Pandemia koronawirusa wywołała bardzo dużo problemów i kontrowersji związanych z przetwarzaniem danych osobowych. Jeden z nich wiązał się z zaangażowaniem Poczty Polskiej w proces organizacji wyborów korespondencyjnych, a bardziej precyzyjnie, z kwestią pozyskania przez operatora pocztowego z rejestru PESEL danych osobowych przyszłych wyborców.
O tej sytuacji informowaliśmy w kwietniu br. (pełna treść artykułu dostępna jest tutaj – https://gdpr.pl/udostepnianie-spisow-wyborcow-przez-samorzady-czyli-miedzy-mlotem-a-kowadlem). Z punktu widzenia zagadnienia ochrony danych osobowych, sytuacja ta wzbudziła duże kontrowersje. W sprawę zaangażowała się Fundacja Panoptykon. Jeden z jej przedstawicieli skierował przeciwko Poczcie Polskiej pozew cywilny, zarzucając spółce liczne nieprawidłowości w zakresie przepisów o ochronie danych osobowych.
Oświadczenie fundacji
O skierowaniu pozwu do sądu fundacja poinformowała na swojej stronie internetowej. W jej ocenie Poczta Polska – pozyskując dane osobowe wyborców – naruszyła przepisy o ochronie danych osobowych, w tym przede wszystkim działała bez podstawy prawnej. Panoptykon zarzucił spółce również brak wdrożenia procedur zapewniających bezpieczeństwo i integralność danych, jak również niezrealizowanie obowiązku informacyjnego, tj. mówiąc prościej, niepoinformowanie przyszłych wyborców o pozyskaniu i przetwarzaniu ich danych osobowych.
Fundacja zapewniła, że jej celem jest m.in., aby sąd cywilny rozstrzygnął, czy organy państwowe, które udostępniły dane osobowe milionów osób, działały zgodnie z prawem. Jej wątpliwości wzbudziło to, że operator pocztowy swoje działanie uzasadnił podstawą prawną, wynikającą z przepisów ustawy z 16 kwietnia br. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2. Fundacja zauważyła w swoim oświadczeniu, że w momencie zwrócenia się przez operatora pocztowego o udostępnienie przedmiotowych danych osobowych, ustawa nie weszła jeszcze w życie (wówczas była procedowana w Senacie). Co więcej, Panoptykon nie podzielił również stanowiska Poczty Polskiej odnośnie upatrywania się legitymizacji swoich działań w decyzji premiera, która zalecała spółce „podjęcie realizacji niezbędnych czynności zmierzających do przygotowania wyborów Prezydenta RP, poprzez przygotowanie infrastruktury organizacyjnej oraz pozyskanie niezbędnych zasobów materialnych”. W zakres tych czynności – zdaniem fundacji – nie powinno wchodzić gromadzenie jakichkolwiek danych osobowych.
Brak zaangażowania UODO
Wydaje się, że decydujący wpływ na podjęcie decyzji o skierowaniu powództwa do sądu cywilnego mogło mieć oświadczenie UODO, opublikowane na jego stronie internetowej. Przypomnijmy, organ nadzorczy stanął na stanowisku, że w zakresie przetwarzania danych osobowych działania Poczty Polskiej były zgodne z obowiązującym prawem (pełna treść opinii organu dostępna jest tutaj- https://uodo.gov.pl/pl/138/1508).
Fundacja nie podzieliła stanowiska UODO. Podkreśla również, że organ nadzorczy nie wszczął z własnej inicjatywy żadnego postępowania w tej sprawie, jak również odmówił wszczęcia postępowań na wnioski osób fizycznych. Nie dziwi więc fakt, że fundacja postanowiła skorzystać z mało popularnego trybu, tj. dochodzenia roszczeń wprost w sądzie cywilnym, z pominięciem organu nadzorczego. Panoptykon wyraził nadzieję, że po otrzymaniu powiadomienia o wszczęciu postępowania cywilnego (sąd ma obowiązek zawiadomić organ nadzorczy o każdym pozwie dot. ochrony danych osobowych), UODO przyłączy się do tej sprawy.
Sąd oceni
Poczta Polska utrzymuje, że usunęła pozyskane dane osobowe wyborców, dopatrując się w tym najwyraźniej końca tej sprawy. Wydaje się jednak, że tak dobrze może nie być. Co do zasady sąd oceniając tę sprawę – niezależnie od faktu ewentualnego usunięcia danych – powinien zbadać czy istniała podstawa prawna do pozyskania danych osobowych wyborców, jak również czy operator zrealizował inne podstawowe obowiązki wynikające z RODO, w tym np. obowiązek informacyjny. Z pewnością, orzeczenie w tej sprawie może mieć duży wpływ na praktykę stosowania i egzekwowania przepisów o ochronie danych osobowych w Polsce.
Źródła:
https://panoptykon.org/pozywamy-poczte
https://uodo.gov.pl/pl/138/1508
