II SA/Wa 837/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski, Sędzia WSA Andrzej Cichoń, Sędzia WSA Ewa Radziszewska-Krupa (spr.), , Protokolant specjalista Joanna Głowala, po rozpoznaniu na rozprawie w dniu 19 lutego 2026 r. sprawy ze skargi P. S.A. z siedzibą w [...] na decyzję w punkcie 2 Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2025 r. nr [...] w przedmiocie niezgodnego z prawem przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w punkcie 2; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej P. z siedzibą w [...] kwotę 105 417 (słownie: sto pięć tysięcy czterysta siedemnaście) złotych, tytułem zwrotu kosztów postępowania.

I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") w zaskarżonym do Wojewódzkiego Sądu Administracyjnego w Warszawie punkcie 2 decyzji z [...] marca 2025r. [...] stwierdził, że P. S.A. z siedzibą w [...] (zwana dalej "Skarżącą", lub "Spółką") naruszyła art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenia o ochronie danych, Dz.Urz. UE L 119 z 04.05.2016, str. 1 Dz.Urz.UE L 127 z 23.05.2018, s. 2 oraz Dz.Urz.UE L 74 z 4.03.2021, s. 35, zwane dalej "RODO") przez przetwarzanie bez podstawy prawnej udostępnionych [...] kwietnia 2020r. przez Ministra Cyfryzacji (zwany dalej "Ministrem") danych osobowych zgromadzonych w rejestrze Powszechnego Elektronicznego Systemu Ewidencji Ludności (zwany dalej "Rejestrem PESEL"), w zakresie: nr PESEL, imion, nazwisk, ostatniego aktualnego adresu zameldowania na pobyt stały (a gdy go brak ostatniego nieaktualnego) adresu zameldowania na pobyt czasowy (wraz z deklarowanym terminem tego pobytu), a także aktualnie zarejestrowanego wyjazdu czasowego poza granice kraju, wszystkich osób pełnoletnich 10 maja 2020r., które w dniu wygenerowania danych posiadały w ww. rejestrze zarejestrowane obywatelstwo polskie, figurowały jako osoby żyjące i dla których wskazanym krajem zamieszkania była Polska, co skutkowało naruszeniem zasady zgodności przetwarzania z prawem określonej w art. 5 ust. 1 lit. a RODO oraz nałożeniem na Skarżącą administracyjnej kary pieniężnej w wysokości 27.124.816 zł. Zdaniem Prezesa UODO ustalenie, że proces przetwarzania danych osobowych przez Spółkę był realizowany pomimo braku podstawy prawnej z art. 6 ust. 1 RODO i wiąże się ze stwierdzeniem, że administrator naruszył swoim działaniem art. 5 ust. 1 lit. a) RODO, łamiąc wyrażoną w nim zasadę zgodności z prawem, rzetelności i przejrzystości. W uzasadnieniu ww. decyzji organ wyjaśnił, że Prezes Rady Ministrów (zwany dalej "Prezesem RM") decyzją z [...] kwietnia 2020r. nr [...] (zwana dalej "Decyzją") polecił Spółce realizację działań, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020r. w trybie korespondencyjnym (zwane dalej "Wyborami"), co miało mieć związek z koniecznością przeciwdziałania COVID-19, w szczególności przez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych i kadrowych. Następnie Minister [...] kwietnia 2020r. udostępnił Skarżącej, na złożony przez nią [...] kwietnia 2020r. wniosek (zwany dalej "Wnioskiem") dane osobowe zgromadzone w Rejestrze PESEL w ww. zakresie wszystkich osób pełnoletnich 10 maja 2020r., które w dniu wygenerowania danych posiadały w ww. rejestrze zarejestrowane obywatelstwo polskie, figurowały jako osoby żyjące i dla których wskazanym krajem zamieszkania była Polska (około 30 mln osób). Nastąpiło to, jak wskazano we Wniosku, w związku z realizacją zadań związanych z organizacją Wyborów. Miały się one odbyć 10 maja 2020 r. - w czasie, w którym starano się ograniczać możliwości szybkiego rozwoju epidemii COVID-19. Działania ww. stały się przedmiotem wielu dyskusji m.in. w mediach i wzbudziły liczne kontrowersje oraz niepokój części opinii publicznej. W następstwie udostępnienia tych danych osobowych, do Prezesa UODO wpłynęło 178 skarg na nieprawidłowości w procesie przetwarzania danych osobowych przez Ministra lub Spółkę. Sytuacja ta zaniepokoiła nie tylko wiele osób, których dane udostępniono w wyniku ww. działań - stała się też przyczynkiem do stanowczych działań Rzecznika Praw Obywatelskich (zwany dalej "RPO"), który 29 kwietnia 2020r. złożył do WSA w Warszawie skargę na ww. Decyzję w przedmiocie polecenia Skarżącej realizacji działań w zakresie przeciwdziałania COVID-19 zmierzających do przygotowania i przeprowadzenia Wyborów. RPO 15 maja 2020r., złożył do WSA skargę na czynność Ministra z [...] kwietnia 2020r. polegającą na ww. udostępnieniu Skarżącej ww. danych osobowych z Rejestru PESEL. WSA i NSA w następstwie skarg RPO wydały wyroki, w wyniku czego stwierdzono prawomocnie: 1) 28 czerwca 2024r. nieważność ww. decyzji Prezesa RM z [...] kwietnia 2020r., która zainicjowała złożenie przez Skarżącą Wniosku, 2) 13 marca 2024r. bezskuteczność czynności Ministra polegającej na ww. udostępnieniu Skarżącej ww. danych osobowych z rejestru PESEL. W wyrokach tych ustalono zarówno stan faktyczny, jak i prawny, które Prezes UODO przyjął jako wiążące, mając na uwadze m.in. treść art. 170 w związku z art. 153 P.p.s.a. W sposób oczywisty musiało mieć to wpływ na działania podejmowane przez Prezesa UODO, który cofnął m.in. złożoną przez siebie skargę kasacyjną od wyroku WSA z 23 kwietnia 2021r. sygn. akt II SA/Wa 1750/20, uchylającego postanowienie Prezesa UODO z [...] lipca 2020r. sygn. [...], o odmowie wszczęcia postępowania w sprawie wniesionej do organu indywidualnej skargi osoby fizycznej na nieprawidłowości w procesie przetwarzania danych osobowych przez Ministra i Spółkę, w związku z organizacją Wyborów. NSA postanowieniem z 9 kwietnia 2024r. sygn. akt III OSK 6133/21 umorzył postępowanie kasacyjnego, a Prezes UODO podejmował kolejne działania w sprawach indywidualnych, biorąc pod uwagę m.in. znaczącą ilość skarg na nieprawidłowości w procesie przetwarzania danych osobowych przez Ministra lub Spółkę, a także wydane przez WSA oraz NSA prawomocne wyroki, które w sposób wiążący wpłynęły na dotychczasową ocenę prawną sytuacji, uznał za konieczne wszczęcie z urzędu (pismo z [...] stycznia 2025r.) postępowania administracyjnego w przedmiocie możliwości naruszenia przez Skarżącą obowiązków wynikających z art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 RODO w związku z organizacją Wyborów. Prezes UODO, czyniąc to, miał też na uwadze art. 189g § 1 k.p.a. i związanie, na mocy art. 170 i art. 153 P.p.s.a. ustaleniami WSA i NSA zawartymi w ww. wyrokach. W ukształtowanym tymi orzeczeniami stanie prawnym, organ nadzorczy wydał decyzję uwzględniającą wiążące ustalenia faktyczne, które legły u podstaw wydania tych wyroków oraz ustalenia i oceny prawne Sądów zawarte w tych wyrokach. Prezes UODO ustalił, że Prezes RM ww. Decyzją, powołując się na art. 11 ust. 2 w zw. z art. 11 ust. 2a, ust. 3 ustawy z 2 marca 2020r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COViD-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (zwana dalej: "ustawą COViD-19") w zw. z art. 104 k.p.a. polecił Spółce realizację działań, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia Wyborów, co miało mieć związek z koniecznością przeciwdziałania COVID-19, w szczególności przez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych i kadrowych. W Decyzji też zaznaczono, że realizacja polecenia ma na celu przeciwdziałanie COVID-19, przez zapobieżenie rozprzestrzeniania się wirusa SARS-CoV-2 w wyniku gromadzenia się ludzi w dużych grupach w następstwie realizacji przez nich czynnego prawa do głosowania w wyborach prezydenckich w formie wizyty w lokalu wyborczym. Skarżąca w następstwie ww. decyzji wystąpiła [...] kwietnia 2020r. do Ministra z Wnioskiem, powołując się na art. 99 ustawy z 16 kwietnia 2020r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (zwana dalej "u.s.i.w.") i w związku z realizacją zadań związanych z organizacją Wyborów zwróciła się o przekazanie w formie elektronicznej danych z Rejestru PESEL w ww. zakresie. Skarżąca (będąca operatorem wyznaczonym do świadczenia usług powszechnych na lata 2016-2025), pozyskała od Ministra na skutek Wniosku dane osobowe zawarte w Rejestrze PESEL. Przekazanie ich Skarżącej (na nośniku danych: płycie DVD) w związku z organizacją Wyborów nastąpiło [...] kwietnia 2020r. Skarżąca zaznaczyła, że Minister udostępnił jej dane osób pełnoletnich 10 maja 2020r., które w dniu wygenerowania danych posiadały w Rejestrze PESEL zarejestrowane obywatelstwo polskie, figurowały jako osoby żyjące i dla których wskazanym krajem zamieszkania była Polska. Minister [...] maja 2020r. - w związku z upływem dnia, na który Marszałek Sejmu RP wyznaczył datę wyborów na Prezydenta RP (10 maja 2020r.) - zwrócił się do Spółki o niezwłoczne przekazanie oświadczenia złożonego przez osobę upoważnioną, zgodnie z zasadami reprezentacji Spółki, o trwałym usunięciu danych przekazanych Spółce na płycie DVD [...] kwietnia 2020r. i wszystkich kopii danych. Spółka [...]-[...] maja 2020r. trwale usunęła wszystkie dane osobowe pozyskane z rejestru PESEL (przekazane przez Ministra). WSA w Warszawie w wyroku z 15 września 2020r. sygn. akt VII SA/Wa 992/20), stwierdził nieważność ww. Decyzji, a NSA wyrokiem z 28 czerwca 2024r. sygn. akt III OSK 4524/21 oddalił skargę kasacyjną od ww. orzeczenia. WSA w Warszawie w wyroku z 26 lutego 2021r. sygn. akt IV SA/Wa 1817/20 stwierdził bezskuteczność czynności Ministra z [...] kwietnia 2020r. polegającej na udostępnieniu Spółce danych osobowych z Rejestru PESEL, dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność 10 maja 2020r. i których krajem zamieszkania jest Polska. Skarga kasacyjna złożona w tej sprawie została oddalona przez NSA wyrokiem z 13 marca 2024r. sygn. akt II OSK 1630/21., który wskazał, że [...] kwietnia 2020r. Minister udostępnił spółce dane osobowe z prowadzonego przez Ministra rejestru PESEL. Udostępnione dane obejmowały: 1) nr PESEL, 2) imię, imiona, 3) nazwisko oraz 4) w zależności od tego jakie dane osoba posiada zarejestrowane w rejestrze PESEL - aktualny adres zameldowania na pobyt stały, a w przypadku jego braku ostatni adres zameldowania na pobyt stały, a także adres zameldowania na pobyt czasowy. Nie przekazano informacji o datach zameldowania i wymeldowania, natomiast w przypadku adresu zameldowania na pobyt czasowy udostępniono informację o przewidywanej dacie pobytu pod adresem czasowym. Ponadto, przekazano informacje o tym, czy osoba posiada aktualnie zarejestrowany wyjazd czasowy poza granice kraju (bez wskazywania kraju wyjazdu. Prezes UODO w tym stanie faktycznym, po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, wskazał, że w myśl art. 34 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o.") jest organem właściwym w sprawie ochrony danych i organem nadzorczym w rozumieniu RODO. Stosownie do art. 57 ust. 1 lit. a) i h) RODO, bez uszczerbku dla innych zadań określonych na mocy RODO, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia oraz prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego. Uprawnienia naprawcze przysługujące organowi nadzorczemu w wypadku stwierdzenia naruszenia przepisów RODO statuuje art. 58 ust. 2 lit. a) do j) RODO, który przewiduje m.in. zastosowanie, oprócz lub zamiast środków, o których mowa w tym ustępie, administracyjnej kary pieniężnej, na mocy art. 83, zależnie od okoliczności konkretnej sprawy (lit. i). Zgodnie z art. 1 ust. 2 pkt 5 u.o.d.o., ustawa ta określa postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych. Stosownie do art. 60 u.o.d.o. Prezes UODO prowadzi postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych. Postępowanie to ma na celu ustalenie czy w sprawie doszło do naruszenia przepisów o ochronie danych osobowych, a w razie stwierdzenia tego naruszenia, skorzystanie z uprawnień naprawczych. Ocena dokonywana przez Prezesa UODO służy zatem zbadaniu zasadności skorzystania przez organ nadzorczy z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO. Art. 5 RODO określa się zasady dotyczące przetwarzania danych osobowych, które muszą być respektowane przez wszystkich administratorów: podmioty, które samodzielnie lub wspólnie z innymi ustalają cele i sposoby przetwarzania danych osobowych. W myśl art. 5 ust. 1 lit. a) RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). Przestrzeganie ww. zasady jest konieczne dla prawidłowej realizacji zasady rozliczalności wynikającej z art. 5 ust. 2 RODO. Zgodnie z art. 6 ust. 1 RODO przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy - i w zakresie w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Art. 6 ust. 1 lit. f) RODO nie ma zastosowania do przetwarzania danych osobowych przez organy publiczne w ramach realizacji swoich zadań. Katalog przesłanek legalności przetwarzania danych osobowych wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Są także względem siebie równoprawne, co oznacza, że dla legalności procesu przetwarzania danych wystarczające jest spełnienie jednej z nich. Zgodnie z art. 6 ust. 3 RODO podstawa przetwarzania, o którym mowa w art. 6 ust. 1 lit. c) i e), musi być określona: a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator. Dalej przepis ten wskazuje, że cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w art. 6 ust. 1 lit. e) - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. Prezes UODO zobowiązany był dokonać w sprawie analizy wynikających z ustaw podstaw prawnych wskazanych w ww. Decyzji Prezesa RM i w ww. Wniosku Spółki o przekazanie w formie elektronicznej danych z Rejestru PESEL z uwzględnieniem związania ww. wyrokami, na mocy art. 170 P.p.s.a. W tym zakresie organ powołał się na poglądy judykatury (por. wyrok WSA w Gdańsku z 27 marca 2024r. sygn. akt I SA/Gd 1109/23; wyrok NSA z 28 października 2022r. sygn. akt III FSK 778/22; wyroki NSA z: 31 maja 2016r. sygn. akt II OSK 2295/14; 24 listopada 2020r. sygn. akt II FSK 1014/19; 14 listopada 2023r. sygn. akt III OSK 2623/21; wyrok WSA w Warszawie z 29 sierpnia 2018r. sygn. akt II SA/Wa 484/18 oraz wyrok NSA z 28 czerwca 2019r. sygn. akt I OSK 4282/18) oraz wskazał, że gdy zachodzi związanie prawomocnym orzeczeniem Sądu i ustaleniami faktycznymi, które legły u jego podstaw, niedopuszczalne jest w innej sprawie o innym przedmiocie dokonywanie ustaleń i ocen prawnych sprzecznych z prawomocnie osądzoną sprawą. Rozstrzygnięcie zawarte w prawomocnym orzeczeniu stwarza stan prawny taki, jaki z niego wynika. Sądy rozpoznające między tymi samymi stronami inny spór muszą przyjmować, że dana kwestia prawna kształtuje się tak, jak przyjęto w prawomocnym, wcześniejszym wyroku. Jakkolwiek związanie prawomocnym wyrokiem wiąże tylko w danej sprawie, może odnosić się do innych postępowań w zakresie, w jakim w wyroku tym rozstrzygnięta została określona kwestia prawna, która ma znaczenie dla rozstrzygnięcia w innej sprawie jako zagadnienie wstępne, czy też dalszy element kształtujący proces stosowania prawa przez Sąd. WSA w Lublinie w wyroku z 7 listopada 2019r. sygn. akt II SA/Lu 392/19 wskazał, że art. 153 p.p.s.a. wyraża zasadę związania sądu oraz organu, którego działanie lub bezczynność były przedmiotem zaskarżenia, oceną prawną wyrażoną w orzeczeniu sądu. Ocena prawna, o której stanowi ten przepis, może dotyczyć zarówno samej wykładni prawa, jak i braku wyjaśnienia w kontrolowanym postępowaniu administracyjnym istotnych okoliczności stanu faktycznego. Z kolei art. 170 p.p.s.a. przewiduje, że orzeczenie prawomocne wiąże nie tylko strony i sąd, który je wydał, lecz również inne sądy i inne organy państwowe, a w przypadkach w ustawie przewidzianych także inne osoby. Związanie oceną prawną, o której mowa w art. 153 p.p.s.a. i w art. 170 p.p.s.a., oznacza, że takie orzeczenie ma istotne znaczenie dla prowadzonych po jego wydaniu postępowań administracyjnych i sądowoadministracyjnych, dotyczących powiązanych przedmiotowo spraw. Prezes UODO podzielił też pogląd doktryny, że jakkolwiek związanie prawomocnym wyrokiem wiąże tylko w danej sprawie, może odnosić się do innych postępowań w zakresie, w jakim w wyroku tym rozstrzygnięta została określona kwestia prawna, która ma znaczenie dla rozstrzygnięcia w innej sprawie jako zagadnienie wstępne, czy też dalszy element kształtujący proces stosowania prawa przez sąd (B. Dauter (w:) A. Kabat, M. Niezgódka-Medek, B. Dauter, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, wyd. II, LEX/el. 2021, art. 170). Artykuł 170 p.p.s.a. posiada charakter porządkujący i oznacza, że w sprawie, w której zapadło prawomocne orzeczenie sądu administracyjnego, podmioty, których dotyczy to orzeczenie są zobowiązane do uznania, iż kwestia prawna stanowiąca treść rozstrzygnięcia sądu kształtuje się tak jak zostało to w nim stwierdzone. Niedopuszczalne jest zatem, aby inny podmiot poza ściśle określonymi w działach VII i Vlla p.p.s.a. przypadkami podważał lub zmieniał treść orzeczenia. Moc wiążąca prawomocnego orzeczenia sądu administracyjnego jest wyznaczona przez granice przedmiotowe rozpoznawanej sprawy, które "zgodnie z regułami rządzącymi postępowaniem sądowoadministracyjnym są wyznaczone przez rzeczywisty zakres rozstrzygnięcia zawartymi w tym wyroku" (T. Woś (w:) H. Knysiak-Sudyka, M. Romańska, T. Woś, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, wyd. VI, Warszawa 2016, art. 171), a zatem zakres rozstrzygnięcia dotyczącego oceny legalności działania lub zaniechania organu administracji publicznej wyznacza granice przedmiotowe danej sprawy. Natomiast granice podmiotowe zakresu związania orzeczeniem sądu administracyjnego art. 170 p.p.s.a. określa, jako istota mocy wiążącej prawomocnego orzeczenia sądu określona w komentowanym przepisie wyraża się w tym, że organy państwowe muszą brać pod uwagę fakt istnienia i treść prawomocnego orzeczenia sądu oraz ogół skutków prawnych z niego wynikających (Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, red. R. Hauser. M. Wierzbowski, Legalis 2021, art. 170, teza 1). Nie budzi więc wątpliwości, że zarówno sądy jak i organy administracji publicznej zobowiązane są do wykonania i respektowania prawomocnego wyroku Sądu administracyjnego. Prezes UODO wskazał też, że Prezes RM w ww. Decyzji polecił Spółce "realizację działań w zakresie przeciwdziałania COVID-19, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia Wyborów, w szczególności poprzez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych i kadrowych. Następstwem wydania ww. Decyzji było złożenie przez Spółkę do Ministra ww. Wniosku o przekazanie danych z Rejestru PESEL w związku z realizacją zadań związanych z organizacją Wyborów w formie elektronicznej. Spółka powołała się na art. 99 u.s.i.w., który w brzmieniu z dnia złożenia Wniosku przewidywał, że operator wyznaczony w rozumieniu ustawy z 23 listopada 2012r. - Prawo pocztowe, po złożeniu przez siebie wniosku w formie elektronicznej, otrzymuje dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji organu administracji publicznej, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. Dane, o których mowa w zdaniu pierwszym, przekazywane są operatorowi wyznaczonemu, w formie elektronicznej, w terminie nie dłuższym niż 2 dni robocze od dnia otrzymania wniosku. Operator wyznaczony uprawniony jest do przetwarzania danych wyłącznie w celu, w jakim otrzymał te dane. Minister, realizując ww. Wniosek, udostępnił Spółce (operator wyznaczonym do świadczenia usług powszechnych na lata 2016-2025) [...] kwietnia 2020r. dane osobowe zawarte w Rejestrze PESEL - przez wydanie płyty DVD. W ocenie Prezesa UODO - wobec istnienia w obrocie prawnym ww. wyroków: WSA z 15 września 2020r. sygn. akt VII SA/Wa 992/20 (stwierdzającego nieważność ww. Decyzji Prezesa RM), utrzymanego w mocy ww. wyrokiem NSA z 28 czerwca 2024r. sygn. akt III OSK 4524/21 oraz ww. wyroku WSA z 26 lutego 2021r. sygn. akt IV SA/Wa 1817/20 (stwierdzającego bezskuteczność czynności Ministra z [...] kwietnia 2020r. polegającej na udostępnieniu Spółce danych osobowych z Rejestru PESEL, dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność 10 maja 2020r. i których krajem zamieszkania jest Polska, jako wydanej z naruszeniem przepisów prawa, obowiązujących w dacie jej dokonania), utrzymanego w mocy ww. wyrokiem NSA z 13 marca 2024r. sygn. akt II OSK 1630/21 - Spółka nie legitymowała się żadną z przesłanek z art. 6 ust. 1 RODO do przetwarzania ww. danych w powyższym celu. W kontekście bowiem stwierdzenia nieważności ww. Decyzji Prezesa RM, nakładającego na Spółkę obowiązek, o którym mowa w art. 99 u.s.i.w. i stwierdzenia bezskuteczności czynności udostępnienia przez Ministra na rzecz Spółki danych osobowych z Rejestru PESEL, jako czynności naruszającej przepisy prawa, nie sposób uznać, by istniała podstawa prawna do pozyskania danych osobowych przez Spółkę mająca oparcie w art. 6 ust. 1 lit. c) RODO w zw. z art. 99 u.s.i.w. W dacie udostępnienia ww. danych osobowych, jak stwierdziły WSA i NSA w ww. orzeczeniach, nie istniał żaden przepis prawa przewidujący dla operatora wyznaczonego realizację zadań związanych z organizacją Wyborów, dla realizacji których niezbędne byłoby przetwarzanie danych z rejestru PESEL. Prezes UODO przywołał stwierdzenia z wyroku NSA z 13 marca 2024r. sygn. akt II OSK 1630/21, że w prawie krajowym zasady udostępniania danych z rejestru PESEL oraz rejestrów mieszkańców uregulowane zostały w przepisach ustawy o ewidencji ludności (art. 45 i n.). Dane z tego rejestru udostępnia się podmiotom wymienionym w art. 46 ust. 1, jednakże tylko w zakresie niezbędnym do realizacji ich ustawowych zadań; związek ten musi wynikać z konieczności posiadania danych osobowych objętych rejestrem dla osiągnięcia celu wyznaczonego treścią zadania (udostępnienie obligatoryjne). Dane z rejestru PESEL mogą być udostępnione także innym podmiotom określonym w art. 46 ust. 2, jednakże po spełnieniu wszystkich wymogów zawartych w tym przepisie (udostępnienie fakultatywne). Przepis art. 99 u.s.i.w. stanowi niewątpliwie przepis szczególny w stosunku do przedstawionej regulacji ogólnej dotyczącej udostępniania danych z rejestru PESEL. Spółka w swym wniosku o udostępnienie danych z rejestru PESEL, powołując się na uprawnienie wynikające z art. 99 u.s.i.w., wskazała, że "dane są potrzebne i zostaną wykorzystane wyłącznie w celu realizacji zadań związanych z organizacją Wyborów. Minister miał więc obowiązek zweryfikowania tego wniosku, a mianowicie czy wniosek ten jest uzasadniony realizacją zadań związanych z organizacją wyborów. To zaś z kolei powodowało konieczność kolejnej weryfikacji, tym razem posiadania przez operatora wyznaczonego kompetencji do realizacji zadań z zakresu organizacji wyborów, ponieważ samego art. 99 u.s.i.w. nie można uznać za źródło takiej (takich) kompetencji. Źródeł tych należy bowiem poszukiwać w przepisach prawa wyborczego (w Kodeksie wyborczym bądź w przepisach szczególnych). Gdyby w obowiązującym w dacie rozpatrywania wniosku porządku prawnym nie było odpowiednich przepisów udzielających Spółce kompetencji związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej, tym samym przedmiotowy wniosek nie powinien być uwzględniony. NSA stwierdził