Odszkodowanie za wyciek danych MyDr. Czy możliwy jest pozew grupowy? Wyciek danych z systemów MyDr może okazać się jednym z największych incydentów dotyczących danych osobowych w Polsce. Według oficjalnych informacji nieuprawniony dostęp mógł objąć dane 18,8 mln osób pochodzące z ponad 12 tys. placówek medycznych. Jeszcze istotniejszy od samej skali zdarzenia jest charakter informacji, do których mogli uzyskać dostęp sprawcy. Mowa nie tylko o imionach, nazwiskach, numerach PESEL, telefonach czy adresach e-mail, lecz również o danych dotyczących zdrowia, w tym treści notatek z wizyt lekarskich oraz informacji o wystawionych receptach. Przy takiej skali incydentu naturalnie pojawia się pytanie o odszkodowania oraz możliwość ich wspólnego dochodzenia. Odpowiedź nie jest jednak tak prosta, jak mogłoby się wydawać. Sam fakt znalezienia swoich danych w bazie objętej wyciekiem nie oznacza automatycznie prawa do określonej kwoty. Również wspólne źródło naruszenia nie powoduje jeszcze, że miliony poszkodowanych mogą zostać objęte jednym pozwem grupowym. Nie oznacza to jednak, że postępowanie grupowe należy wykluczyć. Przeciwnie – po odpowiednim skonstruowaniu grupy może ono okazać się jednym z najbardziej racjonalnych sposobów dochodzenia roszczeń. Kluczowe znaczenie będzie miało jednak to, kto znajdzie się w takiej grupie, przeciwko komu zostanie skierowany pozew oraz w jaki sposób zostanie zdefiniowana szkoda poszczególnych poszkodowanych.

Podstawą roszczeń jest przede wszystkim art. 82 RODO. Zgodnie z tym przepisem każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo otrzymać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę. W ostatnich latach Trybunał Sprawiedliwości Unii Europejskiej wyjaśnił kilka fundamentalnych kwestii związanych z tym przepisem. W wyroku z 4 maja 2023 r. w sprawie C-300/21, Österreichische Post, TSUE stwierdził, że samo naruszenie RODO nie wystarcza do zasądzenia odszkodowania. Poszkodowany musi wykazać naruszenie, powstanie szkody oraz związek przyczynowy pomiędzy nimi. Jednocześnie Trybunał zdecydowanie odrzucił koncepcję, zgodnie z którą szkoda niemajątkowa musiałaby przekraczać określony minimalny próg dotkliwości.

Jeszcze większe znaczenie dla sprawy MyDr ma wyrok TSUE z 14 grudnia 2023 r. w sprawie C-340/21, Natsionalna agentsia za prihodite. Sprawa dotyczyła właśnie cyberataku i ujawnienia danych osobowych. Trybunał uznał, że obawa osoby poszkodowanej, iż jej dane mogą zostać w przyszłości wykorzystane przez osoby trzecie, może sama w sobie stanowić szkodę niemajątkową w rozumieniu art. 82 RODO. Obawa taka musi być jednak rzeczywista i uzasadniona w konkretnych okolicznościach. To rozróżnienie będzie miało podstawowe znaczenie. Nie można przyjąć prostego automatu: „wyciekł PESEL – należy się 10 tys. zł”, „wyciekły dane medyczne – należy się 20 tys. zł”. RODO nie zawiera taryfikatora odszkodowań. Z drugiej strony błędem byłoby twierdzenie, że dopóki ktoś nie zaciągnie kredytu na nazwisko poszkodowanego albo nie wykorzysta jego dokumentacji medycznej, żadna szkoda nie istnieje. TSUE wyraźnie odrzucił takie podejście.

