PUODO nałożył kary pieniężne 27 mln zł na Pocztę Polską oraz 100 tys. zł na Ministra Cyfryzacji za przetwarzanie bez podstawy prawnej danych osobowych 30 milionów Polaków przy organizacji tzw. wyborów kopertowych w 2020 r. Kara nałożona na Pocztę Polską jest rekordową karą w dotychczasowej historii Urzędu! Za co kary zostały nałożone i jaki może mieć to wpływ na inne podmioty? O sprawie pisaliśmy też w 36. wydaniu Compliance Insights na naszym LinkedInie!
Decyzja PUODO po wyborach kopertowych
Kary na Pocztę Polską i Ministra Cyfryzacji zostały nałożone przez Prezesa Urzędu Ochrony Danych Osobowych na mocy decyzji z dnia 17 marca 2025 r. (DKN.5131.1.2025), o której już następnego dnia PUODO poinformował w mediach oraz na swojej stronie internetowej.
Wysokość kar za wybory kopertowe
Na Pocztę Polską została nałożona kara w wysokości 27 mln zł, a na Ministra Cyfryzacji kara w wysokości 100 tys. zł.
Kara nałożona na Pocztę Polską jest najwyższą w dotychczasowej historii Urzędu, a mogła być jeszcze wyższa (do 138 mln zł), ale organ uwzględnił niezbyt dobrą kondycję Poczty Polskiej i możliwość obniżenia świadczenia usług pocztowych dla obywateli, gdyby spółka musiała zapłacić jeszcze wyższą karę.
Z kolei 100 tys. zł dla Ministra Cyfryzacji to maksymalna kara, jaka mogła zostać nałożona na podmiot sektora publicznego w Polsce.
Za co kary zostały nałożone?
Obie kary zostały nałożone przez PUODO za przetwarzanie danych osobowych milionów obywateli bez podstawy prawnej.
Dane z rejestru PESEL zostały udostępnione Poczcie Polskiej w 2020 r. przez aktualnego Premiera i Ministra Cyfryzacji, mimo braku legalnej podstawy do ich przekazania i przeprowadzenia wyborów kopertowych.
Co przesądziło o fakcie nałożenia kary przez PUODO?
Jak wskazał PUODO w uzasadnieniu do swojej decyzji – „Fakt bezpodstawnego udostępnienia danych osobowych z rejestru PESEL oraz ich przetwarzania przez Pocztę Polską zagrażał prawidłowej realizacji praw przysługujących obywatelom na mocy Konstytucji. Gwarantuje im ona prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym”.
Organ wskazał na systemowy charakter sprawy (liczne skargi zgłaszane przez obywateli do PUODO oraz przetwarzanie danych 30 mln dorosłych obywateli Polski, stanowiących prawie 80% populacji naszego kraju) oraz poważny charakter naruszeń dokonanych przez Pocztę Polską.
Kogo i jakie dane zostały udostępnione w wyborach kopertowych?
W toku sprawy ustalono, że bez podstawy prawnej Minister Cyfryzacji przekazał do Poczty Polskiej dane o:
- numerze PESEL,
- imionach i nazwiskach,
- ostatnim aktualnym adresie zameldowania na pobyt stały (lub ostatnim nieaktualnym),
- adresie zameldowania na pobyt czasowy (i terminie pobytu w tym miejscu),
- aktualnie zarejestrowanym wyjeździe czasowym poza granice kraju.
Dane te dotyczyły wszystkich pełnoletnich obywateli polskich, których krajem zamieszkania na dzień 10 maja 2020 r. była Polska.
Dlaczego decyzja PUODO jest tak ważna?
Naruszenia Poczty Polskiej w ramach całego systemu ochrony danych mają poważny i fundamentalny charakter i godzą one w podstawowe zasady przetwarzania danych osobowych.
Poczta Polska S.A., będąc spółką Skarbu Państwa, powinna – w związku z realizacją powierzonych jej zadań publicznych – odznaczać się najwyższą starannością oraz poszanowaniem obowiązujących przepisów prawa, a po otrzymaniu decyzji Premiera – zweryfikować, czy na tej podstawie może przetwarzać dane z bazy PESEL.
Również działania Ministra Cyfryzacji powinny odznaczać się najwyższą znajomością prawa oraz dawać gwarancję poszanowania praw i wolności obywateli, których w tej sytuacji zabrakło.
Jakie okoliczności wpłynęły na wymiar kary?
Oprócz wspomnianego już zakresu przetwarzanych danych oraz znacznej liczby osób dotkniętych naruszeniem, jako okoliczność obciążającą organ uznał także możliwość wystąpienia po stronie podmiotów danych szkód niematerialnych, tj. obawa czy niepewność wynikająca z faktu niemożności sprawowania kontroli nad swoimi danymi, wobec faktu ich bezprawnego udostępnienia Poczcie Polskiej.
Co wpłynęło nawymiar kary?
Decyzja nie jest jeszcze prawomocna, i oba podmioty, na które nałożono kary, mogą ją jeszcze zaskarżyć do sądu administracyjnego.
Za to, gdy decyzja się uprawomocni – Poczta Polska i Minister Cyfryzacji będą mogły występować z roszczeniami wobec osób osobiście odpowiedzialnych za zakwestionowane przez PUODO działania.
Czy decyzja może mieć wpływ na poszkodowanych obywateli?
Decyzja otwiera również drogę dla obywateli dotkniętych naruszeniem do wystąpienia z pozwem cywilnym przeciwko ukaranym podmiotom.
Każda osoba poszkodowana może dochodzić swoich praw wynikających z RODO na drodze cywilnej, i to niezależnie od działań organu nadzorczego, jednak podkreślenie w decyzji PUODO, że naruszenie zagrażało realizacji praw konstytucyjnych i praw podstawowych obywateli, w tym ich dóbr osobistych, może stanowić istotny czynnik w argumentacji przed sądem.