Ujawnienie danych osobowych w Internecie, co zrobić

Czy ujawniona informacja jest daną osobową

Art. 4 pkt 1 RODO definiuje dane osobowe jako informacje dotyczące zidentyfikowanej albo możliwej do zidentyfikowania osoby fizycznej. Nie chodzi więc wyłącznie o imię, nazwisko i numer PESEL. Danymi mogą być również adres zamieszkania, prywatny lub służbowy numer telefonu, adres e-mail, numer rachunku, identyfikator internetowy, fotografia, nagranie głosu, lokalizacja, numer rejestracyjny samochodu oraz informacje o życiu rodzinnym lub zawodowym.

Znaczenie ma kontekst. Sam numer mieszkania „12” nie pozwala zwykle wskazać konkretnego człowieka. Ten sam numer połączony z nazwiskiem, ulicą, zdjęciem klatki schodowej i informacją o miejscu pracy prowadzi już do oznaczonej osoby. Nie jest konieczne, aby każdy przypadkowy odbiorca potrafił natychmiast ustalić tożsamość. Wystarczy rzeczywista możliwość identyfikacji przy użyciu informacji, do których odbiorca może rozsądnie uzyskać dostęp.

RODO chroni osoby fizyczne. Sama nazwa spółki, numer KRS i adres jej siedziby nie są danymi osobowymi spółki. Mogą jednak jednocześnie identyfikować osobę prowadzącą jednoosobową działalność, wspólnika, członka organu albo pracownika.

Dane o zdrowiu i inne szczególne kategorie

Art. 9 RODO obejmuje między innymi informacje ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność związkową, dane genetyczne, określone dane biometryczne, informacje dotyczące zdrowia, seksualności i orientacji seksualnej.

Przetwarzanie takich informacji jest co do zasady zabronione, chyba że zachodzi jeden z wyjątków wskazanych w rozporządzeniu. Publikacja diagnozy, dokumentacji medycznej, informacji o leczeniu psychiatrycznym, ciąży, niepełnosprawności, wynikach badań albo życiu seksualnym wymaga więc szczególnie rygorystycznej oceny.

Nie oznacza to, że ujawnienie „zwykłego” adresu lub numeru telefonu jest mało poważne. Klasyfikacja danych i rzeczywiste ryzyko to dwa różne zagadnienia. Adres może nie należeć do szczególnych kategorii z art. 9, a mimo to jego publikacja w trakcie konfliktu może tworzyć bezpośrednie zagrożenie dla zdrowia i bezpieczeństwa mieszkańców.

Czy publicznie dostępne dane można dowolnie rozpowszechniać

Informacja nie przestaje być daną osobową tylko dlatego, że można znaleźć ją w CEIDG, KRS, starym ogłoszeniu, na stronie firmy albo w mediach społecznościowych. Publiczna dostępność może mieć znaczenie dla podstawy i rozsądnych oczekiwań osoby, ale nie daje każdemu nieograniczonego prawa do kopiowania danych w dowolnym celu.

Służbowy numer opublikowany w celu przyjmowania zamówień może być wykorzystywany przez klientów do kontaktu handlowego. Nie oznacza to automatycznej zgody na umieszczenie numeru w poście zachęcającym obce osoby do masowego wydzwaniania. Podobnie adres działalności widoczny w rejestrze nie powinien być przedstawiany jako zaproszenie do nachodzenia przedsiębiorcy i jego rodziny.

Przy ocenie znaczenie mają:

• pierwotny cel publikacji,
• krąg pierwotnych odbiorców,
• zakres późniejszego wykorzystania,
• połączenie danych z dodatkowymi informacjami,
• rozsądne oczekiwania osoby,
• charakter konfliktu,
• ryzyko nękania, oszustwa albo przemocy,
• istnienie podstawy prawnej dla nowego celu.

