Nawet 19 mln Polaków może domagać się pieniędzy. Mało kto wie o tym prawie

Cyberprzestępcy uzyskali dostęp do informacji przechowywanych w systemach firmy MyDr, z których korzystały tysiące przychodni i gabinetów lekarskich. Wśród ujawnionych danych mogły znaleźć się numery PESEL, informacje o chorobach, receptach i przebytym leczeniu. Teraz okazuje się, iż osoby poszkodowane mogą ubiegać się o odszkodowanie. Co ważne, nie trzeba wcześniej stracić pieniędzy na skutek oszustwa. Znaczenie może mieć choćby uzasadniony strach przed wykorzystaniem prywatnych informacji. Trzeba jednak spełnić określone warunki.

Gigantyczny wyciek danych w Polsce. Sprawa dotyczy choćby 19 mln osób

W sierpniu 2026 roku Polskę obiegły informacje o jednym z największych incydentów naruszenia bezpieczeństwa danych medycznych w historii kraju.

12 sierpnia wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził cyberatak na systemy firmy MyDr, dostarczającej oprogramowanie placówkom medycznym.

Z rozwiązań przedsiębiorstwa korzystało około 12 tysięcy przychodni i gabinetów lekarskich.

Według ujawnionych informacji przestępcy uzyskali dostęp do ponad 2 TB danych. Naruszenie może dotyczyć blisko 19 milionów osób.

Wśród skradzionych informacji mogły znaleźć się imiona i nazwiska pacjentów, numery PESEL, dane kontaktowe, informacje o wizytach lekarskich, wystawionych receptach i przyjmowanych lekach.

To szczególnie niebezpieczna sytuacja, ponieważ dane medyczne należą do najbardziej chronionych informacji dotyczących życia prywatnego.

Ich ujawnienie może prowadzić nie tylko do prób wyłudzenia pieniędzy, ale również do naruszenia prywatności, szantażu czy dyskryminacji.

Co istotne, nie oznacza to, iż każdej z 19 milionów osób wykradziono dokładnie taki sam zestaw informacji. Zakres naruszenia może różnić się w zależności od pacjenta i placówki.

Poszkodowani mogą wystąpić o odszkodowanie. Przepisy przewidują taką możliwość

Jak informuje portal naTemat, osoby, których dane zostały ujawnione w wyniku cyberataku, mogą dochodzić swoich praw na drodze sądowej.

Podstawę stanowi artykuł 82 rozporządzenia RODO.

Przewiduje on możliwość uzyskania odszkodowania za szkodę majątkową lub niemajątkową poniesioną wskutek naruszenia przepisów o ochronie danych osobowych.

Oznacza to, iż poszkodowany nie musi koniecznie udowadniać, iż ktoś zaciągnął na jego nazwisko kredyt albo ukradł pieniądze z konta.

W określonych okolicznościach podstawą roszczenia może być również krzywda związana z utratą kontroli nad prywatnymi informacjami.

Szczególne znaczenie ma wyrok Trybunału Sprawiedliwości Unii Europejskiej z 14 grudnia 2023 roku.

W sprawie C-340/21 Trybunał uznał, iż uzasadniona obawa przed możliwym wykorzystaniem danych przez osoby nieuprawnione może stanowić szkodę niemajątkową.

Nie oznacza to jednak, iż każda osoba objęta wyciekiem automatycznie otrzyma pieniądze.

Trzeba wykazać rzeczywiście poniesioną szkodę lub krzywdę, naruszenie przepisów oraz związek między nimi. Ostateczną decyzję podejmuje sąd.

Pacjent zażądał 30 tys. zł. Sprawa trafiła już do sądu

Pierwsze osoby zdecydowały się już na dochodzenie swoich roszczeń.

Jedną z nich jest Przemysław Kamiński z Kostrzyna nad Odrą.

Jak informuje portal Polityka Zdrowotna, mężczyzna dowiedział się o możliwości ujawnienia swoich danych po otrzymaniu zawiadomień z placówek medycznych.

Zaniepokoiło go przede wszystkim to, iż w rękach nieuprawnionych osób mogły znaleźć się szczegóły dotyczące jego leczenia.

Pacjent skierował do firmy MyDr wezwanie do zapłaty 30 tysięcy złotych.

Swoje żądanie uzasadniał między innymi stresem, problemami ze snem oraz obawami przed wykorzystaniem jego danych.

Według relacji mężczyzny nie otrzymał odpowiedzi na wezwanie i zdecydował się skierować sprawę do Sądu Rejonowego dla Warszawy-Mokotowa.

To istotny przykład pokazujący, iż poszkodowani zaczynają korzystać z przepisów umożliwiających dochodzenie odszkodowania.

Kwota 30 tysięcy złotych jest jednak żądaniem pacjenta, a nie sumą przyznaną przez sąd.

Nie ma również jednej ustalonej stawki odszkodowania za wyciek danych z MyDr.

