Ekspert Pozywacz.pl · Stan prawny na 24 października 2026 r.
Dzień dobry, w sierpniu dostałam SMS-a i e-maila z przychodni, że moje dane wyciekły z systemu MyDr. PESEL, adres, informacje o wizytach. Od tamtej pory nic się nie wydarzyło: nikt nie wziął kredytu, nie dzwonią do mnie oszuści. Ale łapię się na tym, że sprawdzam konto bankowe dwa razy dziennie, zastrzegłam PESEL i przy każdym nieznanym numerze mam ścisk w żołądku. Znajomi mówią, że skoro nic się nie stało, to nic mi się nie należy. Czy to prawda?
Kasia, 31 lat, księgowa z Łodzi
List powstał na podstawie pytań, które dostajemy od klientów. Imię i szczegóły zmieniliśmy.
Krótka odpowiedź
Nie, to nieprawda. Według Trybunału Sprawiedliwości UE szkodą może być sama uzasadniona obawa, że ktoś wykorzysta Twoje dane, nawet jeśli jeszcze tego nie zrobił. Szkoda nie musi też być „poważna”. Możesz więc żądać od firmy, która odpowiada za Twoje dane, zadośćuczynienia na podstawie art. 82 RODO. W typowej sprawie zaczynamy od wezwania do zapłaty na 2500 zł.
Co możesz zrobić, krok po kroku
- Zachowaj zawiadomienie o wycieku (SMS, e-mail, list). To podstawowy dowód, że Twoje dane objął wyciek.
- Sprawdź swój PESEL w serwisie bezpiecznedane.gov.pl. Zrób zrzut ekranu z wynikiem.
- Zastrzeż PESEL w aplikacji mObywatel albo na gov.pl, jeśli jeszcze tego nie zrobiłaś. To nic nie kosztuje i można to w każdej chwili cofnąć.
- Zapisuj, co się zmieniło po wycieku: częstsze sprawdzanie konta, zmiana haseł, podejrzane telefony, nieprzespane noce. Nawet kilka zdań z datami w notatce w telefonie. Porozmawiaj z bliskimi.
- Wyślij wezwanie do zapłaty do firmy, która odpowiada za Twoje dane (w sprawie MyDr: przychodni, a często także do samego MyDr). Druga strona dostaje zwykle 7-14 dni na zapłatę.
- Jeśli nie zapłaci, zdecyduj o pozwie. Nie musisz decydować od razu, wystarczy po odpowiedzi drugiej strony.
Czy sama obawa to naprawdę szkoda?
Tak. W wyroku z 14 grudnia 2023 r. (sprawa C-340/21) TSUE uznał, że obawa przed tym, że osoby trzecie wykorzystają Twoje dane po wycieku, może sama w sobie stanowić szkodę niemajątkową:
"W związku z tym brzmienie art. 82 ust. 1 RODO nie wyklucza, że pojęcie „szkody niemajątkowej” zawarte w tym przepisie obejmuje sytuację [...] w której osoba, której dane dotyczą, powołuje się, w celu uzyskania odszkodowania na podstawie tego przepisu, na swoją obawę, że jej dane osobowe mogłyby zostać w przyszłości wykorzystane przez osoby trzecie w sposób stanowiący nadużycie ze względu na naruszenie tego rozporządzenia, do którego doszło."
Ważne, żeby obawa była uzasadniona, a nie wymyślona na potrzeby sprawy. Po wycieku PESEL-u, adresu i danych o wizytach lekarskich trudno uznać ją za wymyśloną: sama przychodnia, zawiadamiając Cię, przyznała, że wyciek może nieść wysokie ryzyko.
Inny wyrok TSUE (C-456/22) idzie jeszcze dalej: szkodą może być już sama utrata kontroli nad danymi, nawet krótkotrwała:
"W tych okolicznościach, o ile nic nie stoi na przeszkodzie temu, aby publikacja w Internecie danych osobowych i wynikająca z tego utrata kontroli nad nimi przez krótki okres mogły spowodować po stronie osób, których dane dotyczą, „szkodę niemajątkową” w rozumieniu art. 82 ust. 1 RODO, rodzącą prawo do odszkodowania, o tyle konieczne jest jeszcze, aby osoby te wykazały, że rzeczywiście poniosły taką szkodę, chociażby była ona znikoma."
Czy szkoda musi być duża?