Czy każde ujawnienie narusza RODO

Nie. Zgoda jest tylko jedną z podstaw przetwarzania. Art. 6 ust. 1 RODO pozwala przetwarzać dane również wtedy, gdy jest to niezbędne między innymi do wykonania umowy, realizacji obowiązku prawnego, ochrony żywotnych interesów, wykonania zadania publicznego albo realizacji prawnie uzasadnionego interesu administratora.

Pracodawca może przekazać wymagane dane do ZUS bez odrębnej zgody. Sklep może użyć adresu do wysłania zamówienia. Strona procesu może przedstawić dane potrzebne do dochodzenia albo obrony roszczeń. Każda z tych podstaw ma jednak granice. Legalne pozyskanie danych do realizacji umowy nie daje prawa do późniejszego opublikowania ich w internetowym sporze.

Przed stwierdzeniem naruszenia trzeba odpowiedzieć na kilka pytań:

Osoba prywatna i wyjątek osobisty lub domowy

Art. 2 ust. 2 lit. c RODO wyłącza przetwarzanie dokonywane przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Prywatne zapisanie numeru członka rodziny albo wysłanie go drugiemu krewnemu może więc pozostawać poza zakresem rozporządzenia.

Wyjątku nie należy jednak automatycznie rozciągać na każdą działalność osoby prywatnej. Publikowanie cudzych danych na ogólnodostępnej stronie, w publicznym poście albo w szerokiej grupie może wykraczać poza typową sferę osobistą i domową. Ocenie podlega rzeczywisty krąg odbiorców, cel działania i możliwość dalszego rozpowszechnienia.

Nawet gdy RODO nie znajduje zastosowania, nadal mogą działać przepisy o ochronie prywatności, tajemnicy korespondencji, wizerunku i innych dóbr osobistych. Brak zastosowania rozporządzenia nie oznacza, że osoba prywatna może bez żadnych ograniczeń ujawniać adres, diagnozę lub intymną rozmowę.

Doxxing, czyli publikowanie danych w celu wywołania presji

Doxxingiem nazywa się ujawnianie informacji pozwalających ustalić tożsamość, miejsce zamieszkania, miejsce pracy lub lokalizację osoby, najczęściej w celu wywołania nacisku, nękania, zastraszenia albo masowych kontaktów. Polskie przepisy nie tworzą jednego odrębnego przestępstwa o nazwie „doxxing”. Zachowanie może jednak naruszać kilka różnych regulacji jednocześnie.

Przykładem może być post zawierający zdjęcie domu, adres, prywatny numer telefonu i wezwanie: „dzwońcie do niego, aż zrozumie”. Sama informacja mogła być wcześniej dostępna w innym miejscu, lecz jej zebranie, połączenie z konfliktem i przedstawienie odbiorcom jako narzędzia nacisku tworzy nowy kontekst oraz nowe ryzyko.

Doxxing może prowadzić do:

• naruszenia zasad przetwarzania danych,
• naruszenia prywatności i poczucia bezpieczeństwa,
• uporczywego nękania,
• gróźb i zmuszania,
• podszywania się,
• prób wyłudzenia lub przejęcia kont,
• zagrożenia dla dzieci i innych domowników.

Jeżeli ujawnienie jest elementem dłuższego nękania, przejdź również do poradnika stalking, jak się bronić.

Co zrobić natychmiast po ujawnieniu danych

Jeżeli publikacja zwiększa ryzyko nachodzenia, kradzieży tożsamości albo kontaktu z dzieckiem, samo przygotowanie wezwania może być zbyt wolne. Najpierw ogranicz skutki i zabezpiecz najważniejsze informacje. Formalne żądania można przygotowywać równolegle.

Nie potwierdzaj publicznie, że wszystkie dane są prawidłowe. Odpowiadając szczegółowo na post, możesz niechcący potwierdzić odbiorcom numer mieszkania, plan dnia albo miejsce przebywania dziecka.

