Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Pocztarek Sędziowie sędzia NSA Monika Nowicka sędzia del. NSA Roman Ciąglewicz (spr.) Protokolant asystent sędziego Andrzej Bieńkowski po rozpoznaniu w dniu 27 marca 2013 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej M.M. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 stycznia 2012 r. sygn. akt II SA/Wa 1671/11 w sprawie ze skargi M.M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 17 maja 2011 r. nr DOLiS/DEC-377/11/23002/11,23008/11 w przedmiocie ochrony danych osobowych uchyla zaskarżony wyrok i przekazuje sprawę Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania.

Wyrokiem z dnia 20 stycznia 2012 r., sygn. akt II SA/Wa 1671/11, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę M.M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych, z dnia 17 maja 2011 r., nr [...], w przedmiocie ochrony danych osobowych.

Wyrok wydany został w następujących okolicznościach sprawy.

Wnioskiem z dnia 21 lipca 2010 r. (data wpływu 23 lipca 2010 r.), skierowanym do Generalnego Inspektora Ochrony Danych Osobowych, M.M. zwrócił się o podjęcie działań przewidzianych ustawą o ochronie danych osobowych, zarzucając Proboszczowi Parafii Rzymsko-Katolickiej p.w. św. [...]w [...], przetwarzanie jego danych osobowych, pomimo złożenia oświadczenia o wystąpieniu z Kościoła Katolickiego. O tym fakcie nie została zamieszczona stosowna adnotacja w Księdze chrztu. Wniósł o wydanie decyzji administracyjnej zobowiązującej J.P., administratora jego danych osobowych, w rozumieniu art. 7 ust. 4 ustawy o ochronie danych osobowych, do sprostowania jego nieaktualnych danych osobowych na podstawie art. 32 ust. 1 pkt 6 ustawy, przechowywanych w kościele przy [...]w [...].

Generalny Inspektor Ochrony Danych Osobowych, decyzją z dnia 20 stycznia 2011 r., nr [...], wydaną na podstawie art. 105 § 1 K.p.a. oraz art. 22, art. 43 ust. 2 ustawy o ochronie danych osobowych, umorzył postępowanie, podnosząc że zgodnie z art. 43 ust. 2 ustawy, w stosunku do zbiorów, o których mowa w ust. 1 pkt 1 i 3 oraz zbiorów, o których mowa w ust. 1 pkt 1a, przetwarzanych przez Agencję Bezpieczeństwa Wewnętrznego, Agencję Wywiadu, Służbę Kontrwywiadu Wojskowego, Służbę Wywiadu Wojskowego oraz Centralne Biuro Antykorupcyjne, Generalnemu Inspektorowi nie przysługują uprawnienia określone w art. 12 pkt 2, art. 14 pkt 1 i 3-5 oraz art. 15-18. Art. 43 ust. 1 pkt 3 stanowi zaś, iż z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego. Generalny Inspektor ma zatem w stosunku do powyższych instytucji prawo kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych, nie ma jednak prawa wydawania decyzji administracyjnych ani rozpatrywania skarg w sprawach wykonania przez nie przepisów o ochronie danych osobowych.

M.M. złożył wniosek o ponowne rozpatrzenie sprawy. Zarzucił naruszenie przepisów prawa materialnego, tj. art. 3 ust. 2 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych wniósł o wydanie decyzji administracyjnej na podstawie art. 12 pkt 2.

