Stan faktyczny sprawy

Sprawa dotyczyła przetwarzania danych osobowych obywateli w związku z przygotowaniami do przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 r. w trybie korespondencyjnym. W okresie pandemii COVID-19 planowano zmianę formuły przeprowadzenia wyborów, aby ograniczyć ryzyko związane z gromadzeniem się wyborców w lokalach wyborczych. W tym czasie trwały prace legislacyjne nad zmianą przepisów dotyczących sposobu przeprowadzania wyborów, jednak odpowiednia regulacja ustawowa nie obowiązywała jeszcze w momencie wydania decyzji Prezesa Rady Ministrów.

Prezes Rady Ministrów wydał 16.4.2020 r. decyzję zobowiązującą Pocztę Polską S.A. do podjęcia działań zmierzających do przygotowania przeprowadzenia wyborów w trybie korespondencyjnym. W decyzji wskazano m.in. konieczność przygotowania struktury organizacyjnej, zapewnienia infrastruktury oraz pozyskania niezbędnych zasobów.

Realizacja tego polecenia wymagała pozyskania danych wyborców. W konsekwencji 20.4.2020 r. Poczta Polska zwróciła się do Ministerstwa Cyfryzacji o przekazanie danych z rejestru PESEL. Dane te zostały przekazane 22.4.2020 r. na nośniku DVD.

Zakres przekazanych informacji obejmował w szczególności:

  • numer PESEL,
  • imię i nazwisko,
  • adres zameldowania na pobyt stały lub czasowy,
  • informacje o zarejestrowanym czasowym wyjeździe za granicę.

Dane dotyczyły około 30 mln pełnoletnich obywateli. Ich przetwarzanie przez Pocztę Polską trwało około miesiąca – od 22.4.2020 r. do 22.5.2020 r. Po rezygnacji z przeprowadzenia wyborów w planowanej formule dane zostały zniszczone w połowie maja 2020 r.

Jeszcze w 2020 r. decyzja Prezesa Rady Ministrów z 16.4.2020 r. została zaskarżona do sądu administracyjnego przez Rzecznika Praw Obywatelskich. Wyrokiem z 15.9.2020 r., VII SA/Wa 992/20, Legalis, Wojewódzki Sąd Administracyjny w Warszawie stwierdził jej nieważność, uznając, że została wydana bez podstawy prawnej i z rażącym naruszeniem prawa. Stanowisko to zostało następnie podtrzymane przez Naczelny Sąd Administracyjny wyrokiem z 28.6.2024 r., III OSK 4524/21, Legalis.

Nowe technologie – Sprawdź aktualną listę szkoleń Sprawdź

Postępowanie przed Prezesem UODO

Po zapadnięciu rozstrzygnięć sądów administracyjnych dotyczących decyzji Prezesa Rady Ministrów Prezes Urzędu Ochrony Danych Osobowych wszczął z urzędu postępowanie w sprawie przetwarzania danych osobowych w związku z przygotowaniami do wyborów korespondencyjnych.

Postępowanie zakończyło się decyzją z 17.3.2025 r. Organ nadzorczy uznał, że działania Poczty Polskiej polegające na pozyskaniu i przetwarzaniu danych z rejestru PESEL naruszały przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 2016 Nr 119, s. 1; dalej: RODO).

W uzasadnieniu decyzji wskazano, że przetwarzanie danych osobowych obywateli odbywało się bez odpowiedniej podstawy prawnej. Organ podkreślił również skalę przetwarzania danych – obejmowało ono dane ok. 30 mln osób, a więc znaczną część populacji Polski. Zdaniem Prezesa UODO działania te mogły powodować negatywne skutki dla osób, których dane dotyczyły, w szczególności poczucie utraty kontroli nad danymi osobowymi.

Organ zwrócił także uwagę, że Poczta Polska, jako spółka Skarbu Państwa realizująca zadania publiczne, powinna wykazać szczególną staranność przy ocenie podstawy prawnej przetwarzania danych osobowych. W ocenie organu spółka powinna była przeprowadzić analizę, czy decyzja Prezesa Rady Ministrów rzeczywiście stanowi podstawę do pozyskania danych z rejestru PESEL.

W konsekwencji Prezes UODO nałożył na Pocztę Polską administracyjną karę pieniężną w wysokości 27 124 816 zł. W odrębnym postępowaniu organ uznał również działania Ministerstwa Cyfryzacji za niezgodne z prawem i nałożył na ten podmiot karę pieniężną w wysokości 100 tys. zł.

