II SA/Wa 1182/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Iwona Maciejuk (spr.), Asesor WSA Mateusz Rogala, , po rozpoznaniu w trybie uproszczonym w dniu 21 marca 2025 r. sprawy ze skargi P. K. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę Prezes Urzędu Ochrony Danych Osobowych postanowieniem z dnia [...] maja 2024 r. nr [...] na podstawie art. 61 a § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572) w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) i w związku z art. 91 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1. Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), odmówił wszczęcia postępowania w sprawie skargi ks. P. K. na niespełnienie wobec niego obowiązku informacyjnego przez Kurię Diecezjalną w [...] , z siedzibą w [...] przy ul.[...]. Prezes UODO w uzasadnieniu wyjaśnił, że do Urzędu Ochrony Danych Osobowych wpłynęła w dniu 29 grudnia 2023 r. skarga Ks. P. K. na niespełnienie wobec niego obowiązku informacyjnego przez Kurię Diecezjalną w [...]. Skarżący podniósł cyt. "Niniejszym składam skargę na niezgodne z przepisami: - Rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27.04.2016 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych): - Dekretu ogólnego w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele katolickim, wydanego przez Konferencję Episkopatu Polski w dniu 13.03.2018 roku (nazywanego dalej Dekretem); przetwarzanie moich danych osobowych przez będącą administratorem danych osobowych Kurię Diecezjalną w [...], adres:[...], ul. [...]. Instytucja ta nie odpowiedziała na mój wniosek o udostępnienie kserokopii dokumentów zawierających przetwarzane przez nią moje dane osobowe, mimo upływu terminu. Wniosek taki został do niej wysłany w dniu 26.09.2023 i odebrany przez Kurię Diecezjalną w [...] w dniu 27.09.2023, co potwierdzają posiadane przeze mnie dokumenty Poczty Polskiej. Wobec powyższego wnoszę o nakazanie administratorowi usunięcia uchybień w procesie przetwarzania danych osobowych poprzez niezwłoczne udzielenie odpowiedzi na mój wniosek o udostępnienie danych osobowych i przesłanie kserokopii dokumentów. Wnoszę również o nałożenie administracyjnej kary pieniężnej na administratora danych osobowych". Mając powyższe na uwadze Prezes Urzędu Ochrony Danych Osobowych wskazał, że zgodnie z art. 61 § 1 k.p.a., postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu, a odmowa wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych uzasadnionych przyczyn" nie wynika z merytorycznego zbadania wniosku, lecz ze stwierdzenia przesłanek formalnych uniemożliwiających merytoryczne rozstrzygnięcie sprawy. Prezes UODO zaznaczył, że w dniu 25 maja 2018 r. weszła w życie ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych. Ponadto od dnia 25 maja 2018 r. bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy RODO. Zgodnie z art. 51 ust. 1 RODO każde państwo członkowskie zapewnia, by za monitorowanie stosowania RODO odpowiadał co najmniej jeden niezależny organ publiczny w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem oraz ułatwiania swobodnego przepływu danych osobowych w Unii. W związku z powyższym na podstawie art. 34 ust. 1 u.o.d.o. organem właściwym w sprawie ochrony danych osobowych jest w Polsce obecnie Prezes UODO. Przepisy RODO przewidują również, że jeżeli w państwie członkowskim w momencie wejścia RODO w życie kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem, zasady takie mogą być nadal stosowane, pod warunkiem, że zostaną dostosowane do niniejszego rozporządzenia (art. 91 ust. 1). Kościoły i związki wyznaniowe, które spełniają tę przesłankę, podlegają nadzorowi niezależnego organu nadzorczego, który może być organem odrębnym, z zastrzeżeniem że spełnia warunki określone w rozdziale VI niniejszego rozporządzenia (art. 91 ust. 2). Prezes UODO podniósł, że w dniu 13 marca 2018 r. Konferencja Episkopatu Polski wydała "Dekret ogólny w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele katolickim". W Dekrecie prawodawca kościelny wziął po uwagę zarówno zasady ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych stosowane dotychczas w Kościele katolickim w Polsce, jak też "konieczność pogodzenia ochrony danych osobowych z korzystaniem z podstawowego prawa do wolności