WSA w Warszawie uchylił decyzję Prezesa UODO o karze dla Poczty Polskiej

Kara w wysokości 27 mln zł nałożona przez Prezesa Urzędu Ochrony Danych Osobowych została w czwartek uchylona przez Wojewódzki Sąd Administracyjny w Warszawie. Sąd uznał, że Poczta Polska miała podstawę prawną do przetwarzania danych 30 mln polskich obywateli w celu organizacji korespondencyjnych wyborów na Prezydenta RP w 2020 roku. W chwili podejmowania tych czynności bowiem decyzja premiera, na której opierała swoje działania spółka, korzystała z domniemania prawidłowości – nawet jeśli później sądy administracyjne stwierdziły jej nieważność.

5 marca 2026 r. Wojewódzki Sąd Administracyjny w Warszawie wydał wyrok w sprawie II SA/Wa 837/25 ze skargi Poczty Polskiej na decyzję Prezesa UODO. WSA uznał, że skarga była zasadna i uchylił decyzję w zakresie, w jakim dotyczyła Poczty Polskiej.

Zdaniem sądu decyzja Prezesa Rady Ministrów z 16 kwietnia 2020 r. która zobowiązywała Pocztę Polską do podjęcia przygotowań do wyborów korespondencyjnych na Prezydenta RP wiązała spółkę do czasu stwierdzenia jej nieważności. To nastąpiło dopiero po czterech latach. W związku z tym nie można uznać, iż Poczta Polska przetwarzała dane osobowe bez podstawy prawnej, gdyż  pozostawała wówczas w obrocie prawnym decyzja premiera, która korzystała z domniemania legalności.

WSA zwrócił też uwagę, że nie wszystkie skutki wykonania takiej nieważnej decyzji są możliwe do odwrócenia. Do takich nieodwracalnych skutków należy proces przetwarzania danych osobowych, jak również upływ czasu.

WSA – Poczta nie mogła oceniać legalności decyzji premiera

Zdaniem Wojewódzkiego Sądu Administracyjnego, który rozpatrywał skargę Poczty Polskiej na decyzję Prezesa UODO, organ nadzorczy powinien zbadać w toku postępowania, czy w dniu podejmowania czynności przetwarzania Poczta Polska miała podstawy do ich dokonania w ramach wspomnianego polecenia Prezesa Rady Ministrów.

WSA uznał, że Poczta Polska, jako adresat tej decyzji premiera, nie mogła odmówić jej wykonania. Mogłoby to bowiem skutkować przymusowym jej wykonaniem w trybie egzekucji administracyjnej. Adresat mógł kwestionować taką decyzję tylko w trybie przewidzianym przez prawo, tj. poprzez zaskarżenie jej do sądu administracyjnego. Jednak – zdaniem Sądu – nawet to nie dawało podstaw do odmowy wykonania decyzji, gdyż korzysta ona z domniemania legalności i wiąże adresata aż do momentu jej prawomocnego uchylenia lub uznania za nieważną.

Zdaniem sądu, skoro w chwili przetwarzania danych osobowych w obrocie prawnym istniała decyzja, nakładająca na spółkę wyżej wymienione obowiązki, to rolą Prezesa UODO było dokonanie oceny, czy proces przetwarzania danych służył realizacji polecenia zawartego w decyzji premiera.

Historia sprawy

Cała sprawa ma swój początek w 2020 r., gdy w czasie pandemii COVID-19 trwały też przygotowania do przeprowadzenia wyborów na Prezydenta RP. W celu ograniczenia liczby zakażeń spowodowanych gromadzeniem się dużej liczby ludzi w lokalach wyborczych, planowano zorganizować je w formie korespondencyjnej. Wymagało to jednak zmiany ustawy, która jednak do kwietnia 2020 r. nie weszła w życie (wybory zaś planowano na 10 maja). W związku z tym 16 kwietnia 2020 r. Prezes Rady Ministrów wydał decyzję zobowiązującą Pocztę Polską do podjęcia działań w celu organizacji wyborów – co wymagało m.in. uzyskania danych osobowych 30 mln pełnoletnich obywateli zamieszkujących w Polsce.

Na podstawie tej decyzji 20 kwietnia 2020 r. Poczta Polska wystąpiła do Ministerstwa Cyfryzacji o przekazanie tych danych z bazy PESEL. Zostały one przekazane na płycie DVD dwa dni później. Ich przetwarzanie trwało miesiąc, jako że dane zostały zniszczone dopiero w dniach 15-22 maja, gdy było już wiadomo, że wybory nie odbędą się w planowanym terminie i formie. Przekazane dane obejmowały: numery PESEL, imiona i nazwiska, adresy zameldowania na pobyt stały, lub czasowy, oraz informacje o zarejestrowanym czasowym wyjeździe za granicę.

Rzecznik Praw Obywatelskich jeszcze 29 kwietnia 2020 r. złożył skargę do WSA w Warszawie na decyzję Prezesa Rady Ministrów z 16 kwietnia 2020 r. W wyniku tej skargi WSA wyrokiem z 15 września 2020 r. (VII SA/Wa 992/20) stwierdził, że zaskarżona decyzja nie tylko rażąco naruszała prawo, ale została również wydana bez podstawy prawnej (art. 156 § 1 pkt. 2 k.p.a.). Wyrok ten podtrzymał NSA wyrokiem z 28 czerwca 2024 r. (III OSK 4524/21).

Decyzja UODO o karze dla Poczty Polskiej

Wobec uznania przez sądy administracyjne, że przetwarzanie danych 30 mln Polaków oparte było na nieważnej decyzji, a także w związku z licznymi skargami w tej sprawie napływającymi do Urzędu, Prezes UODO wszczął z urzędu postępowanie administracyjne w celu oceny prawidłowości działań Poczty Polskiej i Ministerstwa Cyfryzacji. Postępowanie to zostało zakończone decyzją wydaną 17 marca 2025 r., w której Prezes UODO uznał, że naruszenia przypisywane Poczcie Polskiej miały poważny charakter i godziły w podstawowe zasady przetwarzania danych osobowych.

Dodatkowymi okolicznościami obciążającymi był zakres przetwarzanych danych i znaczna liczba osób, których dotyczyło to naruszenie – obejmowało ono bowiem prawie 80 proc. populacji Polski. Bezprawne przetwarzanie danych naraziło ich na szkody niematerialne, takie jak w szczególności obawa czy niepewność wynikająca utraty kontroli nad swoimi danymi osobowymi. Organ zaznaczył też, że Poczta Polska SA, jako spółka Skarbu Państwa, powinna przy realizowaniu powierzonych jej zadań publicznych wykazać się najwyższą starannością oraz szanować obowiązujące przepisy prawa, w tym te o ochronie danych osobowych. Zdaniem Prezesa UODO, po otrzymaniu decyzji premiera z 16 kwietnia 2020 r., spółka, powinna przeprowadzić dogłębną analizę, czy daje ona  podstawę do przetwarzania danych z bazy PESEL.

Także działania Ministerstwa Cyfryzacji zostały uznane przez Prezesa UODO za niezgodne z prawem. Wobec czego organ nadzorczy nałożył na Ministra Cyfryzacji karę w wysokości 100 tys. zł – najwyższą możliwą dla podmiotów publicznych, którą organ ten zapłacił.

Wyrok WSA z 5 marca 2026 r. uchylający decyzję Prezesa UODO wydaną wobec Poczty Polskiej jest nieprawomocny. Organ nadzorczy może złożyć skargę kasacyjną do NSA.