PESEL, dokumenty i dane bankowe

Ujawnienie numeru PESEL, skanu dowodu, danych karty albo danych dostępowych wymaga działań wykraczających poza samo usunięcie posta. Treść mogła już zostać skopiowana i użyta do próby oszustwa.

Oficjalna usługa zastrzegania numeru znajduje się na stronie Zastrzeż PESEL w mObywatelu.

Jak udokumentować ujawnienie danych

W sprawie dotyczącej prywatności trzeba udowodnić nie tylko treść danych. Znaczenie ma również autor, krąg odbiorców, cel publikacji, czas dostępności i reakcja innych osób. Numer przekazany jednemu kurierowi w celu wykonania dostawy ma zupełnie inne znaczenie niż ten sam numer opublikowany z zachętą do masowych telefonów.

Pełne zrzuty i nagranie ekranu

Zachowaj nazwę profilu, zdjęcie, treść, datę, godzinę, nazwę grupy, komentarze i liczbę widocznych udostępnień. Przy materiale znikającym wykonaj nagranie ekranu pokazujące przejście od profilu do publikacji.

Bezpośrednie adresy treści

Skopiuj link do posta, komentarza, pliku i profilu. Sam link przestanie działać po usunięciu materiału, a sam screenshot może nie pozwalać odnaleźć źródła. Zachowaj oba elementy.

Kolejne wersje

Autor może po otrzymaniu uwagi usunąć numer telefonu, ale pozostawić zdjęcie domu, nazwę ulicy i wskazówki pozwalające ustalić adres. Zabezpiecz każdą wersję oddzielnie.

Dalsze rozpowszechnienie

Dokumentuj posty, grupy, fora i profile, na których pojawiają się kolejne kopie. Rozróżniaj materiały kontrolowane przez autora pierwotnego wpisu od publikacji niezależnych osób.

Skutki ujawnienia

Zachowaj niechciane połączenia, SMS-y, wiadomości, próby logowania, wizyty i kontakt obcych osób z rodziną albo pracodawcą. Dokumentuj koszty zmiany numeru, dodatkowych zabezpieczeń, leczenia, przeprowadzki i utraconych kontraktów.

Jeżeli publikacja obejmuje fragmenty rozmowy, sprawdź również poradnik o sytuacji, gdy screenshoty prywatnych wiadomości opublikowano bez zgody. Ogólne zasady opisuje artykuł jak udokumentować naruszenie.

Do kogo skierować żądanie

Najpierw ustal, kto zdecydował o celu i sposobie wykorzystania danych. W rozumieniu RODO administrator danych nie oznacza automatycznie administratora grupy na Facebooku albo pracownika administracyjnego. Administratorem jest podmiot, który samodzielnie albo wspólnie z innymi ustala cele i sposoby przetwarzania.

Jeżeli dane ujawnił pracownik podczas wykonywania obowiązków, nie ograniczaj się do wiadomości skierowanej wyłącznie do niego. Pismo powinno trafić do organizacji odpowiadającej za proces przetwarzania.

Jakie prawa daje RODO

W zależności od okoliczności możesz powołać się na kilka różnych praw. Nie należy mechanicznie żądać wszystkiego w każdej sprawie.

Prawo dostępu, art. 15 RODO

Możesz żądać potwierdzenia, czy dane są przetwarzane, oraz informacji między innymi o celach, kategoriach danych, odbiorcach, okresie przechowywania i źródle danych, jeżeli nie zostały pozyskane bezpośrednio od Ciebie.

Prawo do sprostowania, art. 16 RODO

Ma znaczenie, gdy administrator publikuje albo przekazuje dane nieprawidłowe lub niekompletne. Sprostowanie nie musi jednak usuwać samego problemu publicznego ujawnienia.

Prawo do usunięcia, art. 17 RODO

Możesz żądać usunięcia między innymi wtedy, gdy dane nie są już potrzebne, wycofano zgodę i nie istnieje inna podstawa, uwzględniono sprzeciw albo dane są przetwarzane niezgodnie z prawem.