też, że "Przede wszystkim przepisy ustawy - Kodeks wyborczy nie przewidywały dla operatora wyznaczonego w rozumieniu ustawy - Prawo pocztowe konieczności przetwarzania danych osobowych do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej. (...) Gdyby więc ustawodawca uznał, że zachodzi potrzeba wprowadzenia w tych niewątpliwie nadzwyczajnych okolicznościach niezbędnej regulacji prawnej przewidującej dla operatora wyznaczonego realizację zadań, głównie natury technicznej, związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej, które uzasadniałaby nadto przetwarzanie danych z rejestru PESEL na potrzeby realizacji tych zadań, taka regulacja mogłaby zostać wprowadzona do porządku prawnego w drodze ustawy. Dopiero wówczas pozytywna regulacja w tej materii mogłaby stanowić podstawę do procedowania w oparciu o art. 99 u.s.i.w. (...) W dniu podjęcia zaskarżonej czynności brak było innych przepisów rangi ustawowej przewidujących dla operatora wyznaczonego materialnoprawnej (ustawowej) kompetencji do przetwarzania danych osobowych na potrzeby realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej. Brak ich w szczególności w ustawie COViD-19. Zasady i tryb przeprowadzania wyborów Prezydenta Rzeczypospolitej Polskiej określa ustawa (art. 127 ust. 7 Konstytucji). Oznacza to, że zadania związane z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej przewidziane dla komisji wyborczych, komisarzy wyborczych, urzędników wyborczych, organów gmin itd. określone być mogą w przepisach rangi ustawowej. Także zadania o charakterze technicznym w procedurze wyborczej, przewidziane dla operatora wyznaczonego w rozumieniu ustawy - Prawo pocztowe, przede wszystkim związane z przetwarzaniem danych osobowych, mogą zostać uregulowane jedynie w ustawie. Jak już wskazano, Decyzji Prezesa RM, polecającej Spółce realizację określonych w niej działań, przykładowo w niej wymienionych, jest mowa o czynnościach zmierzających do przygotowania i przeprowadzenia Wyborów. Z rozstrzygnięcia zawartego w tej decyzji nie wynika potrzeba przetwarzania przez spółkę danych osobowych z rejestru PESEL w związku z poleceniem podjęcia tych działań". Prezes UODO przytoczył też uzasadnienia ww. wyroku WSA z 26 lutego 2021r. sygn. akt IV SA/Wa 1817/20), z którego wynika, że zaskarżona czynność jest wadliwa albowiem została podjęta z naruszeniem przez Ministra art. 99 u.s.i.w., polegającym na udostępnieniu Spółce danych z rejestru PESEL w sytuacji, w której wbrew wymaganiom ww. przepisu brak było podstaw do uznania, że dane te były potrzebne Spółce do zadeklarowanej przez nią we wniosku realizacji zadań związanych z organizacją Wyborów. W dacie dokonania zaskarżonej czynności przez Ministra ([...] kwietnia 2020r.) Spółce nie przysługiwały bowiem żadne własne kompetencje w zakresie organizacji Wyborów, do wykonania których potrzebne były udostępnione przez Ministra dane. Jednocześnie na żadnym etapie sprawy Spółka nie powoływała się na fakt, a przede wszystkim nie wykazała, że udostępnione dane miałyby jej być potrzebne (stosownie do przewidzianej w przepisie alternatywy) w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. Organ, do którego wpłynął wniosek Spółki o udostępnienie na podstawie art.99 u.s.i.w. danych z rejestru PESEL, potrzebnych do realizacji zadań związanych z organizacją Wyborów bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej, winien był stwierdzić w oparciu o obowiązujące ustawodawstwo, że: 1) Spółce nie przysługują żadne kompetencje (zadania) w zakresie organizacji Wyborów, do realizacji których niezbędne byłoby udostępnienie ww. danych, 2) na Spółkę nie zostały nałożone żadne inne obowiązki, które takiego udostępnienia by wymagały. Oznacza to, że ustawowe przesłanki do udostępnienia Spółce danych z rejestru PESEL, przewidziane w art.99 u.s.i.w., nie zostały spełnione". Prezes UODO przytoczył też stwierdzenia zawarte w wyroku NSA z 28 czerwca 2024r. sygn. akt III OSK 4524/21, że art. 11 ust. 2 ustawy covidowej nie mógł stanowić wyłącznej i samodzielnej podstawy prawnej wydania przez Prezesa RM Spółce polecenia "podjęcia i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 roku w trybie korespondencyjnym". Wydając decyzję organ nie powołał się na żaden przepis prawa, w oparciu o który dałoby się odtworzyć materialnoprawną podstawę wydanego Spółce polecenia. Na tej podstawie organ podniósł, że Sądy nie znalazły podstawy prawnej do wydania Spółce polecenia zobowiązującego do podjęcia czynności zmierzających do przygotowania przeprowadzenia wyborów prezydenckich w trybie korespondencyjnym. Zasadniczą przyczyną tak kategorycznej oceny jest fakt, że na dzień wydania ww. Decyzji nie obowiązywała podstawa prawna, która umożliwiałaby przeprowadzenie Wyborów wyłącznie w trybie korespondencyjnym, a skoro tak, to z założenia nie mogła obowiązywać podstawa prawna do wydania polecenia, które zobowiązywałoby do podjęcia czynności zmierzających do przygotowania ich przeprowadzenia. Prezes UODO powołał się też na sformułowania zawarte w wyroku WSA z 15 września 2020r. sygn. akt VII SA/Wa 992/20, że w dacie orzekania przez Prezesa RM nie istniał żaden przepis rangi ustawowej, który wyłączałby stosowanie art. 157 § 1 w zw. z art. 187 § 1 i § 2 Kodeksu wyborczego, przyznając uprawnienia PKW jakiemukolwiek innemu organowi administracji publicznej. Nie można w tym zakresie skutecznie prawnie twierdzić, że takim przepisem był art. 11 ust. 2 w zw. z art. 11 ust. 2a, ust. 3 ustawy COViD-19. Powołane przepisy, mające zdaniem organu stanowić podstawę prawną treści wydawanego polecenia, nie pozwalały Prezesowi RM na takie działanie, które w rzeczywistości stanowiło niedopuszczalną prawnie zmianę ustawy - Kodeks wyborczy. To, że organ ten został upoważniony do wydawania poleceń w związku z przeciwdziałaniem COVID-19 nie jest równoznaczne z tym, że został upoważniony do zmiany prawa obowiązującego przez określenie innej, niż PKW osoby, jako uprawnionej do jakichkolwiek czynności w zakresie przygotowania wyborów prezydenckich, w drodze decyzji administracyjnej. Prezes RM, wydając Decyzję, wywiódł podstawę prawną zawartego w niej polecenia z art. 11 ust. 2 w zw. z art. 11 ust. 2a, ust. 3 ustawy COViD-19. Tym niemniej przepisy te nie upoważniały tego organu do polecenia Spółce "realizacji działań w zakresie przeciwdziałania COVID-19, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020r., w trybie korespondencyjnym, w szczególności poprzez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych kadrowych". Powołane w Decyzji przepisy upoważniały wyłącznie do wydawania poleceń w związku z przeciwdziałaniem COVID-19, a nie takich, jakie określone zostały w sentencji decyzji, w zakresie dotyczącym Wyborów. Prezes UODO w pełni podzielił ww. stanowiska Sądów administracyjnych i dokonaną przez nie kompleksową analizę stanu prawnego obowiązującego w dacie wydania ww. Decyzji Prezesa RM i w dacie przekazania danych osobowych przez Ministra na rzecz Spółki i stwierdził, że w sprawie nie zachodziła żadna z przesłanek z art. 6 ust. 1 RODO uprawniająca do pozyskania i przetwarzania przez Spółkę ww. danych w celu realizacji zadań związanych z organizacją Wyborów. Spółka otrzymała jednak i przetwarzała udostępnione jej dane osobowe w okresie od ich przekazania przez Ministra ([...] kwietnia 2020r.) aż do chwili ich usunięcia ([...]-[...] maja 2020r.). Udostępnienia danych osobowych i ich przetwarzania miało miejsce pomimo tego, że Spółka nie posiadała do tego podstaw prawnych. Prezes UODO zaznaczył, że w analizowanym stanie faktycznym wątpliwości nie budzi, że Spółka pełniła funkcję administratora ww. danych osobowych. Spółka otrzymawszy dane osobowe w związku ze złożonym przez siebie wnioskiem, samodzielnie dokonywała działań pozwalających przypisać jej funkcję administratora danych, zgodnie z art. 4 pkt 7 RODO, m.in. ustalając sposoby przetwarzania danych osobowych udostępnionych jej przez Ministra. W Wytycznych 07/2020 Europejskiej Rady Ochrony Danych (zwana dalej "EROD"), wskazano, że "Definicja administrowania może wynikać z przepisów prawa lub analizy elementów stanu faktycznego lub okoliczności sprawy". Zasady dostępu do danych osobowych przetwarzanych w ramach Rejestru PESEL oraz cele, w jakich taki dostęp może nastąpić, szczegółowo określają przepisy prawa, w tym ustawa o ewidencji ludności. WSA w uzasadnieniu wyroku z 15 września 2020r. sygn. akt VII SA/Wa 992/20 wskazał, że jedynym najwyższym organem wyborczym Rzeczypospolitej Polskiej uprawnionym do jakichkolwiek działań związanych z wyborami powszechnymi była w dniu wydania Decyzji PKW, a nie Prezes RM. Kompetencje PKW nie zostały także - do dnia wydawania Decyzji - w żaden prawny sposób przyznane innemu organowi publicznemu lub podmiotowi. Wydanie przez Prezesa RM Decyzji, polecającej Spółce podjęcie działań - leżących z mocy ustawy wyłącznie w gestii PKW i KBW - a polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia Wyborów, w szczególności przez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych kadrowych stanowiło więc rażące naruszenie ww. przepisów Kodeksu wyborczego. Wdacie orzekania przez Prezesa RM nie istniał żaden przepis rangi ustawowej, który wyłączałby stosowanie art. 157 § 1 w zw. z art. 187 § 1 i § 2 Kodeksu wyborczego, przyznając uprawnienia PKW jakiemukolwiek innemu organowi administracji publicznej. Nie można w tym zakresie skutecznie prawnie twierdzić, że takim przepisem był art. 11 ust. 2 wzw. z art. 11 ust. 2a, ust. 3 ustawy COVID-19. Wprawdzie 6 kwietnia 2020r. Sejm RP uchwalił ustawę o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020r., przewidującą przeprowadzenie wyborów wyłącznie w formie korespondencyjnej, ale ustawa ta nie uzyskała poparcia Senatu R.P., który 5 maja 2020r. wniósł o jej odrzucenie. Sejm odrzucił uchwałę Senatu, a Prezydent Rzeczypospolitej ustawę podpisał, ale dopiero 8 maja 2020r. Ustawa ta weszła w życie 9 maja 2020r.". Powołane przez Prezesa RM w Decyzji, jako podstawa prawna art. 11 ust. 2 w zw. żart. 11 ust. 2a, ust. 3 ustawy COVID- 19 oraz wywołanych nimi sytuacji kryzysowych do wydawania poleceń określonym podmiotom wyraźnie stanowiły, że polecenia te mają pozostawać w związku z przeciwdziałaniem COVID-19. Przepisy te nie upoważniały natomiast Prezesa RM do zlecenia czynności zmierzających do przygotowania przeprowadzenia wyborów Spółce, a w efekcie do faktycznej zmiany prawa obowiązującego (ustawy Kodeks wyborczy) poprzez wydanie decyzji o podjęciu i realizacji przez jakikolwiek inny podmiot niż Krajowe Biuro Wyborcze, niezbędnych czynności zmierzających do przygotowania przeprowadzenia Wyborów. NSA w uzasadnieniu wyroku z 28 czerwca 2024r. sygn. akt III OSK 4524/21 stwierdził zaś w szczególności, że art. 11 ust. 2 ustawy covidowej nie mógł stanowić wyłącznej i samodzielnej podstawy prawnej wydania przez Prezesa RM Spółce polecenia "podjęcia i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 roku w trybie korespondencyjnym". Wydając decyzję organ nie powołał się na żaden przepis prawa, w oparciu o który dałoby się odtworzyć materialnoprawną podstawę wydanego Spółce polecenia. Tak Sąd pierwszej instancji, jak i Naczelny Sąd Administracyjny nie znajdują podstawy prawnej dla wydania Spółce polecenia zobowiązującego do podjęcia czynności zmierzających do przygotowania przeprowadzenia wyborów prezydenckich w trybie korespondencyjnym. Zasadniczą przyczyną tak kategorycznej oceny jest fakt, że na dzień wydania Decyzji nie obowiązywała podstawa prawna, która umożliwiałaby przeprowadzenie Wyborów, a skoro tak, to z założenia nie mogła obowiązywać podstawa prawna do wydania polecenia, które zobowiązywałoby do podjęcia czynności zmierzających do przygotowania ich przeprowadzenia. Wyłączną kompetencję do podjęcia działań związanych z organizacją i przeprowadzeniem wyborów prezydenckich posiada Krajowe Biuro Wyborcze, które obsługuje Państwową Komisję Wyborczą. To Krajowe Biuro Wyborcze ma podjąć wszelkie niezbędne działania zapewniające organom wyborczym odpowiednie warunki i zasoby organizacyjne, osobowe, techniczne i finansowe konieczne do przeprowadzenia wyborów. Wydanie polecenia zobowiązującego Spółkę do "podjęcia i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 r., w trybie korespondencyjnym, w szczególności poprzez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych kadrowych" w sposób oczywisty ingeruje w kompetencje Krajowego Biura Wyborczego. To nie P., lecz Krajowe Biuro Wyborcze posiada prawne umocowanie do zapewnienia warunków niezbędnych do przeprowadzenia wyborów. WSA w wyroku z 26 lutego 2021r. sygn. akt IV SA/Wa 1817/20) stwierdził bezskuteczności czynności Ministra z [...] kwietnia 2020r. polegającej na udostępnieniu Spółce danych osobowych z rejestru PESEL, wskazując że czynność ta była wadliwa, bo została podjęta z naruszeniem przez Ministra art. 99 u.s.i.w. "Przyjęcie, iż art.99 u.s.i.w. co do zasady stanowił wskazaną w art.6 ust.3 RODO podstawę do przetwarzania danych w celach wskazanych w art. 6 ust. 1 lit. c i e RODO nie zwalniało jednakże administratora rejestru PESEL (...) z obowiązku wyczerpującego zbadania warunków i zakresu dopuszczalnego przetwarzania (tj. udostępnienia danych Uczestnikowi)". "rekonstrukcja przez Organ normy prawnej, mającej wynikać z art.99 u.s.i.w., konieczna do ustalenia precyzyjnego zakresu uprawnień Uczestnika i kompetencji Ministra, które ewentualnie mogłyby być realizowane w oparciu o art.99 u.s.i.w., nie mogła opierać się na założeniu, iż przepis ten samodzielnie i arbitralnie, tj. w oderwaniu od innych uregulowań systemu prawa, upoważniał Organ do udostępnienia Uczestnikowi danych z rejestru PESEL, czy też, że wystarczającą podstawą do udostępnienia tych danych mogło być w szczególności: 1) samo zadeklarowanie przez Uczestnika, że dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej (bądź też hipotetyczne zadeklarowanie, iż dane te są potrzebne w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej) ewentualnie; 2) wydanie przez Prezesa RM, na podstawie art. 11 ust. 2 w zw. z art. 11 ust. 2a i 3 ustawy z dnia 2 marca 2020 r., decyzji z dnia [...] kwietnia 2020 r. znak [...], polecającej Uczestnikowi realizację działań w zakresie przeciwdziałania COVID-19, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej w 2020 r. w trybie korespondencyjnym. (...) legalność udostępnienia Uczestnikowi w dniu [...]kwietnia 2020 r., na podstawie art.99 u.s.i.w., danych osobowych z prowadzonego przez Organ rejestru PESEL, dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność dnia 10 maja 2020 r. i których krajem zamieszkania jest Polska, była bezwzględnie uzależniona od ustalenia przez Organ, iż w dacie tej Uczestnik posiadał ustawowo określone kompetencje w zakresie realizacji takich zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej, które uzasadniały dysponowanie w/w danymi, ewentualnie, że na Uczestniku spoczywały wówczas jakiekolwiek inne obowiązki nałożone przez organy administracji rządowej, które również uzasadniałyby dysponowanie przez Uczestnika danymi z rejestru PESEL. Oznacza to, iż przy rekonstrukcji normy wynikającej z art.99 u.s.i.w. Organ był zobligowany do uwzględnienia w szczególności przepisów regulujących w dacie dokonania zaskarżonej czynności zasady przeprowadzania wyborów Prezydenta Rzeczypospolitej Polskiej i ewentualnie przewidziane tam kompetencje i zadania Uczestnika". "(...) Organ, do którego wpłynął wniosek Uczestnika o udostępnienie na podstawie art.99 u.s.i.w. danych z rejestru PESEL, potrzebnych do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej, winien był stwierdzić w oparciu o obowiązujące ustawodawstwo, że: 1) Uczestnikowi nie przysługują żadne kompetencje (zadania) w zakresie organizacji wyborów Prezydenta Rzeczypospolitej Polskiej, do realizacji których niezbędne byłoby udostępnienie w/w danych, 2) na Uczestnika nie zostały nałożone żadne inne obowiązki, które takiego udostępnienia by wymagały. Oznacza to, iż ustawowe przesłanki do udostępnienia Uczestnikowi danych z rejestru PESEL, przewidziane w art.99 u.s.i.w., nie zostały spełnione". "Uznać należy, iż w dniu [...] kwietnia 2020 r. Uczestnik nie spełniał żadnego z warunków, uprawniających go do uzyskania z rejestru PESEL danych dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność dnia 10 maja 2020 r. i których krajem zamieszkania jest Polska. Stosownie do powyższego: (i) Uczestnik nie spełniał wymogów do obligatoryjnego uzyskania danych, określonych w art.46 ust. 1 pkt 1-6 u.e.l., albowiem nie był którymkolwiek z podmiotów wymienionych w pkt 1 - 3 i 6, a o ile przyjąć nawet, iż jako jednoosobowa spółka Skarbu Państwa jest on państwową jednostką organizacyjną, o której mowa w pkt 6, to nie wykazał, iż dane te były mu potrzebne do realizacji zadań publicznych określonych w odrębnych przepisach; (ii) Uczestnik nie spełniał przesłanek do fakultatywnego uzyskania danych, określonych w art.46 ust. 2 pkt 1 - 5u.e.l., w tym w szczególności nie wykazał, iż w dacie udostępnienia legitymował się jakimkolwiek własnym, tj. dotyczącym sfery jego uprawnień i obowiązków jako podmiotu prawa (nie zaś związanym z ewentualnym wykonywaniem obowiązków o charakterze publicznym) interesem w uzyskaniu danych dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność dnia 10 maja 2020 r. i których krajem zamieszkania jest Polska". NSA w wyroku z 13 marca 2024r. sygn. akt II OSK 1630/21) stwierdził m.in., że Spółka "w swym wniosku o udostępnienie danych z rejestru PESEL, powołując się na uprawnienie wynikające z art. 99 ustawy, wskazała, że "dane są potrzebne i zostaną wykorzystane wyłącznie w celu realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej". Minister Cyfryzacji miał więc obowiązek zweryfikowania tego wniosku, a mianowicie czy wniosek ten jest uzasadniony realizacją zadań związanych z organizacją wyborów. To zaś z kolei powodowało konieczność kolejnej weryfikacji, tym razem posiadania przez operatora wyznaczonego kompetencji do realizacji zadań z zakresu organizacji wyborów, ponieważ samego art. 99 ustawy z 2020 r. nie można uznać za źródło takiej (takich) kompetencji. Źródeł tych należy bowiem poszukiwać w przepisach prawa wyborczego (w Kodeksie wyborczym bądź w przepisach szczególnych). Gdyby w obowiązującym w dacie rozpatrywania wniosku porządku prawnym nie było odpowiednich przepisów udzielających P. S.A. kompetencji związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej, tym samym przedmiotowy wniosek nie powinien być uwzględniony". "Przede wszystkim przepisy ustawy - Kodeks wyborczy nie przewidywały dla operatora wyznaczonego w rozumieniu ustawy - Prawo pocztowe konieczności przetwarzania danych osobowych do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej". "Gdyby więc ustawodawca uznał, że zachodzi potrzeba wprowadzenia w tych niewątpliwie nadzwyczajnych okolicznościach niezbędnej regulacji prawnej przewidującej dla operatora wyznaczonego realizację zadań, głównie natury technicznej, związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej, które uzasadniałaby nadto przetwarzanie danych z rejestru PESEL na potrzeby realizacji tych zadań, taka regulacja mogłaby zostać wprowadzona do porządku prawnego w drodze ustawy. Dopiero wówczas pozytywna regulacja w tej materii mogłaby stanowić podstawę do procedowania w oparciu o art. 99 ustawy z 2020 r." "W dniu podjęcia zaskarżonej czynności brak było innych przepisów rangi ustawowej przewidujących dla operatora wyznaczonego materialnoprawnej (ustawowej) kompetencji do przetwarzania danych osobowych na potrzeby realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej. Brak ich w szczególności w ustawie z 2020 r. i w ustawie COVID- 19". "Z rozstrzygnięcia zawartego w tej decyzji [Decyzji PRM z [...] kwietnia 2020 r. - przyp. wł.] nie wynika potrzeba przetwarzania przez spółkę danych osobowych z rejestru PESEL w związku z poleceniem podjęcia tych działań". "Nie znajduje usprawiedliwienia zarzut naruszenia przez Sąd pierwszej instancji art. 46 ust. 2 pkt 1 ustawy o ewidencji ludności przez błędną wykładnię tego przepisu. Przewiduje on możliwość udostępnienia danych z rejestru PESEL oraz rejestru mieszkańców osobom i jednostkom organizacyjnym, jeżeli wykażą w tym interes prawny. Sąd w trakcie wyjaśniania podstawy prawnej swego rozstrzygnięcia nawiązał, i słusznie, do regulacji prawnej zawartej w art. 46 ust. 1 i 2 ustawy o ewidencji ludności stwierdzając, że w jego ocenie nie można przyjmować, by brak podstaw do udostępnienia danych z rejestru PESEL w oparciu o art. 99 ustawy z 2020 r. mógł być konwalidowany przez wykazanie, że operator wyznaczony w rozumieniu ustawy - Prawo pocztowe spełnia wymogi udostępnienia mu danych z rejestru na zasadach ogólnych. W odniesieniu do możliwości fakultatywnego udostępniania danych na podstawie art. 46 ust. 2 pkt 1 ustawy o ewidencji ludności stwierdził, że spółka w swym wniosku nie powoływała się na istnienie po jej stronie własnego, indywidualnego interesu prawnego w zakresie jej uprawnień lub obowiązków do przetwarzania danych z rejestru, lecz na wykonywanie zadań o charakterze publicznym. Spółka składając wniosek nie występowała jednak jako "podmiot zewnętrzny", ale jako organ w rozumieniu funkcjonalnym, a jak wykazano - bez kompetencji (dostatecznego ustawowego umocowania) do realizacji zadań związanych z organizacją wyborów" Na tej podstawie Prezes UODO ocenił, że wyliczenie przesłanek dopuszczalności przetwarzania danych osobowych, zawarte w art. 6 ust. 1 RODO jest enumeratywne (katalog zamknięty), a każda z nich ma charakter równoprawny, autonomiczny i niezależny. Dla legalności procesu przetwarzania danych (każdej czynności stanowiącej ich przetwarzanie) niezbędne, a zarazem wystarczające jest zatem spełnienie jednej z nich. Ze względu na to, że oceniany proces przetwarzania danych przez Spółkę miał służyć realizacji określonych zadań w sferze publicznej, do podjęcia których Spółka miała być zobligowana Decyzją Prezesa RM, należało dokonać weryfikacji z punktu widzenia spełnienia wymogów określonych art. 6 ust. 1 lit. c) RODO. Decydującymi z punktu widzenia oceny legalności analizowanych działań Spółki w kontekście przepisów o ochronie danych osobowych są ww. wyroki: WSA z 15 września 2020r. sygn. akt VII SA/Wa 992/20 (stwierdzający nieważność Decyzji Prezesa RM), utrzymanym w mocy ww. wyrokiem NSA z 28 czerwca 2024r. sygn. akt III OSK 4524/21 oraz WSA z 26 lutego 2021r. sygn. akt IV SA/Wa 1817/20 (stwierdzający bezskuteczność czynności Ministra z [...] kwietnia 2020r. polegającej na udostępnieniu Spółce z Rejestru PESEL danych osobowych dotyczących żyjących obywateli polskich, którzy uzyskali pełnoletność 10 maja 2020r. i których krajem zamieszkania jest Polska, jako wydanej z naruszeniem przepisów prawa obowiązujących w dacie jej dokonania), utrzymany w mocy ww. wyrokiem NSA z 13 marca 2024r. sygn. akt II OSK 1630/21). Wyrażona w ww. orzeczeniach ocena prawna dotycząca działań Prezesa RM oraz Ministra rzutuje na ocenę działań Spółki - będących następstwem i realizacją Decyzji Prezesa RM i skutkuje koniecznością uznania, że przetwarzanie danych osobowych przez Spółkę (w sposób polegający na ich pozyskaniu od Ministra i poddaniu procesowi dalszego przetwarzania dla celów związanych z organizacją Wyborów, który to proces zakończył się finalnie z chwilą usunięcia tych danych) nie znajdowało oparcia w art. 6 ust. 1 RODO. Prezes UODO, mając na uwadze, że w ww. wyrokach stwierdzono nieważność ww. Decyzji oraz bezskuteczność czynności Ministra służącej zapewnieniu Spółce możliwości realizacji obowiązków (udostępnienia na rzecz Spółki danych osobowych z rejestru PESEL), jako czynności naruszającej przepisy prawa, uznał, że czynności przetwarzania danych (pozyskanie ich i poddanie procesowi dalszego przetwarzania dla celów organizacji wyborów przez Spółkę) nie znajdowało oparcia wart. 6 ust. 1 lit c) RODO. Wskazane w ww. orzeczeniach ustalenia i oceny prawne Sądów administracyjnych obligują do przyjęcia, że skoro w dacie realizacji ww. czynności przetwarzania danych nie istniała po stronie Spółki norma kompetencyjna uprawniająca ją do działań w obszarze przygotowania Wyborów, to pozyskania i dalsze przetwarzania przez Spółkę danych dla potrzeb związanych z przygotowaniem Wyborów, to czynności przetwarzania nie sposób uznać za realizowane w celu wypełnienia obowiązków spoczywających na ww. administratorach, ani z punktu widzenia realizacji tych obowiązków niezbędne. Prezes UODO - będąc związanym stanowiskami ww. Sądów administracyjnych i dokonaną przez nie kompleksową analizą stanu prawnego obowiązującego w dacie wydania Decyzji Prezesa RM i w dacie przekazania danych osobowych przez Ministra na rzecz Spółki wyrażonymi w ww. wyrokach (ich pozyskania przez Spółkę od Ministra), w pełni je podzielając – ustalił, że w sprawie nie zachodziła przesłanka z art. 6 ust. 1 lit. c) RODO uprawniająca do pozyskania i przetwarzania przez Spółkę w okresie od [...] kwietnia do [...]