religijnej, zagwarantowanego również w prawie pozytywnym, także w jego wymiarze instytucjonalnym". Regulacje zawarte w Dekrecie stanowią uszczegółowienie przepisów kanonicznego prawa powszechnego oraz uaktualnienie przepisów kanonicznego prawa partykularnego. W Dekrecie przewidziano też powołanie Kościelnego Inspektora Ochrony Danych (dalej: KIOD) oraz określono jego zadania i uprawnienia (Rozdz. V Dekretu). W dniu 22 marca 2018 r. ww. Dekret został zatwierdzony przez Stolicę Apostolską (uzyskał recognitio Kongregacji ds. Biskupów), zaś 30 kwietnia 2018 r. nastąpiła jego prawna promulgacja (ogłoszenie) poprzez zamieszczenie na oficjalnej stronie internetowej Konferencji Episkopatu Polski (http://episkopat.pl/wpcontent/uploads/2018/06/DekretOgolnyKEPWSprawieOchronyOsobFizycznychWZwiazkuZPrzetwarzaniemDanychOsobowychWKoscieleKatolickim.pdf). W tym samym dniu Dekret wszedł w życie (art. 44 Dekretu). Zgodnie z art. 36 ust. 1 Dekretu, KIOD jest wybierany przez Zebranie Plenarne KEP na czteroletnią kadencję. Do zadań Kościelnego Inspektora Ochrony Danych należy m.in. monitorowanie i zapewnianie przestrzegania przepisów o ochronie danych osobowych w ramach i zgodnie z działaniem Kościoła katolickiego i jego struktur (art. 37 ust. 1 pkt 1 Dekretu), udzielanie osobie, której dane dotyczą, informacji dotyczących uprawnień przysługujących jej w związku z przetwarzaniem jej danych osobowych (pkt 3), jak też rozpatrywanie skarg dotyczących przestrzegania przepisów ustanowionych w Kościele w zakresie ochrony danych osobowych (art. 37 ust. 1 pkt 5 Dekretu). Prezes UODO, mając na względzie treść art. 52 ust. 1 RODO zgodnie z którym każdy organ nadzorczy podczas wypełniania swoich zadań i wykonywania swoich uprawnień zgodnie z niniejszym rozporządzeniem działa w sposób w pełni niezależny, stwierdził, iż nie jest uprawniony do rozpatrzenia i rozstrzygnięcia skargi skarżącego, która dotyczy przetwarzania jego danych osobowych przez Kurię Diecezjalną w [...], a zatem jej przedmiot jest objęty kompetencjami Kościelnego Inspektora Ochrony Danych. Postanowienie Prezesa UODO z dnia [...] maja 2024 r. nr [...] stało się przedmiotem skargi P. K. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący w uzasadnieniu przytoczył przebieg postępowania. Wskazał m.in., że 26.09.2023 r. zwrócił się do kanclerza Kurii Diecezjalnej w [...] z prośbą o przesłanie uwierzytelnionej kserokopii całości jego akt osobowych (teczki personalnej) oraz innych dokumentów zawierających jego dane osobowe, a będących w posiadaniu Kurii Diecezjalnej w [...]. Skarżący w dniu 27.12.2023 r. z powodu upłynięcia trzymiesięcznego terminu na rozpatrzenie jego wniosku i braku jakiejkolwiek reakcji ze strony KDD złożył dwie skargi zaadresowane do Kościelnego Inspektora Ochrony Danych (w skrócie KIOD) i Urzędu Ochrony Danych Osobowych (w skrócie UODO). Dnia 6.02.2024 r. KIOD odpowiedział na skargę i wystosował pismo zawierające pięć postanowień, które potwierdzały zasadność żądań skarżącego. KIOD zaznaczył między innymi, że "żądanie Skarżącego nie miało charakteru skomplikowanego i w związku z tym zapewne nie wymagało wstrzymywania się z odpowiedzią do końca przypisanego do czynności terminu", a także, że "Realizacja żądania Skarżącego powinna być dokonana z uwzględnieniem przepisów prawa. To oznacza, że osobie, której dane dotyczą przysługuje, co do zasady, prawo do kopii całości danych". Skarżący z powodu niezrealizowania postanowień KIOD przez KDD wysłał do KIOD listy w dniach 12.02.2024, 22.02.2024 i 04.03.2024 prosząc m. in. o dalsze procedowanie skargi i zmotywowanie KDD do respektowania postanowień KIOD oraz poinformowanie o istniejących możliwościach dochodzenia swoich praw na drodze sądowej. KIOD w swojej odpowiedzi z dnia 15.03.2024 zaznaczył, że "KIOD nie jest podmiotem władzy w Kościele, dlatego nie ma kompetencji władczego oddziaływania na administratora w celu przynaglenia do wykonywania poleceń lub nakazów KIOD". Skarżący zasadność skargi upatruje w niewypełnieniu przez Kurię Diecezjalną w[...] żadnego z pięciu postanowień KIOD z dnia [...].02.2024 r. oraz braku narzędzi do wymuszenia respektowania postanowień przez KIOD. Skarżący podniósł, że złożony do KDD wniosek o udostępnienie kopii danych osobowych wynika z artykułu 15 punkty 1 i 3 RODO. Skarżący podniósł m.in., że nadzorowanie przestrzegania przepisów RODO w Kościele katolickim w Polsce przez powołanego w tym celu KIOD jest nieudolne z powodu niewyposażenia tej instytucji w narzędzia mogące dyscyplinować partykularne instytucje Kościoła katolickiego w Polsce. Takie narzędzia w tym między innymi kary finansowe posiada jedynie UODO oraz sądy powszechne. