Odszkodowanie za wyciek danych z systemu MyDr może dostać każdy z blisko 19 mln poszkodowanych Polaków, ale polskie sądy zasądzają w takich sprawach zwykle 1,5 tys. zł, a nie dziesiątki tysięcy. Warunkiem jest wykazanie konkretnej szkody, czego rządowy serwis Bezpieczne Dane nie ułatwia: nie podaje ani placówki, ani zakresu wykradzionych danych. Obowiązek zawiadomienia pacjenta spoczywa nie na firmie MyDr, lecz na 12 tys. przychodni.
Odszkodowanie za wyciek danych: trzy warunki, które muszą wystąpić łącznie
Podstawą roszczenia jest artykuł 82 RODO, który daje prawo do odszkodowania za szkodę majątkową i niemajątkową wynikłą z naruszenia ochrony danych. W przypadku danych medycznych dochodzi artykuł 13 ustawy o prawach pacjenta, chroniący tajemnicę informacji o stanie zdrowia. Sam fakt, że numer PESEL znalazł się w bazie przejętej przez przestępców, nie wystarczy.
Trzy elementy, które muszą wystąpić łącznie: naruszenie RODO, szkoda oraz związek przyczynowy
Jarosław Chałas, radca prawny, partner zarządzający w kancelarii Chałas i Wspólnicy
Linię orzeczniczą wyznaczył Trybunał Sprawiedliwości Unii Europejskiej. W wyroku z 4 maja 2023 r. w sprawie C-300/21 przesądził, że samo naruszenie przepisów nie rodzi automatycznie prawa do odszkodowania, choć jednocześnie nie obowiązuje żaden próg minimalny wysokości szkody. W wyroku z 14 grudnia 2023 r. w sprawie C-340/21 uznał, że sama obawa przed nadużyciem danych przez osoby trzecie może być szkodą niemajątkową, ale poszkodowany musi wykazać, że realnie odczuł jej negatywne skutki. Tydzień po ujawnieniu incydentu opisywaliśmy wyciek danych medycznych z MyDr, w którym przestępcy przejęli numery PESEL, dane recept i wizyt.
Ile naprawdę zasądzają polskie sądy za wyciek danych
Dorobek orzeczniczy sprzed incydentu w MyDr jest jednoznaczny i rozczarowujący dla poszkodowanych. Standardem stała się kwota 1,5 tys. zł, niezależnie od tego, ile powód zażądał w pozwie.
| Sprawa i sygnatura | Kwota żądana | Kwota zasądzona |
|---|---|---|
| Wyciek z MoneyMan.pl, III C 280/22, SO w Warszawie | 30 000 zł | 1500 zł |
| Wymiana danych ubezpieczeniowych, kilka spraw | 10 000-20 000 zł | 1500 zł w każdej |
| Wyciek do 22 tys. podmiotów, III C 904/23, SO w Warszawie | 50 000 zł | 40 000 zł |
Wysokość rekordu bywa podawana rozbieżnie. Dziennik “Rzeczpospolita” wskazuje wyrok w sprawie III C 904/23 opiewający na 40 tys. zł, natomiast mec. Karolina Pilawska za polski rekord uznaje 20 tys. zł zasądzone przez Sąd Okręgowy w Warszawie asesorce komorniczej. Żadna z tych kwot nie jest stawką ustawową: RODO nie przewiduje taryfikatora.
W Polsce nie ma tradycji zasądzania dużych kwot tytułem zadośćuczynienia, jak chociażby w USA
dr hab. Arwid Mednis, radca prawny, Mednis Legal, wykładowca Uniwersytetu Warszawskiego
Prawnicy zgodnie wskazują, że dane o stanie zdrowia należą do szczególnej kategorii i mogą uzasadniać wyższe kwoty niż wyciek adresu e-mail. Arwid Mednis podaje przykład: informacja o leczeniu psychiatrycznym będzie traktowana inaczej niż wizyta u laryngologa. Karolina Pilawska dodaje, że przy samych obawach przed wykorzystaniem danych sądy zasądzają od 1 do 2 tys. zł, a kilka do kilkunastu tysięcy dopiero przy udowodnionej konkretnej szkodzie.
