Biuletyn Informacji Publicznej RPO

• Przekazując w kwietniu 2020 r. dane obywateli Poczcie Polskiej na zapowiadane wybory korespondencyjne na Prezydenta RP,  Minister Cyfryzacji działał bez podstawy prawnej. Naruszył tym samym art. 7 i art. 51 Konstytucji
• Wojewódzki Sąd Administracyjny (IV SA/Wa 1817/20) uwzględnił skargę RPO, który wniósł o uznanie tej czynności ministra za bezskuteczną
• To kolejny zgodny z wnioskiem RPO wyrok WSA w sprawie związanej z niedoszłymi wyborami korespondencyjnymi 10 maja 2020 r.
• AKTUALIZACJA 14.03.2024: 13 marca 2024 r. Naczelny Sąd Administracyjny (sygn. akt II OSK 1630/21) oddalił skargę kasacyjną Poczty Polskiej S.A. i częściowo umorzył postępowanie z uwagi na wycofanie skargi przez Ministra Cyfryzacji. Tym samym wyrok WSA stał się prawomocny.

22 kwietnia 2020 r. Minister Cyfryzacji udostępnił spółce Poczta Polska S.A. dane osobowe z rejestru PESEL dotyczące obywateli polskich. Jak wynika z wyjaśnień z MC, jakie otrzymał Rzecznik, dane obywateli zapisano na płycie DVD i zabezpieczone hasłem. Płytę przekazano osobie reprezentującej Pocztę Polską po zweryfikowaniu jej tożsamości. Hasło do danych zapisanych na płycie nie zostało przekazane razem z płytą lecz osobnym kanałem komunikacyjnym.

Przekazane dane obejmowały:

• numer PESEL,
• imię (imiona),
• nazwisko
• oraz w zależności od tego jakie dane osoba ma zarejestrowane w rejestrze PESEL – aktualny adres zameldowania na pobyt stały, a w przypadku jego braku ostatni adres zameldowania na pobyt stały, a także adres zameldowania na pobyt czasowy.

30 kwietnia 2020 r. RPO zwrócił uwagę ministrowi cyfryzacj Markowi Zagórskiemu, że nie miał podstawy prawnej, by przekazać te dane Poczcie Polskiej. Minister odpowiedział, że dostał z Poczty taki wniosek, a dane wydał na podstawie specustawy kowidowej (Tarczy Antykryzysowej 2.0). Na tej podstawie Prezes Rady Ministrów polecił Poczcie Polskiej zorganizowanie wyborów korespondencyjnych 10 maja 2020 r.

W skardze do WSA z 15 maja 2020 r. Rzecznik wskazał, że ustawa ta nie dawała podstaw do wydania spółce Poczta Polska płyty z danymi obywateli.

Ustawa, na którą powołał się minister, pozwalała realizować zadania związane z organizacją wyborów Prezydenta RP zapowiedzianych na 10 maja. Tyle że 20 kwietnia Poczta Polska nie organizowała tych wyborów. Przepisy, które na to pozwalały, weszły w życie dopiero 9 maja (prezydent podpisał je 8 maja).

Zatem decyzja premiera z 16 kwietnia 2020 r. była wydana z rażącym naruszeniem prawa.  RPO oddzielnie zaskarżył ją do WSA i wygrał we wrześniu 2020 r. (premier odwołuje się do NSA). Tym samym Poczta Polska nie miała kompetencji, by taką decyzję wykonać – zatem jej wniosek do Ministra Cyfryzacji nie miał prawnego znaczenia. Wynika z tego, że decyzja wydana na podstawie ustawy kowidowej była niewykonalna i jej niewykonalność ma charakter trwały.

Rozporządzenie RODO pozwala na przetwarzanie danych osobowych wyłącznie kiedy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze lub przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Tyle że w Polsce takiej podstawy prawnej nie było.

Nie można zaakceptować tezy, że na podstawie art. 99 ustawy Tarcza Antykryzysowa 2.0 Poczta Polska może sięgać po dowolne dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji administracji publicznej. Akceptacja tego przepisu jako samodzielnej podstawy przetwarzania danych osobowych doprowadzałaby do sytuacji, w której Poczta Polska (jako wyznaczony operator pocztowy) mógłby dowolnie agregować dane zebrane w różnych rejestrach, a jedynym wymogiem dla takiego działania byłoby złożenie wniosku w formie elektronicznej.

Sytuacja, w której operatorowi jest przyznana nieograniczona możliwość agregacji danych z rejestrów publicznych,  sprzeczna jest również z systemowym podejściem do ochrony danych osobowych przyjętym w Konstytucji. Jej art.. 47  zawiera gwarancje ochrony prywatności, a art. 51 odnosi się bezpośrednio do aspektów ochrony prywatności związanych z przetwarzaniem informacji o jednostce. Art. 99 Tarczy 2.0 nie wystarcza, bo nie wypełnia on wymogów, aby skutecznie ograniczyć prawa obywateli zapisane w Konstytucji.