-[...] maja 2020r. w celu realizacji zadań związanych z organizacją Wyborów. Z tego samego powodu czynności przetwarzania (pozyskanie i poddanie procesowi dalszego przetwarzania przez Spółkę) nie mogą być ocenione jako legalne na warunkach określonych w art. 6 ust. 1 lit. e) RODO. W obu ww. przypadkach - gdy przetwarzanie danych jest niezbędne do wykonania zadania realizowanego w interesie publicznym, jak i gdy jest ono niezbędne w ramach sprawowania władzy publicznej powierzonej administratorowi - zadanie, jak i sprawowanie władzy publicznej muszą zostać sprecyzowane w przepisach, o których mowa w art. 6 ust. 3 RODO. W sprawie – w świetle ww. wyroków - regulacje takie nie istniały. Wtórnym jest oparcie przetwarzania na podstawie z art. 6 ust. 1 lit. e) RODO wiąże się z przyznaniem osobom, których dane mają być przetwarzane, dodatkowych, szczególnych uprawnień z art. 21 RODO. Zgodnie z tym przepisem, podmiot danych jest uprawniony do wniesienia sprzeciwu, z przyczyn związanych z jego szczególną sytuacją - wobec przetwarzania dotyczących go danych osobowych. Sprzeciw skutkuje tym, że administrator nie może już przetwarzać tych danych osobowych, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, albo podstaw do ustalenia, dochodzenia lub obrony roszczeń. Działania Spółki nie wiązały się - nawet w założeniach - z zamiarem badania zasadności i respektowania ewentualnego stanowiska podmiotów danych wobec ich przetwarzania, wyrażanego w formie sprzeciwu. Zdaniem Prezesa UODO czynności przetwarzania nie znajdowały też oparcia w art. 6 ust. 1 lit. d) RODO (niezbędność przetwarzania danych do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej). Gdyby nawet próbować uznać, że czynności Spółki służyć miały realizacji żywotnych interesów osób, których dane dotyczą (niezdefiniowanym precyzyjnie celom w zakresie ochrony ich życia i zdrowia), to w sytuacji braku po stronie administratora przepisów kompetencyjnych w zakresie realizacji czynności związanych z organizacją wyborów, a zarazem braku określonych kompetencji dotyczących ochrony zdrowia, oczywistym jest, że ww. przesłanka nie mogła być spełniona. Respektowanie samodzielnego, autonomicznego charakteru przesłanek dopuszczalności przetwarzania danych nie może prowadzić do wniosków, które stałyby w sprzeczności z konstytucyjną zasadą legalizmu działania władzy publicznej. Władza ta nie może wykraczać poza zakres określonych prawem kompetencji, odwołując się do potrzeb związanych z ochroną żywotnych interesów osób, których dane dotyczą. Z jednej bowiem strony, zasadnym wydaje się założenie, że całokształt organizacji państwa - w jego sferze publicznej - służyć ma szeroko rozumianym, żywotnym interesom obywateli. Z drugiej, bez wątpienia określone struktury państwa, jak również określone podmioty sektora prywatnego, dedykowane są osiąganiu celów w obszarze ochrony życia i zdrowia, nie należy do nich Spółka. Wreszcie organizacja wyborów, również w okresie szczególnym – z uwagi na sytuację pandemiczną - sama w sobie nie służy w sposób bezpośredni ochronie życia lub zdrowia. Nie sposób zanegować potrzeby i zasadności dyskusji dotyczącej ewentualnych, adekwatnych modyfikacji w obszarze realizacji procedury wyborczej w sytuacji, gdy termin wyborów przypadał na okres pandemii, niemniej celem zasadniczym działań Spółki było przygotowanie wyborów, a nie działania służące ochronie żywotnych interesów podmiotów danych w sferze ich zdrowia. Prezes UODO z tego względu nie uznać za spełnione kryterium niezbędności analizowanego procesu przetwarzania danych pozyskania przez Spółkę dla realizacji żywotnych interesów podmiotów danych (w obszarze ochrony ich życia i zdrowia. Wedle stanowiska prezentowanego w literaturze pojęcie niezbędności przetwarzania danych z punktu widzenia ochrony żywotnych interesów podmiotów danych należy rozumieć w podobny sposób jak na gruncie przepisu art. 6 ust. 1 lit. b. Oznacza ono zatem, że przetwarzanie danych dla ochrony żywotnych interesów podmiotu danych lub innej osoby fizycznej musi być, rozsądnie oceniając, potrzebne (...) musi występować bezpośredni związek pomiędzy ochroną żywotnego interesu a potrzebą przetwarzania danych osobowych (D. Lubasz, W. Chomiczewski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, art. 6). Aby można było oprzeć przetwarzanie danych na omawianej przesłance, powinno być niezbędne do ochrony żywotnych interesów osoby, tzn. nieprzetwarzanie danych mogłoby prowadzić do zagrożenia lub naruszenia żywotnych interesów tej osoby. Rozstrzygnięcie, czy przetwarzanie danych jest niezbędne, powinno być dokonywane indywidualnie, w konkretnym przypadku, z uwzględnieniem faktycznych okoliczności przetwarzania danych (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 6). Zdaniem Prezesa UODO w sprawie brak też pozostałych przesłanek dopuszczalności przetwarzana danych, co nie wymaga szerszego uzasadnienia. Analizowany proces przetwarzania danych miał być bowiem w założeniu realizowany w ramach sprawowania władztwa publicznego. Bez wątpienia przetwarzanie danych uzasadniane koniecznością przygotowania Wyborów nie wiązało się z przyjęciem możliwości podejmowania przez podmioty danych indywidualnych decyzji odnośnie do dopuszczalności takich czynności przetwarzania danych czy ustalania ich warunków. Czynności przetwarzania danych nie były realizowane na warunkach określonych w art. 6 ust. 1 lit. a) (na podstawie zgody osób, których dane dotyczą) bądź art. 6 ust. 1 lit. b) RODO (jako niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osób, których dane dotyczą, przed zawarciem umowy). Zdaniem Prezesa UODO ustalenie, że proces przetwarzania danych osobowych przez Spółkę był realizowany mimo braku podstawy prawnej z art. 6 ust. 1 RODO wiąże się ze stwierdzeniem, że administrator naruszył swoim działaniem także art. 5 ust. 1 lit. a) RODO - łamiąc wyrażoną w nim zasadę zgodności z prawem, rzetelności i przejrzystości. W warunkach, w jakich doszło do nieuprawnionego przetwarzania przez Spółkę szczególnie obszernego zestawu danych osobowych pochodzących z Rejestru PESEL, którego potrzebę uzasadniano powołując się na trwający wówczas stan pandemii i konieczność ochrony dóbr najistotniejszych z punktu widzenia obywateli (ich życia i zdrowia – w ten sposób uzasadniano działania służące przygotowaniu przeprowadzenia Wyborów w trybie korespondencyjnym), waga i znaczenie reguł jakości danych, w tym ww. reguły oraz konieczność jej respektowania wydają się szczególnie doniosłe. "Obowiązek rzetelności przetwarzania danych oznacza, że administrator nie powinien (...) wykorzystywać jego [podmiotu danych] trudnej sytuacji, ograniczeń bądź przymusowego położenia, wykorzystywać swojej silniejszej pozycji, narzucając uciążliwe warunki przetwarzania danych, a powinien szanować wolę i respektować interesy oraz słuszne oczekiwania osoby, której dane dotyczą" (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 5). Zasada zgodności z prawem, sformułowana w art. 5 ust. 1 lit. a) RODO (będąca jedną z podstawowych zasad przetwarzania danych osobowych), określana mianem legalności przetwarzania danych, oznacza wymóg przestrzegania norm ustanowionych w przepisach prawa. Zasada zgodności przetwarzania danych z prawem ma szeroki zakres przedmiotowy, nie chodzi tu tylko o przepisy RODO, ale zawarte w innych aktach normatywnych. Wśród przepisów dotyczących przetwarzania danych szczególną rolę pełnią wymogi odnoszące się do zgodności przetwarzania z prawem (określane także, jako tzw. podstawy dopuszczalności przetwarzania danych lub przesłanki legalności przetwarzania danych), określone w przepisach art. 6, 9 i 10 RODO. Przepisy te wskazują przypadki, gdy przetwarzanie danych jest prawnie dopuszczalne. Zdaniem Prezesa UODO bezpodstawne udostępnienie danych osobowych z rejestru PESEL i ich przetwarzania przez Spółkę, zagrażało prawidłowej realizacji praw przysługującym obywatelom na mocy Konstytucji. Jest to szczególnie ważne, gdy zgodnie z art. 47 Konstytucji każda osoba ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Prawo do prywatności jest jednym z podstawowych praw człowieka, a jego ochrona stanowi element zasadniczy systemu wartości. Skutki naruszeń nieuprawnionego dostępu do informacji mogą być dochodzone na podstawie przepisów prawa cywilnego, karnego oraz administracyjnego. Sąd Apelacyjny w [...] w wyroku z [...] listopada 2019r. sygn. akt [...] wskazał, że prawo do prywatności w świetle regulacji konstytucyjnych ujmowane jest przede wszystkim przez pryzmat autonomii jednostki wywodzonej z godnościowej koncepcji osoby ludzkiej, stanowiącej, w świetle art. 30 Konstytucji, źródło wszelkich praw i wolności. Prawo do ochrony życia prywatnego, stanowiące przedmiot ochrony na gruncie art. 47 Konstytucji oznacza prawo jednostki do decydowania o swoim życiu osobistym. Jednostka, jako podmiot obdarzony autonomią woli, ma prawo samodzielnie wyznaczać obszar swojej prywatności, w szczególności wytyczać granice dostępności swojego życia osobistego i informacji o nim dla innych. Prawo do prywatności w aspekcie autonomii informacyjnej jednostki oznacza uprawnienie do decydowania, które informacje jej dotyczące dostępne będą osobom trzecim. W korelacji z ww. przepisem pozostaje art. 51 Konstytucji, zgodnie z którym każdy obywatel ma prawo do ochrony danych osobowych. Zdaniem Sądu Apelacyjnego w [...] prawo do ochrony danych osobowych stanowi emanację prawa do autonomii informacyjnej, pozwalając jednostce w określonym zakresie kontrolować sposób i zakres udostępnianych informacji jej dotyczących. W przypadku jego naruszenia, stosownie do konkretnych okoliczności sprawy, może dojść do naruszenia określonych dóbr osobistych, podlegających odrębnemu reżimowi, chronionych przepisami Konstytucji, jak również w szczególności w ramach art. 23 k.c. i 24 k.c. (wyrok z [...] sierpnia 2018r., sygn. akt [...]) Prezes UODO odwołał się też do stwierdzenia NSA, który rozpatrując kwestię bezskuteczności ww. czynności Ministra, w ww. wyroku z 13 marca 2024 r. odniósł się do zasad konstytucyjnych, wskazując, że ochrona danych osobowych obywateli, w tym ich danych znajdujących się w Rejestrze PESEL, w którym gromadzone są podstawowe dane identyfikujące tożsamość oraz status administracyjnoprawny osób fizycznych, ma silne podstawy w przepisach konstytucyjnych i prawa unijnego. W orzecznictwie i doktrynie podkreśla się, że zachodzi nierozerwalny związek pomiędzy prawem osób, których dane są przetwarzane, do ochrony tych danych z prawem do prywatności, wartością chronioną na podstawie art. 47 Konstytucji. W relacjach z organami władzy publicznej przepis ten powinien być traktowany jako zasada, od której wyjątki dopuszczalne są jedynie wówczas, gdy spełniają wymogi określone w art. 31 ust. 3 Konstytucji (por. M. Wild [w:] Konstytucja RP Komentarz, red. M. Safjan i L. Bosek, Tom I Wydawnictwo C.H. Beck Warszawa 2016, s. 1174). Zgodnie zaś z art. 51 ust. 2 Konstytucji władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym. Trybunał Konstytucyjny podkreślając znaczenie prawa do prywatności uznaje, że prawo to - podobnie jak inne prawa i wolności jednostki - nie ma charakteru absolutnego i może podlegać ograniczeniom. Konieczne jest jednak, by ograniczenia te formułowane były w sposób czyniący zadość wymaganiom konstytucyjnym (zob. wyrok TK z 24 czerwca 1997 r., sygn. K 21/96, OTK 1997/2/23). Oznacza to, że ograniczenie prawa do prywatności przejawiające się w udostępnianiu przez administratora informacji o obywatelach (danych osobowych) może nastąpić tylko wtedy, gdy przemawia za tym inna wyraźnie określona norma, zasada lub wartość konstytucyjna, a stopień tego ograniczenia pozostaje w odpowiedniej proporcji do rangi interesu, któremu ograniczenie to ma służyć". Prezes UODO, reasumując uznał, że Spółka bezpodstawnie przetwarzając dane osobowe z Rejestru PESEL naruszyła art. 6 ust. 1 RODO, a w konsekwencji zasadę zgodności z prawem wyrażoną w art. 5 ust. 1 lit. a) RODO. Prezesa UODO ustosunkowując się do pism Spółki z [...] lutego 2025r. (brak zgromadzenia w postępowaniu niezbędnych dowodów i w konsekwencji zaniechanie ustalenia całokształtu stanu faktycznego, zgodnie z art. 7, art. 77 § 1 i art. 80 k.p.a.) i z [...] lutego 2025r. wskazał, że choć Spółka złożyła wniosek o przedłużenie postępowania na podstawie art. 35 k.p.a., co najmniej o 30 dni, z uwagi na szczególne skomplikowanie sprawy, a także obszerność materiału, który należy przeanalizować, to jest on pozbawiony podstaw. Celem art. 35 k.p.a. jest zapewnienie szybkiego i sprawnego załatwiania spraw. Zgodnie z zasadą ogólną, zawartą w art. 12 k.p.a., organy administracji powinny działać w sprawie wnikliwie i szybko. Określenie "bez zbędnej zwłoki" nie oznacza, że sprawa ma być załatwiona natychmiast, ale tak szybko, jak jest to możliwe. Pracownik organu nie może zatem odłożyć załatwienia sprawy do dnia upływu ustawowego terminu jej załatwienia, ale powinien załatwić ją w jak najkrótszym terminie (R. Hauser, Terminy załatwiania spraw w k.p.a. w doktrynie i orzecznictwie sądowym, RPEiS 1997, nr 1, s. 1). Organ po zebraniu i analizie posiadanych danych powinien natychmiast rozstrzygnąć sprawę (P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2024, art. 35). Terminy określone w art. 35 k.p.a. są zakładanymi maksymalnymi terminami rozstrzygania spraw. Zdaniem Prezesa UODO w obliczu ww., prawomocnych wyroków Sądów administracyjnych w których zawarto wiążącą ocenę wskazującą na nieważność ww. Decyzji i bezskuteczność czynności Ministra z [...] kwietnia 2020r., doszło do oczywistej zmiany sytuacji prawnej, z punktu widzenia możliwości dokonania merytorycznej oceny działań Spółki ze strony organu nadzorczego oraz jej jedynego dopuszczalnego kierunku. W zmienionej rzeczywistości prawnej wydanie decyzji dotyczącej ww. działań Spółki i ich konsekwencji na gruncie przepisów o ochronie danych osobowych stało się możliwe, zasadne i konieczne oraz społecznie oczekiwane - stanowiąc wyraz realizacji obowiązku prawnego organu nadzorczego, zapewnienia przestrzegania przepisów o ochronie danych osobowych i wyciągania konsekwencji z ich naruszania. Mając na uwadze wiążący charakter ww. wyroków i fakt, że została w nich przesądzona kwestia braku prawnego uzasadnienia dla pozyskania i dalszego przetwarzania ww. danych przez Spółkę, nie można zgodzić się z argumentami Spółki dotyczącymi poziomu skomplikowania rozstrzyganej sprawy administracyjnej, czy zakresu i charakteru materiału dowodowego niezbędnego dla oceny zgodności tych działań z przepisami o ochronie danych osobowych. Skoro decyzja Prezesa UODO ogranicza się do oceny kwestii dopuszczalności ww. działań na gruncie przepisów o ochronie danych osobowych i jej konsekwencji, zaś jej kierunek został niejako zdeterminowany z uwagi na ww. wyroki, nie sposób mówić o precedensowym charakterze rozstrzygnięcia sprawy, który miałby w sposób konieczny rzutować na długość poprzedzającego jego wydanie postępowania administracyjnego (na co wskazywała Spółka we wniosku z [...] lutego 2025r.). Prezes UODO, odnosząc się do argumentów Spółki dotyczących skomplikowania lub precedensowego charakteru sprawy, a także pozostałych wniosków zawartych w piśmie z [...] lutego 2025r., ponownie zwrócił uwagę na zasadę szybkości i prostoty postępowania wynikające z art. 35 i art. 12 k.p.a. w kontekście m.in. art. 170 P.p.s.a. oraz stwierdził, że przeprowadzanie zbędnych czynności w sytuacji związania organu nadzorczego ww. wyrokami byłoby sprzeczne z zasadami ekonomiki postępowania. Prezes UODO nie znalazł podstaw do uwzględnienia wniosku Spółki z pisma z [...] lutego 2025r. o zapewnienie, na podstawie art. 10 § 1 k.p.a., rzeczywiście czynnego udziału w postępowaniu (przez realizację wniosków dowodowych) oraz wyznaczenie przed wydaniem decyzji terminu co najmniej 30 dni na zapoznanie się z kompletnymi aktami, co umożliwi rzetelne i kompleksowe wypowiedzenie się do całości dowodów i materiałów (organ nie odbierał wyjaśnień od Spółki, a jej pisma w innych postępowaniach nie mogą być uznane za wystarczające, bo sprawa ma charakter precedensowy - nigdy wcześniej analogiczna kwestia nie była badana, bo nigdy dotąd nie było analogicznej sprawy). Organ podniósł, że Spółka skorzystała z możliwości wglądu do akt postępowania dwukrotnie: 23 stycznia i 21 lutego 2025r. (po odebraniu zawiadomienia o zgromadzeniu materiału dowodowego), a ponadto żadne z pism z [...] lutego 2025r. (m.in. wnioski dowodowe), [...] lutego 2025r. (stanowisko Spółki w sprawie) nie prowadzi do uzyskania informacji, które miałyby wpływ na ocenę legalności przetwarzania uzyskanych przez Spółkę od Ministra danych (co oceniły już w sposób wiążący Sądy w ww. orzeczeniach), więc trudno doszukiwać się naruszenia art. 10 § 1 k.p.a. Na mocy art. 78 § 1 k.p.a. organ prowadzący postępowanie administracyjne ma obowiązek uwzględnić żądania strony dotyczącego przeprowadzenia dowodu wyłącznie, jeżeli przedmiotem dowodu jest okoliczność mająca znaczenie dla sprawy. Organ nie jest związany żądaniami dowodowymi strony, ale ma obowiązek stosować przepisy prawa materialnego, stanowiące podstawę decyzji. Do organu należy rozstrzygnięcie, czy dopuścić dowód, czy też nie. Organ powinien najpierw rozważyć, czy dana okoliczność, dla której strona powołała środek dowodowy, wymaga udowodnienia. W tym zakresie organ przywołał wyrok NSA z 4 sierpnia 2017r. sygn. akt I OSK 1607/16 (LEX nr 2345355). Powoduje to, że tylko nieustalenie okoliczności mających znaczenie dla sprawy można uznawać za naruszenie reguł procedowania, które mogłoby mieć wpływ na treść ustaleń faktycznych, a w konsekwencji na treść orzeczenia kończącego postępowanie w danej sprawie. Przewidziane w art. 78 k.p.a. uprawnienie strony podlega ograniczeniom ze względu na celowość i szybkość postępowania. Organ może nie uwzględnić żądania przeprowadzenia dowodu, jeżeli ma to na celu przewleczenie sprawy (wyrok NSA z 29 listopada 2016r. sygn. akt II GSK 3322/15, LEX nr 2230883). NSA w wyroku z 15 grudnia 1995r. sygn. akt SA/Lu 507/95, LEX nr 27107, stwierdził, że przedmiotem dowodu musi być okoliczność mająca znaczenie prawne dla rozstrzygnięcia sprawy (art. 78 § 1 k.p.a.), a więc dotycząca przedmiotu sprawy i mająca znaczenie prawne dla rozstrzygnięcia sprawy (A. Wróbel [w:] M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel, Komentarz aktualizowany do Kodeksu postępowania administracyjnego, LEX/el. 2025, art. 78). Prezes UODO uznał wnioski dowodowe wskazane przez Spółkę za niemające znaczenia w sprawie, bo zgromadzony materiał dowodowy jest wystarczający do jej rozstrzygnięcia, a organ nie ma obowiązku uwzględniania wszystkich wniosków strony. W kontekście ww. wyroków Sądów administracyjnych - wnioskowane przez Spółkę czynności dowodowe, służą wykazaniu okoliczności, które nie wymagają już dowodu lub okoliczności niemających znaczenia z punktu widzenia rozstrzygnięcia sprawy. Organ nie ma podstaw do przeprowadzania czynności dowodowych na okoliczność legalności udostępnienia przez Ministra – w ramach czynności służących przygotowaniu do przeprowadzenia Wyborów, które miały się odbyć 10 maja 2020r. - określonych danych osobowych z Rejestru PESEL na rzecz Spółki i ich pozyskania i dalszego przetwarzania przez Spółkę. Kwestię braku podstaw prawnych dla ww. działań jednoznacznie rozstrzygnęły Sądy administracyjne, a ocena ta wiąże Prezesa UODO. Dlatego zasadność i kierunek rozstrzygnięcia przez organ sprawy nie może budzić wątpliwości. Zakresem rozstrzygania objęto wyłącznie ocenę prawną dopuszczalności ww. działań Spółki w kontekście przepisów o ochronie danych osobowych. Wyjaśnia to powody, dla których nie istnieją podstawy dla uwzględnienia zgłoszonych przez Spółkę wniosków dowodowych. Zdaniem Prezesa UODO pozbawione są podstaw wnioski Spółka zawarte w piśmie z [...] lutego 2025r. (o przeprowadzenie dowodów z akt wszystkich postępowań wymienionych w piśmie Zastępcy Dyrektora Departamentu Skarg z [...] lutego 2025r. i w załączniku do niego - 178 postępowań, przez dołączenie ich do akt postępowania; ewentualnie umożliwienie uzyskania wglądu do tych postępowań). Spółka bowiem, przetwarzając na co dzień ogromne ilości danych osobowych, powinna być świadoma, że zgodnie z art. 83 ust. 2 lit. e) RODO organ nadzorczy decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca w każdym indywidualnym przypadku należytą uwagę m.in. na wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego. Bierze pod uwagę wszelkie stosowne naruszenia zaistniałe po stronie administratora, co oznacza, że naruszenia dotyczące Ministra nie zostały wzięte pod uwagę przy podejmowaniu decyzji dotyczącej Spółki (i odwrotnie) - stąd wniosek Spółki o włączanie akt postępowań, których stroną był Minister, jest nieuzasadniony. Podobnie pozbawione uzasadnienia jest dołączanie do akt postępowania akt postępowań wymienionych w ww. piśmie z [...] lutego 2025r., które były prowadzone z udziałem Spółki - posiada ona bowiem wiedzę co do ich przebiegu i podjętych