Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski powiedział 21 sierpnia, że w sprawie wycieku z systemu MyDr urząd ma blisko tysiąc zgłoszeń. Dodał, że każda osoba, której dane naruszono, ma prawo dochodzić odszkodowania. Te dwie sprawy toczą się jednak w osobnych trybach. Skargę rozpatruje urząd i kończy ją decyzją, nigdy przelewem. Odszkodowanie za wyciek danych zasądza sąd okręgowy w zwykłym procesie cywilnym. Polska ustawa spina obie drogi jednym przepisem, o którym rzadko się mówi. Jeżeli przed prezesem UODO toczy się sprawa dotycząca tego samego naruszenia, sąd ma obowiązek zawiesić proces. Przy tysiącu zgłoszeń jest to scenariusz, z którym trzeba się liczyć od początku.
Co realnie daje skarga do Prezesa UODO
Prawo do skargi daje art. 77 rozporządzenia o ochronie danych. Wnosi ją osoba, która uważa, że przetwarzanie jej danych narusza przepisy. Postępowanie jest administracyjne i bezpłatne, a kończy się decyzją urzędu.
Prezes UODO może w niej stwierdzić naruszenie, nakazać administratorowi spełnienie żądania osoby i zastosować środki naprawcze. Może też nałożyć administracyjną karę pieniężną. Kara trafia do budżetu państwa i skarżący nie zobaczy z niej ani złotówki.
Urząd mówi o tym wprost na własnej stronie o składaniu skarg do Prezesa UODO. Przy pytaniu o odszkodowanie pada tam jedno zdanie: “W postępowaniu przed Prezesem Urzędu nie można tego uczynić”.
Skarga ma za to wartość, której nie widać na pierwszy rzut oka. Art. 97 ustawy o ochronie danych osobowych mówi, że ustalenia prawomocnej decyzji stwierdzającej naruszenie wiążą sąd. Chodzi o późniejszą sprawę o naprawienie szkody. Jedna z przesłanek procesu może więc zostać przesądzona za darmo i cudzymi rękami. Uwaga na zakres: decyzja przesądza samo naruszenie, a nie szkodę ani jej związek z tym naruszeniem.
Z czego składa się skarga i ile kosztuje
Skarga nie ma urzędowego formularza z rubrykami. Potrzebne są dane skarżącego, wskazanie podmiotu, na który się skarżysz, i opis tego, co się stało. Warto też napisać, czego oczekujesz, choć przy skardze na samo nieuprawnione udostępnienie danych wystarczy je zakwestionować.
Pismo trzeba podpisać. Brak podpisu nie oznacza automatycznego odrzucenia, bo urząd wzywa najpierw do uzupełnienia braku, ale może to wydłużyć postępowanie. Skargę złożysz w formie pisemnej albo elektronicznie przez e-Doręczenia. Nie płacisz nic. Urząd zaleca, żeby najpierw zwrócić się do administratora danych. W sprawie MyDr ma to praktyczny sens, bo odpowiedź placówki jest materiałem do skargi.
Kogo pozywać: przychodnię czy MyDr
Odpowiedź na to pytanie decyduje o kształcie całej sprawy, a intuicja podpowiada w niej źle. Wróblewski ujął rzecz jednym zdaniem: “MyDr jest w tej sytuacji podmiotem przetwarzającym dane, natomiast ich administratorami są poszczególne placówki medyczne”.
Art. 82 ust. 1 rozporządzenia daje prawo do odszkodowania “od administratora lub podmiotu przetwarzającego”. Ustęp drugi rozkłada to jednak nierówno. Administrator odpowiada za szkody spowodowane przetwarzaniem naruszającym rozporządzenie. Podmiot przetwarzający odpowiada wyłącznie w dwóch sytuacjach. Pierwsza to niedopełnienie obowiązków, które rozporządzenie nakłada bezpośrednio na podmioty przetwarzające. Druga to działanie poza zgodnymi z prawem instrukcjami administratora albo wbrew nim.
Dla pacjenta oznacza to rzecz niewygodną. Placówka, w której się leczył, odpowiada na szerszej podstawie niż firma, o której czytał w gazecie. Sam status podmiotu nie przesądza jeszcze, kogo pozwać, bo liczy się to, komu da się przypisać naruszenie powiązane z twoją szkodą. Podział ról tłumaczy też, dlaczego nie ma jednego miejsca do sprawdzenia się. Rozpisaliśmy to przy samym wycieku z MyDr.
Jest przy tym furtka, którą warto znać. Jeżeli oba podmioty spełniają przesłanki odpowiedzialności za to samo przetwarzanie, art. 82 ust. 4 przewiduje odpowiedzialność solidarną za całą szkodę. Poszkodowany może wtedy dochodzić całości od każdego z nich, a one rozliczają się później między sobą.
