Po ujawnieniu informacji o ogromnym wycieku danych związanym z systemem MyDr w internecie szybko pojawiły się informacje o możliwości dochodzenia przez pacjentów wysokich zadośćuczynień. Padają kwoty kilku, kilkunastu, a niekiedy nawet kilkudziesięciu tysięcy złotych. Dotychczasowe orzecznictwo polskich sądów nakazuje jednak podchodzić do takich zapowiedzi z dużą ostrożnością.
Nie ulega wątpliwości, że sprawa jest poważna. Według informacji przekazywanych przez UODO incydent może dotyczyć danych związanych z działalnością tysięcy placówek medycznych. Prezes Urzędu Ochrony Danych Osobowych zdecydował o przeprowadzeniu kontroli w spółce MyDr, obejmującej m.in. stosowane zabezpieczenia, analizę ryzyka i sposób reagowania na zagrożenia. Rzeczywista skala naruszenia i zakres danych dotyczących poszczególnych pacjentów nadal są ustalane.
RODO daje prawo do odszkodowania, ale sam wyciek nie oznacza automatycznie wypłaty pieniędzy
Podstawą dochodzenia roszczenia może być art. 82 RODO. Przepis ten przewiduje prawo do odszkodowania za szkodę majątkową lub niemajątkową poniesioną wskutek naruszenia przepisów RODO.
To jednak bardzo istotne: samo stwierdzenie naruszenia przepisów dotyczących ochrony danych nie wystarcza jeszcze do otrzymania pieniędzy.
Trybunał Sprawiedliwości Unii Europejskiej wskazuje, że muszą wystąpić łącznie trzy elementy: naruszenie RODO, szkoda oraz związek przyczynowy pomiędzy naruszeniem a powstałą szkodą. Jednocześnie szkoda niemajątkowa nie musi przekraczać określonego „minimalnego poziomu dotkliwości”. Poszkodowany musi jednak wykazać, że rzeczywiście jej doznał.
W praktyce właśnie wykazanie szkody może okazać się największym problemem.
Strach przed wykorzystaniem danych może być szkodą – ale trzeba go wykazać
TSUE dopuścił możliwość uznania za szkodę niemajątkową także obawy, że wykradzione dane zostaną wykorzystane przez osoby trzecie. Nie oznacza to jednak, że wystarczy powiedzieć przed sądem: „bałem się, że ktoś wykorzysta moje dane”.
Sąd powinien ocenić konkretną sytuację poszkodowanego i sprawdzić, czy jego obawy były uzasadnione. Znaczenie może mieć m.in. zakres ujawnionych danych, ich charakter, możliwość wykorzystania ich do kradzieży tożsamości, wyłudzeń czy naruszenia prywatności oraz rzeczywisty wpływ zdarzenia na życie poszkodowanego.
W przypadku MyDr szczególne znaczenie może mieć fakt, że potencjalnie chodzi również o dane dotyczące zdrowia. Inaczej może być oceniany wyciek podstawowych danych identyfikacyjnych, a inaczej ujawnienie informacji o chorobie, leczeniu psychiatrycznym, stosowanych lekach czy innych szczególnie prywatnych kwestiach.
Nie oznacza to jednak automatycznie wysokiego zadośćuczynienia.
Dotychczas polskie sądy nie zasądzały wysokich kwot
W publikacji „Rzeczpospolitej”, na którą powołuje się również Rynek Zdrowia, zwrócono uwagę, że w wielu dotychczasowych polskich sprawach dotyczących nieuprawnionego ujawnienia danych pojawiała się kwota około 1,5 tys. zł.
Przykładowo w sprawie dotyczącej wycieku danych z serwisu pożyczkowego MoneyMan.pl poszkodowany domagał się 30 tys. zł. Sąd uznał naruszenie i przyznał zadośćuczynienie, ale tylko w wysokości 1,5 tys. zł. Podobne kwoty zasądzano w innych sprawach dotyczących nieuprawnionego przekazania danych. Zdarzały się również kwoty około 1 tys. zł.
Wyjątkiem była sprawa, w której dane jednej osoby trafiły do ponad 28 tys. instytucji i podmiotów. Wówczas sąd zasądził aż 40 tys. zł, podkreślając jednak wyjątkową skalę naruszenia. Tego orzeczenia trudno zatem traktować jako punkt odniesienia dla przeciętnego przypadku.
