Sąd uchylił karę dla Poczty Polskiej za dane 30 mln obywateli. WSA podważa decyzję UODO

Wojewódzki Sąd Administracyjny w Warszawie uchylił decyzję Urzędu Ochrony Danych Osobowych, który nałożył na Pocztę Polską karę 27 mln zł za przetwarzanie danych około 30 mln obywateli z rejestru PESEL. Sprawa dotyczy przygotowań do wyborów korespondencyjnych w 2020 roku. Sąd uznał, że spółka działała na podstawie decyzji premiera, która w momencie wykonywania była dla niej wiążąca. Wyrok nie jest prawomocny, a sprawa może trafić jeszcze do Naczelnego Sądu Administracyjnego.

WSA uchylił karę UODO dla Poczty Polskiej

Wojewódzki Sąd Administracyjny w Warszawie uchylił decyzję Prezesa Urzędu Ochrony Danych Osobowych dotyczącą kary 27 mln zł nałożonej na Pocztę Polską. Sankcja została nałożona w marcu 2025 roku w związku z przetwarzaniem danych osobowych około 30 mln obywateli w trakcie przygotowań do wyborów korespondencyjnych w 2020 roku.

UODO uznał wtedy, że spółka przetwarzała dane bez odpowiedniej podstawy prawnej. Skala operacji była bardzo duża. Dane obejmowały niemal 80 proc. populacji Polski. Wśród przetwarzanych informacji znajdowały się numery PESEL, imiona i nazwiska, adresy zameldowania oraz informacje o ewentualnym wyjeździe za granicę.

Sąd administracyjny ocenił jednak, że w momencie podejmowania działań przez spółkę obowiązywała decyzja Prezesa Rady Ministrów z 16 kwietnia 2020 roku. Zobowiązywała ona Pocztę Polską do rozpoczęcia przygotowań organizacyjnych do wyborów korespondencyjnych. Według sądu decyzja ta korzystała z domniemania legalności i była dla spółki wiążąca do czasu formalnego stwierdzenia jej nieważności.

Słuchaj podcastu „E-commerce bez tajemnic”

Dane 30 mln obywateli z bazy PESEL

Sprawa dotyczy wydarzeń z pierwszej fazy pandemii COVID-19, gdy rząd planował przeprowadzenie wyborów prezydenckich w formule korespondencyjnej. W praktyce oznaczało to konieczność przygotowania infrastruktury do obsługi głosowania w całym kraju. 20 kwietnia 2020 roku Poczta Polska zwróciła się do Ministerstwa Cyfryzacji o przekazanie danych z rejestru PESEL. Dwa dni później dane zostały przekazane na nośniku DVD. Obejmowały one informacje dotyczące około 30 mln pełnoletnich obywateli.

Według informacji przedstawionych w toku postępowania dane były przetwarzane przez około miesiąc. Po decyzji o zmianie terminu wyborów oraz rezygnacji z planowanej formy głosowania zostały zniszczone. Proces niszczenia danych odbywał się między 15 a 22 maja 2020 roku. W późniejszych latach decyzja premiera została zakwestionowana przez Rzecznika Praw Obywatelskich. W 2020 roku WSA w Warszawie uznał ją za wydaną bez podstawy prawnej. W 2024 roku stanowisko to podtrzymał Naczelny Sąd Administracyjny.

Dlaczego sąd uznał działania Poczty Polskiej za legalne

W najnowszym wyroku sąd administracyjny skupił się na ocenie sytuacji prawnej spółki w momencie podejmowania działań. Zdaniem sądu adresat decyzji administracyjnej nie ma kompetencji do samodzielnej oceny jej legalności. Jeżeli decyzja administracyjna funkcjonuje w obrocie prawnym, podmiot zobowiązany musi ją wykonać. Odmowa realizacji mogłaby prowadzić do zastosowania środków egzekucyjnych. Z tego powodu sąd uznał, że Poczta Polska nie mogła zignorować decyzji premiera.

WSA zwrócił także uwagę na aspekt praktyczny. Nawet jeśli decyzja administracyjna zostanie po latach uznana za nieważną, nie wszystkie skutki jej wykonania mogą zostać cofnięte. Dotyczy to między innymi procesu przetwarzania danych oraz upływu czasu. W konsekwencji sąd uchylił decyzję UODO w części dotyczącej Poczty Polskiej. Wyrok zapadł 5 marca 2026 roku.

Co oznacza wyrok dla ochrony danych i firm przetwarzających dane

Wyrok nie jest prawomocny. Prezes Urzędu Ochrony Danych Osobowych może jeszcze złożyć skargę kasacyjną do Naczelnego Sądu Administracyjnego. Oznacza to, że ostateczne rozstrzygnięcie sporu może zapaść dopiero po kolejnym etapie postępowania sądowego.

Sprawa ma jednak znaczenie szersze niż tylko odpowiedzialność jednego podmiotu publicznego. Dotyka relacji między decyzjami administracyjnymi a obowiązkami wynikającymi z przepisów o ochronie danych osobowych.

Dla przedsiębiorców działających w e-commerce jest to ważny sygnał dotyczący odpowiedzialności za przetwarzanie danych. W praktyce pokazuje, jak istotne jest jednoznaczne określenie podstawy prawnej operacji na danych oraz dokumentowanie decyzji biznesowych i administracyjnych.

Przeczytaj również: System SENT dla odzieży i obuwia. Izba Gospodarki Elektronicznej apeluje o przesunięcie terminu nowych obowiązków

FAQ. Pytania użytkowników o karę UODO dla Poczty Polskiej

• Dlaczego UODO nałożył karę na Pocztę Polską?
  Urząd Ochrony Danych Osobowych uznał, że spółka przetwarzała dane osobowe około 30 mln obywateli bez odpowiedniej podstawy prawnej podczas przygotowań do wyborów korespondencyjnych w 2020 roku.
• Jakie dane zostały przekazane Poczcie Polskiej?
  Dane pochodziły z rejestru PESEL i obejmowały między innymi numer PESEL, imię i nazwisko, adres zameldowania oraz informacje o czasowym wyjeździe za granicę.
• Dlaczego sąd uchylił karę UODO?
  WSA uznał, że Poczta Polska wykonywała decyzję premiera z 16 kwietnia 2020 roku. W momencie jej realizacji decyzja była obowiązująca i korzystała z domniemania legalności.
• Czy sprawa jest zakończona?
  Nie. Wyrok z 5 marca 2026 roku nie jest prawomocny. Prezes UODO może złożyć skargę kasacyjną do Naczelnego Sądu Administracyjnego.