Stan faktyczny
Sprawa dotyczyła spółki cywilnej, która pomagała osobom poszkodowanym w wypadkach w dochodzeniu odszkodowań i zadośćuczynień. Potencjalnych klientów wspólnicy wyszukiwali w mediach społecznościowych, prasie i internecie, korzystali też z informacji organizacji dobroczynnych i wywiadu środowiskowego, w tym rozmów z sąsiadami. Podczas bezpośrednich spotkań zbierali imiona i nazwiska, dane kontaktowe oraz informacje o obrażeniach, wykorzystywane do oceny celowości współpracy i do ponownego kontaktu.
W przypadku niezawarcia umowy dane przechowywano jeszcze przez kilka dni (w aktach sprawy sądowej i komunikatach UODO wskazywano rozbieżnie okres od 3 do 7 dni). Wspólnicy twierdzili, że przed rozmową prosili o ustną zgodę na przetwarzanie danych, a w razie odmowy kończyli rozmowę. Nie utrwalali jednak, kto i w jakim zakresie wyraził zgodę ani jakich celów i rodzajów danych ona dotyczyła.
Postępowanie wyjaśniające Prezesa UODO zainicjowało wystąpienie Komendanta Powiatowego Policji. W związku z niepełnymi i składanymi po terminie wyjaśnieniami organ nadzorczy zarządził kontrolę, po której wydał decyzję DKN.5112.5.2021. Stwierdził przetwarzanie danych bez podstawy prawnej, nakazał obecnym wspólnikom zaprzestanie tych operacji i nałożył na dwóch wspólników oraz byłego wspólnika solidarną karę 45 697 zł. WSA w Warszawie w wyroku z 31.1.2024 r., II SA/Wa 1861/23, Legalis, oddalił skargę przedsiębiorców, którzy wnieśli następnie skargę kasacyjną do NSA.
Stan prawny
Art. 6 ust. 1 RODO przewiduje m.in. zgodę osoby, której dane dotyczą (lit. a), niezbędność do wykonania umowy lub podjęcia działań na żądanie tej osoby przed jej zawarciem (lit. b) oraz prawnie uzasadniony interes administratora (lit. f). Każdą z tych przesłanek bada się według jej własnych warunków.
Przetwarzanie danych dotyczących zdrowia jest co do zasady zakazane (art. 9 ust. 1 RODO). Wyjątek stanowi m.in. wyraźna zgoda na przetwarzanie w określonych celach (art. 9 ust. 2 lit. a RODO), która wymaga wyraźnego oświadczenia, a nie jedynie zachowania, z którego administrator wywodzi przyzwolenie. Spełnienie przesłanki z art. 6 ust. 1 lit. b RODO nie zwalnia z wykazania wyjątku z art. 9 ust. 2 RODO.
Zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli (art. 4 pkt 11 RODO), które według motywu 32 RODO może mieć także formę ustną. Administrator musi być w stanie wykazać, że osoba wyraziła zgodę (art. 7 ust. 1 RODO), co jest przejawem zasady rozliczalności (art. 5 ust. 2 RODO). Wytyczne EROD 05/2020 w sprawie zgody, które zastąpiły wytyczne WP259 rev.01, dopuszczają ustną wyraźną zgodę, zwracając uwagę na trudności dowodowe (pkt 94–95).
Argumentacja organu i sądów
Prezes UODO ustalił, że zbieranie informacji służyło przede wszystkim ocenie opłacalności sprawy i gotowości potencjalnego klienta do współpracy. Ponieważ wspólnicy nie wykazali, by konkretne osoby żądały podjęcia działań przed zawarciem umowy, organ wykluczył zastosowanie art. 6 ust. 1 lit. b RODO. Nie uznał też tego sposobu pozyskiwania danych za marketing bezpośredni w rozumieniu motywu 47 RODO ani za przetwarzanie oparte na art. 6 ust. 1 lit. f RODO. Ofertę można było przedstawić bez tak szerokiego gromadzenia danych, np. przez samo przekazanie informacji o usługach.
WSA podzielił ocenę organu. Dane służyły własnej ocenie biznesowej kancelarii, a nie wykonaniu udokumentowanego żądania potencjalnych klientów. Przetwarzanie było nieproporcjonalne, zwłaszcza w odniesieniu do danych o zdrowiu. Zdaniem sądu zainteresowanie ofertą czy dobrowolne przekazanie części informacji nie jest równoznaczne z żądaniem podjęcia określonych czynności przed zawarciem umowy.
WSA przyjął ponadto, że w przypadku danych zwykłych ustna zgoda może wyjątkowo wystarczyć, jeżeli administrator podejmie dodatkowe działania pozwalające ją wykazać, np. prowadzi rejestr zgód lub nagrywa rozmowy. W odniesieniu do danych o zdrowiu podkreślił konieczność uzyskania wyraźnej zgody, czego przedsiębiorcy nie wykazali. Sąd powołał się przy tym na wytyczne Grupy Roboczej (art. 29 i EROD).
