Kraków, dnia 12 stycznia 2026 roku

Wojewódzki Sąd Administracyjny
w Krakowie
ul. Rakowicka 10
31-511 Kraków

Wnioskodawca: Fundacja Wolność i Własność
ul. Nowosądecka 54/3
30-683 Kraków
zastępowana przez r. pr. Andrzeja Dziurzyńskiego i r. pr. Monikę Brzozowską-Pasieka

Rozszerzenie stanowiska w sprawie – pismo uczestnika – Fundacji Wolność i Własność z siedzibą w Krakowie

Działając w imieniu uczestnika – załączam pełnomocnictwo – będącej uczestnikiem postępowania, niniejszym rozszerzam argumentację prawną zawartą w piśmie procesowym Fundacji (stanowisku). Wnosząc o stwierdzenie nieważności uchwały RMK w całości podnoszę dodatkowy zarzut tj.

ZARZUT NARUSZENIA PRAWA MATERIALNEGO – naruszenie art. 9 ust. 1 i ust. 2 lit. g Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) w związku z art. 51 ust. 1 Konstytucji RP, poprzez ustanowienie w § 5 pkt 2 Uchwały nr XXXII/619/25 Rady Miasta Krakowa z dnia 12 czerwca 2025 r. w sprawie ustanowienia Strefy Czystego Transportu w Krakowie (dalej jako: Uchwała) oraz Załączniku nr 3 pkt 4 Uchwały obowiązku przetwarzania danych osobowych szczególnej kategorii (danych dotyczących zdrowia) osób fizycznych bez posiadania do tego wyraźnej podstawy prawnej w ustawie rangi krajowej, co stanowi rażące przekroczenie uprawnień delegacji ustawowej i narusza zasadę minimalizacji danych.

UZASADNIENIE

               Zaskarżona Uchwała w § 5 pkt 2 oraz Załączniku nr 3 pkt 4 wprowadza mechanizm weryfikacji uprawnień do wjazdu do SCT, który rażąco narusza porządek prawny w zakresie ochrony danych wrażliwych.

1. Bezprawne przetwarzanie danych szczególnej kategorii (danych medycznych): uchwała nakłada na obywatela obowiązek podania w zgłoszeniu numeru PESEL pacjenta, daty wizyty oraz nazwy konkretnej placówki ochrony zdrowia. Zgodnie z orzecznictwem TSUE oraz ETPC, informacja o korzystaniu z konkretnej poradni specjalistycznej (np. onkologicznej, psychiatrycznej, leczenia uzależnień) stanowi dane o stanie zdrowia w rozumieniu art. 9 RODO. Przetwarzanie takich danych jest co do zasady zabronione, a wyjątki przewidziane w art. 9 ust. 2 RODO wymagają wyraźnej i precyzyjnej podstawy w ustawie rangi krajowej. Nie spełnia tego uchwała ani żaden akt niższego rzędu niż ustawa. Natomiast sama Ustawa o elektromobilności i paliwach alternatywnych nie zawiera delegacji dla rady gminy do zbierania danych o historii leczenia obywateli w celu regulacji ruchu drogowego.

2. Naruszenie zasady minimalizacji i adekwatności (Art. 5 RODO): Gmina Miejska Kraków nie wykazała, dlaczego do osiągnięcia celu, jakim jest weryfikacja uprawnienia do wjazdu, niezbędny jest unikalny identyfikator w postaci numeru PESEL pacjenta oraz nazwa jednostki lub placówki medycznej. Mechanizm ten jest nadmiarowy i nieproporcjonalny. Prowadzi do powstania w Zarządzie Dróg Miasta Krakowa (ZDMK) bazy danych, która de facto pozwala na odtworzenie profilu chorobowego mieszkańców. Przypadkowy urzędnik jednostki budżetowej, niebędący personelem medycznym, uzyskuje wgląd w intymne aspekty życia obywatela, co narusza art. 47 Konstytucji RP (prawo do prywatności). Jednocześnie – co należy podkreślić – dane medyczne w placówkach medycznych jako dane wrażliwe są poddawane ścisłej ochronie (odrębne serwery, na których takie dane są umieszczane, brak dostępu do Internetu komputerów, gdzie takie dane się znajdują, specjalistyczne szkolenia dla personelu medycznego, cały system szyfrowania, logowania, pseudonimizacji, specjalistyczne upoważnienia nadawane przez administratora danych zdrowotnych itp.). Dane takie powinny być chronione w sposób absolutny, tymczasem w Uchwale nie ma żadnych dodatkowych informacji o tym w jakim czasie takie dane będą przetwarzane i przez kogo, kto będzie mieć wgląd w tego typu dane, jakim podmiotom te dane będą udostępniane (odbiorcy danych), w jakich systemach dane te będą przechowywane (czy na terenie Europejskiego Obszaru Gospodarczego, czy też w tzw. „chmurze” z możliwością przetwarzania danych przez podmioty, w państwach, które nie wprowadziły regulacji RODO i nie podlegają takim regulacjom), kto będzie obsługiwał i serwisował taki rejestr, komu dane zostaną powierzone i jak brzmi umowa powierzenia. Brak tych informacji oznacza, że Gmina jest kompletnie nieprzygotowana na przetwarzanie danych wrażliwych (danych o stanie zdrowia) i w zasadzie dane te nie będą chronione.
   
