II SA/Wa 1001/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki, Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Iwona Maciejuk, , Joanna Mazur, Protokolant Referent stażysta, po rozpoznaniu na rozprawie w dniu 21 listopada 2019 r. sprawy ze skargi K.B.-P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. nr [...] w przedmiocie przetwarzanie danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: organ, Prezes UODO) decyzją z [...] marca 2019 r., na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2018 r. poz. 2096 ze zm.; dalej Kpa.) oraz art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 100 ze zm.) w związku z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723) oraz art. 57 ust. 1 lit. a) i f), art. 91 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UE.L.2016.119.1 ze zm.), w wyniku ponownego rozpoznania sprawy zakończonej decyzją organu z 21 grudnia 2018 r. o umorzeniu postępowania zainicjowanego skargą K. B. na przetwarzanie jej danych osobowych przez Proboszcza Parafii Rzymskokatolickiej [...] w [...] przy ul. [...], utrzymał w mocy decyzję wydaną w I instancji. Do wydania decyzji Prezesa UODO doszło w następującym stanie sprawy. W dniu [...] listopada 2016 r. wpłynęła do Urzędu Ochrony Danych Osobowych skarga K. B. (dalej skarżąca) na przetwarzanie jej danych osobowych przez Proboszcza Parafii Rzymskokatolickiej p.w. [...] w [...] przy ul. [...] (dalej Proboszcz). Jak wskazała w ww. skardze, w dniu [...] października 2016 r. Proboszcz odebrał jej oświadczenie woli (pismo z [...] września 2016 r.) informujące, że nie należy do Kościoła Rzymskokatolickiego, połączone z prośbą o dokonanie zmian poprzez uaktualnienie jej danych w Księdze Chrztów dotyczących przynależności do tego Kościoła. W dniu [...] października 2016 r. drogą elektroniczną skarżąca została poinformowana przez Parafię p.w. [...] w [...] o braku skuteczności złożonego oświadczenia woli w związku z niezachowaniem wymogów formalnych dla oświadczenia woli o wystąpieniu z Kościoła. W związku z odmową uaktualnienia danych, skarżąca wniosła do Prezesa UODO o wydanie decyzji administracyjnej zobowiązującej Proboszcza do zaktualizowania jej danych osobowych. W toku prowadzonego postępowania do Urzędu Ochrony Danych Osobowych w dniu [...]czerwca 2017 r. wpłynęły wyjaśnienia Proboszcza, w których wskazał, że skarżąca nie dopełniła wewnętrznej procedury wystąpienia z Kościoła. Przy piśmie z [...] października 2018 r. poinformowano skarżącą, że Prezes UODO przeprowadził postępowanie wyjaśniające, w wyniku którego zgromadzony został materiał dowodowy wystarczający do wydania decyzji administracyjnej. Jak wynika z notatki służbowej z [...] grudnia 2018 r., zgodnie z danymi zawartymi w systemie Poczty Polskiej list polecony priorytetowy z [...] października 2018 r. został przyjęty w kraju przeznaczenia w dniu [...] października 2018 r. o godz. 17.01, w związku z czym przyjęto domniemanie, że został on doręczony. Prezes UODO decyzją z [...] grudnia 2018 r. umorzył postępowanie w sprawie skargi na przetwarzanie danych osobowych przez Proboszcza. Wskazał w szczególności, że nie posiada kompetencji do wydawania decyzji związanych z rozpatrywaniem skarg dotyczących przestrzegania przepisów ustanowionych w Kościele Katolickim w zakresie ochrony danych osobowych. Zaznaczył, że Proboszcz w toku postępowania wypowiedział się co do statusu skarżącej w świetle prawa wewnętrznego Kościoła oraz w złożonych wyjaśnieniach wskazał, że nie dopełniła ona wewnętrznej procedury wystąpienia z Kościoła. Dnia [...] stycznia 2019 r. za pośrednictwem platformy ePUAP do Urzędu Ochrony Danych Osobowych wpłynął wniosek