Odszkodowanie za wyciek MyDr. Kiedy można żądać pieniędzy i co trzeba udowodnić?

Po wycieku danych z systemów MyDr pojawiają się pierwsze pytania o pozwy i rekompensaty. Poszkodowany może dochodzić odszkodowania lub zadośćuczynienia na podstawie RODO, ale pieniądze nie należą się automatycznie za sam fakt pojawienia się PESEL-u w wycieku. Trzeba wykazać naruszenie, poniesioną szkodę oraz związek pomiędzy jednym a drugim.

Sprawa MyDr weszła w nowy etap. Pacjenci mogą już sprawdzać w rządowym serwisie Bezpieczne Dane, czy ich numer PESEL znajduje się w zbiorze związanym z incydentem. Jednocześnie do kancelarii prawnych zaczęły trafiać pierwsze pytania osób zainteresowanych dochodzeniem roszczeń.

Nie oznacza to jednak, że każdy, którego PESEL pojawi się w bazie, automatycznie otrzyma określoną kwotę. RODO daje prawo do rekompensaty za rzeczywiście poniesioną szkodę majątkową lub niemajątkową. Każda sprawa może więc wymagać indywidualnej oceny.

Co wiadomo o wycieku danych z MyDr?

W sierpniu 2026 roku potwierdzono nieuprawniony dostęp do systemów firmy MyDr, która dostarcza oprogramowanie wykorzystywane przez tysiące placówek medycznych. Według informacji przekazanych przez administrację państwową incydent może dotyczyć około 18,8 mln osób i ponad 12 tys. placówek medycznych.

Nie chodzi wyłącznie o zwykłe dane kontaktowe. Postępowanie prowadzone pod nadzorem Prokuratury Okręgowej w Warszawie obejmuje nieuprawniony dostęp między innymi do imion, nazwisk, numerów PESEL, numerów telefonów, adresów e-mail oraz informacji dotyczących zdrowia. Wśród danych medycznych wskazano między innymi treść notatek z wizyt lekarskich i informacje o wystawionych receptach.

Rząd informował również, że incydent obejmuje dane historyczne przechowywane w systemach MyDr. Jednocześnie służby podkreślają, że skala samego incydentu i odpowiedzialność poszczególnych podmiotów nadal są przedmiotem postępowań. Prezes UODO prowadzi kontrolę dotyczącą zastosowanych zabezpieczeń technicznych i organizacyjnych.

Jak sprawdzić, czy dane znalazły się w wycieku MyDr?

Pod koniec sierpnia informacje dotyczące incydentu MyDr zostały udostępnione w rządowym serwisie Bezpieczne Dane. Po zalogowaniu można sprawdzić między innymi swój numer PESEL i ustalić, czy znajduje się on w zbiorze związanym z tym incydentem.

Pozytywny wynik jest ważnym dokumentem z punktu widzenia osoby rozważającej późniejsze roszczenia. Nie pokazuje jednak automatycznie pełnego zakresu danych, do których uzyskała dostęp osoba nieuprawniona. Informacji o zakresie danych konkretnego pacjenta należy szukać również u administratora, czyli placówki medycznej, która korzystała z systemu MyDr.

Jeżeli przychodnia poinformuje pacjenta o naruszeniu, takiego zawiadomienia nie należy usuwać. Trzeba zachować e-mail, SMS, pismo oraz każdą kolejną korespondencję. Może ona później potwierdzać, jakie dane zostały objęte incydentem i kiedy pacjent został o tym poinformowany.

Czy za wyciek MyDr można dostać odszkodowanie?

Podstawą dochodzenia roszczeń może być art. 82 RODO. Przepis przewiduje prawo do odszkodowania dla osoby, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów o ochronie danych.

Samo naruszenie RODO nie wystarcza jednak do automatycznej wypłaty. Z orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej wynika, że osoba dochodząca pieniędzy musi wykazać trzy elementy.

Nie obowiązuje przy tym minimalny poziom powagi szkody, poniżej którego roszczenie byłoby automatycznie wykluczone. Nie oznacza to jednak, że wystarczy napisać w pozwie, że doszło do wycieku. Trzeba wskazać rzeczywiste negatywne konsekwencje dotyczące konkretnej osoby.

Co może być szkodą i jakie dowody trzeba zachować?

Szkoda majątkowa jest najłatwiejsza do pokazania, gdy incydent spowodował konkretną stratę finansową. Może chodzić np. o bezprawne wykorzystanie danych, koszty poniesione w związku z usuwaniem skutków oszustwa albo inne wydatki pozostające w związku z naruszeniem.

