Upomnienia za Google Fonts mogą stracić podstawę. Rzecznik generalny TSUE widzi w nich nadużycie prawa

9 listopada 2026

Masowe upomnienia za czcionki Google Fonts, które od 2022 r. trafiały do właścicieli stron i sklepów internetowych w krajach niemieckojęzycznych, mogą stracić oparcie w prawie Unii Europejskiej. Rzecznik generalny Trybunału Sprawiedliwości UE Maciej Szpunar w opinii z 5 listopada 2026 r. w sprawie C-654/25 uznał roszczenia odszkodowawcze osób, które celowo i masowo prowokują naruszenia RODO, za nadużycie prawa. Opinia rzecznika generalnego to niewiążąca propozycja rozstrzygnięcia, którą jeden z doradców Trybunału przedstawia sędziom przed wydaniem wyroku. Trybunał nie musi się nią kierować, ale w wielu sprawach przyjmuje podobne rozumowanie, dlatego sprzedawcy, którzy dostali takie pismo, mają powody, by do niego wrócić.

Rzecznik generalny TSUE: celowo sprowokowane roszczenia z RODO to nadużycie prawa

Opinia odpowiada na trzy kwestie. Pierwsza dotyczy dynamicznego adresu IP, czyli numeru, który dostawca internetu przydziela urządzeniu użytkownika na czas połączenia i który później może trafić do innej osoby. Według Szpunara taki adres jest daną osobową, jeżeli odbiorca danych dysponuje środkami, które rozsądnie można wykorzystać do ustalenia tożsamości użytkownika, a operator strony wie lub powinien wiedzieć, że odbiorca takie środki ma. Druga kwestia dotyczy art. 82 RODO, który daje każdemu, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów o ochronie danych, prawo do odszkodowania od administratora. Rzecznik uważa, że osoba, która świadomie, automatycznie i wielokrotnie wywołuje naruszenie tylko po to, by zażądać pieniędzy, nie ponosi szkody podlegającej naprawieniu.

Trzecia teza ma dla sklepów największą wagę. Szpunar proponuje traktować roszczenie jako nadużycie prawa, gdy głównym motywem jest zysk finansowy, a przesłanki roszczenia zostały stworzone sztucznie i celowo. Rzecznik porównuje takie działania do praktyk tzw. trolli praw autorskich, czyli podmiotów, które budują model biznesowy na masowym dochodzeniu roszczeń od przypadkowych naruszycieli. Niemiecka kancelaria IT-Recht Kanzlei, obsługująca sklepy internetowe, ocenia, że jeśli Trybunał przyjmie to stanowisko, masowe upomnienia oparte na automatycznie wykrytych błędach technicznych staną się znacznie mniej opłacalne. Ta sama kancelaria zwraca uwagę, że podobne pisma trafiają dziś także do stron wizytówek bez sklepu, a kryterium zamiaru, od którego zależy uznanie nadużycia, pozostaje nieostre.

Skąd wzięła się fala upomnień za Google Fonts

Google Fonts to bezpłatna biblioteka ponad 1500 krojów pisma udostępniana przez Google. Wiele motywów sklepów i stron firmowych osadzało ją dynamicznie: przeglądarka klienta przy każdym otwarciu strony pobierała czcionkę bezpośrednio z serwera Google, a wraz z zapytaniem przekazywała adres IP odwiedzającego do Google w USA. Sąd krajowy w Monachium (Landgericht München I, sąd okręgowy pierwszej instancji) orzekł 20 stycznia 2022 r. w sprawie 3 O 17493/20, że takie przekazanie bez zgody użytkownika narusza RODO, i zasądził od właściciela strony 100 euro odszkodowania. Sąd uznał, że operator nie miał uzasadnionego interesu w przesyłaniu danych do Google, bo czcionki można umieścić na własnym serwerze i używać ich bez łączenia się z Google. Zakazał też dalszego przekazywania adresu IP powoda pod groźbą grzywny do 250 000 euro.