Decyzją z dnia 17 maja 2011 r., nr [...], Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy zaskarżoną decyzję. Wskazał, iż w toku postępowania do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęły wyjaśnienia proboszcza parafii, który poinformował, iż udzielił informacji M.M., że zgodnie z instrukcjami Papieskiej Rady ds. Tekstów Prawnych z dnia 13 marca 2006 r. oraz zasadami postępowania w sprawach formalnego aktu wystąpienia z Kościoła Konferencji Episkopatu Polski z dnia 27 września 2008 r. wystąpienie z Kościoła Katolickiego jest możliwe i dokonuje się zgodnie z określonymi przepisami. Organ ponownie wskazał na przepis art. 43 ust. 2 ustawy, który stanowi, że w odniesieniu do zbiorów, o których mowa w ust. 1 pkt 1 i 3 oraz zbiorów, o których mowa w ust. 1 pkt 1a, przetwarzanych przez Agencję Bezpieczeństwa Wewnętrznego, Agencję Wywiadu, Służbę Kontrwywiadu Wojskowego, Służbę Wywiadu Wojskowego oraz Centralne Biuro Antykorupcyjne, Generalnemu Inspektorowi nie przysługują uprawnienia określone w art. 12 pkt 2, art. 14 pkt 1 i 3-5 oraz art. 15-18. Na mocy zaś art. 43 ust. 1 pkt 3, z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego. Generalny Inspektor ma zatem w stosunku do powyższych instytucji prawo kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych, nie ma jednak prawa wydawania decyzji administracyjnych, ani rozpatrywania skarg w sprawach wykonania przez nie przepisów o ochronie danych osobowych. Według Generalnego Inspektora, Kościół Rzymsko-Katolicki należy do instytucji o uregulowanej sytuacji prawnej. Jego funkcjonowanie zostało unormowane w Konstytucji RP, w umowie międzynarodowej jaką jest Konkordat oraz w ustawach, nad którymi umowa międzynarodowa ma pierwszeństwo. Organ przytoczył przepisy art. 25 ust. 1-4 Konstytucji RP. Powołał art. 2 ustawy z dnia 17 maja 1989 r. o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej (Dz. U. z 1989 r. Nr 29, poz. 154 ze zm.), w myśl którego, Kościół rządzi się w swych sprawach własnym prawem, swobodnie wykonuje władzę duchowną i jurysdykcyjną oraz zarządza swoimi sprawami. Wskazał, iż ustawa ta określa zasady stosunku Państwa do Kościoła, w tym jego sytuację prawną i majątkową (art. 3 ust. 1). W sprawach odnoszących się do Kościoła, nieuregulowanych tą ustawą, stosuje się powszechnie obowiązujące przepisy prawa, o ile nie są sprzeczne z wynikającymi z niej zasadami (art. 3 ust. 2). W ocenie Inspektora, naliza powołanych powyżej przepisów prawa wskazuje, iż Kościół Katolicki oraz inne związki wyznaniowe o uregulowanej sytuacji prawnej w zakresie swojej działalności są niezależne i przy wykonywaniu władzy duchowej posługują się swoim wewnętrznym prawem. Zdaniem organu, w związku z treścią przepisu art. 43 ust. 2 ustawy o ochronie danych osobowych, w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych nie może prowadzić postępowania wyjaśniającego, ukierunkowanego na wydanie merytorycznej decyzji administracyjnej ani przeprowadzać czynności kontrolnych, z wyłączeniem prawa żądania złożenia pisemnych lub ustnych wyjaśnień oraz wzywania i przesłuchiwania osób w zakresie niezbędnym do ustalenia stanu faktycznego.

W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie M.M. zarzucił naruszenie prawa materialnego, tj. art. 3 ust. 2 tiret pierwsze Dyrektywy Europejskiej 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. W uzasadnieniu skarżący zarzucił sprzeczność z ustawodawstwem europejskim, a w szczególności z Dyrektywą 95/46/WE, przepisu art. 43 ust. 2 ustawy, w treści którego, w ocenie skarżącego, błędnie wyłączona została kognicja Generalnego Inspektora do wydawania decyzji merytorycznych w sprawach przetwarzania danych dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego. Wniósł o uchylenie zaskarżonej decyzji.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi oraz podtrzymał dotychczasową argumentację faktyczną i prawną.

Wojewódzki Sąd Administracyjny w Warszawie przytoczył treść art. 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zauważając, że przepis ten statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. W celu wykonania zadań, o których mowa w art. 12 pkt 1 i 2, Generalny Inspektor ma prawo m.in. żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać osoby w zakresie niezbędnym do ustalenia stanu faktycznego (art. 14 pkt 2 powołanej ustawy). Sąd przypomniał stanowiska stron. Według organu, bezprzedmiotowość wynika z braku możliwości jakichkolwiek działań zmierzających do merytorycznego rozpatrzenia wniosku strony, z uwagi na ustawowe ograniczenie uprawnień nadzorczych w stosunku do zbiorów dotyczących osób należących do Kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego Kościoła lub związku wyznaniowego (art. 43 ust. 2 ustawy). Skarżący zarzucił w skardze niezgodne z prawem przetwarzanie jego danych osobowych przez proboszcza Parafii Rzymsko-Katolickiej p.w. św. [...]w [...] co zdaniem skarżącego obligowało Generalnego Inspektora Ochrony Danych Osobowych do przeprowadzenia postępowania wyjaśniającego w przedmiotowej sprawie na podstawie i w granicach kompetencji przewidzianych ustawą o ochronie danych osobowych - art. 14 ust. 2 ustawy. Zdaniem Sądu, organ ochrony danych osobowych wykonał zadania, o jakim mowa w przytoczonym przepisie i ustalił stan faktyczny sprawy. Sąd pierwszej instancji wskazał, iż do wniosku z dnia 23 lipca 2010 r., skierowanego do Generalnego Inspektora Ochrony Danych Osobowych, skarżący nie przedstawił żadnego dokumentu, z którego wynikałoby, że wystąpił z kościoła katolickiego. Podkreślenia wymaga, w ocenie Sądu, iż zaskarżona decyzja została wydana ma mocy art. 105 § 1 K.p.a., który jako przesłankę obligatoryjnego umorzenia postępowania wskazuje na bezprzedmiotowość postępowania. Przepis ten zezwala organom administracji na wydanie decyzji o umorzeniu postępowania w sytuacji, gdy stało się ono bezprzedmiotowe. Ma on zastosowanie tylko w tych przypadkach, gdy w świetle prawa materialnego i ustalonego stanu faktycznego brak jest sprawy administracyjnej mogącej być przedmiotem postępowania. Sprawa administracyjna jest więc konsekwencją istnienia stosunku administracyjnoprawnego, czyli takiej sytuacji prawnej, w której strona ma prawo żądać od organu administracyjnego skonkretyzowania jej indywidualnych uprawnień wynikających z prawa materialnego. Sąd stwierdził, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 K.p.a., oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Zauważył, że od bezprzedmiotowości postępowania należy odróżnić bezzasadność żądania strony. Ta ostatnia wiąże się z niespełnieniem przez stronę określonych prawem przesłanek koniecznych do uzyskania uprawnienia w trybie decyzji administracyjnej.

