Wyciek danych pacjenta z placówki medycznej – jakich roszczeń można dochodzić?
Informacje o stanie zdrowia należą do szczególnych kategorii danych osobowych. Ich ujawnienie może dotyczyć m.in. diagnozy, wyników badań, historii leczenia, przyjmowanych leków, numeru PESEL, adresu czy danych kontaktowych. Taki incydent może naruszać nie tylko RODO, ale również prawo pacjenta do tajemnicy informacji oraz jego dobra osobiste.
Czego może żądać poszkodowany pacjent?
Odszkodowania za szkodę majątkową.
Na podstawie art. 82 RODO pacjent może żądać zwrotu rzeczywiście poniesionych strat, np. kosztów zabezpieczenia swojej tożsamości, uzyskania dokumentów, obsługi prawnej lub innych wydatków pozostających w związku z wyciekiem.
Rekompensaty za krzywdę niemajątkową
Naprawieniu może podlegać również szkoda niemajątkowa, taka jak stres, poczucie wstydu, utrata kontroli nad własnymi danymi, obawa przed kradzieżą tożsamości, ujawnieniem choroby albo wykorzystaniem informacji medycznych przez osoby trzecie.
Trybunał Sprawiedliwości UE wskazuje, że samo naruszenie RODO nie wystarcza jeszcze do przyznania odszkodowania – trzeba wykazać szkodę oraz związek przyczynowy. Nie obowiązuje jednak minimalny próg powagi krzywdy. Uzasadniona obawa przed wykorzystaniem ujawnionych danych może sama stanowić szkodę niemajątkową.
Ochrony dóbr osobistych.
Wyciek danych medycznych może naruszać prywatność, godność oraz tajemnicę informacji o stanie zdrowia. Na podstawie art. 23, art. 24 i art. 448 Kodeksu cywilnego pacjent może domagać się m.in.:
➡️ zaniechania dalszych naruszeń,
➡️ usunięcia skutków naruszenia,
➡️ złożenia odpowiedniego oświadczenia lub przeprosin,
➡️ zadośćuczynienia pieniężnego,
➡️ zapłaty określonej kwoty na wskazany cel społeczny,
➡️ naprawienia szkody majątkowej.
Zadośćuczynienia za naruszenie praw pacjenta.
Pacjent ma prawo do zachowania w tajemnicy informacji z nim związanych, w szczególności dotyczących jego zdrowia. W razie zawinionego naruszenia tego prawa sąd może przyznać zadośćuczynienie na podstawie art. 4 w związku z art. 13 i 14 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz art. 448 Kodeksu cywilnego.
Podstawy prawne mogą się uzupełniać, ale pacjent nie może otrzymać podwójnej rekompensaty za tę samą szkodę.
Skarga do Prezesa UODO.
Niezależnie od roszczeń cywilnych pacjent może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Organ może m.in. nakazać placówce usunięcie nieprawidłowości lub zastosować administracyjną karę pieniężną.
Trzeba jednak pamiętać, że kara nałożona przez Prezesa UODO nie jest wypłacana poszkodowanemu. Odszkodowania lub zadośćuczynienia dochodzi się przed sądem powszechnym.
Placówki nie zwalnia automatycznie fakt, że doszło do ataku hakerskiego.
Administrator może uniknąć odpowiedzialności tylko wtedy, gdy wykaże, że w żaden sposób nie odpowiada za zdarzenie, które spowodowało szkodę. Konieczna jest m.in. ocena zastosowanych zabezpieczeń technicznych i organizacyjnych.
Po otrzymaniu informacji o wycieku warto zabezpieczyć:
➡️ zawiadomienie przesłane przez placówkę,
➡️ korespondencję z administratorem danych,
➡️ informacje o zakresie ujawnionych danych i odbiorcach,
➡️ dowody poniesionych kosztów,
➡️ dokumentację skutków psychicznych i życiowych zdarzenia,
➡️ dowody prób wykorzystania danych.
Wysokość należnej rekompensaty zależy od zakresu ujawnionych informacji, czasu trwania naruszenia, liczby odbiorców, skutków dla pacjenta oraz reakcji placówki na incydent. Każda sprawa wymaga indywidualnej analizy.
Odszkodowania dochodzi się od placówki medycznej w postępowaniu cywilnym. Sama skarga do Prezesa UODO nie prowadzi do wypłaty pieniędzy.
Czy przepisy określają wysokość odszkodowania?
Nie. RODO ani polskie ustawy nie zawierają tabeli kwot, minimalnej stawki ani „odszkodowania za każdy ujawniony rekord”. Wysokość roszczenia określa sam pacjent, a ostatecznie ocenia ją sąd.
Odszkodowanie z art. 82 RODO ma charakter kompensacyjny, a nie karny – powinno odpowiadać rzeczywiście poniesionej szkodzie lub krzywdzie. Administracyjna kara nałożona na placówkę przez Prezesa UODO nie jest wypłacana pacjentowi.
Jak dochodzić zapłaty? Należy ustalić zakres incydentu.
Do placówki należy wystąpić pisemnie o wskazanie:
- jakie dokładnie dane wyciekły;
- czy chodziło o sam dostęp, skopiowanie, wysłanie czy publikację danych;
- kiedy doszło do naruszenia i kiedy zostało wykryte;
- kto mógł otrzymać dane;
- czy ujawniono diagnozę, historię leczenia, wyniki badań, PESEL, adres lub dane kontaktowe;
- jakie mogą być skutki incydentu;
- jakie środki naprawcze zastosowano;
- czy naruszenie zgłoszono Prezesowi UODO;
- czy stwierdzono wykorzystanie danych przez osoby trzecie.
Warto zażądać także zabezpieczenia logów systemowych, korespondencji i dokumentacji dotyczącej incydentu, aby nie zostały usunięte przed ewentualnym procesem.
Kancelaria Adwokacka Adwokat Piotr Bańczyk
ul. Sokolska 30, Two Towers
40-086 Katowice
☎️ 32 209 09 71
✉️ sekretariat@kancelaria-banczyk.com.pl
