Administrator musi dysponować podstawą do przetwarzania danych

Pozyskując od osoby dane o jej stanie zdrowia konieczna jest jej wyraźna zgoda – potwierdził Wojewódzki Sąd Administracyjny w Warszawie.

Sąd oddalił skargę wspólników spółki cywilnej Kancelarii PIONIER na decyzję Prezesa Urzędu Ochrony Danych Osobowych, nakładającą na tego administratora karę w wysokości ponad 45 tys. zł za to, że przetwarzał dane osobowe bez podstawy prawnej.

Spółka ta w swojej działalności docierała do osób poszkodowanych głównie w wypadkach komunikacyjnych, by nawiązać z nimi współpracę w zakresie reprezentowania ich m.in. przed towarzystwami ubezpieczeniowymi, w sprawach sądowych  w celu uzyskania na ich rzecz odszkodowań, zadośćuczynienia i rent, a także zwrotu kosztów leczenia i rehabilitacji. Informacje o potencjalnych klientach uzyskiwała na podstawie m.in. wiadomości prasowych, publikacji internetowych, w tym treści dostępnych w mediach społecznościowych, a także informacji przekazywanych lub rozpowszechnianych przez organizacje zajmujące się działalnością dobroczynną. Podczas spotkania przedstawiciel Kancelarii PIONIER odbierał ustną zgodę na przetwarzanie danych osobowych do czasu ewentualnego zawarcia umowy z tymi osobami o świadczenie usług.

Zarówno zdaniem WSA, jak i organu nadzorczego tak odebrana zgoda nie była zgodna z RODO i nie mogła być podstawą przetwarzania danych osobowych. Administrator pozyskując dane o stanie zdrowia powinien uzyskać wyraźną zgodę na przetwarzanie danych osobowych. WSA zwrócił uwagę, że spółka pozyskiwała zaś wyłącznie ustne zgody i nie odnotowywała tego w żaden sposób ani nie rejestrowała np. w formie nagrań dźwiękowych wyrażonych zgód od osób, które je wyraziły. Sąd orzekł więc, że organ nadzorczy prawidłowo uznał, że w sprawie tej brakuje jednoznacznego dowodu na wyrażenie przez te osoby zgody na przetwarzanie ich danych .

Wojewódzki Sąd Administracyjny wskazał również, że podstawą do przetwarzania danych przez administratora w tym przypadku nie może być również przesłanka wskazująca, że  przetwarzanie danych jest niezbędne do wykonania umowy (art. 6 ust. 1 lit. b). Sąd wskazał, że z zebranego przez UODO materiału dowodowego w toku kontroli w spółce wynika, że zebranie tych danych nie było niezbędne do wykonania umowy, gdyż osoby, od których pozyskano dane, nie były jeszcze klientami. Dane te natomiast były przetwarzane w innym celu, czyli badania opłacalności zawarcia umowy z potencjalnym klientem oraz ewentualnie nawiązania ponownego kontaktu z taką osobą.

WSA w Warszawie oddalił też zarzut skarżącego, iż organ nadzorczy w postępowaniu administracyjnym nie wyjaśnił wszystkich okoliczności mających wpływ na rozstrzygniecie sprawy. Zdaniem Sądu uzasadnienie decyzji Prezesa UODO zawiera wskazanie istotnych dla rozstrzygnięcia sprawy faktów, które organ uznał, za udowodnione i dowody, na których się oparł wydając decyzję.

Z decyzją Prezesa UODO w tej sprawie można zapoznać się pod tym linkiem, a uzasadnienie wyroku WSA w tej sprawie o sygn. akt. II SA/Wa 1861/23 publikujemy poniżej.