Wyciek danych z ALAB: na czym oprzeć pozew

Rozmowę opublikowała „Rzeczpospolita" pod tytułem „Ekspert o roszczeniach pacjentów po wycieku z ALAB: Jest kilka podstaw prawnych". Pytania zadawał Szymon Cydzik, odpowiadał **adwokat Paweł Potocki** z kancelarii Marszałek & Partnerzy – Adwokaci.

**Jedno zastrzeżenie na początek, bo zmienia sposób czytania całości: rozmowa pochodzi z 2 grudnia 2023 r.**, czyli z pierwszych tygodni po ujawnieniu wycieku z sieci laboratoriów ALAB. Serwis odświeżył ją 28 października 2026 r. Poniżej streszczamy, co powiedział ekspert, a na końcu sprawdzamy, co z tego jest aktualne dziś.

Ekspert wskazuje **kilka równoległych dróg**, a nie jedną. Podstawowa to **art. 82 ust. 1 RODO** — odszkodowanie za szkodę majątkową lub niemajątkową wynikającą z naruszenia rozporządzenia.

Gdyby ta podstawa nie wchodziła w grę, zostają przepisy o ochronie dóbr osobistych: **art. 23, 24 i 448 kodeksu cywilnego**, czyli zadośćuczynienie za krzywdę. Rozmówca przypomina też, że **ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta** w zakresie odpowiedzialności odsyła do kodeksu cywilnego.

Osobno wymienia **drogę karną** — przepisy o ochronie informacji ścigane na wniosek pokrzywdzonego. Złożenie wniosku o ściganie daje status pokrzywdzonego w postępowaniu karnym, co jest czymś innym niż roszczenie pieniężne.

To najmocniejszy punkt całej rozmowy. Bezprawność ekspert rozumie jako niezgodność z przepisami lub zasadami współżycia społecznego — tutaj: **niedostateczne zabezpieczenie danych wbrew wymogom RODO**. Skoro zasady bezpieczeństwa były znane i opisane, ich niewdrożenie można według niego utożsamić z niedbalstwem.

Kluczowe jest jednak **domniemanie bezprawności**: to **administrator musi wykazać, że nie działał bezprawnie**, a nie poszkodowany, że działał. Rozmówca nazywa to wprost „dużym ułatwieniem" dla osób dochodzących roszczeń.

Zastrzega przy tym, że obowiązki administratora **nie są nieograniczone** i nie odpowiada on za każdy skutek. Liczy się to, czy zabezpieczenia i sposób ich stosowania spełniały wymogi RODO.

Sąd musi uznać, że doszło do **istotnej krzywdy**. Ekspert pokazuje to na przykładach, bo wyniki badań laboratoryjnych bywają danymi, których ujawnienie realnie uderza w człowieka — na przykład gdy trafiają do sprawy rozwodowej i prowadzą do naruszenia prywatności oraz poniżenia.

Najciekawszy jest jego stosunek do **zarzutu przyczynienia się**. Na pytanie, czy osobie, której wyciek ujawnił zdradę, można odpowiedzieć „sama jest sobie winna", odpowiada przecząco: **prawo do prywatności obejmuje także sprawy wstydliwe**, a bezpośrednią przyczyną ujawnienia był wyciek, a nie zachowanie poszkodowanego.

Podobnie ocenia przypadek osoby zakażonej HIV, która ukrywała chorobę. Zadośćuczynienie jest możliwe, choć sąd może go nie przyznać — bo ujawnienie mogło chronić innych przed zakażeniem. **Działanie administratora pozostaje jednak bezprawne niezależnie od tego**, jak sąd oceni samą krzywdę.

Przy wycieku obejmującym numery PESEL pojawia się drugi rodzaj szkody: **pieniądze realnie stracone na skutek wyłudzenia**. Ekspert wskazuje, że poszkodowany może dochodzić odszkodowania od administratora danych.

