Firma odszkodowawcza pyta o zdrowie po wypadku. Co wynika z wyroku NSA i art. 82 RODO

28 października 2026 r. Prezes Urzędu Ochrony Danych Osobowych poinformował o wyroku Naczelnego Sądu Administracyjnego z 6 października 2026 r. (sygn. III OSK 1943/24). NSA oddalił skargę kasacyjną wspólników spółki cywilnej i tym samym podtrzymał decyzję organu (sygn. DKN.5112.5.2021), w której nałożono karę 45 697 zł i nakazano zaprzestanie przetwarzania danych bez podstawy prawnej.

Sprawa dotyczy Cię bezpośrednio, jeżeli masz za sobą wypadek. Z wcześniejszego komunikatu UODO wynika, że firma reprezentowała osoby poszkodowane, głównie w wypadkach komunikacyjnych, w sprawach o odszkodowanie, zadośćuczynienie i rentę. Wyjaśniamy, co z tego wyroku wynika dla osoby, do której ktoś dzwoni albo puka po wypadku.

Odszkodowanie po wypadku a kontakt od firmy — co ustalił UODO

Według ustaleń organu firma docierała do potencjalnych klientów na podstawie wiadomości prasowych, publikacji w internecie i mediach społecznościowych oraz informacji od organizacji dobroczynnych. Korzystała też z rozmów, na przykład z sąsiadami. Pozwalało to ustalić adres i nawiązać bezpośredni kontakt z ofertą.

Podczas pierwszej rozmowy osoba reprezentująca firmę prosiła o ustną zgodę na przetwarzanie danych. Później pozyskiwano dalsze informacje, w tym dane o zdrowiu. Służyły one przede wszystkim ocenie, czy zawarcie umowy się opłaca, oraz ponownemu kontaktowi. Jeżeli do umowy nie doszło, dane przechowywano od 3 do 5 dni.

UODO i sądy uznały, że nie była to czynność niezbędna do wykonania umowy, bo umowy jeszcze nie było. Firma nie wykazała też, że klienci sami żądali takich działań przed jej zawarciem.

Zgoda na dane o zdrowiu — co orzekł NSA

Dane o zdrowiu podlegają szczególnej ochronie. Art. 9 RODO co do zasady zakazuje ich przetwarzania. Jednym z wyjątków jest wyraźna zgoda osoby, której dane dotyczą, na przetwarzanie w konkretnym celu.

Z komunikatu UODO, który streszcza uzasadnienie wyroku, wynika, że według NSA:

• wyraźna zgoda na dane o zdrowiu może być ustna, ale jej treść i okoliczności muszą pokazywać świadome przyzwolenie na konkretny cel,
• to administrator musi wykazać, że zgodę uzyskał. Tego ciężaru nie można przerzucić na Ciebie ani na organ nadzorczy,
• ogólna praktyka „pytamy o zgodę w pierwszej rozmowie" nie wystarcza, jeżeli nie da się ustalić, kto i kiedy się zgodził, jakie dostał informacje i jaki był zakres zgody,
• milczenie, brak skargi ani brak sprzeciwu nie są zgodą,
• rozpoczęcie rozmowy albo przekazanie dokumentacji medycznej może świadczyć o zainteresowaniu usługą, ale samo nie dowodzi wyraźnej zgody.

Praktyczny wniosek jest prosty: to, że porozmawiasz z przedstawicielem firmy albo pokażesz mu wypis ze szpitala, samo w sobie nie oznacza, że wyrażasz zgodę na dalsze wykorzystywanie tych informacji.

Skąd firma ma Twoje dane — prawo do informacji i usunięcia danych

RODO daje Ci kilka konkretnych narzędzi:

• Informacja przy pierwszym kontakcie. Jeżeli firma nie dostała danych od Ciebie, a używa ich do komunikacji z Tobą, co do zasady musi przekazać wymagane informacje najpóźniej przy pierwszym kontakcie. Należą do nich jej tożsamość, cel przetwarzania i źródło danych (art. 14).
• Prawo dostępu. Możesz zapytać, czy firma przetwarza Twoje dane, i uzyskać do nich dostęp (art. 15).
• Wycofanie zgody. Zgodę możesz wycofać w dowolnym momencie (art. 7 ust. 3). Jeżeli nie ma innej podstawy przetwarzania, możesz żądać usunięcia danych (art. 17).
• Termin odpowiedzi. Administrator odpowiada bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W uzasadnionych przypadkach termin można przedłużyć o dwa miesiące, ale o przedłużeniu i jego przyczynach musi poinformować w pierwszym miesiącu (art. 12 ust. 3).
• Skarga do UODO. Jeżeli uważasz, że przetwarzanie narusza przepisy, możesz złożyć skargę do organu nadzorczego (art. 77).

