Gigantyczny wyciek danych medycznych. Pacjent żąda 30 tys. zł

Mężczyzna twierdzi, że naruszenie wywołało u niego poczucie zagrożenia i utraty kontroli nad informacjami dotyczącymi jego zdrowia. Jeśli firma nie spełni żądania, zapowiada skierowanie sprawy do sądu. RODO daje możliwość dochodzenia rekompensaty za szkodę materialną lub niematerialną, ale jej przyznanie nie jest automatyczne.

Sprawa wycieku danych z systemu MyDr może mieć swój dalszy ciąg przed sądem. Jeden z pacjentów zdecydował się wystąpić z konkretnym roszczeniem finansowym. Mieszkaniec Kostrzyna nad Odrą, który otrzymał informacje dotyczące naruszenia bezpieczeństwa swoich danych, zażądał od firmy 30 tys. zł odszkodowania i zadośćuczynienia.

– Za poczucie zagrożenia i utratę kontroli nad moimi danymi domagam się niezwłocznej wypłaty 30 tys. zł – powiedział "Faktowi".

Mężczyzna 14 września wysłał do firmy wezwanie do zapłaty listem poleconym. Wyznaczył 14-dniowy termin. Jeśli jego roszczenie nie zostanie uwzględnione, zapowiada wystąpienie na drogę sądową.

Dane osobowe, PESEL i informacje o zdrowiu

Sprawa dotyczy cyberataku na firmę Medily, właściciela platformy MyDr, z której korzystają placówki medyczne. CERT Polska informował, że atakujący uzyskali nieuprawniony dostęp do danych części pacjentów. Zakres naruszenia zależy od konkretnej placówki i pacjenta.

Wśród informacji, które mogły zostać ujawnione, znalazły się m.in. dane identyfikacyjne i kontaktowe, numery PESEL oraz informacje dotyczące zdrowia i leczenia. To właśnie ta ostatnia kategoria sprawia, że incydent jest szczególnie poważny – dane o zdrowiu są w RODO zaliczane do szczególnych kategorii danych osobowych.

Mieszkaniec Kostrzyna pierwsze ostrzeżenie otrzymał 8 września, około miesiąca po incydencie. Później miały dotrzeć do niego kolejne informacje związane z placówkami medycznymi w Gorzowie Wielkopolskim i Pułtusku.

Pacjent chce teraz dokładnie wiedzieć, jakie jego dane zostały ujawnione oraz na jakim etapie znajdują się działania prowadzone po cyberataku.

Po otrzymaniu ostrzeżenia zastrzegł także swój numer PESEL. – Skoro pacjenci powierzyli placówkom medycznym swoje najważniejsze dane osobowe i zdrowotne, to ich ochrona powinna być absolutnym priorytetem. Cóż, zostaliśmy pokrzywdzeni – powiedział.

Czy za wyciek danych należy się odszkodowanie?

RODO rzeczywiście daje osobom poszkodowanym możliwość dochodzenia pieniędzy. Zgodnie z art. 82 rozporządzenia osoba, która poniosła szkodę majątkową lub niemajątkową wskutek naruszenia RODO, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.

Istotne znaczenie ma również orzecznictwo Trybunału Sprawiedliwości UE. TSUE uznał, że obawa przed potencjalnym wykorzystaniem danych przez osoby trzecie może sama w sobie stanowić szkodę niemajątkową. Musi jednak zostać ocenione, czy w konkretnym przypadku taka obawa jest uzasadniona. W razie sporu to sąd będzie oceniał okoliczności konkretnej sprawy, charakter naruszenia oraz wykazywaną przez poszkodowanego szkodę.

Prezes UODO Mirosław Wróblewski również wskazuje, że osoby dotknięte naruszeniem mogą dochodzić swoich praw przed sądami cywilnymi.

– Są to indywidualne decyzje pokrzywdzonych i postępowania toczone przed sądami cywilnymi – powiedział "Faktowi".