Dostałeś maila, że Twoje dane „mogły zostać ujawnione"? Zanim machniesz ręką, wiedz, że RODO daje Ci realne roszczenie finansowe. Nie jest ono automatyczne i nie każdy wyciek się do niego kwalifikuje. W tym poradniku wyjaśniam, kiedy odszkodowanie jest realne, co trzeba udowodnić, ile sądy faktycznie zasądzają i jakie błędy popełniają poszkodowani.

W skrócie:

• Podstawą jest art. 82 RODO. Sam wyciek nie wystarczy, trzeba wykazać naruszenie, szkodę i związek między nimi.
• Szkodą może być także „czysto" niemajątkowa: stres, obawa przed nadużyciem, utrata kontroli nad danymi. Nie ma minimalnego progu „istotności".
• Winę administratora się domniemywa. To on musi wykazać, że nie ponosi odpowiedzialności.
• Pozew składasz przeciwko firmie, nie do UODO. Urząd nie przyznaje odszkodowań.

Co mówi art. 82 RODO

Art. 82 ust. 1 RODO przyznaje każdej osobie, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Z przepisu wynikają cztery warunki:

1. doszło do naruszenia RODO (np. nieodpowiednich zabezpieczeń z art. 32),
2. powstała szkoda,
3. istnieje związek przyczynowy między naruszeniem a szkodą,
4. pozwany jest administratorem lub procesorem.

Przeczytaj też: Wyciek danych Hertz: co wyciekło i jak chronić swoje dane.

Dwie reguły, o których mało kto wie, zmieniają układ sił. Po pierwsze, administrator może uwolnić się od odpowiedzialności tylko wtedy, gdy udowodni, że nie ponosi winy za zdarzenie (art. 82 ust. 3). Po drugie, kiedy za jedno naruszenie odpowiada kilka podmiotów, każdy z nich odpowiada wobec Ciebie za całość szkody (art. 82 ust. 4). To ważne przy wyciekach u dostawcy: nie musisz dochodzić, kto z łańcucha zawinił.

Co mówi TSUE: pięć rozstrzygnięć, które musisz znać

Interpretację art. 82 w praktyce wyznacza Trybunał Sprawiedliwości UE. Najważniejsze wnioski z jego wyroków:

• Sam wyciek nie daje pieniędzy. Samo naruszenie przepisów nie wystarcza, trzeba wykazać rzeczywistą szkodę i związek przyczynowy. Potwierdził to m.in. wyrok C-300/21 (Österreichische Post, 4 maja 2023) oraz C-655/23 (Quirin Privatbank, 4 września 2025).
• Nie ma progu bagatelności. W C-300/21 Trybunał uznał, że odszkodowanie nie jest zależne od tego, czy szkoda osiągnęła „określony stopień powagi".
• Obawa przed nadużyciem może być szkodą. Utrata kontroli nad danymi i uzasadniona obawa przed ich wykorzystaniem mogą stanowić szkodę niemajątkową. W sprawie C-655/23 Trybunał wprost objął tym pojęciem negatywne odczucia osoby, która utraciła kontrolę nad danymi i boi się konsekwencji.
• Kradzież tożsamości nie jest warunkiem. W sprawie C-182/22 i C-189/22 (Scalable Capital, 20 czerwca 2024) TSUE wskazał, że odszkodowanie za szkodę niemajątkową po kradzieży danych nie jest ograniczone do przypadków, w których doszło do faktycznego przejęcia tożsamości. 
• Odszkodowanie ma kompensować, nie karać. Stopień winy administratora nie wpływa na wysokość odszkodowania, a w razie niewielkiej szkody sąd może zasądzić kwotę symboliczną, o ile w pełni ją rekompensuje.

Z perspektywy poszkodowanego to dobra wiadomość połączona z ostrzeżeniem: próg wejścia jest niski, ale ciężar dowodu spoczywa na Tobie.

Czy sam wyciek wystarczy? Czego nie mówią poradniki

Najczęstszy błąd to założenie, że wiadomość o wycieku jest równoznaczna z roszczeniem. Sąd zapyta o trzy rzeczy.

1. Czy administrator naruszył RODO, a nie tylko „padł ofiarą ataku"? Fakt, że doszło do włamania, nie przesądza o odpowiedzialności. TSUE wyjaśnił (C-340/21, 14 grudnia 2023), że nieuprawniony dostęp osoby trzeciej sam w sobie nie dowodzi, że zabezpieczenia były niewłaściwe. To administrator musi jednak wykazać, że jego środki techniczne i organizacyjne były odpowiednie do ryzyka. W praktyce spór toczy się więc o dokumentację: analizę ryzyka, aktualizacje, szyfrowanie, kontrolę dostawców.

