Ustna zgoda na przetwarzanie danych o zdrowiu jest dopuszczalna. NSA wskazał jednak istotny warunek

Administrator danych osobowych nie musi uzyskiwać pisemnej zgody na przetwarzanie danych dotyczących zdrowia. Zgoda może zostać wyrażona również ustnie, ale konieczne jest wykazanie, że rzeczywiście została udzielona i obejmowała określony cel przetwarzania. Samo przekazanie dokumentacji medycznej lub zainteresowanie usługą nie oznacza jeszcze wyrażenia zgody. Potwierdził to Naczelny Sąd Administracyjny w wyroku z 6 października 2026 r. (III OSK 1943/24), oddalając skargę kasacyjną przedsiębiorców ukaranych przez Prezesa Urzędu Ochrony Danych Osobowych kwotą 45 697 zł.

Kancelaria odszkodowawcza pozyskiwała dane osób poszkodowanych w wypadkach

Sprawa dotyczyła przedsiębiorców świadczących usługi związane z dochodzeniem roszczeń odszkodowawczych. Przedsiębiorcy docierali do osób poszkodowanych, przede wszystkim w wypadkach komunikacyjnych, którym mogli zaoferować pomoc w uzyskaniu odszkodowań, zadośćuczynień, rent oraz zwrotu kosztów leczenia i rehabilitacji.

Informacje o potencjalnych klientach pozyskiwali m.in. z internetu, mediów społecznościowych, publikacji prasowych oraz wywiadu środowiskowego. Następnie nawiązywali kontakt z wybranymi osobami i zbierali dodatkowe informacje, w tym dane dotyczące ich stanu zdrowia. Dane były wykorzystywane jeszcze przed zawarciem umowy o świadczenie usług. Służyły m.in. ocenie opłacalności podjęcia współpracy z konkretnym klientem i ustaleniu, czy będzie on zainteresowany zawarciem umowy. Jeżeli do jej zawarcia nie dochodziło, administratorzy przechowywali pozyskane informacje przez okres od trzech do pięciu dni.

Sprawą zainteresował się Prezes UODO po otrzymaniu informacji od Policji. Organ wszczął czynności sprawdzające, a następnie przeprowadził kontrolę u przedsiębiorców. W jej wyniku stwierdził, że dane osobowe potencjalnych klientów, w tym informacje dotyczące zdrowia, były przetwarzane bez odpowiedniej podstawy prawnej. Decyzją z 30 listopada 2022 r. Prezes UODO nakazał zaprzestanie przetwarzania danych potencjalnych klientów bez podstawy prawnej i nałożył na wspólników, w tym byłego wspólnika, solidarną administracyjną karę pieniężną w wysokości 45 697 zł.

Samo zainteresowanie usługą nie jest zgodą na przetwarzanie danych

Przedsiębiorcy zakwestionowali decyzję Prezesa UODO. Argumentowali, że uzyskiwali od potencjalnych klientów ustne zgody na przetwarzanie danych osobowych. Wskazywali również, że osoby zainteresowane usługą dobrowolnie udostępniały informacje o sobie. Ich zdaniem sam fakt przekazania danych świadczył o akceptacji ich przetwarzania. Stanowiska tego nie podzielił Wojewódzki Sąd Administracyjny w Warszawie, który wyrokiem z 31 stycznia 2024 r. (II SA/Wa 1861/23) oddalił skargę na decyzję organu nadzorczego. WSA zwrócił uwagę, że administratorzy nie wykazali uzyskania ważnych zgód od osób, których dane przetwarzali. Samo twierdzenie, że podczas rozmów pytano potencjalnych klientów o zgodę, nie wystarcza do potwierdzenia jej udzielenia. Sąd nie zaakceptował również powoływania się na art. 6 ust. 1 lit. b RODO, który dopuszcza przetwarzanie danych, jeżeli jest ono niezbędne do wykonania umowy albo podjęcia działań na żądanie osoby, której dane dotyczą, przed jej zawarciem. W rozpatrywanej sprawie administratorzy nie wykazali, aby potencjalni klienci rzeczywiście żądali podjęcia określonych działań przed zawarciem umowy. Pozyskiwanie danych służyło natomiast ocenie opłacalności współpracy z perspektywy przedsiębiorców.