Sąd odnotował, że w niniejszej sprawie żądanie strony opiera się na przepisie prawa materialnego. Według zasady wyrażonej w art. 1 ust. 1 ustawy o ochronie danych osobowych, każdy ma prawo do ochrony dotyczących go danych osobowych. Zatem strona ma prawo oczekiwać od organu ochrony danych osobowych podjęcia ustawowych działań. Przedmiot postępowania administracyjnego stanowiło przetwarzanie danych osobowych skarżącego. Według Sądu pierwszej instancji, jeżeli podmiot uprawniony ma interes prawny żądania rozstrzygnięcia sprawy, to nie można mówić o bezprzedmiotowości postępowania. Nie stanowi o bezprzedmiotowości postępowania fakt, iż określone żądanie nie może być uwzględnione. Taki wniosek, jako nieuzasadniony merytorycznie, podlega negatywnemu rozpoznaniu poprzez odmowę uwzględnienia wniosku. Kontynuując Sąd wywodził, że w niniejszej sprawie nie można przyjąć, aby zostały spełnione przesłanki wskazane w art. 105 K.p.a. Postępowanie zostało wszczęte na żądanie osoby mającej przymiot strony w rozumieniu art. 28 K.p.a., a ponadto rozstrzygnięcie sprawy co do istoty, przez wydanie decyzji administracyjnej, miało oparcie w materialnych przepisach prawa administracyjnego i leżało we właściwości organu. W tym przypadku bezprzedmiotowość postępowania, ustalona przez Generalnego Inspektora w toku postępowania wyjaśniającego, oznacza jedynie brak przesłanek do uwzględnienia wniosku skarżącego. Zdaniem Sądu, mimo, iż zaskarżone rozstrzygnięcie błędnie zostało oparte na przepisie art. 105 K.p.a., to z uwagi na brak podstaw do pozytywnego rozpatrzenia wniosku skarżącego, należało zaskarżoną decyzję uznać za wydaną z naruszeniem prawa, które to naruszenie nie miało jednak istotnego wpływu na wynik sprawy. Zgodnie zaś z art. 145 § 1 pkt 1 lit. c P.p.s.a., sąd administracyjny uchyla decyzję z powodu uchybienia przepisom postępowania innym, aniżeli dającym podstawy do wznowienia, ale tylko wówczas, gdy to naruszenie mogło mieć istotny wpływ na wynik sprawy.

Skargę kasacyjną złożył M.M.. Zaskarżył wyrok w całości.

Powołanemu wyrokowi, na podstawie art. 174 pkt 1 i 2 P.p.s.a., zarzucił:

1) Naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 7 i 77 K.p.a. poprzez nieuchylenie zaskarżonej decyzji, pomimo iż w toku postępowania administracyjnego organ nie ustalił czy i jakie były podstawy prawne wystąpienia z Kościoła katolickiego,

2) Naruszenie przepisów prawa materialnego, tj. art. 43 ust. 2 ustawy o ochronie danych osobowych w związku z art. 2 pkt 2a ustawy z dnia 17 maja 1989 r. o gwarancjach wolności sumienia i wyznania (tekst jednolity Dz. U. z 2005 r. Nr 231, poz. 1965) poprzez błędne uznanie, iż art. 43 ust. 2 stosuje się do danych osobowych skarżącego.

Wniósł o uchylenie wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania.

Ponadto wniósł o zadanie pytania prawnego do Trybunału Konstytucyjnego o treści następującej:

Czy przepis art. 43 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) w zakresie w jakim wyłącza uprawnienia Generalnego Inspektora Ochrony Danych Osobowych, określone w art. 12 pkt, art. 14 pkt 1 i 3–5 oraz art. 15–18 tej ustawy w stosunku do zbiorów danych osobowych dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub innego związku wyznaniowego jest zgodny z art. 47 Konstytucji Rzeczypospolitej Polskiej.

Odpowiedź na skargę kasacyjną złożył Generalny Inspektor Ochrony Danych Osobowych. Wniósł o oddalenie skargi kasacyjnej. Zarzuty podniesione w skardze kasacyjnej uznał za nieuzasadnione. Podtrzymał tezę o bezprzedmiotowości postępowania. Zwrócił uwagę, że art. 17 TUE pozostawia krajom członkowskim kształtowanie statusu kościołów i stowarzyszeń lub wspólnot religijnych.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna ma usprawiedliwione podstawy.

Przepis art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r. Poz. 270) stanowi, że Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak pod rozwagę nieważność postępowania. W niniejszej sprawie nie zachodzą okoliczności skutkujące nieważność postępowania, określone w art. 183 § 2 pkt 1 – 6 P.p.s.a., należało zatem ograniczyć się do zarzutów skargi kasacyjnej.