skarżącej o ponowne rozpatrzenie sprawy. Wniosek został opatrzony prawidłowo zweryfikowanym podpisem elektronicznym. Do wniosku został dołączony załącznik bez podpisu kwalifikowanego. W uzasadnieniu wskazanej na wstępie decyzji Prezes UODO podał, że w dniu 25 maja 2018 r. weszła w życie ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, ponadto, od dnia 25 maja 2018 r. bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO). W świetle powyższego, do spraw wszczętych i niezakończonych przed 25 maja 2018 r. rozstrzyganych przez Prezesa Urzędu, w zakresie prawa materialnego zastosowanie mają przepisy RODO, a w zakresie proceduralnym przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Jak wskazał organ, przepisy RODO przewidują, że jeżeli w państwie członkowskim w momencie wejścia RODO w życie kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem, zasady takie mogą być nadal stosowane, pod warunkiem, że zostaną dostosowane do niniejszego rozporządzenia (art. 91 ust. 1). Kościoły i związki wyznaniowe, które spełniają tę przesłankę, podlegają nadzorowi niezależnego organu nadzorczego, który może być organem odrębnym, z zastrzeżeniem, że spełnia warunki określone w rozdziale VI niniejszego rozporządzenia (art. 91 ust. 2). Organ wyjaśnił, że Kościół Katolicki w Polsce jest instytucją o uregulowanej sytuacji prawnej, unormowanej m.in. w Konstytucji RP, w umowie międzynarodowej jaką jest Konkordat oraz w ustawach. Wskazał na przepisy Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. z 1997 r., nr 78, poz. 483 z zm.), która w art. 25 stanowi, iż Kościoły i inne związki wyznaniowe są równouprawnione (art. 25 ust. 1). Władze publiczne w Rzeczypospolitej Polskiej zachowują bezstronność w sprawach przekonań religijnych, światopoglądowych i filozoficznych, zapewniając swobodę ich wyrażania w życiu publicznym (art. 25 ust. 2). Stosunki między państwem a kościołami i innymi związkami wyznaniowymi są kształtowane na zasadach poszanowania ich autonomii oraz wzajemnej niezależności każdego w swoim zakresie, jak również współdziałania dla dobra człowieka i dobra wspólnego (art. 25 ust. 3). Stosunki między Rzeczpospolitą Polską a Kościołem katolickim określają umowa międzynarodowa zawarta ze Stolicą Apostolską i ustawy (art. 25 ust. 4). Stosunki między Rzeczpospolitą Polską a innymi kościołami oraz związkami wyznaniowymi określają ustawy uchwalone na podstawie umów zawartych przez Radę Ministrów z ich właściwymi przedstawicielami (art. 25 ust. 5). Zgodnie z art. 2 ustawy z dnia 17 maja 1989 r. o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej (Dz.U. Nr 29, poz. 154 ze zm.), Kościół rządzi się w swych sprawach własnym prawem, swobodnie wykonuje władzę duchowną i jurysdykcyjną oraz zarządza swoimi sprawami. Jak podał organ, powyższe stanowisko prezentuje Naczelny Sąd Administracyjny w wyrokach z dnia 9 lutego 2016 r. w sprawach o sygn. I OSK 2691/15, I OSK 1509/15, I OSK 579/15, I OSK 2585/15, I OSK 3179/15, I OSK 1466/15 "(...) Fakt przynależności do kościoła lub związku wyznaniowego podlega regulacji prawa kościelnego kościoła lub związku wyznaniowego, którego dotyczy. Poza wszystkim zaś, kwestia ta nie ma i tak znaczenia dla ostatecznego rozstrzygnięcia o wniosku przez organ administracyjny lub sąd. Decyduje bowiem ustawowe wyłączenie GIODO (...) i przyznana Konstytucją RP (art. 25 ust. 3 i 4), ratyfikowaną umową międzynarodową (art. 1 i 5 Konkordatu) i ustawami (art. 2, art. 3 ust. 1 i 2 uspkk) kwestie te regulującymi autonomia prawna Kościoła Katolickiego polegająca na tym, że Kościół rządzi się w swych sprawach własnym prawem, swobodnie wykonuje władzę duchowną i jurysdykcyjną oraz