rozstrzygnięć i w każdej chwili może skorzystać z uprawnienia z art. 73 § 1 k.p.a. Również akta 178 postępowań administracyjnych w sprawach indywidualnych wymienione w ww. piśmie Zastępcy Dyrektora Departamentu Skarg z [...] lutego 2025r. nie zostały włączone do akt, bo dotyczą ściśle indywidualnych zarzutów formułowanych przez poszczególnych skarżących pod adresem Ministra lub Spółki i związanych z nimi ich żądań. Zakres podmiotowy i przedmiotowy tych postępowań, podobnie jak etap, na którym się znajdują, są różne. Wspólnym ich mianownikiem jest stan faktyczny leżący u podstaw zainicjowanych postępowań skargowych - tj. czynności ww. administratorów w obszarze danych osobowych związane z procedurą przygotowania do przeprowadzenia Wyborów. Niezależnie od zasadności roszczeń poszczególnych skarżących zgłaszanych w indywidualnych postępowaniach administracyjnych, liczba inicjujących je skarg wskazuje na to, że relatywnie liczna grupa obywateli zidentyfikowała po swojej stronie określone szkody związane z ww. działaniami w obszarze organizacji wyborów, a zarazem jest miernikiem społecznego oddźwięku na ww. działania. Zdaniem Prezesa UODO - zawarte przez Spółkę w pkt 4 i 5 ww. pisma z [...] lutego 2025r. wnioski o przeprowadzenie dowodu z opinii biegłego z zakresu bezpieczeństwa na okoliczność zabezpieczeń stosowanych przez Spółkę w odniesieniu do pozyskanych danych, bezpieczeństwa nośnika, procedur bezpieczeństwa stosowanych w Spółce w odniesieniu do nośnika, reglamentacji dostępu osób fizycznych, działań podjętych przez Skarżącą w odniesieniu do nośnika, sposobu zniszczenia nośnika danych co do jego trwałości i kompletności, a także o przeprowadzenie dowodu z opinii biegłego z zakresu informatyki na okoliczność potwierdzenia, że nie doszło do zapisania na dyskach twardych lub w chmurze obliczeniowej danych z nośnika, na którym Spółka dane osobowe w związku z Wyborami - nie są związane z przedmiotem decyzji, więc są pozbawione uzasadnienia. Zakresem decyzji objęto wyłącznie ocenę prawną dopuszczalności działań Spółki (pozyskania i dalszego przetwarzania przez nią tych danych bez prawnego uzasadnienia) w kontekście przepisów o ochronie danych osobowych. Prezes UODO - odnosząc się do wniosku Spółki zawartego w piśmie z [...] lutego 2025r. o przeprowadzenie dowodów w postaci zeznań trzech świadków (pkt 6 lit a-c pisma) na okoliczność: kategorii pozyskanych danych osobowych, czasu przetwarzania danych, zakresu przetwarzania, ustalenia kiedy nastąpiło zakończenie przetwarzania, w tym sposobu zniszczenia nośnika z danymi, a także dołożenia przez Spółkę należytej staranności na każdym etapie przetwarzania - zaznaczył, że okoliczności istotne wynikają z ustaleń wskazanych w wiążących wyrokach WSA i NSA, a także ze zgromadzonych w aktach dokumentów. Żaden z aspektów, których miałyby dotyczyć zeznania nie wymaga przeprowadzenia tego typu dowodów. W sytuacji, w której np. okres przetwarzania danych osobowych przez Spółkę jest możliwy do ustalenia w istotnym stopniu na podstawie wyjaśnień samej Spółki, zbędne jest przeprowadzenie dodatkowych dowodów na tę okoliczność. Byłoby to sprzeczne z zasadami ekonomiki i prowadziłoby do jego nieuzasadnionego przedłużania. Zdaniem Prezesa także wniosek Spółki z pkt 6 lit. d) ww. pisma z [...] lutego 2025r. o przeprowadzenie dowodu z zeznań świadka na okoliczność: procedur obowiązujących w Spółce w zakresie ochrony danych osobowych, współpracy z Prezesem UODO w sprawach związanych z przygotowaniem do Wyborów oraz w innych sprawach - dotyczy okoliczności niezwiązanych z przedmiotem decyzji. Jej zakresem objęto wyłącznie oceny prawna dopuszczalności działań Spółki (pozyskania i dalszego przetwarzania danych bez prawnego uzasadnienia) w kontekście przepisów o ochronie danych osobowych. Istotnym z punktu widzenia art. 83 ust. 2 lit. f) RODO jest stopień współpracy z organem nadzorczym, w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków, a nie współpraca danego podmiotu w ogólności. Zdaniem organu współpraca w sprawach związanych z przygotowaniem do Wyborów przez udzielanie odpowiedzi na wezwania wystosowane w ramach postępowań skargowych jest obowiązkiem każdego administratora (art. 31 RODO), a jej brak jest sankcjonowany przez możliwość nałożenia administracyjnej kary pieniężnej (art. 83 ust. 4 lit. a RODO). Nawet gdyby organ uwzględnił wcześniejszą współpracę Spółki (co nie ma uzasadnienia w świetle art. art. 83 ust. 2 lit. f RODO), okoliczność ta zostałaby oceniona neutralnie i nie miałaby wpływu na wymiar kary. Przeprowadzenie dowodu z zeznań świadka należy – zdaniem Prezesa UODO - ocenić jako zbędne, bo nie wpłynęłoby na sposób rozstrzygnięcia. Współpracę w celu usunięcia naruszenia też należy uznać za irrelewantną, bo naruszenie usunięto przed wszczęciem postępowania. Prezes UODO – odnosząc się do pkt 6 lit. e) ww. pisma Spółki z [...] lutego 2025r., zawierającego wniosek o przeprowadzenie dowodu z zeznań świadka na okoliczność: kondycji finansowej Spółki w latach obrotowych 2020-2024 i bieżącej sytuacji, ustalenia czy Spółka osiągnęła bezpośrednie lub pośrednie korzyści w związku z przetwarzaniem ww. danych osobowych - wskazał, że jest on pozbawiony uzasadnienia. Okoliczności te ustalono w oparciu o przedstawione przez Spółkę sprawozdanie finansowe za 2023r. i wobec nieprzedstawienia sprawozdania finansowego za 2024r. - o informacje powszechnie znane (przedstawione przez Spółkę lub przedstawiciela Ministerstwa Aktywów Państwowych, sprawującego nadzór właścicielski nad Spółką), dotyczące kondycji finansowej Spółki w tym okresie. Informacje powszechnie znane, zgodnie z art. 77 § 4 k.p.a., nie wymagające dowodu, mają więc walor wiarygodności i obiektywności. Ich analiza prowadzi do wniosków zbieżnych z tymi, które Spółka chciałaby wykazać - konieczność miarkowania kary, ze względu na kondycję finansową i uwzględnienia okoliczności braku korzyści, które Spółka miałaby osiągnąć w związku z naruszeniem. Złą kondycję finansową Spółki w latach 2023-2024 (sytuacja w okresach wcześniejszych jest nieistotna) uwzględniono jako okoliczność zdecydowanie łagodzącą wymiar kary na etapie oceniania zgodności wysokości kary z zasadą proporcjonalności. Natomiast brak korzyści związanych z popełnieniem naruszenia Prezes UODO ocenił na korzyść Spółki, nie traktując go jako okoliczności obciążającej. W tej sytuacji przeprowadzenie ww. dowodu nie miałoby wpływu na treść ustaleń faktycznych i na treść decyzji (w tym na wysokość administracyjnej kary pieniężnej nałożonej na Spółkę). Prezes UODO, odnosząc się do pkt 7 wniosku Spółki z pisma z [...] lutego 2025r. o zawiadomienie o miejscu i terminie przeprowadzenia dowodu ze świadków, na podstawie art. 79 § 1 k.p.a, wskazał, że w kontekście ww. oceny co do braku potrzeby przeprowadzania dowodów z zeznań świadków, pozostaje bezpodstawny. Prezes UODO - odnosząc się do pkt 8 ww. pisma Spółki z [...] lutego 2025r. - o przeprowadzenie rozprawy i zawiadomienie o tym pełnomocnika Spółki, na mocy art. 89 § 1 i § 2 k.p.a. – odwołał się do treści ww. przepisu i wyjaśnił, że potrzeba uzgodnienia interesów stron zachodzi wówczas, gdy "w sprawie biorą udział co najmniej dwie strony o sprzecznych interesach, które organ powinien uzgodnić (E. Iserzon [w:] Komentarz, 1970, s. 182; por. wyrok NSA w Warszawie z 19.12.1983 r., I SA 806/83, LEXnr 1689118" (A. Wróbel [w:] M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel, Komentarz aktualizowany do Kodeksu postępowania administracyjnego, LEX/el. 2025, art. 89). W sprawie ta sytuacja nie zachodzi. Prezes UODO nie znalazł też podstaw do przeprowadzenia dowodu z przesłuchania świadków lub biegłych. Nie zachodzą więc przesłanki z art. 89 § 2 k.p.a. W sprawie nie zaszły też przesłanki z art. 89 § 1 k.p.a. Organ jest obowiązany przeprowadzić rozprawę, gdy zapewni to przyspieszenie lub uproszczenie postępowania. Zdaniem Prezesa UODO przeprowadzenie rozprawy w sprawie, w której nie ma uzasadnienia przeprowadzanie dowodów ze świadków czy biegłych, byłoby zbędne. Wniosek strony o przeprowadzenie rozprawy nie jest wiążący dla organu. Nieprzeprowadzenie rozprawy, mimo wniosku strony, powinno być oceniane przez pryzmat sprawności postępowania. Z wyroku NSA z 1 grudnia 2020r. sygn. akt II OSK 3866/19 wynika, że rozprawa ma służyć organowi do jak najpełniejszego ustalenia stanu faktycznego sprawy, zwłaszcza gdy wymaga tego udział świadków, biegłych lub przeprowadzenie oględzin. Jej celem nie jest więc wyjaśnianie stronom postępowania przesłanek, którymi kieruje się organ, ani polemika z jego stanowiskiem. Objaśnianiu stronom przyczyn określonego załatwienia sprawy służy przede wszystkim możliwość zapoznania się z zebranym materiałem dowodowym oraz uzasadnienie decyzji (LEX nr 3121822). Spółka w piśmie z [...] lutego 2025r. wskazała na art. 72 u.o.d.o. i art. 83 ust. 2 RODO w kontekście możliwości nałożeniem administracyjnej kary pieniężnej oraz zawiadomieniu przez organ o zakończeniu postępowania, odwołała się do naruszeń przepisów procesowych w zakresie ustalenia np. czasu trwania przetwarzania danych osobowych i zakresu ich przetwarzania, etc przez Spółkę, wnioskując o przeprowadzenie dowodów z pkt 4-6 pisma. Zdaniem Prezesa UODO – w sprawie zbędne jest bardziej precyzyjne ustalanie czasu przetwarzania danych osobowych. Prezes UODO podniósł też, że Spółka dwukrotnie zapoznawała się z aktami (23 stycznia 2025r., kiedy w aktach znajdowały się m.in. kopie dokumentów, o których mowa w pkt 4-10 decyzji; po raz drugi - po poinformowaniu o zgromadzeniu przez Prezesa UODO materiału dowodowego, które otrzymała 19 lutego 2025r.). Ponowny wglądu w akta nastąpił 21 lutego 2025r. Prezes UODO nie zgodził się z sugestią Spółki zawartą w piśmie z [...] lutego 2025r., że uwzględnienie wniosków dowodowych stanowi o zapewnieniu "rzeczywiście czynnego udziału w postępowaniu". Spółkę na każdym etapie postępowania informowano o jego przebiegu i o przysługujących uprawnieniach, z których korzystała. Spółce nie ograniczano możliwości "rzetelnego i kompleksowego wypowiedzenia się (...) w odniesieniu do całości zgromadzonych dowodów i materiałów", ani przedstawienia stanowiska z [...] lutego 2025r. Organ nadzorczy nie przeprowadził nowych dowodów wnioskowanych w pismach z [...] i [...] lutego 2025r., przekazywanie kolejnych stanowisk było pozbawione uzasadnienia. Prezes UODO powołując się na związanie wynikające z art. 170 P.p.s.a., które gwarantuje zachowanie spójności i logiki działania organów państwowych, zapobiegając funkcjonowaniu w obrocie prawnym rozstrzygnięć nie do pogodzenia w całym systemie sprawowania władzy (wyrok NSA z 19 maja 1999r. sygn. akt IV SA 2543/98, LEX48643). Prawomocne orzeczenie sądu administracyjnego może być – w relacji do losów zaskarżonego aktu - negatywne lub pozytywne. Orzeczenie negatywne zawarte w wyroku uwzględniającym skargę wywołuje w stosunku do tego aktu skutek wsteczny. W jego rezultacie w postępowaniu przed organami administracji następuje powrót do sytuacji, która miała miejsce przed wydaniem aktu. Późniejsze orzeczenie sądu ma zatem charakter konstytutywny i działa w tym zakresie ex tunc - od momentu wydania decyzji dotkniętej wadliwością (wyrok WSA w Warszawie z 23.08.2017 r., II SA/Wa 1317/16, LEXnr 2366752)" (B. Dauter [w:] A. Kabat, M. Niezgódka-Medek, B. Dauter, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, wyd. IX, Warszawa 2024, art. 170). Zdaniem Prezesa uwzględnienie zatem wniosków Spółki byłoby nie tylko pozbawione uzasadnienia, lecz prowadziłoby do zbędnego wydłużenia postępowania. "Celem regulacji zawartej w art. 78 § 2 jest uniemożliwienie stronie przeciągania postępowania przez zgłaszanie zbędnych wniosków dowodowych, tj. dotyczących takich okoliczności, które już zostały bezspornie ustalone. Chodzi zatem zarówno o okoliczności stwierdzone za pomocą dowodów, jak i o fakty powszechnie znane oraz fakty znane organowi z urzędu (zob. wyrok NSA z 19 lutego 2002r. sygn. akt V SA 1918/01, LEX nr 685539). Organ administracji jest zatem uprawniony do oceny potrzeby przeprowadzenia dowodu i nie naruszy przepisów postępowania administracyjnego, jeżeli odmówi przeprowadzenia dowodu, powołując się na zbędność jego przeprowadzenia w świetle komentowanego przepisu (por. wyrok NSA z 17 marca 1986r. sygn. akt III SA 1160/85, ONSA 1986, nr 1, poz. 19). Organ ocenia, kierując się normą prawa materialnego, które fakty mają istotne znaczenie dla sprawy, czy wymagają one udowodnienia oraz jakie dowody dla udowodnienia tych faktów są potrzebne (por. wyroki NSA z 15 grudnia 1995 r., SA/Lu 507/95, LEX nr 27107 oraz SA/Lu 508/95, LEX nr 1691402)" (P.M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2024, art. 78). Podobne stanowisko wyraził A. Wróbel [w:] M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel, Komentarz aktualizowany do Kodeksu postępowania administracyjnego (LEX/el. 2025, art. 78), powołując w tym zakresie właściwe orzecznictwo: "Organ może nie uwzględnić żądania przeprowadzenia dowodu, jeżeli ma to na celu przewleczenie sprawy (wyrok NSA w Gdańsku z 2.10.1998 r., I SA/Gd 1863/96, LEX nr 37600; por. wyrok NSA z 8.12.2017 r., I OSK 1214/17, LEX nr 2456039, w którym stwierdzono, że uprawnienie strony do zgłoszenia żądania przeprowadzenia dowodu podlega ograniczeniom, które pod względem celowości i konieczności zapewnienia szybkości postępowania organ powinien każdorazowo rozważyć, zwłaszcza w sytuacji gdy nie ma dostatecznych argumentów przemawiających za zakwestionowaniem dotychczasowych ustaleń)". Prezes UODO za bezzasadne uznał zarzuty naruszenia art. 7, art. 77 § 1, art. 80 k.p.a., wskazując, że prowadził postępowanie kierując się wynikającymi z tych przepisów zasadami, zamieszczając w decyzji obszerną argumentację tego dowodzącą. Zaznaczył, że zasada prawdy obiektywnej (art. 7 k.p.a.), nakazuje organowi zebranie z urzędu lub na wniosek strony oraz rozpatrzenie całego materiału dowodowego w sposób pozwalający na ustalenie stanu faktycznego sprawy zgodnego z rzeczywistością. Chodzi o wyjaśnienie okoliczności faktycznych w takim stopniu, w jakim wymaga tego rozstrzygnięcie sprawy. Prawidłowe ustalenie stanu faktycznego sprawy stanowi warunek konieczny - chociaż niewystarczający – do prawidłowego jej rozstrzygnięcia. Z art. 77 § 1 k.p.a. wynika obowiązek zebrania i rozpatrzenia pełnego materiału dowodowego, którego realizacja ma miejsce na dwóch płaszczyznach. Po pierwsze, polega on na przeprowadzeniu postępowania dowodowego co do wszystkich okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne. Po drugie, zebrany materiał dowodowy powinien znaleźć pełne odzwierciedlenie w uzasadnieniu faktycznym decyzji. Nie można twierdzić, że okoliczność została udowodniona, jeżeli w materiale dowodowym, utrwalonym w aktach sprawy, znajduje się dowód na jej potwierdzenie, a jednocześnie są w nim także dowody, które zaprzeczają tej okoliczności, jeżeli nie można przekonywająco tej sprzeczności wyjaśnić. Dla skuteczności zarzutu naruszenia zasady swobodnej oceny dowodów nie wystarcza stwierdzenie o wadliwości dokonanych ustaleń faktycznych, odwołujące się do stanu faktycznego, który w przekonaniu tego, kto taki zarzut podnosi, odpowiada rzeczywistości. Konieczne jest tu wskazanie przyczyn dyskwalifikujących postępowanie organu w tym zakresie. W szczególności podnoszący taki zarzut powinien wskazać, jakie kryteria oceny naruszył organ przy ocenie konkretnych dowodów, uznając brak ich wiarygodności i mocy dowodowej lub niesłuszne przyznając im wiarę (wyrok NSA z 7 sierpnia 2018r. sygn. akt I OSK 2051/16). Prezes UODO nie uwzględnił wniosków dowodowych Spółki, bo zgromadził wystarczający do wydania decyzji kompletny, logiczny i wewnętrznie spójny materiał dowodowy. Kluczowe znaczenie mają ww., wiążące wyroki Sądów administracyjnych w zakresie działań Spółki – nieuprawnionych. Organ nadzorczy nie był więc zobligowany do przeprowadzania czynności wyjaśniających, które miałyby służyć ocenie legalności tych działań. Bez względu na liczbę i charakter dowodów na ww. okoliczności organ nie mógłby ocenić czynności Spółki odmiennie niż oceniły je WSA i NSA w ww. wyrokach. Takie czynności dowodowe należałoby ocenić jako pozorne i zbędnie przedłużające postępowanie, co godzi w zasadę ekonomiki jego prowadzenia. Organ musi oceniać zasadność wniosków dowodowych kierując się wyłącznie realną potrzebą ich przeprowadzenia w kontekście konieczności zgromadzenia informacji niezbędnych z punktu widzenia możliwości rozstrzygnięcia sprawy. Czynności te nie mogą być motywowane wyłącznie sugestią strony, że odmowa uwzględnienia wniosków dowodowych poczytana będzie jako naruszenie gwarancji czynnego udziału w postępowaniu lub zaprezentowania pełnego stanowiska w sprawie. Zdaniem Prezesa UODO na uwzględnienie nie zasługiwały również pozostałe wnioski Spółki zawarte w piśmie z [...] lutego 2025r., w którym przedstawiono stanowisko w sprawie: 1) wnosząc o stwierdzenie, że Spółka nie naruszyła przepisów o ochronie danych osobowych i brak jest podstaw do nałożenia administracyjnej kary pieniężnej; ewentualnie 2) wnosząc o stwierdzenie, że działanie Spółki nie było bezprawne, a w konsekwencji brak jest podstaw do nałożenia administracyjnej kary pieniężnej; 3) poparto wnioski, w tym dowodowe z ww. pisma z [...] lutego 2025r. Wprawdzie Spółka podnosiła, że działała wyłącznie w granicach obowiązującego wówczas prawa, zachowała należytą staranność, dane osobowe przetwarzała w minimalnie niezbędnym zakresie, a następnie usunęła niezwłocznie po ustaniu celu ich przetwarzania, w sposób trwały i bezpieczny oraz to, że nałożenie administracyjnej kary pieniężnej jest fakultatywne i powinno mieć miejsce, gdy organ stwierdzi stan naruszenia przepisów o ochronie danych osobowych, zaś działanie podmiotu przetwarzającego dane nie było bezprawne i zawinione, bo Spółka działała na podstawie art. 99 u.s.i.w., a ww. Decyzja Prezesa RM była natychmiast wykonalna, zaś TK potwierdził zgodność art. 11 ustawy Covid-19 z Konstytucją, a Spółka zawnioskowała jedynie do Ministra o udostępnienie ww. Danych – to zdaniem Prezesa UODO - prawodawca unijny w art. 83 ust. 2 lit. b) RODO (nie posługując się w sensie dosłownym pojęciem "winy") nakazuje organowi nadzorczemu przy ocenie zasadności nałożenia kary i jej wysokości brać pod uwagę umyślny lub nieumyślny charakter naruszenia. Nie jest to w żadnym wypadku równoznaczne z zakazem wymierzania administracyjnej kary pieniężnej w sytuacji nieumyślnego naruszenia - aspekt ten ma jednak wpływ na podejmowaną w tym zakresie przez organ decyzję. Prezes UODO nie zgodził się też ze stanowiskiem Spółki o minimalnym udziale Spółki w zaistniałym naruszeniu przepisów RODO i wskazał, że z uwagi na zakres postępowania, bez dodatkowego znaczenia pozostają okoliczności zabezpieczenia przetwarzanych przez Spółkę danych, czy ich przetwarzania w sposób minimalny, a nawet to, że Spółka posiada dostęp do Rejestru PESEL na innych podstawach niż te, z powołaniem na które działała Spółka w badanym w tej sprawie zakresie. Jakkolwiek Spółka w pkt II pisma z [...] lutego 2025r. omówiła art. 99 u.s.i.w. jako podstawę prawną podejmowanych przez siebie działań, to wobec wydania przez WSA i NSA ww. wyroków, którymi związany jest organ nadzorczy, a także biorąc pod uwagę argumentację przedstawioną w decyzji, dotyczącą bezprawności działań Ministra i Spółki w zakresie objętym postępowaniem, powtarzanie argumentacji organu nadzorczego byłoby zbędne. Bez znaczenia pozostają stwierdzenia Spółki dotyczące tego, na której z podstaw określonych w art. 99 u.s.i.w. doszło do udostępnienia jej danych osobowych przez Ministra [...] kwietnia 2020r., a także dotyczące domniemania konstytucyjności tego przepisu. Załączona przez Spółkę do pisma z [...] lutego 2025r. decyzja Prezesa Urzędu Komunikacji Elektronicznej o wyborze operatora wyznaczonego na lata 2016-2025 nie wnosi niczego istotnego do sprawy, a treść tej decyzji jest powszechnie znana. Biorąc pod uwagę przedstawioną przez Prezesa UODO argumentację nie sposób zgodzić się ze stwierdzeniem Spółki zawartym w pkt II ww. pisma, że rozważania podnoszone w dyskursie publicznym, w tym w orzeczeniach Sądów administracyjnych odnośnie wadliwości Decyzji Prezesa RM, mają minimalne znaczenie dla postępowania i nie przesądzają o bezprawności pozyskania danych osobowych przez Spółkę. Prezes UODO, odnosząc się do stanowiska Spółka z pkt III pisma z [...] lutego 2025r. co do charakteru Decyzji Prezesa RM, która podlegała natychmiastowemu wykonaniu z chwilą jej doręczenia i nie wymagała uzasadnienia, a także braku możliwości prawnej Spółki by sprzeciwić się wykonaniu ww. Decyzji, uznał za zbędne powielanie obszernej analizy charakteru ww. Decyzji przeprowadzonej w ww. wyrokach WSA i NSA, podzielając tą analizę. Prezes UODO wskazał, że nie ma uzasadnienia w stanie faktycznym i prawnym, twierdzenie Spółki o braku możliwości przeciwstawienia się poleceniu wynikającemu z ww. Decyzji. Spółka mogła skorzystać z uprawnień przewidzianych w k.p.a.: z wnioskiem o ponowne rozpatrzenie sprawy (art. 127 § 3 k.p.a.), z żądaniem uzupełnienia decyzji, co do rozstrzygnięcia (art. 111 § 1 k.p.a.), z żądaniem wyjaśnienia wątpliwości co do treści decyzji (art. 113 § 2 k.p.a.). Spółka nie skorzystała z tych uprawnień, choć uzasadnione wątpliwości dotyczące zgodności ww. Decyzji z obowiązującymi wówczas przepisami prawa, ujawniły się też w Spółce. Wniosek taki wynika z informacji z [...] kwietnia 2021r. o wynikach kontroli przeprowadzonej przez NIK co do działań wybranych podmiotów w związku z przygotowaniem Wyborów, dostępnej i znanej z urzędu organowi. Z ww. dokumentu wynika, że Spółka zleciła opracowanie 3 opinii prawnych w kontekście przedmiotu zadań i obowiązków oraz odpowiedzialności członków zarządu Spółki w związku z realizacją polecenia zawartego w ww. Decyzji. W opinii prawnej z [...] kwietnia 2020r., sporządzonej w Biurze Prawnym i Nadzoru Właścicielskiego Spółki wskazano na ciążący na członkach zarządu obowiązek starannego działania w sytuacji, w której u.s.i.w. nie została jeszcze uchwalona. W związku z tym rekomendowano przeprowadzenie analizy ww. Decyzji pod kątem zasadności jej zaskarżenia, w szczególności w kontekście jej zgodności z prawem ([...]). Zdaniem Prezesa UODO przystąpienie przez Spółkę do realizacji czynności związanych z pozyskaniem danych osobowych wyborców z Rejestru PESEL - mimo braku uprzedniego skorzystania z uprawnień umożliwiających dokonanie kontroli skierowanej do niej Decyzji - należy rozpatrywać w kategoriach swobody decyzyjnej Spółki. W konsekwencji, zgłoszone przez Spółkę zarzuty należy uznać za chybione. Prezes UODO nie podzielił też stanowiska Spółki o domniemaniu konstytucyjności ustawy i domniemanie legalności decyzji i argumentacji Spółki, że pozyskując Dane osobowe w kwietniu 2020r. nie miała podstaw prawnych, by je zakwestionować i w konsekwencji nie wykonać zadania wynikających z art. 99 u.s.i.w. i Decyzji Prezesa RM. Wprawdzie, zdaniem Spółki, późniejsze