Kogo pozwać: firmę MyDr czy własną przychodnię
To pytanie rozstrzyga konstrukcja RODO, a odpowiedź zaskakuje większość pacjentów. Administratorem danych jest lekarz albo placówka medyczna, która powierzyła ich przetwarzanie firmie MyDr. Sama spółka jest podmiotem przetwarzającym, czyli procesorem. Obowiązki wobec pacjenta spoczywają zatem na przychodni, mimo że włamano się do systemu dostawcy.
Naczelna Izba Lekarska przypomniała to lekarzom komunikatem z 12 sierpnia 2026 r., w dniu, w którym wicepremier Krzysztof Gawkowski potwierdził skalę wycieku.
Administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu
Naczelna Izba Lekarska, komunikat dla lekarzy z 12 sierpnia 2026 r.
Prezes Urzędu Ochrony Danych Osobowych zajął to samo stanowisko: powiadomienie osób, których dane wyciekły, obciąża administratorów korzystających z MyDr, czyli tysiące gabinetów i przychodni. Praktyczny skutek jest taki, że 19 mln pacjentów czeka na pismo nie od spółki, która straciła bazę, lecz od swojej przychodni. Nie wszyscy prawnicy uważają jednak, że to zamyka drogę do spółki. Radca prawny Maciej Gawroński z kancelarii GP Partners wskazuje, że roszczenie może być kierowane zarówno wobec MyDr, jak i wobec placówek medycznych.
Rządowy serwis nie da dowodu, którego zażąda sąd
Ministerstwo Cyfryzacji uruchomiło serwis bezpiecznedane.gov.pl i wgrało do niego rekordy z bazy MyDr. Po zalogowaniu przez aplikację mObywatel, bankowość elektroniczną, e-Dowód albo profil zaufany użytkownik wchodzi w zakładkę “Historia wycieków” i klika “Sprawdź swoje wycieki”. Numer PESEL jest monitorowany automatycznie, adres e-mail dopiero po zgłoszeniu go w profilu. Serwis pokazuje jednak wyłącznie to, że dany numer PESEL znalazł się w zgłoszonym incydencie.
Nie posiadamy i nie udostępniamy informacji o placówkach medycznych, których dotyczy wyciek, ani o zakresie danych
komunikat w serwisie bezpiecznedane.gov.pl
To zdanie przesądza o wartości państwowego narzędzia w sądzie. Aby wygrać sprawę, trzeba wykazać, jakie konkretnie dane wyciekły i z jakiej placówki, bo od tego zależy zarówno legitymacja pozwanego, jak i rozmiar szkody. Serwis dostarcza więc niepokój, ale nie dowód. Szczegółowo opisaliśmy, jak sprawdzić, czy moje dane wyciekły.
Państwo potrafiło w kilkanaście dni postawić stronę, która mówi obywatelowi “twoje dane wyciekły”. Nie potrafi powiedzieć mu, co wyciekło i skąd. Dokładnie tego zażąda od niego sąd
Redakcja NaszaPolska.pl
Ile kosztuje pozew i kiedy przestaje się opłacać
Opłatę od pozwu w sprawach o prawa majątkowe określa artykuł 13 ustawy o kosztach sądowych w sprawach cywilnych. Przy roszczeniach, o jakich mowa w sprawach o wyciek danych, stawki wyglądają następująco:
- do 500 zł wartości przedmiotu sporu – opłata 30 zł
- od 500 do 1500 zł – opłata 100 zł
- od 1500 do 4000 zł – opłata 200 zł
- od 4000 do 7500 zł – opłata 400 zł
- od 10 000 do 15 000 zł – opłata 750 zł
- powyżej 20 000 zł – 5 proc. wartości przedmiotu sporu
Sama opłata nie jest barierą. Barierą jest reguła, że przegrywający zwraca koszty przeciwnika. Jeżeli powód zażąda 30 tys. zł, a sąd przyzna 1,5 tys., zostanie uznany za przegrywającego w przeważającej części i zapłaci za pełnomocnika strony przeciwnej. W sprawie przeciwko MoneyMan.pl koszty sięgnęły 8 tys. zł przy zasądzonych 1,5 tys. zł.
Z perspektywy pojedynczej osoby, która padła ofiarą wycieku, dochodzenie roszczeń często po prostu się nie opłaca
Sławomir Kowalski, radca prawny, partner w kancelarii Just LAW
Skala potencjalnych roszczeń robi jednak wrażenie. Przy 19 mln poszkodowanych i standardowej kwocie 1,5 tys. zł na osobę łączna wartość sięgnęłaby 28,5 mld zł, przy 5 tys. zł – 95 mld zł, a przy 10 tys. zł – 190 mld zł. To symulacja redakcji serwisu Strefa Biznesu, nie prognoza wypłat: żaden sąd nie zasądzi odszkodowania osobie, która nie złoży pozwu i nie udowodni szkody.
