• Dane medyczne nawet 19 mln Polaków mogły zostać objęte incydentem w systemach MyDr.
  • Polskie sądy w podobnych sprawach przyznawały najczęściej od 1 tys. do 3 tys. zł.
  • Sam wyciek z MyDr nie gwarantuje pieniędzy, poszkodowany musi wykazać szkodę i jej związek z naruszeniem.

Wyciek z MyDr może dotyczyć milionów pacjentów

Dokładna skala incydentu nadal jest ustalana. Według medialnych szacunków wykradzione informacje mogą dotyczyć niemal 19 mln osób oraz około 12 tys. placówek medycznych korzystających z oprogramowania MyDr.

Urząd Ochrony Danych Osobowych podkreśla, że MyDr pełniło rolę podmiotu przetwarzającego, natomiast administratorami danych pozostają poszczególne placówki medyczne. To one muszą ocenić ryzyko i zdecydować, czy konieczne jest zawiadomienie UODO oraz pacjentów.

Prezes UODO rozpoczął kontrolę zabezpieczeń stosowanych przez MyDr. Kontrolerzy sprawdzą między innymi środki techniczne i organizacyjne, regularność testowania zabezpieczeń oraz sposób przeprowadzenia analizy ryzyka. Wyniki postępowania mogą mieć znaczenie przy ustalaniu odpowiedzialności za incydent.

Dane dotyczące zdrowia są przez RODO traktowane jako szczególna kategoria informacji. Ich ujawnienie może prowadzić nie tylko do prób oszustwa lub kradzieży tożsamości, ale również do naruszenia prywatności, reputacji i poczucia bezpieczeństwa pacjenta.

Ile można dostać za wyciek z MyDr?

Dotychczasowe orzeczenia polskich sądów nie potwierdzają możliwości automatycznego uzyskania kilkudziesięciu tysięcy złotych. W sprawach, w których nie doszło do rzeczywistego wykorzystania danych, a poszkodowani wskazywali głównie na stres i poczucie zagrożenia, zadośćuczynienia najczęściej wynosiły od 1 tys. do 3 tys. zł.

– W takich sprawach zdarzały się zadośćuczynienia na poziomie 1-3 tys. zł – wskazał Sławomir Kowalski, partner w kancelarii Just_LAW, cytowany przez „Rzeczpospolitą” w analizie dotyczącej MyDr.

Prawnik zaznaczył jednak, że sprawa MyDr dotyczy danych o zdrowiu, dlatego w niektórych przypadkach sądy mogą przyznawać wyższe kwoty. Znaczenie może mieć rodzaj ujawnionych informacji. Inaczej oceniony może zostać wyciek podstawowej informacji o wizycie, a inaczej dokumentacja dotycząca leczenia psychiatrycznego, onkologicznego lub choroby zakaźnej.

Znane są również pojedyncze przypadki wysokich zadośćuczynień. W jednej ze spraw sąd przyznał 40 tys. zł osobie, której dane przesłano do 28 366 instytucji i podmiotów. Była to jednak sytuacja wyjątkowa, której nie należy bezpośrednio porównywać z każdym naruszeniem.

Można wygrać sprawę i stracić pieniądze

Ryzyko finansowe pokazuje sprawa klienta serwisu pożyczkowego MoneyMan.pl. Poszkodowany domagał się 30 tys. zł, argumentując, że po wycieku danych odczuwał silny lęk, stał się nerwowy i miał problemy w codziennym funkcjonowaniu.

Sąd uznał, że doszło do naruszenia jego praw, ale przyznał tylko 1,5 tys. zł. Powód poniósł natomiast koszty przekraczające 8 tys. zł. W praktyce wygrał więc postępowanie, ale zakończył je ze stratą finansową.

Podobne kwoty przyznawano w sprawach przeciwko ubezpieczycielom, którzy bezprawnie przekazali dane klientów innym podmiotom. Osoby żądające 10 tys. lub 20 tys. zł otrzymywały po 1,5 tys. zł, ponieważ poza obawą przed wykorzystaniem danych nie wykazały dalszych konsekwencji.

Wysokość żądania wpływa na opłatę od pozwu, wynagrodzenie pełnomocnika i sposób rozliczenia kosztów procesu. Jeżeli sąd uwzględni tylko niewielką część roszczenia, może uznać, że powód przegrał większość sprawy i powinien pokryć odpowiednią część wydatków.

Samo naruszenie RODO nie wystarczy

Podstawą roszczenia może być art. 82 RODO. Do uzyskania rekompensaty konieczne jest jednak wykazanie naruszenia przepisów, poniesienia szkody materialnej lub niematerialnej oraz związku między naruszeniem i szkodą.

Trybunał Sprawiedliwości UE potwierdził, że uzasadniona obawa przed wykorzystaniem danych może stanowić szkodę niematerialną. Poszkodowany musi jednak wykazać rzeczywiste negatywne konsekwencje. Jak wynika z orzeczenia TSUE dotyczącego art. 82 RODO, samo stwierdzenie naruszenia przepisów nie tworzy automatycznie prawa do wypłaty.

Znaczenie mogą mieć potwierdzenie z placówki, dokumentacja dotycząca prób oszustwa, zgłoszenia podejrzanych wiadomości, dowody zastrzeżenia PESEL oraz informacje o wpływie incydentu na życie poszkodowanego. Każdy przypadek będzie oceniany indywidualnie.

Eksperci radzą również poczekać na wyniki kontroli UODO. Mogą one pomóc ustalić, kto odpowiada za poszczególne elementy naruszenia i przeciwko komu powinno zostać skierowane ewentualne roszczenie.

Niezależnie od decyzji o pozwie pacjenci powinni zastrzec PESEL, zachować ostrożność wobec telefonów i wiadomości oraz uważnie analizować informacje przesyłane przez placówki. Takie działania zaleca Urząd Ochrony Danych Osobowych.

Czytaj także:

Ile trzeba zarabiać, by należeć do klasy średniej? Lokalizacja zmienia wszystko

Z Polski deportowano już 6 tys. cudzoziemców. Większość z nich to Ukraińcy

Donald Trump kupił akcje SpaceX. Stara miłość do Elona Muska nie rdzewieje