Po wykradzeniu danych medycznych z MyDr na bezprecedensową dotychczas skalę Polacy zastrzegają swoje numery PESEL, przychodnie, które były bezpośrednimi administratorami, zgłaszają naruszenia, a Urząd Ochrony Danych Osobowych prowadzi postępowanie, które ma wyjaśnić okoliczności zdarzenia i ustalić, kto ponosi za nie odpowiedzialność. Jednocześnie w mediach, a zwłaszcza na portalach społecznościowych powielane są informacje o możliwości wywalczenia w sądzie niemałych pieniędzy przez osoby, których dane wyciekły. Pojawiają się nawet kwoty liczone w dziesiątkach tysięcy zł.
Czytaj więcej
Prawie 1,7 miliona Polaków w tydzień zastrzegło swój PESEL, a urzędy w niektórych miastach musiały oddelegować dodatkowych pracowników, by nadążyć...
W rzeczywistości, patrząc na dotychczasowe orzecznictwo polskich sądów, tak wysokich rekompensat nie można spodziewać. Sądy rzeczywiście zasądzają zadośćuczynienia za sam wyciek danych i związane z tym niedogodności, ale najczęściej są to kwoty symboliczne. Potwierdzają to prawnicy specjalizujący się w ochronie danych osobowych, których „Rzeczpospolita” poprosiła o opinię.
– Mówiąc brutalnie, z perspektywy pojedynczej osoby, która padła ofiarą wycieku, dochodzenie roszczeń często po prostu się nie opłaca. W takich sprawach zdarzały się zadośćuczynienia na poziomie 1-3 tys. zł. Dlatego mimo poważnych wycieków nie obserwowaliśmy dotąd fali pozwów – uważa Sławomir Kowalski, partner w kancelarii _Just_LAW. – W tej sprawie chodzi jednak o szczególne dane, bo dotyczące zdrowia, więc nie wykluczam, że zadośćuczynienia mogłyby być wyższe. Nadal jednak nie spodziewałbym się spektakularnych sum – zaznacza prawnik.
Czytaj więcej
Atak na MyDr uderza w coś, co w całym procesie cyfryzowania usług publicznych jest absolutnie krytyczne: zaufanie obywateli.
Podobnego zdania jest dr hab. Arwid Mednis, radca prawny z kancelarii Mednis Legal i wykładowca na Uniwersytecie Warszawskim.
– W Polsce nie ma tradycji zasądzania dużych kwot tytułem zadośćuczynienia, jak chociażby w USA. Dlatego z dystansem podchodziłbym do deklaracji prawników, którzy obiecują złote góry. Za sam wyciek danych i związane z tym straty niemajątkowe, takie jak stres czy poczucie zagrożenia raczej spodziewałbym się symbolicznej rekompensaty, o ile w ogóle sąd uzna, że jest co rekompensować – mówi ekspert, przyznając jednocześnie, że do niektórych przypadków sądy mogą podchodzić odmiennie z powodu specyfiki przejętych danych.
– Mamy do czynienia z danymi o stanie zdrowia i już samo to wzbudza większe obawy. I obawy te mogą być tu stopniowalne: inaczej będzie traktowana informacja o tym, że pacjent leczy się u laryngologa, a inaczej, że leczy się psychiatrycznie – zastrzega dr hab. Arwid Mednis.
Koszty sądowe mogą być wyższe od wygranej
Przy zbyt wygórowanych żądaniach dotyczących wycieku danych może zdarzyć się, że nawet zwycięstwo będzie oznaczać finansową porażkę. W 2020 r. doszło do głośnego wycieku danych 140 tys. klientów z serwisu pożyczkowego MoneyMan.pl. Jeden z nich pozwał spółkę, żądając 30 tys. zł zadośćuczynienia. Przekonywał, że po wycieku „odczuwa silny lęk związany ze swoją sytuacją finansową”. Stał się też „nerwowy, niespokojny, drażliwy, co utrudnia mu codzienne funkcjonowanie”.
Czytaj więcej
– Po incydencie MyDr trzeba wyciągnąć systemowe wnioski. Należy myśleć nie tylko o kupowaniu czołgów, ale inwestować miliardy również w zabezpiecze...
Sąd nie miał wątpliwości, że w związku z wyciekiem doszło do naruszenia dóbr osobistych powoda (drugą podstawą prawną, na której oparto wyrok, był art. 82 RODO). Zasądził jednak dużo mniejszą od żądanej kwotę (1,5 tys. zł).
„Nie negując faktu, że powód mógł się obawiać, że również i jego dane osobowe wyciekły i mogą być wykorzystane przez osoby nieuprawnione, nie można uznać, że uzasadnia to zasądzenie z tego tytułu kwoty aż 30 tys. zł. Powód nie wykazał bowiem żadnych skutków faktycznych, poza zagrożeniem i stresem, jakie mogły mieć miejsce w związku z wyciekiem danych, do którego doszło trzy lata temu. W ocenie sądu powoływanie się przez powoda na tak daleko idące odczucia, jak niepokój, problemy ze snem, odizolowanie od dzieci, czy kłótnie z żoną jest nadmiarowe, jeżeli postrzegać je przez pryzmat naruszenia dóbr osobistych” – uzasadnił wyrok Sąd Okręgowy w Warszawie (sygn. akt: III C 280/22).
W ostateczności, choć poszkodowany wygrał sprawę, to stracił na niej finansowo. Jego koszty wyniosły bowiem ponad 8 tys. zł, podczas gdy wywalczone zadośćuczynienie jedynie 1,5 tys. zł.
