Udostępnienie danych z Rejestru PESEL dla przeprowadzenia wyborów prezydenckich wadliwe prawnie
Do udostępniania danych z Rejestru PESEL na jakiejkolwiek podstawie ustawowej ma zastosowanie RODO, chroniące podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych. W dacie dokonania zaskarżonej czynności przez Organ Uczestnikowi nie przysługiwały bowiem żadne własne kompetencje w zakresie organizacji wyborów Prezydenta RP, do wykonania których potrzebne były udostępnione przez Ministra dane.
Tematyka: Rejestr PESEL, RODO, wybory prezydenckie, udostępnianie danych, naruszenie prawa
Do udostępniania danych z Rejestru PESEL na jakiejkolwiek podstawie ustawowej ma zastosowanie RODO, chroniące podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych. W dacie dokonania zaskarżonej czynności przez Organ Uczestnikowi nie przysługiwały bowiem żadne własne kompetencje w zakresie organizacji wyborów Prezydenta RP, do wykonania których potrzebne były udostępnione przez Ministra dane.
Do udostępniania danych z Rejestru PESEL na jakiejkolwiek podstawie ustawowej ma zastosowanie RODO, chroniące podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych. W dacie dokonania zaskarżonej czynności przez Organ Uczestnikowi nie przysługiwały bowiem żadne własne kompetencje w zakresie organizacji wyborów Prezydenta RP, do wykonania których potrzebne były udostępnione przez Ministra dane. Stan faktyczny – zaskarżona czynność WSA w Warszawie po rozpoznaniu sprawy ze skargi Rzecznika Praw Obywatelskich (dalej: RPO) na czynność Ministra Cyfryzacji z 4.2020 r. w przedmiocie udostępnienia spółce S.A. (dalej: Uczestnikowi) danych osobowych z Rejestru PESEL stwierdził bezskuteczność ww. czynności, dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność 10.5.2020 r. i których krajem zamieszkania jest Polska. W 4.2020 r. Minister Cyfryzacji (dalej: Organ) udostępnił Uczestnikowi dane osobowe z prowadzonego przez Ministra Rejestru PESEL, dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność 10.5.2020 r. i których krajem zamieszkania jest Polska. Udostępnienie ww. danych Uczestnikowi nastąpiło poprzez wydanie nośnika informatycznego (1 płyta CD). Przedmiotowa czynność została dokonana na wniosek Uczestnika z 20.4.2020 r., powołujący się na art. 99 ustawy z 16.4.2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARSCoV-2 (Dz.U. z 2020 r., poz. 695; dalej: InstrWsparSARSCoV2U) i realizację zadań związanych z organizacją wyborów Prezydenta RP. Udostępnione dane obejmowały: numer PESEL, imię (imiona), nazwisko oraz w zależności od tego jakie dane osoba posiada zarejestrowane w rejestrze PESEL - aktualny adres zameldowania na pobyt stały, a w przypadku jego braku ostatni adres zameldowania na pobyt stały, a także adres zameldowania na pobyt czasowy. Nie przekazano informacji o datach zameldowania i wymeldowania, natomiast w przypadku adresu zameldowania na pobyt czasowy udostępniono informację o przewidywanej dacie pobytu pod adresem czasowym. Ponadto przekazano informacje o tym, czy osoba posiada aktualnie zarejestrowany wyjazd czasowy poza granice kraju (bez wskazywania kraju wyjazdu). Skarga RPO 15.5.2020 r. RPO wniósł do Sądu skargę na ww. czynność Ministra, zarzucając, iż została ona dokonana z naruszeniem: • art. 7 Konstytucji RP poprzez udostępnienie danych osobowych z rejestru PESEL bez odpowiedniej podstawy prawnej, co skutkuje naruszeniem konstytucyjnej zasady praworządności, z której wynika, że organy władzy publicznej działają na podstawie i w granicach prawa oraz • art. 51 ust. 2 Konstytucji RP w zw. z art. 51 ust. 5 oraz art. 31 ust. 3 Konstytucji