zarządza swoimi sprawami (...)". Jak podał Prezes UODO, zgodnie z art. 12 Dekretu ogólnego Konferencji Episkopatu Polski z dnia 13 marca 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele Katolickim, zwanego dalej Dekretem ogólnym, osoba, której dane dotyczą, ma prawo żądać od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, jeżeli dane są nieprawidłowe (ust. 1). Wniosek o sprostowanie danych powinien zostać przedstawiony w formie pisemnej administratorowi, osobiście lub za pośrednictwem prawnie ustanowionego pełnomocnika, z załączeniem właściwych dokumentów, w razie potrzeby także cywilnych (ust. 2). Jeżeli administrator odmówi przyjęcia wniosku o sprostowanie danych, powinien pisemnie powiadomić o odmowie wnioskodawcę, który będzie mógł złożyć ponownie wniosek do ordynariusza miejsca lub wyższego przełożonego instytutu życia konsekrowanego lub stowarzyszenia życia apostolskiego (ust. 3). Zgodnie z art. 35 ust. 1 Dekretu ogólnego, Kościelny Inspektor Ochrony Danych jest niezależnym organem monitorującym i zapewniającym przestrzeganie przepisów o ochronie danych osobowych w ramach i zgodnie z działaniem Kościoła Katolickiego i jego struktur. Kościelny Inspektor Ochrony Danych w zakresie wykonywania swoich zadań nadzorczych nie podlega poleceniom innych podmiotów. Zgodnie z art. 37 ust. 1 pkt 5 Dekretu ogólnego, do zadań Kościelnego Inspektora Ochrony Danych należy rozpatrywanie skarg dotyczących przestrzegania przepisów ustanowionych w Kościele w zakresie ochrony danych osobowych. Zgodnie natomiast z art. 38 pkt 3 Dekretu ogólnego, w celu realizacji zadań Kościelny Inspektor Ochrony Danych jest uprawniony do nakazania przywrócenia stanu zgodnego z prawem w przypadku stwierdzenia nieprawidłowości przy przetwarzaniu danych. Zdaniem organu, z przytoczonego powyżej art. 91 RODO oraz powołanych przepisów Dekretu ogólnego wynika brak kompetencji Prezesa Urzędu Ochrony Danych Osobowych do wydawania decyzji związanych z rozpatrywaniem skarg dotyczących przestrzegania przepisów ustanowionych w Kościele Katolickim w zakresie ochrony danych osobowych. Biorąc powyższe pod uwagę oraz treść art. 91 RODO, Prezes UODO stwierdził, że po jego stronie zachodzi wyłącznie kompetencji w sprawach, w których kompetencje takie przysługują odrębnemu organowi nadzorczemu. W konsekwencji uznał, że wobec braku kompetencji do wydania merytorycznego rozstrzygnięcia przez organ, postępowanie ze skargi na przetwarzanie danych należało umorzyć. W skardze na wskazaną na wstępie decyzję organu skarżąca wniosła o jej uchylenie i zobowiązanie do wydania decyzji zgodnej z pełnym zakresem żądań, czyli nakazującej Proboszczowi: - naniesienie adnotacji aktualizujących dane skarżącej we wszystkich administrowanych zbiorach (rejestrach sakramentów) oraz usunięcie wszelkich pozostałych informacji dotyczących jej osoby; - przekazanie informacji innym podmiotom kościelnym przetwarzającym dane skarżącej, celem dokonania przez nie identycznych działań; - wykonanie obowiązku informacyjnego w trybie art. 33 u.o.d.o. zgodnie z żądaniem zawartym w piśmie z 26 września 2016 r.; - przesłanie kopii zebranych informacji na temat skarżącej ze wszystkich administrowanych zbiorów i innych podmiotów kościelnych, które przetwarzały oraz nadal przetwarzają jej dane. Zaskarżonej decyzji zarzuciła rażące naruszenie prawa materialnego polegające na złamaniu postanowień Konwencji o ochronie praw człowieka i podstawowych wolności (dalej: EKPC), sporządzonej w Rzymie dnia 4 listopada 1950 r. (ze zm.), podpisanej przez Polskę 26 listopada 1991 r. i ratyfikowanej 19 stycznia 1993 r., wyrażonych zapisami: - art. 8 EKPC, tj. prawa do poszanowania