Naczelny Sąd Administracyjny w wyroku z 6 października 2026 r. (III OSK 1943/24) utrzymał w mocy decyzję prezesa Urzędu Ochrony Danych Osobowych nakładającą karę 45 697 zł na wspólników spółki cywilnej Kancelaria Pionier, zajmującej się pomocą w dochodzeniu odszkodowań.
UODO, który wszczął kontrolę na wniosek policji, ustalił, że wspólnicy pozyskiwali dane osobowe przyszłych klientów z internetu, w tym z mediów społecznościowych, oraz z wywiadu środowiskowego. Nawiązywali z nimi kontakt i pozyskiwali kolejne dane, w tym dane o zdrowiu. Jeżeli nie dochodziło do zawarcia umowy, przechowywali je jeszcze przez kilka dni.
Organ ochrony danych uznał, że wspólnicy dopuścili się naruszenia przepisów, przetwarzając dane bez podstawy prawnej. Nie dopatrzył się przy tym w ich działalności marketingu bezpośredniego, o którym mowa w motywie 47 RODO. Nakazał administratorom zaprzestanie przetwarzania danych i nałożył na nich karę pieniężną.
Podstawy prawnej takiego przetwarzania nie doszukał się także Wojewódzki Sąd Administracyjny w Warszawie, rozpatrujący skargę ukaranych. Dodatkowo WSA uznał, że ustna forma wyrażenia zgody mogłaby być wystarczająca, ale w przypadku tzw. danych zwykłych.
Zgoda na dane może być ustna, ale trzeba ją wykazać
Naczelny Sąd Administracyjny, do którego wpłynęła skarga kasacyjna wspólników kancelarii, ocenił sprawę nieco inaczej. Przede wszystkim zgodził się ze skarżącymi, że RODO nie zastrzega dla zgody formy pisemnej. Nie jest także obowiązkowe nagrywanie rozmowy, podczas której taka zgoda jest wyrażana.
Zwrócił jednak uwagę, że istnienie zgody i jej ważność są odrębnym zagadnieniem od formy jej wyrażenia. Obowiązuje przy tym zasada rozliczalności, zgodnie z którą administrator musi być w stanie wykazać przestrzeganie przepisów o ochronie danych osobowych.
W weryfikowanej sprawie wyjaśnienia wspólników i ich pracowników opisywały ogólną praktykę pytania o zgodę podczas pierwszej rozmowy. Nie pozwalały natomiast ustalić, które osoby złożyły oświadczenie, kiedy to nastąpiło, jakie informacje im przedstawiono i jaki był zakres zgody, zwłaszcza czy w sposób wyraźny obejmowała ona dane o zdrowiu oraz ich dalsze zachowanie i wykorzystanie do ponownego kontaktu. Nie przedstawiono materiału pozwalającego powiązać takie oświadczenia z konkretnymi operacjami przetwarzania - wskazał NSA.
Wyraźna zgoda na przetwarzanie danych o zdrowiu może więc zostać złożona ustnie. NSA podkreślił jednak, że jej treść i okoliczności muszą pozwalać stwierdzić świadome, wyraźne przyzwolenie na konkretny cel przetwarzania.
Sąd kasacyjny zaznaczył również, że uogólnienia dotyczące ustnej i pisemnej formy zgody zawarte w wyroku WSA nie wynikają wprost z RODO. Nie przesądza to jednak o wadliwości samego rozstrzygnięcia.
Brak sprzeciwu nie świadczy o zgodzie na dane
Ponadto NSA nie zgodził się z argumentem skarżących, że o istnieniu zgody świadczy brak sprzeciwu potencjalnych klientów. Jak stwierdził sąd, milczenie, brak skargi do organu lub niezgłoszenie sprzeciwu nie stanowią aktywnego i świadomego przyzwolenia wymaganego przez art. 4 pkt 11 RODO.
- Również zainicjowanie rozmowy lub przekazanie dokumentów medycznych może wskazywać na zainteresowanie usługą, lecz samo przez się nie dowodzi wyraźnej zgody na określony przez administratora cel, zakres i czas przetwarzania - czytamy w uzasadnieniu.
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
