Sprawa dotyczyła przetwarzania danych osobowych zawartych w dokumentacji medycznej przekazanej między organami administracji publicznej. Punktem wyjścia był wniosek o skierowanie skarżącej na badania lekarskie mające potwierdzić albo wykluczyć możliwość prowadzenia przez nią pojazdów mechanicznych. Wniosek, wraz ze skanami dokumentacji medycznej, został przekazany do Starosty Opolskiego przez Ministerstwo Infrastruktury.
Starosta uznał, że nie jest organem właściwym do rozpoznania sprawy, dlatego na podstawie art. 65 § 1 kpa przekazał wniosek wraz z załącznikami Prezydentowi Opola. Właściwość tego organu wynikała z ustawy o kierujących pojazdami oraz z faktu, że w mieście na prawach powiatu funkcje organów powiatu sprawuje prezydent miasta.
Skarżąca zarzuciła, że doszło do bezprawnego przetwarzania jej danych, w tym danych szczególnej kategorii dotyczących zdrowia. Domagała się m.in. nakazania staroście wykonania obowiązku informacyjnego dotyczącego pozyskania danych w sposób inny niż od osoby, której dane dotyczą. Wskazywała także na prawo dostępu do danych z art. 15 RODO oraz konieczność zgłoszenia naruszenia ochrony danych osobowych.
Prezes Urzędu Ochrony Danych Osobowych odmówił uwzględnienia wniosku w zasadniczej części, a w zakresie żądania odnoszącego się do art. 15 RODO umorzył postępowanie. Uznał, że pozyskanie i przekazanie danych przez Starostę Opolskiego miało podstawę prawną. WSA w Warszawie oddalił skargę na tę decyzję.
Naczelny Sąd Administracyjny również oddalił skargę – kasacyjną. Wskazał, że art. 65 § 1 kpa nakłada na organ niewłaściwy obowiązek niezwłocznego przekazania podania organowi właściwemu. Obejmuje to również załączniki wniesione razem z pismem. Organ niewłaściwy nie prowadzi postępowania merytorycznego i nie ocenia wartości dowodowej dokumentów. Jego zadaniem jest zbadanie własnej właściwości i skierowanie sprawy do organu, który może ją rozpoznać.
W ocenie sądu przetwarzanie danych miało podstawę w prawie krajowym i było związane z ważnym interesem publicznym, jakim jest bezpieczeństwo ruchu drogowego. Ustawa o kierujących pojazdami przewiduje możliwość skierowania kierowcy na badanie lekarskie, jeżeli istnieją uzasadnione zastrzeżenia co do jego stanu zdrowia. Organ mógł więc przetwarzać dokumentację w zakresie niezbędnym do wykonania obowiązków wynikających z przepisów prawa.
Kluczowe znaczenie miała ocena obowiązku informacyjnego z art. 14 RODO. Przepis ten dotyczy sytuacji, w której administrator pozyskuje dane nie od osoby, której dane dotyczą, lecz z innego źródła. Co do zasady powinien wtedy przekazać tej osobie informacje m.in. o celach przetwarzania, podstawie prawnej, kategoriach danych oraz przysługujących jej prawach.
RODO przewiduje jednak wyjątek. Zgodnie z art. 14 ust. 5 lit. c obowiązek informacyjny nie ma zastosowania, jeżeli pozyskiwanie lub ujawnianie danych jest wyraźnie uregulowane prawem UE albo prawem państwa członkowskiego, a prawo to przewiduje odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą.
NSA uznał, że taki wyjątek miał zastosowanie w tej sprawie. Przekazanie wniosku wraz z załącznikami było przewidziane w art. 65 § 1 kpa. Zaznaczył, że sam ten przepis nie ustanawia szczegółowych mechanizmów ochrony danych osobowych. Gwarancje takie wynikają jednak z innych regulacji kodeksu postępowania administracyjnego, zwłaszcza dotyczących dostępu do akt sprawy, udziału strony w postępowaniu, kwestionowania działań organu i zaskarżania rozstrzygnięć.
W konsekwencji sąd przyjął, że zawiadomienie o przekazaniu sprawy według właściwości zastępuje obowiązek informacyjny z art. 14 ust. 1 i 2 RODO. Osoba, której dane dotyczą, otrzymuje bowiem informację o przekazaniu sprawy innemu organowi, a jednocześnie może korzystać z gwarancji proceduralnych przewidzianych w kpa.
Sąd odniósł się również do art. 15 RODO. Podkreślił, że prawo dostępu do danych wymaga inicjatywy osoby, której dane dotyczą. Administrator ma obowiązek odpowiedzieć dopiero wtedy, gdy otrzyma żądanie dostępu do danych. Skoro skarżąca nie wystąpiła wcześniej do Starosty Opolskiego z takim wnioskiem, żądanie było przedwczesne.
Istotne znaczenie miały także rozważania dotyczące art. 33 RODO. Naczelny Sąd Administracyjny wyjaśnił, że obowiązek zgłoszenia naruszenia ochrony danych osobowych powstaje wtedy, gdy administrator doprowadził do naruszenia bezpieczeństwa danych albo gdy naruszenie powstało w jego łańcuchu przetwarzania, np. u podmiotu przetwarzającego. Samo otrzymanie przez organ danych, które mogły zostać wcześniej bezprawnie ujawnione przez inny podmiot, nie oznacza automatycznie obowiązku zgłoszenia naruszenia.
Wyrok Naczelnego Sądu Administracyjnego z 6 maja 2026 r., sygn. III OSK 2173/25