stwierdzenie nieważności ww. Decyzji nie ma znaczenia dla oceny pozyskania danych osobowych, w oparciu o art. 99 u.s.i.w., to zdaniem Prezesa UODO stwierdzenie przez WSA (potwierdzone następnie przez NSA) nieważności ww. Decyzji pozostaje w ścisłym związku z uznaniem przez Sądy za bezskuteczne działań Ministra z [...] kwietnia 2020r. w zakresie, w jakimi udostępnił on Spółce dane osobowe z Rejestru PESEL. Argumenty Spółki zawarte w pkt IV pisma z [...] lutego 2025r. należy uznać za pozbawione znaczenia w kontekście argumentacji Prezesa UODO i w związku z wydaniem przez WSA i NSA ww. wyroków. Z tych samych powodów za pozbawione znaczenia należy uznać argumenty Spółki przedstawione w pkt V pisma z [...] lutego 2025r. dotyczące potwierdzenia przez Trybunał Konstytucyjny zgodności art. 11 ustawy COVID-19 z Konstytucją RP. Prezes UODO, odnosząc się do pkt VI pisma Spółka z [...] lutego 2025r., że wykonała ona przymus wynikający z władztwa publicznego na podstawie obowiązującego wówczas prawa – zobowiązana była do wystąpienia o dane osobowe, pod rygorem zastosowania państwowego przymusu w trybie egzekucji administracyjnej (por. wyrok NSA z dnia 10.09.2014r. I OSK 229/13), wskazał, że organ nadzorczy dostrzega różnicę między stopniem odpowiedzialności Ministra i Spółki za przypisane im w postępowaniu naruszenia przepisów RODO, ale sytuacja, w jakiej znalazła się Spółka, nie zwalniała jej z obowiązku poszanowania konstytucyjnych praw obywateli, w tym prawa do ochrony danych osobowych, uszczegółowionego w przepisach RODO. Oceny tej nie zmienia okoliczność, że skierowana do Spółki ww. Decyzja podlegała natychmiastowemu wykonaniu. Ogólne sformułowanie polecenia adresowanego do Spółki, czy precyzyjniej, brak wskazania w decyzji konkretnych czynności wykonawczych, które Spółka powinna była przedsięwziąć w celu realizacji tego polecenia, czyniło tę decyzję wadliwą – a w konsekwencji niewykonalną. Ocenę taką przedstawił NSA w ww. wyroku, wyjaśniając, że "(b)rak możliwości ustalenia, jakie konkretnie czynności ma podjąć adresat polecenia (...) uniemożliwia jego ewentualną przymusową realizację w trybie przepisów ustawy o postępowaniu egzekucyjnym w administracji. (...) Analiza treści decyzji Prezesa Rady Ministrów z [...] kwietnia 2020 r. prowadzi do wniosku, iż (...) jej treść nie pozwala (...) zidentyfikować charakteru i zakresu zadania, jakie zostało nałożone (...) W konsekwencji nie da się wskazać warunków, w których P. zwalniałaby się z odpowiedzialności za niewykonanie decyzji, odbierając organowi możliwość wdrożenia przymusowego trybu jej realizacji.". Stanowisko NSA, którym Prezes UODO jest związany, jednoznacznie przesądza, że przymus realizacji obowiązku nałożonego na Spółkę ww. decyzją administracyjną - wobec wyłącznie ramowego sformułowania tego obowiązku - był w istocie iluzoryczny. Zdaniem Prezesa UODO zmiana przyjętego przez organ stanowiska, o którym mowa w pkt VII pisma Spółki z [...] lutego 2025r. nie przesądza o skomplikowaniu sprawy, a ponadto zmiana ta była wynikiem ww. orzeczeń Sądów administracyjnych i związaniem na mocy art. 170 P.p.s.a. Modyfikacja ta nie mogła też wywołać zaskoczenia u Spółki, która była uczestnikiem postępowań sądowych zwieńczonych wydaniem tych wyroków. Z uwagi na to, argumentacja Spółki oraz załączone przez nią w tym zakresie dowody (ww. wydruk i kopia decyzji) pozostają bez wpływu na treść decyzji Prezesa UODO. Podobnie jak argumentacja Spółki zawarta w pkt VIII ww. pisma, odnosząca się do stanowiska PKW z 2020r. z kopią pisma z [...] kwietnia 2020r. (znak: [...]). Pismo to odnosiło się do udostępniania danych ze spisu wyborców i miało zostać skierowane do samorządów. Prezes UODO, odnosząc się do pkt IX ww. pisma Spółki i podnoszonych argumentów z art. 8 k.p.a., w tym, że Spółka w kwietniu i maju 2020r. miała pełne prawo pozostawać w uzasadnionym przekonaniu, że nie ma wątpliwości co do legalności pozyskania i przetwarzania danych osobowych, wskazał, że za naruszenie zasady zaufania do władzy publicznej można byłoby w obecnej sytuacji uznać pominięcie ww. wyroków, a zmienność poglądów wymaga uzasadnienia, co wynika z orzecznictwa, które organ przywołał. Tym samym nie można uznać, że Prezes UODO nie uzasadnił zmiany przyjętego w kwietniu 2020r. stanowiska (publiczny komunikat, a nie decyzja skierowana do strony). Art. 170 P.p.s.a. odnosi się ponadto do orzeczeń Sądów administracyjnych i nie można go zastosować do wyroku nieprawomocnego Sądu Okręgowego w [...] z [...] sierpnia 2024r., sygn. akt [...], na który powołała się Spółka w pkt X ww. pisma z [...] lutego 2025r. To, że ww. Sąd nie miał wątpliwości co do braku bezprawności działania Spółki jest pozbawione znaczenia, a dowód w postaci kopii tego wyroku przedstawiony przez Spółkę pozostaje bez wpływu na treść decyzji. Prezes UODO - odnosząc się do pkt XI ww. pisma Spółki z [...] lutego 2025r., że celem ustalenia zakresu przetwarzania danych osobowych, czasu trwania przetwarzania, kategorii danych osobowych, stosowanych zabezpieczeń Spółka złożyła w piśmie z [...] lutego 2025r., a ponadto Jej działanie nie było bezprawne -podtrzymał swoje stanowisko dotyczące pisma z [...] lutego 2025r. Prezes UODO - odnosząc się do pkt XI ww. pisma Spółki z [...] lutego 2025r., w który wyjaśniono, że Minister Spraw Wewnętrznych decyzją z [...] września 2014r., którą załączono wyraził zgodę na udostępnienie Spółce za pomocą urządzeń teletransmisji danych do realizacji zadań ustawowych – przyjął, że skoro postępowanie dotyczy udostępnia Spółce danych osobowych przez Ministra z Rejestru PESEL z powołaniem się na zupełnie inne podstawy, to argument Spółki i dowód przez nią załączony pozostają bez wpływu na treść decyzji. Prezes UODO nie zgodził się też z argumentacją Spółki w zakresie art. 7a § 1 k.p.a. w kontekście potrzeby uzupełnienia postępowania dowodowego, bo w oparciu o należycie ustalony stan faktyczny nie będzie wątpliwości, że Spółka nie naruszyła przepisów o ochronie danych osobowych. W ocenie Prezesa UODO przytoczone stwierdzenie jest pozbawione podstaw w świetle obszernej argumentacji Organu, uwzględniającej również związanie ww., prawomocnymi wyrokami. Prezes UODO, odnosząc się do kary administracyjnej, wskazał, że postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej w celu zastosowania uprawnień naprawczych określonych w art. 58 ust. 2 RODO. Prezes UODO - korzystając z uprawnienia określonego w art. 58 ust. 2 lit. i) RODO - mając na względzie naruszenia przepisów o ochronie danych osobowych, zgodnie z którym każdemu organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)-h) oraz lit. j) RODO, administracyjnej kary pieniężnej określonej w art. 83 ust. 5 lit. a) - stwierdził, że w sprawie zmaterializowały się przesłanki uzasadniające nałożenie na Spółkę, administracyjnej kary pieniężnej. Zgodnie z art. 83 ust. 5 lit. a) RODO, naruszenia przepisów dotyczących podstawowych zasad przetwarzania, w tym warunków zgody, o których to zasadach i warunkach mowa w art. 5, 6, 7 oraz 9, podlegają administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Stosownie do brzmienia art. 83 ust. 3 RODO, jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie. Wskazany w art. 83 ust. 3 RODO termin "operacje przetwarzania" wyjaśniono w art. 4 pkt 2 RODO, w którym "przetwarzanie" zdefiniowano jako "operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie". Wobec tego operację przetwarzania stanowić będzie każde działanie, któremu poddawane są dane aż do momentu ich usunięcia, utraty lub zniszczenia. Wskazówki dotyczące identyfikacji "najpoważniejszego naruszenia" zawarto w Wytycznych EROD 04/2022 dotyczących obliczania administracyjnych kar pieniężnych na podstawie RODO (wersja 2.1) przyjętych 24 maja 2023 r., zwanych dalej "Wytycznymi 04/2022". Zgodnie ze stanowiskiem tam wyrażonym "sformułowanie «wysokość kary za najpoważniejsze naruszenie» odnosi się do ustawowych maksymalnych kwot kar pieniężnych" określonych w art. 83 ust. 4-6 RODO (zob. pkt 43 Wytycznych 04/2022). Tym samym najpoważniejszym naruszeniem w indywidualnej sprawie będzie to, dla którego prawodawca unijny przewidział wyższy próg maksymalnego zagrożenia administracyjną karą pieniężną. Wobec stwierdzenia, że administrator dopuścił się w stanie faktycznym naruszenia art. 6 ust. 1 RODO, skutkującego naruszeniem art. 5 ust. 1 lit. a) RODO, Prezes UODO zobowiązany był uwzględnić ww. regulację celem rozważenia, czy okoliczności sprawy determinują skorzystanie z wyłącznie jednego, czy też z kilku środków naprawczych przewidzianych w art. 58 ust. 2 RODO - czy na każdego z administratorów nałożyć wyłącznie jedną administracyjną karę pieniężną, stanowiącą odpowiedź na wszystkie popełnione przez nich naruszenia, czy też odrębne i samoistne kary dla każdego z tych naruszeń rozpatrywanych osobno. Prezes UODO, ustalając sankcje za stwierdzone zachowania godzące w przepisy RODO wziął pod uwagę, że naruszenia przypisane Spółce polegało na pozyskaniu i przetwarzaniu Danych w związku z podjęciem czynności zmierzających do przygotowania przeprowadzenia Wyborów i było podjęte na skutek ww. Decyzji i ukierunkowanymi na realizację jednego z góry określonego celu. Działanie to nie znajdowało oparcia w przepisach prawa, bo administrator nie legitymował się w dacie przekazania danych żadną z ważnych przesłanek przetwarzania, enumeratywnie wymienionych w art. 6 ust. 1 RODO. Brak spełnienia choćby jednego warunku zgodności przetwarzania danych osobowych z prawem skutkował bezpośrednio naruszeniem art. 5 ust. 1 lit. a) RODO, zgodnie z którym dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Przepis ten ustanawia ogólną zasadę przetwarzania danych osobowych, która wyznacza ramy całego systemu ochrony danych. Zgodność przetwarzania z prawem, rozumiana jako koncepcja nadrzędna, została doprecyzowana na gruncie pozostałych przepisów RODO, ustanawiających konkretne obowiązki - których adresatami są administratorzy i podmioty przetwarzające - oraz skorelowane z nimi prawa osób, których dane dotyczą. Takim przepisem konkretyzującym jest art. 6 ust. 1 RODO. Stwierdzenie naruszenia przepisów określających podstawowe, ogólne zasady przetwarzania (art. 5 ust. 1 lit. a) RODO) nie wyklucza przypisania administratorowi naruszenia przepisów szczegółowych stanowiących konkretyzację tych zasad (art. 6 ust. 1 RODO) i nałożenia za to sankcji finansowej. Skoro Spółka w ramach operacji przetwarzania naruszyła więcej niż jeden przepis RODO, a żadne z naruszeń nie wyklucza możliwości przypisania drugiego, to odpowiedzialność Spółki powinna kształtować się "równolegle" w stosunku do wszystkich popełnionych naruszeń i zastosowanie znajdzie art. 83 ust. 3 RODO. Oba naruszenia zagrożone są (in abstracto) taką samą karą wynikającą z art. 83 ust. 5 lit. a) RODO, w wysokości do 20.000.000 EUR lub do 4% rocznego obrotu - naruszeniom tym należy przypisać taką samą powagę. Konsekwencją tego jest niemożność orzeczenia, za ww. naruszenia, kary o wysokości wyższej niż maksymalna wysokość kary za jedno z nich - kwoty 64.441.736 EUR - ze względu na konieczność przyjęcia w odniesieniu do Spółki tzw. "dynamicznego maksimum kary" (zob. pkt 146 uzasadnienia). Dane osobowe udostępnione Spółce przez Ministra obejmowały: numer PESEL, imiona, nazwiska, ostatni aktualny adres zameldowania na pobyt stały (a w przypadku jego braku: ostatni nieaktualny), adres zameldowania na pobyt czasowy (wraz deklarowanym terminem tego pobytu), a także aktualnie zarejestrowany wyjazd czasowy poza granice kraju, wszystkich osób pełnoletnich na dzień 10 maja 2020r., które w dniu wygenerowania tychże danych posiadały w rejestrze PESEL zarejestrowane obywatelstwo polskie, a nadto figurowały jako osoby żyjące, dla których wskazanym krajem zamieszkania była Polska. O ile wśród ww. informacji przekazanych Spółce brak jest danych szczególnych kategorii określonych w art. 9 i 10 RODO (podlegają szczególnej ochronie, a tym samym bardziej rygorystycznej reakcji organu nadzorczego przy nakładaniu kar pieniężnych) to jednak szeroki zakres tych danych, zezwalający na natychmiastową identyfikację osób, których dane dotyczą, nakazuje traktować tę przesłankę obciążająco. Zgodnie ze stanowiskiem EROD "im większej liczby takich kategorii danych dotyczy naruszenie lub im bardziej wrażliwe są dane, tym większą wagę organ nadzorczy może przypisać takiemu czynnikowi. Znaczenie ma również ilość danych dotyczących każdej osoby, której dane dotyczą, bo wraz z ilością danych dotyczących każdej osoby, której dane dotyczą, wzrasta skala naruszenia prawa do prywatności i ochrony danych osobowych" (pkt 57-58 Wytycznych 04/2022). Naruszenia ochrony danych osobowych dotyczyły nr PESEL, który jednoznacznie identyfikuje osobę fizyczną, zawierającego m.in.: datę urodzenia oraz oznaczenie płci, a więc ściśle powiązanego ze sferą prywatną osoby fizycznej oraz podlegającego również, jako krajowy numer identyfikacyjny, wyjątkowej ochronie na gruncie art. 87 RODO. NSA w wyroku z 6 grudnia 2023r. sygn. akt III OSK 2931/21 zważył, że udostępnienie "danych m.in. w zakresie imion i nazwisk, a także numerów PESEL osób fizycznych, a więc danych względnie trwałych, niezmiennych (...) zawsze może rodzić ryzyko negatywnych skutków dla ww. osób. Podobnie adresy zamieszkania są to dane osobowe, których nieuprawnione udostępnienie stwarza prawdopodobieństwo wysokiego ryzyka negatywnych skutków prawnych". Prezes UODO, decydując o nałożeniu na Spółkę administracyjnej kary pieniężnej, stosownie do art. 83 ust. 2 lit. a)-k) RODO, wziął pod uwagę okoliczności wpływające obciążająco na wymiar administracyjnej kary pieniężnej: charakter, waga i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a) RODO). Przypisane Spółce naruszenia mają bardzo wysoką wagę i wyjątkowo poważny charakter - godzą w podstawowe zasady przetwarzania danych osobowych, które w ramach całego systemu ochrony danych mają charakter fundamentalny, wyznaczający jego ramy. Spółka, będąc spółką Skarbu Państwa i operatorem wyznaczonym do świadczenia usług powszechnych na lata 2016-2025 powinna - w związku z realizacją powierzonych zadań publicznych - odznaczać się najwyższą starannością i poszanowaniem obowiązujących przepisów prawa, w tym przepisów o ochronie danych osobowych. Dodatkowo, jako podmiot wyznaczony Decyzją do podjęcia i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia Wyborów, jeszcze przed wystąpieniem do Ministra z Wnioskiem o udostępnienie danych osobowych wyborców z Rejestr PESEL, powinna przeprowadzić dogłębną analizę legalności działania, jak i procesu przetwarzania danych. Obowiązku tego nie znosił trwający wówczas na terenie kraju stan epidemii. Przysługujące wszystkim obywatelom prawo do ochrony prawnej życia prywatnego, jak i prawo do ochrony danych osobowych (gwarantowane konstytucyjnie) nie podlegały żadnym ograniczeniom. Zgodnie z Konstytucją RP, nawet w czasie stanu wojennego i wyjątkowego ustawa określająca zakres ograniczeń wolności i praw człowieka i obywatela nie może ograniczać prawa do prywatności (art. 233 ust. 1 Konstytucji RP). Powyższe nakazuje oceniać obciążająco, w stopniu znacznym, charakter przypisywanych Spółce naruszeń. Za okoliczność obciążającą Prezes UODO uznał także zakres przetwarzania i znaczną liczbę osób dotkniętych naruszeniem. Spółka w celu realizacji Decyzji bezprawnie pozyskała z Rejestru PESEL dane osobowe wszystkich osób pełnoletnich na 10 maja 2020r., które w chwili wygenerowania danych ([...] kwietnia 2020r.) posiadały w Rejestrze PESEL zarejestrowane obywatelstwo polskie, figurowały jako osoby żyjące i dla których wskazanym krajem zamieszkania była Polska. Tym samym Spółka przetwarzała - nie legitymując się ważną podstawą prawną - informacje o około 30 mln osób posiadających obywatelstwo polskie, co w ogólnym ujęciu stanowiło niemalże 80% populacji kraju (Rocznik Statystyczny RP 2021, opracowany przez GUS - https://stat.gov.pl/obszary-tematyczne/roczniki-statystyczne/roczniki-statystyczne/rocznik-statystyczny-rzeczypospolitej-polskiej-2021,2,21.html). Mimo że zakres analizowanego przetwarzania był wyłącznie krajowy, to jego ogromna skala, wyrażająca się w przetwarzaniu danych osobowych zdecydowanej większości polskiego społeczeństwa, nakazuje oceniać przypisywanie Spółce naruszenia jako systemowe, co znacznie zwiększa ich wagę. Organ nadzorczy nie stwierdził, aby osoby, których dane dotyczą doznały szkód majątkowych w związku ze stwierdzonymi naruszeniami, ale już samo przetwarzanie danych osobowych przez Spółkę, mimo braku istnienia ważnej ku temu podstawy prawnej, powodowało po stronie podmiotów danych możliwość wystąpienia szkód niematerialnych, a zwłaszcza obawy i niepewność wynikające z faktu niemożności sprawowania kontroli nad swoimi danymi osobowymi. W szczególności, że osoby, których dane Spółka przetwarzała w związku z przygotowaniem przeprowadzenia Wyborów, nie dysponowały wiedzą o tym, w jaki sposób, i czy zgodnie z przepisami prawa, przetwarzanie to się odbywa. Znaczenie analizowanej przesłanki zwiększa okoliczność, że ryzyko wystąpienia szkód niemajątkowych potencjalnie dotyczyło wszystkich (w przybliżeniu) 30 mln osób, których dane osobowe znajdowały się na udostępnionej Spółce płycie DVD. Ryzyko to zmaterializowało się w odniesieniu do tych osób, które wniosły do organu nadzorczego skargi na nieprawidłowości w procesie przetwarzania ich danych osobowych przez Spółkę, w związku z organizacją Wyborów. Stosunkowo krótki czas trwania naruszeń, tj. od momentu pozyskania Danych z rejestru PESEL [...] kwietnia 2020r. do chwili ich całkowitego usunięcia przez Spółkę - [...] maja 2020r., należy poczytywać na korzyść Spółki. Mając jednak na względzie charakter i wagę stwierdzonych uchybień, liczbę poszkodowanych osób, których dane dotyczą i poziom poniesionych przez nie szkód niemajątkowych, przesłankę określoną w art. 83 ust. 2 lit. a) RODO - rozpatrywaną w sposób całościowy - należy ocenić jako obciążającą. Prezes UODO, analizując tę przesłankę związany był, stosownie do 170 P.p.s.a., ustaleniami WSA i NSA zawartymi w ww. wyrokach. W związku z tym Prezes UODO stanął na stanowisku, że Spółka podjęła decyzję o złożeniu do Ministra wniosku z [...] kwietnia 2020r. o udostępnienie jej danych osobowych z Rejestru PESEL, a następnie przetwarzała te dane, mimo że zdawała sobie sprawę z ryzyka bezprawności tych działań - z którym to stanem rzeczy godziła się. Zgodnie ze stanowiskiem Sądów administracyjnych wyrażonym w ww. wyrokach, w dacie wystąpienia przez Spółkę z wnioskiem o przekazanie jej danych wyborców z Rejestru PESEL, zadania dotyczące zapewnienia warunków organizacyjno- administracyjnych, finansowych i technicznych, związanych z organizacją i przeprowadzaniem wyborów, należały do wyłącznej kompetencji Krajowego Biura Wyborczego. Jakkolwiek przepisy ustawy z 6 kwietnia 2020r. o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej zarządzonych w 2020r. przewidywały przekazanie tychże zadań do kompetencji operatora wyznaczonego (Spółki), to regulacja ta weszła w życie 9 maja 2020r. - co oznacza, że pozyskując dane wyborców z rejestru PESEL Spółka działała poza prawem. Dodatkowo, art. 102 pkt 4 u.s.i.w. znosił w okresie obowiązywania stanu zagrożenia epidemicznego albo stanu epidemii, przy przeprowadzaniu Wyborów stosowanie przepisów Kodeksu wyborczego w zakresie m.in. głosowania korespondencyjnego, o którym mowa w art. 53a tego Kodeksu. Tym samym od 18 kwietnia 2020r. (od wejścia w życie art. 102 u.s.i.w.) do 9 maja 2020r. (wejście w życie ustawy o szczególnych zasadach przeprowadzania Wyborów), brak było przepisów rangi ustawowej umożliwiających oddanie głosu w tychże wyborach w trybie korespondencyjnym. Ww. okoliczności znane były Spółce. Kwestia legalności przeprowadzenia wyborów w wyżej opisanym trybie, jako budząca uzasadnione wątpliwości, była na tyle szeroko komentowana w przestrzeni publicznej, że nie sposób przyjąć, że Spółka - jako podmiot bezpośrednio w organizację tych wyborów zaangażowany - nie żywiła zainteresowania rozwojem bieżących zdarzeń. W szczególności Spółka będąc adresatem Decyzji miała ponieść pierwszy ekonomiczny ciężar związany z realizacją powierzonego jej zadania. O wątpliwościach Spółki, co do braku jej kompetencji w opisywanym wyżej zakresie, świadczy zlecenie przez Spółkę opracowania 3 opinii prawnych w kontekście przedmiotu zadań i obowiązków oraz odpowiedzialności członków zarządu Spółki, w związku z realizacją polecenia zawartego w Decyzji. Za szczególnie istotną dla oceny przesłanki należy uznać treść opinii Biura Prawnego i Nadzoru Właścicielskiego Spółki z [...] kwietnia 2020r., w której, wskazano na obowiązek starannego działania, gdy ustawa o szczególnych zasadach przeprowadzania wyborów nie została jeszcze uchwalona. W związku z tym rekomendowano m.in. przeprowadzenie analizy Decyzji pod kątem zasadności jej zaskarżenia, w kontekście jej zgodności z prawem. Wątpliwości Spółki - zdecydowała się w celu ich usunięcia zasięgnąć opinii prawnej - nie świadczą, że bezprawne pozyskanie danych wyborców z Rejestru PESEL było wynikiem nieuświadomionego błędu Spółki co do zgodności tego przetwarzania z prawem. Prezes UODO jako okoliczność obciążającą przy nałożeniu administracyjnej kary pieniężnej na Spółkę uwzględnił uprzednie naruszenia przez Spółkę przepisów RODO (decyzja z [...] września 2020r. [...] stwierdzająca naruszenie art. 12 ust. 3 i 4 w zw. z art. 15 ust. 1 lit. b) RODO; decyzja z [...] stycznia 2021r. [...], stwierdzająca naruszenie art. 15 ust. 1 lit. c), h) i art. 15 ust. 3 RODO; decyzja z [...] lipca 2021r. [...] stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzja z [...] marca 2022r. [...], stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzja z [...] marca 2022r. [...], stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzja z [...] września 2022r. [...] stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzja z [...] grudnia 2022r. [...], stwierdzająca naruszenie art. 6 ust. 1, art. 9 ust. 1 i art. 5 ust. 1 lit. a) RODO; decyzja z [...] stycznia 2023r. [...], stwierdzająca naruszenie art. 5 ust. 1 lit. c) i art. 6 ust. 1 RODO; decyzja z [...] lutego 2023r. [...], stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzja z [...] lutego 2023r. [...], stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzja z [...] czerwca 2023r. [...], stwierdzająca naruszenie art. 6 ust. RODO; decyzja z [...] grudnia 2023r. [...], stwierdzająca naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a) RODO; decyzję z [...] marca 2024r. [...], stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzję z [...] lipca 2024r. sygn. [...], stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzja z [...] września 2024r. [...], stwierdzająca naruszenie art. 6 ust. 1 RODO; decyzję z [...] listopada 2024r. [...] stwierdzająca naruszenie art. 9 ust. 1 w zw. z art. 5 ust. 1 lit. a) RODO). Wskazane naruszenia świadczą o występowaniu w strukturach Spółki poważnych problemów z realizacją obowiązków