Co istotne, sama okoliczność, że umowa nie została jeszcze zawarta, nie wyklucza stosowania art. 6 ust. 1 lit. b RODO. Przepis ten obejmuje bowiem również czynności przedkontraktowe. Muszą one jednak być podejmowane na żądanie osoby, której dane dotyczą, i być obiektywnie niezbędne do realizacji tego żądania. W omawianej sprawie przesłanek tych nie wykazano.

NSA: zgoda na przetwarzanie danych o zdrowiu może być ustna

Sprawa trafiła ostatecznie do Naczelnego Sądu Administracyjnego, który wyrokiem z 6 października 2026 r. (III OSK 1943/24) oddalił skargę kasacyjną przedsiębiorców. Rozstrzygnięcie ma istotne znaczenie dla interpretacji przepisów dotyczących zgody na przetwarzanie szczególnych kategorii danych osobowych. Zgodnie z art. 9 ust. 1 RODO przetwarzanie danych dotyczących zdrowia jest co do zasady zabronione. Dopuszczalne staje się dopiero po spełnieniu jednej z przesłanek określonych w art. 9 ust. 2 rozporządzenia. Jedną z nich jest wyraźna zgoda osoby, której dane dotyczą, na przetwarzanie informacji w jednym lub kilku konkretnych celach. NSA podkreślił jednak, że pojęcia wyraźnej zgody nie należy utożsamiać z obowiązkiem zachowania formy pisemnej. RODO nie wymaga, aby wyraźna zgoda na przetwarzanie danych dotyczących zdrowia została udzielona wyłącznie na piśmie. Nie nakłada również generalnego obowiązku nagrywania rozmów, podczas których zgoda jest pozyskiwana.

Oznacza to, że ustne oświadczenie może spełniać wymagania art. 9 ust. 2 lit. a RODO, jeżeli jego treść i okoliczności pozwalają stwierdzić, że osoba świadomie i jednoznacznie zaakceptowała przetwarzanie danych dotyczących zdrowia w konkretnym celu. Kluczowe znaczenie ma zatem nie sama forma oświadczenia, lecz jego treść oraz możliwość wykazania, że zgoda rzeczywiście została udzielona. Zasadniczym problemem w rozpatrywanej sprawie okazało się niewykazanie uzyskania zgód od potencjalnych klientów. NSA odwołał się do art. 7 ust. 1 RODO, zgodnie z którym administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.

Obowiązek ten jest konsekwencją zasady rozliczalności wynikającej z art. 5 ust. 2 RODO. Administrator powinien nie tylko przestrzegać przepisów dotyczących ochrony danych osobowych, lecz także dysponować odpowiednimi dowodami potwierdzającymi zgodność podejmowanych działań z prawem. W rozpatrywanej sprawie przedsiębiorcy i ich pracownicy powoływali się na stosowaną praktykę uzyskiwania zgód podczas pierwszych rozmów z potencjalnymi klientami. Nie byli jednak w stanie wykazać, które konkretnie osoby wyraziły zgodę, kiedy to nastąpiło, jakie informacje zostały im przedstawione oraz jaki zakres przetwarzania obejmowało ich oświadczenie. W szczególności nie wykazano, czy zgody obejmowały dane dotyczące zdrowia oraz ich dalsze przechowywanie i wykorzystywanie do ponownego kontaktowania się z potencjalnymi klientami. NSA podkreślił, że ciężar wykazania uzyskania zgody spoczywa na administratorze. Nie może on zostać przerzucony na osobę, której dane dotyczą, ani na organ nadzorczy. Samo zapewnienie administratora o stosowaniu określonej procedury nie przesądza więc, że w konkretnym przypadku doszło do skutecznego udzielenia zgody.

