Czy skierowanie kierowcy na badania lekarskie oznacza naruszenie wynikającego z RODO zakazu przetwarzania danych zdrowotnych osoby bez jej zgody (i wiedzy)? Jeśli do wniosku dołączono dokumentację medyczną zawierającą informacje wrażliwe? Czy w takim przypadku organ powinien poinformować zainteresowaną osobę o pozyskaniu jej danych? Czy fakt, że wniosek wpłynął do niewłaściwego urzędu, ten zaś przekazał sprawę do organu właściwego, należy traktować jako naruszenie ochrony danych osobowych? (wyrok Naczelnego Sądu Administracyjnego z 6 maja 2026 r., III OSK 2173/25).
opis stanu faktycznego:
- sprawa zaczęła się od wysłania przez Ministerstwo Infrastruktury, do Starosty Opolskiego, wniosku o przeprowadzenie kontrolnego badania lekarskiego kierowcy; do wniosku dołączona była dokumentacja medyczna;
- urzędnik zauważył, że wniosek dotyczył mieszkanki Opola, zatem przekazał materiały do Prezydenta Opola (miasta na prawach powiatu, którego prezydent pełni funkcję starosty)…
- …a do PUODO wpłynęła skarga dotycząca m.in. nieuprawnionego przetwarzania przez starostę danych osobowych wrażliwych, w tym opisów rozmów z psychologiem, bez podstawy prawnej, niewypełnienia obowiązku informacyjnego przy pozyskiwaniu danych „z zewnątrz”, jak też braku zgłoszenia naruszenia ochrony danych osobowych;
decyzja PUODO:
- po pierwsze przetwarzanie danych zdrowotnych kierowcy skierowanego na badania kontrolne wynika z przepisu prawa i mieści się w przesłance ważnego interesu publicznego;
art. 99 ustawy o kierujących pojazdami
1. Starosta wydaje decyzję administracyjną o skierowaniu kierowcy lub osoby posiadającej pozwolenie na kierowanie tramwajem na:
2) badanie lekarskie, jeżeli istnieją uzasadnione zastrzeżenia co do ich stanu zdrowia.
2. Starosta wydaje decyzję administracyjną, o której mowa w ust. 1:
1) z urzędu — na podstawie:
a) informacji i ustaleń stanu faktycznego uzyskanych w ramach wykonywania zadań własnych — w zakresie, o którym mowa w ust. 1 […]
art. 9 ust. 2 RODO
[Zakaz przetwarzania szczególnych kategorii danych osobowych] nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;
art. 14 ust. 5 lit c RODO
[m.in. obowiązki informacyjne] nie mają zastosowania, gdy – i w zakresie, w jakim:
c) pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą;
- po drugie skoro pismo nadzoru wpłynęło do starosty, to miał on obowiązek zajęcia się sprawą — a ponieważ okazał się niewłaściwy dla jej rozstrzygnięcia, miał obowiązek przekazać sprawę w/g właściwości, zaś taka czynność nie narusza RODO;
- natomiast przepisy o obowiązku informacyjnym nie mają zastosowania w przypadku przetwarzania danych na podstawie przepisu prawa, w tym na potrzeby postępowania administracyjnego;
wyrok NSA:
- badając skargę na tę decyzję sąd przypomniał, iż chociaż co do zasady zakazane jest przetwarzanie szczególnych kategorii danych osobowych, w tym dotyczących zdrowia, jednak od tego zakazu jest szereg wyjątków, do których zalicza się m.in. niezbędność ze względu na ważny interes publiczny określony w przepisie prawa;
- ważnym interesem publicznym uzasadniającym przetwarzanie danych o zdrowiu kierowcy jest bezpieczeństwo ruchu drogowego: w ramach nadzoru nad kierującymi starosta może wysłać kierowcę, jeśli istnieją uzasadnione zastrzeżenia co do jego stanu zdrowia, na dodatkowe badania lekarskie;
- okoliczność, że wniosek początkowo wpłynął do niewłaściwego organu oraz przekazanie sprawy według właściwości nie może być postrzegana jako naruszenie ochrony danych osobowych przez Starostę Opolskiego: działanie urzędników wynikało z przepisu prawa (art. 65 kpa), było uzasadnione i ograniczone do celu, zaś kobiecie tak czy inaczej przysługuje możliwość zaskarżenia tej decyzji…
- …a jeśli skarżąca zamierza argumentować, iż incydentem było wysłanie wniosku do błędnego organu — bo doszło w ten sposób do ujawnienia jej danych — to powinna zacząć procedurę od prawidłowego sformułowania skargi do PUODO;
- nie doszło także do naruszenia obowiązku informacyjnego, albowiem zawiadomienie strony o przekazaniu sprawy według właściwości zastępuje obowiązek informacyjny wynikający z art. 14 ust. 1 RODO (o czym wprost przesądza art. 14 ust. 5 lit c rozporządzenia) — zarazem kodeks postępowania administracyjnego ogranicza się do wykonania obowiązku z art. 13 ust. 1 RODO (art. 2a kpa, art. 65 par. 2 kpa).
Biorąc pod uwagę taką wykładnię skarga na rzekome naruszenie RODO została oddalona w całości.