Prezes UODO zaskarżył wyrok WSA w sprawie Poczty Polskiej do Naczelnego Sądu Administracyjnego

Decyzja Prezesa Rady Ministrów nie może być uznana za podstawę prawną przetwarzania danych przez Pocztę Polską – to główny zarzut Prezesa UODO Mirosława Wróblewskiego do wyroku WSA w Warszawie, który uchylił decyzję organu nadzorczego w zakresie w jakim dotyczyła tej spółki.

W skardze kasacyjnej do NSA na wyrok sądu niższej instancji Prezes UODO zaznaczył, że stanowisko WSA opiera się na błędnym utożsamieniu dwóch odrębnych kategorii prawnych: skuteczności indywidualnej decyzji administracyjnej wobec jej adresata oraz istnienia podstawy przetwarzania danych osobowych wymaganej przez art. 6 ust. 1 i 3 RODO. Prezes UODO wskazał, że nawet jeżeli decyzja Prezesa Rady Ministrów, w związku z którą Poczta Polska przetwarzała dane obywateli na potrzeby przeprowadzenia wyborów korespondencyjnych, formalnie pozostawała w obrocie prawnym, to nie stanowiła ona podstawy prawnej w rozumieniu art 6 ust. 3 RODO. Indywidualny akt administracyjny, a więc decyzja, nie może być uważany za normę prawa krajowego. To oznacza, że istnienie decyzji premiera związanej z przeprowadzeniem wyborów korespondencyjnych nie dawało Poczcie Polskiej podstawy do przetwarzania danych obywateli, które przekazało spółce ówczesne Ministerstwo Cyfryzacji.

Konkretny przepis, a nie decyzja

Prezes UODO w skardze kasacyjnej do NSA zaznaczył, że jeżeli przesłanką legalizującą przetwarzanie jest art. 6 ust. 1 lit. c RODO, a więc wypełnienie obowiązku prawnego ciążącego na administratorze, to zgodnie z art. 6 ust. 3 RODO podstawa do tego przetwarzania musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Również cel przetwarzania musi być określony w przepisach prawa.

W uzasadnieniu skargi na wyrok WSA Prezes UODO przypomniał wyrok NSA z 13 marca 2024 r. (sygn. akt II OSK 1630/21), w którym Sąd wyraźnie wskazał, że „Decyzja Prezesa Rady Ministrów jako akt indywidualny i konkretny nie może być uznana za źródło materialnoprawnej kompetencji. Źródłem kompetencji do realizacji zadań publicznych, których skutki kształtują prawną sytuację adresatów pozostających poza systemem władzy publicznej mogą być jedynie akty normatywne wymienione w art. 87 Konstytucji RP.”

Poczta miała możliwość innego działania

Organ nadzorczy w swojej skardze kasacyjnej zwrócił uwagę, że spółka miała możliwość przeciwstawienia się poleceniu wynikającemu Decyzji Prezesa Rady Ministrów. Mogła bowiem zwrócić się do organu, który wydał decyzję, z wnioskiem o ponowne rozpatrzenie sprawy, do czego uprawniały ją przepisy Kodeksu postępowania administracyjnego. Mogła również wystąpić z żądaniem uzupełnienia decyzji co do jej rozstrzygnięcia lub żądaniem wyjaśnienia wątpliwości co do treści decyzji. Poczta Polska nie skorzystała jednak z żadnego z tych uprawnień, mimo, iż miała wątpliwości dotyczące zgodności polecenia premiera z obowiązującymi wówczas przepisami prawa.

W ocenie organu nadzorczego spółka nie była też jedynie biernym, technicznym wykonawcą cudzego działania, lecz samodzielnie podjęła czynności prowadzące do pozyskania i dalszego przetwarzania danych osobowych. Ponadto naruszenie przepisów polegało nie na zaniechaniu wniesienia zaskarżenia od decyzji Prezesa Rady Ministrów, ale na faktycznym przetwarzaniu danych bez podstawy prawnej.

Prezes UODO nie zgadza się też z oceną WSA w Warszawie, iż nie dokonał w niniejszej sprawie właściwej analizy stanu faktycznego. Wręcz przeciwnie. Poddał obszernej i wnikliwej ocenie wszelkie istotne z punktu widzenia prowadzonego przez siebie postępowania aspekty stanu faktycznego, zgodnie z kolejnością zaistniałych zdarzeń. W uzasadnieniu skargi do NSA organ dokładnie odtworzył przebieg postępowania i ustaleń poczynionych w jego toku.

W skardze do NSA Prezes UODO wniósł o uchylenie wyroku WSA w całości.

Historia sprawy

Cała sprawa ma początek w 2020 roku, gdy próbowano zorganizować wybory Prezydenta RP wyłącznie w drodze korespondencyjnej z powodu pandemii Covid-19. Władze rozpoczęły organizację procesu wyborczego w tej formie, mimo, że ustawa zmieniająca zasady wyborów nie weszła jeszcze w życie. Ta nieobowiązująca w kwietniu 2020 r. ustawa zakładała, że Poczta Polska dostarczy wydrukowane przez Polską Wytwórnię Papierów Wartościowych pakiety wyborcze do skrzynek pocztowych wyborców, a wyborcy oddadzą głosy korespondencyjnie, by nie gromadzić się osobiście w lokalach wyborczych.

16 kwietnia 2020 r. Prezes Rady Ministrów zobowiązał decyzją administracyjną Pocztę Polską do podjęcia przygotowań do wyborów kopertowych Prezydenta RP. Powołując się na to polecenie, Poczta Polska wystąpiła 20 kwietnia 2020 r. z wnioskiem o przekazanie jej w tym celu z bazy PESEL danych około 30 mln polskich obywateli, którzy w dniu planowanych wyborów mieli być pełnoletni i zamieszkiwali w Polsce.

Minister Cyfryzacji wyraził na to zgodę i dane zapisane na płycie DVD zostały dostarczone (udostępnione) Poczcie Polskiej 22 kwietnia 2020 r. i były przez nią przetwarzane.

Dane osobowe około 30 mln polskich obywateli zostały zniszczone dopiero w dniach 15–22 maja 2020 r., już po tym, gdy okazało się, że wybory 10 maja 2020 r. nie odbędą się.

Zachęcamy do zapoznania się z komunikatem pt. Kary za naruszenie RODO przy organizacji wyborów korespondencyjnych 2020, w którym omawiamy decyzję Prezesa UDOO, w której organ nadzorczy nałożył na Pocztę Polską administracyjna karę pieniężną wysokości ponad 27 mln zł.