- Bezprawnik -
- Prawo -
- Szukali klientów na cmentarzach i w nekrologach. Moim zdaniem kara 45 tys. zł to dla nich prezent
Szukali klientów na cmentarzach i w nekrologach. Moim zdaniem kara 45 tys. zł to dla nich prezent
Firma, która szukała klientów wśród ofiar wypadków i rodzin zmarłych, przegrała w Naczelnym Sądzie Administracyjnym. 6 października 2026 r. NSA oddalił skargę kasacyjną wspólników spółki cywilnej zajmującej się odszkodowaniami i tym samym utrzymał karę 45 697 zł nałożoną przez Prezesa UODO. Tłumaczenie, że klienci „zgodzili się przez telefon”, nie wystarczyło, bo nikt nie potrafił tego udowodnić.
Kancelaria odszkodowawcza, nekrologi i rozmowy z sąsiadami
Sprawa ciągnęła się latami. Decyzję (sygn. DKN.5112.5.2021) Prezes UODO wydał 30 listopada 2022 r., później utrzymał ją Wojewódzki Sąd Administracyjny w Warszawie (II SA/Wa 1861/23), a teraz NSA (III OSK 1943/24). Urząd, opisując wyrok na swojej stronie, nazywa ukaraną firmę „Kancelarią Pionier”.
Z uzasadnienia decyzji wynika, że spółka reprezentowała poszkodowanych w wypadkach, głównie drogowych, w sporach z ubezpieczycielami i przed sądami. Typowa kancelaria odszkodowawcza. Problemem były metody pozyskiwania klientów. Według ustaleń UODO wspólnicy wyszukiwali informacje o wypadkach i zgonach w prasie, w internecie i w mediach społecznościowych, korzystali z wiadomości od fundacji, a także prowadzili coś, co nazywali wywiadem środowiskowym: rozmowy z sąsiadami, sołtysami, czytanie nekrologów na cmentarzach. Potem był telefon albo wizyta. Nikt tych rozmów nie nagrywał.
W trakcie kontaktu firma zbierała imię, nazwisko, numer telefonu, adres e-mail, informacje o śmierci bliskiej osoby i dane o obrażeniach odniesionych w wypadku. Jeśli umowa nie została podpisana, dane miały być niszczone po kilku dniach. Sprawa trafiła do UODO z zawiadomienia policji, skierowanego na wniosek prokuratury.
Ustna zgoda RODO dopuszcza, ale trzeba ją udowodnić
Wspólnicy bronili się dwoma argumentami. Pierwszy: klienci wyrażali ustną zgodę na samym początku rozmowy. Drugi: przetwarzanie było potrzebne do przygotowania umowy, czyli mieściło się w art. 6 ust. 1 lit. b RODO, który pozwala przetwarzać dane, gdy to niezbędne do zawarcia lub wykonania umowy albo do podjęcia działań na żądanie osoby przed jej zawarciem.
Drugi argument upadł szybko. Kluczowe jest słowo „żądanie”. To potencjalny klient musi chcieć, żeby firma coś dla niego zrobiła przed podpisaniem umowy. Tymczasem, jak ustaliły organ i sąd pierwszej instancji, wspólnicy nie wykazali, żeby ktokolwiek o to prosił. Dane służyły raczej ocenie, czy sprawa się opłaca i czy dana osoba w ogóle podpisze umowę. WSA uznał takie przetwarzanie za nieproporcjonalne, tym bardziej że chodziło o informacje o zdrowiu.
Ciekawszy jest wątek zgody. Dane o zdrowiu należą do szczególnych kategorii z art. 9 RODO i co do zasady nie wolno ich przetwarzać. Jednym z wyjątków jest art. 9 ust. 2 lit. a, czyli wyraźna zgoda w konkretnym celu. NSA nie zamknął drogi do zgody udzielonej słownie. W relacji UODO z wyroku czytamy: „Wyraźna zgoda na przetwarzanie danych o zdrowiu może zostać złożona ustnie, jeżeli jej treść oraz okoliczności pozwalają stwierdzić świadome, wyraźne przyzwolenie na konkretny cel przetwarzania”.
