La Cour administrative suprême de Pologne a confirmé une sanction de l'autorité polonaise de protection des données (UODO), rappelant que si le consentement oral au traitement de données de santé peut être valable, il incombe au responsable du traitement de démontrer, en vertu du principe de responsabilité, qu'un tel consentement explicite a bien été recueilli.

Faits et contexte

La Cour administrative suprême de Pologne a, le 6 octobre 2026, confirmé une décision de l'autorité polonaise de protection des données (UODO) prononçant une amende de 45 697 PLN (environ 10 600 €) à l'encontre des associés du cabinet Pionier pour avoir traité des données de santé sans base juridique valable.

L'affaire a débuté par une demande d'inspection adressée à l'UODO par le Commandant de la police du district, concernant les pratiques de traitement de données des associés du cabinet. Face au manque de coopération de ces derniers, l'autorité a procédé à un contrôle sur site.

Motifs de la décision

L'enquête a révélé que les associés collectaient des données personnelles, y compris des données de santé, sur des clients potentiels via internet, les médias sociaux et des enquêtes de terrain, avant même la conclusion de tout contrat. L'autorité a conclu à plusieurs violations :

• Obligation d'obtenir un consentement explicite pour le traitement de données de santé (article 9 du RGPD) : Les responsables du traitement prétendaient avoir obtenu un consentement oral pour traiter les données de santé de leurs clients potentiels. Cependant, la Cour a jugé que le simple fait qu'un prospect initie une conversation ou transmette des documents médicaux ne constitue pas une manifestation de volonté active et univoque requise par le RGPD pour un consentement explicite. L'absence de plainte ou d'opposition de la part des personnes concernées ne peut pas non plus être assimilée à un consentement.

• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD) : L'argument selon lequel le traitement était nécessaire à l'exécution de mesures précontractuelles a été rejeté. Les juridictions ont estimé que la collecte de données dans le seul but d'évaluer la rentabilité d'un futur contrat ou de s'assurer de la volonté du client de contracter ne relève pas des "mesures précontractuelles prises à la demande de la personne concernée". Ce traitement a donc été jugé disproportionné et non nécessaire.

• Obligation de démontrer le recueil du consentement (article 7, paragraphe 1, du RGPD) et principe de responsabilité (article 5, paragraphe 2, du RGPD) : La Cour a rappelé que, bien que le consentement oral soit admissible, la charge de la preuve de son obtention incombe entièrement au responsable du traitement. Les déclarations générales des associés sur leur pratique consistant à demander le consentement étaient insuffisantes, car ils ne pouvaient prouver ni la date, ni le contenu de l'information fournie, ni la portée exacte du consentement pour chaque personne, notamment en ce qui concerne les données de santé.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 45 697 PLN (environ 10 600 €) aux associés du cabinet Pionier.

En outre, l'autorité a ordonné aux responsables du traitement de cesser le traitement des données personnelles collectées sans base juridique.

Enseignements

Cette décision rappelle que :

• Le consentement oral, y compris pour des données de santé, n'est valable que si le responsable du traitement est en mesure de prouver son existence, son caractère explicite et sa portée, par exemple via un registre des consentements ou un enregistrement des conversations.

• Le traitement de données en phase précontractuelle n'est licite au titre de l'article 6, paragraphe 1, point b) du RGPD que s'il est effectué à la demande de la personne concernée en vue de la conclusion d'un contrat, et non pour évaluer une opportunité commerciale pour le responsable du traitement.

• Le silence, l'absence d'opposition ou le simple fait qu'une personne concernée initie un contact ne sauraient être interprétés comme un consentement valable et explicite au sens de la définition de l'article 4, point 11 du RGPD.