Odpowiedzialność banku ocenia ostrożniej: jeśli pracownik działał należycie wobec sfałszowanego, ale wiarygodnie wyglądającego dokumentu, bank nie musi odpowiadać. **Inaczej przy rażącym niedbalstwie.** Zwraca uwagę, że wypożyczalnie i podobne firmy bywają mniej rygorystyczne w weryfikacji, a pokrzywdzona jest wtedy zarówno taka firma, jak i osoba, której danych użyto.

Przy **unieważnieniu umowy kredytu** ciężar dowodu, że umowy się nie zawarło, spoczywa na kredytobiorcy — a udokumentowany wyciek może to zadanie ułatwić.

Ekspert podaje przedział **1 000–1 500 zł** zadośćuczynienia za sam fakt wycieku, bez dalszych skutków, i zaznacza, że są to kwoty porównywalne z zasądzanymi w innych państwach Unii. Powołuje się ogólnie na orzeczenia sądów polskich, **bez podania sygnatur**.

Rady są konkretne i w większości bezpłatne: **monitorować swoje zobowiązania**, na przykład w Biurze Informacji Kredytowej, żeby wcześnie wychwycić wyłudzenie; **sprawdzić w serwisie państwowym po numerze PESEL**, czy dane wyciekły; **zastrzec numer PESEL**; złożyć **wniosek o ściganie**, by uzyskać status pokrzywdzonego; i dopiero wtedy dochodzić roszczeń od administratora.

Przy zastrzeżeniu PESEL ekspert dodaje wówczas istotne zastrzeżenie: **skutek dla kredytów miał pojawić się dopiero od czerwca**, więc w grudniu 2023 r. samo zastrzeżenie jeszcze nie podnosiło bezpieczeństwa.

**1. Zastrzeżenie PESEL przestało być pustym gestem.** To najważniejsza zmiana od czasu rozmowy. Zastrzeżenie, o którym ekspert mówił, że zadziała „dopiero od czerwca", **działa od 1 czerwca 2024 r.**: instytucje finansowe mają obowiązek sprawdzić, czy PESEL jest zastrzeżony, przed zawarciem umowy kredytu lub pożyczki, a instytucja, która mimo zastrzeżenia udzieli kredytu, nie może dochodzić roszczeń wobec ofiary przestępstwa. Sprawdzają to także notariusze i operatorzy telekomunikacyjni. Rada, która w 2023 r. była przezorna na przyszłość, **dziś jest pierwszą rzeczą do zrobienia**.

**2. Przedział kwot się potwierdza, choć jest nieco szerszy.** Z naszego zestawienia polskich spraw wynika przedział **1 000–3 000 zł, najczęściej około 1 500 zł**. Dolna granica podana przez eksperta zgadza się; górna bywa wyższa, gdy do samego wycieku dochodzą dalsze skutki.

**3. Decyzja UODO to nie są pieniądze dla poszkodowanego — ale bardzo pomaga.** Kara idzie do budżetu państwa. Natomiast **ustalenia prawomocnej decyzji stwierdzającej naruszenie wiążą sąd cywilny** co do samego stwierdzenia naruszenia (art. 97 ustawy o ochronie danych osobowych). W połączeniu z domniemaniem bezprawności, o którym mówi ekspert, oznacza to, że ciężar po stronie poszkodowanego jest mniejszy, niż się zwykle sądzi: zostaje wykazanie krzywdy i związku przyczynowego.

**4. Czego ta rozmowa nie rozstrzyga.** Nie podaje sygnatur orzeczeń ani terminów przedawnienia, a od grudnia 2023 r. orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej dotyczące art. 82 RODO wyraźnie się rozwinęło. **Świadomie nie opisujemy go tutaj**, dopóki nie potwierdzimy sentencji w tekstach wyroków — taka jest zasada tego rejestru i dotyczy także tez wygodnych dla czytelnika.

**5. Czego nie obiecujemy.** Żadna z tych podstaw nie oznacza, że komukolwiek odszkodowanie „się należy". Sąd ocenia krzywdę indywidualnie i może jej nie stwierdzić. Pozew o 1 500 zł to 100 zł opłaty, a realne ryzyko przegranej według stawek minimalnych to około 370 zł — i to jest uczciwy punkt wyjścia do decyzji, a nie obietnica wyniku.