Każda sprawa wymaga indywidualnej oceny.

UODO prowadzi kontrolę. Wpłynęły tysiące zawiadomień

Sprawą zajmuje się również Urząd Ochrony Danych Osobowych.

Prezes UODO Mirosław Wróblewski zdecydował o przeprowadzeniu kontroli w firmie MyDr.

Urzędnicy sprawdzają między innymi stosowane zabezpieczenia techniczne i organizacyjne oraz sposób oceny ryzyka związanego z przechowywaniem danych pacjentów.

Skala zainteresowania sprawą jest ogromna.

Do 17 września do UODO wpłynęło ponad 2 tysiące zawiadomień od administratorów danych oraz ponad 50 skarg i sygnałów dotyczących incydentu.

W przypadku potwierdzenia naruszeń urząd może zastosować środki przewidziane w przepisach RODO, w tym administracyjne kary pieniężne.

Warto jednak pamiętać, iż ewentualna kara nałożona przez UODO nie jest tym samym co odszkodowanie wypłacane pacjentowi.

Pieniądze z administracyjnej kary nie trafiają bezpośrednio do osób, których dane zostały ujawnione.

Aby uzyskać rekompensatę finansową za własną szkodę, trzeba dochodzić roszczenia od odpowiedzialnego podmiotu, a w razie sporu skierować sprawę do sądu.

Jak sprawdzić, czy twoje dane wyciekły z MyDr?

Osoby, które korzystały z opieki medycznej w ostatnich latach, mogą sprawdzić, czy ich dane znalazły się w ujawnionym zbiorze.

Służy do tego rządowy serwis bezpiecznedane.gov.pl.

Po potwierdzeniu tożsamości użytkownik może uzyskać informację, czy jego numer PESEL występuje w danych objętych wyciekiem.

Trzeba jednak pamiętać, iż taka weryfikacja nie musi pokazywać szczegółowego zakresu ujawnionych informacji.

Jeżeli chcesz ustalić, jakie konkretnie dane mogły zostać naruszone, warto skontaktować się bezpośrednio z przychodnią lub gabinetem, w którym się leczysz.

To placówki medyczne, jako administratorzy danych pacjentów, odpowiadają za realizację określonych obowiązków informacyjnych wynikających z RODO.

Warto zachować otrzymane zawiadomienia, odpowiedzi placówek oraz dokumentację dotyczącą ewentualnych prób oszustwa.

Takie informacje mogą okazać się przydatne, jeżeli poszkodowany zdecyduje się dochodzić swoich praw.

Zastrzeż numer PESEL. To szczególnie ważne po wycieku danych

Niezależnie od ewentualnego odszkodowania warto jak najszybciej zadbać o bezpieczeństwo własnych danych.

Jednym z najprostszych sposobów jest zastrzeżenie numeru PESEL.

Można to zrobić bezpłatnie w aplikacji mObywatel, przez internet lub w urzędzie gminy.

Zastrzeżenie utrudnia przestępcom wykorzystanie skradzionych danych do zaciągania zobowiązań finansowych na cudze nazwisko.

Co ważne, zastrzeżony PESEL nie uniemożliwia korzystania z opieki zdrowotnej, realizowania recept ani załatwiania zwykłych spraw urzędowych.

W razie potrzeby zastrzeżenie można czasowo cofnąć.

Trzeba również uważać na podejrzane telefony, wiadomości SMS i e-maile.

Oszuści posiadający informacje o pacjencie mogą próbować podszywać się pod przychodnie, banki albo instytucje publiczne.

Znajomość nazwiska lekarza czy nazwy placówki nie oznacza, iż dzwoniąca osoba rzeczywiście reprezentuje tę instytucję.

Szczególną ostrożność powinny zachować osoby starsze, które mogą otrzymywać wiadomości sugerujące konieczność pilnego potwierdzenia danych.

Nawet 19 mln Polaków może dochodzić swoich praw. Jest istotny warunek

Wyciek danych z MyDr pokazał, jak poważne konsekwencje może mieć cyberatak na systemy wykorzystywane w ochronie zdrowia.

Osoby, których informacje zostały ujawnione, nie są jednak pozbawione możliwości działania.

Przepisy RODO pozwalają ubiegać się o odszkodowanie również wtedy, gdy naruszenie spowodowało rzeczywistą krzywdę niemajątkową, taką jak uzasadniony lęk przed wykorzystaniem danych.

Nie oznacza to jednak automatycznych wypłat dla 19 milionów osób. Każdy poszkodowany musi wykazać podstawy swojego roszczenia.

Warto więc sprawdzić, czy dane zostały naruszone, zachować dokumentację oraz zabezpieczyć numer PESEL.

A jeżeli wyciek spowodował konkretne szkody lub krzywdę, można rozważyć dochodzenie rekompensaty.

Dla wielu Polaków może to być ważna informacja, ponieważ prawo do odszkodowania za naruszenie danych osobowych wciąż nie jest powszechnie znane.