Wojewódzki Sąd Administracyjny w Warszawie 5 marca 2026 r. uchylił decyzję Prezesa UODO w części dotyczącej Poczty Polskiej. Chodzi o głośną sprawę przetwarzania danych osobowych około 30 mln obywateli w związku z przygotowaniami do wyborów korespondencyjnych na Prezydenta RP w 2020 r. Wcześniej Prezes UODO uznał, że Poczta Polska przetwarzała te dane bez podstawy prawnej i nałożył na spółkę karę w wysokości ponad 27 mln zł.
Wyrok WSA nie oznacza jednak, że cały spór został definitywnie zakończony. To rozstrzygnięcie jest na razie nieprawomocne, a Prezes UODO może jeszcze złożyć skargę kasacyjną do Naczelnego Sądu Administracyjnego. Już dziś widać jednak, że sprawa ma duże znaczenie nie tylko dla samej Poczty Polskiej, ale też dla odpowiedzi na szersze pytanie: co dzieje się wtedy, gdy podmiot wykonuje decyzję organu państwa, która dopiero po latach zostaje uznana za nieważną.
Spis treści
O co chodziło w tej sprawie
Początek całej sprawy sięga wiosny 2020 r., czyli okresu pandemii COVID-19. Wtedy trwały przygotowania do wyborów Prezydenta RP, które pierwotnie miały odbyć się 10 maja 2020 r. W związku z sytuacją epidemiczną pojawił się pomysł, aby przeprowadzić wybory w formie korespondencyjnej.
Problem polegał na tym, że odpowiednie przepisy nie weszły jeszcze wtedy w życie. Mimo to 16 kwietnia 2020 r. Prezes Rady Ministrów wydał decyzję, w której zobowiązał Pocztę Polską do podjęcia działań przygotowawczych związanych z organizacją takich wyborów. Żeby takie działania były w ogóle możliwe, potrzebne były dane wyborców.
W konsekwencji 20 kwietnia 2020 r. Poczta Polska wystąpiła do Ministerstwa Cyfryzacji o przekazanie danych z rejestru PESEL. Dwa dni później dane zostały przekazane na płycie DVD. Obejmowały one m.in. imiona, nazwiska, numery PESEL, adresy zameldowania oraz informacje o czasowym wyjeździe za granicę. W praktyce chodziło o dane około 30 mln pełnoletnich obywateli.
Dlaczego sprawa od początku budziła tak duże kontrowersje
Kontrowersje nie dotyczyły wyłącznie samego pomysłu na wybory korespondencyjne. Kluczowy problem polegał na tym, że decyzja premiera została wydana jeszcze przed wejściem w życie przepisów, które miałyby stanowić jasną podstawę do organizacji takich wyborów.
Rzecznik Praw Obywatelskich zaskarżył tę decyzję do sądu administracyjnego. W 2020 r. WSA w Warszawie stwierdził jej nieważność, uznając, że została wydana bez podstawy prawnej i z rażącym naruszeniem prawa. Stanowisko to zostało później utrzymane przez NSA.
To właśnie ten wcześniejszy wyrok stał się jednym z głównych argumentów w postępowaniu prowadzonym przez Prezesa UODO. Skoro decyzja, na podstawie której pozyskano dane obywateli, została uznana za nieważną, organ nadzorczy przyjął, że także samo przetwarzanie tych danych odbywało się bez legalnej podstawy.
Dlaczego Prezes UODO nałożył karę
W marcu 2025 r. Prezes UODO wydał decyzję, w której uznał, że Poczta Polska naruszyła przepisy o ochronie danych osobowych. Według organu spółka nie miała wystarczającej podstawy prawnej, aby przetwarzać dane z rejestru PESEL w tak szerokim zakresie i na tak ogromną skalę.
Prezes UODO podkreślił, że sprawa dotyczyła niemal 80 proc. mieszkańców Polski, a więc miała wyjątkowo poważny charakter. W ocenie organu nie chodziło o drobne naruszenie proceduralne, ale o ingerencję w podstawowe zasady przetwarzania danych osobowych, przede wszystkim w zasadę legalności.
Dodatkowo wskazano, że Poczta Polska jako spółka Skarbu Państwa wykonująca zadania publiczne powinna działać z najwyższą starannością. Zdaniem Prezesa UODO nie wystarczało samo powołanie się na decyzję premiera. Spółka powinna była wcześniej dokładnie ocenić, czy decyzja ta rzeczywiście daje jej prawo do pozyskania i przetwarzania danych z bazy PESEL.
W rezultacie na Pocztę Polską została nałożona kara w wysokości 27 124 816 zł. Równolegle ukarano także Ministra Cyfryzacji kwotą 100 tys. zł.
Co uznał WSA w Warszawie
WSA w Warszawie spojrzał na sprawę z innej strony niż Prezes UODO. Sąd nie skupił się tylko na tym, czy decyzja premiera była ostatecznie zgodna z prawem. Zadał inne pytanie: jaką sytuację prawną miała Poczta Polska w momencie, gdy tę decyzję wykonywała.
I właśnie tutaj zapadł najważniejszy wniosek. Zdaniem sądu decyzja premiera z 16 kwietnia 2020 r. obowiązywała do czasu stwierdzenia jej nieważności. A skoro tak, to korzystała z tzw. domniemania legalności. Mówiąc prościej: dopóki decyzja formalnie istniała w obrocie prawnym, jej adresat musiał się z nią liczyć i co do zasady powinien ją wykonywać.
Sąd uznał więc, że nie można automatycznie przyjąć, iż Poczta Polska działała bez podstawy prawnej tylko dlatego, że kilka lat później ta decyzja została uznana za nieważną.
