Pozyskiwanie zgody na przetwarzanie danych o zdrowiu - wyrok NSA potwierdzający decyzję Prezesa UODO

Wspólnicy spółki cywilnej przetwarzali dane osobowe potencjalnych klientów, w tym dane dotyczące ich zdrowia. Przy czym twierdzili, że uzyskali ich ustną zgodę i to jeszcze przed zawarciem umowy. Nie przedstawili jednak żadnych dowodów na okoliczność, że klienci rzeczywiście żądali podjęcia działań na ich rzecz przed zawarciem umowy. 6 października 2026 r. NSA oddalił skargę kasacyjną wniesioną przez wspólników spółki Kancelarii Pionier na wyrok WSA w Warszawie - podtrzymując tym samym decyzję Prezesa UODO, w której organ nadzorczy nałożył na nich karę w wysokości 45 697 zł. 

Sprawa zaczęła się, gdy Prezes UODO otrzymał od Komendanta Powiatowego Policji wniosek o przeprowadzenie czynności kontrolnych u wskazanych przez niego administratorów danych osobowych, czyli wspólników spółki cywilnej. Organ nadzorczy wszczął postępowanie administracyjne. Jednak, mimo że wspólnicy spółki otrzymali od Prezesa UODO wezwanie do udzielenia wszelkich wyjaśnień, zwlekali z odpowiedzią lub przekazywali niepełne wyjaśnienia. Wskutek braku dostatecznej współpracy z organem nadzorczym postanowiono o przeprowadzeniu kontroli w przedsiębiorstwie. 

Prezes UODO ustalił, że wspólnicy spółki pozyskiwali dane osobowe przyszłych klientów bezpośrednio z internetu, mediów społecznościowych oraz wywiadu środowiskowego. Po nawiązaniu wstępnej relacji z klientami kontaktowali się z nimi ponownie i pozyskiwali przy tym dalsze informacje – w tym dane o zdrowiu. Administratorzy uzyskiwali dzięki temu wrażliwe informacje o stanie zdrowia klientów. Z kolei jeśli nie doszło do zawarcia umowy, to zebrane dane osobowe administratorzy przechowywali od 3 do 5 dni. Jednakże organ nadzorczy nie dopatrzył się w tej praktyce cech umożliwiających uznanie jej za marketing bezpośredni (o czym mowa w motywie 47 RODO).

Następnie, na podstawie ustaleń faktycznych, organ nadzorczy stwierdził, że wspólnicy  dopuścili się naruszenia przepisów o ochronie danych osobowych. Prezes UODO nakazał administratorom zaprzestanie przetwarzania danych osobowych, które – jak wykazano w toku postępowania – odbywało się bez postawy prawnej. Oprócz tego nałożył na administratorów karę pieniężną..

Skarga wspólników na decyzję Prezesa UODO

Wspólnicy spółki złożyli skargę na decyzję organu nadzorczego. Następnie – w toku postępowania przed WSA – stwierdzili,  że nie przetwarzali danych osobowych bezpodstawnie. Oświadczyli, że klienci „gdyby nie chcieli zawrzeć umowy, to nigdy nie przekazaliby swoich danych”. Oprócz tego błędnie zakwalifikowali kontakt od potencjalnych klientów jako równoznaczny z wyrażeniem zgody na przetwarzanie danych osobowych.

WSA zauważył, że przetwarzanie danych potencjalnych klientów nie było również niezbędne do wykonania umowy lub do podjęcia działań na żądanie potencjalnych klientów, przed zawarciem z nimi umów. Ustalono, że dane osobowe były przetwarzane przez wspólników spółki przed zawarciem umowy jedynie po to, żeby ocenić opłacalność zawarcia umowy oraz dla upewnienia się, czy potencjalny klient rzeczywiście zechce zawrzeć umowę. Wspólnicy spółki nie przedstawili jednak dowodów na potwierdzenie okoliczności, że klienci rzeczywiście żądali w tym celu podjęcia na ich działań na ich rzecz. Dodatkowo ustna forma wyrażenia zgody byłaby akceptowalna (tj. wystarczająca), ale w przypadku tzw. danych zwykłych – o ile w ślad za nią podążałyby inne, dodatkowe działania administratora, np. polegające na sporządzeniu stosownego rejestru zgód lub rozmów przeprowadzonych z osobami, których dane dotyczą.