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko zajęte w zaskarżonym postanowieniu. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935), zwanej dalej p.p.s.a. W świetle powołanych przepisów Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Sąd administracyjny nie dokonuje oceny zgodności z prawem zaskarżonego aktu według kryteriów słuszności. W ocenie Sądu, analizowana skarga P. K. nie zasługuje na uwzględnienie, albowiem wydając zaskarżone postanowienie z dnia [...] maja 2024 r., Prezes UODO prawidłowo zastosował przepis art. 61a § 1 k.p.a. w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, przyjmując, że w świetle regulacji prawnych wyrażonych w art. 91 RODO, nie posiada uprawnień do rozpatrywania sprawy dotyczącej przetwarzania danych osobowych w ramach struktur Kościoła katolickiego. Wskazania wymaga, że w dniu 25 maja 2018 r. weszła w życie ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, ponadto, od dnia 25 maja 2018 r. bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy RODO. Stosownie bowiem do przepisu art. 99 ust. 1 RODO, wchodzi ono w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej, która nastąpiła w dniu 4 maja 2016 r. (Dz.U.UE.L.2016.119.1), natomiast zastosowanie w państwach członkowskich wspomniane rozporządzenie ma od dnia 25 maja 2018 r. (art. 99 ust. 2 RODO). Zgodnie z art. 51 ust. 1 RODO, każde państwo członkowskie zapewnia, by za monitorowanie stosowania RODO odpowiadał co najmniej jeden niezależny organ publiczny w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem oraz ułatwiania swobodnego przepływu danych osobowych w Unii. W związku z powyższym, na podstawie art. 34 ust. 1 u.o.d.o. z 2018 r. – organem właściwym w sprawie ochrony danych osobowych jest w Polsce obecnie Prezes Urzędu Ochrony Danych Osobowych. Podkreślenia na gruncie niniejszej sprawy wymaga nadto, że przepisy RODO przewidują, iż jeżeli w państwie członkowskim w momencie wejścia RODO w życie kościoły i związki lub wspólnoty wyznaniowe stosują szczegółowe zasady ochrony osób fizycznych w związku z przetwarzaniem, zasady takie mogą być nadal stosowane, pod warunkiem, że zostaną dostosowane do ww. rozporządzenia (art. 91 ust. 1). Kościoły i związki wyznaniowe, które spełniają tę przesłankę, podlegają nadzorowi niezależnego organu nadzorczego, który może być organem odrębnym, z zastrzeżeniem, że spełnia warunki określone w rozdziale VI niniejszego rozporządzenia (art. 91 ust. 2). Należy również wskazać, że jak wynika z treści art. 51 ust. 4 RODO (rozdział VI Niezależne organy nadzorcze), do dnia 25 maja 2018 r. każde państwo członkowskie zawiadamia Komisję o przepisach przyjętych na mocy niniejszego rozdziału, a następnie niezwłocznie o każdej kolejnej zmianie mającej na nie wpływ. Wskazać trzeba, że Konferencja Episkopatu Polski w dniu 13 marca 2018 r. wydała "Dekret ogólny w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele katolickim" (Dekret), w którym prawodawca kościelny wziął po uwagę zarówno zasady ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych stosowane dotychczas w Kościele katolickim w Polsce, jak też "konieczność pogodzenia ochrony danych osobowych z korzystaniem z podstawowego prawa do wolności religijnej, zagwarantowanego również w prawie pozytywnym, także w jego wymiarze instytucjonalnym". Regulacje zawarte w Dekrecie stanowią uszczegółowienie przepisów kanonicznego prawa powszechnego oraz uaktualnienie przepisów kanonicznego prawa partykularnego. W Dekrecie przewidziano też powołanie Kościelnego Inspektora Ochrony Danych oraz określono jego zadania i uprawnienia (Rozdz. V Dekretu). Trafnie w zaskarżonym postanowieniu organ wskazał, że w dniu 22 marca 2018 r. ww. Dekret został zatwierdzony przez Stolicę Apostolską (uzyskał recognitio Kongregacji ds. Biskupów), zaś 30 kwietnia 2018 r. nastąpiła jego prawna promulgacja poprzez zamieszczenie na oficjalnej stronie internetowej Konferencji Episkopatu Polski. W tym samym dniu Dekret wszedł w życie (art. 44 ww. Dekretu). Prawidłowo organ podał też, że do zadań Kościelnego Inspektora Ochrony Danych należy m.in. monitorowanie i zapewnianie przestrzegania przepisów o ochronie danych osobowych w ramach i zgodnie z działaniem Kościoła katolickiego i jego struktur (art. 37 ust. 1 pkt 1 Dekretu), udzielanie osobie, której dane dotyczą informacji dotyczących uprawnień przysługujących jej w związku z przetwarzaniem jej danych osobowych (pkt 3), jak też – co trafnie podkreślił organ w związku z oczekiwaniem skarżącego wyrażonym w podaniu skierowanym do państwowego organu nadzorczego – rozpatrywanie skarg dotyczących przestrzegania przepisów ustanowionych w Kościele w zakresie ochrony danych osobowych (art. 37 ust. 1 pkt 5 Dekretu). Prawidłowo Prezes UODO stwierdził, że nie jest uprawniony do rozpatrzenia i rozstrzygnięcia skargi P. K., albowiem dotyczy ona przetwarzania danych osobowych przez Kurię Diecezjalną, które to kwestie pozostają w kompetencjach Kościelnego Inspektora Ochrony Danych. Niezadowolenie skarżącego ze sposobu działania Kurii Diecezjalnej nie wpływa na wynik niniejszej sprawy. Prezes UODO nie ma kompetencji do interweniowania w sprawach poruszonych w skardze. W nawiązaniu do argumentacji skargi wskazania wymaga, że Kościół Rzymskokatolicki jest instytucją o uregulowanej sytuacji prawnej, unormowanej m.in. w Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r., w umowie międzynarodowej, jaką jest Konkordat między Stolicą Apostolską a Rzecząpospolitą Polską podpisany w Warszawie dnia 28 lipca 1993 r. (Dz. U. z 1998 r. Nr 51, poz. 318) i w ustawach. W myśl art. 2 ustawy z dnia 17 maja 1989 r. o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej (Dz.U. z 2013 r. poz. 1169 ze zm.) Kościół rządzi się w swych sprawach własnym prawem, swobodnie wykonuje władzę duchowną i jurysdykcyjną oraz zarządza swoimi sprawami. Kwestia przetwarzania danych osobowych skarżącego przez Kurię Diecezjalną, czy Biskupa nie podlega kognicji Prezesa UODO w związku z czym prawidłowo organ zastosował art. 61a § 1 k.p.a. Zgodnie z art. 52 ust. 1 RODO, każdy organ nadzorczy podczas wypełniania swoich zadań i wykonywania swoich uprawnień zgodnie z niniejszym rozporządzeniem działa w sposób w pełni niezależny, tak jak czyni to w oparciu o powołane wyżej regulacje prawne Kościelny Inspektor Ochrony Danych. Raz jeszcze podkreślenia wymaga, że Prezes UODO nie jest właściwy do rozpatrzenia i rozstrzygnięcia skargi dotyczącej przetwarzania danych osobowych skarżącego w zakresie objętym kompetencjami wspomnianego Inspektora. Organ administracji nie miał w świetle powyższego podstaw do merytorycznego rozpatrywania stawianych przez skarżącego zarzutów w niniejszej sprawie, w tym prowadzenia postępowania wyjaśniającego (v. wyrok WSA w Warszawie z dnia 30 stycznia 2020 r. sygn. akt II SA/Wa 1773/19, wyrok NSA z dnia 14 lipca 2022 r. sygn. akt III OSK 2776/21, wyrok NSA z dnia 13 marca 2025 r. sygn. akt III OSK 6698/21, wyrok WSA w Warszawie z dnia 23 marca 2023 r. sygn. akt II SA/Wa 190/23, orzeczenia.nsa.gov.pl). Warto zauważyć, że Dekret regulujący kwestie przetwarzania danych osobowych w Kościele katolickim wszedł w życie w dniu 30 kwietnia 2018 r., a zatem jeszcze przed okresem obowiązywania w naszym kraju regulacji wprowadzonych przez RODO, które umożliwiają kościołom i związkom lub wspólnotom wyznaniowym stosowanie szczegółowych zasad ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. Proces stosowania ww. zasad objęty jest nadzorem niezależnego organu nadzorczego, który może być organem odrębnym, z zastrzeżeniem, że spełnia warunki określone w rozdziale VI RODO. W Polsce funkcję takiego organu nadzoru pełni Kościelny Inspektor Ochrony Danych. W świetle powyższego, zasadnie organ podmówił wszczęcia postępowania w sprawie skarżącego, ponieważ nie był właściwy rzeczowo do rozstrzygania w przedmiocie złożonej przez skarżącego do organu skargi dotyczącej nieprawidłowości w procesie przetwarzania danych osobowych przez Kurię Diecezjalną we [...]. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 w zw. z art. 119 pkt 3 i art. 120 P.p.s.a. orzekł, jak w wyroku. ----------------------- 6