W sytuacji, gdy w skardze kasacyjnej podniesiono zarzuty materialne i proceduralne, w pierwszej kolejności należy odnieść się do procesowej podstawy kasacji (por. wyrok NSA z dnia 9 marca 2005 r., sygn. akt FSK 618/04, ONSA i wsa 2005/6/120). Zarzut naruszenia art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 7 i art. 77 § 1 K.p.a. należy uwzględnić, gdyż w postępowaniu administracyjnym nie ustalono okoliczności istotnych z punktu widzenia prawa materialnego. Przynależność do Kościoła katolickiego osoby domagającej się od Głównego Inspektora Ochrony Danych Osobowych zapewnienia ochrony jej danych osobowych, przetwarzanych na potrzeby tego kościoła, jest okolicznością istotną z punktu widzenia przesłanek materialnych zawartych w art. 32 ust. 1 pkt 6 oraz art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Koncepcja, według której Generalnemu Inspektorowi nie przysługują uprawnienia określone w art. 12 pkt 2 także wobec tej części zbioru danych administrowanych przez kościół i przetwarzanych na potrzeby tego kościoła, które to dane dotyczą osób nienależących do tego kościoła, nie odpowiada treści art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych, ustalonej w drodze wykładni językowej, systemowej i celowościowej.

W myśl art. 43 ust. 2 ustawy, Generalnemu Inspektorowi nie przysługują uprawnienia określone w art. 12 pkt 2, w odniesieniu do zbiorów, o których mowa w ust. 1 pkt 3. W art. 43 ust. 1 pkt 3 jest mowa o danych dotyczących osób należących do kościoła. Tak zdefiniowany zbiór nie zawiera danych dotyczących osób nienależących do kościoła. Dane osób nienależących do kościoła tworzą zbiór odrębny, nawet jeśli dane są przetwarzane na potrzeby kościoła i jeśli są zgromadzone na materialnych nośnikach danych zawierających zarówno dane osób należących, jak i osób nienależących do kościoła. Okolicznością przesądzającą o zakwalifikowaniu danych do jednego ze zbiorów jest rzeczywista przynależność lub brak przynależności osoby, o której dane chodzi, do kościoła (por. Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz "Ochrona danych osobowych. Komentarz", LEX 2011, teza 6 do art. 43). Ustalenie tej przynależności nie może być oderwane od chwili rozstrzygania sprawy w przedmiocie ochrony danych osobowych. GIODO ma bowiem, tak jak każdy organ administracji publicznej załatwiający sprawę w formie przewidzianej w art. 104 § 1 K.p.a. w związku z art. 22 ustawy o ochronie danych osobowych, obowiązek wydania decyzji w oparciu o stan faktyczny i prawny z daty orzekania. Przepisy art. 32 ust. 1 pkt 6 oraz art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych nie wprowadzają odmiennej regulacji w tym zakresie.

Takie rozumienie zakresu kompetencji GIODO, a więc ocena o braku uprawnień władczych tylko w odniesieniu do danych osób należących do kościoła, wynika również z innych norm ustawy o ochronie danych osobowych, regulujących przetwarzanie danych tzw. wrażliwych. Przepis art. 27 ust. 1 ustawy ustanawia zakaz przetwarzania takich danych, m. in. danych ujawniających przekonania religijne. Nie jest to zakaz absolutny. Jednak zakres wyjątku od tego zakazu, wynikający z art. 27 ust. 2 pkt 4, jest ograniczony do przetwarzania danych dotyczących wyłącznie członków kościoła. Zwolnienie od zakazu obwarowane jest jeszcze niezbędnością przetwarzania danych do wykonania statutowych zadań kościoła oraz zapewnieniem pełnych gwarancji ochrony przetwarzania danych. Z takiej treści unormowania przetwarzania danych sensytywnych wynika, że przetwarzanie danych ujawniających przekonania religijne osób niebędących członkami kościoła, nawet jeśli służy do wykonania statutowych zadań kościoła, jest zabronione.

Przepisom materialnym odpowiadają pełne bądź ograniczone kompetencje GIODO, przy czym zakres uprawnień, w zależności od osób, których dane dotyczą, został określony w art. 43 ust. 2. Wobec przetwarzania danych wrażliwych z art. 27 ust. 1 ustawy, zgodnie z art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3, GIODO zachowuje pełne kompetencje, w tym także wskazane w art. 12 pkt 2. Wobec danych dotyczących wyłącznie członków kościoła, przetwarzanych w warunkach określonych w art. 27 ust. 2 pkt 4, GIODO nie przysługują uprawnienia wymienione w art. 43 ust. 2 ustawy.