Sądy zasądzają najczęściej po 1,5 tys. zł zadośćuczynienia za wyciek danych
Podobne kwoty sądy zasądzały w wielu innych sprawach dotyczących nieuprawnionego przekazania danych osobowych, w tym dla właścicielek samochodów, których dane ujawnili bezprawnie ubezpieczyciele. W pierwszej ze spraw dane te trafiły do pokrzywdzonego w kolizji. Ubezpieczona żądała 10 tys. zł zadośćuczynienia, sąd przyznał jej 1,5 tys. zł.
Czytaj więcej
Kradzież danych pacjentów z serwisu MyDr otwiera drogę do odszkodowań i wysokich kar finansowych. Musi się z nimi liczyć 12 tys. przychodni współpr...
„Oprócz deklarowanych przez powódkę obaw związanych z możliwością bezprawnego posłużenia się jej danymi osobowymi przez osobę trzecią, powódki nie spotkały żadne dalsze konsekwencje. Krzywda wyrządzona powódce na skutek naruszenia jej danych osobowych okazała się zatem niewielka, zatem i zadośćuczynienie powinno być w niewielkiej wysokości” – uzasadnił wyrok Sąd Okręgowy w Warszawie (sygn. akt: XXV C 2596/19).
Takie samo zadośćuczynienie zasądzono innej kobiecie, której dane ubezpieczyciel ujawnił firmie wynajmującej samochód zastępczy. Żądała ona 20 tys. zł, ale sąd uznał, że 1,5 tys. zł będzie kwotą adekwatną, gdyż „oprócz deklarowanych przez powódkę obaw związanych z możliwością bezprawnego posłużenia się jej danymi osobowymi przez osobę trzecią, powódki nie spotkały żadne dalsze konsekwencje” (wyrok SO w Warszawie, sygn. akt: I C 874/22). Również 1,5 tys. zł zadośćuczynienia przyznano w sprawie omyłkowego wysłania danych klienta e-mailem. Sąd na tyle wycenił negatywne emocje, takie jak poczucie zagrożenia, niepewność, strach przed wykorzystaniem danych (wyrok Sądu Okręgowego Warszawa-Praga, sygn. akt: III C 1169/19). W innej podobnej sprawie sąd przyznał 1 tys. zł (sygn. akt: II C 1228/19).
Czytaj więcej
W przypadku wycieku danych zastrzeżenie numeru PESEL powinno być tylko jednym z pierwszych kroków. Trzeba też zmienić zagrożone hasła i przez kolej...
Choć takiej wysokości rekompensaty za naruszanie przepisów RODO dominują w orzecznictwie polskich sądów, w wyjątkowych sytuacjach można spodziewać się wyższego zadośćuczynienia. Mężczyzna, którego dane w wyniku błędnego działania systemu informatycznego przesłano z biura rzecznika finansowego do 22 tys. podmiotów wywalczył 40 tys. zł (żądał 50 tys. zł). Eksperci podkreślają jednak, by tego wyroku nie traktować jako miarodajnego. Na jego wyjątkowy charakter wskazał zresztą sam sąd.
„Jest to kwota bardzo wysoka, niemniej jednak adekwatna do zaistniałego naruszenia danych osobowych powoda, uzasadniona przede wszystkim faktem, że dane powoda zostały przekazane 28 366 instytucjom i podmiotom” – napisał w uzasadnieniu (wyrok SO w Warszawie, sygn. akt: III C 904/23).
Ograniczona możliwość dochodzenia roszczeń w pozwach zbiorowych
Przeciętna wysokość zasądzanych przez sądy zadośćuczynień za naruszanie RODO nie zachęca do składania pozwów, zwłaszcza, gdy weźmie się pod uwagę koszty sądowe. W tej sytuacji najbardziej dotkliwe dla administratorów czy też podmiotów przetwarzających dane (takim jest właśnie MyDr) mogą być kary wymierzane przez UODO. Inaczej sytuacja mogłaby wyglądać w przypadku składania pozwów zbiorowych.
dane nawet tylu Polaków mogły zostać wykradzione z MyDr (rzeczywista skala wycieku jest wciąż badana)
wynosi przeciętna wysokość zadośćuczynienia zasądzanego przez polskie sądy w związku z wyciekiem danych
– W Polsce możliwości masowego dochodzenia niewielkich roszczeń związanych z wyciekiem danych są ograniczone. Z drugiej strony byłbym ostrożny z ich rozszerzaniem. Przykład Niemiec pokazuje, że wokół takich roszczeń może wykształcić się cały rynek kancelarii i firm Legal Tech. Pojedyncze roszczenia są niewielkie, ale ich dochodzenie na masową skalę staje się opłacalnym modelem biznesowym. To rodzi ryzyko, że mechanizm służący ochronie poszkodowanych zaczyna być wykorzystywany również jako narzędzie czysto komercyjne. Nie sądzę, by był to pożądany kierunek – przekonuje mec. Sławomir Kowalski.
Za możliwością prowadzenia pozwów zbiorowych w tych sprawach jest dr hab. Arwid Mednis.
– Taką potrzebę doskonale pokazuje właśnie wyciek z MyDr. Chodzi o zdarzenie o masowej skali, ale jednak o powtarzalnych, podobnych skutkach. Nie widzę sensu, by sądy były zalewane pozwami, które rozpoznawałyby oddzielnie, podczas gdy mogłyby to zrobić w jednym postępowaniu – argumentuje prawnik.
Pośpiech niewskazany
Osobom, które mimo wszystko zdecydują się na indywidualne składanie pozwów w związku z wyciekiem z MyDr, eksperci doradzają cierpliwość.
– Na pewno istotne znaczenie będzie miał rezultat postępowania prowadzonego przez UODO. Wówczas będzie wiadomo, kto za co odpowiada, w jakim stopniu poszczególni administratorzy, a w jakim procesor, czyli MyDr. Uprości to ewentualną sprawę sądową – podpowiada Arwid Mednis.
