).
- Poszkodowany może żądać odszkodowania i zadośćuczynienia na podstawie art. 82 RODO oraz art. 24 i 448 Kodeksu cywilnego, bez górnego limitu kwoty.
- Udostępnienie danych bez zgody bywa legalne, gdy istnieje inna z sześciu podstaw z art. 6 RODO, np. obowiązek prawny lub zadanie publiczne.
Gdzie zgłosić udostępnienie danych osobowych bez zgody?
Naruszenie ochrony danych osobowych zgłaszasz na policję lub do prokuratury (zawiadomienie o możliwości popełnienia przestępstwa), a skargę składasz do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Do zgłoszenia dołącz dowody potwierdzające, że ktoś nielegalnie przetworzył lub udostępnia Twoje dane. UODO nadzoruje przestrzeganie przepisów i może nakładać kary na podmioty łamiące prawo.
Drogę zgłoszenia dobierasz do celu. Jeśli chcesz ukarania sprawcy, idziesz do organów ścigania. Jeśli chcesz interwencji nadzorczej i kary administracyjnej, składasz skargę do UODO.
| Ścieżka zgłoszenia | Do kogo | Czego dotyczy | Efekt |
|---|---|---|---|
| Zawiadomienie o przestępstwie | Policja, prokuratura | Nieuprawnione przetwarzanie danych | Postępowanie karne, sankcja z art. 107 |
| Skarga | Prezes UODO | Naruszenie RODO przez administratora | Postępowanie administracyjne, kara pieniężna |
| Pozew cywilny | Sąd cywilny | Szkoda i naruszenie dóbr osobistych | Odszkodowanie, zadośćuczynienie |
| Zgłoszenie naruszenia przez administratora | Prezes UODO | Incydent w organizacji | Obowiązek zgłoszenia w 72 godziny |
Administrator danych ma odrębny obowiązek: zgłasza naruszenie do UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). Ten termin dotyczy firm i instytucji, nie osoby poszkodowanej.
Osoby pokrzywdzone powinny zachować wszelką korespondencję, zrzuty ekranu oraz dowody potwierdzające nielegalne wykorzystanie danych, aby zgłoszenie do UODO lub prokuratury było skuteczne. Warto zebrać:
- pisma, e-maile i wiadomości potwierdzające udostępnienie danych,
- zrzuty ekranu ze stron, portali lub czatów,
- nazwiska świadków lub numery spraw,
- wszelkie dokumenty wykazujące szkodę (np. wezwania do zapłaty od nieznanych firm).
Szybkie działanie i staranne udokumentowanie zwiększają szanse na skuteczną reakcję organów. Instytucje publiczne, takie jak sądy, policja czy prokuratura, mają prawo żądać danych w ramach swoich zadań, co jest odrębną, legalną podstawą przetwarzania.
Konsekwencje karne: co grozi za nielegalne udostępnianie danych
Za nieuprawnione przetwarzanie danych osobowych grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat, zgodnie z art. 107 ust. 1 ustawy o ochronie danych osobowych z 10 maja 2018 r. Gdy czyn dotyczy danych szczególnej kategorii, zagrożenie rośnie do 3 lat. Podstawą prawną jest ustawa o ODO, a nie Kodeks karny.
Dane zwykłe a dane szczególnej kategorii
Wysokość kary zależy od rodzaju danych. Rozróżnienie to jest istotne, bo dane wrażliwe podlegają silniejszej ochronie.
| Rodzaj danych | Przykłady | Zagrożenie karą (art. 107) |
|---|---|---|
| Dane zwykłe | Imię, nazwisko, adres, PESEL | Grzywna, ograniczenie wolności lub do 2 lat pozbawienia wolności |
| Dane szczególnej kategorii | Zdrowie, poglądy polityczne, orientacja, dane biometryczne | Do 3 lat pozbawienia wolności (art. 107 ust. 2) |
Przestępstwo z art. 107 popełnia się umyślnie. Odpowiedzialność karną ponosi osoba fizyczna, która świadomie udostępnia lub przetwarza cudze dane bez podstawy prawnej.
Kary administracyjne UODO
Odpowiedzialność administracyjna obejmuje osoby fizyczne prowadzące działalność i przedsiębiorców. UODO może nałożyć karę pieniężną w dwóch progach, w zależności od rodzaju naruszenia RODO:
- do 10 mln euro lub 2% rocznego obrotu firmy przy naruszeniach lżejszych (np. obowiązki administratora z art. 25-39 RODO),
- do 20 mln euro lub 4% rocznego obrotu przy naruszeniach cięższych (np. przetwarzanie bez podstawy prawnej z art. 5-9 RODO).
Do obliczenia bierze się wyższą z kwot. Art. 51 Konstytucji RP chroni prawo do prywatności, a art. 107 ustawy o ODO penalizuje nieuprawnione przetwarzanie danych. UODO prowadzi postępowania kontrolne i nakłada kary po stwierdzeniu nieprawidłowości.
Kiedy udostępnienie danych bez zgody jest legalne?
Udostępnienie danych bez zgody bywa legalne, gdy istnieje inna podstawa prawna z art. 6 ust. 1 RODO. Zgoda to tylko jedna z sześciu przesłanek. Jeśli administrator działa na innej podstawie, przetwarzanie jest zgodne z prawem mimo braku zgody osoby, której dane dotyczą.