Utrata kontroli nad danymi, świadomość, że nie wiadomo, kto wszedł w ich posiadanie, konieczność zabezpieczenia się przed ich wykorzystaniem, a przede wszystkim uzasadniona obawa przed ujawnieniem lub dalszym rozpowszechnieniem szczególnie wrażliwych informacji mogą stanowić realną szkodę niemajątkową. W sprawie C-687/21, MediaMarktSaturn, TSUE potwierdził również, że możliwość uzyskania odszkodowania nie może być ograniczana wyłącznie do przypadków, w których doszło już do kradzieży tożsamości lub oszustwa. Szczególnego znaczenia nabiera to w odniesieniu do informacji medycznych. Dane dotyczące zdrowia nieprzypadkowo zostały przez prawodawcę europejskiego zaliczone w art. 9 RODO do szczególnych kategorii danych osobowych. Informacja o chorobie, przyjmowanych lekach, przebytym leczeniu, diagnozie czy treści rozmowy z lekarzem należy do najbardziej prywatnej sfery życia człowieka. Utrata kontroli nad takimi informacjami ma z natury rzeczy inny ciężar niż ujawnienie samego adresu e-mail. Pozostaje jednak pytanie, czy takie roszczenia można połączyć w jednym postępowaniu. Polska ustawa o dochodzeniu roszczeń w postępowaniu grupowym wymaga, aby grupa liczyła co najmniej 10 osób, dochodzone roszczenia były jednego rodzaju oraz opierały się na tej samej lub takiej samej podstawie faktycznej. W przypadku roszczeń pieniężnych dochodzą dodatkowe wymagania dotyczące ich odpowiedniego ukształtowania. I właśnie tutaj znajduje się pierwszy poważny problem.

Sytuacja wszystkich osób objętych incydentem MyDr nie jest jednakowa. Jednej osobie mogły zostać ujawnione wyłącznie podstawowe dane identyfikacyjne, innej numer PESEL i dane kontaktowe, a jeszcze innej – także informacje dotyczące stanu zdrowia, recept czy przebiegu leczenia. U niektórych osób naruszenie może wywołać jedynie obawę przed przyszłym wykorzystaniem danych, u innych mogą już pojawić się próby phishingu, wyłudzenia lub inne konkretne następstwa. Z tego właśnie powodu ostrożnie podchodzę do pojawiających się zapowiedzi jednego wielkiego „pozwu zbiorowego wszystkich poszkodowanych”. Wspólne źródło wycieku nie usuwa różnic pomiędzy poszczególnymi przypadkami. Nie oznacza to jednak, że postępowanie grupowe jest niemożliwe. Rozwiązaniem może być odejście od koncepcji objęcia jednym pozwem każdego zainteresowanego i zbudowanie grupy z osób znajdujących się w odpowiednio podobnej sytuacji faktycznej. Ustawa nie wymaga bowiem absolutnej identyczności wszystkich przypadków. Wymaga tej samej lub takiej samej podstawy faktycznej. Sąd Najwyższy w swoim orzecznictwie zwraca uwagę, że jednorodzajowość roszczeń należy rozumieć funkcjonalnie. Istotna jest natura dochodzonych roszczeń i wspólny rdzeń okoliczności, z których one wynikają, a nie całkowita identyczność sytuacji każdego członka grupy.

W przypadku MyDr takim wspólnym rdzeniem może być ten sam incydent bezpieczeństwa, ten sam mechanizm uzyskania dostępu do danych, zarzucane naruszenie tych samych obowiązków wynikających z RODO oraz ten sam podstawowy mechanizm powstania szkody – utrata kontroli nad danymi i związana z nią uzasadniona obawa przed ich dalszym wykorzystaniem. Różnice pomiędzy poszkodowanymi można natomiast ograniczyć już na etapie kwalifikowania osób do grupy. Można przykładowo odrębnie traktować osoby, wobec których potwierdzono ujawnienie danych identyfikacyjnych i numeru PESEL, oraz osoby, wobec których naruszenie objęło dodatkowo dane dotyczące zdrowia. Przypadki wyjątkowe, w których doszło już do konkretnego wykorzystania danych albo wystąpiła szczególna, indywidualna szkoda, niekoniecznie powinny być obejmowane tym samym postępowaniem. To oznacza, że powodzenie postępowania grupowego może zależeć paradoksalnie nie od liczebności grupy, lecz od jakości jej doboru. Grupa trzydziestu osób znajdujących się w bardzo podobnej sytuacji procesowej może być znacznie łatwiejsza do obrony niż grupa kilku tysięcy osób, których przypadki zasadniczo się od siebie różnią.

Istnieje jednak jeszcze jeden, bardziej skomplikowany problem prawny. Ustawa o dochodzeniu roszczeń w postępowaniu grupowym wyłącza co do zasady dochodzenie w tym trybie roszczeń o ochronę dóbr osobistych. Można zatem spodziewać się argumentu, że roszczenie związane z utratą prywatności czy poufności danych jest w istocie roszczeniem o ochronę dóbr osobistych i z tego powodu nie powinno być dochodzone grupowo. Moim zdaniem nie jest to wniosek oczywisty.