Prawo do usunięcia nie jest bezwzględne. Administrator może odmówić, gdy przetwarzanie jest konieczne między innymi do korzystania z wolności wypowiedzi i informacji, wykonania obowiązku prawnego albo ustalenia, dochodzenia lub obrony roszczeń.

Ograniczenie przetwarzania, art. 18 RODO

Może być przydatne, gdy kwestionujesz prawidłowość danych albo legalność przetwarzania, ale ich całkowite usunięcie wymaga jeszcze wyjaśnienia. W praktyce można żądać natychmiastowego wyłączenia publicznego dostępu do materiału.

Sprzeciw, art. 21 RODO

Sprzeciw może mieć znaczenie, gdy administrator powołuje się na zadanie realizowane w interesie publicznym albo swój prawnie uzasadniony interes. Trzeba wskazać szczególną sytuację osoby, chyba że chodzi o marketing bezpośredni.

Powiadomienie odbiorców, art. 19 RODO

Jeżeli dane zostały sprostowane, usunięte albo ograniczono ich przetwarzanie, administrator powinien co do zasady poinformować o tym odbiorców, którym je ujawnił, chyba że okaże się to niemożliwe albo wymaga niewspółmiernie dużego wysiłku. Na żądanie powinien poinformować Cię o tych odbiorcach.

Pełny tekst rozporządzenia znajduje się w bazie EUR-Lex.

Co powinno zawierać wezwanie

Dobre pismo nie powinno ograniczać się do wielokrotnego powtarzania, że adresat „naruszył RODO”. Opisz konkretne dane, sposób ujawnienia, cel ich pierwotnego pozyskania, krąg odbiorców i zagrożenie wynikające z dalszego rozpowszechniania.

Uwzględnij:

1. dane osoby występującej z żądaniem,
2. prawidłowe oznaczenie administratora albo autora publikacji,
3. rodzaj ujawnionych danych,
4. datę i miejsce ujawnienia,
5. bezpośrednie linki do postów, komentarzy i plików,
6. sposób, w jaki adresat uzyskał dane, jeżeli jest znany,
7. pierwotny cel przekazania danych,
8. krąg odbiorców i możliwość dalszego rozpowszechniania,
9. opis zagrożenia dla prywatności lub bezpieczeństwa,
10. żądanie natychmiastowego wyłączenia publicznego dostępu,
11. żądanie usunięcia danych z materiałów kontrolowanych przez adresata,
12. żądanie zaprzestania dalszego udostępniania,
13. żądanie wskazania podstawy prawnej, źródła i odbiorców,
14. żądanie poinformowania odbiorców o usunięciu albo ograniczeniu,
15. żądanie opisania środków ograniczających skutki,
16. żądanie pisemnego potwierdzenia wykonania,
17. informację o możliwej skardze do UODO, pozwie lub zawiadomieniu,
18. bezpieczny kanał dalszej korespondencji.

Miesiąc na odpowiedź a pilne usunięcie publikacji

Art. 12 ust. 3 RODO przewiduje, że administrator udziela informacji o działaniach podjętych w związku z żądaniem bez zbędnej zwłoki, co do zasady w terminie miesiąca od jego otrzymania. Ze względu na skomplikowany charakter lub liczbę żądań termin może zostać przedłużony o kolejne dwa miesiące. Administrator powinien poinformować o przedłużeniu i jego przyczynach w pierwszym miesiącu.

Nie oznacza to jednak, że publicznie ujawniony adres, PESEL albo dokumentacja medyczna powinny pozostawać dostępne przez miesiąc. Rozdziel dwa żądania:

• natychmiastowe działanie ochronne, takie jak ukrycie posta, wyłączenie linku lub cofnięcie błędnie wysłanej wiadomości,
• pełną odpowiedź formalną, obejmującą podstawę przetwarzania, źródło, odbiorców, zakres usunięcia i środki naprawcze.