Postępowanie skarżących nie znalazło podstawy prawnej w żadnym z przepisów RODO. Sąd (WSA) zgodził się z Prezesem UODO, że przetwarzanie danych potencjalnych klientów było nieproporcjonalne do zamierzonego celu oraz nie było niezbędne. Niezbędność zaistniałaby – jak wyraził się sąd w uzasadnieniu wyroku – tylko wtedy, gdyby nie było innych możliwości osiągnięcia celu niż poprzez przetwarzanie danych osobowych potencjalnych klientów. Tym bardziej, że w tym przypadku przedmiotem przetwarzania były informacje szczególnej kategorii – danych osobowych dotyczących zdrowia.

Finalnie sprawa trafiła do Naczelnego Sądu Administracyjnego, który uznał, że skarga kasacyjna złożona przez przedsiębiorców nie miała usprawiedliwionych podstaw. Jak zauważył NSA, RODO rzeczywiście nie zastrzega formy pisemnej dla uzyskania zgody, czy też obowiązkowego zarejestrowania rozmowy ją zawierającej. Wyraźna zgoda na przetwarzanie danych o zdrowiu może zostać złożona ustnie, jeżeli jej treść oraz okoliczności pozwalają stwierdzić świadome, wyraźne przyzwolenie na konkretny cel przetwarzania.

Istnienie zgody i jej ważność są zdecydowanie czymś innym niż sama forma oświadczenia. Z art. 7 ust. 1 RODO wynika obowiązek administratora wykazania, że osoba, której dane dotyczą, istotnie wyraziła taką zgodę.

Administrator jest odpowiedzialny zarówno za przestrzeganie przepisów obejmujących zasady przetwarzania danych wymienione w art. 5 ust. 1 lit. a-f RODO. Ale oprócz wskazanej odpowiedzialności administrator musi być w stanie wykazać, że działał zgodnie z zasadą rozliczalności. W przypadku omawianej sprawy – wspólnicy spółki, będący administratorami danych osobowych, nie byli w stanie wykazać, że stosują się do przepisów o ochronie danych osobowych. Poza tym ciężaru wykazania zgody nie można przerzucać na organ nadzorczy ani na osoby, których dane dotyczą.

W omawianej sprawie wspólnicy spółki oraz ich pracownicy wskazywali na stosowanie ogólnej praktyki pytania o zgodę w trakcie pierwszych rozmów z potencjalnymi klientami. NSA stwierdził jednak, że nie pozwalały one „ustalić, które osoby złożyły oświadczenie, kiedy to nastąpiło, jakie informacje im przedstawiono i jaki był zakres zgody, zwłaszcza czy w sposób wyraźny obejmowała ona dane o zdrowiu oraz ich dalsze zachowanie i wykorzystanie do ponownego kontaktu”.

NSA nie uznał też zarzutu skargi kasacyjnej, że o istnieniu zgody świadczy fakt braku sprzeciwu potencjalnych klientów. Sąd wskazał, że sprzeciw i zgoda są odrębnymi instytucjami RODO. Milczenie, brak skargi do organu lub niezgłoszenie sprzeciwu nie stanowią aktywnego, świadomego przyzwolenia wymaganego przez art. 4 pkt 11 RODO. Nie jest nim również zainicjowanie rozmowy lub przekazanie dokumentów medycznych, co istotnie może wskazywać na zainteresowanie usługą, lecz samo z siebie nie dowodzi uzyskania wyraźnej zgody na określony przez administratora cel, zakres i czas przetwarzania.

NSA Sygn. akt III OSK 1943/24

WSA sygn. akt II SA/Wa 1861/23

Decyzja PUODO DKN.5112.5.2021.192328, 192329, 192368