Przedstawiony pogląd znajduje oparcie w przepisach Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE.L.1995.281.31 ze zm.). Ustawa o ochronie danych dokonała w zakresie swojej regulacji wdrożenia tej Dyrektywy. Zdaniem składu orzekającego w niniejszej sprawie, nie ma podstaw do przyjęcia, że do przetwarzania danych osobowych przez kościoły stosuje się wyłączenie, o którym mowa w art. 3 ust. 2 tiret pierwsze Dyrektywy. Te rodzaje działalności, o których mowa w tym przepisie tytułem przykładu, stanowią w każdym razie działalność państwa lub organów państwowych. Działalność religijna nie może być uznana za taką samą jak działalność wymieniona w tym przepisie, a zatem działalność ta nie jest objęta tym odstępstwem (patrz: wyrok Trybunału Sprawiedliwości z dnia 6 listopada 2003 r., sygn. akt C-101/01). Z uwagi na implementację Dyrektywy, unormowania tego aktu unijnego stanowią nie tyle podstawę prawną orzekania w niniejszej sprawie, ile wzorzec interpretacyjny dla odpowiednich regulacji ustawy o ochronie danych osobowych (por. Andrzej Wróbel [w:] "Wprowadzenie do prawa Wspólnot Europejskich (Unii Europejskiej)", pod red. A. Wróbla, Zakamycze 2004, s. 142). W związku z tym zauważyć należy, że przepisy art. 27 ust. 1 i 2 ustawy o ochronie danych osobowych stanowią normy dokonujące wdrożenia art. 8 ust. 1 i 2 Dyrektywy. W myśl art. 8 ust. 1 Dyrektywy, Państwa Członkowskie zabraniają przetwarzania danych osobowych ujawniających przekonania religijne. Zgodnie zaś z art. 8 ust. 2 lit. d Dyrektywy, ust. 1 nie ma zastosowania w przypadku, gdy przetwarzanie danych jest dokonywane w ramach legalnej działalności wspartej odpowiednimi gwarancjami przez instytucję nienastawioną na osiąganie zysku, której cele mają charakter religijny, pod warunkiem, że przetwarzanie danych odnosi się wyłącznie do członków tej instytucji oraz, że dane nie zostaną ujawnione osobie trzeciej bez zgody osób, których dane dotyczą. Z przepisu tego wynika kilka wniosków. Po pierwsze, przetwarzanie danych przez instytucje religijne nie jest wyłączone spod zakresu stosowania Dyrektywy. Po drugie, przetwarzanie danych ujawniających przekonania religijne, przez instytucję nienastawioną na osiąganie zysku, której cele mają charakter religijny, odnoszące się wyłącznie do członków tej instytucji, nie jest zabronione. Po trzecie, takie przetwarzanie nieodnoszące się do członków tej instytucji nie jest objęte wyłączeniem, o którym mowa w art. 8 ust. 2 lit. d Dyrektywy. Po czwarte, w niektórych sytuacjach nawet przetwarzanie odnoszące się wyłącznie do członków instytucji obwarowane jest zastrzeżeniem, że dane nie zostaną ujawnione osobie trzeciej bez zgody osób, których dane dotyczą.

W takim kontekście materialnym powinien być odczytany cel Dyrektywy sformułowany w art. 1 ust. 1, tj. zobowiązanie się Państw Członkowskich do ochrony podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych. Z art. 1 ust. 1 Dyrektywy w związku z art. 8 ust. 2 lit. d nie wynika, aby Państwa Członkowskie mogły, bez naruszenia podstawowego celu Dyrektywy, zrezygnować z możliwości władczej ingerencji w przypadku przetwarzania przez kościoły danych osobowych osób niebędących członkami kościołów, bez zgody tych osób.

Na marginesie można dodać, że kwestia implementowania do polskiego porządku prawnego ostatniego zastrzeżenia art. 8 ust. 2 lit. d Dyrektywy i oceny pod tym względem art. 27 ust. 2 pkt 4 ustawy o ochronie danych osobowych, poza kontekstem celowościowym, nie ma znaczenia dla rozstrzygnięcia niniejszej sprawy na obecnym etapie sporu, zwłaszcza wobec twierdzeń skarżącego o jego nieprzynależności do Kościoła katolickiego.

Wracając do wynikającej z Dyrektywy kompetencji Państwa Członkowskiego w zakresie przetwarzania danych osobowych osób niebędacych członkami kościołów, skonstatować można, że regulacja art. 1 ust. 1 w związku z art. 27 ust. 2 pkt 4 ustawy o ochronie danych osobowych także pozwala na takie odczytanie art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 tej ustawy, według którego, w odniesieniu do tej części zbiorów prowadzonych przez Kościół katolicki, która nie dotyczy osób należących do tego Kościoła, Generalnemu Inspektorowi przysługują uprawnienia określone w art. 12 pkt 2 ustawy o ochronie danych osobowych.

Stanowisko to znajduje umocowanie również w przepisach art. 47 oraz art. 51 ust. 1 Konstytucji RP. Powszechne prawo do ochrony danych osobowych uznawane jest za emanację gwarantowanego w art. 47 Konstytucji RP prawa do ochrony prawnej życia prywatnego. Gwarancja prawa do prywatności jest elementem demokratycznego państwa prawnego. Autonomia informacyjna jednostki, gwarantowana w art. 51 Konstytucji RP oznacza zaś m.in. prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo sprawowania kontroli nad takimi informacjami, znajdującymi się w posiadaniu innych podmiotów (patrz: Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz "Ochrona danych osobowych. Komentarz", LEX 2011, teza 1 do art. 1 oraz powołane tamże wyroki TK: z dnia 26 czerwca 1997 r., sygn. akt K 21/96, OTK 1997/2/23 i z dnia 19 lutego 2002 r., sygn. akt U 3/01, OTK-A 2002/1/3). Skoro prawo do ochrony danych osobowych zostało zagwarantowane w normach konstytucyjnych, to ewentualne ograniczenie tego prawa, także w sferze obowiązków państwa w tym zakresie, może być uzasadnione jedynie względami wyjątkowymi, odnoszącymi się do praw i wolności obywatelskich, wymienionymi w art. 31 ust. 3 Konstytucji RP (por. Bogusław Banaszak "Konstytucja Rzeczpospolitej Polskiej. Komentarz", C. H. Beck 2012, s. 297).

