Nielegalne udostępnienie dokumentacji medycznej - jak chronić swoje prawa i dochodzić roszczeń

Dokumentacja medyczna należy do najściślej chronionych kategorii informacji o człowieku. Zawiera dane o stanie zdrowia, diagnozach, przyjmowanych lekach, czasem o uzależnieniach, ciąży, zaburzeniach psychicznych czy chorobach przewlekłych. Z tego powodu dane o zdrowiu są w RODO zaliczone do tzw. szczególnych kategorii danych osobowych (art. 9 ust. 1 RODO), których przetwarzanie jest co do zasady zakazane, poza wyraźnie wskazanymi wyjątkami. Jeżeli Twoja dokumentacja trafiła do osoby nieuprawnionej - innego pacjenta, pracodawcy, ubezpieczyciela, byłego partnera czy po prostu została udostępniona bez podstawy prawnej - polskie prawo daje Ci kilka realnych, równoległych dróg działania. Możesz uruchomić je jednocześnie: ścieżkę administracyjną (skarga do UODO), instytucjonalną (Rzecznik Praw Pacjenta), karną (zawiadomienie o przestępstwie) i cywilną (roszczenie o zadośćuczynienie). Poniżej wyjaśniamy każdą z nich w realiach polskiego porządku prawnego.

Czyje to dane i jakie masz prawa - podstawa w RODO i ustawie o prawach pacjenta

Zasady prowadzenia, przechowywania i udostępniania dokumentacji medycznej reguluje przede wszystkim ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (rozdział 7, art. 23-29a). Pacjent ma prawo dostępu do swojej dokumentacji oraz prawo do tego, by była ona udostępniana wyłącznie podmiotom enumeratywnie wymienionym w art. 26 tej ustawy (m.in. sam pacjent lub osoba przez niego upoważniona, inne podmioty lecznicze w zakresie kontynuacji leczenia, organy władzy publicznej w zakresie ich zadań, sądy, prokuratura, ZUS, NFZ). Każde udostępnienie poza tym katalogiem i bez zgody pacjenta jest bezprawne. Dane o zdrowiu są jednocześnie danymi szczególnej kategorii w rozumieniu art. 9 RODO, a tajemnica zawodowa lekarza i pielęgniarki dodatkowo chroni te informacje (art. 40 ustawy o zawodach lekarza i lekarza dentysty). Co do okresu przechowywania: zgodnie z art. 29 ustawy o prawach pacjenta dokumentacja jest przechowywana co do zasady 20 lat (a w określonych przypadkach krócej lub dłużej, np. 30 lat dla dokumentacji dotyczącej zgonu wskutek uszkodzenia ciała lub zatrucia). Warto znać te ramy, bo wyznaczają one, kto i kiedy ma prawo do Twoich danych.

Skarga do UODO - ścieżka administracyjna i kary dla podmiotu leczniczego

Pierwszym formalnym krokiem jest złożenie skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO). To organ właściwy do badania naruszeń przepisów o ochronie danych. Skargę można złożyć pisemnie, elektronicznie przez ePUAP/e-Doręczenia lub przez formularz na stronie uodo.gov.pl. W skardze opisz, czyje dane, jakie dane, kto je udostępnił, komu i kiedy oraz dlaczego uważasz, że było to bezprawne; dołącz dowody. UODO może wszcząć postępowanie, nakazać administratorowi usunięcie naruszenia i nałożyć administracyjną karę pieniężną. Maksymalny pułap kar z art. 83 RODO (do 20 mln euro lub do 4% rocznego światowego obrotu przedsiębiorstwa) jest pułapem teoretycznym i dotyczy najpoważniejszych naruszeń u dużych podmiotów - nie jest to kwota orzekana automatycznie. W praktyce wysokość kary zależy m.in. od skali naruszenia, liczby poszkodowanych, charakteru danych i stopnia zawinienia. Niezależnie od skargi, administrator danych ma własny obowiązek zgłoszenia naruszenia ochrony danych do UODO w ciągu 72 godzin (art. 33 RODO) oraz zawiadomienia pacjenta, gdy naruszenie powoduje wysokie ryzyko dla jego praw (art. 34 RODO).

Rzecznik Praw Pacjenta - kiedy i jak złożyć skargę

Równolegle możesz zwrócić się do Rzecznika Praw Pacjenta (RPP). Rzecznik stoi na straży praw pacjentów określonych w ustawie o prawach pacjenta, w tym prawa do zachowania w tajemnicy informacji związanych z pacjentem oraz prawa do dokumentacji medycznej. RPP może prowadzić postępowanie wyjaśniające, a w przypadku stwierdzenia praktyki naruszającej zbiorowe prawa pacjentów - wydać decyzję nakazującą jej zaniechanie. Wniosek do RPP jest wolny od opłat. Złożenie go nie zamyka żadnej innej drogi - możesz jednocześnie skarżyć się do UODO, zawiadamiać prokuraturę i kierować sprawę do sądu cywilnego. Warto pamiętać, że w sprawach indywidualnych RPP nie zasądzi Ci odszkodowania - służy temu sąd cywilny - ale jego ustalenia mogą stanowić wsparcie dowodowe w innych postępowaniach.