   
3. Naruszenie autonomii informacyjnej (Art. 51 Konstytucji RP): zgodnie z Konstytucją, władze publiczne nie mogą pozyskiwać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym. Tworzenie „rejestru medycznego”, bez właściwej podstawy prawnej, w celu jedynie egzekwowania opłat komunikacyjnych i zakazów wjazdu wykracza poza granice niezbędności. Obywatel zostaje zmuszony do wyboru: albo ujawni organowi administracji publicznej informacje o swoim leczeniu (często jeszcze wstydliwym np. leczeniu psychiatrycznym), albo zostanie pozbawiony konstytucyjnej wolności poruszania się (art. 52 Konstytucji) i dostępu do świadczeń zdrowotnych.
   
   
4. Brak właściwych zabezpieczeń i ryzyko wycieku danych wrażliwych: Uchwała całkowicie milczy na temat zabezpieczeń tak wrażliwych danych. Powiązanie numeru rejestracyjnego pojazdu z numerem PESEL i profilem medycznym placówki tworzy gigantyczne ryzyko w przypadku wycieku danych. Może to prowadzić do dyskryminacji lub stygmatyzacji osób chorych. Brak takich dokumentów jak np. analiza ryzyka czy analizy skutków dla ochrony danych (DPIA) – wymagane przy przetwarzaniu danych wrażliwych na szeroką skalę – przy tak głębokiej ingerencji w prywatność czyni te zapisy uchwały bezprawnymi i powinny skutkować nieważnością uchwały. Warto przy tym zwrócić uwagę, iż do wycieku danych osobowych w urzędzie odpowiedzialnym za przygotowanie projektu Strefy Czystego Transportu w Krakowie, tj. w Zarządzie Transportu Publicznego doszło już raz w 2025 roku, a incydent ten polegał na nieuprawnionym ujawnieniu w dniu 11 czerwca danych osobowych uczestników konsultacji społecznych przeprowadzonych w toku przygotowania inicjatywy uchwałodawczej, przez co dane te znalazły się w swobodnym dostępie na stronie internetowej ZTP. W zestawieniu z opisanymi powyżej okolicznościami, budzi to poważne wątpliwości w zakresie możliwości właściwego zabezpieczenia przed wyciekiem tak wrażliwych danych w przyszłości.

Podsumowanie: Zastosowanie w Uchwale mechanizmu wymuszającego ujawnienie danych medycznych bez wyraźnej podstawy ustawowej stanowi rażące nadużycie władztwa lokalnego. Żaden przepis ustawy nie daje Prezydentowi Miasta Krakowa/Gminie uprawnień do bycia administratorem bazy danych o pacjentach krakowskich szpitali czy placówek medycznych w celu „weryfikacji uprawnień komunikacyjnych”. Nie przeprowadzono szczegółowych audytów (analizy ryzyka, analizy skutków dla ochrony danych osobowych – DPIA, które są wymagane przez RODO w sytuacji przetwarzania danych na szeroką skalę). Nie wskazuje się również w jaki sposób te niezwykle sensytywne dane wrażliwe będą chronione (jakie systemy, kto będzie mieć dostęp, komu będą przekazywane, jakie firmy będę zawierały umowy powierzenie np. na serwisowanie systemów z danymi wrażliwymi itp.).

Wobec powyższego, zarzut naruszenia art. 9 RODO jest w pełni uzasadniony i winien skutkować stwierdzeniem nieważności Uchwały w całości, gdyż system zwolnień oparty na bezprawnym przetwarzaniu danych wrażliwych jest immanentną częścią konstrukcji SCT. System zwolnień oparty na naruszeniu art. 9 RODO jest integralnym elementem Uchwały, co oznacza, że jej wadliwość w tym zakresie skutkować musi stwierdzeniem nieważności aktu w całości.