Sąd: ochrona danych z ksiąg kościelnych leży w gestii kościoła, także po apostazji

W czwartek Naczelny Sąd Administracyjny (NSA) przesądził kolejny ważny spór dotyczący RODO. 

Sprawa nie była sztampowa, choć może potencjalnie dotyczyć sporej rzeszy osób. Chodziło bowiem o zarzut naruszenia przepisów o ochronie danych osobowych przez... proboszcza w kontekście tzw. apostazji. W lipcu 2020 r. poskarżył się na niego do prezesa Urzędu Ochrony Danych Osobowych (UODO) jeden z wiernych, który postanowił opuścić wspólnotę.

Czytaj więcej

Plus Minus

Apostazja. Skąd bierze się rozczarowanie Kościołem?

Na apostazję decydują się głównie osoby, które najczęściej nie mają z Kościołem wiele wspólnego – poza tym, że kiedyś były ochrzczone. Kościół zostawia dla nich furtkę do powrotu.

W skardze zarzucił, że proboszcz jednej z poznańskich parafii przetwarza jego dane osobowe niezgodnie z przepisami. A powodem miało być to, że nie uaktualnił jego danych w księdze chrztu i nie odesłał mu uaktualnionego odpisu. Jak podkreślił pomimo złożenia przez niego oświadczenia woli o wystąpieniu z kościoła katolickiego tzw. apostazji.

Do kogo można się poskarżyć w sprawie RODO po apostazji? 

Prezes UODO przyjrzał się sprawie, ale wszczęcia oficjalnego postępowania odmówił. Oczywiście nie przeczył, że to on jest w Polsce organem właściwym w sprawie ochrony danych osobowych. Niemniej wskazał na szczególne rozwiązanie przewidziane w przypisach RODO. Wynika z niego, że jeżeli w państwie członkowskim w momencie wejścia w życie tej regulacji kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem, to mogą być one nadal stosowane. Warunkiem jest jedynie to, że zostaną dostosowane do RODO. 

Prezes UODO tłumaczył, że kościoły i związki wyznaniowe, które spełniają tę przesłankę, podlegają wówczas zasadniczo nadzorowi niezależnego organu. I polski Kościół Katolicki z tej opcji skorzystał. Konferencja Episkopatu Polski już 13 marca 2018 r. wydała "dekret ogólny w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w kościele katolickim". W tym dokumencie – zatwierdzonym przez Watykan i ogłoszonym oficjalnie - przewidziano też powołanie kościelnego inspektora ochrony danych (KIOD).

Czytaj więcej

Dane osobowe

Prezes UODO i Kościelny Inspektor Ochrony Danych zawarli porozumienie

Prezes Urzędu Ochrony Danych dr Edyta Bielak-Jomaa oraz Kościelny Inspektor Ochrony Danych dr hab. Piotr Kroczek zawarli porozumienie o współpracy i wzajemnym przekazywaniu informacji.

Organ państwowy podkreślił, że do zadań jego kościelnego odpowiednika należy m.in. udzielanie osobie, której dane dotyczą, informacji o jej uprawnieniach w związku z przetwarzaniem danych osobowych. I co istotne w tej sprawie także rozpatrywanie skarg dotyczących przestrzegania przepisów ustanowionych w kościele w zakresie ochrony danych osobowych.

W konsekwencji prezes UODO uznał, że nie jest kompetentny do rozpatrzenia i rozstrzygnięcia skargi dotyczącej przetwarzania danych osobowych w zakresie objętym kompetencjami KIOD.

Kto zamie się sprawą naruszenia przetwarzania danych osobowych w księgach kościelnych?

Te tłumaczenia nie zadowoliły zadeklarowanego apostaty. I spór trafił na wokandę. Mężczyzna podkreślał, że źródłami powszechnie obowiązującego prawa w Polsce są konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia, a także akty prawa miejscowego. Do tej kategorii, w jego ocenie, nie sposób zaś zaliczyć przepisów prawa kościelnego. Ponadto skarżący przekonywał, że obrady Konferencji Episkopatu Polski są wewnętrzną sprawą kościoła katolickiego. 

Ta argumentacja nie przekonała jednak Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie. Ten nie miał bowiem wątpliwości, że rację w sporze ma prezes UODO, który prawidłowo zastosował obowiązujące przepisy. A to dlatego, że również zdaniem WSA w świetle art. 91 RODO, nie posiada on uprawnień do rozpatrywania sprawy dotyczącej przetwarzania danych osobowych w bazach prowadzonych w ramach struktur Kościoła Katolickiego.

Czytaj więcej

Dane osobowe

RODO a ochrona danych osobowych w kościołach i związkach wyznaniowych

Tylko te Kościoły i związki wyznaniowe, które nie zdecydowały się na utworzenie swoich odrębnych regulacji o ochronie danych, muszą w pełni przestrzegać postanowień RODO - wynika z informacji podanych przez Prezes Urzędu Ochrony Danych Osobowych. Pozostałe, w tym Kościół Katolicki, same będą rozstrzygały sprawy związane z danymi wiernych, np. w przypadku aktów apostazji.

Sąd podkreślił, że w świetle RODO każdy organ nadzorczy podczas wypełniania swoich zadań i wykonywania swoich uprawnień działa w sposób w pełni niezależny, tak jak czyni to KIOD. W konsekwencji prezes UODO nie jest kompetentny do rozpatrzenia i rozstrzygnięcia skargi dotyczącej przetwarzania danych osobowych skarżącego w zakresie objętym kompetencjami KIOD.

Czy po wystąpieniu z Kościoła Katolickiego można żądać usunięcia danych osobowych?

Do podobnych wniosków doszedł też NSA. Zgodził się, że kluczowe znaczenie w sprawie ma art. 91 ust. 1 RODO. I ustalenie czy Kościół Katolicki w Polsce stosował przed wejściem RODO szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem, oraz czy zostały one do niego dostosowane. Tymczasem NSA nie miał watpliwości, że oba te warunki były spełnione.

Zauważył, że w polskim Kościele Katolickim od bardzo wielu lat funkcjonują rozbudowane normy dotyczące przetwarzania danych osobowych. Świadczą o tym m.in. regulacje przewidziane w prawie kanonicznym z 1978 r., czyli wprowadzonego na długo przed rewolucja technologiczną. W 2009 r. kościół wprowadził także instytucję ochrony danych osobowych. 

Ponadto jak podkreślił sąd faktem powszechnie znanym jest to, że Kościół Katolicki od wieków prowadzi rozbudowaną dokumentację m.in. w zakresie chrztów, pochówków czy małżeństw. A dostęp do niej od zawsze był limitowany. W konsekwencji trudno uznać, aby ten pierwszy warunek z art. 91 RODO nie był spełniony. 

Czytaj więcej

Dane osobowe

NSA: apostazja to wewnętrzny problem Kościołów

Apostazja to wewnętrzny problem Kościołów. Generalny inspektor ochrony danych osobowych nie powinien się tym zajmować.