RODO pozwala również dochodzić rekompensaty za szkodę niemajątkową. Trybunał Sprawiedliwości UE potwierdził, że uzasadniona obawa przed wykorzystaniem danych przez osoby trzecie może stanowić taką szkodę. Podobnie utrata kontroli nad własnymi danymi może mieć znaczenie. Sama deklaracja strachu nie przesądza jednak o przyznaniu pieniędzy. Negatywne konsekwencje trzeba przed sądem wykazać.

• Zachowaj informację z serwisu Bezpieczne Dane dotyczącą incydentu MyDr.
• Zachowaj zawiadomienie otrzymane od przychodni lub innego administratora.
• Zapisuj podejrzane SMS-y, e-maile i telefony, które pojawiły się po incydencie.
• Zachowaj dokumenty dotyczące prób wykorzystania Twojej tożsamości.
• Zapisuj poniesione koszty związane z zabezpieczeniem lub odzyskaniem danych i środków.
• Zachowaj potwierdzenie zastrzeżenia numeru PESEL.
• Dokumentuj inne konkretne negatywne skutki, które łączysz z naruszeniem.

Nie ma ustawowego cennika określającego, że wyciek numeru PESEL oznacza określoną kwotę, a dane medyczne inną. Wysokość ewentualnego świadczenia zależy od okoliczności konkretnej sprawy i rozmiaru udowodnionej szkody.

Kogo można pozwać i czy powstanie pozew zbiorowy?

To jeden z najtrudniejszych elementów całej sprawy. Placówki medyczne korzystające z MyDr są administratorami danych swoich pacjentów, natomiast MyDr występuje jako podmiot przetwarzający. Artykuł 82 RODO przewiduje możliwość odpowiedzialności zarówno administratora, jak i podmiotu przetwarzającego, ale zakres tej odpowiedzialności zależy od ich roli i okoliczności naruszenia.

Dlatego nie można obecnie automatycznie stwierdzić, że każdy pacjent powinien pozwać wyłącznie MyDr albo wyłącznie swoją przychodnię. UODO prowadzi kontrolę zabezpieczeń zastosowanych przez MyDr, a postępowanie karne ma ustalić dalsze okoliczności cyberataku. Te ustalenia mogą mieć duże znaczenie dla późniejszych sporów cywilnych.

Na koniec sierpnia pojawiły się już pierwsze zapytania kierowane do kancelarii w sprawie pozwów. Prawnicy dopuszczają również możliwość postępowania grupowego, ale nie ma automatycznej zasady, że jeden wspólny wyciek oznacza identyczną szkodę u milionów pacjentów. Jedna osoba mogła utracić wyłącznie część danych, inna znacznie bardziej szczegółowe informacje medyczne, a konsekwencje dla każdej z nich mogą być zupełnie inne.

Co zrobić po potwierdzeniu wycieku swoich danych?

Pierwszym krokiem nie powinno być automatyczne podpisywanie umowy z kancelarią obiecującą wysokie odszkodowanie. Najpierw zbierz dokumenty. Sprawdź swój PESEL w rządowym systemie, zachowaj wynik, skontaktuj się z placówką medyczną i poproś o informacje dotyczące zakresu naruszenia Twoich danych.

UODO zaleca osobom dotkniętym incydentem między innymi zastrzeżenie numeru PESEL oraz zwiększoną ostrożność wobec podejrzanych wiadomości, telefonów i prób phishingu. Kontroluj także rachunki bankowe i historię operacji.

Po otrzymaniu informacji o naruszeniu możesz również skorzystać z praw wynikających z RODO i zwrócić się do administratora swoich danych. UODO wskazuje, że w związku z samym incydentem MyDr nie trzeba składać indywidualnej skargi tylko dlatego, że doszło do wycieku, ponieważ urząd prowadzi kontrolę. Administrator powinien natomiast odpowiedzieć na żądanie dotyczące realizacji praw wynikających z RODO co do zasady w ciągu miesiąca, z możliwością przedłużenia tego terminu w określonych sytuacjach.

Jeżeli rozważasz pozew, największe znaczenie będzie miało nie to, jak wysoka kwota pojawia się w reklamie kancelarii, lecz czy potrafisz udokumentować naruszenie, swoją szkodę i związek między nimi. W sprawie MyDr ustalenia UODO, prokuratury i służb nadal mogą dostarczać nowych informacji, dlatego dokumentację najlepiej gromadzić już teraz.

Sprawdź podobne artykuły