Rozstrzygnięcie Wojewódzkiego Sądu Administracyjnego

Poczta Polska zaskarżyła decyzję Prezesa UODO do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Niespełna rok później, wyrokiem z 5.3.2026 r., II SA/Wa 837/25, sąd uchylił punkt 2 decyzji Prezesa UODO dotyczący nałożenia administracyjnej kary pieniężnej na spółkę. Jednocześnie zasądził od organu nadzorczego na rzecz Poczty Polskiej kwotę 105 417 zł tytułem zwrotu kosztów postępowania.

W ustnych motywach wyroku sąd wskazał, że przy ocenie legalności przetwarzania danych osobowych przez Pocztę Polską Prezes UODO powinien był zbadać stan prawny istniejący w okresie, w którym dane były przetwarzane, tj. od 22.4.2020 r. do 22.5.2020 r.

Sąd podkreślił, że w tym czasie w obrocie prawnym pozostawała decyzja Prezesa Rady Ministrów z 16.4.2020 r. zawierająca polecenie skierowane do Poczty Polskiej. Decyzja ta, jako akt administracyjny, korzystała z domniemania prawidłowości i obowiązywała do czasu jej wyeliminowania z obrotu prawnego, co oznacza, że była wiążąca dla jej adresata do momentu stwierdzenia jej nieważności przez sąd administracyjny.

Zdaniem sądu rolą Prezesa UODO było zatem ustalenie, czy przetwarzanie danych osobowych przez spółkę służyło realizacji polecenia wynikającego z tej decyzji. W ocenie WSA takiej analizy w uzasadnieniu decyzji organu zabrakło.

Sąd wskazał również, że przy ocenie skutków stwierdzenia nieważności decyzji administracyjnej należy uwzględnić zasady zaufania do państwa oraz bezpieczeństwa prawnego jednostki. Organ nadzorczy nie powinien ograniczać się wyłącznie do wskazania, że decyzja została później uznana za nieważną przez sądy administracyjne, lecz powinien dokonać własnej oceny skutków tego rozstrzygnięcia dla działań podjętych przez adresata decyzji.

WSA zwrócił także uwagę na konieczność analizy skutków wykonania decyzji w kontekście ewentualnych nieodwracalnych skutków prawnych, jakie mogły powstać w wyniku jej realizacji.

Wyrok jest nieprawomocny. Stronom przysługuje możliwość wniesienia skargi kasacyjnej do Naczelnego Sądu Administracyjnego w terminie 30 dni od doręczenia odpisu wyroku wraz z uzasadnieniem.

Sprawa dotycząca przetwarzania danych z rejestru PESEL w związku z przygotowaniami do wyborów korespondencyjnych pozostaje jednym z najbardziej złożonych sporów na styku prawa administracyjnego i przepisów o ochronie danych osobowych w ostatnich latach.

Z ustnych motywów wyroku wynika, że kluczową kwestią dla sądu była metoda oceny legalności przetwarzania danych. WSA wskazał, że organ nadzorczy powinien analizować działania administratora z perspektywy stanu prawnego istniejącego w chwili podejmowania tych działań. W praktyce oznacza to konieczność uwzględnienia obowiązywania aktu administracyjnego, który stanowił podstawę działania adresata decyzji.

Rozstrzygnięcie nie przesądza ostatecznie o odpowiedzialności Poczty Polskiej, ponieważ wyrok jest nieprawomocny i może zostać poddany kontroli kasacyjnej przez Naczelny Sąd Administracyjny. Już na obecnym etapie wskazuje jednak na znaczenie prawidłowej rekonstrukcji kontekstu prawnego, w jakim podejmowane były działania związane z przetwarzaniem danych osobowych.

Dla praktyki stosowania przepisów o ochronie danych osobowych kluczowe może być zwłaszcza to, że sąd zwrócił uwagę na konieczność samodzielnej oceny skutków stwierdzenia nieważności aktu administracyjnego oraz na obowiązek odniesienia tej oceny do realiów funkcjonowania adresata decyzji w momencie jej wykonywania. Ostateczne znaczenie tej sprawy dla praktyki organów publicznych i administratorów danych będzie jednak zależało od rozstrzygnięcia Naczelnego Sądu Administracyjnego.

Wszystkie aktualności n.ius® po zalogowaniu. Nie posiadasz dostępu? Kup online, korzystaj od razu! Sprawdź

Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →