Twoje recepty i wizyty u lekarza wyciekły? Sprawdź, komu możesz wystawić rachunek

Skala incydentu jest ogromna, ale jeszcze większe może okazać się pytanie o jego konsekwencje prawne. Czy osoby, których dane znalazły się w skradzionej bazie, mogą domagać się pieniędzy? Kogo mogą pozwać? I czy w grę może wchodzić odpowiedzialność Skarbu Państwa?

RODO daje prawo do odszkodowania za wyciek danych

Podstawowym przepisem jest art. 82 RODO. Przewiduje on prawo do odszkodowania za szkodę majątkową lub niemajątkową poniesioną w wyniku naruszenia rozporządzenia. To właśnie na tej podstawie dochodzone jest w polskich sądach odszkodowanie za wyciek danych osobowych. Co istotne, szkoda nie musi oznaczać utraty pieniędzy. Może mieć również charakter niemajątkowy, czyli w grę może wchodzić naruszenie prywatności, utrata kontroli nad własnymi danymi czy uzasadniona obawa przed ich wykorzystaniem.

Jednocześnie nie działa tutaj zasada: „wyciek nastąpił, więc automatycznie należy się 5000 zł”. Orzecznictwo Trybunału Sprawiedliwości UE wyraźnie wskazuje, że samo naruszenie RODO nie wystarcza. Poszkodowany musi wykazać szkodę oraz związek przyczynowy między naruszeniem a tą szkodą. TSUE uznaje jednak, że utrata kontroli nad danymi może sama w sobie stanowić szkodę niemajątkową, jeżeli zostanie wykazana w konkretnej sprawie. Warto w tym miejscu wspomnieć, że najwyższe odszkodowanie za naruszenie opisywanego artykułu RODO zostało przyznane przez Sąd Okręgowy w Warszawie i wynosiło 20 tys. złotych.

Prywatny pozew może opierać się również na Kodeksie cywilnym

Poszkodowani mogą mieć także podstawy do dochodzenia roszczeń na gruncie polskiego prawa cywilnego. Art. 23 Kodeksu cywilnego chroni dobra osobiste człowieka. Katalog tych dóbr jest otwarty, a w przypadku wycieku danych medycznych szczególne znaczenie może mieć ochrona prywatności i informacji dotyczących zdrowia.

Z kolei art. 24 KC pozwala osobie, której dobro osobiste zostało naruszone, żądać m.in. zaniechania naruszenia oraz usunięcia jego skutków. Przepis przewiduje również możliwość żądania zadośćuczynienia pieniężnego. Jeszcze dalej idzie art. 448 KC, który pozwala sądowi przyznać odpowiednią sumę tytułem zadośćuczynienia za doznaną krzywdę albo odpowiednią sumę na wskazany cel społeczny.

Jeżeli natomiast wyciek doprowadził do konkretnej straty finansowej, znaczenie może mieć również art. 415 KC, ustanawiający ogólną zasadę odpowiedzialności za szkodę wyrządzoną z winy sprawcy. Nie oznacza to oczywiście, że każdy poszkodowany automatycznie wygra proces. Sąd będzie musiał ustalić m.in. charakter naruszenia, rozmiar krzywdy, rzeczywistą szkodę oraz odpowiedzialność konkretnego pozwanego.

Dane medyczne to zupełnie inna kategoria ryzyka

W przypadku zwykłego wycieku danych kontaktowych można mówić o ryzyku spamu czy phishingu. Tutaj stawka jest znacznie wyższa. Informacja o recepcie, przyjmowanym leku czy wizycie u konkretnego lekarza może ujawniać bardzo wrażliwe informacje o zdrowiu człowieka. Jeżeli takie dane trafią do pracodawcy, ubezpieczyciela, kontrahenta, znajomych czy osób próbujących wykorzystać je do szantażu, konsekwencje mogą być trudne do odwrócenia. Może to mieć istotne znaczenie także przy ocenie wysokości zadośćuczynienia.

Numery PESEL w skradzionej bazie

Jeżeli w wycieku znalazły się także numery ewidencyjne, pierwszym odruchem powinno być zastrzeżenie PESEL, które utrudnia wyłudzenie kredytu na cudze dane.

Kto właściwie powinien zapłacić za wyciek z MyDr?

Może to być najtrudniejsza część całej sprawy. Nie należy automatycznie przyjmować, że za wszystko odpowiada MyDr. Odpowiedzialność za wyciek danych zależy bowiem od roli, jaką konkretny podmiot pełnił przy ich przetwarzaniu. Z informacji UODO wynika, że z oprogramowania firmy korzystało wiele placówek medycznych. W takim modelu trzeba ustalić, kto był administratorem danych, kto podmiotem przetwarzającym oraz jakie obowiązki w zakresie bezpieczeństwa spoczywały na poszczególnych uczestnikach systemu.

Jeżeli okaże się, że zawiodły procedury bezpieczeństwa konkretnego administratora, odpowiedzialność może dotyczyć również tego podmiotu. Z drugiej strony sam fakt korzystania z zewnętrznego dostawcy oprogramowania nie oznacza automatycznie winy placówki.

A co ze Skarbem Państwa?

W tej kwestii powstają jeszcze bardziej skomplikowane pytania. Jeżeli w konkretnym przypadku dane były administrowane przez podmiot publiczny i zostanie wykazane naruszenie obowiązków po jego stronie, może pojawić się odpowiedzialność państwa. Nie można jednak powiedzieć, że sam fakt, iż chodzi o dane medyczne obywateli, powoduje odpowiedzialność Skarbu Państwa. Podobną drogą szli już frankowicze, którzy złożyli pozew zbiorowy przeciwko państwu.

Najpierw trzeba ustalić cały łańcuch odpowiedzialności, czyli kto posiadał dane, kto decydował o sposobie ich przetwarzania, kto odpowiadał za zabezpieczenia i czy doszło do zaniedbań. Właśnie dlatego potencjalne pozwy mogą być kierowane przeciwko różnym podmiotom, a niekoniecznie przeciwko jednemu przedsiębiorstwu.

Ile może kosztować taki wyciek danych medycznych?

Bardzo prosta symulacja sprawia, że pojawiają się liczby, które robią ogromne wrażenie. Gdyby czysto hipotetycznie tylko 1 mln osób otrzymało średnio 1000 zł rekompensaty, łączna kwota wyniosłaby 1 mld zł. Gdyby podobne roszczenia objęły 10 mln osób, byłoby to już 10 mld zł.

Przy 19 mln potencjalnie dotkniętych osób:

Oczywiście nie jest to żadna prognoza odszkodowań, a jedynie matematyczna ilustracja potencjalnej skali. Nie istnieje żadna ustawowa taryfa, zgodnie z którą każda z 19 mln osób otrzyma określoną kwotę.

Co więcej, nawet ustalenie, że doszło do naruszenia, nie oznacza automatycznie prawa do odszkodowania. Orzecznictwo TSUE wymaga również wykazania poniesionej szkody.

Czy czeka nas fala pozwów o dane medyczne?

Niewykluczone. Przy takiej skali incydentu może pojawić się wyspecjalizowany rynek dochodzenia roszczeń, analogicznie jak przy kredytach frankowych czy niedozwolonych klauzulach w kredytach hipotecznych. Poszkodowani mogą próbować dochodzić pieniędzy indywidualnie, a w określonych sytuacjach możliwe są również mechanizmy grupowego dochodzenia roszczeń. Problem polega jednak na tym, że skala potencjalnych poszkodowanych nie oznacza skali wygranych procesów. Każda sprawa będzie wymagała oceny odpowiedzialności i szkody.

Najważniejsze pytanie dopiero przed nami

Cyberatak na MyDr może okazać się nie tylko największym wyciekiem danych medycznych w historii Polski, lecz także wielkim testem dla polskiego prawa cywilnego i praktycznego stosowania RODO. Państwo będzie musiało odpowiedzieć na pytanie, czy system ochrony danych był wystarczający, firmy — czy właściwie zabezpieczyły powierzone informacje, a sądy — ile warta jest utrata kontroli nad najbardziej prywatnymi informacjami o człowieku.

Jedno jest już pewne: przy 19 mln potencjalnie dotkniętych osób nawet niewielkie, jednostkowe rekompensaty mogą w sumie oznaczać miliardy złotych roszczeń. Dlatego prawdziwy rachunek za ten wyciek dopiero zaczyna się pojawiać. I nie będzie się go wystawiać hakerom, lecz — jeżeli zostanie wykazana odpowiedzialność — firmom, placówkom medycznym, a w określonych przypadkach być może także podmiotom publicznym.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj