Pierwsze roszczenie po wycieku danych z MyDr opiewa na 30 tys. zł. Takiej kwoty domaga się mieszkaniec Kostrzyna nad Odrą, który 14 września wysłał do spółki formalne wezwanie do zapłaty. I dał jej 14 dni na odpowiedź. Jeśli firma odmówi, spotka się z nią w sądzie.
Mężczyzna twierdzi, że poniósł szkodę niemajątkową w postaci poczucia zagrożenia i utraty kontroli nad swoimi danymi. Pierwszą informację o możliwym naruszeniu otrzymał 8 września od jednej z przychodni, a później kolejne zawiadomienia miały dotyczyć placówek w Gorzowie Wielkopolskim i Pułtusku.
Wyciek może dotyczyć milionów osób
Sprawa – przypomnijmy – dotyczy cyberataku na systemy firmy MyDr, która dostarcza oprogramowanie m.in. gabinetom lekarskim i placówkom ochrony zdrowia. Ministerstwo Cyfryzacji informowało w sierpniu, że nieuprawniony dostęp objął historyczne dane przechowywane w systemach firmy, a incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych.
Prokuratura Okręgowa w Warszawie podała, że wśród danych mogły znajdować się m.in. imiona, nazwiska, numery PESEL, telefony, adresy e-mail oraz informacje o stanie zdrowia, w tym notatki z wizyt lekarskich i dane o receptach. Śledztwo prowadzone jest przy udziale Centralnego Biura Zwalczania Cyberprzestępczości.
Trzeba jednak podkreślić, że liczba 18,8 mln oznacza potencjalną skalę incydentu, a nie potwierdzoną liczbę osób, których pełne dane faktycznie zostały ujawnione.
Czy za sam strach można dostać pieniądze?
Takie roszczenie nie jest z góry pozbawione podstaw. Art. 82 RODO przewiduje możliwość dochodzenia odszkodowania za szkodę materialną lub niematerialną. Trybunał Sprawiedliwości UE uznał, że także uzasadniona obawa przed przyszłym wykorzystaniem danych przez osoby trzecie może stanowić szkodę niemajątkową.
Nie oznacza to jednak, że samo naruszenie RODO automatycznie daje prawo do określonej kwoty. Poszkodowany musi wykazać szkodę i związek między nią a naruszeniem. O tym, czy w konkretnym przypadku należy się odszkodowanie i w jakiej wysokości, może ostatecznie zdecydować sąd.
UODO prowadzi obecnie kontrolę w MyDr dotyczącą zastosowanych zabezpieczeń technicznych i organizacyjnych oraz analizy ryzyka. Urząd zapowiedział też dodatkowe kontrole w sektorze ochrony zdrowia.
