Wyciek danych z MyDr: czy należy Ci się odszkodowanie?

Może się należeć. Podstawą jest art. 82 RODO: każdy, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów o ochronie danych, może żądać odszkodowania. Samo znalezienie się w bazie nie wystarczy - trzeba wykazać naruszenie, szkodę (także uzasadnioną obawę przed wykorzystaniem danych) i związek między nimi.

W dotychczasowych polskich sprawach o wyciek danych sądy zasądzały najczęściej od 1 do 3 tys. zł, przeciętnie ok. 1,5 tys. zł. Dane medyczne są szczególnie chronione, więc kwoty mogą być nieco wyższe. Pojedyncze wyroki na kilkadziesiąt tysięcy złotych to wyjątki. Nie ma jeszcze żadnego wyroku w sprawie MyDr.

Administratorem danych jest placówka medyczna, a MyDr to podmiot przetwarzający (dostawca systemu). Administrator odpowiada za szkodę co do zasady. Podmiot przetwarzający odpowiada, gdy nie dopełnił obowiązków nałożonych na niego przez RODO albo działał wbrew poleceniom administratora. Jeśli odpowiadają obaj, odpowiadają solidarnie. Wybór pozwanego warto oprzeć na ustaleniach UODO.

Warto go śledzić, bo ustalenia UODO pokażą, kto zawinił i jakie zabezpieczenia zawiodły - to najlepszy materiał dowodowy. Nie trzeba jednak czekać z zebraniem dokumentów ani z zapytaniem placówki o zakres wycieku. Jeżeli przed UODO toczy się postępowanie w sprawie tego samego naruszenia, sąd i tak zawiesi proces cywilny do jego zakończenia.

Na razie kancelarie zbierają zapytania, a eksperci wskazują, że pozew zbiorowy jest możliwy (wymaga co najmniej 10 osób z roszczeniami tego samego rodzaju). Problemem może być to, że różnym osobom wyciekł różny zakres danych, więc realniejsze są grupy lub podgrupy poszkodowanych niż jeden pozew za wszystkich.

Do roszczeń z art. 82 RODO stosuje się przepisy o czynach niedozwolonych, więc co do zasady masz 3 lata od dnia, w którym dowiedziałeś się o szkodzie i o tym, kto za nią odpowiada. Nie ma więc potrzeby działać w pośpiechu, ale dowody (np. podejrzane SMS-y, próby wyłudzeń) warto zbierać od razu.

Zachowaj go i prześlij nam dalej na mydr@pozywacz.pl - to najprostszy sposób zgłoszenia sprawy. Zawiadomienie od administratora danych jest dowodem: wynika z niego, kto i kiedy Cię powiadomił oraz jaki zakres danych objął incydent. Dopisz na górze wiadomości imię i nazwisko, telefon oraz nazwę placówki, w której się leczysz. Nie masz takiego maila? Opisz sprawę własnymi słowami na ten sam adres - przejrzymy materiały i powiemy, co dalej.

Koszt sprawy zaczyna się od 99 zł. Ta kwota dotyczy sprawy, w której przygotowujemy jedno wezwanie do zapłaty - gotowe pismo dostajesz od nas i wysyłasz je do adresata samodzielnie. Dokładną wycenę podajemy bezpłatnie po konsultacji, gdy nasi prawnicy zweryfikują przesłane przez Ciebie materiały - dopiero wtedy wiadomo, jaki jest zakres sprawy i ile pism trzeba przygotować. Sama konsultacja i wycena nic nie kosztują.

Uważaj. Po dużych wyciekach przestępcy podszywają się pod przychodnie, urzędy i kancelarie, obiecując szybkie odszkodowanie za „opłatę manipulacyjną” albo prosząc o dane do logowania. Nie klikaj w linki, nie podawaj danych i nie płać. Zachowaj taką wiadomość - może być dowodem szkody w Twojej sprawie.