Odszkodowanie RODO — kiedy art. 82 daje prawo do pieniędzy

Kara nałożona przez UODO nie jest odszkodowaniem dla osób, których dane dotyczyły. Kwota 45 697 zł to kara administracyjna w tej konkretnej sprawie i nie mówi nic o tym, ile mogłaby otrzymać pojedyncza osoba.

Podstawą roszczenia jest art. 82 ust. 1 RODO: osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo uzyskać odszkodowanie od administratora lub podmiotu przetwarzającego. Administrator zostaje zwolniony z odpowiedzialności, jeżeli udowodni, że w żaden sposób nie ponosi winy (art. 82 ust. 3).

Trybunał Sprawiedliwości UE w wyroku z 4 maja 2023 r., C-300/21, orzekł, że:

• samo naruszenie RODO nie wystarcza do przyznania odszkodowania,
• nie można jednak wymagać, by szkoda niemajątkowa osiągnęła pewien stopień wagi,
• zasady ustalania kwoty wynikają z prawa krajowego, a stosują je sądy krajowe.

Dlatego sam fakt, że firma nie umie wykazać zgody, nie przesądza o odszkodowaniu. Trzeba jeszcze pokazać szkodę i jej związek z naruszeniem. Ewentualna wysokość świadczenia zawsze zależy od okoliczności sprawy: jakie dane przetwarzano, komu je ujawniono i jakie były skutki.

Pozew o odszkodowanie za naruszenie danych — sąd i przepisy

Zgodnie z art. 92 i 93 ustawy o ochronie danych osobowych w sprawach nieuregulowanych w RODO stosuje się Kodeks cywilny, a właściwy jest sąd okręgowy. Skarga do UODO i roszczenie o odszkodowanie to odrębne drogi.

To także co innego niż roszczenie z samego wypadku. Odszkodowania i zadośćuczynienia za wypadek dochodzi się od ubezpieczyciela albo innego podmiotu odpowiedzialnego za wypadek. Roszczenie z art. 82 kierujesz do tego, kto naruszył przepisy o danych.

Co to znaczy dla Ciebie

Jeżeli po wypadku kontaktuje się z Tobą firma, której nie szukasz:

1. Od razu zapytaj, jak nazywa się firma, skąd ma Twoje dane i w jakim celu ich używa. Te informacje powinna przekazać najpóźniej przy pierwszym kontakcie.
2. Nie musisz mówić o zdrowiu ani pokazywać dokumentacji medycznej, dopóki nie wiesz, komu i po co je przekazujesz.
3. Zapisz fakty: datę, godzinę, numer telefonu, nazwę firmy i przebieg rozmowy. Zachowaj wiadomości i dokumenty.
4. Wyślij żądanie na piśmie albo e-mailem: dostępu do danych, wskazania ich źródła, a jeżeli chcesz, także usunięcia. Odpowiedź powinna przyjść w ciągu miesiąca, chyba że firma poinformuje o przedłużeniu.
5. Gdy odpowiedzi nie ma albo jest niepełna, rozważ skargę do UODO.
6. Jeżeli pojawiła się szkoda, dokumentuj ją i nie odkładaj sprawy. Do przedawnienia stosuje się Kodeks cywilny, dlatego termin trzeba sprawdzić wcześnie, w konkretnych okolicznościach.

Te same zasady obowiązują każdą firmę prowadzącą sprawy odszkodowawcze, także Kancelarię TRC. Nasz zespół zajmuje się obsługą spraw po wypadkach i naruszeniach danych osobowych. Nie obiecujemy wyniku ani kwoty, bo każda sprawa wymaga indywidualnej oceny.

Stan prawny na dzień publikacji. Artykuł ma charakter informacyjny i nie jest analizą Twojej indywidualnej sprawy.