Nie wyznaczaj administratorowi nierealnego terminu kilku godzin na przygotowanie całej dokumentacji i ustalenie wszystkich odbiorców. Jednocześnie nie akceptuj biernego pozostawienia niebezpiecznej publikacji tylko dlatego, że ustawowy termin odpowiedzi jeszcze nie upłynął.

Po przygotowaniu dokumentu zachowaj podpisaną kopię i dowód przekazania. Dostępne sposoby opisuje poradnik jak wysłać wezwanie do zaprzestania.

Jak zgłosić dane platformie internetowej

Zgłoszenie do autora nie wyklucza równoległej interwencji u operatora portalu. Najpierw zachowaj treść, ponieważ skuteczne zgłoszenie może spowodować szybkie usunięcie dowodu.

Zgłoś osobno:

• post zawierający adres lub numer telefonu,
• komentarze ujawniające kolejne szczegóły,
• zdjęcie dokumentu,
• profil podszywający się pod Ciebie,
• wiadomości zawierające groźby,
• posty nawołujące innych do kontaktu albo przyjazdu,
• kopie materiału opublikowane w innych grupach.

Wybierz kategorię najlepiej odpowiadającą sytuacji: naruszenie prywatności, nękanie, ujawnienie danych, podszywanie się albo groźba. Podaj bezpośredni link i krótko wyjaśnij zagrożenie. Ogólne stwierdzenie „to narusza RODO” może nie pozwalać moderatorowi zrozumieć, które elementy ma usunąć.

Art. 16 Aktu o usługach cyfrowych, czyli DSA, przewiduje mechanizmy zgłaszania informacji uznawanych za nielegalne. Zgłoszenie powinno dokładnie wskazywać lokalizację materiału oraz wyjaśniać jego bezprawny charakter.

Tekst DSA znajduje się w bazie EUR-Lex.

Skarga do Prezesa UODO

Jeżeli przetwarzanie podlega RODO, osoba, której dane dotyczą, może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. UODO wskazuje, aby w pierwszej kolejności zwrócić się do administratora o usunięcie uchybień. Pozwala to dołączyć do skargi własne żądanie, odpowiedź administratora albo wykazać brak reakcji.

Nie należy jednak biernie czekać, gdy publikacja tworzy zagrożenie dla zdrowia lub bezpieczeństwa. Zabezpieczenie dowodów, zgłoszenie platformie, kontakt z Policją i techniczne ograniczenie skutków mogą odbywać się równolegle.

Skarga powinna zawierać:

1. dane osoby skarżącej,
2. oznaczenie podmiotu, którego dotyczy skarga,
3. dokładny opis naruszenia,
4. rodzaj danych,
5. daty i miejsca ujawnienia,
6. wskazanie podjętych wcześniej działań,
7. żądanie skierowane do Prezesa UODO,
8. dowody, w tym korespondencję z administratorem,
9. podpis albo prawidłowe uwierzytelnienie pisma elektronicznego.

Prezes UODO może zastosować środki naprawcze, na przykład nakazać przywrócenie zgodności z prawem. Może również nałożyć administracyjną karę pieniężną. Kara nie jest jednak wypłacana osobie pokrzywdzonej. Rekompensaty trzeba dochodzić przed sądem.

Aktualne informacje proceduralne znajdują się na stronie składania skarg do Prezesa UODO.

Gdy dane wyciekły z firmy lub instytucji

Przypadkowe wysłanie dokumentu niewłaściwemu odbiorcy, opublikowanie arkusza w otwartym katalogu, pozostawienie akt bez zabezpieczenia albo przejęcie systemu mogą stanowić naruszenie ochrony danych osobowych.