życia prywatnego i rodzinnego, w zakresie ochrony danych osobowych, poprzez odmowę aktualizacji oraz nadzoru Prezesa UODO nad procesem ich przetwarzania; - art. 9 EKPC, tj. prawa do wolności myśli, sumienia i wyznania, poprzez pozbawienie prawa do suwerennego decydowania o własnej przynależności wyznaniowej; - art. 14 EKPC, tj. zakazu dyskryminacji, poprzez ograniczenie praw zagwarantowanych przywołanymi wyżej (pkt 1 i 2) zapisami Konwencji, z powodu domniemanej przynależności religijnej; - art. 17 EKPC, tj. zakazu nadużycia praw, poprzez interpretowanie zapisów art. 9 EKPC jako przyzwolenia na zastosowanie wewnętrznych regulacji związku wyznaniowego w domenie prawa powszechnego, w sposób niweczący – adresowane indywidualnie do każdego człowieka – gwarancje art. 8 i 9 Konwencji. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko zaprezentowane w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Przedmiotem skargi jest decyzja organu z [...] marca 2019 r. utrzymująca w mocy decyzję organu wydaną w I instancji z [...] grudnia 2018 r. w sprawie umorzenia postępowania w związku z odmową uaktualnienia danych osobowych skarżącej dokonaną przez Proboszcza. Dokonując kontroli legalności zaskarżonej decyzji, w świetle kryteriów opisanych w ustawie z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2018 r. poz. 1302 ze zm.; dalej p.p.s.a.), Sąd nie dopatrzył się w działaniu organu rozstrzygającego w niniejszej sprawie nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa. Wyjaśnione zostały motywy podjętego rozstrzygnięcia, a przytoczona na ten temat argumentacja jest wyczerpująca. Należy zauważyć, że prawidłowe jest twierdzenie organu, iż podstawą utrzymania w mocy decyzji z dnia [...] grudnia 2018 r. jest brak właściwości organu do wydania merytorycznej decyzji w niniejszej sprawie. Z art. 91 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) wynika brak kompetencji Prezesa UODO do wydawania decyzji związanych z rozpatrywaniem skarg dotyczących przestrzegania przepisów ustanowionych w Kościele Katolickim w zakresie ochrony danych osobowych. Kościół Rzymskokatolicki jest instytucją o uregulowanej sytuacji prawnej, unormowanej m.in. w Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. Nr 78, poz. 483 ze zm.), w umowie międzynarodowej, jaką jest Konkordat między Stolicą Apostolską a Rzecząpospolitą Polską podpisany w Warszawie dnia 28 lipca 1993 r. (Dz.U. z 1998 r. Nr 51, poz. 318) i w ustawach. W myśl art. 2 ustawy z dnia 17 maja 1989 r. o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej (Dz.U. z 2013 r. poz. 1169 ze zm.) Kościół rządzi się w swych sprawach własnym prawem, swobodnie wykonuje władzę duchowną i jurysdykcyjną oraz zarządza swoimi sprawami. Naczelny Sąd Administracyjny w wyrokach z dnia 9 lutego 2016 r. (w sprawach o sygn. akt I OSK 2691/15, I OSK 1509/15, I OSK 579/15, I OSK 2585/15, I OSK 3179/15 i I OSK 1466/15) stwierdził: "Fakt przynależności do kościoła lub związku wyznaniowego podlega regulacji prawa kościelnego kościoła lub związku wyznaniowego, którego dotyczy. Poza wszystkim zaś, kwestia ta nie ma i tak znaczenia dla ostatecznego rozstrzygnięcia o wniosku przez organ administracyjny lub sąd. Decyduje bowiem ustawowe wyłączenie GIODO (...) i przyznana Konstytucją RP (art. 25 ust. 3 i 4), ratyfikowaną umową międzynarodową (art. 1 i 5 Konkordatu) i ustawami (art. 2, art. 3 ust. 1 i 2 uspkk) kwestie te regulującymi autonomia prawna Kościoła Katolickiego polegająca na tym, że Kościół rządzi się w swych sprawach własnym prawem, swobodnie wykonuje władzę duchowną i jurysdykcyjną oraz zarządza swoimi sprawami". NSA stwierdził, że "całkowite porzucenie