Wyrok stał się punktem wyjścia dla zorganizowanej akcji. Program typu crawler, czyli automat przeszukujący strony internetowe, wyszukiwał witryny z dynamicznie osadzonymi czcionkami Google. Po trafieniu drugi program odwiedzał stronę i wywoływał przekazanie adresu IP do Google, co następnie dokumentowano. W październiku 2022 r. adwokat z Berlina w imieniu klienta przedstawianego jako członek „Interessengemeinschaft Datenschutz”, czyli rzekomego stowarzyszenia na rzecz ochrony danych, rozsyłał upomnienia z propozycją zakończenia sprawy za 170 euro. Według niemieckiego Federalnego Trybunału Sprawiedliwości (Bundesgerichtshof, BGH, najwyższy sąd w sprawach cywilnych) pozwani wysłali ponad 100 000 takich pism. IT-Recht Kanzlei szacuje liczbę podobnych upomnień w krajach niemieckojęzycznych na kilkaset tysięcy, zwykle z żądaniem od 100 do 200 euro.

W grudniu 2022 r. prokuratura generalna w Berlinie (Generalstaatsanwaltschaft Berlin) przeszukała biuro adwokata i lokale jego klienta w ramach śledztwa w sprawie oszustwa i wymuszenia. Postępowanie objęło co najmniej 2418 przypadków, prokuratura zabezpieczyła około 346 000 euro, a według ustaleń śledczych zapłaciło około 2000 adresatów pism.

Trzy pytania niemieckiego Federalnego Trybunału Sprawiedliwości

Sprawa, która trafiła do Luksemburga, zaczęła się od 170 euro. Właściciel strony internetowej z dynamicznie osadzonymi czcionkami Google zapłacił żądaną kwotę 25 października 2022 r., przed terminem wyznaczonym na 3 listopada. Po doniesieniach mediów o skali akcji zażądał zwrotu pieniędzy, a gdy go nie dostał, wystąpił do sądu. Sąd rejonowy w Hanowerze 12 lipca 2023 r. przyznał mu 70 euro. Sąd okręgowy w Hanowerze 1 lipca 2024 r. zasądził od autora pisma i adwokata solidarnie całe 170 euro na podstawie § 826 niemieckiego kodeksu cywilnego (BGB), czyli przepisu o umyślnym wyrządzeniu szkody w sposób sprzeczny z dobrymi obyczajami. Pozwani złożyli rewizję do BGH, który postanowieniem z 28 sierpnia 2025 r. (sygn. VI ZR 258/24) zawiesił postępowanie i skierował do TSUE pytania prejudycjalne, czyli prośbę o wiążącą wykładnię prawa UE. Wniosek wpłynął do Trybunału 6 października 2025 r.

Czy dynamiczny adres IP jest daną osobową

BGH zapytał, czy wystarczy, że dodatkowe informacje pozwalające ustalić tożsamość użytkownika ma ktoś trzeci, na przykład dostawca internetu, czy też liczy się to, czy administrator lub odbiorca danych ma rozsądnie dostępne środki identyfikacji. Monachijski sąd w 2022 r. przyjął, że wystarcza abstrakcyjna możliwość ustalenia tożsamości przez urząd i operatora telekomunikacyjnego. Szpunar stawia wyższy próg, ale nie wyłącza adresów IP spod RODO. Dla właściciela sklepu płynie z tego jasna wskazówka: przekazywanie adresów IP klientów zewnętrznym dostawcom nadal może być przetwarzaniem danych osobowych, za które odpowiada operator strony.

Szkoda niemajątkowa z art. 82 RODO i motyw zarobkowy

Drugie pytanie dotyczy osoby, która sama wywołuje naruszenie, żeby je udokumentować i dochodzić odszkodowania, a także sytuacji, w której robi to automatycznie i na masową skalę. Trzecie pytanie BGH zadał na wypadek, gdyby Trybunał uznał, że szkoda w takich okolicznościach powstaje: czy można wtedy odmówić odszkodowania z powodu nadużycia prawa, gdy formalne przesłanki są spełnione, ale cel przepisów nie, a jedynym motywem był zysk. Rzecznik odpowiada, że szkody nie ma, a model nastawiony na zarobek jest nadużyciem.