NSA w wyroku z 6.10.2026 r., III OSK 1943/24, nie podzielił tego poglądu. Jego zdaniem z RODO nie wynika ogólne rozróżnienie dopuszczalności zgody ustnej i pisemnej w zależności od kategorii danych. Przepisy nie wymagają podpisania zgody ani nagrania rozmowy. Także wyraźna zgoda na przetwarzanie danych o zdrowiu może zostać wyrażona ustnie, jeżeli treść oświadczenia i okoliczności jego złożenia wskazują na świadome przyzwolenie na przetwarzanie w konkretnym celu. Wadliwość uzasadnienia nie prowadziła jednak do uchylenia wyroku, ponieważ zgodnie z art. 184 ustawy z 30.8.2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2026 r. poz. 143) skargę kasacyjną oddala się także wtedy, gdy orzeczenie mimo błędnego uzasadnienia odpowiada prawu.
Z art. 7 ust. 1 i art. 5 ust. 2 RODO wynika natomiast, zdaniem NSA, obowiązek wykazania ważnej zgody. Przepisy nie narzucają jednej metody dokumentowania, ale administrator musi przedstawić wiarygodne dowody, że dana osoba świadomie zaakceptowała określone operacje przetwarzania. Ciężaru tego nie można przerzucać na organ nadzorczy ani na osoby, których dane dotyczą. Samo zadeklarowanie procedury nie dowodzi, że była ona stosowana wobec każdej osoby.
Tymczasem wspólnicy oraz pracownicy powoływali się wyłącznie na ogólny obyczaj odbierania zgód przed rozmową. Nie potrafili jednak zindywidualizować oświadczeń – wskazać tożsamości osób, dat ich złożenia, zakresu przekazanych klauzul informacyjnych ani tego, czy zgoda wprost obejmowała dane o obrażeniach, retencję oraz dalszy kontakt. Innymi słowy – nie było możliwości ustalenia zakresu poszczególnych zgód.
NSA odrzucił także argument oparty na braku sprzeciwu. Zgoda i sprzeciw są w RODO odrębnymi instytucjami, a milczenie, brak skargi czy niewniesienie sprzeciwu nie oznaczają aktywnego przyzwolenia. Samo podjęcie rozmowy lub przekazanie dokumentacji medycznej może świadczyć o zainteresowaniu usługą, ale nie dowodzi wyraźnej zgody na przetwarzanie w określonym zakresie i przez określony czas. Znaczenie ma również to, czy osoba wiedziała, w jakim celu udostępnia dane.
Skarżący nie podważyli też skutecznie ustalenia, że przetwarzanie służyło ocenie opłacalności współpracy, a nie realizacji żądania podjęcia działań przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). NSA oddalił skargę kasacyjną, wobec czego wyrok WSA i decyzja Prezesa UODO pozostały w mocy.
Wyrok jest istotny dla administratorów opierających przetwarzanie na zgodach ustnych, zwłaszcza dotyczących danych o zdrowiu. Forma pisemna nie jest obowiązkowa, ale administrator musi umieć wykazać, komu i jakie informacje przekazano, jakie cele wskazano i na co dana osoba się zgodziła. Mogą temu służyć rejestr zgód, notatki z rozmów albo potwierdzenia elektroniczne. Wybór rozwiązania należy do administratora, przy czym dokumentowanie nie powinno prowadzić do zbierania nadmiarowych danych.
Odrębnej oceny wymaga pozyskiwanie informacji przed pierwszym kontaktem z potencjalnym klientem. Wyszukiwanie danych w internecie czy zbieranie ich od sąsiadów jest już przetwarzaniem i wymaga podstawy prawnej. Informacje o obrażeniach mogą stanowić dane o zdrowiu bez względu na to, skąd pochodzą. Zgoda uzyskana później nie legalizuje wcześniejszego zbierania danych bez podstawy prawnej, dlatego legalność przetwarzania trzeba ocenić już na etapie wyszukiwania i selekcji potencjalnych klientów.
Podstawa z art. 6 RODO nie zastępuje wyjątku z art. 9 ust. 2 RODO, więc nawet udokumentowane żądanie podjęcia działań przed zawarciem umowy nie uprawnia do przetwarzania danych o zdrowiu. Organ uznał też, że na etapie przedstawiania oferty nie była spełniona przesłanka z art. 9 ust. 2 lit. f RODO (ustalanie, dochodzenie lub obrona roszczeń). Nie wyklucza to jej zastosowania, gdy przetwarzanie jest rzeczywiście niezbędne do dochodzenia roszczeń.
Działy prawne i compliance powinny oddzielnie oceniać pozyskanie kontaktu, przedstawienie oferty, ocenę sprawy i wykonywanie zawartej umowy, określając dla każdego etapu cel, podstawę prawną i niezbędny zakres danych. Procedura przewidująca odbieranie zgód nie wystarczy, jeżeli podczas kontroli administrator nie potrafi wykazać, na co zgodziła się konkretna osoba.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
