Przepisy RODO gwarantują kościołom i związkom religijnym autonomię w przetwarzaniu danych osobowych wiernych, pod warunkiem, że organizacja stosowała wcześniej jakieś reguły ochrony danych osobowych, a następnie dostosowała je do RODO. Polskie władze kościelne przyjęły stosowny dekret już po wejściu rozporządzenia 679/2016 — czy to oznacza, że przetwarzanie danych przez parafie powinno podlegać prawu państwowemu? Czy jednak jako „zasady przetwarzania” danych przez Kościół katolicki można uznać dawniejsze zasady prowadzenia ksiąg parafialnych? (wyrok Naczelnego Sądu Administracyjnego z 14 lipca 2022 r., III OSK 2776/21).
Sprawa zaczęła się od wniesienia skargi na przetwarzanie danych osobowych przez parafię rzymskokatolicką, która wprawdzie udzieliła odpowiedzi na pytanie o zapisane informacje personalne, ale odmówiła usunięcia tych danych.
PUODO uznał, że kościoły i związki wyznaniowe nie polegają ani RODO, ani nadzorowi ze strony świeckiego organu — albowiem przetwarzanie danych osobowych wiernych jest poza zakresem władz państwowych. Stwierdzając, że urząd nie jest kompetentny do rozstrzygnięcia sporu, a skarga na przetwarzanie danych przez parafię powinna zostać złożona do niezależnego Kościelnego IOD, odmówił wszczęcia postępowania.
W skardze na tę decyzję zainteresowany podkreślił, że kanoniczne zasady mogłyby mieć zastosowanie do przetwarzania danych osobowych parafian, gdyby były stosowane w momencie wejścia RODO w życie — tymczasem Dekret Konferencji Episkopatu Polski jest z marca 2018 r., podczas gdy RODO weszło w życie jeszcze w maju 2016 r.
art. 91 rozporządzenia 679/2016 o ochronie danych osobowych
1. Jeżeli w państwie członkowskim w momencie wejścia niniejszego rozporządzenia w życie kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem, zasady takie mogą być nadal stosowane, pod warunkiem że zostaną dostosowane do niniejszego rozporządzenia.
2. Kościoły i związki wyznaniowe, które stosują szczegółowe zasady zgodnie z ust. 1 niniejszego artykułu, podlegają nadzorowi niezależnego organu nadzorczego, który może być organem odrębnym, z zastrzeżeniem że spełnia warunki określone w rozdziale VI niniejszego rozporządzenia.
art. 99 RODO
1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej.
2. Niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r.
Sprawa trafiła do Wojewódzkiego Sądu Administracyjnego, który stwierdził, że dekret KEP regulujący przetwarzanie danych osobowych przez Kościół rzymskokatolicki wszedł w życie na miesiąc przed obowiązywaniem RODO, zatem nie ma podstaw do stosowania RODO czy też odmowy KIOD uprawnień do zajmowania się ew. skargą na przetwarzanie danych osobowych przez parafię (wyrok WSA w Warszawie z 30 stycznia 2020 r., II SA/Wa 1773/19).
W skardze kasacyjnej mężczyzna podkreślił, że dla oceny skuteczności powołania kościelnych instytucji ochrony danych osobowych istotna jest data wejścia w życie RODO, nie jego stosowania, zaś IOD powołany przez władze kościelne nie jest „niezależnym organem publicznym” (jak w art. 51-52 RODO) — zaś odmowa rozpatrzenia przez PUODO skargi na odmowę usunięcia danych po apostazji narusza gwarantowaną prawem międzynarodowym wolność posiadania, zmiany i przyjmowania wyznania i przekonań według własnego wyboru (art. 18 Międzynarodowego Paktu Praw Obywatelskich i Politycznych, art. 9 ust. 1 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, art. 10 ust. 1 Karty Praw Podstawowych UE). Jego zdaniem wyrok był wadliwy także z tego względu, że członkami składu orzekającego byli sędziowie, którzy są wiernymi kościoła rzymskokatolickiego, lecz się nie wyłączyli od orzekania.
Naczelny Sąd Administracyjny nie podzielił tych argumentów: wyznawana wiara nie może być traktowana jako uzasadniona wątpliwość co do bezstronności w sprawie — już choćby przez to, że Konstytucja zakazuje zmuszania do ujawniania przekonań religijnych lub wyznania — a więc nie może być przesłanką wyłączenia sędziego. Jeśli jednak skarżący uważa, że zajmujący się jego sprawą sędziowie nie sprostali wymogom niezawisłości, powinien wykazać konkretne wypowiedzi lub zachowania, a nie opierać się na ogólnikowych zarzutach.
NSA nie zgodził się także z uwagami odnoszącymi się do meritum sporu: nie budzi wątpliwości, że w Kościele katolickim pewne reguły prowadzenia ksiąg parafialnych obowiązywały nawet przed RODO, odnotowywano w nich m.in. sakramenty udzielenia chrztu, zawarcia małżeństwa, śmierci i pochówku, a więc Dekret KEP nie był pierwszym dokumentem dotyczącym przetwarzania danych osobowych. Nie ma przy tym znaczenia czy zasady te były skodyfikowane, czy wynikały tylko z prawa zwyczajowego, ponieważ art. 91 ust. 1 RODO mówi wyłącznie o „stosowaniu zasad”, ale określa z jakiego rodzaju źródła zasady te mają wynikać (tak czy inaczej pewne postanowienia można znaleźć także w Kodeksie Prawa Kanonicznego) — liczy się to, że w momencie wejścia w życie RODO Kościół stosował określone zasady przetwarzania danych osobowych. Nie ma także znaczenia, iż przepisy regulujące przetwarzanie danych osobowych przez parafię nie są w 100% zgodne z prawem świeckim, bo nie tak należy rozumieć wymóg ich „dostosowania” do RODO — gdyby taka była wola prawodawcy, prościej byłoby nakazać stosowanie rozporządzenia wprost.
Nie sposób także odmawiać prawidłowości ustanowienia i powołania Kościelnego IOD: jest to wszakże organ odrębny, realizuje uprawnienia nadzorcze w zakresie przetwarzania danych, zaś wymóg niezależności nie oznacza, iżby nie mógł on być umiejscowiony w strukturze Kościoła. Trudno jest także oczekiwać, by sposób jego ukształtowania był identyczny jak państwowego PUODO.
W ocenie NSA wyłączenie stosowania RODO w odniesieniu do przetwarzania danych przez Kościół katolicki nie godzi w swobodę wyboru religii — bo chociaż „przynależność do kościoła ma charakter dowolny, a zatem musi również istnieć możliwość wystąpienia z tej wspólnoty”, to jednak zasady przystępowania i występowania ze związku religijnego objęte są autonomią, która oznacza zakaz ingerencji neutralnego państwowa w sposób kształtowania reguł wewnętrznych.
Zamiast komentarza: ja zdania nie zmieniam — trudno oczekiwać, by 450 lat po konfederacji warszawskiej państwo zajmowało się gusłami, guślarzami, lewo- lub prawostronnym sposobem żegnania się, liczbą ramion krzyża, etc., etc. Z tego samego powodu organy władzy publicznej nie powinny rozstrzygać czy do apostazji wystarczy splunąć przez lewe ramię, czy nadto koniecznie należy przeskoczyć przez ognisko z ciupagą pod stopami.
Q.E.D.