Administrator powinien ustalić:

• jakie dane zostały objęte zdarzeniem,
• ilu osób dotyczy incydent,
• kto uzyskał dostęp,
• czy dane zostały odczytane lub skopiowane,
• jakie mogą wystąpić skutki,
• jakie środki ograniczające zastosowano,
• czy zachodzi obowiązek zgłoszenia do organu,
• czy trzeba zawiadomić osoby dotknięte zdarzeniem.

Art. 33 RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu bez zbędnej zwłoki, jeżeli jest mało prawdopodobne, aby naruszenie nie skutkowało ryzykiem dla praw i wolności osób fizycznych. Jeżeli zgłoszenie jest wymagane, powinno nastąpić w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Art. 34 RODO dotyczy zawiadomienia osoby, gdy naruszenie może powodować wysokie ryzyko dla jej praw lub wolności. Nie każdy błąd musi więc skutkować indywidualnym powiadomieniem, ale administrator powinien potrafić wyjaśnić swoją ocenę.

W piśmie do firmy możesz zapytać:

• jakie dokładnie dane ujawniono,
• kiedy doszło do zdarzenia i kiedy je wykryto,
• komu dane przekazano,
• czy odbiorcy potwierdzili usunięcie,
• jakie ryzyko ustalono,
• czy naruszenie zgłoszono do Prezesa UODO,
• czy zabezpieczono logi i dowody,
• jakie działania należy podjąć dla ochrony tożsamości.

Ochrona prywatności na podstawie Kodeksu cywilnego

RODO nie wyczerpuje dostępnej ochrony. Art. 23 i 24 Kodeksu cywilnego chronią między innymi cześć, nazwisko, wizerunek, tajemnicę korespondencji oraz inne dobra osobiste, w tym prywatność i poczucie bezpieczeństwa.

Możesz żądać:

• zaprzestania publikowania danych,
• usunięcia postów, plików i komentarzy,
• zaprzestania nakłaniania innych osób do kontaktu,
• usunięcia skutków naruszenia,
• opublikowania odpowiedniego oświadczenia,
• zadośćuczynienia za krzywdę,
• zapłaty odpowiedniej sumy na cel społeczny,
• naprawienia szkody majątkowej.

Droga cywilna może być dostępna także wtedy, gdy zastosowanie RODO jest sporne z powodu prywatnego charakteru działania. Trzeba wykazać chronione dobro, zagrożenie lub naruszenie, bezprawność działania oraz prawidłowo wskazać osobę odpowiedzialną.

Jeżeli publikacja obejmuje także zdjęcie lub film, sprawdź poradnik o wykorzystaniu wizerunku bez zgody oraz wzór wezwania do usunięcia wizerunku.

Aktualny Kodeks cywilny znajduje się w oficjalnej bazie ELI.

Odszkodowanie na podstawie art. 82 RODO

Art. 82 RODO przewiduje prawo do otrzymania od administratora lub podmiotu przetwarzającego odszkodowania za szkodę majątkową albo niemajątkową wynikającą z naruszenia rozporządzenia.

Do powstania roszczenia potrzebne są łącznie:

1. naruszenie przepisów RODO,
2. rzeczywista szkoda majątkowa albo niemajątkowa,
3. związek przyczynowy pomiędzy naruszeniem i szkodą.

Sama niezgodność z rozporządzeniem nie tworzy automatycznie prawa do zapłaty. Jednocześnie szkoda niemajątkowa nie musi osiągać z góry określonego wysokiego poziomu dotkliwości. Trzeba jednak wykazać rzeczywisty negatywny skutek, choćby polegał na uzasadnionym lęku przed wykorzystaniem danych, utracie kontroli albo poczuciu narażenia.

Kiedy ujawnienie danych może być przestępstwem

Art. 107 ustawy o ochronie danych osobowych przewiduje odpowiedzialność osoby, która przetwarza dane, choć przetwarzanie nie jest dopuszczalne albo nie jest do niego uprawniona. Typ podstawowy jest zagrożony grzywną, ograniczeniem wolności albo pozbawieniem wolności do lat 2.

