Prawnik z Fundacji Panoptykon pozwał Pocztę Polską za bezprawne przetwarzanie jego danych z rejestru PESEL. To precedens, bo zamiast trybu administracyjnego wybrano sądowy.
Chodzi o prowadzone przez Pocztę Polską przygotowania do przeprowadzenia wyborów korespondencyjnych. Choć ostatecznie do nich nie doszło, to operator w ramach prowadzonych przygotowań próbował uzyskać spisy wyborców. To wówczas rozesłał niepodpisane e-maile, w których zażądał od wójtów, burmistrzów i prezydentów przekazania tych danych. Ponieważ spora część władz samorządowych odmówiła, wystąpił do Ministerstwa Cyfryzacji o informacje z bazy PESEL. I je otrzymał. Bezprawne przetwarzanie tych właśnie danych jest przedmiotem pozwu skierowanego przez Wojciecha Klickiego, prawnika Fundacji Panoptykon. Choć jego zastrzeżenia budzi zarówno decyzja ministra, który udostępnił bazę, jak i premiera, który wydał polecenie przygotowania wyborów, to pozwanym jest Poczta Polska.
– Uznaliśmy, że to ona w sposób najbardziej rażący naruszyła zasady ochrony danych. Celem pozwu jest pokazanie, że działała w sposób nielegalny, nie mając jakiejkolwiek podstawy do przetwarzania danych obywateli – mówi Wojciech Klicki.
W swym pozwie żąda od PP przeprosin za bezprawne przetwarzanie jego danych oraz przyznania, że odbywało się to bez podstawy prawnej. Dodatkowo chce również zasądzenia symbolicznego zadośćuczynienia w kwocie tysiąca złotych za naruszenie RODO.
Bez podstawy prawnej?
Wojciech Klicki uważa, że PP naruszyła prawo do prywatności, przetwarzając dane bez podstawy prawnej. Operator odpiera te zarzuty.
– Dane przekazane przez MC były potrzebne do przygotowania procesu logistycznego (ekspedycyjno-rozdzielczego) na potrzeby wywiązania się przez naszą spółkę z zobowiązania nałożonego przez prezesa Rady Ministrów w drodze decyzji z 16 kwietnia 2020 r. Podstawą prawną pozyskania danych jest w tym przypadku art. 99 ustawy z 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz.U. z 2020 r. poz. 695) oraz wspomniana decyzja prezesa RM. Nakładała ona na nas obowiązek podjęcia czynności niezbędnych do – co ważne podkreślenia – wyłącznie przygotowania udziału naszej spółki w organizacji wyborów powszechnych na prezydenta – przekonuje Justyna Siwek, rzeczniczka poczty. I dodaje, że pozyskana baza danych została już trwale usunięta.
Wskazany przez nią art. 99 tarczy antykryzysowej stanowi, że operator wyznaczony, po złożeniu przez siebie wniosku, otrzymuje dane z rejestru PESEL, jeśli są one potrzebne do „realizacji zadań związanych z organizacją wyborów prezydenta” bądź „w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej”. Są to więc dwie odrębne przesłanki prawne. Pierwsza dotyczy organizacji wyborów. Problem w tym, że ustawa z 6 kwietnia 2020 r. o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta RP zarządzonych w 2020 r. (Dz.U. z 2020 r. poz. 979 ze zm.) weszła w życie dopiero 9 maja, a więc kilkanaście dni po uzyskaniu danych z rejestru PESEL. Nie mogła więc stanowić podstawy prawnej.
Dlatego też PP powołuje się na drugą z przesłanek, czyli wykonywanie „innych obowiązków nałożonych przez organy administracji rządowej”. Zdaniem Wojciecha Klickiego ona również nie wchodziła jednak w grę. Nie było bowiem podstawy prawnej do nałożenia na operatora obowiązków niemających związku z wyborami prezydenckimi, do realizacji których konieczne byłoby gromadzenie danych osobowych wszystkich pełnoletnich obywateli mieszkających w Polsce.
