NSA o zgodzie na dane o zdrowiu: kara 45 697 zł dla kancelarii

Naczelny Sąd Administracyjny 6 października 2026 r. oddalił skargę kasacyjną wspólników spółki cywilnej Kancelaria Pionier i utrzymał karę 45 697 zł nałożoną przez Prezesa UODO. Urząd opisał wyrok 28 października 2026 r. Sprawa nie dotyczy reklamy, ale ustalenia sądu dotyczące zgody na przetwarzanie danych o zdrowiu przekładają się wprost na pracę marketerów, którzy zbierają lub wykorzystują takie informacje.

Czego dotyczył spór i czego nie dotyczył

Według komunikatu UODO wspólnicy pozyskiwali dane potencjalnych klientów z internetu, mediów społecznościowych i wywiadu środowiskowego. Po pierwszym kontakcie dopytywali o kolejne informacje, w tym o stan zdrowia. Jeśli umowa nie doszła do skutku, dane przechowywali od 3 do 5 dni.

Ważne zastrzeżenie: to spór o pozyskiwanie klientów przez kancelarię, nie o kampanię reklamową ani targetowanie. Wnioski dla marketingu to interpretacja redakcji: zasady dotyczące zgody i jej udowodnienia są te same, niezależnie od celu przetwarzania.

Postępowanie zaczęło się od wniosku Komendanta Powiatowego Policji o kontrolę. UODO podaje, że odpowiedzi wspólników na żądanie wyjaśnień były opóźnione i niepełne, co doprowadziło do kontroli w firmie.

Co ustalił NSA

NSA wskazał, że RODO nie zastrzega formy pisemnej zgody ani obowiązku nagrywania rozmowy. Wyraźna zgoda na przetwarzanie danych o zdrowiu może więc paść ustnie, jeśli jej treść i okoliczności pokazują świadome przyzwolenie na konkretny cel.

Sama forma nie przesądza jednak o tym, czy zgoda istnieje i jest ważna. Na administratorze ciąży obowiązek z art. 7 ust. 1 RODO: musi wykazać, że osoba rzeczywiście się zgodziła. Nie może przerzucić tego ciężaru na organ nadzorczy ani na osoby, których dane dotyczą.

Wspólnicy powoływali się na ogólną praktykę pytania o zgodę w pierwszych rozmowach. Według NSA nie pozwalało to ustalić, kto złożył oświadczenie, kiedy, jakie informacje mu przedstawiono i jaki był zakres zgody. Chodziło zwłaszcza o to, czy obejmowała dane o zdrowiu oraz ich dalsze wykorzystanie do ponownego kontaktu.

Czego sąd nie uznał za zgodę

NSA odrzucił kilka argumentów, które w praktyce marketingowej pojawiają się często:

• brak sprzeciwu, bo zgoda i sprzeciw to odrębne instytucje RODO;
• milczenie albo niezłożenie skargi do organu;
• zainicjowanie rozmowy lub przekazanie dokumentów medycznych - według sądu może to wskazywać na zainteresowanie usługą, ale samo nie dowodzi zgody na cel, zakres i czas przetwarzania.

WSA w Warszawie uznał wcześniej, że zakres przetwarzania był nieproporcjonalny do celu, a samo przetwarzanie nie było niezbędne. Sąd zwrócił też uwagę, że spółka pozyskiwała wyłącznie ustne zgody i nie odnotowywała ich w żaden sposób. Wcześniejszy komunikat UODO o wyroku WSA znajdziesz na stronie urzędu.

Dane z wyroku

• Organ: Prezes UODO, decyzja DKN.5112.5.2021, kara 45 697 zł (dane z komunikatu UODO).
• Sąd pierwszej instancji: WSA w Warszawie, sygn. II SA/Wa 1861/23.
• NSA: sygn. III OSK 1943/24, skarga kasacyjna oddalona 6 października 2026 r.
• Okres przechowywania danych po niezawarciu umowy: od 3 do 5 dni, co nie uchroniło spółki przed karą.

Wyrok nie zmienia przepisów, a pokazuje, jak sądy interpretują art. 4 pkt 11, art. 7 ust. 1 i wymóg wyraźnej zgody dla danych o zdrowiu.

Co to oznacza dla marketerów w Polsce

Marki i agencje z branż zdrowotnych, ubezpieczeniowych, farmaceutycznych, suplementów czy kosmetyków powinny sprawdzić kilka rzeczy. Poniższe wnioski nie są poradą prawną. W razie wątpliwości warto skonsultować się z prawnikiem lub inspektorem ochrony danych.

1. Rejestr zgód. Sprawdź, czy dla każdej zgody da się odtworzyć: kto, kiedy, na co i na jaki zakres się zgodził. Dotyczy to formularzy leadowych, infolinii, eventów i rozmów sprzedażowych.
2. Zgody ustne. Telefoniczne i osobiste zgody na dane o zdrowiu wymagają dodatkowego śladu, na przykład notatki w CRM z treścią informacji przekazanej rozmówcy lub nagrania zgodnego z prawem.
3. Osobne cele. Zgoda na kontakt nie obejmuje automatycznie danych o zdrowiu ani ponownego kontaktu. Rozdziel cele i zakresy.
4. Aktywność użytkownika. Wypełnienie formularza, wysłanie dokumentów czy odpowiedź na reklamę to sygnał zainteresowania, a nie dowód zgody na wrażliwe dane.
5. Umowy z agencjami i dostawcami leadów. Ustal, kto jest administratorem i kto odpowiada za udowodnienie zgody. Odpowiedź na wezwanie UODO powinna być kompletna i terminowa, bo w tej sprawie opóźnione i niepełne odpowiedzi doprowadziły do kontroli.
6. Segmentacja po zdrowiu. Listy i grupy odbiorców budowane na podstawie stanu zdrowia lub chorób wymagają wyraźnej zgody na ten konkretny cel, a standardowa zgoda marketingowa jej nie zastępuje. Sprawdź, czy dla każdej takiej listy masz dowód tej zgody.

Podsumowanie

NSA nie wprowadził nowych wymogów, ale potwierdził standard dowodowy: ustna zgoda na dane o zdrowiu wystarczy tylko wtedy, gdy administrator potrafi ją wykazać. Dla marketerów oznacza to przegląd procesów zbierania zgód, zanim zrobi to organ nadzorczy.