Rzecznik Praw Obywatelskich: działania Poczty Polskiej mogą zagrażać ochronie danych obywateli

W czwartek samorządowcy (m.in. prezydenci Warszawy, Gdańska, Sopotu i Sosnowca) ujawnili, że w nocy otrzymali od Poczty Polskiej maile z nakazem udostępnienia spisów wyborców wraz z danymi osobowymi - adresami, imionami i nazwiskami i numerami PESEL.

W piśmie do premiera Bodnar podkreślił, że z uwagą przyjął informację o działaniach Poczty Polskiej. Powołał się na stanowisko Związku Miast Polskich, w którym wskazano, że Kodeks wyborczy ani żadna inna ustawa nie przewidują udziału Poczty Polskiej w realizacji zadań związanych z organizacją wyborów, wymagającego udostępnienia danych.

Rzecznik zauważył, że brakuje odpowiednich ram prawnych do przekazywania Poczcie Polskiej danych ze spisów wyborców, co zagraża ochronie prywatności jednostki.

"Jako podstawę swych wniosków Poczta Polska podaje art. 99 ustawy z 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2, a także decyzję Prezesa Rady Ministrów z 16 kwietnia 2020 r. (dotyczącą podjęcia przez Pocztę Polską S.A. czynności niezbędnych do przygotowania wyborów na Prezydenta RP w 2020 r.). Budzi to zasadnicze wątpliwości. Przepis ten pozwala przekazać dane wszystkich obywateli bez odpowiednich zabezpieczeń, z różnych źródeł i w bardzo szeroko zakreślonych celach" - zaznaczył Bodnar.

Dodał, że obecnie wątpliwe jest istnienie podstawy ustawowej umożliwiającej przekazanie takich danych, zgodnie z art. 99 ustawy z 16 kwietnia 2020 r. "Nie może nią być ustawa o szczególnych zasadach przeprowadzania wyborów powszechnych na Prezydenta RP zarządzonych w 2020 r. Jest ona bowiem dopiero procedowana w Senacie - nie jest zatem jeszcze obowiązującym prawem" - zauważył RPO.

Bodnar przytoczył też opinię Krakowskiego Instytutu Prawa Karnego, wedle której "polecenie przekazania Poczcie Polskiej spisu wyborców w stanie prawnym na 23 kwietnia 2020 r. nie ma podstawy prawnej i może nosić znamiona przestępstwa".

Rzecznik zwrócił też uwagę, że są bardzo poważne wątpliwości co do zabezpieczeń przekazywania danych osobowych. Wskazuje przy tym na informację rządowego Zespołu CERT Polska: "Analiza nagłówków wysłanych wiadomości e-mail wskazuje, że wiadomości te faktycznie zostały wysłane z serwerów wykorzystywanych przez Pocztę Polską. Z perspektywy problemów związanych z bezpieczeństwem komunikacji, w wiadomości brakuje podpisu cyfrowego potwierdzającego tożsamość nadawcy. Mając to na uwadze sugerujemy weryfikację treści wniosku niezależnymi kanałami oraz przeprowadzenie odpowiedniej analizy ryzyka co do zakresu i sposobu przekazania danych" - ocenia CERT Polska.

Świadczy to - zdaniem RPO - o tym, że komunikacja, która miała być oficjalną korespondencją w sprawie wyborów, sprawiała uzasadnione wrażenie ataku phishingowego i musiała podlegać dalszej weryfikacji. "Takie praktyki należy ocenić jako mające niszczący wpływ na zaufanie do procesu wyborczego i niedopuszczalne w demokratycznym państwie prawa ze strony podmiotów publicznych" - stwierdził Bodnar.

RPO zwrócił się do premiera o wskazanie m.in. podstaw działań Poczty Polskiej oraz jej obowiązków związanych z organizacją wyborów Prezydenta RP.

6 kwietnia Sejm uchwalił specustawę autorstwa PiS, zgodnie z którą wybory prezydenckie w 2020 r. mają zostać przeprowadzone wyłącznie w drodze głosowania korespondencyjnego. Ustawa obecnie jest w Senacie. Jak zapowiedział marszałek Senatu Tomasz Grodzki, Izba wykorzysta pełne 30 dni, jakie ma, na zajęcie stanowiska w sprawie ustawy.