Moje dane wyciekły z firmy: czy należy mi się odszkodowanie?

Krótki mail z informacją, że „twoje dane mogły zostać naruszone”, to moment, w którym większość ludzi odpuszcza. Ty nie musisz. W UE i Wielkiej Brytanii RODO pozwala ci zapytać firmę, co dokładnie się stało, a firma musi odpowiedzieć w ciągu miesiąca. Jeśli wyciek wyrządził ci szkodę, możesz żądać odszkodowania na podstawie art. 82. Obejmuje to utracone pieniądze i szkodę niemajątkową, w tym obawę, że twoje dane zostaną niewłaściwie wykorzystane. Sam wyciek nie wystarczy: musisz wykazać szkodę.

Co firma jest ci winna po wycieku danych

Jeśli naruszenie może powodować wysokie ryzyko dla ciebie, firma musi cię o nim zawiadomić bez zbędnej zwłoki, jasnym i prostym językiem. Zawiadomienie musi opisywać możliwe konsekwencje, działania firmy w związku z naruszeniem i dane osoby do kontaktu, na przykład inspektora ochrony danych.

Musi też zgłosić naruszenie organowi ochrony danych w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ono ryzyko.

Potem możesz zażądać więcej. Na podstawie art. 15 możesz dostać kopię danych, które firma o tobie przechowuje, oraz informację, komu je udostępniła i skąd je ma. Firma musi odpowiedzieć w ciągu miesiąca. Przy złożonych żądaniach może przedłużyć ten termin o dwa miesiące, ale musi cię o tym poinformować w ciągu pierwszego miesiąca i podać powód.

Kiedy możesz żądać odszkodowania

Trybunał Sprawiedliwości UE określił w 2023 roku, jakie warunki trzeba spełnić. Potrzebujesz trzech rzeczy jednocześnie:

• Naruszenia RODO, na przykład zabezpieczeń, które nie chroniły twoich danych wystarczająco dobrze.
• Szkody: utraconych pieniędzy albo szkody niemajątkowej.
• Związku między nimi: szkoda wynika z wycieku.

Dla szkody niemajątkowej nie ma minimalnego progu dotkliwości. Trybunał jasno stwierdził jednak, że sam wyciek nie oznacza wypłaty. Musisz pokazać, jak na ciebie wpłynął.

„Zhakowano nas” to nie koniec sprawy

Firmy często odpowiadają, że same padły ofiarą ataku przestępców. Trybunał zajął się dokładnie taką sytuacją w wyroku z grudzień 2023, po włamaniu do systemów bułgarskiej agencji podatkowej.

• Obawa się liczy. Obawa przed możliwym niewłaściwym wykorzystaniem twoich danych może sama w sobie stanowić szkodę niemajątkową.
• Ciężar dowodu spoczywa na firmie. To firma musi udowodnić, że jej środki bezpieczeństwa były odpowiednie.
• Włamanie samo niczego nie przesądza. Samo w sobie nie dowodzi, że zabezpieczenia zawiodły, ale też nie zwalnia firmy z odpowiedzialności.

Zgodnie z art. 82 ust. 3 firma uniknie odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy.

W Wielkiej Brytanii UK GDPR zawiera ten sam art. 82, ale brytyjskie sądy nie są związane tymi wyrokami unijnego Trybunału, więc same decydują, jakie warunki stosować.

Gdzie złożyć skargę

Skargę możesz złożyć do organu ochrony danych w kraju, w którym mieszkasz, w którym pracujesz albo w którym doszło do naruszenia.

Kraj	Organ ochrony danych
Francja	CNIL
Niemcy	Organ ochrony danych twojego kraju związkowego (na poziomie federalnym BfDI)
Hiszpania	AEPD
Włochy	Garante per la protezione dei dati personali
Portugalia	CNPD
Holandia	Autoriteit Persoonsgegevens
Polska	UODO
Belgia	APD-GBA
Irlandia	Data Protection Commission
Wielka Brytania	Information Commissioner's Office (ICO)

Organ może prowadzić postępowanie i nakazać firmie podjęcie działań. Nie przyznaje odszkodowań. Odszkodowanie płaci firma albo zasądza je sąd.

Jak złożyć wniosek krok po kroku

1. Najpierw zabezpiecz siebie. Zmień hasła, które wyciekły, włącz logowanie dwuetapowe i powiadom bank, jeśli wyciekły dane karty lub konta bankowego.
2. Zachowuj wszystko. Zawiadomienie o wycieku, każdy podejrzany SMS, telefon i próbę logowania od tamtej pory oraz rachunki za wszystkie poniesione koszty.
3. Prowadź krótki dziennik. Data, co zrobiono, ile to trwało i jak na ciebie wpłynęło. To twój dowód szkody niemajątkowej.
4. Napisz do inspektora ochrony danych. Zapytaj, jakich danych dotyczył wyciek, kiedy do niego doszło, co firma zrobiła i czy zgłosiła naruszenie. Poproś o kopię swoich danych.
5. W tej samej wiadomości zażądaj odszkodowania. Powołaj się na art. 82, opisz swoją szkodę i podaj kwotę, której żądasz. Kwotę ustalasz ty: oprzyj ją na rachunkach i uczciwym opisie skutków.
6. Wyznacz termin. Jeden miesiąc, zgodnie z art. 12 ust. 3.

