Wyciek danych studentów i kara UODO. Kiedy należy się odszkodowanie z art. 82 RODO

2 listopada 2026 r. Prezes Urzędu Ochrony Danych Osobowych poinformował o nałożeniu kary pieniężnej w wysokości 64 652 zł na Wyższą Szkołę Logistyki w Poznaniu (sygn. DKN.5131.15.2022). Pracownik dziekanatu przez pomyłkę dołączył do komunikatu na platformie internetowej plik ze szczegółowymi danymi osobowymi 964 studentów. Według ustaleń samej uczelni plik otworzyło 125 osób spośród 388, które miały do niego dostęp, a pobrano go 361 razy.

Kara nie trafia do osób, których dane wyciekły. Dla nich ważniejsze jest co innego: to, że po wycieku danych można dochodzić odszkodowania i zadośćuczynienia bezpośrednio od administratora danych. Wyjaśniamy, jak to działa.

Wyciek danych osobowych na uczelni — co ustalił Prezes UODO

Uczelnia sama zgłosiła naruszenie ochrony danych. Prezes UODO ustalił, że nie przeprowadziła ona poprawnej analizy ryzyka. W analizie nie uwzględniono w ogóle ryzyka omyłkowego ujawnienia danych — i nie poprawiono jej nawet po incydencie. W efekcie środki bezpieczeństwa dobierano, jak napisał organ, „w sposób dowolny".

Organ uznał, że uczelnia naruszyła art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO, czyli zasadę integralności i poufności oraz zasadę rozliczalności. Oprócz kary Prezes UODO nakazał dostosowanie przetwarzania danych do przepisów po przeprowadzeniu nowej analizy ryzyka.

To ważny sygnał: do wycieku nie musi dojść przez atak hakerów. Wystarczy zwykła pomyłka pracownika, jeżeli organizacja nie przewidziała takiego ryzyka i się przed nim nie zabezpieczyła.

Odszkodowanie za wyciek danych osobowych — podstawa w art. 82 RODO

Kara nałożona przez UODO i odszkodowanie dla poszkodowanych to dwie osobne drogi. Prawo do odszkodowania wynika z art. 82 ust. 1 RODO: każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.

Szkoda majątkowa to na przykład pieniądze stracone przez oszustwo z użyciem Twoich danych, koszty zastrzeżenia dokumentów czy wymiany dowodu osobistego. Szkoda niemajątkowa to krzywda: stres, poczucie zagrożenia, utrata kontroli nad własnymi danymi. Za nią w polskim prawie przysługuje zadośćuczynienie.

Nie musisz czekać na decyzję UODO ani składać wcześniej skargi do urzędu. Roszczenie kierujesz bezpośrednio do administratora — w opisanej sprawie byłaby to uczelnia.

Zadośćuczynienie za wyciek danych — co mówi Trybunał Sprawiedliwości UE

O tym, kiedy wyciek danych daje prawo do pieniędzy, wielokrotnie wypowiadał się Trybunał Sprawiedliwości UE. Dwa wyroki są tu kluczowe.

W wyroku z 4 maja 2023 r. w sprawie C-300/21 Trybunał orzekł, że:

• samo naruszenie RODO nie wystarcza do przyznania odszkodowania — trzeba wykazać szkodę i jej związek z naruszeniem,
• nie można jednak wymagać, żeby szkoda niemajątkowa osiągnęła „pewien stopień wagi" — nie ma progu „poważnej" krzywdy,
• wysokość odszkodowania ustalają sądy krajowe według przepisów danego państwa.

W wyroku z 14 grudnia 2023 r. w sprawie C-340/21 Trybunał dodał, że:

• sama obawa przed tym, że ktoś wykorzysta Twoje dane w sposób stanowiący nadużycie, może stanowić szkodę niemajątkową,
• w sprawie o odszkodowanie to administrator musi udowodnić, że jego zabezpieczenia były odpowiednie,
• administrator nie uwolni się od odpowiedzialności tylko dlatego, że dane ujawniły „osoby trzecie" — musi wykazać, że w żaden sposób nie ponosi winy.