wynikających z przepisów RODO. Spółka nie była bowiem w stanie w ww. indywidualnych sprawach wykazać przed organem nadzorczym legalności przetwarzania ani prawidłowej realizacji praw przysługujących osobom, których dane dotyczą - co skutkowało zastosowaniem wobec niej odpowiednich środków naprawczych. Jednakże stwierdzone wcześniej naruszenia (związane m.in. z wadliwym doręczeniem przesyłek lub niezgodnym z prawem przetwarzaniem danych osobowych pracowników Spółki) powstały w większości na skutek błędu ludzkiego i dotyczyły przetwarzania danych osobowych na szczeblu lokalnym, więc nie wiązały się z działaniami Spółki poddanymi ocenie w niniejszym postępowaniu. Z uwagi na to nie sposób uznawać je za "stosowne" wcześniejsze naruszenia w rozumieniu art. 83 ust. 2 lit. e) RODO. Niemniej uwzględniając stanowisko EROD, zgodnie z którym "wszystkie wcześniejsze naruszenia mogą stanowić informację o ogólnym podejściu administratora lub podmiotu przetwarzającego do przestrzegania przepisów RODO" (zob. pkt 88 Wytycznych 04/2022), Prezes UODO poczytał dotychczasową postawę Spółki - wskazującą na istniejące trudności w respektowaniu przepisów o ochronie danych osobowych - na jej niekorzyść przyjmując, że stwierdzone wcześniejsze naruszenia uzasadniają obecnie nałożenie na Spółkę administracyjnej kary pieniężnej. Brak wyraźnego związku pomiędzy ww. sprawami skargowymi a sprawą niniejszą powoduje, że ww. przesłanka była obciążającą w stopniu, który nie wpłynął istotnie na wysokość kary. Prezes UODO, ustalając wysokość administracyjnej kary pieniężnej uwzględnił na korzyść Spółki, w ramach przesłanki dotyczącej wszelkich innych obciążających lub łagodzących czynników, mających zastosowanie do okoliczności sprawy (art. 83 ust. 2 lit. k RODO) stosunkowo szybkie usunięcia stanu naruszenia przepisów RODO przez Spółkę. Spółka przystąpiła [...] maja 2020r. do czynności związanych z nieodwracalnym usunięciem wszystkich danych osobowych przekazanych przez Ministra i proces zakończyła [...] maja 2020r. Przywrócenie stanu zgodnego z prawem nastąpiło więc krótko po ustaniu celu, który w ocenie Spółki uzasadniał pozyskanie danych z Rejestru PESEL (po zakończeniu przygotowywań Spółki do Wyborów) i było działaniem całkowicie niezależnym od interwencji organu nadzorczego, co przemawia za zmniejszeniem wymiaru ww. kary. Podejmowane przez Spółkę kroki nie były zupełnie spontaniczne, lecz wiązały się z uprzednią interwencją Ministra, który pisemnie zobowiązał Spółkę do złożenia oświadczenia w przedmiocie usunięcia udostępnionych danych osobowych i wszelkich ich kopii. Wezwanie Spółki do zaprzestania przetwarzania danych osobowych pozyskanych z Rejestru PESEL - choć nie zmienia ogólnej oceny przesłanki, którą należy zaliczać do łagodzących - przemawia za przypisaniem jej mniejszego znaczenia, aniżeli miałaby ona w sytuacji, gdyby Spółka przystąpiła do usunięcia danych z własnej inicjatywy. Prezesa UODO za neutralne uznał inne, niżej ww. okoliczności, o których mowa w art. 83 ust. 2 RODO, po dokonaniu oceny ich wpływu na stwierdzone naruszenie, więc nie miały ani obciążającego, ani łagodzącego wpływu na wymiar ww. kary pieniężnej. Prezes UODO wskazał, że w kontekście przesłanki z art. 83 ust. 2 lit. c RODO (działania podjęte w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą) znaczenie ma cel, jakiemu ma służyć działanie administratora, czyli zminimalizowanie szkody poniesionej przez osoby, których dane dotyczą. Prezes UODO nie odnotował tego typu działań Spółki i przesłankę tę ocenił neutralnie. Oceny tej nie zmienia fakt, że Spółka po ustaniu deklarowanego celu, dla którego przetwarzała dane osobowe wyborców pozyskane z rejestru PESEL, trwale usunęła te dane i wszelkie ich kopie. O ile bowiem usunięcie danych mogło znosić stan obawy istniejący po stronie podmiotów danych, związany z faktem utraty kontroli nad dotyczącymi ich danymi osobowymi, o tyle Spółka nie podjęła innych działań, które w sposób bezpośredni miałaby zmierzać do minimalizacji ww. szkód. Brak jest więc podstaw do ewaluacji analizowanej przesłanki w sposób inny, aniżeli wynikający z decyzji. Prezes UODO stwierdził, że ze względu na charakter naruszeń przepisów RODO (przetwarzania danych osobowych z rejestru PESEL, mimo braku podstawy prawnej) - które w swej istocie nie wiążą się ze stosowanymi przez administratora środkami technicznymi i organizacyjnymi, a jedynie z oceną poprawności dokonanej przez Spółkę interpretacji przepisów legalizujących przetwarzanie - należało przyjąć, że przesłanka wskazana w art. 83 ust. 2 lit. d) RODO nie miała wpływu ani obciążającego ani łagodzącego na wymiar ww. kary pieniężnej. Nie ma ona bowiem znaczenia w ocenie naruszenia przez Spółkę przepisów art. 5 ust. 1 lit. a) i art. 6 ust. 1 RODO. Prezes UODO, oceniając stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f RODO) wskazał, że w dacie wszczęcia postępowania dane osobowe pozyskane z Rejestru PESEL nie były już przetwarzane przez Spółkę. Na obecnym etapie brak jest więc możliwości dokonania oceny stopnia współpracy Spółki z Prezesem UODO w celu usunięcia naruszenia i złagodzenia ewentualnych negatywnych skutków. Okoliczność usunięcia naruszenia przez Spółkę w sposób dobrowolny została natomiast uwzględniona na jej korzyść w ramach oceny przesłanki określonej w art. 83 ust. 2 lit. k) RODO. Prezes UODO, odnosząc się do sposobu, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie (art. 83 ust. 2 lit. h RODO) wskazał, że dowiedział się o tym w wyniku otrzymanych, licznych skarg osób fizycznych i z informacji z ogólnie dostępnych mediów. Skoro zasygnalizowane organowi bezprawne zachowanie administratora nie stanowi "naruszenia ochrony danych osobowych" w rozumieniu art. 4 pkt 12 RODO - tj. naruszenia bezpieczeństwa prowadzącego do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych - Spółka nie miała obowiązku zgłoszenia go organowi nadzorczemu w trybie art. 33 RODO. Przepisy RODO nie nakładają na administratorów analogicznego obowiązku w sytuacji wystąpienia naruszenia, które nie skutkuje zakłóceniem bezpieczeństwa przetwarzanych danych osobowych, mogącym wpłynąć na poufność, integralność lub dostępność tych danych. Sposób, w jaki organ dowiedział się o naruszeniu należy ocenić jako fakt neutralny, niemający znaczenia dla rozstrzygnięcia niniejszej decyzji. Prezes UODO wyjaśnił też, że przed wydaniem niniejszej decyzji nie stosował wobec Spółki w rozpatrywanej sprawie żadnych środków wymienionych w art. 58 ust. 2 RODO, w związku z czym Spółka nie miała obowiązku podejmowania żadnych działań związanych z ich stosowaniem, a które to działania, poddane ocenie organu nadzorczego, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia (art. 83 ust. 2 lit. i RODO). Spółka na dzień wydania decyzji nie stosowała (art. 83 ust. 2 lit. j RODO) zatwierdzonych kodeksów postępowania ani zatwierdzonych mechanizmów certyfikacji, o których mowa w przepisach RODO. Ich przyjęcie, wdrożenie i stosowanie nie jest jednak - jak stanowią przepisy RODO - obowiązkowe dla administratorów, w związku z czym okoliczność ich niestosowania nie może być w sprawie poczytana na niekorzyść Spółki. Na jej korzyść mogłaby być natomiast uwzględniona okoliczność przyjęcia i stosowania tego rodzaju instrumentów, jako środków gwarantujących wyższy niż standardowy poziom ochrony przetwarzania danych osobowych, jednak w przedmiotowej sprawie okoliczność taka nie wystąpiła. Prezes UODO podniósł, że w postępowaniu nie stwierdzono wpływu naruszenia przepisów RODO na osiągnięcie przez Spółkę korzyści finansowych lub uniknięcie strat (art. 83 ust. 2 lit. k RODO), więc brak jest podstaw do traktowania tej okoliczności jako obciążającej. Prezes UODO, ustalając wysokości administracyjnej kary pieniężnej na rzecz Spółki zastosował metodykę przyjętą przez EROD w Wytycznych 04/2022. Przeprowadzono proces kalkulacji kary: - jako podstawę obliczenia przyjęto wartość obrotu Spółki za 2024r. przedstawioną w oświadczeniu załączonym do pisma z [...] lutego 2025r. (obrót Spółki w 2024r. - w "poprzednim roku obrotowym" wyniósł 6.781.203.879,92 zł, co - w przeliczeniu na euro (wg średniego kursu z 28 stycznia 2025r.: 1 euro = 4,2092 zł - przyjętego dla wszelkich innych przeliczeń walutowych zgodnie z art. 103 u.o.d.o.) - stanowi równowartość 1.611.043.400,15 euro. Ze sprawozdania finansowego za 2023r. (zał. do pisma z [...] lutego 2025r.), wynika, że obrót Spółki w tym roku obrotowym wyniósł 6.593.890.000 zł, zaś w 2022r. – 6.529.913.000 zł. Zdaniem Prezesa UODO, na mocy rozdziału 4.1 Wytycznych 04/2022, naruszenia art. 5 i art. 6 RODO należą do "najpoważniejszych" - zgodnie z art. 83 ust. 5 lit. a) RODO - zagrożonych karą wyższą z dwóch przewidzianych w RODO wymiarów kar (z maksymalną wysokością do 20.000.000 EUR lub do 4% obrotu przedsiębiorstwa z poprzedniego roku obrotowego); są poważniejsze od drugiej grupy naruszeń podlegających administracyjnym karom pieniężnym (wskazanych w art. 83 ust. 4 RODO). Prezes UODO ustalił prawnie określoną maksymalną wysokość kary możliwą do orzeczenia wobec Spółki (za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. a) RODO) - Rozdział 6.1 Wytycznych 04/2022. Podniósł, że art. 83 ust. 5 lit. a) RODO zobowiązuje Prezesa UODO do określenia, czy w sprawie zastosowanie będzie miała tzw. "statyczna kwota maksymalna" (20.000.000 euro), czy "dynamiczna kwota maksymalna" (4% obrotu z poprzedniego roku obrotowego), i do przyjęcia kwoty wyższej jako kwoty maksymalnej, której orzeczona w sprawie administracyjna kara pieniężna nie może przekroczyć. Wartość 4% obrotu Spółki za poprzedni rok obrotowy to 271.248.155 zł (równowartość 64.441.736 euro). Jest to kwota wyższa niż statyczna kwota maksymalna (20.000.000 euro) i Prezes UODO zobligowany był do jej przyjęcia jako maksimum, którego nie może przekroczyć orzekając wobec Spółki administracyjną karę pieniężną. Prezes UODO ocenił stwierdzone w sprawie naruszenie jako naruszenie o wysokim poziomie powagi (Rozdział 4.2 Wytycznych 04/2022) i wziął pod uwagę te przesłanki z wymienionych w art. 83 ust. 2 RODO, które składają się na "powagę" naruszenia: charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) RODO), umyślny lub nieumyślny charakter naruszenia (art. 83 ust. 2 lit. b) RODO) oraz kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g RODO). Rozważenie ich łącznego wpływu na ocenę stwierdzonego naruszenia prowadzi do wniosku, że poziom jego powagi (zgodnie z Wytycznymi 04/2022) jest wysoki. Konsekwencją tego jest przyjęcie - jako kwoty wyjściowej do obliczenia kary - wartości mieszczącej się w przedziale od 20% do 100% maksymalnej wysokości kary możliwej do orzeczenia wobec Spółki (pkt 60 tiret trzecie Wytycznych 04/2022) i zważywszy na dynamiczną kwotę maksymalną - od 54.249.631 zł (12.888.347 euro) do 271.248.155 zł (64.441.736 euro). Prezes UODO za adekwatną, uzasadnioną okolicznościami sprawy, kwotę wyjściową uznał 135.624.078 zł stanowiącą równowartość 32.220.868 euro (50% prawnie określonej maksymalnej wysokości kary dla Spółki). Stosownie do wskazówek EROD (pkt 66 tiret czwarte Wytycznych 04/2022, odnoszącej się do przedsiębiorstw, których roczny obrót wynosi powyżej 500 mLn EUR) Prezes UODO nie uznał za zasadne skorzystanie z możliwości obniżenia kwoty wyjściowej (przyjętej w oparciu o ocenę wysokiej powagi naruszenia), którą dają wytyczne w Rozdziale 4.3 dla przedsiębiorstw o mniejszej wielkości i sile gospodarczej. EROD wskazuje w nich bowiem, że w przypadku wielkich podmiotów (a takim jest Spółka, o czym świadczą osiągane obroty) "wielkość przedsiębiorstwa jest odzwierciedlona w dynamicznej ustawowej maksymalnej kwocie" (pkt 66 Wytycznych 04/2022). Prezes UODO dokonał też oceny wpływu na stwierdzone naruszenie pozostałych (poza ww. powagą naruszenia) okoliczności wskazanych w art. 83 ust. 2 RODO (Rozdział 5 Wytycznych 04/2022). Prezes UODO uznał, że okolicznością obciążającą Spółkę (chociaż w niewielkim stopniu) są stosowne wcześniejsze naruszenia przepisów RODO (art. 83 ust. 2 lit. e) RODO), a okolicznością łagodzącą wymiar kary w sposób znaczący jest stosunkowo szybkie usunięcia przez Spółkę naruszenia (art. 83 ust. 2 lit. k) RODO). Pozostałe przesłanki z art. 83 ust. 2 (lit. c, d, f, h, i, j RODO) nie miały wpływu ani łagodzącego, ani obciążającego na ocenę naruszenia i w konsekwencji na wymiar kary. Dalsze skorygowanie ww. kary ustalonej na podstawie oceny powagi naruszenia o 20% - do 108.499.262 zł stanowiącej równowartość 25.776.694 euro. Było spowodowane stosunkowo szybkim usunięciem naruszenia. To działanie Spółki usunęło jeden z celów, którym służyć ma administracyjna kara pieniężna - konieczność przywrócenia stanu zgodnego z prawem. Prezes UODO uznał ponadto, że choć ustalona zgodnie z ww. zasadami kara nie przekracza prawnie określonego maksimum kary, to wymaga ona dodatkowej korekty ze względu na zasadę proporcjonalności (art. 83 ust. 1 RODO) jako jedną z trzech dyrektyw wymiaru kary (Rozdział 7 Wytycznych 04/2022). Kara pieniężna w wysokości 108.499.262 zł byłaby karą skuteczną (przez swoją dolegliwość pozwoliłaby osiągnąć swój cel represyjny, którym jest ukaranie za bezprawne zachowanie) i odstraszającą (pozwalającą skutecznie zniechęcić zarówno Spółkę, jak i innych administratorów do popełniania w przyszłości tak poważnych naruszeń przepisów RODO). Kara w tej wysokości byłaby jednak karą nieproporcjonalną ze względu na swoją nadmierną dolegliwość. Zgodnie z Wytycznymi 2016/679 kary pieniężne: po pierwsze "nie powinny być nieproporcjonalne w stosunku do celów, których realizacji służą" (pkt 138), po drugie "powinny być proporcjonalne do naruszenia ocenianego całościowo, biorąc pod uwagę zwłaszcza wagę naruszenia" (pkt 138), a po trzecie powinny być proporcjonalne "do wielkości przedsiębiorstwa, do którego należy jednostka, która dopuściła się naruszenia" (pkt 139). Dodatkowo zasada proporcjonalności "wymaga, by przyjęte przez organ nadzorczy środki nie wykraczały poza to, co odpowiednie i konieczne do realizacji uzasadnionych celów", zaś "w przypadku gdy istnieje możliwość wyboru spośród większej liczby odpowiednich rozwiązań, należy stosować najmniej dolegliwe, a wynikające z tego niedogodności nie mogą być nadmierne w stosunku do zamierzonych celów" (pkt 137 i 139). Innymi słowy, jak przyjmuje się w polskiej doktrynie, "[s]ankeja jest proporcjonalna, jeśli nie przekracza progu dolegliwości określonego przez uwzględnienie okoliczności konkretnego przypadku" (Komentarz do art. 83 [w] P. Litwiński (red.) Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz. Komentarz do art. 83. Legalis). Należy zauważyć, że wzgląd na jak najmniejszą dolegliwość zastosowanej sankcji - ostatni z wyżej wskazanych aspektów zasady proporcjonalności (i tylko ten aspekt) - przemawia w sprawie za obniżeniem wysokości kary nałożonej na Spółkę. Wyważając wpływ na wymiar kary zasady proporcjonalności (we wszystkich jej aspektach), a także konieczności zachowania waloru skuteczności i odstraszającego charakteru kary, czyli wszystkich wymogów z art. 83 ust. 1 RODO (które są wobec siebie równorzędne i równie istotne) Prezes UODO wziął pod uwagę szczególny status Spółki, kontekst jej działalności jako operatora wyznaczonego, a także jej aktualną sytuację finansową wynikającą po części z tego kontekstu oraz otoczenia regulacyjnego w którym działa. Ze sprawozdania finansowego za 2023r. (zał. do pisma z [...] lutego 2025r.), wynika, że Spółka w 2022r. odnotowała stratę netto - 5,7 mln zł, a w 2023r. stratę netto -ok. 621 mln zł. Spółka nie przedstawiła za 2024r. sprawozdania finansowego, bo dane finansowe są w trakcie badania przez biegłego rewidenta. Z powszechnie znanych informacji przedstawianych publicznie przez sekretarza stanu w Ministerstwie Aktywów Państwowych (w sprawującym nadzór właścicielski nad Spółką) wynika, że w pierwszym półroczu 2024r. strata Spółki wyniosła około 315 mln zł (przebieg posiedzenia Podkomisji Stałej do Spraw Budownictwa, Gospodarki Przestrzennej i Mieszkaniowej oraz Poczty (nr 9) z [...] stycznia 2025 (s. 4) - dostępny pod adresem [...]), natomiast w 2024r. – ok. 230 mln zł (sprawozdanie stenograficzne z [...] posiedzenia Sejmu z 21 lutego 2025r. (drugi dzień obrad, s.230 [...]). Dane te świadczą o złej sytuacji finansowej Spółki. Tak wysokie straty Spółki są m.in. wynikiem nie tylko zmian rynku przesyłek pocztowych, ale też lat zaniedbań i fatalnego zarządzania, które spowodowały niedostosowanie modelu spółki do obecnych wyzwań rynku pocztowego. Ich przyczyna leży więc w dużej mierze po stronie Spółki; nie są efektem nadzwyczajnych zdarzeń zaistniałych w otoczeniu zewnętrznym Spółki. Należy jednak zauważyć, że ponoszone przez Spółkę straty wynikają też z przyczyn niezależnych od Spółki - są związane z obowiązkiem świadczenia pocztowych usług powszechnych, które nie podlegają warunkom wolnego rynku. Ich świadczenie, w tym ustalanie ich ceny i utrzymanie niezbędnej infrastruktury, są ściśle regulowane przepisami prawa i podlegają nadzorowi Urzędu Komunikacji Elektronicznej, tak aby zapewnić ich dostępność, ciągłość i przystępność cenową. Prezes UODO ma świadomość ponadto, że wpływ na wyniki finansowe Spółki w omawianym okresie miało opóźnienie w refinansowaniu przez Skarb Państwa kosztu netto obowiązku świadczenia usług powszechnych poniesionych przez Spółkę w latach 2021-2022, wynikające z konieczności jego notyfikowania (jako pomocy publicznej) Komisji Europejskiej i z opóźnienia w wydaniu przez ten organ decyzji o zgodności refinansowania tego kosztu z unijnymi zasadami udzielania pomocy publicznej. Spółka ostatecznie w 2024r. otrzymała wstępną płatność na poczet finansowania kosztu netto obowiązku świadczenia usług powszechnych w latach 2021-2022 w wysokości ok. 749 mln zł, a Komisja Europejska wydała w listopadzie tego roku decyzję potwierdzającą zgodność pomocy publicznej polegającej na finansowaniu przez państwo polskie tego kosztu w latach 2021-2025 z prawem Unii Europejskiej. Decyzja ta pomogła ustabilizować sytuację finansową Spółki. W oparciu o nią wypłacono (749 mln zł w 2024r.) lub ma zostać wypłacone Spółce w najbliższych latach, finansowanie ze Skarbu Państwa łącznie ok. 3,7 mld zł, w tym w 2025r. ok. 963 mln zł tytułem finansowania kosztu netto poniesionego na usługach publicznych w 2023r. Analizując sytuację finansową Spółki w kontekście oceny dolegliwości kary i jej skutków dla funkcjonowania Spółki Prezes UODO odnotowuje podjęte próby poprawy kondycji finansowej, wyrażające się we wdrożeniu w Spółce działań naprawczych obejmujących m.in.: przyjęcie przez zarząd Spółki w sierpniu 2024r. tzw. Planu Transformacji (komunikat Spółki - [...]), wypowiedzenie Zakładowego Układu Zbiorowego Pracy ze skutkiem na [...] lutego 2025r. (komunikat [...]) wdrożenie Programu Dobrowolnych Odejść pracowników Spółki przyjętego uchwałą zarządu Spółki [...] stycznia 2025r. Działania te mają na celu m.in. redukcję kosztów działalności prowadzonej przez Spółkę, w tym redukcję kosztów ("optymalizację") zatrudnienia. Tylko w ramach tego ostatniego programu przewiduje się redukcję około 8,5 tys. etatów ([...]). Działania te są konieczne i usprawiedliwione sytuacją finansową Spółki i mogą mieć wpływ na wywiązywanie się z Jej zadań publicznych; mogą wiązać się z ryzykiem obniżenia jakości świadczonych pocztowych usług powszechnych, czy zakłócić proces wdrażania systemu e-doręczeń. Prezes UODO ma świadomość, że orzeczenie wobec Spółki w tej sytuacji kary nadmiernie dolegliwej wiązałoby się ze zmaterializowaniem się tego ryzyka, co skutkowałoby negatywnymi konsekwencjami zarówno dla poszczególnych obywateli, jak i dla całych dziedzin funkcjonowania państwa (administracji publicznej, wymiaru sprawiedliwości, obronności, itp.). Kara nie uwzględniająca ww. okoliczności mogłaby również - zakłócając procesy naprawcze Spółki - zagrozić samemu jej bytowi, co - zważywszy na wielkość Spółki - wiązałoby się z negatywnymi konsekwencjami o dużej skali w sferze społecznej. Prezes UODO, mając to na uwadze uznał, że kara w wysokości 108.499.262 zł (uwzględniająca wysoką powagę naruszenia, wielkość przedsiębiorstwa Spółki i wszystkie okoliczności wskazane w art. 83 ust. 2 RODO, a także posiadająca walory skuteczności i odstraszania) byłaby karą nadmiernie dolegliwą i nieodpowiadającą zasadzie proporcjonalności. Skutkiem uszczuplenia o tę kwotę środków finansowych Spółki w trakcie procesu naprawczego (który sam w sobie wymaga zainwestowania dodatkowych środków, m.in. na sfinansowanie Programu Dobrowolnych Odejść mogłoby być - w ocenie Prezesa UODO - zmaterializowanie się wskazanych powyżej ryzyk dla realizacji zadań publicznych wykonywanych przez Spółkę. Prezes UODO w związku z tym - mając wzgląd na proporcjonalność orzeczonej kary - dokonał dalszego obniżenia jej wysokości - o 75% w stosunku do kwoty uzyskanej po uwzględnieniu dodatkowych okoliczności wpływających obciążająco i łagodząco na wymiar kary - do 27.124.816 zł (równowartość 6.444.174 euro). Ww. kara nie wpłynie na obniżenie jej skuteczności i odstraszającego charakteru. Kwota ta stanowi bowiem pewien próg, powyżej którego dalsze zwiększenie wysokości kary (a tym samym jej dolegliwości) nie będzie wiązało się ze wzrostem jej skuteczności i odstraszającego charakteru. Z drugiej strony obniżenie w większym stopniu wysokości kary mogłoby się odbyć już kosztem jej skuteczności, odstraszającego charakteru oraz proporcjonalności do powagi naruszenia, a także z uszczerbkiem dla spójnego stosowania i egzekwowania RODO przez europejskie organy nadzorcze i z naruszeniem zasady równego traktowania podmiotów na rynku wewnętrznym UE i EOG. Dla tak wielkiego podmiotu jak Spółka, o tak ogromnych obrotach i możliwościach finansowania zobowiązań (w tym też zobowiązania wynikającego z orzeczonej niniejszą decyzją sankcji), ww. kara będzie możliwą do zapłaty bez nadmiernego uszczerbku dla funkcjonowania Spółki i realizacji zadań wynikających z statusu operatora wyznaczonego. Stanowi bowiem jedynie 0,4% przychodów osiągniętych przez Spółkę w 2024r. Jej wysokość to ok. 10% prawnie określonej maksymalnej wysokości kary zagrażającej Spółce za dokonane przez nią naruszenie przepisów RODO. Warto również zauważyć, że kwota nałożonej na Spółkę kary jest niewielka w stosunku do transferów finansowych pomiędzy budżetem państwa a Spółką z tytułu samego tylko finansowania kosztu netto obowiązku świadczenia usług powszechnych; stanowi 2,8% kwoty, którą z tego tytułu Spółka już otrzymała w 2025r. (963 mln zł pokrycia kosztu poniesionego w 2023r.). Ponadto ustalona w ten sposób kwota administracyjnej kary pieniężnej nie przekracza - stosownie do art. 83 ust. 3 RODO - prawnie określonej maksymalnej wysokości kary przewidzianej dla najpoważniejszego naruszenia (Rozdział 6 Wytycznych 04/2022). Stwierdzone w sprawie naruszenia obu ww. przepisów RODO (art. 5 i art. 6) zagrożone są taką samą karą w wysokości do 4% rocznego obrotu Spółki z poprzedniego roku obrotowego; naruszenia te należy uznać więc za mające tę samą powagę w rozumieniu art. 83 ust. 3 RODO. W odniesieniu do Spółki, o czym mowa wyżej ma "dynamiczna kwota maksymalna" (271.248.155 zł - równowartość 64.441.736 euro), a kara orzeczona za łącznie naruszenia ww. przepisów RODO wynosi – 27.124.816 zł (równowartość 6.444.174 euro) i nie przekracza "dynamicznej kwoty maksymalnej" określonej dla każdego z naruszeń z osobna - nie przekracza wysokości kary za najpoważniejsze naruszenie (art. 83 ust. 3 RODO). Ww. sankcja spełnia funkcje kary określone w art. 83 ust. 1 RODO i stanowi możliwie adekwatną, a nade wszystko sprawiedliwą reakcję organu nadzorczego na stwierdzone naruszenia przepisów RODO. Nałożenie administracyjnej kary pieniężnej w kwocie ustalonej jest konieczne i uzasadnione charakterem, wagą, jak i pozostałymi okolicznościami sprawy, które organ nadzorczy uznał za obciążające w kontekście przypisanych naruszeń. Zdaniem Prezesa UODO zastosowanie wobec Spółki innego środka naprawczego przewidzianego w art. 58 ust. 2 RODO, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) RODO), nie byłoby proporcjonalne do stwierdzonych nieprawidłowości w procesie przetwarzania danych osobowych i nie gwarantowałoby tego, że administrator w przyszłości nie dopuściliby się kolejnych zaniedbań. 2. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na pkt 2 ww. decyzji Prezesa UODO Spółka zarzuciła naruszenie: a) w sposób rażący (w rozumieniu w art. 156 § 1 pkt 2 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego - Dz.U. 2023r., poz. 775 ze zm., zwana dalej "k.p.a.") art. 2 Konstytucji Rzeczypospolitej Polskiej z 2 kwietnia 1997r. (Dz.U. z 1997r. Nr 78, poz. 483, ze zm., zwana dalej "Konstytucją"), art. 7, art. 8 § 1 w zw. z art. 16 § 1 k.p.a. - przez nałożenie na Spółkę administracyjnej kary pieniężnej za przetwarzanie danych osobowych, które odbywało się w wykonaniu obowiązku określonego w ostatecznej, skutecznej, wiążącej Spółkę ww. Decyzji, podlegającej natychmiastowemu wykonaniu z mocy ustawy, korzystającej z domniemania legalności, obowiązującej w okresie przetwarzania danych osobowych przez Spółkę (od [...] kwietnia do [...] maja 2020r.), której legalność, na mocy art. 6 ust. 1 lit. c RODO potwierdził Prezesa UODO w stanowisku opublikowanym na stronie internetowej [...] kwietnia 2020r. ([...]) oraz w postanowieniu o odmowie wszczęcia postępowania z lipca 2020r. (wyrok WSA w Warszawie wydał z 10 lutego 2021r. sygn. akt II SA/Wa 1649/20) oraz PKW w piśmie z [...] kwietnia 2020r. ([...]), a następnie obciążeniu Spółki negatywnymi konsekwencjami następczej zmiany uprzednio zajętego i obowiązującego w okresie przetwarzania danych osobowych stanowiska Prezesa UODO, wyrażanego też w wydawanych rozstrzygnięciach indywidualnych - co miało istotny wpływ na wynik sprawy, bo organy państwa, w tym Prezes UODO, nie są uprawnione do przenoszenia odpowiedzialności na Spółkę za błędy popełnione przez państwo oraz stanowiącego jego emanację organu państwa, jak również Spółka nie może ponosić negatywnych konsekwencji zdezaktualizowania się uprzednio zajętych stanowisk ww. organów, skoro w oparciu o polecenia i wytyczne tych organów podejmowała działania w zaufaniu do organów państwa; b) art. 8 § 1, art. 9, art. 10 § 1 w zw. z art. 61 § 1 k.p.a. oraz w zw. z art. 2 Konstytucji - przez nieskonkretyzowanie przedmiotu postępowania w sprawie na etapie zawiadomienia o wszczęciu postępowania, jak i do czasu wydania pkt 2 ww. decyzji, co stanowi naruszenie gwarancji procesowych Spółki oraz uniemożliwiło pełne ustosunkowanie się do niedookreślonego przedmiotu postępowania; przedmiot postępowania określono dopiero w sentencji ww. decyzji, nakładając sankcję na Spółkę - co miało istotny wpływ na wynik sprawy i stanowiło naruszenie podstawowych gwarancji strony postępowania administracyjnego; c) art. 7, art. 77 § 1 i art. 80 k.p.a. – przez pominięcie chronologii zdarzeń i pominięcie, że Spółka w chwili pozyskania danych osobowych ([...] kwietnia 2020r.) i do ich usunięcia [...] maja 2020r. była związana ww. ostateczną Decyzją, która stanowiła podstawę prawną do przetwarzania danych osobowych i wywoływała skutki prawne do chwili wydania przez NSA prawomocnego wyroku z 28 czerwca 2024r. sygn. akt III OSK 4524/21, oddalającego skargę kasacyjną na wyrok WSA w Warszawie z 15 września 2020r. sygn. akt VII SA/Wa 992/20, stwierdzającego nieważność ww. Decyzji - co miało istotny wpływ na wynik sprawy, bo do chwili prawomocnego stwierdzenia nieważności decyzji pozostawała ona w obrocie prawnym - jako akt zobowiązujący Spółkę do przetwarzania danych osobowych, a przetwarzanie ustało [...] maja 2020r. - czyli przed wydaniem ww. orzeczeń; pominięto też, że wyroki, na które powołał się Prezes UODO (NSA z 13 marca 2024r. sygn. akt II OSK 1630/21 i WSA w Warszawie z 26 lutego 2021r. sygn. akt IV SA/Wa 1817/20) zapadły po zakończeniu procesu przetwarzania danych przez Spółkę. Prezes UODO zastosował więc stan prawny z dnia wydania pkt 2 ww. decyzji do zakończonego procesu przetwarzania, który rozpoczął się i zakończył w innym stanie prawnym; d) art. 107 § 3 k.p.a. w zw. z art. 153 w zw. z art. 170 P.p.s.a. - przez przyjęcie, że treść orzeczeń: NSA z 13 marca 2024r. sygn. akt II OSK 1630/21, WSA w Warszawie z 26 lutego 2021r. sygn. akt IV SA/Wa 1817/20; NSA z 28 czerwca 2024r. sygn. akt III OSK 4524/21 i WSA w Warszawie z 15 września 2020r. sygn. akt VII SA/Wa 992/20 i wyrażenie w nich ocen prawnych uzasadnia przyjęcie, że Spółka naruszyła art. 5 ust. 1 lit. a) i art. 6 ust. 1 RODO i nałożenie na Spółkę administracyjnej kary pieniężnej, gdy przedmiotem ww. orzeczeń nie była ocena działania Spółki. Orzeczenia te nie przewidują odpowiedzialności Spółki za działania Prezesa RM i Ministra i innych organów państwa, a wyrażona w nich ocena prawna nie odnosi się do możliwości pociągnięcia Spółki do odpowiedzialności za działania podejmowane w oparciu o ww. Decyzję istniejącą w obrocie prawnym od [...] kwietnia do [...] maja 2020r. - co miało istotny wpływ na wynik sprawy, bo w ocenie Prezesa UODO ww. wyroki spowodowały zmianę "rzeczywistości prawnej", w związku z czym dokonano ponownej oceny procesu przetwarzania danych osobowych, zakończonego przed zapadnięciem ww. orzeczeń, posługując się nieznanym w RODO i k.p.a. warunkiem "społecznego oczekiwania", uzasadniającego odmienną ocenę działania Spółki w przeszłości - co było nieuzasadnione również w kontekście ww. wyroków, których treść nie ma wpływu na ocenę legalności działania Spółki od [...] kwietnia do [...] maja 2020r.; e) art. 7a § 1 k.p.a. - przez rozstrzyganie na niekorzyść Spółki wszelkich wątpliwości prawnych powstałych w sprawie, w tym o Jej odpowiedzialności, jako technicznego wykonawcy, za wadliwe decyzje podejmowane przez organy państwa, gdy określając odpowiedzialność Spółki za działania, które zakończyły się w przeszłości, a w chwili ich podejmowania, stanowiły realizację polecenia istniejącego w obrocie prawnym, organ stwierdził, że Spółka może zostać pociągnięta do odpowiedzialności po wyeliminowaniu decyzji administracyjnej, która stanowiła podstawę prawną działania Spółki w czasie przetwarzania danych osobowych, przyjmując negatywną dla Spółki wykładnię art. 6 ust. 1, art. 5 ust. 1 lit. a i art. 83 RODO oraz art. 156 § 1 pkt 2 k.p.a. - co miało istotny wpływ na wynik sprawy, bo stanowiło podstawę do przypisania odpowiedzialności Spółce za wadliwe działanie organów państwa; f) art. 5 ust. 1 lit. a) i art. 6 ust. 1 lit. c RODO w zw. z art. 2 Konstytucji - przez uznanie, że w czasie przetwarzania danych osobowych przez Spółkę - od [...] kwietnia do [...] maja 2020r., Spółka nie legitymowała się żadną z przesłanek przetwarzania danych osobowych, gdy legitymowała się przesłanką określoną w art. 6 ust. 1 lit. c RODO, działając w celu realizacji spoczywającego na niej obowiązku prawnego, nałożonego na nią ostateczną ww. Decyzją, podlegającą wykonaniu z mocy ustawy, skutecznie doręczoną i korzystającą z domniemania legalności, w związku z czym Spółka nie naruszyła art. 5 ust. 1 lit. a i art. 6 ust. 1 RODO - co miało istotny wpływ na wynik sprawy. Organ pominął przy tym, że bez znaczenia pozostaje, że Spółka nie skorzystała z środka procesowego służącego wzruszeniu ww. decyzji, bo jest to jedynie uprawnienie procesowe adresata decyzji, a nie normy nakazującej korzystanie z uprawnień procesowych do kwestionowania decyzji, jak i możliwość skorzystania ze środka zaskarżenia nie ma wpływu na: domniemanie legalności czy wykonalność decyzji z mocy ustawy oraz skuteczności nałożonego ww. decyzją obowiązku; g) art. 83 ust. 1 RODO - przez nałożenie na Spółkę administracyjnej kary pieniężnej za proces przetwarzania danych osobowych prowadzony w okresie od [...] kwietnia do [...] maja 2020r. z naruszeniem warunków skuteczności, proporcjonalności i odstraszającego charakteru przewidzianych w ww. przepisie, gdy nałożenie na Spółkę ww. kary nie spełnia żadnego ze wskazywanych warunków - co ma istotny wpływ na wynik sprawy; h) art. 83 ust. 2 lit. b RODO w zw. z art. 2 Konstytucji - przez uznanie za okoliczność obciążającą Spółkę fakt nie zaskarżenia ww. Decyzji w trybie art. 127 § 3 k.p.a., nie wystąpienia o uzupełnienie ww. Decyzji na mocy art. 111 § 1 k.p.a., nie wystąpienie o wyjaśnienie treści decyzji na podstawie art. 113 § 2 k.p.a. - gdy adresat decyzji posiada wyłącznie uprawnienia w ww. zakresie, a nie obowiązek, więc nieskorzystanie z prawa dobrowolnego złożenia ww. środków nie może zostać uznane za okoliczność obciążającą Spółkę lub wiązać się z negatywnymi konsekwencjami dla Spółki - co miało istotny wpływ na wynik sprawy. Spółka w związku z tym wniosła o: stwierdzenie nieważności pkt 2 ww. decyzji Prezesa UODO, albo o uchylenie pkt 2 ww. decyzji i zasądzenie na rzecz Spółki od Prezesa UODO zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego. Spółka zwróciła się też o rozpoznanie sprawy na rozprawie i przeprowadzenie na mocy art. 106 § 3 P.p.s.a. dowodów z wydruku ze strony internetowej PUOD z [...] sierpnia 2024r. (załącznik nr 5), wskazując, że Prezesa UODO w komunikacie z [...] sierpnia 2024r. wyjaśnił, że otrzymał 232 skargi w sprawach indywidualnych, z czego 123 sprawy pozostawił bez rozpoznania, z uwagi na braki formalne, a w 105 sprawach wydał postanowienia o odmowie wszczęcia postępowania, bo w ówczesnej ocenie Prezesa UODO istniała podstawa prawna do udostępnienia tych danych operatorowi pocztowemu, a pozyskanie danych osobowych przez Spółkę miało oparcie w art. 6 ust. 1 lit. c) RODO. Prezes UODO do czasu stwierdzenia nieważności ww. Decyzji Prezesa RM nie prowadził więc postępowań na nieprawidłowości w procesie przetwarzania danych osobowych przez Ministra lub Spółkę lub wszczęte postępowania umorzył. Spółka w uzasadnieniu skargi w sposób obszerny uzasadniła ww. zarzuty, przedstawiając argumentację mającą oparcie w stanowisku judykatury i piśmiennictwa. 3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji oraz przedstawiając obszerne stanowisko co do przedstawionych zarzutów. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: 1. skarga jest uzasadniona, choć nie wszystkie zarzuty mogły być uznane przez Sąd za zasadne. 2. Sąd wskazuje na wstępie, że Sąd administracyjny, stosownie do art. 1 § 1 i 2 ustawy z 25 lipca 2002r. – Prawo o ustroju sądów administracyjnych (Dz.U. z 2024r., poz. 1267) oraz art. 3 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sadami administracyjnymi (Dz.U. z 2026r., poz. 143, zwana dalej "P.p.s.a.") sprawuje wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Możliwe jest zatem wyeliminowanie przez Sąd z obrotu prawnego aktu wydanego przez organ administracji publicznej (np. decyzji), po stwierdzeniu, że narusza ona bądź przepis prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepis postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepis prawa dający podstawę do wznowienia postępowania, lub po ustaleniu, że decyzja organu dotknięta jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.). Sąd administracyjny innymi słowy, kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Sąd, stosownie do art. 151 P.p.s.a., w razie nieuwzględnienia skargi w całości albo w części oddala skargę odpowiednio w całości albo w części. 3. Zdaniem Sądu w sprawie na uwzględnienie nie zasługiwał najdalej idący wniosek skarżącej Spółki o stwierdzenie nieważności pkt 2 ww. decyzji Prezesa UODO, bowiem Sąd uznał, że organ nie naruszył w sposób rażący wskazanych w skardze przepisów. Sąd wskazuje bowiem, że w doktrynie prawa administracyjnego i w judykaturze przyjmuje się, że zastosowanie wobec wadliwej decyzji administracyjnej sankcji nieważności powoduje, że decyzja ta od chwili jej wydania nie wywołała skutków prawnych. Stwierdzenie nieważność decyzji eliminuje więc skutki prawne wadliwej decyzji ex tunc. Z taką sytuacją mieliśmy do czynienia w sprawie, gdyż w wyniku prawomocnego stwierdzenia nieważność ww. Decyzji Prezesa RM przez WSA w Warszawie w wyroku z 15 września 2020r. sygn. akt VII SA/Wa 992/20), które to orzeczenie zostało utrzymane w mocy przez NSA wyrokiem z 28 czerwca 2024r. sygn. akt III OSK 4524/21 doszło do wyeliminowania skutków prawnych tej decyzji. Tym samym nie można uznać, że Prezes UODO powołując się w uzasadnieniu do zaskarżonego pkt 2 decyzji na prawomocne wyeliminowanie z obrotu prawnego ww. decyzji w sposób rażący naruszył prawo. Jednakże – zdaniem Sądu - trzeba mieć w sprawie na względzie, że w doktrynie wskazano, że decyzja stwierdzająca nieważność nie stanowi wyłącznie deklaracji stanu istniejącego wcześniej, lecz tworzy również elementy nowego stanu prawnego, wywiera skutki w obrocie prawnym. Są to elementy konstytutywne decyzji nieważnościowej (B. Adamiak, J. Borkowski "Kodeks postępowania administracyjnego. Komentarz", 5. Wydanie, Wydawnictwo C.H.Beck, s. 737-738; M. Jaśkowska, A. Wróbel "Kodeks postępowania administracyjnego. Komentarz", Zakamycze Wydanie II, s. 1000-1002). Warto też zauważyć, na co prawidłowo zwracano uwagę w skardze, że decyzja, której nieważność stwierdzono wiązała Spółkę do czasu stwierdzenia jej nieważności. Tym samym do czasu prawomocnego stwierdzenia nieważności decyzji przez orzeczenie Sądu należało przyjąć, że decyzja ta korzysta z domniemania legalności. W rozpoznawanej sprawie należało mieć ponadto na względzie okoliczność, że nie wszystkie skutki wywołane przez decyzję nieważną są odwracalne. Do skutków o charakterze nieodwracalnym należy upływ czasu, który ma niebagatelne znaczenie przy rozstrzyganiu sprawy ze skargi na pkt 2 ww. decyzji Prezesa UODO z [...] marca 2025r. Analogiczne stanowisko prezentował Naczelny Sąd Administracyjny w wyroku z 22 lipca 2009r. sygn. akt I OSK 1455/08 oraz w wyroku z 17 grudnia 2010r. sygn. akt I OSK 1026/10. W orzeczeniach tych wskazywano, że kwestią jest wyprowadzenie konsekwencji prawnych stwierdzenia nieważności decyzji. Przepisy polskiego prawa administracyjnego nie przyjmują nieważności z mocy prawa. Według art. 16 § 1 k.p.a., decyzja administracyjna obowiązuje do dnia, w którym we właściwym trybie zostanie wyeliminowana z obrotu prawnego. Dopóki decyzja o zwolnieniu z zawodowej służby wojskowej obowiązywała, dopóty nie można zarzucić zwłoki w wypłacie uposażenia. Dopiero obalenie domniemania prawidłowości decyzji (...) dawało podstawy do wyprowadzenia wystąpienia przesłanki zwłoki w wypłacie uposażenia i innych należności i od tego dnia odsetki stały się wymagalne. Sąd, mając powyższe stanowisko Naczelnego Sądu Administracyjnego na względzie i w pełni je podzielając, stwierdził, że również w rozpoznawanej sprawie należało wziąć pod rozwagę kwestię wyprowadzenia konsekwencji prawnych ze stwierdzenia nieważności przez Sądy administracyjne w powołanych przez Prezesa UODO ww. wyrokach WSA i NSA - ww. Decyzji Prezesa RM, która obowiązywała w chwili gdy Spółka przetwarzała ww. dane osobowe, jak również gdy zakończyła proces przetwarzania ww. danych osobowych. Proces przetwarzania danych osobowych przez Spółkę w chwili, gdy doszło do stwierdzenia nieważności ww. Decyzji był już nieodwracalny, gdyż ustał przed stwierdzeniem nieważności ww. Decyzji. Według art. 16 § 1 k.p.a., decyzja administracyjna obowiązuje do dnia, w którym we właściwym trybie zostanie wyeliminowana z obrotu prawnego. Dopóki ww. Decyzja Prezesa RM obowiązywała, dopóty nie można zarzucić, że Spółka działała bez podstawy prawnej. Sytuację prawną Spółki bezspornie zmieniło polecenie nałożone na mocy ww. Decyzji z [...] kwietnia 2020r. wskazujące, że Spółka ma podjąć wszelkie czynności zmierzające do przygotowania przeprowadzenia wyborów prezydenckich w 2020r., które mają odbyć się w trybie korespondencyjnym dla wszystkich czynnie uprawnionych wyborców. Dopiero obalenie domniemania prawidłowości ww. Decyzji (po czterech latach od zakończenia procesu przetwarzania przez Spółkę) dawało podstawy do wyprowadzenia wystąpienia przesłanki działania bez podstawy prawnej. Tym niemniej proces przetwarzania danych osobowych wówczas już nie zachodził. Uzasadniony jest zatem podnoszony w skardze zarzut naruszenia art. 7, art. 77 § 1 i art. 80 k.p.a. przez pominięcie chronologii zdarzeń w sprawie. Zdaniem Sądu warto ponadto zauważyć, że w judykaturze ugruntowane jest stanowisko, że organ administracyjny ma obowiązek oceny legalności procesu przetwarzania danych osobowych w czasie, w którym proces przetwarzania miał miejsce, czyli w rozpoznawanej sprawie w okresie od [...] kwietnia do [...] maja 2020r. Czyli Prezes UODO w toku dokonywania ustaleń faktycznych, jeszcze przed zastosowaniem sankcji przewidzianej w pkt 2 ww. decyzji z [...] marca 2025r., powinien zatem ocenić czy Spółka była uprawniona do przetwarzania ww. danych osobowych w okresie, w którym były przetwarzane dane osobowe. Prezes UODO nie kwestionował w uzasadnieniu ww. decyzji z [...] marca 2025r., że wówczas, gdy Spółka przetwarzała ww. dane osobowe – w okresie od [...] kwietnia do [...] maja 2020r. - obowiązywała decyzja administracyjna (ww. Decyzja Prezesa RM), nakładająca na Spółkę polecenie, tym samym niezrozumiałe jest stwierdzenie, że pozyskanie danych osobowych przez Spółkę nie miało oparcia w art. 6 ust. 1 lit. c) RODO. Nie można bowiem pomijać okoliczności, że o prawomocności orzeczeń stwierdzających nieważność ww. Decyzji Prezesa RM można mówić dopiero od 28 czerwca 2024r., a do przetwarzania danych osobowych przez Spółkę doszło od [...] kwietnia do [...] maja 2020r. Okoliczność, że Prezes UODO nie kwestionował w okresie przetwarzania przez Spółkę danych osobowych w okresie, w których były one przetwarzane (od [...] kwietnia do [...] maja 2020r.) potwierdza szereg dowodów znanych Prezesowi UODO z urzędu, w tym załączony przez Spółkę do skargi i dopuszczony przez Sąd na rozprawie, na mocy art. 106 § 3 P.p.s.a., dowód w postaci komunikatu Prezesa UODO zamieszczonego na stronie internetowej ww. organu z [...] sierpnia 2024r., w którym wyjaśniono, że Prezes UODO otrzymał 232 skarg w sprawach indywidualnych, z czego 123 sprawy pozostawił bez rozpoznania, z uwagi na braki formalne, a w 105 sprawach wydał postanowienia o odmowie wszczęcia postępowania, bo w ówczesnej ocenie Prezesa UODO istniała podstawa prawna do udostępnienia tych danych operatorowi pocztowemu (skarżącej Spółce), a pozyskanie danych osobowych przez Spółkę miało oparcie w art. 6 ust. 1 lit. c) RODO. Prezes UODO do czasu stwierdzenia nieważności ww. Decyzji Prezesa RM nie prowadził więc postępowań na nieprawidłowości w procesie przetwarzania danych osobowych przez Spółkę lub wszczęte postępowania umorzył. Należy w związku z tym zauważyć, że skoro ww. Decyzja Prezesa RM, której nieważność prawomocnie stwierdzono dopiero 28 czerwca 2024r. w związku z wydaniem w tym dniu przez Naczelny Sąd Administracyjny wyroku o sygn. akt III OSK 4524/21, obowiązywała w obrocie prawnym, gdy Spółka skarżąca przetwarzała ww. dane osobowe, aż do chwili prawomocnego stwierdzenia jej nieważności, to ww. Decyzji przysługiwał - w chwili przetwarzania danych osobowych (od [...] kwietnia do [...] maja 2020r.) - przymiot domniemania prawidłowości. W związku z tym na uwzględnienie zasługiwał podnoszony w skardze zarzut naruszenia art. 7a § 1 k.p.a. w związku z art. 8 § 1 k.p.a. - przez rozstrzygnięcie na niekorzyść Spółki – "technicznego wykonawcy" - wszelkich istniejących wątpliwości, gdy w sprawie mieliśmy do czynienia w ramach polecenia zawartego w ww. Decyzji Prezesa RM z zakończonym i dokonywanym przez Spółkę procesem przetwarzania danych osobowych, co do których Prezes UODO w toku postępowania nie powołał się na jakiekolwiek faktyczne naruszenia wynikłe z procesu przetwarzania, lecz na brak legalności w związku ze stwierdzeniem nieważności dopiero po czterech latach ww. Decyzji, zawierającej polecenie. Sąd stwierdza ponadto, że jakkolwiek Prezes UODO powołuje się w uzasadnieniu ww. decyzji z [...] marca 2025r. na związanie prawomocnymi wyrokami Sądów administracyjnych, to jednak w sposób wybiórczy powołuje się na tezy stawiane w tych orzeczeniach, a szczególnie w wyroku Naczelnego Sądu Administracyjnego z 28 czerwca 2024r. o sygn. akt II OSK 4524/21. Nie budzi to zaufania do organu administracji państwowej i stanowi naruszenie art. 8 § 1 k.p.a. tym bardziej, że w zaskarżonej decyzji brak szczegółowych ocen podejmowanych przez Spółkę działań na czas przetwarzania danych osobowych (od [...] kwietnia do [...] maja 2020r.), jak również rozważań, czy Spółka powinna ponosić odpowiedzialność za działania podejmowane w ramach związania poleceniem Prezesa RM w postaci najwyższej w historii Polski kary administracyjnej, gdy również Minister udostępnił Skarżącej dane objęte procesem przetwarzania i z uwagi na ograniczenia wynikające w u.o.d.o. zastosowano wobec tego organu administracyjną karę finansową o ok. 270 razy mniejszą. Oprócz fragmentów przytoczonych przez Prezesa UODO w zaskarżonej co do pkt 2 ww. decyzji z [...] marca 2025r. należy wskazać, że NSA w ww. orzeczeniu o sygn. akt II OSK 4524/21 wskazuje, że: "Z treści art. 11 ust. 2 ustawy covidowej wynika wprost, że Prezes Rady Ministrów może wydać polecenie wyłącznie w związku z przeciwdziałaniem COVID-19. Jest to zastrzeżenie o zasadniczym znaczeniu, albowiem przesądza, że cel, jakim jest przeciwdziałanie COVID-19 został jednoznacznie przypisany do realizacji Prezesowi Rady Ministrów. Wydawane przez ten organ na podstawie art. 11 ust. 2 ustawy covidowej polecenie jest wobec tego celu instrumentalne, to znaczy, ma prowadzić do jego osiągnięcia. Obowiązkiem adresata polecenia wydanego na podstawie art. 11 ust. 2 ustawy covidowej przez Prezesa Rady Ministrów jest wykonać nałożone na niego zadanie. Poza granicami obowiązku nałożonego na adresata polecenia pozostaje weryfikacja skuteczności jego realizacji z perspektywy założonego celu, jakim jest przeciwdziałanie COVID-19." NSA wskazuje ponadto w ww. orzeczeniu o sygn. akt II OSK 4524/21, że "Ustalenie, jakie konkretnie działania realizują cel, jakim jest przeciwdziałanie COVID-19 jest obowiązkiem Prezesa