Jeżeli czyn dotyczy wymienionych w przepisie danych ujawniających między innymi pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne, przynależność związkową, dane genetyczne, określone dane biometryczne, informacje o zdrowiu, seksualności albo orientacji seksualnej, górna granica pozbawienia wolności wynosi 3 lata.

Nie każde naruszenie prywatności i nie każdy błąd administratora automatycznie wypełniają znamiona art. 107. Trzeba ustalić zakres zastosowania przepisów o danych osobowych, dopuszczalność przetwarzania, uprawnienie sprawcy i pozostałe przesłanki odpowiedzialności karnej.

Aktualny tekst ustawy znajduje się w oficjalnej bazie ELI.

Dane ujawnione w ramach stalkingu lub gróźb

Jeżeli były partner, sąsiad albo anonimowy użytkownik ujawnia kolejne informacje, obserwuje miejsce pobytu i zachęca innych do kontaktu, sprawa może wykraczać poza ochronę danych.

Art. 190a § 1 Kodeksu karnego obejmuje uporczywe nękanie, które wzbudza uzasadnione poczucie zagrożenia, poniżenia lub udręczenia albo istotnie narusza prywatność. Za podstawowy typ stalkingu grozi kara pozbawienia wolności od 6 miesięcy do 8 lat.

Jeżeli publikacji towarzyszy zapowiedź popełnienia przestępstwa, znaczenie może mieć art. 190 KK. Gdy groźba albo przemoc służą wymuszeniu określonego zachowania, należy rozważyć art. 191 KK. Przy podszywaniu się i wykorzystywaniu danych do wyrządzenia szkody może mieć znaczenie art. 190a § 2 KK.

Aktualny Kodeks karny znajduje się w oficjalnej bazie ELI.

Co może wydarzyć się po wezwaniu

Usunięcie posta nie cofnie każdego zrzutu ekranu i nie sprawi, że odbiorcy zapomną poznany adres. Dobrze przygotowane wezwanie może jednak zatrzymać dalsze rozpowszechnianie, uporządkować odpowiedź i pokazać, że adresat znał ryzyko oraz żądania osoby pokrzywdzonej.

Autor pierwotnej publikacji nie zawsze może usunąć kopię utworzoną przez niezależnego użytkownika. Powinien jednak usunąć treści pozostające pod jego kontrolą i, gdy wymaga tego prawo, podjąć działania wobec odbiorców.

Jeżeli strony zawierają ugodę, wskaż dokładne kanały i pliki przeznaczone do usunięcia, sposób poinformowania odbiorców, zakaz dalszego rozpowszechniania, kwotę i termin zapłaty oraz konsekwencje ponownego naruszenia.

Przedawnienie poszczególnych roszczeń

Nie istnieje jeden wspólny termin dla wszystkich roszczeń związanych z ujawnieniem danych.

Niemajątkowe żądania ochrony dóbr osobistych, takie jak zaniechanie i usunięcie skutków naruszenia, co do zasady nie ulegają przedawnieniu. Roszczenia o zapłatę są majątkowe i podlegają terminom zależnym od ich podstawy.

Roszczenie o naprawienie szkody wyrządzonej czynem niedozwolonym podlega zasadom z art. 442¹ KC. Termin jest co do zasady związany z uzyskaniem wiedzy o szkodzie i osobie obowiązanej do jej naprawienia, z dodatkowymi terminami granicznymi i szczególną regulacją szkody wynikającej z przestępstwa.

Termin dochodzenia roszczenia z art. 82 RODO trzeba ustalać z uwzględnieniem charakteru żądania i właściwych przepisów krajowych. Nie należy mechanicznie przyjmować, że każde roszczenie „z RODO” przedawnia się dokładnie w tym samym czasie.

Skargi do UODO również nie warto odkładać. Upływ czasu utrudnia ustalenie odbiorców, zabezpieczenie logów, wykazanie aktualności naruszenia i ograniczenie szkody.