Кога се дължи обезщетение за претърпени вреди при нарушение на GDPR?

Чл. 82 от Общия регламент относно защитата на данните (GDPR) гласи, че всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на регламента, има право да получи обезщетение за нанесените вреди. Целта на обезщетението е да компенсира неблагоприятните последици, породени от нарушението. Това поставя следния въпрос: “Достатъчно ли е простото нарушение на разпоредбите на GDPR, за да възникне правото на обезщетение?”. 

През май 2023 г. Съдът на ЕС се произнесе с решение, което внася малко повече яснота по този въпрос. Повод за постановяване на този съдебен акт е преюдициално запитване от Върховния съд на Австрия във връзка с дело на гражданин именно за присъждане на такова обезщетение.

Според Съда на ЕС не може да се приеме, че всяко нарушение на разпоредбите на GDPR само по себе си поражда право на обезщетение в полза на субекта на данни. Предпоставките за право на обезщетение са:

• нарушение - да е налице обработване на лични данни в нарушение на GDPR;
• вреда - да са претърпени вреди, нанесени на субекта на данните;
• връзка - да има причинно-следствена връзка между това незаконосъобразно обработване и вредите.

Следователно, ако има нарушение, но за лицето не е настъпила вреда или тя не може да бъде доказана, не следва да се присъжда обезщетение.

В допълнение, Съдът на ЕС посочва, че няма “определена степен на значимост”, за да бъде присъдено обезщетение за неимуществени вреди (като дискриминация, кражба на самоличност, финансови загуби, накърняване на репутацията и други). Това означава, че не се поставя минимален праг на степента на засягане правата и интересите на субекта на данни. Възможно е да се претендира обезщетение и за претърпени вреди в по-малък обем - например за негативни емоции като възникнало притеснение, тревожност и претърпян стрес от нарушение на сигурността на личните данни. Въпреки това всеки, който претендира обезщетение за вреди, трябва да докаже, че тези последици представляват нематериални вреди.

Колкото до размера на обезщетението, в решението се посочва, че той не се определя от GDPR, a от вътрешните правила на всяка държава членка относно обхвата на паричното обезщетение, стига да са спазени принципите на равностойност и ефективност на правото на Европейския съюз. В българското право отправна точка за определяне на обезщетение за неимуществени вреди е чл. 52 от Закона за задълженията и договорите, според който обезщтението се определя от съда по справедливост.

Това решение на Съда на ЕС е задължително за националните съдилища в Европейския съюз, пред които е повдигнат идентичен въпрос, като те трябва да съобразяват даденото тълкуване при решаването на висящи спорове.

Настоящото изложение не съставлява изчерпателно правно становище, препоръка за действия или бездействия. То отразява единствено мнението на авторите и тяхното тълкуване на приложимото право.

Image by Freepik.