Dlaczego w Polsce to ofiara ma udowadniać, kto powinien ponieść karę za wyciek danych osobowych

Przemysław Kamiński, jeden z 19 milionów poszkodowanych wskutek wycieku danych osobowych z firmy MyDr obsługującej lekarzy i podmioty medyczne, obecnie już z trzech placówek otrzymał wiadomości z ostrzeżeniem. Groźniej robi się, gdy uświadomimy sobie, że wykradziona baza ma ponad 2 TB danych.

- Pierwszą wiadomość z ostrzeżeniem w imieniu przychodni w Kostrzynie nad Odrą odebrałem 8 września. Po kilku dniach nadeszły kolejne ostrzeżenia dotyczące placówek ochrony zdrowia w Gorzowie Wielkopolskim i Pułtusku, gdzie miałem konsultację ortopedyczną online. Nie zaoferowano mi żadnej ochrony. Po prostu otrzymałem SMS z Kostrzyna, gdzie chodziłem bardzo często na rehabilitację kolana, potem wiadomość mejlową z Mediraju w Gorzowie Wielkopolskim. Później kolejny SMS z Pułtuska – wylicza poszkodowany mężczyzna.

Ciągły stres i lęk o sposób wykorzystania danych osobowych

Pacjent czuje się zagrożony, towarzyszy mu permanentny stres i lęki. Spowodowane jest to, np. obawą, że ktoś zawrze umowę kupna samochodu czy mieszkania z wykorzystaniem jego danych osobowych. Najbardziej go zadziwia, że jego PESEL jest i był zastrzeżony, a te dane wyciekły.

- To teraz pytanie mam, jak to wszystko funkcjonuje? Najgorsze, że nie wiem, kto jest w posiadaniu moich danych. Czy to pracownik firmy MyDr, który nadużył swojej kompetencji, czy to był atak hakerski? No i zasadnicze pytanie, co służby robią w temacie prowadzenia postępowania? Dlatego odczuwam wielki niepokój. Nie wiem, kto ma, co ma, gdzie ma, kiedy chce użyć, gdzie chce użyć i w jakim celu – dzieli się swoimi obawami Przemysław Kamiński.

Zastrzeżenie numeru PESEL służy ograniczeniu ryzyka jego nieuprawnionego wykorzystania, między innymi przy zaciąganiu określonych zobowiązań. Nie jest natomiast mechanizmem służącym zapobieganiu cyberatakom ani nieuprawnionemu dostępowi do danych przechowywanych w systemach podmiotów trzecich.

W wezwaniu do zapłaty, które do firmy MyDr wysłał listem poleconym, widnieje kwota 30 tys. zł. Zaznaczył jednak, że jeżeli ktoś nadużyje jego danych w związku z wyciekiem, będzie mieć wyższe roszczenia. Oprócz tego wysłał mejla do tej firmy. Dostał ogólną, szczątkową informację, żeby zastrzec PESEL. Zalogował się więc i właśnie wtedy okazało się, że PESEL był zastrzeżony, a dane wyciekły. To dowód, jak to zabezpieczenie „działa”.

Na razie nie miał telefonów od handlarzy czy oszustów, ale na jego pocztę elektroniczną przyszły podejrzane mejle. Nie pamięta od kogo, bo od razu je usunął. Jest ostrożny. o by oznaczało, że jego dane krążą już po internecie.

Pozew zbiorowy z powodu wycieku danych osobowych? – Nie, dziękuję

Wkrótce po tym, jak zrobiło się głośno o roszczeniu Przemysława Kamińskiego, zaczęto mówić o pozwie zbiorowym. Jednak on ma obawy, nie jest takim pozwem zainteresowany.