Najczęstsze legalne podstawy przetwarzania bez zgody:
- obowiązek prawny ciążący na administratorze (np. przekazanie danych do ZUS lub urzędu skarbowego),
- wykonanie umowy, której stroną jest osoba, której dane dotyczą,
- ochrona żywotnych interesów osoby (np. przekazanie danych ratownikom w stanie zagrożenia życia),
- zadanie realizowane w interesie publicznym lub w ramach władzy publicznej (sądy, policja, prokuratura),
- prawnie uzasadniony interes administratora, o ile nie przeważają nad nim prawa osoby.
Dlatego żądanie danych przez sąd czy prokuraturę nie jest naruszeniem. To realizacja zadania publicznego przewidzianego w przepisach. Granica jest jasna: brak którejkolwiek z przesłanek oznacza, że udostępnienie danych staje się bezprawne.
Czy można udostępnić czyjeś dane osobowe osobom trzecim?
Nie, nie można swobodnie udostępnić cudzych danych osobowych osobom trzecim bez podstawy prawnej z art. 6 RODO. Przekazanie numeru telefonu, adresu, PESEL czy zdjęcia innej osobie bez jej zgody lub innej przesłanki jest naruszeniem. Osoba prywatna również ponosi odpowiedzialność, jeśli publikuje lub przekazuje dane bez uprawnienia.
Ujawnienie danych przez osobę prywatną
Osoba prywatna, która publikuje cudze dane w internecie, na grupie lub w wiadomości, może zostać pociągnięta do odpowiedzialności. Przykład typowy: ktoś wrzuca na portal społecznościowy zdjęcie sąsiada wraz z adresem i numerem telefonu, aby go napiętnować. Poszkodowany może złożyć zawiadomienie do prokuratury, skargę do UODO oraz pozew cywilny o zadośćuczynienie.
Tu jest jeden wyjątek. RODO nie stosuje się do przetwarzania czysto osobistego lub domowego (art. 2 ust. 2 lit. c), na przykład prywatnego notatnika z kontaktami. Publiczne udostępnienie w sieci wykracza jednak poza ten wyjątek.
Udostępnianie danych osobom trzecim przez firmy
Firma przekazuje dane innemu podmiotowi tylko na podstawie umowy powierzenia (art. 28 RODO) albo gdy istnieje odrębna przesłanka legalizująca. Przekazanie bazy klientów do celów marketingowych bez zgody lub innej podstawy naraża administratora na karę administracyjną UODO i roszczenia klientów.
Odszkodowanie za nielegalne udostępnienie danych osobowych
Osoba, której dane ujawniono bezprawnie, może żądać odszkodowania za szkodę majątkową oraz zadośćuczynienia za szkodę niemajątkową. Podstawą roszczenia jest art. 82 RODO (odszkodowanie za szkodę wyrządzoną naruszeniem) oraz art. 24 i 448 Kodeksu cywilnego (ochrona i zadośćuczynienie za naruszenie dóbr osobistych). Sąd ustala kwotę na podstawie zebranych dowodów.
Aby uzyskać rekompensatę, poszkodowany musi wykazać trzy elementy:
- naruszenie przepisów o ochronie danych lub dóbr osobistych,
- szkodę (finansową, np. koszt zablokowania kredytu, lub niemajątkową, np. stres i utrata reputacji),
- związek przyczynowy między naruszeniem a szkodą.
Wysokość zależy od skali naruszenia, liczby odbiorców danych oraz skutków dla poszkodowanego. Art. 82 RODO nie wprowadza górnego limitu, więc kwota odpowiada realnej szkodzie. Warto dołączyć rachunki, korespondencję i dowody stresu (np. dokumentację medyczną), które uwiarygodniają roszczenie.
FAQ: udostępnianie danych osobowych bez zgody
Gdzie zgłosić udostępnienie danych osobowych?
Zawiadomienie o przestępstwie składasz na policję lub do prokuratury, a skargę na naruszenie RODO do Prezesa UODO. Roszczenia pieniężne dochodzisz przed sądem cywilnym. Do każdego zgłoszenia dołącz dowody: korespondencję, zrzuty ekranu i dane sprawcy.
Ile wynosi kara za udostępnianie danych bez zgody?
Osobie fizycznej grozi grzywna, ograniczenie wolności lub pozbawienie wolności do 2 lat, a przy danych szczególnej kategorii do 3 lat. Firmie UODO może nałożyć karę administracyjną do 10 mln euro lub 2% obrotu, a w cięższych przypadkach do 20 mln euro lub 4% rocznego obrotu.
Czy można udostępnić czyjeś dane osobowe?
Tylko wtedy, gdy istnieje podstawa prawna z art. 6 RODO: zgoda, obowiązek prawny, wykonanie umowy, ochrona żywotnych interesów, zadanie publiczne lub prawnie uzasadniony interes. Bez którejkolwiek z tych przesłanek udostępnienie danych jest bezprawne.
Co grozi osobie prywatnej, która ujawniła cudze dane w internecie?
Osoba prywatna może zostać pociągnięta do odpowiedzialności karnej z art. 107 ustawy o ODO oraz cywilnej z art. 24 i 448 k.c. Jeśli osoba zostanie skazana, sąd może orzec grzywnę, karę ograniczenia wolności, a w poważnych sprawach pozbawienie wolności.
Jakie kary finansowe UODO grożą za naruszenie RODO?
UODO nakłada kary w dwóch progach: do 10 mln euro lub 2% rocznego obrotu oraz do 20 mln euro lub 4% rocznego obrotu, w zależności od wagi naruszenia. Do obliczenia stosuje się kwotę wyższą.
Źródła
- isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20180001000 — Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (art. 107)
- eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679 — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 6, 33, 82, 83
- isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU19970780483 — Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (art. 51)
- isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU19640160093 — Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny (art. 24, 448)