Wiadomość do wysłania

Temat: Zawiadomienie o naruszeniu ochrony danych osobowych z dnia 14 października 2026: żądanie informacji i odszkodowania

Mam u Państwa konto klienta (numer klienta 4471920). W wiadomości e-mail z dnia 14 października 2026 poinformowali mnie Państwo, że moje dane osobowe zostały objęte naruszeniem w Państwa systemach.

Na podstawie art. 15 i 34 RODO proszę o informację, których dokładnie moich danych dotyczyło naruszenie, kiedy do niego doszło i kiedy Państwo je stwierdzili, jakie działania podjęli Państwo, aby je ograniczyć, oraz czy i kiedy zgłosili je Państwo organowi nadzorczemu. Proszę też o przesłanie kopii danych osobowych, które Państwo o mnie przechowują.

Od czasu naruszenia przyszły do mnie cztery SMS-y phishingowe z moim nazwiskiem i danymi zamówienia, a zmiana haseł i sprawdzanie kont zajęły mi około czterech godzin. Na podstawie art. 82 RODO żądam odszkodowania w wysokości €300 za stres i stracony czas.

Proszę o odpowiedź w ciągu miesiąca, czyli do 14 listopada 2026, zgodnie z art. 12 ust. 3 RODO.

Wstaw swoje dane. Dołącz zawiadomienie i zrzuty ekranu.

Terminy i co zrobić, gdy firma odmówi

• Brak odpowiedzi po miesiącu: wyślij krótkie ponaglenie z ostatecznym terminem za 14 dni.
• Odmowa lub niska oferta: złóż formalną skargę. Powołaj się na art. 82 ust. 3 i wyroki Trybunału z 2023 roku, a także poproś o ostateczne stanowisko na piśmie.
• Nadal odmowa: złóż skargę do organu ochrony danych, a po odszkodowanie idź do sądu. Możesz pozwać firmę tam, gdzie ma siedzibę, albo tam, gdzie mieszkasz. Dla mniejszych kwot istnieją postępowania uproszczone, a europejskie postępowanie w sprawie drobnych roszczeń obejmuje firmę z innego kraju UE.
• Terminy na wniesienie sprawy do sądu określa prawo każdego kraju. Sprawdź, jakie obowiązują w twoim kraju, i nie zwlekaj zbyt długo.

Jeśli poszkodowanych jest wiele osób, zapytaj organizację konsumencką, czy istnieje już pozew zbiorowy.

W skrócie

Zapytaj firmę, co się stało z twoimi danymi, i w ciągu miesiąca uzyskaj ich kopię. Jeśli wyciek kosztował cię pieniądze, czas albo spokój, żądaj odszkodowania na podstawie art. 82 i poprzyj to dowodami. Samo „zhakowano nas” nie jest obroną. Jeśli firma odmówi, złóż skargę do organu ochrony danych i skieruj sprawę do sądu.

Pytania

Ile odszkodowania mogę dostać za wyciek danych?

RODO nie określa stałych kwot, więc decydują sądy w poszczególnych krajach. Twoje rzeczywiste koszty liczą się w całości, a przy stresie kwota zależy od tego, co możesz wykazać o wpływie wycieku na ciebie.

Firma twierdzi, że nikt jeszcze nie wykorzystał moich danych. Czy mimo to mogę żądać odszkodowania?

Tak. Trybunał Sprawiedliwości UE orzekł, że obawa przed możliwym niewłaściwym wykorzystaniem danych może sama w sobie stanowić szkodę niemajątkową, ale nadal musisz wykazać, że ta szkoda cię dotknęła.

Czy organ ochrony danych załatwi mi odszkodowanie?

Nie. Organ może prowadzić postępowanie i nakazać firmie podjęcie działań, ale odszkodowanie płaci sama firma albo, jeśli odmówi, zasądza je sąd.

Firma proponuje mi darmowy monitoring kredytowy. Czy mam go przyjąć?

To przydatna ochrona, ale nie odszkodowanie za szkodę, która już powstała. Najpierw przeczytaj ofertę: jeśli jest w niej mowa, że zamyka twoje roszczenie, jej przyjęcie kończy sprawę.

Informacje ogólne, nie porada prawna. Przepisy się zmieniają i zależą od miejsca zamieszkania: zanim oprzesz się na dacie lub kwocie, sprawdź oficjalne źródło.

Źródła

• RODO, rozporządzenie (UE) 2016/679, art. 12, 15, 33, 34, 77 i 82 (EUR-Lex, sprawdzono październik 2026)
• Trybunał Sprawiedliwości UE, sprawa C-300/21, 4 maja 2023 (sprawdzono październik 2026)
• Trybunał Sprawiedliwości UE, sprawa C-340/21, 14 grudnia 2023 (sprawdzono październik 2026)
• Europejska Rada Ochrony Danych: krajowe organy ochrony danych (sprawdzono październik 2026)