II SA/Wa 907/19

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Konrad Łukaszewicz, Asesor WSA Karolina Kisielewicz, po rozpoznaniu w trybie uproszczonym w dniu 16 października 2019 r. sprawy ze skargi M. P. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2019 r. nr [...] w przedmiocie odmowy wszczęcia postępowania w sprawie przetwarzania danych osobowych – oddala skargę – UZASADNIENIE Zaskarżonym postanowieniem - na zasadzie art. 61a ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2018 r., poz. 2096 ze zm.), zwanej dalej "K.p.a." – odmówiono wszczęcia postępowania w sprawie skargi p. M. P., zwanego dalej "Wnioskodawcą". W uzasadnieniu orzeczenia przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - skarga dotyczyła przetwarzania przez Proboszcza Parafii pw. [...] w W., zwanego dalej "Proboszczem", danych osobowych Wnioskodawcy; podnoszono w niej, że Proboszcz odebrał [...] września 2019 r. prośbę Wnioskodawcy o przesłanie informacji związanych z jego, przechowywanymi przez Kościół, danymi osobowymi; w piśmie tym zadał pytanie o czynność przetwarzania danych osobowych oraz szczegółowe pytania z tym związane; pomimo 30-dniowego terminu nie udzielono odpowiedzi na żadne z nich; oznaczało to – zdaniem Wnioskodawcy przetwarzanie jego danych z naruszeniem obowiązków informacyjnych, - stosownie do art. 61a § 1 K.p.a., gdy żądanie wniosła osoba niebędąca stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania, - 25 maja 2018 r. weszła w życie ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. poz. 1000), zwana dalej "ustawą o danych"; ponadto - od 25 maja 2018 r. - mają bezpośrednie zastosowanie w polskim porządku prawnym przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), zwanego dalej "RODO"; wynika to z art. 99 tego aktu, - zgodnie z art. 51 ust. 1 RODO, każde państwo członkowskie zapewnia, by za monitorowanie stosowania RODO odpowiadał co najmniej jeden niezależny organ publiczny w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem oraz ułatwiania swobodnego przepływu danych osobowych w Unii, zwany dalej "organem nadzorczym"; w związku z tym – w myśl art. 34 ust. 1 ustawy o danych - organem właściwym w sprawie ochrony danych osobowych jest w Polsce obecnie Prezes Urzędu Ochrony Danych Osobowych, zwany dalej "Prezesem", - w RODO przewidziano ponadto, że - jeżeli w państwie członkowskim w momencie wejścia w życie danego aktu kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem - zasady takie mogą być nadal stosowane, pod warunkiem ich dostosowania do RODO (tak art. 91 ust. 1); kościoły i związki wyznaniowe, które spełniają tę przesłankę, podlegają nadzorowi niezależnego organu nadzorczego, który może być odrębnym, z zastrzeżeniem że spełnia warunki określone w rozdziale VI RODO (art. 91 ust. 2), - Kościół Katolicki w Polsce, zwany dalej "Kościołem", skorzystał z tej możliwości; 13 marca 2018 r. Konferencja Episkopatu Polski (dalej jako "KEP") wydała "Dekret ogólny w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele katolickim", zwany dalej "Dekretem"; wzięto w nim po uwagę zarówno zasady ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych stosowane dotychczas w Kościele, jak też "konieczność pogodzenia ochrony danych osobowych z korzystaniem z podstawowego prawa do wolności religijnej, zagwarantowanego również w prawie pozytywnym, także w jego wymiarze instytucjonalnym"; regulacje Dekretu stanowią uszczegółowienie przepisów kanonicznego prawa powszechnego oraz uaktualnienie przepisów kanonicznego prawa partykularnego; w Dekrecie przewidziano też powołanie Kościelnego Inspektora Ochrony Danych, zwanego dalej "KIOD" oraz określono jego zadania i uprawnienia (rozdz. V); 22 marca 2018 r. Dekret zatwierdziła Stolica Apostolska (uzyskał recognitio Kongregacji ds. Biskupów); 30 kwietnia 2018 r. nastąpiła jego prawna promulgacja (ogłoszenie) poprzez zamieszczenie na oficjalnej stronie internetowej KEP; w tym dniu Dekret wszedł w życie (art. 44), - zgodnie z art. 36 ust. 1 Dekretu, KIOD jest wybierany przez Zebranie Plenarne KEP na czteroletnią kadencję; jego wyboru dokonano podczas trwającego w dniach [...] czerwca 2018 r. [...]