Polskie sklepy z niemiecką wersją strony a ryzyko upomnień

RODO obowiązuje tak samo w Polsce i w Niemczech, a crawler szukający czcionek Google nie sprawdzał, gdzie zarejestrowana jest firma. Liczyło się tylko to, czy strona ładowała zasoby z serwerów Google. Na tę samą listę mogły więc trafić polskie marki prowadzące niemieckojęzyczny sklep na WooCommerce, Shopify czy PrestaShop, jeżeli motyw albo wtyczka pobierały czcionki z zewnątrz. Sprzedawca obecny wyłącznie na Amazon czy Allegro nie kontroluje kodu stron platformy, ale ryzyko dotyczy go w przypadku własnego sklepu, strony marki lub stron docelowych kampanii reklamowych.

Pierwszy scenariusz: polski producent akcesoriów domowych, który w 2022 r. zapłacił 170 euro, żeby uniknąć sporu z niemieckim adwokatem. Sprawa z Hanoweru pokazuje, że niemieckie sądy mogą nakazać zwrot takiej kwoty, a ostateczne rozstrzygnięcie BGH zapadnie po wyroku Trybunału. Kwota jest niewielka, więc o tym, czy warto dochodzić zwrotu, decyduje koszt pomocy prawnej. Drugi scenariusz: sklep z odzieżą, który nie zapłacił, ale podpisał oświadczenie o zaniechaniu naruszeń z karą umowną. Takie zobowiązanie wiąże niezależnie od opinii rzecznika. Z prawnikiem warto sprawdzić, czy można je wypowiedzieć, czy zapłacone kwoty da się odzyskać i czy roszczenia się nie przedawniły.

Co zrobić ze starym upomnieniem i jak zabezpieczyć sklep

Najpierw porządek w dokumentach: pismo, potwierdzenie przelewu, korespondencja i ewentualne podpisane oświadczenia powinny trafić do jednego folderu, bo będą potrzebne, jeżeli po wyroku Trybunału sprzedawca zdecyduje się dochodzić zwrotu. Nowe pismo o podobnej treści, z żądaniem kilkuset euro za „naruszenie” wykryte przez automat, warto przed zapłatą pokazać prawnikowi znającemu niemiecki rynek, a nie traktować jak rachunku do opłacenia.

Opinia nie zwalnia jednak z obowiązków wynikających z RODO. Najprostsze zabezpieczenie to lokalne hostowanie czcionek: pliki krojów pisma leżą na serwerze sklepu, a przeglądarka klienta nie łączy się z Google przy wczytywaniu strony. Monachijski sąd wskazał to rozwiązanie już w 2022 r., a dla większości motywów oznacza ono jednorazową pracę programisty. Ten sam mechanizm przekazywania adresu IP działa przy osadzonych mapach, filmach wideo czy zabezpieczeniach formularzy typu reCAPTCHA, dlatego przegląd kodu sklepu powinien objąć wszystkie zasoby ładowane z zewnętrznych serwerów. Usługi, których nie da się przenieść na własny serwer, sklep powinien uruchamiać dopiero po zgodzie klienta w banerze cookies, czyli okienku zgód wyświetlanym przy pierwszej wizycie.

Sprzedawcy cross-border łatwo policzą koszty. Jedno upomnienie to 170 euro i czas obsługi klienta poświęcony na wyjaśnianie sprawy, a przy kilku domenach językowych ryzyko rośnie z każdą wersją sklepu. Najpierw wyrok wyda Trybunał Sprawiedliwości UE, a dopiero potem BGH rozstrzygnie spór o zwrot 170 euro, który może stać się wzorcem dla tysięcy podobnych przypadków.