Gwarancji takiej nie zapewnia ewentualna możliwość ochrony na podstawie przepisów Kodeksu cywilnego o ochronie dóbr osobistych (art. 23, art. 24 i art. 448 K.c.). Należy bowiem zwrócić uwagę, że ochrona cywilnoprawna, jako konkurencyjny wobec administracyjnego tryb wchodzi w grę, gdy dane osobowe nie są przetwarzane, albo są przetwarzane poza kategoriami zbiorów wymienionych w art. 2 ust. 2 ustawy o ochronie danych osobowych (patrz: Andrzej Drozd "Ustawa o ochronie danych osobowych. Komentarz", LexisNexis 2004, s. 12). W odniesieniu do danych skarżącego zawartych w Księdze chrztów, nie budzi wątpliwości, że są one przetwarzane, w rozumieniu art. 7 pkt 2 ustawy o ochronie danych osobowych (przechowywanie). Księga ta stanowi zaś zbiór ewidencyjny, o którym mowa w art. 2 ust. 2 pkt 1 tej ustawy. Nadto, konstytucyjna gwarancja prawa do prywatności i do ochrony danych osobowych wskazuje na trafność poglądu, według którego, ciężar ochrony jednostki i jej prywatności przesuwa się coraz bardziej w kierunku instytucjonalnych, publicznoprawnych instytucji i środków (patrz: Marek Safian "Prawo do prywatności i ochrona danych osobowych w społeczeństwie informatycznym", Państwo i Prawo 2002/6/5).

Przedstawione wyżej rozumienie art. 43 ust. 2 ustawy o ochronie danych osobowych nie pozostaje w sprzeczności z zasadą ustrojową kształtowania stosunków między państwem a kościołami na zasadach poszanowania ich autonomii oraz wzajemnej niezależności każdego w swoim zakresie (art. 25 ust. 3 Konstytucji RP). Autonomia warunkowana jest rozdzielnością, odmiennością celów realizowanych przez państwo i kościoły. Podmioty te, jako mające inny charakter, powinny móc działać niezależnie od siebie. Organy władzy publicznej realizują zadania publiczne niezależnie od jakichkolwiek instytucji wyznaniowych. W przypadku kościołów chodzi o wykonywanie funkcji religijnych, samorządność w sprawach związanych z kultem i określanie wewnętrznej organizacji. Autonomia nie może być jednak rozumiana jako pozbawienie państwa jego immamentnej cechy, jaką jest suwerenność (patrz: Bogusław Banaszak, op. cit. s. 187 oraz powołany tamże P. Borecki "Geneza modelu stosunków Państwo – Kościół w Konstytucji RP", Warszawa 2008, s. 387). Pamiętając o wynikającej z art. 8 ust. 1 Konstytucji RP nadrzędnej pozycji Konstytucji w systemie źródeł prawa w Rzeczypospolitej Polskiej, zwrócić trzeba uwagę na przepisy regulujące stosunki państwa i Kościoła Katolickiego zawarte w innych aktach normatywnych. Wolność sumienia i wyznania jest przedmiotem unormowań Działu I ustawy z dnia 17 maja 1989 r. o gwarancjach wolności sumienia i wyznania (Dz. U. z 2005 r. Nr 231, poz. 1965 ze zm.). Uprawnienia obywateli korzystających z wolności sumienia i wyznania są wymienione w szczególności w art. 2 pkt 1-12 tej ustawy. Konieczne jest dostrzeżenie, że w myśl art. 2 pkt 1 obywatele mogą tworzyć wspólnoty religijne, zwane dalej kościołami i innymi związkami wyznaniowymi, m.in. posiadające własny ustrój. Jednocześnie zaś przepis art. 2 pkt 2a ustawy o gwarancjach wolności sumienia i wyznania stanowi, że obywatele mogą należeć lub nie należeć do kościołów i innych związków wyznaniowych. Stosunek państwa do kościołów określają przepisy Działu II ustawy o gwarancjach wolności sumienia i wyznania. W tym zakresie odnotować można, że ustawa nie definiuje jeszcze pozycji kościołów jako autonomicznej, a pozycja kościołów określana jest poprzez "działanie w konstytucyjnych ramach ustrojowych Rzeczypospolitej Polskiej" (art. 8). Jako gwarancja wolności sumienia i wyznania wskazywane jest oddzielenie kościołów i innych związków wyznaniowych od państwa (art. 9 ust. 2 pkt 1). W myśl art. 10 ust. 1, Rzeczypospolita Polska jest państwem świeckim, neutralnym w sprawach religii i przekonań. Zgodnie zaś z art. 11 ust. 1, kościoły i inne związki wyznaniowe są niezależne od państwa przy wykonywaniu swoich funkcji religijnych.

