NSA utrzymał karę 45 697 zł za dane o zdrowiu klientów

Przekazanie dokumentów medycznych nie przesądza jeszcze o zgodzie na ich przetwarzanie. W sprawie wspólników spółki cywilnej sądy uznały, że nie wykazali, iż potencjalni klienci wyraźnie zgodzili się na wykorzystanie informacji o zdrowiu. Naczelny Sąd Administracyjny oddalił skargę kasacyjną przedsiębiorców i utrzymał karę 45 697 zł. Rozstrzygnięcie pokazuje, że zgoda ustna jest możliwa, ale administrator musi umieć wykazać, czego dokładnie dotyczyła.

6 października 2026 r. NSA oddalił skargę wspólników Kancelarii Pionier. Podtrzymał tym samym wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie i decyzję Prezesa Urzędu Ochrony Danych Osobowych. Wspólnicy mają zaprzestać przetwarzania danych, które – jak ustalono w postępowaniu – nie miało podstawy prawnej, a także zapłacić karę pieniężną.

Sprawa zaczęła się od wniosku Komendanta Powiatowego Policji o kontrolę administratorów danych. Wspólnicy zwlekali z odpowiedziami na wezwania UODO lub przekazywali niepełne wyjaśnienia, dlatego organ przeprowadził kontrolę w przedsiębiorstwie.

Informacje o zdrowiu zbierano przed podpisaniem umowy

Dane przyszłych klientów pozyskiwano z internetu, mediów społecznościowych oraz podczas wywiadów środowiskowych. Po nawiązaniu wstępnego kontaktu wspólnicy rozmawiali z potencjalnymi klientami ponownie i zbierali kolejne informacje, w tym dotyczące ich zdrowia. Jeśli do umowy nie dochodziło, przechowywali zgromadzone dane przez trzy do pięciu dni. Prezes UODO nie uznał tej praktyki za marketing bezpośredni.

Wspólnicy przekonywali, że klienci ustnie zgadzali się na przetwarzanie danych, zanim zawarli umowę. WSA uznał jednak, że samo zainteresowanie usługą nie wystarcza. Zebrane informacje miały służyć między innymi ocenie, czy zawarcie umowy będzie opłacalne, i sprawdzeniu, czy klient rzeczywiście zdecyduje się na współpracę. Przedsiębiorcy nie wykazali, że klienci żądali podjęcia działań w ich sprawie przed zawarciem umowy.

Sąd podkreślił też, że przetwarzanie danych powinno być niezbędne do osiągnięcia celu. W tej sprawie chodziło o szczególną kategorię informacji – dane o zdrowiu – a wspólnicy nie wykazali, że nie mogli osiągnąć swoich celów w inny sposób.

Najświeższe wiadomości z Polski czekają na stronie głównej pl.news.

Ustna zgoda jest możliwa, ale trzeba wykazać jej zakres

NSA nie uznał, że zgoda musi mieć formę pisemną ani że każdą rozmowę trzeba nagrywać. Ustne oświadczenie może być ważne, jeśli okoliczności pozwalają stwierdzić, że klient świadomie i wyraźnie zgodził się na konkretny sposób wykorzystania danych. To jednak administrator odpowiada za wykazanie, że zgoda została udzielona.

Ogólna praktyka pytania o zgodę podczas pierwszych rozmów nie pozwalała ustalić, kto ją wyraził, kiedy to zrobił ani jakiego zakresu dotyczyła.

„ustalić, które osoby złożyły oświadczenie, kiedy to nastąpiło, jakie informacje im przedstawiono i jaki był zakres zgody, zwłaszcza czy w sposób wyraźny obejmowała ona dane o zdrowiu oraz ich dalsze zachowanie i wykorzystanie do ponownego kontaktu” – wskazał Naczelny Sąd Administracyjny.

Sąd odrzucił również argument, że zgodę można wywnioskować z braku sprzeciwu. Milczenie, brak skargi czy samo rozpoczęcie rozmowy nie są aktywnym przyzwoleniem wymaganym przez RODO. Podobnie przekazanie dokumentów medycznych może świadczyć o zainteresowaniu usługą, ale samo w sobie nie określa celu, zakresu ani czasu przetwarzania danych.

Dla administratora, który opiera się na zgodzie ustnej, istotne jest więc zachowanie dowodów pozwalających odtworzyć, kto i kiedy jej udzielił, jakie informacje otrzymał oraz na jaki cel się zgodził. Ciężaru wykazania zgody nie można przerzucić na klienta ani na organ nadzorczy.

na podstawie: Urząd Ochrony Danych Osobowych.