Ekspert Pozywacz.pl · Stan prawny na 24 października 2026 r.
Cześć, od lat chodzę do tej samej przychodni. W wiadomościach mówili, że wyciekły dane milionów pacjentów, ale ja nie dostałem żadnego SMS-a ani maila. Napisałem do przychodni dwa tygodnie temu z pytaniem, czy moje dane też wyciekły. Cisza. Dzwoniłem, pani w rejestracji powiedziała, że „nic nie wie”. Nie chcę robić afery, jeśli mnie to nie dotyczy, ale nie chcę też przegapić czegoś ważnego. Jak mam to sprawdzić?
Tomek, 29 lat, programista z Wrocławia
List powstał na podstawie pytań, które dostajemy od klientów. Imię i szczegóły zmieniliśmy.
Krótka odpowiedź
Najszybciej sprawdzisz to w rządowym serwisie bezpiecznedane.gov.pl, który pokazuje, czy Twój PESEL pojawił się w znanych wyciekach. Równolegle wyślij do firmy pisemny wniosek z art. 15 RODO: firma ma miesiąc na odpowiedź i musi napisać, jakie Twoje dane przetwarza i komu je ujawniła. Milczenie firmy nie zamyka Ci drogi do zadośćuczynienia, a może być dodatkowym naruszeniem.
Co możesz zrobić, krok po kroku
- Wejdź na bezpiecznedane.gov.pl i zaloguj się przez login.gov.pl (profil zaufany, bankowość, mObywatel). Serwis pokaże, czy Twój PESEL znalazł się w wycieku, który trafił do bazy.
- Zrób zrzut ekranu wyniku z widoczną datą. Wynik pozytywny to mocny dowód, nawet bez zawiadomienia od firmy.
- Przejrzyj pocztę i SMS-y, także folder „spam” i „oferty”. Zawiadomienia o wycieku często trafiają tam, bo przychodzą masowo.
- Wyślij wniosek o dostęp do danych (art. 15 RODO) mailem na adres podany w polityce prywatności firmy albo listem poleconym. Wzór znajdziesz niżej.
- Zapisz każdą próbę kontaktu: datę maila, datę i godzinę telefonu, co usłyszałeś.
- Po miesiącu bez odpowiedzi masz dwie rzeczy: brak odpowiedzi na wniosek (osobne naruszenie RODO) i, jeśli bezpiecznedane.gov.pl potwierdza wyciek, podstawę do wezwania do zapłaty.
Co napisać we wniosku do firmy?
Wystarczy kilka zdań. Na przykład:
„Na podstawie art. 15 RODO proszę o informację: (1) czy przetwarzacie Państwo moje dane osobowe i jakie, (2) czy moje dane zostały objęte naruszeniem ochrony danych zgłoszonym w [miesiąc] 2026 r., a jeśli tak, to jakie kategorie danych, (3) komu moje dane zostały ujawnione, z podaniem nazw odbiorców. Imię i nazwisko, data urodzenia, adres e-mail używany w kontaktach z Państwem.”
Nie musisz podawać PESEL-u w mailu. Firma ma inne sposoby, żeby Cię zidentyfikować, a jeśli będzie potrzebowała więcej, sama o to poprosi.
Ile firma ma czasu na odpowiedź?
Miesiąc od otrzymania wniosku (art. 12 ust. 3 RODO). W skomplikowanych sprawach może przedłużyć termin o kolejne dwa miesiące, ale w ciągu pierwszego miesiąca musi Cię o tym poinformować i podać powód. Odpowiedź „nic nie wiem” w rejestracji nie jest odpowiedzią na wniosek. Firma powinna odpowiedzieć na piśmie.
Firma musi też podać konkretne nazwy odbiorców Twoich danych, a nie tylko ogólne „kategorie odbiorców” (TSUE, wyrok C-154/21, pkt 51).
Co dają poszczególne źródła informacji?
| Źródło | Co pokazuje | Czy to dowód? |
|---|---|---|
| bezpiecznedane.gov.pl | czy Twój PESEL jest w znanym wycieku | tak, zrób zrzut ekranu |
| zawiadomienie od firmy (SMS, e-mail, list) | które dane wyciekły, kto jest administratorem | tak, najlepszy |
| odpowiedź na wniosek z art. 15 | jakie dane firma ma i komu je ujawniła | tak |
| media, komunikat firmy na stronie | że wyciek był, ale nie że objął Ciebie | pomocniczo |
| rozmowa telefoniczna | zwykle nic konkretnego | tylko Twoja notatka |
Co mówi prawo
- Art. 15 RODO: prawo dostępu do danych, w tym informacja o odbiorcach.
- Art. 12 ust. 3 RODO: miesiąc na odpowiedź, wyjątkowo dłużej.
- Art. 34 RODO: gdy wyciek może powodować wysokie ryzyko, firma musi bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą.
- TSUE C-154/21, pkt 51: prawo do nazw i adresów odbiorców, nie tylko ich kategorii.
Co dalej u Tomka
Tomek sprawdził PESEL w bezpiecznedane.gov.pl: jest w wycieku MyDr. Zrobił zrzut ekranu i wysłał do przychodni wniosek z art. 15. Nie musi czekać na odpowiedź, żeby wysłać wezwanie do zapłaty. Jeśli przychodnia dalej będzie milczeć, w wezwaniu znajdzie się także brak zawiadomienia i brak odpowiedzi na wniosek. To wykorzystamy w ewentualnym wezwaniu o zapłatę.
Najczęstsze pytania
Czy bezpiecznedane.gov.pl pokazuje wszystkie wycieki?
Nie. Serwis pokazuje wycieki, których dane trafiły do bazy, i nie zawsze od razu po ujawnieniu. Wynik negatywny nie znaczy więc, że Twoich danych na pewno nie ma w wycieku. Dlatego warto równolegle wysłać wniosek z art. 15.
Czy wniosek z art. 15 coś kosztuje?
Nie. Pierwsza kopia danych jest bezpłatna.
Czy wysłanie wniosku zepsuje mi relację z przychodnią?
Nie powinno. To zwykłe prawo pacjenta i klienta, a dobrze zorganizowana firma ma na takie wnioski procedurę.
Czy muszę mieć zawiadomienie, żeby żądać zadośćuczynienia?
Nie. Wystarczy inny dowód, że Twoje dane objął wyciek, np. wynik z bezpiecznedane.gov.pl albo odpowiedź firmy na wniosek.
Sprawdź swoją sprawę
Opisz nam krótko, co wiesz o wycieku i co odpisała firma (jeśli w ogóle odpisała). Bezpłatnie ocenimy, czy masz roszczenie. Jeśli tak, przygotujemy wezwanie do zapłaty za 99 zł, zwykle w 24 godziny. Jeśli po analizie prawnik uzna, że wezwanie jest oczywiście bezzasadne, oddamy całą wpłatę.
Sprawdź, czy przysługuje Ci zadośćuczynienie →Tekst ma charakter informacyjny i nie zastępuje porady prawnej w Twojej sprawie. Pozywacz.pl jest platformą legal-tech, nie kancelarią.