Odpowiedzialność karna - art. 107 RODO oraz przestępstwa z Kodeksu karnego

Bezprawne ujawnienie danych o zdrowiu może wyczerpywać znamiona przestępstwa. Polska ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych przewiduje w art. 107 odpowiedzialność karną za przetwarzanie danych, gdy ich przetwarzanie jest niedopuszczalne albo gdy osoba do tego nieuprawniona przetwarza dane - w przypadku danych szczególnych kategorii (m.in. o zdrowiu) grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do lat 3. Niezależnie od tego w grę może wchodzić art. 266 Kodeksu karnego (naruszenie tajemnicy zawodowej - do 2 lat pozbawienia wolności, ściganie na wniosek pokrzywdzonego) oraz art. 51 ustawy o ochronie danych - choć ten ostatni dotyczy poprzedniego stanu prawnego. Zawiadomienie o podejrzeniu popełnienia przestępstwa składa się do prokuratury lub na policji - ustnie do protokołu albo na piśmie. Nie musisz znać kwalifikacji prawnej czynu; wystarczy rzetelny opis faktów i wskazanie dowodów. Organy ścigania samodzielnie ocenią podstawę prawną.

Roszczenia cywilne - zadośćuczynienie za naruszenie dóbr osobistych i art. 82 RODO

Drogę do realnej rekompensaty finansowej otwiera proces cywilny. Masz dwie nakładające się podstawy. Po pierwsze, art. 82 RODO daje każdej osobie, która poniosła szkodę majątkową lub niemajątkową wskutek naruszenia przepisów RODO, prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Po drugie, ujawnienie danych o zdrowiu narusza dobra osobiste (prywatność, tajemnicę informacji o stanie zdrowia) chronione przez art. 23 i 24 Kodeksu cywilnego, a art. 448 k.c. (w nowym ujęciu art. 448 w zw. z art. 24 k.c.) pozwala żądać zadośćuczynienia pieniężnego za doznaną krzywdę. W procesie to Ty - jako powód - musisz wykazać fakt bezprawnego ujawnienia oraz doznaną krzywdę (np. stres, lęk, naruszenie relacji rodzinnych czy zawodowych), choć w reżimie ochrony dóbr osobistych bezprawność działania jest domniemana, a to pozwany musi wykazać, że działał zgodnie z prawem. Pozew kieruje się do sądu rejonowego lub okręgowego (zależnie od wartości przedmiotu sporu). Roszczenia o naruszenie dóbr osobistych co do zasady przedawniają się po 6 latach (art. 118 k.c.), a roszczenia z czynów niedozwolonych - po 3 latach od dnia, w którym poszkodowany dowiedział się o szkodzie i osobie zobowiązanej (art. 442[1] k.c.).

Pozew grupowy, gdy poszkodowanych jest wielu

Jeżeli wyciek dokumentacji objął wielu pacjentów tego samego podmiotu leczniczego (np. wskutek ataku na system informatyczny szpitala albo zgubienia nośnika), warto rozważyć postępowanie grupowe na podstawie ustawy z dnia 17 grudnia 2009 r. o dochodzeniu roszczeń w postępowaniu grupowym. Pozwala ono dochodzić roszczeń przez grupę co najmniej 10 osób w oparciu o tę samą lub taką samą podstawę faktyczną. Postępowanie grupowe prowadzi sąd okręgowy, a grupę reprezentuje reprezentant (często z udziałem profesjonalnego pełnomocnika). To rozwiązanie obniża koszty jednostkowe i zwiększa siłę negocjacyjną wobec dużego podmiotu. Alternatywnie, niektóre sprawy kończą się ugodą pozasądową - administrator danych, chcąc uniknąć rozgłosu i sankcji UODO, bywa skłonny do dobrowolnej rekompensaty.

Jak udokumentować naruszenie - praktyczna lista dowodów

Powodzenie każdej z tych ścieżek zależy od dowodów. Zacznij od zabezpieczenia śladów: zrób zrzuty ekranu wiadomości, e-maili, korespondencji z placówką, zachowaj kopertę, w której nadeszły cudze dokumenty, zapisz daty i godziny zdarzeń. Złóż do podmiotu leczniczego pisemny wniosek o udzielenie informacji, komu i na jakiej podstawie udostępniono Twoją dokumentację (administrator ma obowiązek prowadzić wykaz udostępnień zgodnie z przepisami wykonawczymi do ustawy o prawach pacjenta). Skorzystaj też z prawa dostępu do danych z art. 15 RODO - możesz zażądać informacji o odbiorcach Twoich danych. Zbierz oświadczenia świadków, którzy widzieli ujawnienie lub jego skutki. Im pełniejsza dokumentacja, tym mocniejsza pozycja zarówno w postępowaniu przed UODO, jak i w sądzie cywilnym czy karnym.

Kiedy warto skorzystać z pomocy prawnika

Sprawy dotyczące naruszenia ochrony danych medycznych łączą prawo administracyjne (RODO, UODO), karne i cywilne, dlatego wsparcie radcy prawnego lub adwokata wyspecjalizowanego w ochronie danych albo w prawie medycznym znacząco zwiększa skuteczność działań. Prawnik pomoże prawidłowo skonstruować skargę do UODO, zredagować zawiadomienie do prokuratury tak, by zawierało komplet znamion czynu, oszacować realną wysokość zadośćuczynienia w oparciu o orzecznictwo i poprowadzić negocjacje ugodowe. W sprawach o ochronę dóbr osobistych i roszczenia z RODO koszty zastępstwa procesowego przy wygranej zwykle obciążają stronę przegrywającą. Pierwsza konsultacja pozwala ocenić, które z czterech ścieżek (UODO, RPP, prokuratura, sąd cywilny) są w Twojej sytuacji najbardziej obiecujące i czy zasadny jest pozew grupowy.