Biuletyn Informacji Publicznej RPO

• Przekazując w kwietniu 2020 r. dane obywateli Poczcie Polskiej na zapowiadane wybory korespondencyjne na Prezydenta RP,  Minister Cyfryzacji działał bez podstawy prawnej. Naruszył tym samym art. 7 i art. 51 Konstytucji
• Wojewódzki Sąd Administracyjny (IV SA/Wa 1817/20) uwzględnił skargę RPO, który wniósł o uznanie tej czynności ministra za bezskuteczną
• To kolejny zgodny z wnioskiem RPO wyrok WSA w sprawie zwiazanej z niedoszłymi wyborami korespondencyjnymi z 10 maja 2020 r.

22 kwietnia 2020 r. Minister Cyfryzacji udostępnił spółce Poczta Polska S.A. dane osobowe z rejestru PESEL dotyczące obywateli polskich. Jak wynika z wyjaśnień z MC, jakie otrzymał Rzecznik, dane obywateli zapisano na płycie DVD i zabezpieczone hasłem. Płytę przekazano osobie reprezentującej Pocztę Polską po zweryfikowaniu jej tożsamości. Hasło do danych zapisanych na płycie nie zostało przekazane razem z płytą lecz osobnym kanałem komunikacyjnym.

Przekazane dane obejmowały:

• numer PESEL,
• imię (imiona),
• nazwisko
• oraz w zależności od tego jakie dane osoba ma zarejestrowane w rejestrze PESEL – aktualny adres zameldowania na pobyt stały, a w przypadku jego braku ostatni adres zameldowania na pobyt stały, a także adres zameldowania na pobyt czasowy.

30 kwietnia 2020 r. RPO zwrócił uwagę ministrowi cyfryzacj Markowi Zagórskiemu, że nie miał podstawy prawnej, by przekazać te dane Poczcie Polskiej. Minister odpowiedział, że dostał z Poczty taki wniosek, a dane wydał na podstawie specustawy kowidowej (Tarczy Antykryzysowej 2.0). Na tej podstawie Prezes Rady Ministrów polecił Poczcie Polskiej zorganizowanie wyborów korespondencyjnych 10 maja 2020 r.

W skardze do WSA z 15 maja 2020 r. Rzecznik wskazał, że ustawa ta nie dawała podstaw do wydania spółce Poczta Polska płyty z danymi obywateli.

Ustawa, na którą powołał się minister, pozwalała realizować zadania związane z organizacją wyborów Prezydenta RP zapowiedzianych na 10 maja. Tyle że 20 kwietnia Poczta Polska nie organizowała tych wyborów. Przepisy, które na to pozwalały, weszły w życie dopiero 9 maja (prezydent podpisał je 8 maja).

Zatem decyzja premiera z 16 kwietnia 2020 r. była wydana z rażącym naruszeniem prawa.  RPO oddzielnie zaskarżył ją do WSA i wygrał we wrześniu 2020 r. (premier odwołuje się do NSA). Tym samym Poczta Polska nie miała kompetencji, by taką decyzję wykonać – zatem jej wniosek do Ministra Cyfryzacji nie miał prawnego znaczenia. Wynika z tego, że decyzja wydana na podstawie ustawy kowidowej była niewykonalna i jej niewykonalność ma charakter trwały.

Rozporządzenie RODO pozwala na przetwarzanie danych osobowych wyłącznie kiedy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze lub przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Tyle że w Polsce takiej podstawy prawnej nie było.

Nie można zaakceptować tezy, że na podstawie art. 99 ustawy Tarcza Antykryzysowa 2.0 Poczta Polska może sięgać po dowolne dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji administracji publicznej. Akceptacja tego przepisu jako samodzielnej podstawy przetwarzania danych osobowych doprowadzałaby do sytuacji, w której Poczta Polska (jako wyznaczony operator pocztowy) mógłby dowolnie agregować dane zebrane w różnych rejestrach, a jedynym wymogiem dla takiego działania byłoby złożenie wniosku w formie elektronicznej.

Sytuacja, w której operatorowi jest przyznana nieograniczona możliwość agregacji danych z rejestrów publicznych,  sprzeczna jest również z systemowym podejściem do ochrony danych osobowych przyjętym w Konstytucji. Jej art.. 47  zawiera gwarancje ochrony prywatności, a art. 51 odnosi się bezpośrednio do aspektów ochrony prywatności związanych z przetwarzaniem informacji o jednostce. Art. 99 Tarczy 2.0 nie wystarcza, bo nie wypełnia on wymogów, aby skutecznie ograniczyć prawa obywateli zapisane w Konstytucji.

26 lutego 2021 r. Wojewódzki Sąd Administracyjny w Warszawie - po rozpoznaniu na posiedzeniu niejawnym w trybie uproszczonym sprawy ze skargi RPO na czynność Ministra Cyfryzacji w przedmiocie udostępnienia danych osobowych z rejestru PESEL - stwierdził bezskuteczność tej czynności. Wyrok nie jest prawomocny – MC może się odwołać do NSA.

VII.501.119.2020