Pacjent po SMS-ie o wycieku żąda odszkodowania. Jak odpowiedzieć

To nie jest porada prawna. Ogólne zasady prostym językiem. Jeśli pacjent przysłał pismo od prawnika albo pozew, skonsultuj się z prawnikiem.

Kiedy pacjent może żądać odszkodowania?

Art. 82 ust. 1 RODO daje prawo do odszkodowania każdemu, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia RODO. Odszkodowanie wymaga naruszenia RODO, szkody i związku przyczynowego. Pacjent wykazuje szkodę i jej związek z naruszeniem. Gabinet jako administrator musi wykazać, że zabezpieczenia były odpowiednie, a jeśli powołuje się na zwolnienie z odpowiedzialności (art. 82 ust. 3), że w żaden sposób nie ponosi winy za zdarzenie, które spowodowało szkodę.

Trybunał Sprawiedliwości UE wyjaśnił w wyroku C-300/21 (Österreichische Post), że samo naruszenie RODO nie wystarcza do odszkodowania. Nie ma też progu powagi: szkoda niemajątkowa nie musi być poważna. Musi jednak zostać wykazana. W wyroku C-340/21 Trybunał uznał, że obawa przed nadużyciem danych może być szkodą niemajątkową, jeśli pacjent ją wykaże i jest ona uzasadniona.

Więcej o tym, kto i co musi udowodnić, piszemy w artykule czy pacjent może pozwać lekarza za wyciek danych.

Co powinna zawierać odpowiedź do pacjenta?

1. Podziękowanie za wiadomość i spokojny ton. Pacjent jest zaniepokojony. Nie tłumacz mu, że przesadza.
2. Fakty o zdarzeniu. Co wiesz i kiedy się dowiedziałeś. Tylko to, co jest pewne.
3. Co zrobił gabinet. Tylko to, co rzeczywiście zrobiłeś i co było odpowiednie do zdarzenia: zgłoszenie do Prezesa UODO (wymagane, chyba że ryzyko było mało prawdopodobne), zawiadomienie pacjentów (przy wysokim ryzyku, art. 34), zmiana haseł, dodatkowe zabezpieczenia.
4. Co może zrobić pacjent. Zastrzeżenie numeru PESEL, ostrożność wobec podejrzanych telefonów i wiadomości.
5. Punkt kontaktowy. Telefon albo adres e-mail osoby, z którą pacjent może porozmawiać.
6. Jedno zdanie o roszczeniu. Że przyjąłeś je do wiadomości i rozpatrzysz po otrzymaniu informacji o szkodzie, jeśli pacjent ją wskazuje.

Czego nie pisać?

• Nie przyznawaj winy i nie pisz „przepraszamy za nasze zaniedbanie”. Możesz napisać, że rozumiesz niepokój.
• Nie oskarżaj pacjenta o wyłudzanie pieniędzy i nie sugeruj, że jego roszczenie jest nieuczciwe.
• Nie zachęcaj do roszczeń i nie proponuj kwot na własną rękę, zanim pacjent wskaże szkodę.
• Nie ujawniaj danych pozwalających zidentyfikować innych pacjentów. Zbiorczą liczbę osób objętych naruszeniem możesz podać, jeśli nikogo nie identyfikuje. Zwykle nie ma takiej potrzeby.
• Nie wysyłaj dokumentacji medycznej w odpowiedzi na pismo, jeśli nie zweryfikowałeś, kto je wysłał.

Wzór spokojnej odpowiedzi

Szanowny Panie / Szanowna Pani,

dziękujemy za wiadomość. Rozumiemy, że informacja o naruszeniu ochrony danych mogła wzbudzić Pana/Pani niepokój.

[Data] otrzymaliśmy od dostawcy oprogramowania informację o nieuprawnionym dostępie do danych w systemie, z którego korzysta nasz gabinet. [Wybierz to, co prawda: Naruszenie zgłosiliśmy Prezesowi Urzędu Ochrony Danych Osobowych. / Poinformowaliśmy pacjentów. / Zmieniliśmy hasła użytkowników systemu. / Wdrożyliśmy dodatkowe zabezpieczenia.]

Zalecamy zastrzeżenie numeru PESEL w aplikacji mObywatel lub w urzędzie gminy oraz ostrożność wobec nieoczekiwanych telefonów i wiadomości dotyczących Pana/Pani danych.

Jeżeli poniósł Pan/poniosła Pani szkodę w związku z naruszeniem, prosimy o jej opisanie, a my rozpatrzymy sprawę. Punkt kontaktowy: [imię i nazwisko / IOD], [telefon], [e-mail].

Z poważaniem, [Gabinet]

Dostosuj wzór do swojej sytuacji. Nie wpisuj niczego, czego nie zrobiłeś.

Co zapisać i zachować?

• Pismo pacjenta i Twoją odpowiedź, razem z datą wysłania i sposobem doręczenia.
• Wpis w rejestrze naruszeń (art. 33 ust. 5 RODO) i potwierdzenie zgłoszenia do UODO.
• Treść zawiadomienia wysłanego pacjentom i potwierdzenie wysyłki.
• Dokumenty pokazujące zabezpieczenia: analiza ryzyka, umowa powierzenia z dostawcą systemu.

Jeśli sprawa trafi do UODO albo do sądu, to na tych dokumentach oprzesz obronę.

Co robić, gdy pacjent grozi pozwem albo składa skargę do UODO?

Nie ignoruj pisma. Odpowiedz bez nieuzasadnionej zwłoki. Termin wskazany przez pacjenta albo pełnomocnika nie jest sam w sobie wiążący, ale wezwanie do zapłaty może wpływać na wymagalność zasadnego roszczenia i odsetki. Przestrzegaj terminów wyznaczonych przez UODO lub sąd. Skargę do Prezesa UODO pacjent może złożyć bezpłatnie, a urząd może wtedy poprosić o zgłoszenie naruszenia, rejestr naruszeń i dowód zawiadomienia pacjentów. Przy pozwie albo piśmie od pełnomocnika skonsultuj się z prawnikiem. Sprawdź też, czy Twoja polisa obejmuje roszczenia związane z danymi osobowymi.

Możemy to przygotować za Ciebie

Obsługa naruszenia, 849 zł. Rejestr naruszeń, zgłoszenie uzupełniające, zawiadomienie pacjentów i ściąga na rozmowy z pacjentami. Dzięki temu masz co pokazać, gdy ktoś zapyta, co zrobiłeś.

Komplet dokumentacji RODO dla gabinetu, 999 zł. Analiza ryzyka, procedura naruszeń, umowy powierzenia. Szczegóły w cenniku.

Zadzwoń: 880 133 640, Roman Jońca.

Najczęstsze pytania

Czy pacjent dostanie odszkodowanie tylko dlatego, że jego dane wyciekły? Nie automatycznie. Musi wykazać szkodę i jej związek z naruszeniem (art. 82 RODO, wyrok C-300/21).

Czy strach przed nadużyciem danych może być szkodą? Może, jeśli pacjent wykaże, że obawa jest uzasadniona (wyrok C-340/21).

Czy przeprosiny oznaczają przyznanie się do winy? Wyrażenie zrozumienia dla niepokoju nie jest przyznaniem winy. Unikaj sformułowań o zaniedbaniu i własnej odpowiedzialności.

Czy mogę podać pacjentowi, ilu pacjentów dotyczy wyciek? Nie ma takiej potrzeby. Wystarczy opis zdarzenia i środków. Nie ujawniaj danych, które pozwalają zidentyfikować innych pacjentów.