Na początku sierpnia 2026 roku baza danych firmy MyDr wpadła w ręce przestępców, co skutkowało naruszeniem danych niemal 19 milionów Polaków.
Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski potwierdził, że każda osoba, której dane zostały naruszone, ma prawo do dochodzenia odszkodowania. Problem polega na tym, że posiadanie prawa do roszczenia a realna wypłata to dwie zupełnie różne kwestie. Dotychczasowe orzecznictwo wskazuje na dość niskie kwoty odszkodowań, zazwyczaj wynoszące około 1,5 tysiąca złotych, a nie rzędu dziesiątek tysięcy. Prawnicy cytowani przez „Rzeczpospolitą” zauważają, że zadośćuczynienia za sam wyciek danych najczęściej mieści się w przedziale od 1 do 3 tysięcy złotych, choć w przypadku danych medycznych, jak w sprawie MyDr, mogą być one nieco wyższe.
Wyjątkowe przypadki, w których sądy przyznają wyższe kwoty, są rzadkie. W jednym z orzeczeń sąd przyznał 40 tysięcy złotych, podkreślając masowy charakter naruszenia, ponieważ dane były udostępnione ponad 28 tysiącom instytucji. Należy również pamiętać o ryzyku finansowym związanym z procesem; w przypadku wycieku danych z serwisu MoneyMan.pl, poszkodowany domagał się 30 tysięcy złotych, a sąd przyznał mu jedynie 1,5 tysiąca, co w przypadku przegranej oznacza realne straty związane z kosztami sądowymi.
Dlaczego kwoty są tak niskie
Kluczowym wyrokiem w tej sprawie jest decyzja Trybunału Sprawiedliwości Unii Europejskiej z grudnia 2023 roku dotycząca bułgarskiej agencji podatkowej. Trybunał uznał, że sama obawa przed potencjalnym wykorzystaniem danych przez osoby trzecie może być traktowana jako szkoda niemajątkowa, ale poszkodowany musi udowodnić, że jego obawa jest uzasadniona w konkretnych okoliczności. Innymi słowy, samo znalezienie się w wyciekłej bazie danych nie wystarcza do dochodzenia roszczenia. Wcześniejszy wyrok TSUE z maja 2023 roku (sprawa C-300/21) stwierdził, że naruszenie przepisów nie rodzi automatycznego prawa do odszkodowania, mimo braku konkretnego progu minimalnego dla poszkodowania.
Skarga do UODO czy pozew
Poszkodowani mają dwie niezależne ścieżki. Pierwsza to bezpłatna skarga do UODO, która kończy się nałożeniem kary na przedsiębiorstwo, a kara ta trafia do budżetu państwa, a nie na konto poszkodowanego. Druga możliwość to pozew cywilny na podstawie artykułu 82 RODO, który stanowi jedyną drogę do uzyskania realnego odszkodowania, jak wyjaśnia mecenas Karolina Pilawska dla Strefy Biznesu. Obie procedury mogą być prowadzone równolegle, lecz w przypadku, gdy przed prezesem UODO trwa postępowanie w sprawie tego samego naruszenia, sąd ma obowiązek zawiesić proces cywilny, co przy niemal tysiącu zgłoszeń do urzędu staje się realistycznym scenariuszem.
Skargę do UODO można złożyć elektronicznie przez skrzynkę ePUAP urzędu, pisemnie lub ustnie w siedzibie instytucji. Pozew cywilny natomiast należy skierować do właściwego sądu okręgowego, a odpowiedzialnymi mogą być zarówno MyDr, jak i konkretna przychodnia korzystająca z tego systemu; ustalenie odpowiedniego adresata wymaga sprawdzenia, kto pełnił rolę administratora danych pacjenta.
Co zrobić najpierw
Przed podjęciem kroków prawnych, warto sprawdzić status swojego numeru PESEL na stronie bezpiecznedane.gov.pl, logując się profilem zaufanym, mObywatelem lub bankowością elektroniczną. Pierwszym ochronnym działaniem powinno być bezpłatne zastrzeżenie numeru PESEL w aplikacji mObywatel, na stronie gov.pl lub w urzędzie gminy – zabezpieczenie to działa niezależnie od ewentualnych późniejszych roszczeń o odszkodowanie.