Przed majowymi wyborami (które się ostatecznie nie odbyły) Poczta Polska zwróciła się do gmin o przekazanie jej danych ze spisu wyborców, choć nie miała do tego podstawy prawnej. Niestety Prezes UODO nie był zainteresowany wszczęciem postępowania w sprawie naruszenia przepisów o ochronie danych osobowych przez Pocztę Polską. Wszystko wskazuje jednak na to, że będzie musiał. Przez wyrok sądu.

Pozyskaniem danych przez Pocztę Polską S.A. wzbudziło sprzeciw wielu obywateli, których dane zostały w ten sposób przekazane. Klient naszej poradni prawnej zażądał od Poczty Polskiej S.A. usunięcia jego danych osobowych pozyskanych ze spisu wyborców. Gdy instytucja nie zrealizowała jego żądania, wystąpił do Prezesa Urzędu Ochrony Danych Osobowych ze skargą dotyczącą pozyskania i przetwarzania danych osobowych przez Pocztę Polską S.A. W ocenie naszego klienta Poczta Polska pozyskała jego dane osobowe ze spisu wyborców jednej z gmin, mimo że nie posiadała podstawy prawnej do ich przetwarzania. Z tego powodu klient zażądał od Prezesa UODO nakazania Poczcie Polskiej S.A. usunięcia jego danych osobowych, a także wymierzenia jej administracyjnej kary pieniężnej.

Odmowa wszczęcia postępowania

Klient poprosił nas o pomoc, gdy otrzymał postanowienie Prezesa UODO o odmowie wszczęcia postępowania administracyjnego w przedmiocie naruszenia przepisów o ochronie danych osobowych przez Pocztę Polską S.A. Pomogliśmy sporządzić skargę na to postanowienie, a także dołączyliśmy do postępowania przed Wojewódzkim Sądem Administracyjnym w Warszawie.

Prezes UODO w uzasadnieniu swojego postanowienia wskazał:

kwestionowane przez Skarżącego udostępnienie jego danych osobowych przez gminę […] na rzecz Poczty Polskiej S.A. jest […] wynikiem wykonania przez ww. podmiot obowiązku jednoznacznie określonego w przepisach prawa. Przetwarzanie to ma zatem, jak wskazano, oparcie w powołanym wyżej art. 6 ust. 1 lit. c) RODO[1].

Czy Prezes UODO postąpił prawidłowo? Oczywiście nie. Przede wszystkim nie był on uprawniony do odmowy wszczęcia postępowania, mógłby odmówić, gdyby żądanie wszczęcia postępowania „zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte” (art. 61a § 1 KPA).

Czy w tej sprawie nasz klient był stroną? Tak. Czy zachodziła inna uzasadniona przyczyna, która uniemożliwiała wszczęcie postępowania? Nie. Prezes UODO stanął na stanowisku, że odmowa wszczęcia postępowania umotywowana jest tym, że będzie ono bezprzedmiotowe, bowiem Poczta Polska S.A. nie naruszyła przepisów prawa, gdyż miała podstawę prawną do przetwarzania danych osobowych. Problem polega na tym, że Prezes UODO przed wszczęciem postępowania administracyjnego i przeprowadzeniem postępowania wyjaśniającego, nie mógł rozstrzygnąć, czy przetwarzanie danych osobowych przez Pocztę Polską S.A. było zgodne z prawem.

Prezes UODO jest centralnym organem administracji państwowej właściwym w sprawie ochrony danych osobowych. Jednocześnie pełni on rolę organu nadzorczego w rozumieniu RODO (art. 34 ust. 1-2 UODO). Jednym z głównych zadań Prezesa UODO jest prowadzenie postępowań
w sprawach naruszenia przepisów o ochronie danych osobowych, co wynika nie tylko z regulacji ustawowej (art. 60 RODO), ale też z przepisów RODO (art. 57 ust. 1 RODO).

Skoro Prezes UODO ma czuwać nad przestrzeganiem prawa ochrony danych osobowych w Polsce i prowadzić postępowania w sprawach naruszenia przepisów o ochronie danych osobowych,
to uzasadnione wątpliwości budzi fakt, że w przedmiotowej sprawie nie wyraża on chęci wszczęcia i rzetelnego przeprowadzenia postępowania wyjaśniającego w sprawie.