2. Czy Twoje dane naprawdę znalazły się w wycieku? Powiadomienie od administratora, kopia komunikatu i dane z jego strony to najlepszy dowód. Jeśli firma nie powiadomiła Cię mimo wysokiego ryzyka, to osobne naruszenie art. 34 RODO.

3. Czy potrafisz opisać szkodę? Tu sprawy najczęściej przegrywają. „Jestem zdenerwowany" bez żadnych dowodów to za mało. Sąd oczekuje konkretów.

Jak wykazać szkodę: lista dowodów

Szkoda majątkowa (łatwiejsza do udowodnienia):

• koszty wymiany dokumentu, zastrzeżenia numeru PESEL, nowej karty,
• opłaty za monitoring kredytowy,
• wyłudzony kredyt, pożyczka lub zakup na Twoje dane,
• utracone pieniądze w wyniku phishingu opartego na wyciekłych danych,
• czas poświęcony na załatwianie sprawy, jeśli da się go wycenić (np. urlop).

Szkoda niemajątkowa (częstsza, trudniejsza):

• spadek komfortu psychicznego, lęk, bezsenność, wzmożone ataki spamu i telefonów,
• konieczność stałej czujności i zmiany nawyków,
• opinia lub zaświadczenie psychologa, jeśli objawy są poważne,
• zrzuty ekranu i zapisy wiadomości phishingowych, które dotarły po wycieku,
• zeznania świadków (rodzina, współpracownicy),
• korespondencja z administratorem i bankiem.

Warto zacząć gromadzić te materiały od razu, bo po roku trudno odtworzyć, kiedy dokładnie zaczęła się fala podejrzanych wiadomości.

Ile można dostać? Rzeczywiste kwoty z polskich sądów

Tutaj reklamy kancelarii odbiegają od rzeczywistości. Obiecywane „tysiące złotych" zdarzają się, ale nie są regułą.

Sprawdź też ten artykuł: Szpiegostwo gospodarcze wobec polskich firm: 9 sygnałów, że konkurencja zdobywa Twoje dane (2026).

Najgłośniejszy ostatni punkt odniesienia to prawomocny wyrok Sądu Okręgowego w Warszawie (sygn. III C 904/23) opisany w czerwcu 2026 r. przez Prawo.pl. Biuro Rzecznika Finansowego omyłkowo wysłało przez ePUAP pismo zawierające dane powoda do 28 366 podmiotów. Sąd zasądził 40 000 zł zadośćuczynienia, uznając skalę naruszenia za ogromną. Argumentował też, że odbiorcami były instytucje publiczne, nie miało znaczenia, bo nie ma gwarancji, że bezpiecznie przetwarzają dane. Powód nie poniósł szkody majątkowej, a sąd uwzględnił stres, niepewność co do tego, kto ma jego dane, oraz zalew korespondencji. To opis z prasy prawniczej, więc przed powołaniem się na wyrok sprawdź jego pełny tekst.

Co z tego wynika dla Ciebie? Ta kwota to raczej górna granica dla spraw wyjątkowych: dane trafiły do tysięcy odbiorców, a powód wykazał konkretne dolegliwości. W typowych wyciekach z bazy klientów, bez udowodnionych nadużyć, zasądzane sumy bywają wielokrotnie niższe, a część powództw jest oddalana z powodu braku dowodów szkody. Nie ma też sztywnego cennika, bo wysokość zależy od rodzaju danych (dokument tożsamości i PESEL ważą więcej niż adres e-mail), skali, czasu trwania ekspozycji i dowodów skutków.

Pozew indywidualny czy grupowy?

Indywidualnie to prostsze dowodowo, ale kosztowne w stosunku do spodziewanej kwoty. Pamiętaj o opłacie sądowej od pozwu (co do zasady 5% wartości przedmiotu sporu) i o ryzyku zwrotu kosztów przeciwnika w razie przegranej.

Grupowo pozwala rozłożyć koszty i dać siłę przetargową, zwłaszcza gdy poszkodowanych jest wielu, a ich sytuacja jest podobna. Przykładem jest głośny wyciek z platformy MyDr, wokół którego organizowano pozew grupowy. Uważaj jednak na kancelarie, które pobierają wynagrodzenie od sukcesu w wysokim procencie. Przeczytaj umowę przed podpisaniem.

