Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski nałożył upomnienia na blisko 90 prezesów sądów i szefów prokuratur za przetwarzanie danych osobowych sędziów i prokuratorów na podstawie tzw. ustawy kagańcowej. Nakazał również usunięcie danych zawartych w oświadczeniach o przynależności do organizacji i partii politycznych. Decyzja jest następstwem wyroków Trybunału Sprawiedliwości UE i Naczelnego Sądu Administracyjnego, które zakwestionowały legalność ich gromadzenia i publikowania.
Sprawa dotyczy przepisów wprowadzonych ustawą z 20 grudnia 2019 r., które zobowiązały sędziów i prokuratorów do ujawniania informacji o członkostwie m.in. w stowarzyszeniach, fundacjach i partiach politycznych. Oświadczenia miały być następnie publikowane w Biuletynach Informacji Publicznej sądów i prokuratur.
W ocenie UODO obowiązek wynikający z ustawy krajowej nie stanowił wystarczającej podstawy do tak daleko idącej ingerencji w prywatność. Przepisy nie spełniały wymagań RODO dotyczących niezbędności i proporcjonalności przetwarzania danych osobowych.
UODO nakazuje usunięcie danych, nie tylko ich wycofanie z internetu
Nowa decyzja oznacza, że administratorzy danych nie mogą ograniczyć się do usunięcia oświadczeń ze stron internetowych. Muszą również zaprzestać ich dalszego przetwarzania, w tym przechowywania, w zakresie objętym rozstrzygnięciem.
Większość sądów i prokuratur już wcześniej wycofała oświadczenia z publicznego dostępu. Od lipca 2024 r. do października 2025 r. ich kierownictwo wydawało zarządzenia o zawieszeniu publikacji lub usunięciu dokumentów z Biuletynów Informacji Publicznej. Dane pozostawały jednak w posiadaniu poszczególnych instytucji.
UODO ustalił również, że pojedyncze oświadczenia nadal były dostępne m.in. w Biuletynie Informacji Publicznej Sądu Najwyższego oraz Ministerstwa Sprawiedliwości.
Naczelny Sąd Administracyjny uznał, że problem dotyczy nie tylko publicznego udostępniania oświadczeń. Bez odpowiedniej podstawy prawnej niedopuszczalne było także ich pozyskiwanie i przechowywanie. Dlatego Prezes UODO został zobowiązany do wydania decyzji stwierdzającej naruszenie przepisów o ochronie danych osobowych i zastosowania środków naprawczych.
Ustawa z 2019 r. naruszała prawo do prywatności
Obowiązek składania oświadczeń został wprowadzony w ramach nowelizacji przepisów regulujących funkcjonowanie wymiaru sprawiedliwości. Sędziowie i prokuratorzy musieli ujawniać informacje o swojej przynależności do określonych organizacji, a dane te trafiały do publicznie dostępnych rejestrów.
Już w 2019 r. ówczesny Rzecznik Praw Obywatelskich Adam Bodnar zwrócił uwagę na zagrożenia związane z nowymi przepisami. Wskazywał, że ujawnienie członkostwa w organizacjach społecznych, charytatywnych czy politycznych może prowadzić do naruszenia prywatności osób wykonujących zawody prawnicze.
W niektórych przypadkach informacje o przynależności organizacyjnej mogły pośrednio ujawniać poglądy polityczne, przekonania religijne, światopogląd, a nawet orientację seksualną.
RPO argumentował, że zakres obowiązkowego ujawniania danych wykraczał poza to, co było konieczne do realizacji deklarowanego celu, jakim miało być zapewnienie transparentności i apolityczności wymiaru sprawiedliwości.
TSUE zakwestionował przepisy w czerwcu 2023 r.
Przełomowym momentem był wyrok Trybunału Sprawiedliwości Unii Europejskiej z 5 czerwca 2023 r. w sprawie C-204/21, dotyczącej naruszenia przez Polskę zobowiązań wynikających z prawa unijnego.