- Walczę sam. Wszyscy mamy status osób poszkodowanych. Jeżeli dostanę z firmy MyDr odmowę, będę składać pozew do sądu cywilnego. Tylko pytanie, co, jeżeli ta firma ogłosi upadłość i nie będą mieć pieniędzy na wypłatę odszkodowań. Interesuje mnie, kto zlecał przetarg? Ministerstwo Zdrowia, czy Narodowy Fundusz Zdrowia? I kto będzie w takiej sytuacji wypłacał odszkodowania? Bo za stres, który teraz przeżywam, należy mi się odszkodowanie. Data przypisana kopii zapasowej objętej incydentem to kwiecień 2024 roku, a dopiero w sierpniu tego roku sprawa ujrzała światło dzienne. Uważam, że ona dopiero się rozkręca. Jako jedna z 19 mln osób pokrzywdzonych chciałbym wiedzieć, gdzie kierować ewentualne roszczenia. Chciałbym ponadto wiedzieć, w jaki sposób jest w tej sprawie prowadzone śledztwo – wylicza pytania Przemysław Kamiński.

Ma 42 lata, boi się, w jaki sposób jego dane zostaną wykorzystane. Kto je wykorzysta, gdzie, w jakim celu. Współczuje wszystkim osobom, które znalazły się w podobnej sytuacji jak on.

- Dręczy mnie pytanie, czy placówki medyczne w dalszym ciągu z tego systemu korzystają, skoro on zawiódł, nie był bezpieczny? – dodaje.

MyDr „nie komentuje indywidualnych ani możliwych do zidentyfikowania roszczeń”

Pytania, które nurtują Przemysława Kamińskiego, rozesłałam do kilku ministerstw i prokuratur. Do tematu powrócę.

Małgorzata Pragłowska z biura prasowego MyDr na pytanie o żądanie od firmy 30 tys. zł przez Przemysława Kamińskiego z powodu stresu, „czy zamierzacie Państwo wypłacić to odszkodowanie? Miał zastrzeżony PESEL”, odpowiedziała: „każde roszczenie lub wezwanie jest oceniane indywidualnie, na podstawie jego własnych okoliczności. Zgodnie z przyjętą zasadą, MyDr nie komentuje indywidualnych ani możliwych do zidentyfikowania roszczeń, jak również nie spekuluje co do przebiegu ani wyniku jakichkolwiek potencjalnych lub toczących się postępowań.”

Dr Jarosław Feliński, prezes zarządu SIODO Stowarzyszenie Inspektorów Danych Osobowych, na miejscu poszkodowanych nie odpuściłby dochodzenia roszczeń.

- Szacunkowe wyliczenie na podstawie stawek podawanych przez firmę MyDr (https://pro.mydr.pl/cennik-dla-placowek) pomnożone przez liczbę obsługiwanych podmiotów, jak podano kilkanaście tysięcy (https://uodo.gov.pl/pl/138/4540], każdy poszkodowany może wyliczyć potencjał finansowy firmy. Jeśli obsługuje jako DocPlanner (https://www.docplanner.com/) kilkanaście krajów – nie tylko w Europie, bo także jest to Brazylia, Turcja, Argentyna, na podobnym poziomie jak Polsce, to potencjał finasowy podmiotu jest imponujący. MyDr i Znany Lekarz są prowadzone przez grupę DocPlanner, którą założył Polak mieszkający w Holandii (https://polskiemarki.info/z-bliska/mamy-pierwszego-jednorozca-z-polski/). Jeżeli poszkodowani dokonają takiej symulacji, to każdy z nich może zgodnie z przepisami dochodzić swoich praw o odszkodowanie, co precyzują przepisy RODO – wylicza dr Feliński.

Grupa Docplanner (właściciel m.in. serwisu ZnanyLekarz) dostarcza swoje usługi i oprogramowanie medyczne łącznie w 13 krajach świata. Polska spółka MyDr, która dostarcza systemy do prowadzenia elektronicznej dokumentacji medycznej (EDM), została w pełni przejęta przez Docplanner na początku 2023 roku. Sama marka MyDr koncentruje się na obsłudze rynku w Polsce, natomiast cała grupa kapitałowa, do której należy, działa globalnie.