Podstawą takiego powództwa nie muszą być bowiem art. 23, 24 czy 448 Kodeksu cywilnego. Art. 82 RODO ustanawia autonomiczne, wynikające bezpośrednio z prawa Unii Europejskiej roszczenie odszkodowawcze. Fakt, że ujawnienie danych osobowych może jednocześnie ingerować w prywatność jako dobro osobiste, nie oznacza automatycznie, że roszczenie z art. 82 RODO staje się krajowym roszczeniem o ochronę dóbr osobistych. Będzie to niewątpliwie jeden z najciekawszych problemów prawnych ewentualnego postępowania. Tym bardziej że z orzecznictwa TSUE wynika wymóg zapewnienia rzeczywistej skuteczności prawa do odszkodowania ustanowionego w art. 82 RODO. Przy masowych naruszeniach danych, gdzie jednostkowa wartość roszczenia jest stosunkowo niewielka, konieczność prowadzenia tysięcy identycznych lub bardzo podobnych procesów indywidualnych może w praktyce istotnie utrudniać wykonywanie tego prawa. Nie można jednak zapominać, że ostatecznie to sąd zdecyduje, czy konkretnie skonstruowana sprawa spełnia przesłanki postępowania grupowego. Art. 10 ustawy przewiduje odrębny etap, na którym sąd – zanim przejdzie do merytorycznej oceny odpowiedzialności pozwanego – rozstrzyga właśnie o dopuszczalności rozpoznania sprawy w postępowaniu grupowym. Można spodziewać się, że w sprawie dotyczącej MyDr ten etap stanie się pierwszym poważnym polem sporu pomiędzy stronami. Pozostaje również kwestia tego, przeciwko komu roszczenia powinny zostać skierowane. Prezes UODO wskazuje, że administratorami danych pacjentów są co do zasady placówki medyczne korzystające z systemów MyDr, natomiast sama spółka MyDr występuje jako podmiot przetwarzający. Nie oznacza to jednak automatycznie braku odpowiedzialności procesora. Art. 82 RODO przewiduje możliwość odpowiedzialności również podmiotu przetwarzającego, jeżeli spełnione zostaną określone w tym przepisie przesłanki.

Trwająca kontrola Prezesa UODO może mieć z tego punktu widzenia bardzo duże znaczenie. Organ zapowiedział zbadanie środków technicznych i organizacyjnych stosowanych przez MyDr, sposobu ich testowania oraz analizy ryzyka związanej z przetwarzaniem danych. Wyniki tych ustaleń mogą być istotne dla określenia zarówno podstaw odpowiedzialności, jak i podmiotu, przeciwko któremu roszczenia powinny zostać skierowane. Dlatego obecnie nie rekomendowałbym ani pochopnego składania indywidualnych pozwów, ani tym bardziej przyjmowania, że każdej osobie objętej incydentem automatycznie przysługuje określona kwota. Poszkodowani powinni natomiast już teraz zabezpieczać materiał dotyczący własnej sytuacji: potwierdzenie objęcia danych incydentem, informacje o zakresie ujawnionych danych, korespondencję z placówkami medycznymi oraz dowody ewentualnych konsekwencji naruszenia. Szczególnie istotne jest ustalenie, czy wyciek obejmował wyłącznie dane identyfikacyjne i kontaktowe, czy również dane dotyczące zdrowia. Dopiero na podstawie takich informacji można odpowiedzialnie kwalifikować poszczególne przypadki i ocenić, które z nich rzeczywiście nadają się do wspólnego dochodzenia.

W sprawie MyDr istnieją więc realne podstawy do rozważenia postępowania grupowego. Nie będzie to jednak prosty „pozew 18 milionów Polaków”. Prawidłowa konstrukcja powinna opierać się na czymś dokładnie przeciwnym – starannej selekcji poszkodowanych, ustaleniu wspólnego rdzenia ich sytuacji faktycznej, odpowiednim ukształtowaniu roszczeń oraz precyzyjnym wskazaniu podstaw odpowiedzialności pozwanego. Dopiero taka grupa może mieć realną szansę przejścia pierwszego i być może najważniejszego testu procesowego: uznania przez sąd, że sprawa rzeczywiście może być rozpoznana w postępowaniu grupowym. I właśnie od tego, a nie od liczby osób deklarujących zainteresowanie pozwem, należy rozpocząć poważną rozmowę o wspólnym dochodzeniu odszkodowań za wyciek danych z MyDr.

Autor: Jarosław Chałas

Partner Zarządzający, Radca Prawny

Kancelaria Prawna Chałas i Wspólnicy