Wojewódzki Sąd Administracyjny w Warszawie uchylił decyzję Prezesa Urzędu Ochrony Danych Osobowych (UODO), który nałożył na Pocztę Polską karę w wysokości 27 mln zł za przetwarzanie danych osobowych około 30 mln obywateli podczas przygotowań do wyborów korespondencyjnych w 2020 roku. Sąd uznał, że w momencie podejmowania działań spółka działała na podstawie obowiązującej decyzji premiera, która korzystała z domniemania legalności.
Wyrok zapadł 5 marca 2026 r. w sprawie o sygnaturze II SA/Wa 837/25. Sąd rozpatrywał skargę Poczty Polskiej na decyzję Prezesa UODO z 2025 roku i uznał ją za zasadną, uchylając decyzję w części dotyczącej spółki.
Sąd: decyzja premiera wiązała Pocztę Polską
W uzasadnieniu wyroku WSA wskazał, że kluczowe znaczenie ma fakt, iż w chwili przetwarzania danych osobowych w obrocie prawnym funkcjonowała decyzja Prezesa Rady Ministrów z 16 kwietnia 2020 r. Zobowiązywała ona Pocztę Polską do podjęcia działań związanych z organizacją wyborów korespondencyjnych na Prezydenta RP.
Sąd podkreślił, że taka decyzja – dopóki nie zostanie uchylona lub uznana za nieważną – korzysta z domniemania legalności i jest wiążąca dla jej adresata. Oznacza to, że podmiot, który otrzymał decyzję administracyjną, ma obowiązek ją wykonać.
WSA zaznaczył również, że Poczta Polska nie była uprawniona do samodzielnego oceniania legalności decyzji premiera. Spółka mogła jedynie zaskarżyć ją w trybie przewidzianym przez prawo administracyjne, ale samo wniesienie skargi nie dawało podstaw do odmowy jej wykonania.
W ocenie sądu odmowa realizacji polecenia mogłaby doprowadzić do zastosowania administracyjnego przymusu egzekucyjnego.
Przetwarzanie danych jako skutek decyzji
Sąd zwrócił uwagę, że nie wszystkie skutki wykonania decyzji, która później zostaje uznana za nieważną, mogą zostać cofnięte. Do takich skutków należy m.in. proces przetwarzania danych osobowych oraz upływ czasu.
Dlatego – zdaniem WSA – organ nadzorczy powinien w pierwszej kolejności ocenić, czy w chwili podejmowania działań Poczta Polska miała formalną podstawę prawną do przetwarzania danych w ramach realizacji polecenia premiera.
Skoro taka decyzja istniała i pozostawała w obrocie prawnym, to – według sądu – nie można automatycznie uznać, że spółka działała bez podstawy prawnej.
Spór o dane 30 milionów obywateli
Sprawa ma swój początek w 2020 roku, w pierwszych miesiącach pandemii COVID-19. W związku z zagrożeniem epidemicznym rząd planował przeprowadzenie wyborów prezydenckich w formie korespondencyjnej, aby ograniczyć ryzyko zakażeń wynikających z gromadzenia się wyborców w lokalach wyborczych.
W tym celu konieczne było pozyskanie danych osobowych obywateli z rejestru PESEL.
Na podstawie decyzji premiera z 16 kwietnia 2020 r.:
- 20 kwietnia 2020 r. Poczta Polska wystąpiła do Ministerstwa Cyfryzacji o przekazanie danych,
- 22 kwietnia dane zostały przekazane spółce na płycie DVD,
- obejmowały one m.in.
- numer PESEL,
- imię i nazwisko,
- adres zameldowania,
- informacje o czasowym pobycie za granicą.
Łącznie dotyczyły one około 30 milionów pełnoletnich obywateli Polski.
Dane były przetwarzane przez około miesiąc. Zostały zniszczone między 15 a 22 maja 2020 r., gdy stało się jasne, że wybory nie odbędą się w planowanym terminie ani w formie korespondencyjnej.
RPO zaskarżył decyzję premiera
Jeszcze w trakcie przygotowań do wyborów decyzję premiera zaskarżył do sądu administracyjnego Rzecznik Praw Obywatelskich.
Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 15 września 2020 r. uznał, że decyzja premiera została wydana bez podstawy prawnej i z rażącym naruszeniem prawa.
Orzeczenie to zostało później utrzymane w mocy przez Naczelny Sąd Administracyjny, który w czerwcu 2024 roku potwierdził nieważność decyzji.
Kara 27 mln zł od UODO
Po ostatecznym rozstrzygnięciu sprawy przez sądy administracyjne Prezes UODO wszczął postępowanie dotyczące przetwarzania danych osobowych przez Pocztę Polską i Ministerstwo Cyfryzacji.
Postępowanie zakończyło się 17 marca 2025 r. wydaniem decyzji, w której organ uznał, że działania spółki naruszały podstawowe zasady ochrony danych osobowych.
UODO wskazał w szczególności na:
- bardzo dużą skalę przetwarzania danych, obejmującą niemal 80 proc. populacji Polski,
- brak wystarczającej podstawy prawnej,
- możliwość powstania szkód niematerialnych u obywateli, takich jak utrata poczucia kontroli nad własnymi danymi.
Zdaniem organu nadzorczego Poczta Polska – jako spółka Skarbu Państwa wykonująca zadania publiczne – powinna była przeprowadzić dogłębną analizę prawną decyzji premiera przed rozpoczęciem przetwarzania danych.
W rezultacie na spółkę nałożono karę administracyjną w wysokości 27 mln zł.
Jednocześnie UODO uznał, że także działania Ministerstwa Cyfryzacji były niezgodne z prawem. Na ministra nałożono karę w wysokości 100 tys. zł, czyli maksymalną możliwą dla podmiotów publicznych.
Wyrok nie jest prawomocny
Decyzja Wojewódzkiego Sądu Administracyjnego z 5 marca 2026 r. uchylająca karę dla Poczty Polskiej nie jest jeszcze prawomocna.
Prezes Urzędu Ochrony Danych Osobowych może wnieść skargę kasacyjną do Naczelnego Sądu Administracyjnego, który ostatecznie rozstrzygnie spór.
Sprawa dotycząca przetwarzania danych 30 milionów obywateli podczas przygotowań do wyborów korespondencyjnych pozostaje jednym z najbardziej znaczących sporów prawnych w Polsce dotyczących relacji między decyzjami administracji publicznej a ochroną danych osobowych.