Czy występowanie do sądu z powodu wycieku danych się „nie opłaca”

Dr Felińskiego oburzyło, że gdy sprawa wycieku danych ujrzała światło dzienne, w jednym z dzienników ukazał się materiał zniechęcający poszkodowanych do dochodzenia roszczeń. W artykule informowano, że w Polsce można otrzymać maksymalnie 1000 - 1500 złotych odszkodowania z tytułu wycieku danych osobowych. A jak ktoś chciałby otrzymać te przykładowe 30 tys. i przed sądem cywilnym by występował, to mimo że wygrałby, sąd by mu przyznał 1500 zł, ale poszkodowany miałby 8000 zł opłat, więc to się nie opłaca. Kwestią bardzo indywidualną jest poczucie spokoju i pewności, a szczególnie gdy obywatel chciałby minimalnych gwarancji respektowania przepisów prawa, przez wszystkie organy i instytucje.

- Dla mnie była to czytelna sugestia: nie porywajcie się na pójście do sądu, bo dadzą wam 1000 złotych. Tyle że sądy w ten sposób nie orzekają. Żałuję, że żaden z sędziów, czy z prezesów sądów nie napisał wtedy kontropinii do artykułu. Przecież każdy przypadek jest indywidualny, jeden poszkodowany może wygrać 1000 zł, a inny 10 tys. zł. Ponadto każdy obywatel powinien być traktowany tak samo, a nie że o wycieku danych o stanie zdrowia, psychice czy lekach mówi się dopiero w przypadku jakiegoś polityka. Wtedy wkracza minister, a pozostałych obywateli traktuje się na zasadzie: twój problem, zastrzeż sobie PESEL – dowodzi dr Feliński.

Handel danymi osobowymi - polska patologiczna norma

Zdaniem eksperta odsprzedawanie, przekazywanie, szmuglowanie danych osobowych jest w Polsce patologiczną normą.

- Okazuje się, że Ministerstwo Zdrowia nie wie, z iloma firmami obsługującymi różne aplikacje współpracuje sektor usług medycznych. Mamy wolnoamerykankę. Sektor oświaty też nie wie, z iloma podmiotami zewnętrznymi typu e-dzienniki współpracuje, a były wielkie wycieki. Po co nam zatem te wszystkie służby, ministerstwa, departamenty? W razie wycieku podnoszą lament. To kpina i niezasłużony brak szacunku do ludzi, którzy chcieliby przestrzegania przepisów prawa i jego twardej egzekucji – komentuje dr Feliński.

Przytacza przykład, jak to jego znajoma dostała SMS-a z MyDr, ale żadna przychodnia, z której ona korzysta, do dziś się nie odezwała. Czy zatem kobieta ma sama biegać między 15 prywatnymi podmiotami i dochodzić, gdzie jej dane wyciekły? Dlaczego w Polsce to ofiara ma udowadniać, kto powinien ponieść karę za wyciek danych osobowych?

Ru należy wyjaśnić, że to MyDr przekazuje placówkom informacje i materiały komunikacyjne oraz udostępnia wzory i narzędzie wspierające proces powiadamiania. Zawiadomienia zaś dokonuje właściwa placówka, realizując swoje obowiązki jako administrator danych osobowych pacjentów.

- Przepisy RODO jasno mówią, że są określone sposoby zabezpieczenia interesu obywatela. Poproszę więc o 50 tysięcy złotych, żebym w razie potrzeby miał na postępowania przed sądem. Spodziewam się, że wielu emerytów nawet nie skojarzy, że pieniądze z ich konta zniknęły z powodu wycieku danych. Tę kwestię trzeba ucywilizować, mówić o niej otwartym tekstem. Bo w tej chwili głos w tej sprawie zabierają politycy mający umiarkowane pojęcie pojęcia o cyberbezpieczeństwie czy o RODO – mówi dr Feliński. - Jeśli czytamy w RODO - "art. 32 ust.3 lit. b) administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, o którym mowa w ust. 1; a dalej wskazuje art.82 ust. 1.Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę", to znaczy, że przepisy dają każdemu poszkodowanemu prawo do wnoszenia uzasadnionych roszczeń, a sądom indywidualną ocenę zdarzenia – podsumowuje ekspert.