– W demokratycznym państwie nie może być tak, że informacje o obywatelach są przekazywane po prostu na polecenie premiera. Podstawa prawna musi być określona w ustawie, co wynika nie tylko z RODO, lecz także wprost z art. 51 konstytucji. Ktoś powie, że to tylko formalność, którą można pominąć w czasie pandemii. Dla mnie jednak jest to fundamentalna zasada, choćby dlatego, że oddanie takiej prerogatywy w ręce premiera wyłącza z procesu legislacyjnego parlament i prezydenta – przekonuje Wojciech Klicki.
– Jeśli dziś zgodzimy się na to, by prawa obywateli były ograniczane na podstawie polecenia premiera, to doprowadzimy do nadzwyczaj niebezpiecznego precedensu. Kierując nasz pozew, chcemy postawić temu tamę – dodaje.
PP uważa, że była związana poleceniem premiera. Podkreśla przy tym, że decyzja podlegała natychmiastowemu wykonaniu, a zgodnie z zawartym w niej pouczeniem operatorowi nie przysługiwał środek odwoławczy.
Nowa ścieżka prawna
Proces będzie precedensowy nie tylko ze względu na przedmiot sporu, lecz także wybraną ścieżkę prawną. Zazwyczaj w sprawach o naruszenie przepisów RODO kierowana jest skarga do prezesa Urzędu Ochrony Danych Osobowych, a ewentualnie później sprawa trafia do sądu administracyjnego. Wojciech Klicki postanowił skorzystać z innej możliwości, jaką daje RODO – pozwu wnoszonego do sądu powszechnego.
– RODO wprowadziło alternatywne wobec administracyjnej drogi sądowe środki ochrony prawa do ochrony danych osobowych. Powództwo sądowe może złożyć każda osoba, która uważa, że naruszono jej uprawnienia określone w RODO. W Polsce dotychczas nie korzystano z tej drogi, a umożliwia ona niezależną sądową kontrolę przestrzegania przepisów o ochronie danych osobowych w indywidualnych sprawach przetwarzania danych osobowych, a w przypadku stwierdzenia ich naruszenia również zasądzenie odszkodowania lub zadośćuczynienia – wyjaśnia dr hab. Grzegorz Sibiga z Instytutu Nauk Prawnych PAN.
Zwraca jednocześnie uwagę, że polskie przepisy mocno osłabiają rolę sądu względem prezesa UODO.
– Sąd jest związany ustaleniami prezesa UODO w jego decyzjach co do stwierdzenia naruszenia przepisów o ochronie danych osobowych, a wcześniej musi zawiesić postępowanie, jeśli w sprawie tego samego naruszenia postępowanie prowadzi prezes. Moim zdaniem to rozwiązanie narusza konstytucyjne prawo do sądu, umożliwiając zablokowanie jego działania – zauważa prawnik.
Mówiąc wprost – jeśli prezes UODO rozpocznie własne postępowanie w sprawie potencjalnego naruszenia prawa przez PP, to sąd będzie musiał zawiesić proces. Zapytaliśmy UODO, czy postępowanie takie jest prowadzone, ale nie otrzymaliśmy jednoznacznej odpowiedzi.
– Wpłynęło ok. 200 pytań i skarg dotyczących przekazania danych PP. Każda z nich jest rozpatrywana indywidualnie – wyjaśnia Adam Sanocki, rzecznik prasowy UODO.
Wcześniej na stronach tego organu ukazało się stanowisko uznające przekazanie danych PP za zgodne z prawem. UODO przywołał w nim art. 6 ust. 1 lit. c RODO mówiący o konieczności wypełnienia obowiązku prawnego ciążącego na administratorze. Obowiązek ten został nałożony decyzją premiera, która z kolei wynikała z art. 99 tarczy antykryzysowej.
Wojciecha Klickiego reprezentuje w tej sprawie pro bono kancelaria Lubasz i Wspólnicy.