. Zebrania Plenarnego KEP; został nim ks. dr hab. P. K., który już [...] maja 2018 r. został powołany na pełniącego obowiązki KIOD, - do zadań KIOD należy m.in. monitorowanie i zapewnianie przestrzegania przepisów o ochronie danych osobowych w ramach i zgodnie z działaniem Kościoła katolickiego i jego struktur (art. 37 ust. 1 pkt 1 Dekretu), udzielanie osobie, której dane dotyczą informacji dotyczących uprawnień przysługujących jej w związku z przetwarzaniem jej danych osobowych (pkt 3), jak też - co szczególnie istotne wobec oczekiwania wyrażonego w podaniu Wnioskodawcy, skierowanym do państwowego organu nadzorczego - rozpatrywanie skarg, dotyczących przestrzegania przepisów ustanowionych w Kościele w zakresie ochrony danych osobowych (art. 37 ust. 1 pkt 5 Dekretu), - ponieważ - zgodnie z art. 52 ust. 1 RODO - każdy organ nadzorczy podczas wypełniania swoich zadań i wykonywania swoich uprawnień działa w sposób w pełni niezależny, Prezes nie jest kompetentny do rozpatrzenia i rozstrzygnięcia skargi, dotyczącej przetwarzania danych osobowych w zakresie objętym kompetencjami KIOD, - stanowisko takie znajduje potwierdzenie w doktrynie; jak tam podniesiono, zarówno treść jak i struktura Dekretu wskazują, że prawodawca kościelny dostosował szczegółowe, stosowane w Kościele, zasady ochrony danych osobowych do wymogów określonych w RODO; pociąga to za sobą zachowanie autonomii w tym zakresie i wyłączenie stosowania przepisów tego rozporządzenia do przetwarzania danych osobowych w Kościele (tak F. P. Art. 91. W: Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. W. K. Polska, 2018 r.). W skardze, zarzucono naruszenie - art. 7, 77 § 1 i art. 80 K.p.a., poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego w oparciu o przepisy obowiązującego prawa, - art. 7, 24 i 77 K.p.a., w zw. z art. 52 RODO, poprzez zastosowanie wykładni przepisów w oparciu o interpretację sprzeczną ze stanem faktycznym i obowiązującym prawem, - art. 7, 24 i 77 K.p.a., w zw. z art. 17, 20, 22, 52 i 91 RODO, poprzez interpretację przepisów sprzeczną ze stanem faktycznym i obowiązującym prawem, - art. 8 K.p.a., poprzez wydanie postanowienia sprzecznego z zasadą prowadzenia postępowania w sposób pogłębiający zaufanie obywateli do organów państwowych. W uzasadnieniu podniesiono: - w uzasadnieniu postanowienia organ podważa swoje wcześniejsze zdanie, wyrażone [...] kwietnia 2018 r.; informował tam, że - w momencie wejścia w życie RODO (24 maja 2016 r.), Kościół nie stosował szczegółowych zasad ochrony danych osobowych i - w związku z niewystarczająco szczegółowym, fragmentarycznym charakterem dokumentów przyjętych przez Episkopat oraz obowiązkami związanymi z bezpieczeństwem danych - powinien stosować przepisy RODO w całości; powołano w danym zakresie fragmenty dokutemu opatrzonego tytułem "Biuro Generalnego Inspektora Ochrony Danych Osobowych - Materiał informacyjny dotyczący ochrony danych osobowych w działalności Kościoła katolickiego w kontekście rozporządzenia 2016/679 - Posiedzenie Komisji Wspólnej Rządu RP i konferencji Episkopatu", - Kościół nie spełnił też dodatkowego warunku, ustanowionego art. 91 ust. 1 RODO, dla skorzystania z własnych regulacji w tej sprawie; nie dostosowano mianowicie Dekretu do wymogów RODO; wyrazem tego jest poruszona w skardze do organu kwestia art. 14 Dekretu; uniemożliwia on przeprowadzenie czynności usunięcia wszelkich danych z akt kościelnych; tym samym narusza art. 17 RODO, który pozostaje w sprzeczności z doktryną Kościoła; innym przejawem niedostosowania Dekretu do wymogów RODO jest także brak zapewnionej art. 20 RODO możliwości przeniesienia danych; Dekret pomija też kwestie profilowania i zautomatyzowanego podejmowania decyzji; świadczy to o niedostosowaniu do art. 22 RODO, w przypadku powołanego na podstawie Dekretu organu nadzorczego – KIOD - jest naruszony art. 52 RODO; stanowi on o niezależności organu nadzorczego, z uwagi na to, że kościelny organ nadzorczy, na którego czele stoi ksiądz, nie jest wolny od bezpośrednich lub pośrednich wpływów, znajdujących się wyżej w hierarchii urzędników kościelnych; dany rodzaj zależności reguluje obowiązujący w Kościele, Kodeks Prawa Kanonicznego z roku 1983, w rozdziale "Część V - Hierarchiczny ustrój kościoła"; o jej faktycznym obowiązywaniu w Kościele dowodzą stosowne dokumenty (przywołano stenogram z konkretnego postępowania), - w świetle przytoczonych faktów, w momencie wejścia w życie RODO, Kościół nie stosował szczegółowych zasad ochrony osób fizycznych w związku z przetwarzaniem danych i nie spełnił dodatkowego warunku, umożliwiającego mu skorzystanie z własnych regulacji, zgodnie z art. 91 ust. 1 RODO oznacza to brak uprawnienia do stosowania własnych regulacji w zakresie ochrony danych osobowych; powinien więc stosować przepisy RODO w sposób pełny i bezpośredni; kościelny organ nadzorczy nie jest też niezależny, - biorąc pod uwagę charakter zawartych w skardze Wnioskodawcy naruszeń RODO – w tym brak niezależności KIOD od Kościoła (to strona sporu) - kompetentnym do jej rozpatrzenia i rozstrzygnięcia powinien być organ niezależny od Kościoła, czyli Prezes; KIOD nie może być bowiem sędzią we własnej sprawie; wyłączanie przez Prezesa swoich kompetencji na rzecz kościelnego organu nadzorczego, było działaniem bezzasadnym i stronniczym; naruszono zasadę niezależności Prezesa wobec Kościoła, - uzasadniając postanowienie przywołano komentarz p. P. F.; do niedawna był on członkiem "Zespołu Roboczego ds. Opracowania Wewnątrzkościelnych Regulacji Ochrony Danych Osobowych" KEP; reprezentował więc interes strony kościelnej; w związku z działalnością w ramach Kościoła trudno go uznać za obiektywnego i bezstronnego w ocenach, - stanowisko organu z [...] kwietnia 2018 r., dotyczące tych samych stanów faktycznych, na podstawie tej samej podstawy prawnej, odbiega zasadniczo od sformułowanego w zaskarżonym akcie. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Sąd rozpoznał skargę w trybie uproszczonym, wobec treści art. 119 pkt 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2018 r., poz. 1302 ze zm.). Sąd zważył, co następuje: Skarga została oddalona. Nie zasługuje ona na uwzględnienie, albowiem zaskarżone rozstrzygnięcie nie narusza prawa. Trafnie skonstatował organ, że w sprawie zachodziły przesłanki do odmowy wszczęcia postępowania. Obligowało to do wydania postanowienia, w myśl art. 61a K.p.a. W przedmiotowej sprawie nie są sporne jej istotne okoliczności - fakt objęcia żądaniem danych osobowych, podlegających przetwarzaniu w związku z działalnością Kościoła, oraz powołania przez tenże - w ramach regulacji wewnętrznych (Dekretem) - organu właściwego do rozpatrywania skarg w danym zakresie (KIOD). W takiej sytuacji bezzasadne są zarzuty skargi, gdzie podnoszono jakoby nie wyjaśniono istotnych faktyczne okoliczności danej sprawy. Kwestią sporną jest natomiast, jakie przepisy powinny znaleźć w sprawie zastosowanie, a w szczególności, czy zachodzi przypadek zakreślony art. 91 RODO - spełnione są warunki prawne wyłączenie właściwości organu właściwego w sprawie ochrony danych osobowych na zasadach ogólnych. Kwestie sporne są więc związane z zagadnieniem, czy określony przepis znajduje zastosowanie w sprawie, w tym problematyka właściwej odczytania jego treści normatywnej (wykładni), nie zaś wyjaśnienie stanu faktycznego sprawy. Odnosząc się w danym zakresie do