Skala cyberataku na systemy MyDr okazuje się znacznie większa, niż początkowo przypuszczano. Z oficjalnych informacji Ministerstwa Cyfryzacji wynika, że naruszenie może dotyczyć około 18,8 mln osób oraz ponad 12 tys. placówek medycznych korzystających z oprogramowania.
Przejęta baza miała ponad 2 TB danych. W zależności od konkretnej osoby mogły znajdować się w niej informacje identyfikacyjne oraz dane związane z procesem leczenia. Jednocześnie resort podkreślił, że atak nie objął państwowych systemów P1, Internetowego Konta Pacjenta ani systemu e-recept.
Z punktu widzenia odpowiedzialności cywilnej najważniejsze jest jednak pytanie, czy osoby, których informacje znalazły się w przejętej bazie, mogą żądać pieniędzy za utratę kontroli nad swoimi danymi.
Dane medyczne należą do najbardziej wrażliwych informacji o człowieku
RODO obejmuje dane dotyczące zdrowia szczególną ochroną. Ich ujawnienie może prowadzić do konsekwencji znacznie poważniejszych niż utrata zwykłego adresu e-mail czy numeru telefonu.
Informacje o diagnozach, leczeniu, przyjmowanych lekach czy innych aspektach stanu zdrowia dotyczą wyjątkowo prywatnej sfery życia człowieka.
Dlatego przy ocenie potencjalnej krzywdy znaczenie może mieć nie tylko ryzyko wykorzystania danych do oszustwa finansowego, ale również sama utrata kontroli nad informacją, której poszkodowany nigdy nie chciał ujawniać osobom trzecim.
Sam wyciek nie oznacza automatycznie prawa do określonej kwoty
Art. 82 RODO przewiduje możliwość dochodzenia odszkodowania za szkodę majątkową lub niemajątkową spowodowaną naruszeniem rozporządzenia.
TSUE wielokrotnie podkreślał jednak, że samo stwierdzenie naruszenia RODO nie wystarcza jeszcze do automatycznego zasądzenia świadczenia.
Trzeba wykazać trzy elementy: naruszenie przepisów, wystąpienie szkody oraz związek przyczynowy pomiędzy jednym a drugim.
Nie oznacza to jednak konieczności przekroczenia określonego minimalnego poziomu cierpienia. Trybunał odrzucił koncepcję ustawowego „progu powagi”, poniżej którego szkoda niemajątkowa nie podlegałaby kompensacji.
Uzasadniona obawa przed wykorzystaniem danych również może stanowić krzywdę
Szczególnie istotne jest orzecznictwo TSUE wskazujące, że uzasadniona obawa przed przyszłym bezprawnym wykorzystaniem danych może sama w sobie stanowić szkodę niemajątkową.
Nie trzeba więc zawsze czekać, aż ktoś rzeczywiście zaciągnie kredyt na dane poszkodowanego, podszyje się pod niego albo opublikuje informacje o jego zdrowiu.
Trzeba jednak wykazać, że obawa jest rzeczywista i uzasadniona charakterem naruszenia, a nie wyłącznie abstrakcyjna.
W przypadku ogromnej bazy zawierającej dane zdrowotne argument ten może mieć szczególne znaczenie.
Kluczowe będzie ustalenie, jakie dane konkretnej osoby rzeczywiście wyciekły
Skala całego incydentu nie przesądza jeszcze o zakresie szkody konkretnego pacjenta.
Nie wszystkie rekordy musiały zawierać identyczny zestaw informacji. Dlatego pierwszym krokiem przy analizie indywidualnego roszczenia powinno być ustalenie, czy dane danej osoby rzeczywiście znajdowały się w bazie oraz jaki był ich zakres.
Inaczej będzie oceniana sytuacja, w której ujawniono wyłącznie podstawowe dane identyfikacyjne, a inaczej przypadek obejmujący szczegółową historię leczenia i informacje o stanie zdrowia.
Warto dokumentować wszystkie następstwa incydentu
Osoby objęte naruszeniem powinny zachowywać komunikaty administratora, informacje o zakresie wycieku oraz potwierdzenia działań podejmowanych w celu zabezpieczenia swoich danych.
Znaczenie mogą mieć próby phishingu, fałszywe wiadomości, próby zakładania kont lub zaciągania zobowiązań, konieczność zastrzeżenia numeru PESEL czy poniesione wydatki.
W przypadku szkody niemajątkowej ważna może być również możliwość wykazania realnego poczucia zagrożenia wynikającego z utraty kontroli nad wrażliwymi informacjami o zdrowiu.
Kto będzie odpowiadał: placówka czy MyDr?
To może być jedno z najtrudniejszych zagadnień przyszłych procesów.
Poszczególne placówki medyczne są administratorami danych swoich pacjentów, natomiast MyDr występuje jako podmiot przetwarzający dane na ich rzecz.
Prezes UODO prowadzi obecnie kontrolę dotyczącą m.in. zastosowanych środków technicznych i organizacyjnych, oceny ryzyka oraz sposobu testowania zabezpieczeń.
Dalsze ustalenia organu mogą mieć zasadnicze znaczenie dla określenia, który podmiot dopuścił się naruszeń prowadzących do szkody i przeciwko komu należy kierować indywidualne roszczenie.
Przy prawie 19 mln osób problem może mieć bezprecedensową skalę
Nawet jeśli tylko niewielki procent osób objętych incydentem zdecyduje się na dochodzenie roszczeń, liczba potencjalnych postępowań może być ogromna.
Nie oznacza to oczywiście, że wszystkim należy się identyczna kwota. Zadośćuczynienie lub odszkodowanie powinno odpowiadać rzeczywistym skutkom naruszenia dla konkretnej osoby.
Sprawa MyDr może jednak stać się jednym z najważniejszych testów praktycznego funkcjonowania art. 82 RODO w Polsce, szczególnie ze względu na skalę zdarzenia i wyjątkowo wrażliwy charakter danych medycznych.
.