Rady Ministrów. Podmiot do którego kieruje on polecenie, ma je jedynie wykonać, nie jest natomiast ani upoważniony, ani zobowiązany do oceny skuteczności zadań stanowiących substrat tego polecenia." NSA podnosi ponadto w ww. orzeczeniu, że "W pierwszym akapicie organ rozstrzygnął o treści zadania nałożonego na Pocztę Polską. Organ polecił temu podmiotowi "realizację działań w zakresie przeciwdziałania COVID-19, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 r., w trybie korespondencyjnym, w szczególności poprzez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych kadrowych". W ocenie NSA "takie sformułowanie decyzji administracyjnej nakładającej polecenie wykonania obowiązku, z uwagi na swoją niedookreśloność jest niedopuszczalne i stanowi rażące naruszenie art. 11 ust. 2 ustawy covidowej. W oparciu o treść decyzji nie można zidentyfikować konkretnych czynności wykonawczych, których wykonanie stanowiłoby realizację polecenia. W konsekwencji nie da się wskazać warunków, w których P. zwalniałaby się z odpowiedzialności za niewykonanie decyzji, odbierając organowi możliwość wdrożenia przymusowego trybu jej realizacji." NSA wskazuje również w ww. wyroku, że "Posłużenie się przez organ zwrotem "w szczególności" oznacza, że wskazane dalej wyliczenie kategorii aktywności mającej stanowić desygnat czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta RP ma charakter otwarty, to znaczy: nie wyczerpuje całego zakresu aktywności, do jakiej zobowiązana jest P. w celu realizacji nałożonego na nią polecenia. Z decyzji wynika więc, że polecenie nakłada na Pocztę Polską obowiązek podjęcia czynności nie wskazanych bezpośrednio w jej treści, których identyfikacja ma nastąpić w toku realizacji tej decyzji przez jej adresata. Innymi słowy: adresat decyzji, podmiot spoza struktur administracji publicznej, przedsiębiorca, ma rozstrzygać o tym, jaka aktywność będzie stanowić wykonanie nałożonego na niego obowiązku podjęcia i realizacji czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta RP w trybie korespondencyjnym. Adresat polecenia musi przy tym uwzględniać następujące dyrektywy kierunkowe wynikające z treści decyzji z [...] kwietnia 2020 roku: 1) podjęte i realizowane czynności mają stanowić realizację działań w zakresie przeciwdziałania COVID-19; 2) podjęte i realizowane czynności mają być "niezbędne" z uwagi na ich cel, jakim jest zmierzanie do przygotowania przeprowadzenia wyborów Prezydenta RP w trybie korespondencyjnym; 3) podjęte i realizowane czynności nie mogą przygotowywać do przeprowadzenia wyborów Prezydenta RP w trybie korespondencyjnym, lecz zmierzać do ich przygotowania. Taka konstrukcja decyzji administracyjnej nakładającej obowiązek jest niedopuszczalna, albowiem pozostawia - z jednej strony - niepewność co do tego, jakie czynności wykonawcze należy podjąć, aby ją zrealizować, a z drugiej, wymusza na adresacie decyzji wybór tych czynności, którego musi dokonać w warunkach tej niepewności. (...). Takie określenie czynności realizujących nałożone na Pocztę Polską polecenie jest wadliwe." NSA podnosi także w ww. wyroku o sygn. akt II OSK 4524/21, że "Weryfikacja legalności tej decyzji obejmuje warstwę ustrojową, związaną z właściwością organu, warstwę procesową związaną z zachowaniem prawem przewidzianych rygorów proceduralnych oraz warstwę materialnoprawną, która dotyczy konkretyzacji sytuacji prawnej adresata decyzji administracyjnej. Charakter i zakres zmiany sytuacji prawnej adresata decyzji musi wynikać z jej treści. W realiach niniejszej sprawy sytuację prawną Poczty Polskiej bezspornie zmieniło nałożone na nią decyzją z [...] kwietnia 2020 roku polecenie podjęcia określonych działań. Ustalenie charakteru i zakresu tych działań nastąpiło w treści tej decyzji, stąd jedynie treść tej decyzji może wyznaczać przedmiot sądowoadministracyjnej kontroli zawartego w niej rozstrzygnięcia." NSA podniósł również, że z jednoznacznego stwierdzenia zawartego w decyzji wynika zatem, że polecenie wydane wobec Poczty Polskiej dotyczyło przeprowadzenia wyborów prezydenckich w trybie korespondencyjnym dla wszystkich uprawnionych do głosowania, a nie wyłącznie dla niepełnej i bliżej niesprecyzowanej części wyborców, o których mowa w art. 53a § 1 i § 1a Kodeksu Wyborczego." (...) Jak już wyżej wykazano, z treści przedmiotowej decyzji wynika, że P. ma podjąć wszelkie czynności zmierzające do przygotowania przeprowadzenia wyborów prezydenckich w 2020 roku, które mają odbyć się w trybie korespondencyjnym dla wszystkich czynnie uprawnionych wyborców." NSA w ww. prawomocnym wyroku wyjaśnił też, że zwrócić jednak uwagę należy raz jeszcze na akapit drugi decyzji z [...] kwietnia 2020 roku, który wprost stanowi, że realizacja nałożonego na Pocztę Polską polecenia ma "zapobiegać rozprzestrzenianiu się wirusa SARS-CoV-2 w wyniku gromadzenia się ludzi w dużych grupach w następstwie realizacji przez nich czynnego prawa do głosowania w wyborach prezydenckich w formie wizyty w lokalu wyborczym. Niniejsze zadanie jest podyktowane koniecznością ochrony zdrowia i życia osób biorących udział w wyborach". Jak już wyżej wyjaśniono, z tego fragmentu decyzji wynika po pierwsze, że realizacja polecenia miała zmierzać do przygotowania wyborów prezydenckich, w których wszyscy czynnie uprawnieni do głosowania mieli oddać swój głos korespondencyjnie, a po drugie, że czynności zmierzające do przygotowania przeprowadzenia tych wyborów, jakie miała podjąć P., nie ograniczały się wyłącznie do tych działań, które w dniu [...] kwietnia 2020 roku Kodeks Wyborczy zastrzegał dla operatora wyznaczonego. Z treści decyzji Prezesa Rady Ministrów wynika, że P. miała podjąć wszelkie konieczne czynności zmierzające do przygotowania przeprowadzenia wyborów prezydenckich w dniu 10 czerwca 2020 roku." W kontekście ww. stanowiska NSA wyrażonego w prawomocnym orzeczeniu z 28 czerwca 2024r. sygn. akt III OSK 4524/21 i wiążącym w całości, a nie jedynie w wybranych fragmentach, na mocy art. 153 i art. 170 P.p.s.a. – zdaniem Sądu - należy wskazać, że zasadne były podniesione w skardze zarzuty, że adresat ww. Decyzji Prezesa RM – skarżąca Spółka - nie mogła odmówić jej wykonania, nawet, gdyby powoływała się, że Decyzja ta była dotknięta wadą powodującą jej nieważność. Naczelny Sąd Administracyjny w swoim orzecznictwie jednoznacznie przyjmuje bowiem, że w razie próby uchylenia się przez adresata od tej powinności mogą zostać zastosowane środki przymusu państwowego w trybie egzekucji administracyjnej (por. wyrok NSA z 10 września 2014r. sygn. akt I OSK 229/13). Z domniemania legalności decyzji wynika, że kwestionowanie decyzji administracyjnej przez adresata, o czym wspomina Prezes UODO w zaskarżonej co do pkt 2 ww. decyzji z [...] marca 2025r., może mieć miejsce wyłącznie poprzez środki prawnie uregulowane. Decyzja korzystająca z domniemania prawidłowości wiąże zarówno adresata decyzji, jak i organy administracji publicznej do czasu jej prawomocnego uchylenia (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz. Wyd. 19, Warszawa 2024, art. 16). Zasada trwałości decyzji wynikająca z art. 16 k.p.a. wprowadza bowiem domniemanie, że decyzja ostateczna jest prawidłowa. W doktrynie wskazuje się, że faktu tego nie zmienia wszczęcie postępowania w sprawie stwierdzenia jej nieważności, wznowienie postępowania zakończonego tą decyzją czy też zaskarżenie tej decyzji do sądu administracyjnego (M. Bursztynowicz, M. Sługocka [w:] M. Bursztynowicz, M. Sługocka, Postępowanie administracyjne dla jednostek samorządu terytorialnego. Komentarz, Warszawa 2020, art. 16.). Warto też zauważyć, że adresat decyzji – a Spółka była adresatem ww. Decyzji Prezesa RM, która obowiązywała w czasie przetwarzania ww. danych osobowych przez Spółkę - nie jest zobowiązany do oceny stopnia prawdopodobieństwa stwierdzenia nieważności decyzji. W judykaturze utrwalony jest pogląd, który Sąd rozpoznający sprawę w pełni podziela, że sam fakt zainicjowania postępowania w sprawie stwierdzenia nieważności decyzji nie stanowi podstawy do powstrzymania się od jej wykonania lub uznania jej za nieważną lub nieistniejącą (por. wyroki NSA z 12 maja 2009r. sygn. akt I OSK 441/09; 28 maja 2008r. sygn. akt II OSK 1698/07; 18 lutego 2011r. sygn. akt II OSK 363/10; 14 września 2018r. sygn. akt II FSK 1904/18 – dostępne na www.orzeczenia.nsa.gov.pl). Nieuwzględnienie przez Prezesa UODO ww. stanowiska nie mogło być uznane za prawidłowe. Sąd podkreśla ponadto, na co zwracał uwagę już wyżej, że w doktrynie i w judykaturze podnosi się również, że skutkiem materialnoprawnym stwierdzenia nieważności decyzji administracyjnej jest uchylenie materialnej mocy obowiązującej wadliwej decyzji ze skutkiem wstecznym (ex tunc). Oznacza to, że od momentu uzyskania przez decyzję stwierdzającą nieważność waloru ostateczności pierwotne materialnoprawne skutki decyzji unieważnionej, na zasadzie fikcji prawnej i na podstawie decyzji unieważniającej, uznaje się za niebyłe od samego początku (od momentu wejścia do obrotu prawnego unieważnionej decyzji lub, w przypadku decyzji deklaratoryjnych, od momentu zaistnienia stosunku prawnego) (por. m.in. Stwierdzenie nieważności orzeczenia administracyjnego, [w:] Postępowanie administracyjne, red. T. Woś, Warszawa 2015, s. 480 oraz wyrok NSA z 4 października 2022r. sygn. akt III OSK 1332/21). Powinno to skutkować odwróceniem skutków prawnych i faktycznych wynikających z decyzji unieważnionej, tj. przywróceniem stanu sprzed wydania decyzji. W praktyce, na co prawidłowo zwrócono uwagę w skardze, nie zawsze jest to jednak możliwe, na co zwraca się uwagę w orzecznictwie: "podstawowym skutkiem stwierdzenia nieważności jest (...) potwierdzenie, że wadliwa decyzja, której nieważność stwierdzono, nie wywołała skutków prawnych. Jednak nie zawsze będzie to oznaczać przywrócenie tego stanu prawnego, który istniał przed wydaniem decyzji, której nieważność stwierdzono. To czy w wyniku stwierdzenia nieważności decyzji będzie możliwe przywrócenie poprzedniego stanu prawnego zależne jest od przedmiotu sprawy i okoliczności danej sprawy" (por. wyrok NSA z 18 października 2017r. sygn. akt I OSK 1322/17). Prawidłowe jest ponadto stanowisko prezentowane w uzasadnieniu skargi, że nawet stwierdzenie nieważności decyzji administracyjnej lub wyeliminowanie jej z obrotu prawnego nie powoduje, że decyzja ta nie istniała w przeszłości i nie miała wpływu na rzeczywistość prawną. Decyzja, nawet obarczona wadą nieważności, nie może zostać uznana za rozstrzygnięcie nieistniejące, nawet jeśli stwierdzenie nieważności decyzji ma charakter ex tunc. Nawet jeżeli decyzja administracyjna jest obarczona wadą kwalifikowaną nieważności, to nie można uznać jej za akt nieistniejący, czyli tzw. "nieakt". O nieakcie można mówić bowiem w dwóch przypadkach: gdy wydano decyzję w nieistniejącym postępowaniu lub gdy w prawnie istniejącym postępowaniu wydano nieistniejącą decyzję (B. Adamiak, Zagadnienie decyzji nie istniejących w postępowaniu administracyjnym, "Acta Universitatis Wratislaviensis"1990/1022, s. 9-13). Pierwszy przypadek zachodzi, kiedy brak jest zdolności do prowadzenia postępowania przez podmiot, który je podjął lub prowadzi albo jest legitymowany podmiot, ale nie istnieje strona, przy czym nie chodzi o jej śmierć, ale to, że np. była osobą fikcyjną. Drugi przypadek ma z kolei miejsce, gdy decyzja nie ma prawnych cech o charakterze zewnętrznym lub nie została doręczona stronie. Te cechy, jak przyjmuje się w orzecznictwie i doktrynie, to: oznaczenie organu administracji publicznej wydającego akt, wskazanie adresata aktu, rozstrzygnięcie o istocie sprawy oraz podpis osoby reprezentującej organ administracji (wyrok NSA z 20 lipca 1981r., SA 1163/81, LEX nr 10683. M. Jaśkowska, Weryfikacja decyzji i postanowień ostatecznych, [w:] Postępowanie administracyjne - ogólne i egzekucyjne, red. M. Wilbrandt-Gotowicz, Warszawa 2023, s. 300). Nieakt, jako czynność nieistniejąca, nie wiąże organów ani strony. Nie może on więc być podstawą regulowania sytuacji prawnej jednostki, a do uchylenia się przed jego skutkami nie jest konieczne stwierdzenie jego wadliwości. Inne zasady obowiązują jednak w przypadku decyzji obarczonej wadami wskazanymi w art. 156 § 1 k.p.a. Decyzja taka jest bowiem aktem istniejącym w obrocie prawnym, nie ma więc cech aktu pozornego. Pomimo wad wiąże (wywiera skutki prawne) powszechnie, w szczególności wobec adresata, organu oraz wszystkich innych podmiotów, na które ma ona wpływ, a co za tym idzie każdy z nich ma obowiązek uznawania jej za ważną i obowiązującą, dopóki w odpowiedniej procedurze nie zostanie ona unieważniona (por. M. Kamiński, Stwierdzenie nieważności orzeczenia administracyjnego, [w:] Postępowanie administracyjne, red. T. Woś, s. 463; A. Matan, Weryfikacja decyzji i postanowień w trybie stwierdzenia nieważności, [w:] System Prawa Administracyjnego Procesowego, t. II, cz. 5, Weryfikacja rozstrzygnięć w postępowaniu administracyjnym ogólnym, red. B. Adamiak, G. Łaszczyca, A. Matan, K. Sobieralski, Warszawa 2019, LEX/el, B. Adamiak, Regulacja prawa procesowego administracyjnego systemu weryfikacji decyzji i postanowień w postępowaniu administracyjnym [w:] System Prawa Administracyjnego, red. R. Hauser, Z. Niewiadomski, A. Wróbel, t. 9, B. Adamiak i in., Prawo procesowe administracyjne, Warszawa 2010, s. 171-199). Tym samym do momentu "uostatecznienia się" decyzji o stwierdzeniu nieważności decyzji zawierającej wadę z art. 156 § 1 k.p.a. należy ją postrzegać tak samo jak decyzję, która wady takiej nie zawiera. Przed unieważnieniem względem takiej decyzji zastosowanie znajduje bowiem zasada trwałości z art. 16 § 1 k.p.a. Stosuje się do niej zatem domniemanie legalności, które oznacza, że jest ona ważna i powinna być wykonywana dopóty, dopóki nie zostanie zmieniona, uchylona lub nie zostanie stwierdzona jej nieważność przez właściwy organ i z zachowaniem przypisanego trybu postępowania (por. wyrok NSA z 14 kwietnia 2017r. sygn. akt I OSK 1545/15). Naczelny Sąd Administracyjny w wyroku z 10 września 2014r. sygn. akt I OSK 229/13 wskazał, że zgodnie z zasadą trwałości ostatecznych decyzji administracyjnych (art. 16 § 1 k.p.a.) decyzje, od których nie przysługuje odwołanie lub wniosek o ponowne rozpatrzenie sprawy, a więc decyzje ostateczne, nie mogą być wzruszane dowolnie, lecz tylko w przypadkach i trybie określonym przez k.p.a. Ich trwałość polega więc na ograniczeniu możliwości ich wzruszania, nie jest zatem równoznaczna z jej niezmienialnością. Decyzji ostatecznej służy tzw. domniemanie legalności, które oznacza, że jest ona ważna i powinna być wykonywana dopóty, dopóki nie zostanie zmieniona, uchylona lub nie zostanie stwierdzona jej nieważność przez właściwy organ i z zachowaniem przepisanego trybu postępowania. Adresat decyzji, który odmawia jej wykonania, powołując się np. na fakt, że decyzja ta jest dotknięta wadą powodującą jej nieważność z mocy prawa, czyni to zatem na własne ryzyko. Do czasu, kiedy właściwy organ nie stwierdzi nieważności tej decyzji, może być ona wykonana nawet przy zastosowaniu środków przymusu państwowego w trybie egzekucji administracyjnej. Zdaniem Sądu słusznie też zwrócono uwagę w uzasadnieniu skargi, że w doktrynie wskazuje się na zakaz retroaktywności, biorąc pod uwagę wyeliminowanie ostatecznej decyzji administracyjnej z obrotu prawnego z perspektywy ochrony jednostki przed odpowiedzialnością za działania podejmowane w czasie jej faktycznego funkcjonowania w obrocie, tj. "retroaktywny skutek orzeczenia winien być rozpatrywany na tej samej płaszczyźnie co retroaktywna ingerencja ustawodawcy (...). Zapatrywanie to można z powodzeniem przenieść na obszar obowiązywania wadliwych decyzji administracyjnych. Jeśli skutki prawne powstałe na podstawie niekonstytucyjnej podstawy normatywnej powinny być zasadniczo objęte zakazem retroaktywnej ingerencji normatywnej, to tym samym również wadliwa (nawet w stopniu kwalifikowanym) decyzja administracyjna nie może być przedmiotem zbyt szerokich, a tym bardziej dowolnych lub nieprzewidywalnych działań w zakresie znoszenia albo ograniczania z mocą wsteczną skutków prawnych powstałych w okresie jej formalnego obowiązywania. Wymagają tego przede wszystkim zasady zaufania do państwa, bezpieczeństwa prawnego jednostki oraz ochrony praw nabytych, które powinny być w pełni realizowane aż do granic kolizji z innymi zasadami i wartościami konstytucyjnymi." (M. Kamiński, Konstytucyjne podstawy domniemania ważności decyzji administracyjnej, PiP 2007, nr 9, s. 56-67). Nie można mówić o delikcie administracyjnym, gdy podmiot (Spółka) działa w ramach związania poleceniem zawartym w ww. Decyzji. Trybunał Konstytucyjny w wyroku z 15 lutego 2005r. sygn. akt K 48/04 wskazał, że jednostka będąca adresatem działań władczych państwa i jego organów powinna mieć możliwość określenia zarówno konsekwencji poszczególnych zachowań i zdarzeń na gruncie obowiązującego w danym momencie systemu. Trybunał Konstytucyjny w wyroku z 14 czerwca 2000r. sygn. akt P 3/00 wskazał, że bezpieczeństwo prawne jednostki związane z pewnością prawa umożliwia przewidywalność działań organów państwa, a także prognozowanie działań własnych. Zdaniem Trybunału nakaz poszanowania tzw. interesów w toku "zapewnia ochronę jednostki w sytuacjach, w których rozpoczęła ona określone przedsięwzięcia na gruncie dotychczasowych przepisów. Interesy wtoku podlegają bardziej intensywnej ochronie, jeżeli prawodawca ustanowił regulacje prawne dotyczące ściśle określonych rodzajów przedsięwzięć (wyrok TK z 25 czerwca 2002r. sygn. akt K 45/01.). Również Sąd Najwyższy w wyroku z 5 sierpnia 1992r. stwierdził "w konkretnej sprawie obywatel podjął działania w zaufaniu do prawdziwości oficjalnie udzielonej mu informacji o istniejącej praktyce i stosowaniu prawa. Informacja ta była udzielona mu imiennie i zrelatywizowana do jego osobistej sytuacji. Byłoby niezgodne z zasadą zaufania do państwa i prawa stanowiącą komponent konstytucyjnej zasady demokratycznego państwa prawa (art. 1 Konstytucji), gdyby następnie w tym konkretnym wypadku organ administracji wobec osoby, której oficjalnie udzielił informacji o praktyce stosowania prawa, następnie zachował się odmiennie. Nie ma bowiem przeszkód ani ograniczeń do skorygowania praktyki, czy wykładni prawa, którą stosujący prawo uznaje za niewłaściwe, jednakże powinno to następować pro futuro, wobec osób, z którymi organ nie nawiązał bliższego kontaktu w sferze prejudycjalnej" (sygn. akt I PA 5/92). Warto też wskazać, że w świetle uchwały NSA z 16 maja 2016r. o sygn. akt II GPS 1/16 odpowiedzialność za delikt, ma charakter obiektywny (zasada bezprawności). Kara nie jest więc konsekwencją dopuszczenia się czynu zabronionego, lecz skutkiem zaistnienia stanu niezgodnego z prawem (LEX nr 2039440). Skoro w chwili przetwarzania danych osobowych przez Spółkę w obrocie prawnym pozostawała ww. Decyzja Prezesa RM, zawierająca ww. polecenie organu administracji państwowej, to rolą Prezesa UODO było dokonanie ocen czy proces przetwarzania danych osobowych przez Spółkę – gdy trwał (od [...] kwietnia do [...] maja 2020r.) - służył realizacji tego polecenia, wynikającego z ww. Decyzji Prezesa RM, która na dzień przetwarzania danych osobowych korzystała z domniemania prawdziwości. Tych ocen w uzasadnieniu zaskarżonej co do punktu 2 decyzji Prezesa UODO z [...] marca 2025r. zabrakło, a zarówno zasada zaufania do organów państwa (art. 8 § 1 k.p.a.), jak również zasada bezpieczeństwa prawnego jednostki, jako fundament demokratycznego państwa prawnego (art. 2 Konstytucji), wskazuje, że Prezes UODO nie może ograniczać się do wskazania, że właściwe Sądy stwierdziły nieważność ww. Decyzji Prezesa RM i czynności Ministra polegających na udostępnieniu Spółce ww. danych. Prezes UODO powinien więc sam ocenić skutki stwierdzenia nieważności ww. Decyzji Prezesa UODO w kontekście wywołania przez nią nieodwracalnych skutków prawnych oraz działań Spółki podejmowanych w ramach związania poleceniem wydanym przez organ władzy publicznej w chwili, gdy przetwarzane były dane osobowe przez Spółkę. W sprawie w sposób zasadniczy pominięto okoliczność, że przetwarzanie danych osobowych przez Spółkę miało miejsce (rozpoczęło się i zakończyło się) około 4 lata przed wydaniem ww. wyroków Sądów administracyjnych powoływanych w uzasadnieniu zaskarżonej co do punktu 2 decyzji Prezesa UODO z [...] marca 2025r., jak też nie wzięto pod rozwagę w sposób należyty, zgodny z art. 77 § 1 i art. 80 k.p.a., że Spółka w chwili przetwarzania ww. danych osobowych działała w ramach związania ww. Decyzją Prezesa RM (poleceniem w niej zawartym), a wniesienie przez Spółkę odwołania od ww. Decyzji, albo wniosku o uzupełnienie decyzji, co do rozstrzygnięcia, czy żądania o wyjaśnienia wątpliwości co do treści decyzji nie spowodowałoby braku możliwości wykonania przez Spółkę tej decyzji, z uwagi na zasadę wynikającą z art. 16 § 1 k.p.a. W tym kontekście zasadne były sformułowane w skardze zarzuty procesowe, że przedwczesne było stanowisko Prezesa UODO w zakresie braku legitymowania się przez Spółkę jedną z przesłanek przetwarzania danych osobowych. Prezes UODO przy ponownym rozpatrywaniu sprawy będzie zobowiązany rozważyć w sposób należyty dyspozycję art. 6 ust. 1 lit. c) RODO i art. 5 ust. 1 lit. a) RODO w okolicznościach faktycznych sprawy na dzień dokonywanego przez Spółkę przetwarzania danych osobowych (od [...] kwietnia do [...] maja 2020r.), wyprowadzając tym samym konsekwencje prawne z uwzględnieniem prawomocnego stwierdzenia nieważności ww. Decyzji Prezesa RM dopiero od 28 czerwca 2024r. w związku z wydaniem ww. wyroków przez Sądy administracyjne. Uchylenie procesowe powodowało, że Sąd nie mógł się ustosunkować do merytorycznych zarzutów skargi. Sąd nie kwestionuje jednak stanowiska organu, że czynności przetwarzania danych osobowych przez Spółkę nie była realizowana w okolicznością faktycznych na warunkach określonych w art. 6 ust. 1 lit. a) (na podstawie zgody osób, których dane dotyczą), bądź art. 6 ust. 1 lit. b) RODO (jako niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osób, których dane dotyczą, przed zawarciem umowy). Zdaniem Sądu niewystarczające było w okolicznościach faktycznych sprawy rozpatrzenie przez Prezesa UODO przesłanki z art. 6 ust. 1 lit. c) i e) RODO w związku z art. 5 ust. 1 lit. a) RODO z pominięciem elementarnych zasad wynikających art. 2 Konstytucji oraz art. 8 § 1 k.p.a. i art. 16 k.p.a. 4. Sąd w związku z tym na mocy art. 145 § 1 pkt 1 lit. a) i c) P.p.s.a. uchylił zaskarżoną decyzję w zakresie punktu drugiego (punkt pierwszy sentencji wyroku). O kosztach postępowania sądowego (punkt drugi sentencji) Sąd orzekł na mocy art. 200, art. 205 § 2 i art. 209 P.p.s.a. w związku z § 2 pkt 6 i § 14 ust. 1 pkt 1 lit. a) rozporządzenia Ministra Sprawiedliwości z 22 października 2015r. w sprawie opłat za czynności adwokackie (Dz.U. z 2026r., poz. 215 ze zm.), Skarżąca Spółka była reprezentowana przez adwokata, a wpis sądowy był wpisem stosunkowym i wynosił 100000 zł.