Odszkodowanie za wyciek danych MyDr

Wyciek danych MyDr. Czy poszkodowani mogą wspólnie dochodzić odszkodowania? Odszkodowanie za wyciek danych MyDr. Czy możliwy jest pozew grupowy? Wyciek danych z systemów MyDr może okazać się jednym z największych incydentów dotyczących danych osobowych w Polsce. Według oficjalnych informacji nieuprawniony dostęp mógł objąć dane 18,8 mln osób pochodzące z ponad 12 tys. placówek medycznych. Jeszcze istotniejszy od samej skali zdarzenia jest charakter informacji, do których mogli uzyskać dostęp sprawcy. Mowa nie tylko o imionach, nazwiskach, numerach PESEL, telefonach czy adresach e-mail, ale również o danych dotyczących zdrowia, w tym treści notatek z wizyt lekarskich oraz informacji o wystawionych receptach. Przy takiej skali incydentu naturalnie pojawia się pytanie o odszkodowania oraz możliwość ich wspólnego dochodzenia. Odpowiedź nie jest jednak tak prosta, jak mogłoby się wydawać. Sam fakt znalezienia swoich danych w bazie objętej wyciekiem nie oznacza automatycznie prawa do określonej kwoty. Również wspólne źródło naruszenia nie powoduje jeszcze, iż miliony poszkodowanych mogą zostać objęte jednym pozwem grupowym. Nie oznacza to jednak, iż postępowanie grupowe należy wykluczyć. Przeciwnie – po odpowiednim skonstruowaniu grupy może ono okazać się jednym z najbardziej racjonalnych sposobów dochodzenia roszczeń. najważniejsze znaczenie będzie miało jednak to, kto znajdzie się w takiej grupie, przeciwko komu zostanie skierowany pozew oraz w jaki sposób zostanie zdefiniowana szkoda poszczególnych poszkodowanych. Podstawą roszczeń jest przede wszystkim art. 82 RODO. Zgodnie z tym przepisem każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo otrzymać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę. W ostatnich latach Trybunał Sprawiedliwości Unii Europejskiej wyjaśnił kilka fundamentalnych kwestii związanych z tym przepisem. W wyroku z 4 maja 2023 r. w sprawie C-300/21, Österreichische Post, TSUE stwierdził, iż samo naruszenie RODO nie wystarcza do zasądzenia odszkodowania. Poszkodowany musi wykazać naruszenie, powstanie szkody oraz związek przyczynowy pomiędzy nimi. Jednocześnie Trybunał zdecydowanie odrzucił koncepcję, zgodnie z którą szkoda niemajątkowa musiałaby przekraczać określony minimalny próg dotkliwości. Jeszcze większe znaczenie dla sprawy MyDr ma wyrok TSUE z 14 grudnia 2023 r. w sprawie C-340/21, Natsionalna agentsia za prihodite. Sprawa dotyczyła właśnie cyberataku i ujawnienia danych osobowych. Trybunał uznał, iż obawa osoby poszkodowanej, iż jej dane mogą zostać w przyszłości wykorzystane przez osoby trzecie, może sama w sobie stanowić szkodę niemajątkową w rozumieniu art. 82 RODO. Obawa taka musi być jednak rzeczywista i uzasadniona w konkretnych okolicznościach. To rozróżnienie będzie miało podstawowe znaczenie. Nie można przyjąć prostego automatu: „wyciekł PESEL – należy się 10 tys. zł”, „wyciekły dane medyczne – należy się 20 tys. zł”. RODO nie zawiera taryfikatora odszkodowań. Z drugiej strony błędem byłoby twierdzenie, iż dopóki ktoś nie zaciągnie kredytu na nazwisko poszkodowanego albo nie wykorzysta jego dokumentacji medycznej, żadna szkoda nie istnieje. TSUE wyraźnie odrzucił takie podejście. Utrata kontroli nad danymi, świadomość, iż nie wiadomo, kto wszedł w ich posiadanie, konieczność zabezpieczenia się przed ich wykorzystaniem, a przede wszystkim uzasadniona obawa przed ujawnieniem lub dalszym rozpowszechnieniem szczególnie wrażliwych informacji mogą stanowić realną szkodę niemajątkową. W sprawie C-687/21, MediaMarktSaturn, TSUE potwierdził również, iż możliwość uzyskania odszkodowania nie może być ograniczana wyłącznie do przypadków, w których doszło już do kradzieży tożsamości lub oszustwa. Szczególnego znaczenia nabiera