TSUE stwierdził, że przepisy nakładające na sędziów obowiązek ujawniania informacji o członkostwie w organizacjach oraz ich publikowania naruszały prawo do poszanowania życia prywatnego i ochrony danych osobowych.
Trybunał wskazał na niezgodność tych rozwiązań z art. 7 i 8 Karty praw podstawowych Unii Europejskiej oraz przepisami RODO, w szczególności dotyczącymi podstaw prawnych przetwarzania danych i ochrony szczególnych kategorii informacji.
Wyrok miał znaczenie dla postępowania prowadzonego przed polskimi sądami administracyjnymi. Potwierdził bowiem, że samo wprowadzenie obowiązku do krajowej ustawy nie wystarcza, jeżeli przepisy naruszają wymagania wynikające z prawa unijnego.
Prezes UODO zmienił stanowisko po czterech latach
Postępowanie w sprawie przetwarzania danych sędziów i prokuratorów zostało wszczęte z urzędu po interwencji Rzecznika Praw Obywatelskich.
W kwietniu 2020 r. ówczesny prezes UODO Jan Nowak umorzył postępowanie. Uznał, że skoro obowiązek składania i publikowania oświadczeń wynika bezpośrednio z ustawy, przetwarzanie danych ma podstawę prawną w art. 6 ust. 1 lit. c RODO.
Rzecznik Praw Obywatelskich zaskarżył tę decyzję do Wojewódzkiego Sądu Administracyjnego, a następnie w 2021 r. wniósł skargę kasacyjną do Naczelnego Sądu Administracyjnego.
Po objęciu funkcji prezesa UODO Mirosław Wróblewski zmienił dotychczasowe stanowisko urzędu. W piśmie skierowanym do NSA 22 maja 2024 r. zgodził się z argumentacją RPO, wskazując, że przepisy krajowe będące podstawą przetwarzania danych muszą realizować prawnie uzasadniony cel i pozostawać proporcjonalne do tego celu.
W przypadku ustawy z 2019 r. problemem był również brak precyzyjnego określenia celu gromadzenia danych, zasad ich publicznego udostępniania oraz okresu przechowywania.
NSA uchylił wcześniejszą decyzję UODO
W 2025 r. Naczelny Sąd Administracyjny uchylił decyzję Prezesa UODO z kwietnia 2020 r. oraz wcześniejszy wyrok Wojewódzkiego Sądu Administracyjnego, który utrzymywał ją w mocy.
NSA stwierdził, że organ nadzorczy bezpodstawnie uznał istnienie przesłanki legalizującej pozyskiwanie, przetwarzanie i publikowanie danych dotyczących przynależności sędziów i prokuratorów do organizacji oraz partii politycznych.
W następstwie tego rozstrzygnięcia sprawa ponownie trafiła do Prezesa UODO. Organ był związany oceną prawną przedstawioną przez NSA, co wymagało ponownego rozpatrzenia naruszeń i wydania decyzji naprawczych.
Sam przepis ustawy nie wystarczy do legalnego przetwarzania danych
Rozstrzygnięcie UODO ma znaczenie wykraczające poza wymiar sprawiedliwości. Potwierdza, że administrator danych, również będący instytucją publiczną, nie może opierać przetwarzania danych osobowych wyłącznie na formalnym istnieniu przepisu krajowego.
Zgodnie z RODO podstawa prawna musi spełniać określone wymagania. Przetwarzanie powinno służyć konkretnemu celowi publicznemu, być niezbędne do jego osiągnięcia oraz proporcjonalne do zakresu ingerencji w prawa osób, których dane dotyczą.
Szczególnej ochronie podlegają informacje ujawniające m.in. poglądy polityczne, przekonania religijne lub światopoglądowe oraz przynależność związkową. Publiczne udostępnianie danych mogących ujawniać takie informacje wymaga odpowiednich gwarancji prawnych.
W przypadku przepisów wprowadzonych w 2019 r. wymogi te nie zostały spełnione. Dlatego obowiązek usunięcia danych obejmuje również te oświadczenia, które wcześniej zostały wycofane z internetu, ale nadal pozostawały przechowywane przez administratorów.