Przedmiotem sporu jest przetwarzanie danych osobowych na potrzeby Kościoła Katolickiego. Przywołać zatem należy nadto przepisy ustawy z dnia 17 maja 1989 r. o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej (Dz. U. Nr 29, poz. 154 ze zm.). W ramach niniejszych uwag, godne odnotowania są przepisy art. 2 i art. 3 tej ustawy. Według bowiem art. 3 ust. 1, ustawa określa zasady stosunku Państwa do Kościoła, w tym jego sytuacje prawną i majątkową. Zgodnie natomiast z art. 3 ust. 2, w sprawach odnoszących się do Kościoła, nieuregulowanych niniejszą ustawą, stosuje się powszechnie obowiązujące przepisy prawa, o ile nie są sprzeczne z wynikającymi z niej zasadami. Odrębność Kościoła katolickiego wobec Państwa została określona innymi sformułowaniami, niż w ustawie o gwarancjach wolności sumienia i wyznania, która odnosi się do wszelkich kościołów. Przepis art. 2 ustawy o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej stanowi bowiem, że Kościół rządzi się w swych sprawach własnym prawem, swobodnie wykonuje władzę duchowną i jurysdykcyjną oraz zarządza swoimi sprawami.

Rozstrzygnięcie sprawy nie może abstrahować od postanowień, ratyfikowanej ustawą z dnia 8 stycznia 1998 r. o ratyfikacji Konkordatu między Stolicą Apostolską a Rzecząpospolitą Polską (Dz. U. Nr 12, poz. 42), umowy międzynarodowej – Konkordatu między Stolicą Apostolską i Rzecząpospolitą Polską, podpisanego 28 lipca 1993 r. (Dz. U. z 1998 r. Nr 51, poz. 318). W przepisie art. 1 Rzeczpospolita Polska i Stolica Apostolska potwierdzają, że Państwo i Kościół Katolicki są – każde w swojej dziedzinie – niezależne i autonomiczne. Przepisem art. 5, z powołaniem się na przestrzeganie prawa do wolności religijnej, Państwo zapewnia Kościołowi Katolickiemu, bez względu na obrządek, swobodne i publiczne pełnienie jego misji, łącznie z wykonywaniem jurysdykcji oraz zarządzaniem i administrowaniem jego sprawami na podstawie prawa kanonicznego.

Przywoływane przepisy ustawy z dnia 17 maja 1989 r. o gwarancjach wolności sumienia i wyznania, ustawy z dnia 17 maja 1989 r. o stosunku Państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej oraz Konkordatu między Stolicą Apostolską i Rzecząpospolitą Polską nie pozwalają na przyjęcie, że jurysdykcja i zarządzanie przez Kościół Katolicki na podstawie prawa wewnętrznego (prawa kanonicznego) obejmują inne sprawy, niż sprawy wewnętrzne tego Kościoła. Unormowania te są zgodne nie tylko z art. 25 ust. 1-4 i art. 53 ust. 1-2 Konstytucji RP. Odpowiadają także przepisowi art. 9 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności z dnia 4 listopada 1950 r. (Dz. U. z 1993 r. Nr 61, poz. 284 ze zm.). Przepis art. 9 Konwencji przyznaje każdemu prawo do wolności myśli, sumienia i wyznania; prawo to obejmuje wolność zmiany wyznania lub przekonań oraz wolność uzewnętrzniania indywidualnie lub wspólnie z innymi, publicznie lub prywatnie, swego wyznania lub przekonań przez uprawianie kultu, nauczanie praktykowanie i czynności rytualne. Na gruncie tego unormowania wypracowano pojęcie autonomii grupy wyznaniowej, która polega na samodzielności w organizowaniu swojego funkcjonowania i form integracji wiernych. Władze publiczne nie mogą wkraczać w tę sferę, dopóki nie stanie się to konieczne w demokratycznym społeczeństwie. Możliwe są zatem interwencje władz publicznych, w wewnętrzne sprawy grup wyznaniowych, nawet w takim przejawie autonomii, który polega na swobodzie grupy wyznaniowej do decydowania o swoim składzie, chociażby w przypadkach uznawania istnienia grup rozłamowych, czy schizmatycznych, w przypadku problemu połączalności procedur organów kościelnych z wymaganiami "rzetelnego procesu", wynikającymi z art. 6 Konwencji (patrz: Leszek Garlicki [w:] "Konwencja o Ochronie Praw Człowieka i Podstawowych Wolności. Komentarz do art. 1-18. Tom I", C.H. Beck 2010, s. 581-583). O ile zagadnienie ingerencji w wewnętrzne sprawy kościołów jest na gruncie Konwencji przepisu art. 9 Konwencji dopuszczalne jedynie wyjątkowo, o tyle przysługiwanie władzom publicznym uprawnień do oceny działań grup wyznaniowych, które to działania wykraczają poza sprawy wewnętrzne, zdaje się nie budzić żadnych wątpliwości. Przepis art. 9 Konwencji definiuje przecież wolność zmiany wyznania i przekonań jako jeden z przejawów wolności wyznania. Zmiana wyznania lub przekonań nie jest więc jedynie wewnętrzną sprawą grupy wyznaniowej do której zmieniający wyznanie lub przekonania należał.