Dla osoby, której dane wyciekły, oznacza to dwie rzeczy. Po pierwsze, nie musisz czekać, aż ktoś weźmie na Ciebie kredyt — realny lęk i niepewność też się liczą, ale trzeba je opisać i uprawdopodobnić. Po drugie, to nie Ty musisz dowodzić, jak wyglądały zabezpieczenia w firmie czy na uczelni.

Pozew o odszkodowanie za wyciek danych — który sąd i jakie przepisy

Zgodnie z art. 93 ustawy o ochronie danych osobowych w sprawach o roszczenia z art. 82 RODO właściwy jest sąd okręgowy. Art. 92 tej ustawy stanowi, że w sprawach nieuregulowanych w RODO stosuje się Kodeks cywilny. To z Kodeksu cywilnego wynikają m.in. zasady ustalania wysokości zadośćuczynienia i terminy przedawnienia roszczeń — dlatego nie warto odkładać sprawy na później.

Zwykle zaczyna się od przedsądowego wezwania do zapłaty skierowanego do administratora danych. Dopiero gdy nie przyniesie ono efektu, rozważa się pozew. Wysokość ewentualnego odszkodowania lub zadośćuczynienia zawsze zależy od okoliczności konkretnej sprawy: jakie dane wyciekły, kto miał do nich dostęp, jakie były skutki i jak je udokumentowano. Nie da się jej z góry przewidzieć.

Jak sprawdzić, czy Twoje dane wyciekły

Jeżeli administrator stwierdzi, że wyciek niesie wysokie ryzyko dla Twoich praw, powinien Cię o nim zawiadomić. Warto też sprawdzić to samodzielnie:

• Bezpieczne Dane — serwis Ministerstwa Cyfryzacji i NASK, w którym po zalogowaniu sprawdzisz, czy Twoje dane znalazły się w wyciekach monitorowanych przez CSIRT NASK, i przejrzysz historię znanych wycieków,
• Have I Been Pwned — międzynarodowa wyszukiwarka wycieków adresów e-mail.

Jeżeli wyciekł Twój numer PESEL lub dane z dowodu osobistego, zastrzeż PESEL i rozważ zastrzeżenie dokumentu. To ogranicza ryzyko, że ktoś zaciągnie zobowiązanie na Twoje dane.

Co to znaczy dla Ciebie

Jeżeli dostajesz zawiadomienie o wycieku danych z uczelni, szkoły, sklepu internetowego, przychodni czy firmy:

1. Zachowaj zawiadomienie i wszystkie e-maile czy pisma od administratora. To podstawowy dowód.
2. Od razu zabezpiecz się: zastrzeż PESEL, zmień hasła, w razie potrzeby zastrzeż dokument tożsamości.
3. Zapisuj skutki: podejrzane telefony, SMS-y, próby logowania, wydatki, wizyty u lekarza czy psychologa związane ze stresem. Krótki dziennik z datami bardzo pomaga.
4. Sprawdź, czy UODO prowadzi postępowanie w sprawie tego wycieku — ustalenia organu mogą wesprzeć Twoje roszczenie, choć nie są warunkiem jego dochodzenia.
5. Nie zwlekaj — roszczenia przedawniają się według Kodeksu cywilnego. Przemyśl wezwanie do zapłaty jak najwcześniej.

Zespół Kancelarii TRC zajmuje się obsługą spraw odszkodowawczych po wyciekach danych: oceni, czy w Twojej sytuacji są podstawy do roszczenia, i poprowadzi sprawę od wezwania do zapłaty. Nie obiecujemy wyniku ani kwoty — każda sprawa wymaga indywidualnej oceny.

Stan prawny na dzień publikacji. Artykuł ma charakter informacyjny i nie jest analizą Twojej indywidualnej sprawy.