Jest jednak haczyk. Zgodnie z art. 7 ust. 1 RODO to administrator musi być w stanie wykazać, że zgoda została wyrażona. Wynika to też z zasady rozliczalności z art. 5 ust. 2. Sąd zwrócił uwagę, że milczenie, brak sprzeciwu czy brak skargi nie są świadomą zgodą. Sam fakt, że ktoś rozmawia z przedstawicielem firmy albo podsyła mu dokumentację medyczną, też jeszcze nie dowodzi zgody na określony cel, zakres i czas przetwarzania. Ogólne zapewnienia firmy nie wyjaśniały, kto i kiedy zgodę wyraził, co mu powiedziano i czy obejmowała dane o zdrowiu.
Kara UODO dla kancelarii: 45 697 zł to niewiele
Jak wyliczył urząd w decyzji, kwota odpowiada równowartości 10 tys. euro. UODO przyjęło, że naruszenia trwały co najmniej od 25 maja 2018 r., miały charakter systematyczny i dotyczyły ludzi w traumatycznej sytuacji, którzy niekoniecznie byli w stanie świadomie decydować o swoich danych. Urząd ocenił je jako nieumyślne, ale wynikające z rażącego niedbalstwa, a współpracę spółki uznał za niewystarczającą. Na korzyść wspólników przemawiało to, że nie stwierdzono szkód po stronie potencjalnych klientów i wcześniejszych naruszeń. Karę nałożono solidarnie na wspólników.
To ok. 0,05 proc. maksymalnej kary z art. 83 ust. 5 RODO. Moim zdaniem to łagodnie potraktowany model biznesowy, który polega na przeglądaniu nekrologów i wypytywaniu sąsiadów o cudzą tragedię. Rozumiem argument o proporcjonalności wobec małej spółki cywilnej, ale prawdziwą karą jest tu raczej nakaz zaprzestania przetwarzania danych bez podstawy prawnej niż sama grzywna. Nie pierwszy raz NSA staje po stronie urzędu, tak było choćby wtedy, gdy dentysta zignorował nakaz UODO.
Telefon od firmy odszkodowawczej po wypadku: co z tego wynika
O tym, że działalność kancelarii odszkodowawczych wymaga lepszych regulacji, mówi się od lat. Wyrok NSA nie rozwiązuje problemu prowizji czy agresywnego werbunku przy szpitalnych łóżkach, ale daje jasny sygnał w sprawie danych. Ustna zgoda przez telefon formalnie istnieje, w praktyce bez nagrania, potwierdzenia mailem czy SMS-em albo podpisanego dokumentu jest dla firmy bezwartościowa. Dobrze, że sądy to potwierdziły, bo argument „przecież się zgodził” to najwygodniejsza wymówka każdego, kto dzwoni bez zaproszenia. Podobnie jak telemarketing bez zgody, takie praktyki żyją dzięki temu, że mało kto egzekwuje swoje prawa.
Prawa osoby, do której dzwoni nieznana firma
Osoba, z którą skontaktowała się taka firma, może na podstawie art. 15 RODO zażądać informacji, jakie dane są przetwarzane i skąd pochodzą, a także domagać się ich usunięcia. Zgodę można w każdej chwili wycofać (art. 7 ust. 3 RODO). Gdy firma milczy albo zbywa pytania ogólnikami, pozostaje skarga do Prezesa UODO. Rozsądnie jest też nie opowiadać o obrażeniach, diagnozach i leczeniu nikomu, kto zadzwonił sam z siebie, zanim nie wiadomo, kim jest i po co mu te informacje. Dane medyczne są dziś łakomym kąskiem, o czym przypomniał choćby wyciek z MyDr.
Obowiązki przedsiębiorców zbierających dane o zdrowiu
Dla firm wniosek jest prosty. Kto opiera przetwarzanie danych o zdrowiu na zgodzie, musi umieć ją pokazać: z datą, treścią informacji przekazanej rozmówcy i zakresem obejmującym wprost dane medyczne. Jeżeli rozmowa ma być jedynym dowodem, trzeba ją nagrać, uprzedzając o tym rozmówcę, albo od razu potwierdzić zgodę na piśmie lub elektronicznie. W przeciwnym razie przed UODO i sądem zostaje tylko słowo przeciwko słowu, a ciężar dowodu spoczywa na firmie.
zobacz więcej:
