Jak informuje biuro Rzecznika Praw Obywatelskich, 26 lutego 2021 r. Wojewódzki Sąd Administracyjny (WSA) uwzględnił skargę RPO dotyczącą działań ówczesnego ministra cyfryzacji Marka Zagórskiego. Chodzi o udostępnienie spółce Poczta Polska S.A. danych osobowych z rejestru PESEL na zapowiadane wybory korespondencyjne na Prezydenta RP.

Zdaniem WSA minister nie miał podstawy prawnej do takiego działania. Wyrok nie jest prawomocny – resort cyfryzacji może się odwołać do Naczelnego Sądu Administracyjnego.

Bez żadnej podstawy

22 kwietnia 2020 r. ówczesny Minister Cyfryzacji udostępnił Poczcie Polskiej dane z bazy PESEL. Obejmowały one:

• numer PESEL;
• imię i nazwisko
• oraz w zależności od tego jakie dane osoba ma zarejestrowane w rejestrze PESEL – aktualny adres zameldowania na pobyt stały, a w przypadku jego braku ostatni adres zameldowania na pobyt stały, a także adres zameldowania na pobyt czasowy.

Jak ustalił RPO, powyższe dane zapisano na płycie DVD i zabezpieczone hasłem. Resort cyfryzacji przekazał płytę osobie reprezentującej Pocztę Polską po zweryfikowaniu jej tożsamości. Hasło do danych zapisanych na płycie nie zostało przekazane razem z płytą lecz osobnym kanałem komunikacyjnym.

Minister Zagórski wyjaśniał, że o te dane zwróciła się do niego Poczta Polska, a podstawą do ich wydania była tzw. specustawa cowidowa. To właśnie na podstawie tej ustawy premier Mateusz Morawiecki polecił Poczcie Polskiej zorganizowanie wyborów korespondencyjnych w maju 2020 roku (które ostatecznie się nie odbyły).

RPO zaskarżył decyzję ministra. Rzecznik wskazał, że ustawa covidowa nie dawała podstaw do wydania spółce Poczta Polska płyty z danymi obywateli. Dlaczego?

Ustawodawca zobligował ministra do przekazania – w terminie dwóch dni od dnia złożenia wniosku przez operatora pocztowego – danych z rejestru PESEL, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów na prezydenta RP.

Tyle, że w tym czasie Poczta Polska nie organizowała jeszcze żadnych wyborów, bo ustawa o wyborach weszła w życie dopiero 9 maja, czyli 17 dni po przekazaniu danych przez ministra.

„Rozporządzenie RODO pozwala na przetwarzanie danych osobowych wyłącznie kiedy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze lub przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Tyle że w Polsce takiej podstawy prawnej nie było” – uzasadniał swoją skargę RPO.

Inne problemy z przekazaniem bazy

O bezprawnym działaniu ministra alarmowała w kwietniu 2020 roku Fundacja Panoptykon. Organizacja – oprócz braku podstawy prawnej – wskazywała szereg innych nieprawidłowości i niejasności dotyczących przekazania bazy danych Poczcie Polskiej:

• „Rejestr PESEL zawiera m.in. imię i nazwisko, numer PESEL oraz adres zameldowania. Zgodnie z Kodeksem wyborczym gminy prowadzą natomiast rejestry wyborców (na podstawie których sporządza się spisy wyborców) w oparciu o miejsce zamieszkania. To istotna różnica: osoba zameldowana np. w domu rodzinnym może być dopisana do spisu wyborców w mieście, w którym studiuje. Dlatego wyłącznie na podstawie danych zawartych w rejestrze PESEL nie da się przygotować wyborów korespondencyjnych zapewniających osobom zamieszkującym poza adresem stałego zameldowania możliwość wzięcia udziału w głosowaniu”;
• „Kolejnym kluczowym elementem przetwarzania danych jest analiza ryzyka, czyli odpowiedź na pytanie, co może pójść nie tak. Jak przechowywane są dane? Kto ma do nich dostęp i jak są zabezpieczone? Często przywoływane zagrożenia to choćby wyciek danych, naruszenie prywatności czy udostępnienie danych osobom niepowołanym. W tym wypadku ryzyko wiąże się z naruszeniem praw wyborczych obywateli i obywatelek, od pozbawienia kogoś prawa do głosu po umożliwienie osobie trzeciej oddania głosu w czyimś imieniu”;

„Poczta Polska – na polecenie Premiera – przetwarza dane osobowe na podstawie prawnej, której jeszcze nie ma i w kompletnym zaprzeczeniu zasad i procedur przewidzianych prawem, a Prezes UODO wydaje stanowisko, w którym przyklepuje jej bezprawne działania” – alarmował Panoptykon.

Działania ministra Zagórskiego skrytykowali też eksperci z Biura Analiz Sejmowych, którzy przekazanie danych uznali za niedopuszczalne „w obowiązującym porządku prawnym”. Sprawą przekazania danych zajęła się także 8 maja 2020 Europejska Rada Ochrony Danych.