Wyciek danych medycznych – co może zrobić pacjent?

Prawa, obowiązki administratora i odszkodowanie z art. 82 RODO

Sierpniowy incydent bezpieczeństwa w systemie MyDr, z którego korzystała duża część placówek medycznych w Polsce, objął dane milionów pacjentów. Skala zdarzenia to jedno, ale jego ciężar wynika przede wszystkim z rodzaju informacji, które znalazły się poza kontrolą: obok danych identyfikacyjnych chodzi o dokumentację medyczną, czyli dane szczególnej kategorii w rozumieniu art. 9 RODO. Dla pacjentów oznacza to realne ryzyko kradzieży tożsamości, ukierunkowanych oszustw i naruszenia prywatności w jej najbardziej intymnym wymiarze. Dla placówek – konieczność wykazania, że wywiązały się z obowiązków administratora, mimo że do ataku doszło u zewnętrznego dostawcy.

W artykule wyjaśniamy, kto w takiej sytuacji odpowiada wobec pacjenta, jakie kroki warto podjąć niezwłocznie po otrzymaniu informacji o naruszeniu, kiedy skarga do Prezesa UODO ma sens, a kiedy jest przedwczesna, oraz na jakich zasadach można dochodzić odszkodowania.

Administrator a podmiot przetwarzający – do kogo kierować roszczenia

Punktem wyjścia jest prawidłowe ustalenie ról. Spółka dostarczająca system do prowadzenia elektronicznej dokumentacji medycznej działała jako podmiot przetwarzający (procesor) w rozumieniu art. 4 pkt 8 i art. 28 RODO – przetwarzała dane w imieniu i na polecenie placówek, na podstawie umów powierzenia. Administratorem pozostaje natomiast podmiot, który decyduje o celach i sposobach przetwarzania: przychodnia, szpital, a także lekarz prowadzący indywidualną praktykę w formie jednoosobowej działalności gospodarczej.

Ma to bezpośrednie konsekwencje praktyczne. To administrator odpowiada za zgłoszenie naruszenia organowi nadzorczemu (art. 33 RODO) oraz – jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób – za zawiadomienie samych pacjentów (art. 34 RODO). Do administratora kierujemy też żądania wynikające z praw osoby, której dane dotyczą. Prezes UODO podkreślił w komunikatach dotyczących incydentu, że obowiązki placówek nie wygasają tylko dlatego, że atak nastąpił w infrastrukturze dostawcy.

Nie oznacza to, że procesor pozostaje poza zasięgiem odpowiedzialności. Zgodnie z art. 82 ust. 2 RODO podmiot przetwarzający odpowiada za szkodę, jeżeli nie dopełnił obowiązków nałożonych na niego wprost przez rozporządzenie albo działał poza zgodnymi z prawem instrukcjami administratora. Jeżeli zaś obaj uczestniczyli w tym samym przetwarzaniu i ponoszą odpowiedzialność za szkodę, art. 82 ust. 4 przewiduje ich odpowiedzialność solidarną – poszkodowany może dochodzić całości odszkodowania od każdego z nich.

Pierwsze kroki po otrzymaniu informacji o wycieku

Pacjent nie ma wpływu na to, czy jego dane wyciekły. Ma natomiast wpływ na to, jak łatwo będzie je wykorzystać. Zalecenia Ministerstwa Zdrowia, Ministerstwa Cyfryzacji i Prezesa UODO są w tym zakresie zbieżne i sprowadzają się do kilku działań.

Zastrzeżenie numeru PESEL. To najskuteczniejsze i najprostsze narzędzie ochrony przed zaciągnięciem zobowiązania na cudze dane. Zastrzeżenia można dokonać bezpłatnie w aplikacji mObywatel, za pośrednictwem serwisu gov.pl albo osobiście w urzędzie gminy. Od 1 czerwca 2024 r. banki, instytucje pożyczkowe, notariusze czy operatorzy telekomunikacyjni mają obowiązek sprawdzać status numeru PESEL w rejestrze przed zawarciem określonych czynności, a w razie zaniechania tego obowiązku ponoszą ryzyko skutków oszustwa. Rekomendujemy traktowanie zastrzeżenia jako stanu domyślnego, a nie reakcji na incydent – cofnięcie zastrzeżenia (także na wskazany okres) zajmuje chwilę i jest potrzebne tylko wtedy, gdy sami zamierzamy np. zaciągnąć kredyt lub zawrzeć umowę u notariusza.

Wzmożona ostrożność wobec korespondencji. Wyciek danych medycznych tworzy szczególnie dogodne warunki do tzw. spersonalizowanego phishingu. Oszust, który zna nazwę przychodni, termin ostatniej wizyty czy nazwisko lekarza, może przygotować wiadomość SMS lub e-mail bardzo trudną do odróżnienia od autentycznej – np. rzekomą informację o wynikach badań, dopłacie do wizyty albo „procedurze zabezpieczenia danych po wycieku”. Zasada powinna być prosta: nie klikamy w linki z takich wiadomości, a z placówką kontaktujemy się wyłącznie przez znane nam, oficjalne kanały.