Pozew o odszkodowanie za wyciek danych: sąd okręgowy i to, co trzeba wykazać
Art. 93 ustawy o ochronie danych osobowych rozstrzyga rzecz, o którą ludzie pytają najczęściej. W sprawach o roszczenia z art. 79 i art. 82 rozporządzenia właściwy jest sąd okręgowy, niezależnie od wysokości żądanej kwoty. W pozostałym zakresie stosuje się Kodeks cywilny, co przesądza art. 92 tej samej ustawy.
Samo naruszenie nie wystarczy. Rozstrzygnął to Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 14 grudnia 2023 roku w sprawie C-340/21. Chodziło o bułgarską agencję podatkową, z której po cyberataku wyciekły dane milionów osób. Podobieństwo do sprawy MyDr jest uderzające i dlatego ten wyrok jest ważnym punktem odniesienia dla podobnych pozwów.
Trybunał orzekł, że obawa przed ewentualnym wykorzystaniem danych przez osoby trzecie może sama w sobie stanowić szkodę niemajątkową. Faktyczne wykorzystanie danych nie jest więc warunkiem. W uzasadnieniu Trybunał dodał jednak zastrzeżenie, które w medialnych streszczeniach zwykle znika. Osoba domagająca się odszkodowania ma obowiązek wykazać, że doznane konsekwencje są szkodą. Sąd bada z kolei, czy jej obawę należy uznać za uzasadnioną w konkretnych okolicznościach i wobec konkretnej osoby.
Praktyczny wniosek jest prozaiczny. Sądowi łatwiej uznać obawę za uzasadnioną, gdy stoją za nią konkretne okoliczności. Telefony od rzekomych pracowników banku, próby wyłudzenia, bezsenność potwierdzona wizytą u lekarza, wrażliwość samych danych medycznych. Każda taka rzecz zapisana z datą pracuje potem na twoją korzyść.
Co musi wykazać powód, a co administrator
Rozkład ciężaru dowodu jest tu nietypowy i warto go znać przed rozmową z prawnikiem. Powód wykazuje trzy rzeczy naraz: naruszenie przepisów, własną szkodę oraz związek między jednym a drugim.
Reszta obciąża pozwanego. Art. 82 ust. 3 rozporządzenia zwalnia administratora z odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy za zdarzenie. W tym samym wyroku Trybunał powiedział wprost, że wskazanie na atak osób trzecich samo w sobie nie wystarczy. Trybunał zastrzegł zarazem, że fakt włamania nie dowodzi jeszcze, że zabezpieczenia były nieodpowiednie. Ocena musi być konkretna i odnosić się do ryzyka związanego z danym przetwarzaniem.
Przychodnia, która kupiła gotowe oprogramowanie, musi więc pokazać, co zrobiła jako administrator. Jaką miała umowę powierzenia, czy sprawdzała dostawcę, czy prowadziła analizę ryzyka. Obowiązki placówki po stwierdzeniu naruszenia opisaliśmy osobno przy terminie 72 godzin i tym, od kiedy właściwie biegnie.
Postępowanie przed urzędem zawiesza proces w sądzie
Art. 95 ustawy o ochronie danych osobowych brzmi krótko: “Sąd zawiesza postępowanie, jeżeli sprawa dotycząca tego samego naruszenia przepisów o ochronie danych osobowych została wszczęta przed Prezesem Urzędu”. Przepis nie daje sądowi wyboru.
Nie chroni cię przy tym wcześniejsze złożenie pozwu. Art. 94 nakazuje sądowi zawiadomić Prezesa UODO o wniesieniu pozwu, a Prezesowi informować sąd również o wszczęciu każdego nowego postępowania w tej samej sprawie. Skutek zależy więc od tego, czy równoległa sprawa w ogóle istnieje, a nie od tego, kto był pierwszy.
Sąsiedni art. 96 każe umorzyć postępowanie w takim zakresie, w jakim prawomocna decyzja urzędu uwzględnia dochodzone roszczenie. W sprawie o pieniądze ma to znaczenie ograniczone, bo urząd odszkodowań nie zasądza. Przepis działa przede wszystkim przy roszczeniach niepieniężnych dochodzonych równolegle.
Warto przy tym rozróżnić dwie rzeczy, które w komentarzach zlewają się w jedno. Kontrola, którą prezes UODO wszczął w spółce MyDr 13 sierpnia, jest ustaleniem stanu faktycznego. Skutek z art. 95 wiąże się z osobnym postępowaniem w sprawie naruszenia. Zakres samej kontroli urząd podał w komunikacie z 13 sierpnia, a szerzej opisaliśmy go w tekście o wycieku.
Jest jeszcze uprawnienie, o którym prawie nikt nie mówi. Art. 98 pozwala Prezesowi UODO wytoczyć powództwo na rzecz osoby, której dane dotyczą, za jej zgodą. Za zgodą powoda może też wstąpić do już toczącego się procesu. Przy sprawie tej skali jest to narzędzie, o którego istnieniu warto wiedzieć.
Ile sądy zasądzają i skąd biorą się kwoty krążące w mediach
Art. 82 opiera wysokość odszkodowania na indywidualnej ocenie poniesionej szkody, bez taryfikatora. Punktem odniesienia jest to, co konkretna osoba realnie straciła i przeżyła. Kara pieniężna to zupełnie inna instytucja, opisana w art. 83, i trafia do budżetu państwa.
