Decyzja UODO: Kary dla Poczty Polskiej i Ministra Cyfryzacji za naruszenie RODO w wyborach korespondencyjnych 2020

W jednym z naszych wcześniejszych wpisów („Wybory korespondencyjne, Poczta Polska a RODO”) szczegółowo omówiliśmy kontrowersje związane z przekazaniem danych obywateli w ramach organizacji wyborów korespondencyjnych w 2020 roku. Dziś możemy już przeanalizować decyzję UODO, która potwierdza, że doszło do poważnego naruszenia przepisów o ochronie danych osobowych i nakłada na Pocztę Polską oraz Ministra Cyfryzacji surowe kary finansowe

Decyzja Prezesa Urzędu Ochrony Danych Osobowych (UODO) z 17 marca 2025 r. (DKN.5131.1.2025) dotyczy naruszenia przepisów RODO przez Pocztę Polską oraz Ministra Cyfryzacji w związku z organizacją wyborów korespondencyjnych na urząd Prezydenta RP w 2020 r. Urząd uznał, że dane osobowe obywateli były przetwarzane bez odpowiedniej podstawy prawnej, co skutkowało nałożeniem surowych kar administracyjnych.

Tło sprawy – wybory korespondencyjne 2020

W związku z pandemią COVID-19 w 2020 roku rząd zaplanował przeprowadzenie wyborów prezydenckich w trybie korespondencyjnym. W tym celu 16 kwietnia 2020 r. Prezes Rady Ministrów wydał decyzję administracyjną, na mocy której zobowiązał Pocztę Polską do podjęcia działań organizacyjnych w zakresie tych wyborów.

W związku z tym:

• 20 kwietnia 2020 r. Poczta Polska zwróciła się do Ministra Cyfryzacji o przekazanie danych obywateli z rejestru PESEL.
• 22 kwietnia 2020 r. Minister Cyfryzacji udostępnił Poczcie Polskiej dane osobowe około 30 milionów Polaków, obejmujące m.in. imię, nazwisko, numer PESEL oraz adres zamieszkania.

Decyzja Prezesa Rady Ministrów stanowiła podstawę prawną dla tego przetwarzania, jednak późniejsze orzeczenia sądowe zakwestionowały jej ważność, co stało się kluczowym argumentem dla nałożenia kary administracyjnej przez Prezesa UODO.

Kluczowe ustalenia UODO

Po przeprowadzeniu postępowania administracyjnego UODO uznał, że przetwarzanie danych obywateli przez Pocztę Polską i Ministra Cyfryzacji odbyło się bez odpowiedniej podstawy prawnej, naruszając tym samym art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 RODO.

Decyzja Prezesa UODO (DKN.5131.1.2025) jasno wskazuje, że zarówno Poczta Polska, jak i Minister Cyfryzacji, przetwarzali dane osobowe bez podstawy prawnej. Kluczowe argumenty, na których oparto rozstrzygnięcie, to:

• Brak podstawy prawnej w decyzji Premiera z 16 kwietnia 2020 r.
  Zgodnie z ustaleniami UODO, decyzja Prezesa Rady Ministrów, nakazująca przekazanie danych, nie mogła stanowić podstawy prawnej przetwarzania. Potwierdziły to późniejsze wyroki Wojewódzkiego Sądu Administracyjnego oraz Naczelnego Sądu Administracyjnego, które uznały decyzję za nieważną.
  

• Przetwarzanie danych odbyło się bez zgody obywateli i bez spełnienia wymogów RODO
  UODO uznał, że przekazanie danych osobowych około 30 milionów obywateli naruszyło art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 RODO, ponieważ:
  • Nie istniała przesłanka legalizująca przetwarzanie danych.
  • Obywatele nie zostali poinformowani o operacjach na ich danych osobowych.

• Brak poszanowania zasady minimalizacji danych
  Minister Cyfryzacji przekazał Poczcie Polskiej pełne zestawy danych, obejmujące m.in. imię, nazwisko, PESEL i adres zamieszkania. Zasada minimalizacji danych (art. 5 ust. 1 lit. c) RODO) wymaga, aby przetwarzane były wyłącznie te dane, które są absolutnie niezbędne – a w tej sytuacji nie wykazano takiej konieczności.

Nałożone kary i ich uzasadnienie

Za powyższe naruszenia UODO nałożył kary administracyjne:

• Poczta Polska – 27 milionów złotych
  • Jako administrator danych, Poczta Polska była odpowiedzialna za legalność przetwarzania informacji o obywatelach.
  • Kara jest wysoka, ponieważ naruszenie dotyczyło milionów osób i obejmowało wrażliwe dane.
    

• Minister Cyfryzacji – 100 tysięcy złotych
  • Kara dla Ministra Cyfryzacji została ograniczona do maksymalnej wysokości przewidzianej dla sektora publicznego.
  • Urząd uznał, że Ministerstwo nie dołożyło należytej staranności w ocenie legalności przekazania danych.

UODO podkreślił, że wyższa kara dla Poczty Polskiej wynika z jej czynnej roli w przetwarzaniu danych, podczas gdy Minister Cyfryzacji był w tej sprawie bardziej „dostawcą” informacji.

Znaczenie decyzji i jej konsekwencje

⚖ Decyzja UODO stanowi istotny precedens w zakresie ochrony danych osobowych w Polsce.

Decyzja ta ma istotne konsekwencje nie tylko dla ukaranych podmiotów, ale również dla całej administracji publicznej i innych podmiotów przetwarzających dane osobowe:

• UODO pokazał, że prawo ochrony danych obowiązuje także instytucje publiczne – nie ma „immunitetu” dla urzędów i spółek państwowych.
• Decyzja potwierdza konieczność ścisłego przestrzegania RODO, nawet w sytuacjach nadzwyczajnych – pandemia i potrzeba organizacji wyborów nie zwalniały z obowiązku legalnego przetwarzania danych.
•  To sygnał dla innych instytucji, że naruszenia RODO mogą skutkować wysokimi sankcjami – także wtedy, gdy decyzje administracyjne czy polityczne wydają się uzasadnione interesem publicznym.

Decyzja UODO w sprawie DKN.5131.1.2025 jest przełomowa, ponieważ potwierdza, że:

• Państwo nie może dowolnie przetwarzać danych obywateli bez podstawy prawnej.
• Obywatele mają prawo do ochrony swoich danych, nawet jeśli władza działa w nadzwyczajnych okolicznościach.
• Podmioty publiczne mogą ponosić odpowiedzialność finansową za naruszenia RODO.

To ważne ostrzeżenie dla instytucji rządowych, że RODO obowiązuje wszystkich, a zasada legalności przetwarzania danych nie może być ignorowana.