Zabezpieczenie kont. Warto zmienić hasła do portali pacjenta, poczty elektronicznej i bankowości – zwłaszcza jeśli to samo hasło było używane w kilku serwisach – oraz włączyć uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne. Dodatkową warstwę ochrony dają usługi alertów kredytowych, informujące o próbach weryfikacji naszej osoby przez instytucje finansowe.

Skarga do Prezesa UODO czy żądanie wobec administratora?

Naturalnym odruchem wielu osób jest złożenie skargi do organu nadzorczego. W przypadku tego incydentu nie jest to konieczne: Prezes UODO prowadzi z urzędu postępowanie kontrolne obejmujące środki techniczne i organizacyjne stosowane przez dostawcę systemu, a indywidualne skargi nie zmienią jego zakresu.

Skuteczniejszą drogą jest skorzystanie z uprawnień przewidzianych w rozdziale III RODO bezpośrednio wobec administratora, czyli placówki lub lekarza. Pacjent może w szczególności żądać na podstawie art. 15 RODO informacji o tym, jakie jego dane są przetwarzane, w jakich celach i komu zostały ujawnione. Odpowiedź na takie żądanie stanowi zarazem cenny materiał dowodowy w ewentualnym sporze o odszkodowanie.

Trzeba jednak liczyć się z czasem. Zgodnie z art. 12 ust. 3 RODO administrator ma miesiąc na odpowiedź, z możliwością przedłużenia o kolejne dwa miesiące, jeżeli uzasadnia to złożoność sprawy lub liczba żądań – a przy incydencie tej skali placówki będą z tego uprawnienia korzystać. O przedłużeniu i jego przyczynach administrator musi poinformować w ciągu pierwszego miesiąca. Skarga do Prezesa UODO wniesiona przed upływem tych terminów zostanie uznana za przedwczesną; jej podstawą może być dopiero brak odpowiedzi lub odpowiedź niepełna po ich upływie.

Odszkodowanie z art. 82 RODO – przesłanki i aktualne orzecznictwo TSUE

Art. 82 ust. 1 RODO przyznaje każdemu, kto poniósł szkodę majątkową lub niemajątkową wskutek naruszenia rozporządzenia, prawo do odszkodowania od administratora lub podmiotu przetwarzającego. W sprawach dotyczących wycieku na pierwszy plan wysuwa się szkoda niemajątkowa – utrata kontroli nad informacjami o własnym zdrowiu, uzasadniony lęk przed ich ujawnieniem lub wykorzystaniem, poczucie naruszenia prywatności i związany z tym stres.

Granice tego roszczenia wyznaczyło w ostatnich latach orzecznictwo Trybunału Sprawiedliwości UE. W wyroku z 4 maja 2023 r. (C-300/21, Österreichische Post) TSUE przesądził, że samo naruszenie przepisów RODO nie wystarcza do przyznania odszkodowania – konieczne jest wykazanie szkody i związku przyczynowego – a jednocześnie prawo krajowe nie może uzależniać odszkodowania od przekroczenia jakiegokolwiek progu powagi szkody. Stanowisko to potwierdził w późniejszych orzeczeniach, podkreślając również wyłącznie kompensacyjną, a nie represyjną funkcję odszkodowania.

Szczególnie istotny dla ofiar cyberataków jest wyrok z 14 grudnia 2023 r. (C-340/21, Natsionalna agentsia za prihodite). Trybunał uznał w nim, że obawa przed potencjalnym nadużyciem danych przez osoby trzecie, wynikająca z ich nieuprawnionego ujawnienia, może sama w sobie stanowić szkodę niemajątkową. Poszkodowany musi jednak wykazać, że obawa ta jest uzasadniona w okolicznościach sprawy i że rzeczywiście odczuł jej negatywne skutki – czysto hipotetyczne ryzyko nie wystarczy. Z tego samego wyroku wynikają dwie tezy ważne dla administratorów: fakt, że do ujawnienia doszło w wyniku ataku hakerskiego, nie przesądza automatycznie, że zastosowane zabezpieczenia były nieodpowiednie, ale to na administratorze spoczywa ciężar wykazania, że środki techniczne i organizacyjne były adekwatne do ryzyka. Zwolnienie z odpowiedzialności na podstawie art. 82 ust. 3 RODO jest możliwe tylko wtedy, gdy administrator udowodni, że w żaden sposób nie ponosi winy za zdarzenie.