Brak sprzeciwu nie oznacza wyrażenia zgody

NSA odniósł się także do argumentu przedsiębiorców, zgodnie z którym o istnieniu zgody miało świadczyć zachowanie potencjalnych klientów. Zdaniem administratorów osoby, które nie chciałyby skorzystać z oferowanej pomocy, nie przekazywałyby swoich danych. Zwracali również uwagę na brak sprzeciwu ze strony osób, z którymi się kontaktowali.

Sąd nie podzielił tej argumentacji. NSA wskazał również, że samo zainicjowanie rozmowy lub przekazanie dokumentacji medycznej nie stanowi automatycznie wyraźnej zgody na przetwarzanie danych dotyczących zdrowia w określonym przez administratora celu, zakresie i czasie. Takie zachowanie może świadczyć o zainteresowaniu usługą, ale nie przesądza jeszcze o spełnieniu wymogów przewidzianych w RODO.

Jak prawidłowo dokumentować zgodę ustną?

Wyrok NSA nie oznacza, że administratorzy muszą każdorazowo odbierać pisemne zgody na przetwarzanie danych dotyczących zdrowia. Potwierdza jednak, że wybór formy ustnej wiąże się z koniecznością zapewnienia odpowiednich mechanizmów dowodowych. W praktyce administrator, który zamierza opierać przetwarzanie danych na ustnej zgodzie, powinien zadbać o możliwość ustalenia:

• kto udzielił zgody i kiedy to nastąpiło;

• jakie informacje przekazano osobie przed uzyskaniem zgody;

• czy zgoda obejmowała konkretny cel przetwarzania;

• czy osoba została wyraźnie poinformowana o przetwarzaniu danych dotyczących zdrowia;

• jakie czynności i jaki zakres danych obejmowało udzielone przyzwolenie;

• czy możliwe jest wykazanie dobrowolności i jednoznaczności oświadczenia.

Jednym ze sposobów dokumentowania zgody może być prowadzenie odpowiedniego rejestru, zawierającego informacje o jej udzieleniu oraz treści przedstawionego oświadczenia. W określonych okolicznościach administrator może również rozważyć utrwalanie rozmów. Nie jest to jednak obowiązek wynikający z RODO, a samo nagrywanie wymaga oceny zgodności z przepisami o ochronie danych osobowych, w szczególności zasadą minimalizacji danych. Istotne jest, aby przyjęty sposób dokumentowania pozwalał wykazać nie tylko fakt przeprowadzenia rozmowy, lecz również rzeczywistą treść zgody i jej zakres. Warto przy tym pamiętać, że uzyskanie wyraźnej zgody nie zwalnia administratora z pozostałych obowiązków wynikających z RODO, w tym przestrzegania zasady minimalizacji danych, ograniczenia celu i obowiązku informacyjnego.

Rozstrzygnięcia NSA nie należy interpretować jako ustanowienia powszechnego obowiązku uzyskiwania zgody przy każdym przetwarzaniu danych dotyczących zdrowia. Art. 9 ust. 2 RODO przewiduje również inne wyjątki od zakazu przetwarzania szczególnych kategorii danych. Przykładowo art. 9 ust. 2 lit. f RODO dopuszcza przetwarzanie, jeżeli jest ono niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Z kolei art. 9 ust. 2 lit. h RODO dotyczy, przy spełnieniu określonych warunków, przetwarzania danych m.in. do celów diagnozy medycznej, zapewnienia opieki zdrowotnej i leczenia. Administrator powinien zatem każdorazowo ustalić zarówno odpowiednią podstawę z art. 6 ust. 1 RODO, jak i w przypadku danych szczególnych kategorii właściwą przesłankę z art. 9 ust. 2 rozporządzenia.

Samo powołanie się na uzasadniony interes administratora nie wystarcza do uchylenia zakazu przetwarzania danych dotyczących zdrowia.

W przypadku kancelarii objętej postępowaniem nie wykazano przesłanek pozwalających uznać zakwestionowane operacje przetwarzania za zgodne z prawem.

Wyrok NSA ważny dla przedsiębiorców i podmiotów przetwarzających dane wrażliwe.