Pozew zbiorowy: dziesięć osób i jeden warunek nie do spełnienia
Postępowanie grupowe wymaga co najmniej dziesięciu osób, jednolitej podstawy faktycznej oraz ujednolicenia wysokości roszczeń w grupie lub podgrupach. Pierwszy i trzeci warunek da się spełnić bez większego trudu, natomiast drugi jest w tej sprawie prawdziwą przeszkodą.
W wycieku z MyDr szkody są skrajnie różne: jednemu pacjentowi wyciekł sam numer PESEL, drugiemu lista recept, trzeci padł już ofiarą próby wyłudzenia kredytu. Jarosław Chałas wskazuje, że właśnie ta różnorodność szkód jest głównym argumentem przeciwko dopuszczalności pozwu zbiorowego w sprawach o wycieki danych. Arwid Mednis opowiada się za taką formułą, ale rozstrzygnięcie należy do sądu, który bada dopuszczalność postępowania grupowego na wstępie.
Do czasu tego rozstrzygnięcia poszkodowanym zostaje gromadzenie dowodów. Warto zachować: zawiadomienie od przychodni o naruszeniu, korespondencję z placówką, zrzuty podejrzanych SMS-ów i e-maili, potwierdzenia zgłoszeń na policję oraz dokumentację ewentualnych strat finansowych. Trzy tygodnie przed incydentem w MyDr opisywaliśmy wyciek danych żołnierzy z Zegrza – tam poszkodowanych było 392, a sprawa i tak nie znalazła finału.
Najczęstsze pytania
Ile wynosi odszkodowanie za wyciek danych?
RODO nie przewiduje taryfikatora. Polskie sądy zasądzają najczęściej 1,5 tys. zł, przy samych obawach przed wykorzystaniem danych od 1 do 2 tys. zł, a kilka do kilkunastu tysięcy dopiero przy udowodnionej konkretnej szkodzie. Kwoty rekordowe podawane w mediach to 20 tys. i 40 tys. zł.
Kogo pozwać po wycieku danych z MyDr?
Administratorem danych pacjenta jest placówka medyczna, a MyDr jest podmiotem przetwarzającym. Obowiązki informacyjne wobec pacjenta spoczywają na przychodni. Część prawników wskazuje jednak, że roszczenie można kierować równolegle wobec spółki i wobec placówki.
Czy sam wyciek wystarczy do odszkodowania?
Sam wyciek do uzyskania odszkodowania nie wystarczy. Trybunał Sprawiedliwości Unii Europejskiej w sprawie C-300/21 przesądził, że samo naruszenie przepisów nie rodzi prawa do odszkodowania, więc poszkodowany musi dodatkowo wykazać szkodę i związek przyczynowy między nią a naruszeniem. Nie obowiązuje przy tym żaden próg minimalny wysokości tej szkody.
Ile kosztuje pozew o odszkodowanie za wyciek danych?
Opłata od pozwu wynosi 100 zł przy wartości sporu od 500 do 1500 zł i 200 zł przy wartości od 1500 do 4000 zł. Większym ryzykiem jest obowiązek zwrotu kosztów przeciwnika w razie przegranej w przeważającej części.
Czy będzie pozew zbiorowy po wycieku z MyDr?
Postępowanie grupowe wymaga co najmniej dziesięciu osób i jednolitej podstawy faktycznej. Prawnicy są podzieleni: część wskazuje, że różnorodność szkód w tym wycieku uniemożliwia spełnienie tego warunku, część opowiada się za taką formułą. O dopuszczalności rozstrzyga sąd.
Jakie dowody zebrać po wycieku danych?
Zebrać należy przede wszystkim zawiadomienie od przychodni o naruszeniu ochrony danych, a do tego korespondencję z placówką, zrzuty podejrzanych SMS-ów i e-maili, potwierdzenia zgłoszeń na policję oraz dokumentację strat finansowych. Bez zawiadomienia od administratora wykazanie przed sądem, jakie konkretnie dane wyciekły, jest w praktyce bardzo trudne.