W mediach pojawił się przy tej sprawie szacunek rzędu 20 000 zł na osobę. Pochodzi z wypowiedzi jednego prawnika z 20 sierpnia. To nie jest orzeczenie ani stanowisko urzędu. Nie są to też widełki, na które można się w pozwie powołać. Pomnożenie takiej kwoty przez liczbę osób w zbiorze daje liczbę, która ładnie wygląda w nagłówku i nie znaczy nic więcej.
Uczciwa odpowiedź brzmi więc tak. Dopóki polskie sądy nie wydadzą pierwszych wyroków z tego wycieku, nikt nie poda ci wiarygodnej kwoty ani terminu. Każdy, kto to robi, obiecuje coś, czego nie ma jak dotrzymać.
Od czego zacząć
Trzy pierwsze kroki nic nie kosztują i można je zrobić w tym tygodniu. Czwarty wymaga decyzji, na którą nikt nie powinien cię popędzać.
Cztery kroki
1. Zachowaj odpowiedź przychodni na piśmie. Placówka jest administratorem twojej dokumentacji, więc to ona może wskazać zakres zdarzenia. Odpowiedź, którą dostaniesz, jest później materiałem do skargi albo do pozwu.
2. Zbieraj ślady na bieżąco. Notuj daty i numery przy podejrzanych połączeniach, zapisuj wiadomości, zachowuj potwierdzenia i wszystkie koszty, które poniesiesz przy tej sprawie. Takie materiały pomagają sądowi ocenić, czy twoja obawa była uzasadniona.
3. Rozważ skargę do Prezesa UODO. Jest bezpłatna, a prawomocna decyzja stwierdzająca naruszenie wiąże potem sąd co do samego naruszenia. Cena jest taka, że równoległa sprawa przed urzędem wstrzyma proces cywilny.
4. Dopiero potem decyduj o pozwie. Sprawę rozpoznaje sąd okręgowy, a wykazać trzeba naruszenie, szkodę i związek między nimi. Skala samego wycieku żadnej z tych trzech rzeczy nie zastąpi.
Jak złożyć skargę do UODO → Tekst ustawy w ISAP →⚠️ Przy głośnych wyciekach pojawiają się oferty “szybkiego odszkodowania” wysyłane telefonicznie i mailem. Odszkodowanie zasądza wyłącznie sąd, a żadna instytucja nie wypłaca go z urzędu ani nie prosi wcześniej o opłatę.
Najczęstsze pytania
Czy mogę złożyć skargę, jeśli nie wiem, czy moje dane wyciekły?
Możesz, ale skarga oparta wyłącznie na przypuszczeniu jest słaba. Urząd potrzebuje wskazania podmiotu i opisu tego, co się stało z twoimi danymi. Sensowniej zacząć od pytania do przychodni. Art. 34 rozporządzenia nakazuje administratorowi zawiadomić osoby, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności, i przewiduje od tego wyjątki. Odpowiedź placówki daje ci konkret, na którym można oprzeć pismo. Osobno warto sprawdzać rządowy serwis, w którym z czasem pojawiają się kolejne zbiory. Opisaliśmy, jak działa portal Bezpieczne Dane i czego się z niego dowiesz.
Czy muszę mieć adwokata, żeby złożyć pozew?
Nie ma takiego przymusu, bo przymus adwokacki dotyczy dopiero postępowania przed Sądem Najwyższym. Sprawę rozpoznaje jednak sąd okręgowy, a przeciwnikiem bywa podmiot z obsługą prawną. Przy roszczeniu opartym na szkodzie niemajątkowej najwięcej zależy od tego, jak opiszesz i udokumentujesz konsekwencje. Pełnomocnik pomaga uporządkować twierdzenia i dowody. Warto też sprawdzić, czy w twoim ubezpieczeniu albo w karcie kredytowej nie ma pakietu ochrony prawnej. Bywa on częścią umów, o których ludzie zapominają.
Podsumowanie
Prezes UODO mówi o blisko tysiącu zgłoszeń w sprawie MyDr, a urząd tych spraw nie kończy wypłatą. Może stwierdzić naruszenie, nakazać naprawę i ukarać, przy czym pieniądze z kary idą do budżetu. Odszkodowania zasądza sąd okręgowy na podstawie art. 82 rozporządzenia. Placówka odpowiada tam jako administrator na szerszej podstawie, bo dostawca oprogramowania odpowiada tylko w dwóch wąsko określonych sytuacjach. Powód musi wykazać naruszenie, szkodę i związek między nimi, a obawa przed nadużyciem danych może być szkodą, jeśli sąd uzna ją za uzasadnioną. Ciężar dowodu braku winy leży za to po stronie pozwanego. Obie drogi łączy art. 95 ustawy: równoległa sprawa przed urzędem zawiesza proces, a prawomocna decyzja urzędu wiąże potem sąd co do samego naruszenia.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