zarzutów skargi należy uznać za trafne stanowisko organu wywodzącego, że - od dnia powołania KIOD – Prezes nie jest właściwy w sprawach rozpatrywania skarg w kwestii danych osobowych przetwarzanych przez Kościół. Wobec uprzedniego zreferowania jego argumentacji, jej ponowne powtarzanie byłoby zbędne. Sąd przyjmują ją za własną. Chybione są przy tym zarzuty skargi, jakoby nie były spełnione warunki, wynikające z art. 91 RODO. Mianowicie bezsprzecznie – co do ochrony danych osobowych przed wejściem w życie RODO - w Kościele obowiązywały w danym zakresie pewne reguły. Przykładowo w kwestii prowadzenia ksiąg parafialnych, gdzie z wykorzystaniem danych osobowych odnotowywano fakty jak przyjęcie sakramentu chrztu, zawarcie małżeństwa czy śmierci członków danej wspólnoty religijnej. Nie istniała przy tym zasada powszechnego, nieograniczonego dostępu do tych informacji - możliwości wglądu do ksiąg czy uzyskiwania odpisów, bądź żądania dokonywania dowolnych w nich zmian. Bez znaczenia jest przy tym, czy było to efektem stosowania reguł skodyfikowanych, czy też powszechnie przyjętego prawa zwyczajowego. Żadne rygory w danym zakresie, co do charakteru źródeł prawa, nie zostały zakreślone w art. 91 ust. 1 RODO. Warunek istnienia szczegółowych, odrębnych zasad w Kościele - przed wejściem w życie RODO - był spełniony. Istotnym jest więc, czy zasady te zostały dostosowane do wymagań RODO. Aby odpowiedzieć na to pytanie koniecznym jest ustalenie, jak rozumieć użyte przez prawodawcę europejskiego w art. 91 ust. 1 pojęcie "dostosowanie". Czy chodzi tu o zapewnienie pełnej zgodności z postanowieniami nowego aktu prawnego (rangi rozporządzenia), bądź też możliwe jest - w ich ramach - ustawienie odmiennych reguł, przy zapewnieniu ochrony danych w ogólnych obszarach zakreślonych RODO. Przy uwzględnieniu niezbędnego dla dokonywania wykładni założenia, że europejski prawodawca jest racjonalny należy opowiedzieć się za drugą z możliwości. O ile celem prawodawcy byłoby bowiem zapewnienie pełnej zgodności, ustanowienie w RODO danej regulacji szczególnej nie znajdowałby logicznego uzasadnienia. Kościoły i związki wyznaniowe podlegają bowiem – co do zasady - prawu powszechnie obowiązującemu. Wejście więc w życie regulacji na szczeblu unijnym, której postanowienie stosuje się bezpośrednio (rozporządzenie) miałby taki skutek, że dane podmioty – jako nim bezpośrednio związane - musiałby się do nich bezwzględnie dostosować. Jak można wnosić z treści art. 91 RODO, prawodawca unijny zmierzał jednak uwzględnić specyfikę przetwarzanie danych osobowych, pozostających w związku praktykami religijnymi i nauczaniem dogmatycznym kościołów i innych wspólnot religijnych. Uznał za zasadne uszanowanie ich odrębności i autonomii. Dopuścił stosowanie odmiennych reguł ochrony danych osobowych, zapewniających realizacja celów RODO. Takie wyłożenie treści normatywnej art. 91 ust. 1 RODO uwzględnia także konstytucyjną zasadę autonomii kościołów i związków wyznaniowych w Polsce a także określenia relacji pomiędzy władzami publicznymi a Kościołem w drodze umowy międzynarodowej (tak art. 25 ust. 3 i 4 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. - Dz.U. Nr 78, poz. 483 ze zm.) – to Konkordat między Stolicą Apostolską i Rzecząpospolitą Polską, podpisany w Warszawie dnia 28 lipca 1993 r. (Dz.U. z 1998 r. Nr 51, poz. 318). W tym kontekście chybione są wywody skargi, gdzie podnoszono, że rozwiązania przyjęte w Dekrecie nie są tożsame z występującymi w RODO np. w takich zakresach jak usunięcie, przeniesienie danych czy profilowania i zautomatyzowanego podejmowania decyzji. Kwestie te regulowane są jednocześnie w Dekrecie odmiennie, w tym z części przewidzianych RODO rozwiązań zrezygnowano. Zapewniono jednak możliwość usunięcia danych (art. 14 Dekretu) z ograniczeniem, wynikającym z reguł doktrynalnych (tak