Pismo od pacjenta po wycieku danych z MyDr lub Medyc może pociągnąć za sobą roszczenia i kontrolę UODO. Porozmawiajmy, jak się na to przygotować.

Dokumentacji medycznej co do zasady nie usuwasz: przechowujesz ją 20 lat od końca roku ostatniego wpisu (art. 29 ustawy o prawach pacjenta), a RODO nie daje prawa do usunięcia danych, które musisz przechowywać z mocy prawa (art. 17 ust. 3 lit. b). Dane spoza dokumentacji usuwasz, jeśli nie masz innej podstawy, żeby je przetwarzać. Co napisać w odmowie i jak liczyć miesięczny termin, opisujemy w artykule o żądaniu usunięcia danych przez pacjenta, a całą sprawę możemy poprowadzić za Ciebie.

Nie każde wezwanie jest zasadne: pacjent musi wykazać szkodę i jej związek z naruszeniem RODO (art. 82 RODO), a termin z wezwania nie jest ustawowy. Jeśli jednak roszczenie jest zasadne, a termin zapłaty nie wynikał wcześniej z umowy ani z właściwości zobowiązania, zapłata należy się niezwłocznie po wezwaniu, a opóźnienie może kosztować odsetki (art. 455 i 481 k.c.). Prowadzimy całą sprawę po wezwaniu, a co sprawdzić w piśmie i czego nie pisać w odpowiedzi, opisujemy w artykule o wezwaniu do zapłaty po wycieku danych.

Administratorem danych Twoich pacjentów jesteś Ty. Dostawca, który przetwarza je w Twoim imieniu, jak MyDr, jest podmiotem przetwarzającym. UODO przypomniał 12 sierpnia 2026, że zgłoszenie naruszenia i zawiadomienie pacjentów należą do administratora, także gdy do wycieku doszło u podmiotu przetwarzającego. Pacjent może więc kierować żądania i roszczenia do Ciebie, a Ty możesz dochodzić swoich praw od dostawcy.

Jeśli naruszenie wymaga zgłoszenia, zgłoś je teraz i dołącz wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO). Termin 72 godzin liczy się od stwierdzenia naruszenia. UODO wskazał 12 sierpnia 2026, że administrator powinien dostać od dostawcy potwierdzenie, że incydent dotyczył jego danych. Jeśli sam masz już dostateczną pewność, że naruszenie dotyczy Twoich danych, nie czekaj na dostawcę (pismo Prezesa UODO do NIL z 21 sierpnia 2026, wytyczne EROD 9/2022). Przygotujemy zgłoszenie, ocenę ryzyka i, jeśli ryzyko jest wysokie, zawiadomienie pacjentów (art. 34 RODO).

Tak, polisy sprawdzamy na początku sprawy: obowiązkowe OC, OC dobrowolne i polisę cyber, jeśli placówka ją ma. Szkodę zgłaszamy z każdej polisy, która może zadziałać, w terminie z umowy. Wyłączenia, zakres czasowy i termin zgłoszenia opisujemy w artykule o polisie OC a wycieku danych.

Pierwsza rozmowa jest bezpłatna i do niczego Cię nie zobowiązuje. Oddzwaniamy w ciągu 24 godzin od zgłoszenia (w dni robocze). Na rozmowie ustalamy, co przyszło, jakie są terminy i co jest już zrobione. Wstępną wycenę przygotowujemy indywidualnie, bo zależy od skali sprawy, i przedstawiamy ją na tej samej rozmowie.

Nie prowadzimy spraw pacjentów: doradzamy placówkom medycznym i lekarzom. Informacje dla osób, których dane mogły wyciec, publikuje Urząd Ochrony Danych Osobowych na uodo.gov.pl. Czy Twój numer PESEL był w wycieku z MyDr, sprawdzisz w serwisie bezpiecznedane.gov.pl. Numer PESEL możesz też zastrzec w aplikacji mObywatel albo w urzędzie gminy.

Miej pod ręką pismo i datę jego doręczenia, bo od niej liczą się terminy. Przyda się też informacja, czy naruszenie zgłoszono do UODO i czy pacjenci dostali zawiadomienie, a także umowa z dostawcą systemu i polisa OC, jeśli ją masz. Samego pisma nie wysyłasz nam przed zleceniem.