RP poprzez udostępnienie informacji o obywatelach bez podstawy prawnej. Rzecznik wniósł o stwierdzenie bezskuteczności zaskarżonej czynności, w skardze powołał bardzo obszerną argumentację zarzutów. Stanowisko WSA WSA w Warszawie uznał, że skargę należało uwzględnić, tj. stwierdzić bezskuteczność zaskarżonej czynności Ministra, albowiem została ona wydana z naruszeniem przepisów prawa, obowiązujących w dacie jej dokonania. Przedmiotem kontroli Sądu byłą czynność polegająca na udostępnieniu Uczestnikowi (poprzez wydanie nośnika danych informatycznych) danych z rejestru PESEL, dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność 10.5.2020 r. i których krajem zamieszkania jest Polska. Udostępnienie ww. danych nastąpiło z powołaniem się przez Organ na art. 99 InstrWsparSARSCoV2U na wniosek Uczestnika, wskazujący, iż wnosi o to udostępnienie w związku z realizacją zadań związanych z organizacją wyborów Prezydenta RP. Czynność podjęta przez Organ na podstawie art. 99 InstrWsparSARSCoV2U, polegająca na udostępnieniu Uczestnikowi danych z rejestru PESEL, stanowiła operację na danych osobowych, a zatem przetworzenie danych osobowych w rozumieniu art. 4 pkt 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO). Czynność ta odnosiła się zatem zarówno do uprawnień Uczestnika do uzyskania danych z rejestru PESEL, które przepis ten literalnie przewidywał, jak i do obowiązków i uprawnień osób, których dane z rejestru PESEL zostały Uczestnikowi udostępnione, wynikających z szeroko rozumnego reżimu ochrony danych osobowych. Prawnym następstwem dokonania kwestionowanej czynności przez Organ jest bowiem powstanie po stronie osób, których dane przekazano: • obowiązku znoszenia stanu (objętego domniemaniem legalności), w którym Uczestnik, tj. podmiot inny niż ustawowy administrator danych z rejestru PESEL, dysponuje tymi danymi, • uprawnienia do żądania stosownej ochrony zarówno przed samym udostępnieniem danych Uczestnikowi (ex post), jak i przed ewentualnie niezgodnym z prawem dalszym przetwarzaniem uzyskanych danych przez Uczestnika. Udostępnianie danych z rejestru PESEL Zasady udostępniania danych z rejestru PESEL przedstawiały się w dacie dokonania zaskarżonej czynności następująco: Udostępnianie danych z rejestru PESEL następowało (i następuje obecnie) w trybie i na zasadach uregulowanych w art. 45 – 58 ustawy z 24.9.2010 r. o ewidencji ludności (t.j. Dz.U. z 2019 r. poz. 1397; dalej: EwidLU). Przepisy te rozdzielają kompetencje w tym zakresie pomiędzy ministra właściwego do spraw informatyzacji oraz organy gmin. Z art. 50 ust. 1 pkt 1 EwidLU wynika zatem, iż właściwość ministra właściwego do spraw informatyzacji do udostępnienia danych z rejestru PESEL zachodzi w przypadku udostępniania danych za pomocą urządzeń teletransmisji danych, w tym w drodze weryfikacji, a w przypadku danych jednostkowych, jeżeli udostępnienie następuje na rzecz jednostek organizacyjnych, w celach badawczych, statystycznych, badania opinii publicznej (jeżeli po wykorzystaniu dane te zostaną poddane takiej modyfikacji, która nie pozwoli ustalić tożsamości osób, których dane dotyczą). Właściwość organów gmin ogranicza się natomiast do udostępnienia danych o charakterze jednostkowym na rzecz podmiotów, o których mowa w art. 46 ust. 1 i 2 pkt 1 i 3 ustawy (art. 50 ust. 1 pkt 2 EwidLU). 