Gdzie i jak dochodzić roszczeń

1. Zbierz dowody (powiadomienie, korespondencja, rachunki, zrzuty ekranu).
2. Wyślij wezwanie do zapłaty do administratora z opisem naruszenia, szkody i kwoty. Daje to szansę na ugodę i porządkuje sprawę.
3. Możesz złożyć skargę do Prezesa UODO, ale pamiętaj, że urząd bada, czy doszło do naruszenia, i może nałożyć karę na firmę, natomiast nie zasądza odszkodowania dla Ciebie.
4. Pozew do sądu. Zgodnie z art. 79 ust. 2 RODO możesz wybrać sąd w państwie, w którym masz miejsce zamieszkania, co ułatwia sprawę, gdy administrator jest zagraniczną firmą.
5. Pilnuj terminów. Roszczenia z czynu niedozwolonego przedawniają się co do zasady po 3 latach od dnia, w którym dowiedziałeś się o szkodzie i osobie obowiązanej do jej naprawienia, nie później niż po 10 latach od zdarzenia (art. 442¹ KC). Przy dochodzeniu roszczeń z RODO sądy mogą też stosować inne podstawy, więc w razie wątpliwości skonsultuj termin z prawnikiem.

Przykład z praktyki: wyciek przez dostawcę oprogramowania

Wycieki często nie wynikają z błędu firmy, którą znasz, lecz z luki u jej dostawcy. Tak było przy atakach grupy Clop na oprogramowanie Cleo do wymiany plików, które dotknęły wiele organizacji, w tym wypożyczalnię samochodów Hertz. Dla poszkodowanego z UE istotne jest to, że art. 82 ust. 4 RODO pozwala dochodzić całej szkody od któregokolwiek z odpowiedzialnych podmiotów, a administrator nie może zasłonić się samym faktem, że zawinił dostawca. Musi wykazać, że wybrał go starannie, kontrolował i nie ponosi winy. Szanse w konkretnej sprawie zależą jednak od tego, który podmiot był administratorem w stosunku do Twoich danych i gdzie ma siedzibę, więc zawsze sprawdź to w treści klauzuli informacyjnej.

Najczęstsze błędy poszkodowanych

• Czekanie z gromadzeniem dowodów. Po latach trudno wykazać związek między wyciekiem a falą phishingu.
• Opieranie się wyłącznie na „stresie". Bez opisu skutków i dowodów to słabe roszczenie.
• Żądanie przesadnych kwot. Zawyżone żądanie podnosi opłatę sądową i ryzyko kosztów przy częściowej przegranej.
• Pomylenie skargi do UODO z pozwem. Skarga nie daje pieniędzy.
• Pominięcie ochrony na przyszłość. Zastrzeż PESEL w mObywatelu, włącz monitoring w BIK i zmień hasła. To zmniejsza ryzyko dalszych strat, a przy okazji dokumentuje, że starałeś się ograniczać szkodę.

Warto też przeczytać: Ransomware w małej firmie: jak wygląda atak krok po kroku i co zrobić w pierwszych 24 godzinach.

FAQ

Czy należy mi się odszkodowanie za sam fakt wycieku danych? Nie automatycznie. Musisz wykazać naruszenie RODO po stronie administratora, szkodę (także niemajątkową) i związek przyczynowy. TSUE potwierdził, że samo naruszenie przepisów nie wystarcza.

Czy obawa przed nadużyciem danych to szkoda? Może nią być, jeśli obawa jest uzasadniona i da się ją udokumentować. Trybunał dopuścił to w kilku wyrokach, m.in. w sprawie C-340/21 i C-655/23.

Ile kosztuje pozew? Opłata sądowa to co do zasady 5% wartości przedmiotu sporu, plus koszty pełnomocnika i ryzyko zwrotu kosztów przeciwnika. Przy małych kwotach rozważ ugodę lub pozew grupowy.

Czy UODO przyzna mi odszkodowanie? Nie. Prezes UODO może ukarać administratora lub nakazać działania naprawcze, ale odszkodowania zasądza wyłącznie sąd.

Kto odpowiada, jeśli wyciek nastąpił u dostawcy? Zależy od ról stron, ale zgodnie z art. 82 ust. 4 RODO każdy z odpowiedzialnych podmiotów odpowiada wobec poszkodowanego za całość szkody.

Jak długo mogę dochodzić roszczeń? Zwykle 3 lata od dowiedzenia się o szkodzie i sprawcy, najpóźniej 10 lat od zdarzenia. Nie zwlekaj.

Podsumowanie

Art. 82 RODO to realne narzędzie, ale działa na rzecz tych, którzy dobrze się przygotują. Zbieraj dowody od pierwszego dnia, opisuj skutki konkretnie, nie oczekuj automatu i traktuj UODO jako uzupełnienie, nie zastępstwo sądu. Ten tekst ma charakter informacyjny i nie stanowi porady prawnej, przy wyższych kwotach lub skomplikowanych stanach faktycznych skonsultuj się z adwokatem lub radcą prawnym.