Samo potwierdzenie obecności danych nie oznacza jednak automatycznej wypłaty. Aby otrzymać odszkodowanie lub zadośćuczynienie, trzeba wykazać konkretną szkodę albo krzywdę oraz jej związek z naruszeniem przepisów o ochronie danych.

Wyciek danych z MyDr. Skala incydentu może być ogromna

MyDr dostarcza rozwiązania do obsługi elektronicznej dokumentacji medycznej. Z systemów spółki korzystało około 12 tys. placówek, a incydent może dotyczyć danych blisko 19 mln osób. Nie oznacza to jednak, że w każdym przypadku przejęto dokładnie ten sam zestaw informacji.

Na rządowej stronie Bezpieczne Dane można sprawdzić, czy numer PESEL znajduje się w bazie powiązanej z cyberatakiem. Wynik nie pokazuje jednak pełnego zakresu informacji objętych zdarzeniem. Szczegółów należy szukać w zawiadomieniu od administratora danych, którym w przypadku pacjenta może być przychodnia lub inna placówka medyczna.

Urząd Ochrony Danych Osobowych wskazuje, że obowiązek powiadomienia osób dotkniętych incydentem spoczywa na administratorach korzystających z usług MyDr. Taki komunikat powinien wyjaśniać charakter naruszenia, możliwe konsekwencje i środki podjęte w celu ograniczenia ryzyka.

Czy za wyciek danych należy się odszkodowanie?

Roszczenie może opierać się na art. 82 RODO, który przewiduje możliwość uzyskania odszkodowania za szkodę majątkową lub niemajątkową spowodowaną naruszeniem przepisów. Nie wystarczy jednak wykazać samego naruszenia.

Osoba dochodząca pieniędzy powinna udowodnić trzy elementy: naruszenie RODO, rzeczywistą szkodę lub krzywdę oraz związek przyczynowy między tymi zdarzeniami. Wynik z rządowej strony może być zatem istotnym dowodem, ale nie przesądza jeszcze o przyznaniu rekompensaty.

Szkoda majątkowa może obejmować między innymi utracone pieniądze, koszty związane z próbą wyłudzenia lub wydatki poniesione na ograniczenie skutków wykorzystania danych. Szkodą niemajątkową może być natomiast rzeczywista i uzasadniona obawa przed kradzieżą tożsamości, utrata kontroli nad informacjami czy długotrwałe poczucie zagrożenia.

Trybunał Sprawiedliwości Unii Europejskiej uznaje, że krzywda nie musi przekraczać określonego progu dotkliwości. Strach czy obawa przed wykorzystaniem danych nie mogą być jednak wyłącznie deklaracją. Sąd oceni, czy negatywne skutki faktycznie wystąpiły i zostały odpowiednio wykazane.

Jakie dowody warto zgromadzić?

Pierwszym krokiem powinno być zachowanie wyniku uzyskanego w serwisie Bezpieczne Dane. Warto również zgromadzić zawiadomienie od przychodni, korespondencję dotyczącą zakresu naruszenia oraz odpowiedź administratora na pytanie, jakie dokładnie informacje zostały objęte incydentem.

Znaczenie mogą mieć także podejrzane wiadomości SMS i e-maile, informacje o próbach zaciągnięcia zobowiązań, alerty kredytowe, historia operacji bankowych oraz potwierdzenia zgłoszeń do banku, policji lub innych instytucji. Jeżeli wyciek spowodował wydatki, należy zachować rachunki i faktury.

Przy roszczeniu dotyczącym krzywdy pomocne mogą być dokumenty pokazujące rzeczywisty wpływ zdarzenia na codzienne życie. Każda sprawa jest jednak oceniana indywidualnie, dlatego liczy się spójny opis konsekwencji poparty możliwie konkretnymi dowodami.

Od kogo żądać zapłaty po incydencie MyDr?