26 lutego 2021 r. Wojewódzki Sąd Administracyjny w Warszawie - po rozpoznaniu na posiedzeniu niejawnym w trybie uproszczonym sprawy ze skargi RPO na czynność Ministra Cyfryzacji w przedmiocie udostępnienia danych osobowych z rejestru PESEL - stwierdził bezskuteczność tej czynności. Wyrok nie jest prawomocny – MC może się odwołać do NSA.

Stanowisko RPO dla NSA

Przedstawiając w czerwcu 2021 r. stanowisko w odpowiedzi na skargi kasacyjne Ministra Cyfryzacji oraz Poczty Polskiej SA, RPO podkreślał, że WSA właściwie zastosował prawo w celu ochrony prawa do prywatności i danych osobowych obywateli. Jak potwierdził WSA, brak było podstawy ustawowej do udostępnienia danych osobowych obywateli z rejestru PESEL uczestnikowi postępowania w związku z organizacją wyborów Prezydenta RP.

Rzecznik wskazywał, że Konstytucja zastrzega szczególny reżim regulacyjny w odniesieniu do ochrony danych osobowych. Art. 51 ust. 2 Konstytucji zakazuje władzy publicznej przetwarzania danych, informacji o obywatelach innych niż niezbędne w demokratycznym państwie prawnym. Art. 51 ust. 5 Konstytucji wskazuje z kolei, że zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa.

Odnosząc się do zarzutów skarżących kasacyjnie, dotyczących błędnej wykładni art. 99 ustawy z dnia 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2, Rzecznik podkreślał, że WSA prawidłowo uznał, iż na podstawie tego przepisu nie można zrekonstruować normy postępowania bez odwołania się do innych norm ustawowych odnoszących się do organizacji wyborów. Sąd podkreślał przy tym, że administrator rejestru PESEL był zobowiązany do wyczerpującego zbadania warunków i zakresu dopuszczalnego przetwarzania danych osobowych w tej sprawie.

W ocenie Rzecznika WSA prawidłowo ustalił, że:

• w dacie dokonania zaskarżonej czynności przez organ (tj. 22 kwietnia 2020 r.) uczestnikowi nie przysługiwały kompetencje w zakresie organizacji wyborów Prezydenta RP, do wykonania których potrzebne były udostępnione przez Ministra dane,
• nie spoczywały też na uczestniku inne obowiązki, które uzasadniałyby dysponowane danymi z rejestru,
• w dacie dokonania zaskarżonej czynności ustawodawstwo nie przyznawało Poczcie Polskiej kompetencji w zakresie przeprowadzenia wyborów prezydenckich, którymi można by uzasadniać konieczność udostępniania danych z rejestru PESEL. Tych kompetencji nie można było w szczególności wywodzić z ustawy z dnia 6 kwietnia 2020 r. o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta RP zarządzonych w 2020 r. Ustawa ta nie obowiązywała bowiem w dacie dokonania czynności. Ponadto nie istniała podstawa prawna przeprowadzenia wyborów prezydenckich w trybie korespondencyjnym. Na mocy art. 102 pkt 4 ustawy o szczególnych instrumentach wsparcia wyłączony ze stosowania został rozdział 6a kodeksu wyborczego, w którym przewidziano szczególne prawo niektórych wyborców do głosowania korespondencyjnego. Zgodnie zaś z przepisami Kodeksu wyborczego - w brzmieniu obowiązującym w dniu dokonania zaskarżonej czynności, tj. art. 157 § 1 i art. 187 § 1 i 2 - wszystkie czynności organizacyjne zmierzające do przeprowadzenia wyborów zastrzeżono do kompetencji urzędników wyborczych oraz komisji wyborczych. Operator pocztowy pełnił w tym zakresie wyłącznie zadania techniczne, związane z dostarczeniem zaadresowanej już wcześniej przesyłki, pozostające w granicach realizacji jego zwykłych usług pocztowych,
• odnosząc się do decyzji Prezesa Rady Ministrów z dnia 16 kwietnia 2020 r., polecającej PP SA realizację działań polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta RP w 2020 r. w trybie korespondencyjnym, sąd uznał, że nie mogła ona stanowić samoistnej podstawy do wywodzenia kompetencji do realizacji zadań związanych z przeprowadzaniem wyborów,
• nie zostały również spełnione wymagania przewidziane w przepisach regulujących udostępnianie danych z rejestru PESEL na zasadach ogólnych, tj. w ustawie o ewidencji ludności.

VII.501.119.2020