Wyciek danych 19 mln osób. Prezes UODO: Poszkodowani mogą żądać odszkodowania

Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski podkreśla, że sprawa jest szczególnie poważna, ponieważ dotyczy danych medycznych. Poszkodowani mogą natomiast dochodzić odszkodowań na podstawie przepisów RODO. Do wycieku doszło w wyniku ataku na firmę MyDr, z której usług – według informacji przekazanych przez wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego – korzystało około 12 tys. placówek medycznych.

Prezes UODO Mirosław Wróblewski w rozmowie z Interią przyznał, że pod względem liczby osób nie jest to największy przypadek ujawnienia danych w Polsce. – Jeśli brać pod uwagę samą skalę, to nominalnie jest to drugi tak duży przypadek – powiedział. Jak wyjaśnił, największy dotychczas przypadek dotyczył tzw. wyborów kopertowych, kiedy dane wszystkich pełnoletnich obywateli zostały przekazane Poczcie Polskiej. Obecny incydent ma jednak zupełnie inny charakter.

– Obecna sytuacja jest jednak zgoła odmienna, bo mamy do czynienia z bezpośrednią działalnością przestępczą. Dotyczy ona milionów osób i, co kluczowe, obejmuje dane szczególnych kategorii, czyli informacje o stanie zdrowia. Można zatem uznać, że pod względem wrażliwości danych jest to największy znany nam dotychczas incydent – zaznaczył Wróblewski.

Poszkodowani mogą domagać się pieniędzy

Dane dotyczące zdrowia należą do szczególnie chronionych informacji. Prezes UODO zwrócił uwagę, że ich ujawnienie może mieć dla poszkodowanych poważne konsekwencje. – Ponieważ dotyczą one najbardziej intymnych sfer naszego życia i naszej autonomii informacyjnej. Każdy z nas ma prawo zachować informacje o swoim zdrowiu dla siebie, co jest również chronione tajemnicą lekarską – tłumaczył.

Wróblewski wskazał również na ryzyko wykorzystania takich informacji m.in. do szantażu, szczególnie wobec osób publicznych. Dane medyczne mogą mieć ponadto znaczną wartość dla firm zainteresowanych profilowaniem klientów.

Do UODO zaczęły już napływać zgłoszenia dotyczące naruszenia ochrony danych. – Obecnie mamy blisko tysiąc takich zgłoszeń – poinformował prezes urzędu.

Wyjaśnił, że MyDr jest w tej sytuacji podmiotem przetwarzającym dane, natomiast ich administratorami są poszczególne placówki medyczne. Firma powinna poinformować je, których pacjentów oraz jakich kategorii danych dotyczył wyciek. Od momentu otrzymania takich informacji administrator ma 72 godziny na zgłoszenie naruszenia do UODO.

Ważne konsekwencje mogą pojawić się również na gruncie prawa cywilnego. Osoby, których dane zostały naruszone, mają możliwość wystąpienia o odszkodowanie. – Każda osoba, której dane naruszono, ma prawo dochodzić odszkodowania za straty materialne i niematerialne, o których pani mówi, na podstawie art. 82 RODO. Są to indywidualne decyzje pokrzywdzonych i postępowania toczone przed sądami cywilnymi – powiedział Wróblewski.