Nie. W wyroku C-300/21 TSUE orzekł, że szkoda niemajątkowa nie musi przekraczać żadnego progu dotkliwości. Nie musisz udowadniać depresji ani zwolnienia lekarskiego. Musisz natomiast opisać, na czym Twoja szkoda polega. Od tego, jak konkretnie ją opiszesz, zależy kwota.
Co trzeba wykazać, a czego nie?
| Musisz pokazać | Nie musisz pokazywać [ale będzie to wzmacniało siłę Twojej sprawy] |
|---|---|
| że Twoje dane objął wyciek (zawiadomienie, bezpiecznedane.gov.pl) | że ktoś już użył Twoich danych |
| na czym polega Twoja szkoda (obawa, utrata kontroli, konkretne działania) | zaświadczenia od lekarza lub psychologa |
| że obawy pojawiły się po wycieku | jak dokładnie doszło do włamania |
| że firma zawiniła - to ona musi wykazać, że zabezpieczenia były odpowiednie |
Ostatni wiersz jest ważny. To firma musi udowodnić, że jej zabezpieczenia były odpowiednie (TSUE, C-340/21, pkt 57), a nie Ty, że były złe.
Co mówi prawo
- Art. 82 ust. 1 RODO: każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo do odszkodowania od administratora lub podmiotu przetwarzającego.
- Art. 82 ust. 3 RODO: firma uniknie odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy.
- Art. 32 RODO: firma musi stosować zabezpieczenia odpowiednie do ryzyka. Przy danych o zdrowiu poprzeczka jest wysoko.
- Art. 448 w zw. z art. 23 i 24 Kodeksu cywilnego: wyciek narusza też Twoją prywatność jako dobro osobiste.
- Wyroki TSUE: C-300/21 (brak progu dotkliwości), C-340/21 (obawa jako szkoda, ciężar dowodu po stronie firmy), C-456/22 (utrata kontroli nad danymi).
Co dalej u Kasi
Kasia ma zawiadomienie z przychodni, wynik z bezpiecznedane.gov.pl i notatkę z tym, co zrobiła po wycieku: zastrzeżony PESEL, zmienione hasła, codzienne sprawdzanie konta. To wystarcza na wezwanie do zapłaty 2500 zł do przychodni i do MyDr. Jeśli żadna z firm nie zapłaci w terminie, decyzję o pozwie podejmie po ich odpowiedzi. Nie wiemy, czy zapłacą. Wiemy, że jej sprawa nie jest „o nic”. Dalszym gromadzeniem dowodów może zająć się już w razie ewentualnej odmowy zapłaty na podstawie wezwania i na potrzeby przygotowania pozwu.
Najczęstsze pytania
Czy muszę czekać, aż ktoś użyje moich danych?
Nie. Według TSUE szkodą jest już uzasadniona obawa i utrata kontroli nad danymi. Czekanie niczego nie poprawia, a roszczenie się przedawnia (zwykle po 3 latach).
Czy zastrzeżenie PESEL osłabia moją sprawę?
Nie, wzmacnia ją. To dowód, że wyciek realnie zmienił Twoje zachowanie i że zadbałeś o swoje bezpieczeństwo.
Ile mogę dostać?
W typowej sprawie żądamy 2500 zł. Więcej, gdy okoliczności wykraczają poza zwykłą obawę, np. przy danych o leczeniu albo próbie wykorzystania danych. Szczegóły w tekście.
Czy to oznacza od razu sprawę w sądzie?
Nie. Zaczynamy od wezwania do zapłaty. Wiele spraw kończy się na tym etapie albo po odpowiedzi drugiej strony wiadomo, czy pozew ma sens.
Sprawdź swoją sprawę
Opisz nam krótko, co przyszło od firmy, a bezpłatnie ocenimy, czy masz roszczenie. Jeśli tak, przygotujemy wezwanie do zapłaty za 99 zł, zwykle w 24 godziny. Jeśli po analizie prawnik uzna, że wezwanie jest oczywiście bezzasadne, oddamy całą wpłatę. A jeśli wezwanie nie zadziała, pozew przygotujemy w zamrożonej cenie 299 zł.
Sprawdź, czy przysługuje Ci zadośćuczynienie →Tekst ma charakter informacyjny i nie zastępuje porady prawnej w Twojej sprawie. Pozywacz.pl jest platformą legal-tech, nie kancelarią.