Dane o zdrowiu: ustna zgoda to za mało

6 października 2026 r. Naczelny Sąd Administracyjny oddalił skargę kasacyjną i utrzymał decyzję Prezesa UODO (sygn. III OSK 1943/24). Sprawa dotyczyła zbierania danych o zdrowiu potencjalnych klientów na podstawie zgody, której administrator nie potrafił wykazać.

Organ ustalił, że wspólnicy spółki cywilnej pozyskiwali dane z internetu, mediów społecznościowych i wywiadu środowiskowego, a następnie kontaktowali się z tymi osobami i uzyskiwali dalsze informacje, w tym o stanie zdrowia. Twierdzili, że zgodę odbierali ustnie, przed zawarciem umowy.

Prezes UODO uznał, że przetwarzanie odbywało się bez podstawy prawnej, nakazał jego zaprzestanie i nałożył karę 45 697 zł (decyzja DKN.5112.5.2021). Wojewódzki Sąd Administracyjny w Warszawie przyznał rację organowi (sygn. II SA/Wa 1861/23).

Najważniejsze w wyroku NSA jest co innego niż sama kara. Sąd potwierdził, że RODO nie wymaga formy pisemnej — wyraźna zgoda na przetwarzanie danych o zdrowiu może zostać wyrażona także ustnie, jeśli z jej treści i okoliczności jasno wynika świadoma zgoda na konkretny cel.

Zastrzeżenie jest jednak zasadnicze: to administrator musi udowodnić, że zgoda padła (art. 7 ust. 1 RODO). Ogólna praktyka „pytamy o zgodę przy pierwszej rozmowie" tego nie dowodzi, bo nie wiadomo, kto się zgodził, kiedy, o czym został poinformowany i w jakim zakresie.

NSA dodał, że milczenie, brak sprzeciwu ani samo zainicjowanie kontaktu przez osobę nie są zgodą. Sprzeciw i zgoda to dwie różne instytucje i nie można ich zastępować jedną drugą.

Dla spraw opisywanych w tym rejestrze ma to praktyczne znaczenie. Dane o zdrowiu należą do szczególnych kategorii danych (art. 9 RODO), a kilka zdarzeń w rejestrze obejmuje właśnie takie dane. Jeśli podmiot tłumaczy przetwarzanie zgodą, to on ma wykazać, że ta zgoda istniała.