Mimo że sprawa naszego klienta ma charakter indywidualny, to jednak analogiczna sytuacja dotyczy wszystkich obywateli, których dane osobowe zostały pozyskane przez Pocztę Polską S.A. Trudno wyobrazić sobie inną sprawę, w której mogłoby dojść do naruszenia danych osobowych w takiej skali.

Poczta Polska S.A. (nie) miała podstawy do przetwarzania danych

W naszej ocenie, wbrew twierdzeniom Prezesa UODO, Poczta Polska S.A. nie miała podstawy do pozyskania danych osobowych ze spisu wyborców i do ich przetwarzania. Prawo do ochrony danych osobowych jest jednym z praw człowieka. Konstytucja w art. 51 ust. 1-2 stanowi, że:

1. Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawnienia informacji dotyczących jego osoby.
2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji
   o obywatelach niż niezbędne w demokratycznym państwie prawnym.

Ochrona danych osobowych jest też jedną z wartości chronionych prawem Unii Europejskiej. Art. 8 Karty praw podstawowych Unii Europejskiej stanowi, że: każdy ma prawo do ochrony danych osobowych, które go dotyczą.

Nie można tracić też z pola widzenia, że dane osobowe składają się na szeroko rozumianą prywatność osoby fizycznej, której ochrona przewidziana jest wprost w art. 47 Konstytucji, a także w art. 8 Konwencji o ochronie praw człowieka i podstawowych wolności, czy też w art. 7 Karty praw podstawowych Unii Europejskiej.

Zdaniem Prezesa UODO pozyskanie danych osobowych przez Pocztę Polską S.A. miało oparcie w art. 6 ust. 1 lit. c RODO w związku z art. 99 ustawy SARS[2].

Art. 99 ustawy SARS stanowi, że: „operator wyznaczony w rozumieniu ustawy z dnia 23 listopada 2012 r. – Prawo pocztowe [Poczta Polska S.A. – przyp. red.] po złożeniu przez siebie wniosku w formie elektronicznej, otrzymuje dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji organu administracji publicznej, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. Dane, o których mowa w zdaniu pierwszym, przekazywane są operatorowi wyznaczonemu, w formie elektronicznej, w terminie nie dłuższym niż 2 dni robocze od dnia otrzymania wniosku. Operator wyznaczony uprawniony jest do przetwarzania danych wyłącznie w celu, w jakim otrzymał te dane”. Przepis ten Prezes UODO połączył z decyzją Prezesa Rady Ministrów z 16 kwietnia 2020 r.[3] na podstawie której Premier polecił Poczcie Polskiej S.A. realizacje działań „w zakresie przeciwdziałania COVID-19 polegających na podjęciu i realizacji niezbędnych czynności do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 r., w trybie korespondencyjnym, w szczególności poprzez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych i kadrowych”.

Połączenie ww. przepisu ustawy SARS i decyzji Prezes RM doprowadziło Prezesa UODO do przekonania, że Poczta Polska S.A. przetwarzała dane na podstawie art. 6 ust. 1 lit. c RODO, który stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy  – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Co niezmiernie istotne, podstawa prawna, a zatem w tym przypadku podstawa obowiązku prawnego, musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator (art. 6 ust. 3 RODO).

Nie powinno budzić wątpliwości, że decyzja Prezesa RM nie stanowi źródła prawa powszechnie obowiązującego, a zatem nie może być podstawą do rozstrzygania o prawach i wolnościach obywatelskich, w tym podstawą do rozporządzania danymi osobowymi obywateli.

Podstawą taką nie jest też art. 99 ustawy SARS. Ten bowiem przewiduje co prawda dwa przypadki, w których Poczta Polska S.A. byłaby uprawniona do pozyskania danych ze spisu wyborców, niemniej żaden z tych przypadków nie zaistniał.

Przede wszystkim nie można zgodzić się ze stanowiskiem, które w tej sprawie prezentował Prezes UODO, że Poczta Polska S.A. mogła pozyskać dane, bo były one potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej.

