19 mln Polaków może iść po pieniądze do sądu. Odszkodowanie za wyciek danych z MyDr

Wyciek danych z MyDr potwierdził 12 sierpnia wicepremier i minister cyfryzacji Krzysztof Gawkowski. Z systemów MyDr, z których korzystało 12 tys. placówek, przestępcy skopiowali ponad 2 TB plików: numery PESEL, dane kontaktowe, informacje o wizytach, receptach i lekach.

Prezes UODO mówił we wrześniu, że placówek może być bliżej 15 tys. Sama spółka utrzymuje, że dane najprawdopodobniej mają charakter historyczny i pochodzą z 2024 roku lub lat wcześniejszych.

Dane o zdrowiu RODO traktuje osobno, jako tzw. szczególną kategorię, czyli informacje, których ujawnienie boli bardziej niż wyciek adresu e-mail. Prezes UODO Mirosław Wróblewski tłumaczy w Interii, że chodzi o najbardziej intymną sferę życia, chronioną też tajemnicą lekarską.

– Niektóre schorzenia są wciąż stygmatyzowane społecznie, a wyciek takich informacji, szczególnie w przypadku osób publicznych, może stać się narzędziem szantażu – mówi Mirosław Wróblewski.

Z rozmowy w Interii wynika, że urząd rozdziela dwie role w całej sprawie. MyDr to podmiot przetwarzający dane na zlecenie, a administratorami są placówki medyczne (od małych gabinetów po duże sieci). Kontrola UODO obejmuje przede wszystkim MyDr i sprawdza zabezpieczenia techniczne, dokumentację oraz to, czy firma rzetelnie oceniła ryzyko.

Jak podaje UODO, do 17 września do urzędu wpłynęło ponad 2 tys. zawiadomień o naruszeniu od administratorów danych oraz ponad 50 skarg i sygnałów od obywateli. Każdy administrator ma na zgłoszenie 72 godziny, ale liczone dopiero od chwili, gdy dowie się, których pacjentów wyciek dotyczy. Całe postępowanie potrwa miesiące.

Wróblewski nakładał już wysokie kary na placówki medyczne, m.in. łącznie ponad 1,1 mln zł na krakowskie Centrum Medyczne Ujastek za ukryty monitoring na oddziale noworodków i brak zabezpieczeń kart pamięci.

– Jeśli podmiot zarabia duże pieniądze na przetwarzaniu danych milionów pacjentów, musi ponosić konsekwencje za brak ich należytej ochrony – zaznacza prezes UODO.

Kara dla firmy nie trafi jednak do pacjenta, tylko zasili budżet państwa. Poszkodowany ma osobną drogę, czyli własny pozew. Może go wytoczyć przed sądem cywilnym na bazie art. 82 RODO o prawie do odszkodowania.

"Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę" – czytamy.

Pytanie o to, czy można liczyć na pieniądze za samą obawę, zadała prezesowi UODO także Interia. Chodzi o wyrok TSUE z 14 grudnia 2023 roku (sprawa C-340/21), w którym Trybunał uznał, że sama obawa przed wykorzystaniem danych przez osoby trzecie może stanowić szkodę niemajątkową.

Nie oznacza to jednak automatycznej wypłaty, bo o odszkodowaniu decyduje sąd, a poszkodowany musi swoją szkodę wykazać.

– W Polsce z tego uprawnienia korzysta się stosunkowo rzadko, szczególnie w porównaniu do innych państw Unii Europejskiej – przyznaje prezes UODO i dodaje, że trudno mu przewidzieć, jak będzie w tej sprawie.

Jeden z pacjentów pozwał już MyDr. Jak opisuje serwis Polityka Zdrowotna, sprawa trafiła do Sądu Rejonowego dla Warszawy-Mokotowa, po tym jak mężczyzna bez odpowiedzi wezwał spółkę do zapłaty 30 tys. zł.

Zanim ruszy jakikolwiek pozew, powinniśmy się już teraz zabezpieczyć i powiadomić o tym bliskich. Zastrzeżenie PESEL trwa kilka sekund w aplikacji mObywatel, na stronie mObywatel.gov.pl albo w dowolnym urzędzie gminy. Jest bezpłatne.

Blokada nie pozwala zaciągnąć kredytu na nasze nazwisko, kupić sprzętu na raty ani wyrobić duplikatu karty SIM. Od 1 czerwca 2024 roku banki mają obowiązek sprawdzić rejestr przed udzieleniem pożyczki. Wizyt u lekarza ani spraw urzędowych to nie blokuje, a przed wizytą u notariusza ochronę można zdjąć na chwilę i zaraz włączyć z powrotem.

Dane z MyDr zostały wykradzione, a największym ryzykiem pozostaje phishing, czyli podszywanie się pod bank albo urząd. Oszust, który zna nasz PESEL i nazwę przychodni, brzmi wiarygodnie. Dlatego szczególnie narażeni są seniorzy, częściej korzystający z opieki medycznej. Warto im spokojnie wytłumaczyć, jak nie dać się oszustom.

Sprawdzić, czy nasz numer PESEL znalazł się w wycieku, można w rządowym serwisie bezpiecznedane.gov.pl. Wystarczy zalogować się aplikacją mObywatel, bankowością elektroniczną, e-dowodem lub profilem zaufanym. Serwis pokazuje tylko sam fakt wycieku, a o tym, jakie dane o nas wyciekły, może poinformować wyłącznie placówka, w której się leczyliśmy.