ust. 5 danego artykułu). Nie uchybiono więc wymaganiom art. 91 ust. 1 RODO. W danym kontekście jest bez znaczenia, czy wyrażone w skarżonym postanowieniu stanowisko już tożsame z wcześniej prezentowanym przez organ w innych dokumentach. Chybione są także wywody, co do brakuje wymaganej RODO niezależności organu, powolnego w Kościele przez KEP. Obowiązujące w kościele katolickim reguły posłuszeństwa, wyrażone m.in. w Kodeksie prawa kanonicznego (Decretum Num. 48/84/P. Primas Poloniae z dnia 4 grudnia 1983 r. – dostępny w LEX) nie stanowią o powinności podporządkowania przełożonemu danej osoby w hierarchii w zakresach, gdzie obowiązek ten wyłączono samym prawem kanonicznym - Kodeksem prawa kanonicznego czy wydanymi w jego myśl regulacjami szczególnymi. Jak stanowi ów Kodeks w Kan. 154 § 2: "Obowiązki i prawa właściwe każdemu urzędowi kościelnemu są określane albo samym prawem, którym urząd ustanowiono, albo dekretem kompetentnej władzy, którym jest on równocześnie ustanowiony i nadany". Z kolei, w myśl art. 35 ust. 1 zd. 2 Dekretu: "Kościelny inspektor ochrony danych w zakresie wykonywania swoich zadań nadzorczych nie podlega poleceniom innych podmiotów." Wynika stąd jednoznacznie, że "prawem", w rozumieniu Kodeksu, przypisanym do danego urzędu, jest brak podporządkowania KIOD, przy wykonywaniu związanych z tym czynności, poleceniom podmiotów zewnętrznych. Nie jest kluczowa dla sprawy podnoszona w skardze kwestia ujawnienia przypadków, gdzie problematyka obowiązku posłuszeństwa w hierarchii Kościoła była rozumiana odmiennie, i mogło mieć to określone, negatywne reperkusje. Same prawne gwarantujące niezależności, przy sprawowaniu określonej funkcji, dla określonej osoby nigdy w pełni nie wykluczają nieulegania przez nią różnego rodzaju naciskom ze strony środowiska, w jakim przebywa, funkcjonuje - niezależnie od tego, czy sprawuje określone funkcje w kościele (np. ksiądz) lub w związku wyznaniowym bądź pełni np. władzę publiczną w państwie. Ostatecznie jest to w istocie uzależnione od indywidualnych predyspozycji moralnych i osobowościowych, pełniącego dany urząd. Istotne jest natomiast, czy wywieranie różnego rodzaju presji na osobę sprawującą - mający mieć atrybuty niezależności - urząd znajduje podstawę w porządku prawnym (prawa pisanego czy zwyczajowego), jakim rządzi się dana społeczność. Powołując KIOD w wymaganym zakresie ograniczono możliwość jego uzależnienia, zamieszczając w Dekrecie stosowne zapisy. Trafnie zauważono jedynie w skardze, że organ nie odniósł się wprost do argumentacji Wnioskodawcy w uzasadnieniu postanowienia. Nie mogło mieć to jednak istotnego znaczenia na wyniku sprawy. Konstatacja o braku właściwości Prezesa jest bowiem trafna. Organ zasadnie więc odmówił wszczęcia postępowania w myśl art. 61a K.p.a. W sprawie nie znajdowały zaś zastosowania reguły z art. 65 § 1 bądź art. 66 § 3 K.p.a. KIOD nie jest bowiem innym niż Prezes organem administracji bądź sądem, w rozumieniu wskazanych regulacji. Chybiony jest w końcu zarzut bezzasadnego przytoczenia w uzasadnieniu skarżonego aktu określonych poglądów - wyrażanych w doktrynie. Gdy cytowane jest stanowisko sformułowane w wydawnictwie fachowym, wyspecjalizowanym w dziedzinie prawa, sama okoliczność, że pogląd autora publikacji może pozostawić w związku z realizowanymi przezeń czynnościami zawodowymi nie stanowi o niedopuszczalności jego powołania. Orzekający w sprawie organ, nie musi mieć wszak wiedzy o osobie autora, w kontekście jego aktywności zawodowej. Wobec braku naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy bądź przepisu prawa materialnego, zakreślającego kompetencje Prezesa do podjęcia stosownych czynności w sprawie skargi Wnioskodawcy w świetle treści wyłączenia zawartego w art. 91 RODO, skargę należało oddalić. Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w sentencji.