wiary lub wystąpienie z Kościoła – niezależnie od oceny dopuszczalności tej ostatniej czynności w świetle prawa kościelnego – nie stanowi żadnego uzasadnienia dla zatarcia pewnych, w przeszłości zaszłych faktów.". Jak wynika z oświadczenia woli skarżącej z [...] września 2016 r., nie należy ona do Kościoła Katolickiego. Zwróciła się do Proboszcza, jako administratora jej danych osobowych, o ich uaktualnienie w Księdze Chrztów (nr aktu [...]), przez naniesienie adnotacji o treści "Nie należy do Kościoła rzymskokatolickiego – oświadczenia z dnia [...].09.2016". Jednocześnie poprosiła o usunięcie wszelkich danych dotyczących jej osoby w rejestrach administrowanych przez Proboszcza i inne podmioty Kościoła. Wystąpiła o przesłanie jej potwierdzenia odpisu aktu chrztu z powyższą adnotacją oraz pełnej informacji na temat przetwarzania pozostałych danych dotyczących jej osoby. Faktem także jest, że jak podał Proboszcz w korespondencji mailowej kierowanej do skarżącej, aby oświadczenie woli było uznane za skuteczne musi być złożone osobiście przed proboszczem miejsca zamieszkania. Z kolei skarżąca wskazała, że nie należy do Kościoła, a złożone oświadczenie dotyczy aktualizacji dokumentów parafialnych, wpisania odpowiedniej adnotacji oraz zaprzestania przetwarzania jej danych osobowych. Uznała w wysłanym do Proboszcza mailu, że adnotacja ta jest obowiązkiem proboszcza, który jest administratorem danych osobowych wynikającym z prawa powszechnego. Reakcją Proboszcza na ten ostatni mail skarżącej, było odesłanie jej do treści rozporządzenia Episkopatu. Należy zauważyć, iż skarżąca jest obecnie członkiem Kościoła Katolickiego i dopóki nie dokona formalnego aktu apostazji członkiem tego Kościoła będzie. A co za tym idzie, to do Kościelnego Inspektora Ochrony Danych Osobowych, zgodnie z art. 37 ust. 1 pkt 5 Dekretu ogólnego, należy rozpatrywanie skarg dotyczących przestrzegania przepisów ustanowionych w Kościele w zakresie ochrony danych osobowych. W konsekwencji Prezes UODO stwierdzając brak swojej kompetencji do rozpatrzenia sprawy zainicjowanej skargą dotyczącą przestrzegania przepisów ustanowionych w Kościele Katolickim w zakresie ww. ochrony, zasadnie umorzył postępowanie. W niniejszej sprawie poza sporem pozostaje, że skarżąca została ochrzczona (nr aktu [...]), a zatem zaistniał pewien fakt, który może być jedynie formalnie usunięty i tylko w pewnym zakresie, tzn. poprzez dokonanie adnotacji o apostazji, co jest równoznaczne z wystąpieniem z Kościoła Katolickiego i niesie różne skutki w zakresie duszpasterskim. W zakresie zarzutów dotyczących naruszenia przepisów EKPC Sąd stwierdza, że nie mają one uzasadnionych podstaw, ponieważ przywołane wyżej regulacje prawne umożliwiają stronom zainteresowanym "wystąpieniem" z Kościoła dokonanie takiej czynności, jednakże w prawem przewidziany sposób. Nie można zatem skutecznie postawić organowi zarzutu polegającego na naruszeniu zakazu dyskryminacji, czy też nadużywania prawa w sposób niweczący, jak ujęła to skarżąca, adresowane indywidualnie do każdego człowieka – gwarancje art. 8 i art. 9 ww. Konwencji. Zdaniem Sądu należy uznać, iż organ wyczerpująco zbadał istotne okoliczności faktyczne związane z niniejszą sprawą. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie organ rozstrzygając sprawę – oparł się na materiale prawidłowo zebranym i dokonał jego wszechstronnej oceny. Ponadto należy uznać, iż stanowisko wyrażone w zaskarżonej decyzji, organ uzasadnił w sposób wymagany przez normę prawa określoną w przepisie art. 107 § 3 Kpa.. Z przytoczonych wyżej powodów Wojewódzki Sąd Administracyjny na podstawie art. 151 p.p.s.a. orzekł, jak w sentencji.