to w odniesieniu do informacji medycznych. Dane dotyczące zdrowia nieprzypadkowo zostały przez prawodawcę europejskiego zaliczone w art. 9 RODO do szczególnych kategorii danych osobowych. Informacja o chorobie, przyjmowanych lekach, przebytym leczeniu, diagnozie czy treści rozmowy z lekarzem należy do najbardziej prywatnej sfery życia człowieka. Utrata kontroli nad takimi informacjami ma z natury rzeczy inny ciężar niż ujawnienie samego adresu e-mail. Pozostaje jednak pytanie, czy takie roszczenia można połączyć w jednym postępowaniu. Polska ustawa o dochodzeniu roszczeń w postępowaniu grupowym wymaga, aby grupa liczyła co najmniej 10 osób, dochodzone roszczenia były jednego rodzaju oraz opierały się na tej samej lub takiej samej podstawie faktycznej. W przypadku roszczeń pieniężnych dochodzą dodatkowe wymagania dotyczące ich odpowiedniego ukształtowania. I właśnie tutaj znajduje się pierwszy poważny problem. Sytuacja wszystkich osób objętych incydentem MyDr nie jest jednakowa. Jednej osobie mogły zostać ujawnione wyłącznie podstawowe dane identyfikacyjne, innej numer PESEL i dane kontaktowe, a jeszcze innej – także informacje dotyczące stanu zdrowia, recept czy przebiegu leczenia. U niektórych osób naruszenie może wywołać jedynie obawę przed przyszłym wykorzystaniem danych, u innych mogą już pojawić się próby phishingu, wyłudzenia lub inne konkretne następstwa. Z tego właśnie powodu ostrożnie podchodzę do pojawiających się zapowiedzi jednego wielkiego „pozwu zbiorowego wszystkich poszkodowanych”. Wspólne źródło wycieku nie usuwa różnic pomiędzy poszczególnymi przypadkami. Nie oznacza to jednak, iż postępowanie grupowe jest niemożliwe. Rozwiązaniem może być odejście od koncepcji objęcia jednym pozwem każdego zainteresowanego i zbudowanie grupy z osób znajdujących się w odpowiednio podobnej sytuacji faktycznej. Ustawa nie wymaga bowiem absolutnej identyczności wszystkich przypadków. Wymaga tej samej lub takiej samej podstawy faktycznej. Sąd Najwyższy w swoim orzecznictwie zwraca uwagę, iż jednorodzajowość roszczeń należy rozumieć funkcjonalnie. Istotna jest natura dochodzonych roszczeń i wspólny rdzeń okoliczności, z których one wynikają, a nie całkowita identyczność sytuacji każdego członka grupy. W przypadku MyDr takim wspólnym rdzeniem może być ten sam incydent bezpieczeństwa, ten sam mechanizm uzyskania dostępu do danych, zarzucane naruszenie tych samych obowiązków wynikających z RODO oraz ten sam podstawowy mechanizm powstania szkody – utrata kontroli nad danymi i związana z nią uzasadniona obawa przed ich dalszym wykorzystaniem. Różnice pomiędzy poszkodowanymi można natomiast ograniczyć już na etapie kwalifikowania osób do grupy. Można przykładowo odrębnie traktować osoby, wobec których potwierdzono ujawnienie danych identyfikacyjnych i numeru PESEL, oraz osoby, wobec których naruszenie objęło dodatkowo dane dotyczące zdrowia. Przypadki wyjątkowe, w których doszło już do konkretnego wykorzystania danych albo wystąpiła szczególna, indywidualna szkoda, niekoniecznie powinny być obejmowane tym samym postępowaniem. To oznacza, iż powodzenie postępowania grupowego może zależeć paradoksalnie nie od liczebności grupy, ale od jakości jej doboru. Grupa trzydziestu osób znajdujących się w bardzo podobnej sytuacji procesowej może być znacznie łatwiejsza do obrony niż grupa kilku tysięcy osób, których przypadki zasadniczo się od siebie różnią. Istnieje jednak jeszcze jeden, bardziej skomplikowany problem prawny. Ustawa o dochodzeniu roszczeń w postępowaniu grupowym wyłącza co do zasady dochodzenie w tym trybie roszczeń o ochronę dóbr osobistych. Można zatem spodziewać się argumentu, iż roszczenie związane z utratą prywatności czy poufności danych jest w istocie roszczeniem o ochronę dóbr osobistych