Nawet kilka tysięcy złotych w sprawie MyDr nie jest więc pewne
Informacje o „tysiącach złotych za wyciek danych” mogą tworzyć błędne wrażenie, że osoba, której dane znalazły się wśród danych objętych incydentem, będzie mogła niemal automatycznie otrzymać kilka tysięcy złotych.
Tak nie jest.
Możliwa jest również sytuacja, w której sąd stwierdzi naruszenie, ale nie dopatrzy się szkody niemajątkowej uzasadniającej zapłatę zadośćuczynienia. Możliwe jest także przyznanie kwoty znacznie niższej niż oczekiwana.
Dlatego na obecnym etapie nawet poziom kilku tysięcy złotych należy traktować nie jako standardową stawkę, lecz jako kwotę, której uzyskanie będzie zależało od okoliczności konkretnej sprawy.
Szczególnie słabe mogą być sprawy osób, które nie wykażą żadnych konkretnych negatywnych następstw zdarzenia i ograniczą się wyłącznie do wskazania, że ich dane mogły znaleźć się wśród danych objętych incydentem.
Zbyt wysokie żądanie może oznaczać problem z kosztami procesu
Znaczenie ma również prawidłowe określenie wysokości żądania. W sprawach o zadośćuczynienie sąd może uwzględnić powództwo jedynie częściowo, co ma wpływ na rozliczenie kosztów procesu.
Dobrym ostrzeżeniem jest wspomniana sprawa MoneyMan.pl. Powód żądał 30 tys. zł, a otrzymał 1,5 tys. zł. Według informacji przytoczonych przez „Rzeczpospolitą” jego koszty przekroczyły 8 tys. zł. Formalnie więc wygrał sprawę, ale jej ekonomiczny rezultat był dla niego niekorzystny.
To jeden z powodów, dla których należy ostrożnie podchodzić do pojawiających się już zapowiedzi dochodzenia po kilkanaście czy kilkadziesiąt tysięcy złotych od osoby.
W sprawie MyDr warto najpierw ustalić, jakie konkretnie dane wyciekły
Na obecnym etapie istotniejsze od szybkiego składania pozwu może być zgromadzenie informacji i dokumentów.
Osoba, która otrzyma zawiadomienie o naruszeniu, powinna je zachować. Istotne będzie przede wszystkim ustalenie, jakie jej dane były objęte incydentem i jakie ryzyko wiąże się z ich ujawnieniem.
UODO zaleca osobom dotkniętym incydentem m.in. rozważenie zastrzeżenia numeru PESEL oraz szczególną ostrożność wobec podejrzanych wiadomości, prób phishingu i prób wyłudzenia dodatkowych informacji. Urząd wskazuje też, że osoby zainteresowane mogą korzystać z praw wynikających z RODO i zwracać się do administratora swoich danych.
Warto również dokumentować rzeczywiste konsekwencje incydentu: podejrzane wiadomości, próby wyłudzeń, konieczność podejmowania dodatkowych działań zabezpieczających czy inne okoliczności pokazujące, w jaki sposób utrata kontroli nad danymi wpłynęła na konkretną osobę.
Z pozwem nie trzeba się spieszyć
Duże znaczenie dla przyszłych roszczeń może mieć wynik kontroli prowadzonej przez Prezesa UODO. Dopiero jej rezultaty mogą dokładniej wyjaśnić przyczyny incydentu, zastosowane zabezpieczenia oraz odpowiedzialność poszczególnych podmiotów.
Na razie trzeba więc zachować dystans zarówno wobec twierdzeń, że za wyciek „nic się nie należy”, jak i wobec reklam obiecujących dziesiątki tysięcy złotych.
Roszczenia związane z wyciekiem danych z MyDr są prawnie możliwe. W przypadku danych medycznych mogą istnieć podstawy do poważniejszej oceny krzywdy niż przy zwykłym ujawnieniu danych kontaktowych. Nie oznacza to jednak, że każda osoba otrzyma kilka czy kilkanaście tysięcy złotych.
Dotychczasowe polskie orzecznictwo pokazuje raczej coś przeciwnego: nawet kilka tysięcy złotych może w konkretnej sprawie okazać się kwotą pozostającą poza zasięgiem poszkodowanego, jeżeli nie będzie on w stanie wykazać rzeczywistej szkody i jej związku z wyciekiem danych.