Dlaczego to rozróżnienie jest tak ważne
To jest sedno całej sprawy. Trzeba bowiem odróżnić dwie kwestie.
Pierwsza to pytanie, czy sama decyzja premiera była zgodna z prawem. W tym zakresie wcześniejsze orzeczenia sądów administracyjnych były jednoznaczne: nie była.
Druga to pytanie, czy Poczta Polska jako adresat tej decyzji mogła po prostu uznać, że jej nie wykona, bo uważa ją za wadliwą. I właśnie tutaj WSA odpowiedział: nie.
Sąd podkreślił, że adresat decyzji administracyjnej nie może samodzielnie „wyłączyć” jej skutków tylko dlatego, że ma wątpliwości co do jej legalności. Do czasu uchylenia albo stwierdzenia nieważności taka decyzja wiąże adresata. Można ją zaskarżyć, można ją kwestionować w odpowiednim trybie, ale samo to nie daje jeszcze podstawy do odmowy jej wykonania.
Z punktu widzenia Poczty Polskiej oznacza to, że sąd potraktował ją jako podmiot działający w ramach formalnie istniejącego obowiązku, a nie jako podmiot, który samodzielnie i dowolnie sięgnął po dane obywateli.
Czy sąd uznał, że wszystko było zgodne z prawem
Nie. I to bardzo ważne, żeby tego wyroku nie upraszczać.
WSA nie powiedział, że organizacja „wyborów kopertowych” była zgodna z prawem. Nie powiedział też, że wcześniejsze wyroki stwierdzające nieważność decyzji premiera były błędne. Te rozstrzygnięcia nadal pozostają aktualne.
Sąd powiedział coś innego: przy ocenie odpowiedzialności Poczty Polskiej za naruszenie przepisów o ochronie danych osobowych trzeba uwzględnić to, że w chwili przetwarzania danych istniała decyzja premiera, która formalnie obowiązywała i wiązała jej adresata. Zdaniem WSA Prezes UODO powinien był dokładnie przeanalizować właśnie ten element, zamiast przyjąć, że późniejsze stwierdzenie nieważności automatycznie przesądza o bezprawności działań Poczty.
Co sąd powiedział o skutkach przetwarzania danych
WSA zwrócił też uwagę na praktyczny wymiar całej sprawy. Sąd zaznaczył, że nie wszystkie skutki wykonania nieważnej decyzji da się później odwrócić. Do takich skutków zaliczył m.in. samo przetwarzanie danych osobowych oraz upływ czasu.
To trafna uwaga. W przypadku danych osobowych nie da się cofnąć faktu, że dane zostały już pobrane, zapisane i wykorzystane w określonym celu. Można je później usunąć albo zniszczyć, ale nie da się sprawić, że przetwarzanie „nigdy się nie wydarzyło”. Dlatego przy ocenie odpowiedzialności prawnej tak istotne jest ustalenie, jaka była sytuacja prawna w chwili podejmowania tych działań, a nie wyłącznie to, jak sprawa została oceniona kilka lat później.
Co ten wyrok może oznaczać w praktyce
Wyrok WSA ma znaczenie wykraczające poza sam spór między Pocztą Polską a Prezesem UODO. Pokazuje on, że w sprawach dotyczących ochrony danych osobowych nie można pomijać podstawowych zasad prawa administracyjnego.
Jeżeli jakiś podmiot działa na podstawie decyzji organu państwowego, to dla oceny jego odpowiedzialności trzeba brać pod uwagę nie tylko późniejszą ocenę tej decyzji, ale też to, czy w chwili działania podmiot był nią formalnie związany. Innymi słowy, nie każda wadliwa decyzja automatycznie oznacza, że jej wykonawca ponosi odpowiedzialność w takim samym zakresie jak organ, który ją wydał.
To nie znaczy oczywiście, że każdy adresat decyzji administracyjnej jest zawsze całkowicie chroniony. W konkretnych sprawach trzeba badać zakres działania, staranność, cel przetwarzania danych oraz to, czy podmiot nie wykraczał poza to, co wynikało z decyzji. Właśnie dlatego sąd podkreślił, że Prezes UODO powinien był dokładniej ocenić, czy przetwarzanie danych rzeczywiście służyło realizacji polecenia zawartego w decyzji premiera.
Co dalej ze sprawą
Na dziś sprawa nie jest jeszcze zakończona. Wyrok z 5 marca 2026 r. jest nieprawomocny. Prezes UODO może złożyć skargę kasacyjną do NSA, a to oznacza, że ostateczna ocena może jeszcze ulec zmianie.
Już teraz jednak widać, że ten wyrok będzie ważnym punktem odniesienia w podobnych sprawach. Dotyczy bowiem bardzo praktycznego problemu: jak oceniać działania podmiotu, który wykonuje polecenie organu państwowego, gdy później okazuje się, że samo źródło tego polecenia było wadliwe.
Podsumowanie
Wyrok WSA w Warszawie z 5 marca 2026 r. nie rehabilituje całej operacji związanej z wyborami korespondencyjnymi w 2020 r. Nie przekreśla też wcześniejszych orzeczeń, w których sądy uznały decyzję premiera za wydaną bez podstawy prawnej.
Pokazuje jednak coś bardzo istotnego: przy ocenie odpowiedzialności Poczty Polskiej nie wystarczy samo stwierdzenie, że decyzja premiera była nieważna. Trzeba jeszcze odpowiedzieć na pytanie, jaka była sytuacja prawna spółki w chwili, gdy wykonywała to polecenie. WSA uznał, że dopóki decyzja formalnie obowiązywała, Poczta Polska była nią związana. I właśnie dlatego decyzja Prezesa UODO o nałożeniu kary została uchylona.
