Ekspert Pozywacz.pl · Stan prawny na 26 października 2026 r.
Dzień dobry, dostałam zawiadomienie o wycieku. Podpisała je moja przychodnia, ale z treści wynika, że włamanie było do systemu MyDr, z którego przychodnia korzysta. Przychodnia pisze, że „to nie ich system”, a MyDr na stronie, że „działa na zlecenie placówek”. Każdy wskazuje na kogoś innego. Chcę wysłać wezwanie do zapłaty, ale nie chcę go wysłać do niewłaściwej firmy i stracić czasu. Kto właściwie odpowiada?
Ania, 34 lata, fizjoterapeutka z Poznania
List powstał na podstawie pytań, które dostajemy od klientów. Imię i szczegóły zmieniliśmy.
Krótka odpowiedź
Odpowiadają obie firmy, i to solidarnie. Przychodnia jest administratorem Twoich danych, czyli decyduje, po co i jak są przetwarzane. MyDr jest podmiotem przetwarzającym, czyli przetwarza je na zlecenie przychodni. Według art. 82 ust. 4 RODO możesz żądać całej kwoty od każdej z nich. Dlatego wysyłamy dwa pisma, z tą samą kwotą, w cenie jednego wezwania.
Co możesz zrobić, krok po kroku
- Przeczytaj zawiadomienie i znajdź zdanie „jako administrator danych”. Ta firma jest administratorem. Zwykle to przychodnia, sklep albo usługodawca, z którym masz umowę.
- Sprawdź, czy zawiadomienie wskazuje podmiot przetwarzający (np. „dostawca systemu”, „podmiot, któremu powierzyliśmy dane”). Jeśli tak, to drugi adresat.
- Zapisz pełne nazwy i adresy obu firm. Dane rejestrowe sprawdzisz w KRS albo CEIDG.
- Wyślij wezwanie do obu firm, z tą samą kwotą. W każdym piśmie warto zaznaczyć, że drugie wezwanie poszło równolegle.
- Przyjmij zapłatę tylko raz. Jeśli zapłaci jedna firma, roszczenie wobec drugiej wygasa w tej części.
Czym różni się administrator od podmiotu przetwarzającego?
Administrator decyduje o celach i sposobach przetwarzania danych (art. 4 pkt 7 RODO). Podmiot przetwarzający przetwarza dane w imieniu administratora (art. 4 pkt 8 RODO), na podstawie umowy powierzenia.
| Administrator | Podmiot przetwarzający | |
|---|---|---|
| Kto to zwykle jest | przychodnia, sklep, usługodawca | dostawca systemu (np. MyDr) |
| Skąd ma Twoje dane | od Ciebie, bo korzystasz z jego usług | od administratora |
| Za co odpowiada | za całe przetwarzanie, w tym za wybór i kontrolę dostawcy | za swoje obowiązki z RODO i za działanie wbrew poleceniom administratora |
| Czy możesz od niego żądać pieniędzy | tak | tak, gdy szkoda wynika z jego naruszenia |
Czy przychodnia może się zasłonić tym, że „to nie ich system”?
Nie. Administrator może korzystać tylko z dostawców, którzy zapewniają wystarczające gwarancje ochrony danych (art. 28 ust. 1 RODO). Za wybór dostawcy i nadzór nad nim odpowiada przychodnia. TSUE orzekł też, że administratora nie zwalnia nawet wykazanie, że wydał polecenia, a ktoś działający z jego upoważnienia ich nie wykonał (C-741/21, pkt 51 i 52). Argument „to wina dostawcy” nie kończy więc sprawy.
A jeśli w zawiadomieniu nie ma MyDr?
Wtedy wysyłasz wezwanie tylko do administratora. To on i tak odpowiada za całość, a w ramach wezwania możesz zażądać informacji, komu powierzył Twoje dane (art. 15 RODO). W wezwaniach, które przygotowujemy nasi prawnicy standardowo zawsze zawierają żądanie z art. 15 RODO, aby przygotować potencjalną sprawę sądową. Jeśli z odpowiedzi wyniknie, że był podmiot przetwarzający, można skierować do niego osobne pismo.
Co mówi prawo
- Art. 4 pkt 7 i 8 RODO: definicje administratora i podmiotu przetwarzającego.
- Art. 28 ust. 1 RODO: administrator wybiera tylko dostawców z wystarczającymi gwarancjami.
- Art. 82 ust. 2 RODO: podmiot przetwarzający odpowiada, gdy nie dopełnił swoich obowiązków albo działał wbrew poleceniom administratora.
- Art. 82 ust. 4 RODO: gdy szkodę spowodowało kilku uczestników, każdy odpowiada za całą szkodę.
- TSUE C-741/21, pkt 51 i 52: polecenia, których nie wykonano, nie zwalniają administratora.
Co dalej u Ani
Ania ma w zawiadomieniu oba podmioty: przychodnię jako administratora i MyDr jako dostawcę systemu. Wysyła dwa wezwania z tą samą kwotą, w cenie jednego wezwania. Jeśli któraś z firm zapłaci, sprawa się kończy. Jeśli żadna, decyzja o pozwie zapada po ich odpowiedziach. Wtedy też będzie wiadomo, przeciwko komu pozew ma większy sens.
Najczęstsze pytania
Czy mogę dostać pieniądze od obu firm?
Nie podwójnie. To jedno roszczenie. Możesz żądać całości od każdej firmy, ale gdy jedna zapłaci, druga nie musi płacić już za to samo.
Czy wysłanie pisma do przychodni oznacza, że zepsuję relację z lekarzem?
Wezwanie trafia do firmy, która prowadzi przychodnię, nie do Twojego lekarza. To zwykła sprawa cywilna o pieniądze.
A jeśli przychodnia już nie istnieje albo zmieniła nazwę?
Sprawdź ją w KRS lub CEIDG po NIP. Często zmienia się tylko nazwa, a firma działa dalej. Przy przejęciu odpowiedzialność zwykle przechodzi na następcę.
Sprawdź swoją sprawę
Wyślij nam zawiadomienie, które dostałeś. Sprawdzimy, kto jest administratorem, a kto podmiotem przetwarzającym, i bezpłatnie ocenimy Twoje roszczenie. Wezwanie kosztuje 99 zł, a gdy są dwie firmy, oba pisma są w tej cenie.
Darmowa Ocena Sprawy
Źródła: RODO (rozporządzenie 2016/679) · TSUE C-741/21
Tekst ma charakter informacyjny i nie zastępuje porady prawnej w Twojej sprawie. Pozywacz.pl jest platformą legal-tech, nie kancelarią.