18.4.020 r. wszedł jednakże w życie art. 99 InstrWsparSARSCoV2U, stanowiący, co następuje: Operator wyznaczony w rozumieniu ustawy z 23.11.2012 r. - Prawo pocztowe (t.j. Dz.U. z 2020 r. poz. 1041), po złożeniu przez siebie wniosku w formie elektronicznej, otrzymuje dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji organu administracji publicznej, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta RP bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. Dane, o których mowa w zdaniu pierwszym, przekazywane są operatorowi wyznaczonemu, w formie elektronicznej, w terminie nie dłuższym niż 2 dni robocze od dnia otrzymania wniosku. Operator wyznaczony uprawniony jest do przetwarzania danych wyłącznie w celu, w jakim otrzymał te dane. Do udostępniania danych z rejestru PESEL na jakiejkolwiek podstawie ustawowej ma zastosowanie RODO, chroniące podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych. Z art. 6 ust. 1 lit. c i e RODO wynika, iż przetwarzanie jest zgodne z prawem wyłącznie kiedy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze lub przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Zgodnie natomiast z art. 6 ust. 3 RODO podstawa przetwarzania, o którym mowa w art. 6 ust. 1 lit. c i e RODO, musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Przyjęcie, iż art. 99 InstrWsparSARSCoV2U co do zasady stanowił wskazaną w art. 6 ust. 3 RODO podstawę do przetwarzania danych w celach wskazanych w art. 6 ust. 1 lit. c i e RODO nie zwalniało jednakże administratora rejestru PESEL (podobnie, jak i objętych przepisem innych organów administracji publicznej, prowadzących spisy lub rejestry) z obowiązku wyczerpującego zbadania warunków i zakresu dopuszczalnego przetwarzania (tj. udostępnienia danych Uczestnikowi). Odniesienie ww. uwarunkowań prawnych do stanu faktycznego rozpatrywanej sprawy prowadzi do wniosku, iż zaskarżona czynność jest wadliwa albowiem została podjęta z naruszeniem przez Organ art. 99 InstrWsparSARSCoV2U, polegającym na udostępnieniu Uczestnikowi danych z rejestru PESEL w sytuacji, w której wbrew wymaganiom ww. przepisu brak było podstaw do uznania, iż dane te były potrzebne Uczestnikowi do zadeklarowanej przez niego we wniosku realizacji zadań związanych z organizacją wyborów Prezydenta RP. W dacie dokonania zaskarżonej czynności przez Organ Uczestnikowi nie przysługiwały bowiem żadne własne kompetencje w zakresie organizacji wyborów Prezydenta RP, do wykonania których potrzebne były udostępnione przez Ministra dane. Trafnie zatem argumentował RPO, iż legalność udostępnienia Uczestnikowi danych osobowych z prowadzonego przez Organ rejestru PESEL, dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność 10.5.2020 r. i których krajem zamieszkania jest Polska, była bezwzględnie uzależniona od ustalenia przez Organ, iż w dacie tej Uczestnik posiadał ustawowo określone kompetencje w zakresie realizacji takich zadań związanych z organizacją wyborów Prezydenta RP, które uzasadniały dysponowanie ww. danymi, ewentualnie, że na Uczestniku spoczywały wówczas jakiekolwiek inne obowiązki nałożone przez organy administracji rządowej, które również uzasadniałyby dysponowanie przez Uczestnika danymi z rejestru PESEL. Komentarz Omawiane orzeczenie zawiera obszerne uzasadnienie do działania Ministra bez podstawy prawnej. Wskazane powyżej argumenty to jedynie wybrane argumenty. W szczególności z orzeczenia wynika, że udostępnienie danych z Rejestru PESEL do przeprowadzenia wyborów prezydenckich odbyło się z naruszeniem zasad RODO. Orzeczenie dotyczy działań podjętych w 4.2021 r. Wyrok WSA w Warszawie z 26.2.2021 r., IV SA/Wa 1817/20,
Omawiane orzeczenie zawiera obszerne uzasadnienie do działania Ministra bez podstawy prawnej. Udostępnienie danych z Rejestru PESEL do przeprowadzenia wyborów prezydenckich odbyło się z naruszeniem zasad RODO. Orzeczenie dotyczy działań podjętych w 4.2021 r.