Na gruncie prawa polskiego do roszczeń z art. 82 RODO w zakresie nieuregulowanym w rozporządzeniu stosuje się przepisy Kodeksu cywilnego (art. 92 ustawy o ochronie danych osobowych), a sprawy te w pierwszej instancji rozpoznają sądy okręgowe (art. 93 ust. 1 tej ustawy). Osoba poszkodowana może wytoczyć powództwo przed sądem właściwym dla siedziby administratora albo dla swojego miejsca zamieszkania (art. 79 ust. 2 RODO).

W praktyce o powodzeniu roszczenia przesądza materiał dowodowy. Warto zachować otrzymane zawiadomienie o naruszeniu, korespondencję z placówką, a także dokumentować wszelkie następstwa incydentu: podejrzane wiadomości, próby wyłudzeń, poniesione koszty czy skorzystanie z pomocy specjalisty w związku z odczuwanym stresem.

Najczęstsze błędy pacjentów po wycieku

Z naszych doświadczeń wynika, że osoby dotknięte naruszeniem najczęściej kierują żądania do niewłaściwego podmiotu – do dostawcy systemu zamiast do placówki, która jest administratorem. Często też składają skargę do Prezesa UODO, zanim administrator miał szansę odpowiedzieć, co skutkuje jej odrzuceniem jako przedwczesnej. Kolejnym błędem jest założenie, że odszkodowanie przysługuje automatycznie z samego faktu wycieku – bez udokumentowania rzeczywistych skutków roszczenie ma niewielkie szanse powodzenia. Wreszcie, część osób zastrzega PESEL, a następnie trwale cofa zastrzeżenie przy pierwszej czynności bankowej, zamiast skorzystać z cofnięcia czasowego.

Perspektywa placówek medycznych

Incydent jest również lekcją dla podmiotów leczniczych jako administratorów. Powierzenie przetwarzania zewnętrznemu dostawcy nie przenosi na niego odpowiedzialności za zgodność z RODO. Administrator powinien w terminie 72 godzin od stwierdzenia naruszenia zgłosić je Prezesowi UODO, ocenić, czy zachodzi wysokie ryzyko uzasadniające zawiadomienie pacjentów, oraz udokumentować naruszenie w wewnętrznym rejestrze (art. 33 ust. 5 RODO). Równie ważne jest to, co wydarzyło się wcześniej: czy umowa powierzenia spełniała wymogi art. 28 ust. 3 RODO, czy administrator korzystał z uprawnień audytowych wobec dostawcy i czy potrafi wykazać, że dobierając go, zweryfikował wystarczające gwarancje bezpieczeństwa. To właśnie te elementy będą kluczowe zarówno w postępowaniu przed organem nadzorczym, jak i w ewentualnych sporach z pacjentami.

Ochrona danych na co dzień

Żadne zabezpieczenia nie wyeliminują ryzyka wycieku po stronie podmiotów, którym powierzamy dane. Możemy jednak ograniczyć ilość informacji, które da się o nas zebrać z innych źródeł i połączyć z danymi z wycieku. Warto rozważnie udostępniać informacje w mediach społecznościowych, nie przekazywać danych osobowych podczas rozmów telefonicznych inicjowanych przez nieznane osoby, nie zostawiać dokumentu tożsamości jako zabezpieczenia, a przed podpisaniem formularza czy założeniem karty lojalnościowej zastanowić się, czy korzyść jest warta udostępnianych danych. Dokumenty zawierające dane osobowe należy niszczyć przed wyrzuceniem, a przed sprzedażą komputera lub telefonu – trwale usunąć z nich dane przy użyciu odpowiedniego oprogramowania, bo zwykłe skasowanie plików nie uniemożliwia ich odzyskania. Podstawą pozostaje aktualne oprogramowanie zabezpieczające, unikalne i regularnie zmieniane hasła oraz weryfikacja adresu strony przed zalogowaniem się do bankowości elektronicznej.

Podsumowanie

Wyciek danych medycznych stawia pacjenta w sytuacji, na której powstanie nie miał wpływu, ale której skutki może istotnie ograniczyć. Zastrzeżenie numeru PESEL, czujność wobec spersonalizowanych prób oszustwa oraz zabezpieczenie kont to działania, które warto podjąć niezwłocznie. Roszczenia – zarówno o realizację praw z rozdziału III RODO, jak i o odszkodowanie z art. 82 – należy kierować przede wszystkim do administratora, czyli placówki lub lekarza, pamiętając, że skuteczne dochodzenie odszkodowania wymaga wykazania rzeczywistej szkody.

Kancelaria ATL Law wspiera zarówno osoby, których dane zostały naruszone, jak i podmioty mierzące się z obowiązkami administratora po incydencie. W sprawach związanych z naruszeniami ochrony danych zapraszamy do kontaktu: office@atl-law.pl.