Nie można z góry przyjąć, że w każdej sprawie odpowiada wyłącznie MyDr albo każda placówka korzystająca z jej usług. Odpowiedzialność może ponosić administrator danych, podmiot przetwarzający lub oba podmioty – zależnie od ich obowiązków i okoliczności zdarzenia.

Przed wysłaniem wezwania do zapłaty trzeba ustalić, kto był administratorem danych konkretnego pacjenta i jakie działanie lub zaniechanie mogło doprowadzić do szkody. Sam fakt, że atak przeprowadzili cyberprzestępcy, nie wyłącza automatycznie odpowiedzialności administratora.

Jednocześnie podmiot może się od niej uwolnić, jeżeli wykaże, że w żaden sposób nie odpowiada za zdarzenie powodujące szkodę.

Wezwanie do zapłaty, skarga do UODO czy pozew?

Osoba poszkodowana może najpierw skierować do właściwego podmiotu pisemne wezwanie do zapłaty. Dokument powinien wskazywać naruszenie, opisywać jego skutki, określać żądaną kwotę i zawierać dowody uzasadniające roszczenie. W przypadku odmowy możliwe jest skierowanie sprawy do sądu cywilnego.

Skarga do Prezesa UODO służy innemu celowi. Urząd może zbadać sposób przetwarzania danych, nakazać usunięcie nieprawidłowości lub zdecydować o nałożeniu kary administracyjnej. Taka kara nie trafia jednak do osoby poszkodowanej i nie zastępuje roszczenia cywilnego.

Ustalenia urzędu mogą natomiast okazać się ważne w późniejszym postępowaniu dowodowym.

Ile wynosi odszkodowanie za wyciek danych?

Nie istnieje oficjalny cennik rekompensat za naruszenie RODO. Jak opisuje WP Finanse, w kilku wcześniejszych polskich sprawach sądy przyznawały po 1,5 tys. zł, a w jednej z nich 1 tys. zł.

Wyroki te dotyczyły jednak konkretnych zdarzeń i nie stanowią gwarantowanej stawki dla osób związanych z incydentem MyDr.

Wysokość ewentualnego świadczenia zależy od rodzaju danych, skali naruszenia i jego następstw. Sam niepokój może uzasadniać niższą kwotę niż sytuacja, w której doszło do wyłudzenia kredytu, kradzieży środków, szantażu lub ujawnienia informacji o zdrowiu.

Co zrobić od razu po potwierdzeniu obecności danych?

Nie czekając na rozstrzygnięcie dotyczące odpowiedzialności, warto zastrzec numer PESEL w aplikacji mObywatel, serwisie gov.pl albo urzędzie gminy. UODO zaleca również szczególną ostrożność wobec telefonów, SMS-ów i e-maili, w których ktoś próbuje zdobyć dodatkowe informacje lub nakłonić odbiorcę do kliknięcia w link.

Dobrym krokiem jest też zmiana powtarzających się haseł, włączenie uwierzytelniania dwuskładnikowego i aktywowanie powiadomień o operacjach bankowych. Wszystkie podejrzane kontakty należy zachowywać – mogą pomóc zarówno w ochronie przed oszustwem, jak i w późniejszym udowodnieniu skutków naruszenia.

Każda sprawa wymaga osobnej oceny, zwłaszcza przy ustalaniu odpowiedzialnego podmiotu i wysokości roszczenia. W bardziej skomplikowanych przypadkach warto skonsultować dokumenty z prawnikiem specjalizującym się w ochronie danych osobowych.

To też może cię zainteresować: Z życia wzięte. Brat pojawił się dopiero po pogrzebie ojca. U notariusza dowiedział się, kim jest nieznajoma kobieta w testamencie

Zobacz, o czym jeszcze pisaliśmy w ostatnich dniach: Wyciek danych może dotyczyć 19 mln Polaków. Rząd uruchomił stronę, na której sprawdzisz swój PESEL