Dlaczego? Ponieważ Poczta Polska S.A. nie była uprawniona do realizacji takich zadań. Organy odpowiedzialne za organizację i przeprowadzenie wyborów wskazane są w Kodeksie wyborczym. Są nimi Państwowa Komisja Wyborcza oraz komisarze wyborczy (art. 152 § 1 Kodeksu wyborczego).

Żaden przepis powszechnie obowiązującego prawa, w dniu pozyskania danych naszego klienta przez Pocztę Polską, nie nakładał na nią obowiązku realizacji zadań związanych z organizacją wyborów Prezydenta RP. Zadanie to pozostawało zatem wyłączną kompetencją organów wyborczych, w szczególności Państwowej Komisji Wyborczej. Co więcej, w dniu pozyskania danych naszego klienta, wybory korespondencyjne, które przygotowywać miałaby Poczta Polska S.A., przewidziane były wyłącznie dla osób z niepełnosprawnością w stopniu znacznym lub umiarkowanym (art. 53a § 1 Kodeksu wyborczego).

Absolutnie nie można zgodzić się z tym, że obowiązek realizacji zadań związanych z organizacją wyborów Prezydenta RP mógł zostać nałożony na Pocztę Polską S.A. w drodze decyzji Prezesa Rady Ministrów. Przyjmując, że decyzja Prezesa RM może przyznawać Poczcie Polskiej S.A. kompetencje do realizacji zadań związanych z organizacją wyborów, pozwolilibyśmy na to, aby władza wykonawcza zmieniała akty ustawowe. Działanie takie jest nie do pogodzenia z zasadą demokratycznego państwa prawnego, zasadą trójpodziału władzy i zasadą legalizmu.

Podobne stanowisko zajął Wojewódzki Sąd Administracyjny w Warszawie, uznając, że decyzja Prezesa RM jest nieważna, bowiem wydana została bez podstawy prawnej i z rażącym naruszeniem prawa. Sąd wskazał, że: „to, że organ ten [Prezes RM – przyp. aut.] został upoważniony do wydawania poleceń w związku z przeciwdziałaniem COVID-19 nie jest bowiem równoznaczne z tym, ze został upoważniony do zmiany prawa obowiązującego przez określenie innej, niż PKW osoby, jako uprawnionej do jakichkolwiek czynności w zakresie przygotowania wyborów prezydenckich, w drodze decyzji administracyjnej” (wyrok WSA z 15 września 2020 r., sygn. akt: VII SA/Wa 992/20).

Prowadzi to do refleksji, że Poczta Polska S.A. nie była uprawniona do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej ani nie były na nią nałożone inne obowiązki przez organy administracji rządowej. Tym samym Poczta Polska S.A. nie była uprawniona do pozyskania danych osobowych ze spisów wyborców. Powyższe okoliczności umknęły jednak Prezesowi UODO, który zlekceważył je nawet w odpowiedzi na skargę.

Wojewódzki Sąd Administracyjny w Warszawie rozpatrując skargę naszego klienta, którą przygotowaliśmy dla niego w ramach internetowej poradni prawnej, uchylił zaskarżone postanowienie (sygn. akt: II SA/Wa 1649/20). Oznacza to, że Prezes UODO będzie musiał wszcząć postępowanie i przeprowadzić właściwe postępowanie dowodowe w sprawie. W naszej ocenie prawidłowo przeprowadzone postępowanie wyjaśniające prowadzi do jednego słusznego wniosku, że Poczta Polska S.A. nie legitymowała się podstawą do przetwarzania danych osobowych, a zatem w sprawie doszło do naruszenia przepisów o ochronie danych osobowych.

AKTUALIZACJA: Otrzymaliśmy pisemne uzasadnienie wyroku.

Będziemy monitorować tę sprawę. Nadal nie odpuszczamy też ze sprawami karnymi, które inicjowaliśmy wobec wójtów, burmistrzów i prezydentów miast, którzy przekazali dane wyborców Poczcie Polskiej S.A. (Wydane dane).

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1).

[2] Ustawa z dnia 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz.U.2020.695).

[3] Decyzja Prezesa Rady Ministrów z dnia 16 kwietnia 2018 roku, znak: BPRM.4820.2.3.2020