Nawet zatem uwzględniając autonomię kościoła, państwo ma prawo do oceny, czy zachowana jest konstytucyjna norma art. 47, art. 51 ust. 1 oraz art. 53 ust. 1 Konstytucji RP. Odnosząc te ostatnie uwagi do zagadnienia przetwarzania danych osobowych osób nienależących do kościoła, przyjąć należy stanowisko, według którego ustalenie przez GIODO przynależności osoby, o której dane chodzi, do kościoła, nie narusza autonomii Kościoła Katolickiego.

Od razu podkreślić trzeba, że ustalenie tej przynależności, w wymiarze dowodowym i w kontekście norm regulujących tę przynależność, jest obowiązkiem organu w postępowaniu w przedmiocie ochrony danych osobowych. Niezależnie od powoływanych w powyższych uwagach przepisów Konstytucji RP, Dyrektywy, ustawy o ochronie danych osobowych, podstawę rozstrzygania stanowić powinny także przepisy ustawy o gwarancjach wolności sumienia i wyznania, ustawy o stosunku państwa do Kościoła Katolickiego w Rzeczypospolitej Polskiej oraz Konkordatu między Stolicą Apostolską i Rzecząpospolita Polską. W niniejszym postępowaniu kasacyjnym trzeba natomiast zauważyć, że z żadnego przepisu obu ustaw i Konkordatu także nie wynika możliwość rezygnacji państwa z obowiązku ochrony danych osobowych osób nienależących do Kościoła Katolickiego przetwarzanych przez administratorów danych należących do struktur organizacyjnych tego Kościoła.

W tej sytuacji umorzenie postępowania administracyjnego dokonane zostało z naruszeniem art. 105 § 1 K.p.a. w związku z art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych. Uchybienie to nie ma jedynie formalnego charakteru. GIODO nie tylko umorzył postępowanie, ale także nie poczynił ustalenia najistotniejszego z punktu widzenia art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych, tj. tego czy skarżący w chwili rozstrzygania jeszcze do Kościoła Katolickiego należał. W uzasadnieniu pierwszej decyzji, z dnia 20 stycznia 2011 r., organ przedstawił wymianę pism między skarżącym a Proboszczem Parafii Rzymsko-Katolickiej pod wezwaniem św. [...]w [...]i określając ten opis jako "stan faktyczny" przystąpił do rozważań prawnych. W rozważaniach także nie przedstawił własnego stanowiska co do przynależności skarżącego do Kościoła Katolickiego. W uzasadnieniu decyzji z dnia 17 maja 2011 r., wydanej na skutek wniosku o ponowne rozpatrzenie sprawy, organ ponownie jedynie streścił czynności procesowe, a nadto wprost stwierdził, że nie może prowadzić postępowania wyjaśniającego.

Generalny Inspektor nie tylko zatem nie mógł umorzyć postępowania administracyjnego, ale także nie było faktycznych podstaw do oceny, że wniosek zasługiwał na odmowę. Ocena Sądu, zgodnie z którą uchybienie organu polegające na umorzeniu postępowania nie miało wpływu na wynik sprawy, nie jest więc trafna.

Nie odpowiada treści uzasadnień organu stanowisko Sądu, według którego organ ustalił stan faktyczny sprawy. Natomiast próba dokonania własnych ustaleń przez Sąd pierwszej instancji nie przyniosła wymaganego efektu. Stanowisko Sądu pierwszej instancji co do przynależności skarżącego do Kościoła katolickiego nie jest jasne. Sąd przyjął, że skarżący nie przedłożył dokumentów, z których wynikałoby, że wystąpił z Kościoła. Tymczasem w aktach jest pismo skarżącego zawierające oświadczenie skarżącego o wystąpieniu z Kościoła Katolickiego. Możliwe jest zatem, w świetle przywołanej wypowiedzi Sądu, że Sąd dokonał błędnego ustalenia i z naruszeniem art. 133 § 1 P.p.s.a. w związku z art. 77 § 1 K.p.a., pominął dowód, tak jakby tego dokumentu nie zauważył. Ta wieloznaczna wypowiedź może także oznaczać, iż Sąd błędnie ocenił materiał dowodowy i z naruszeniem art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 80 K.p.a. ustalił fakt dalszego pozostawania skarżącego w Kościele, mimo istnienia dowodu o wystąpieniu. Możliwe jest i takie zrozumienie zdania Sądu pierwszej instancji w analizowanym zakresie, że według Sądu, dowód w postaci pisemnego oświadczenia nie skutkuje wystąpienia z Kościoła. W takim razie, właściwe zastosowanie art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych oraz obowiązek wynikający z art. 141 § 4 P.p.s.a. wymaga, aby wyrazić stanowisko, jaka czynność taki skutek wywołuje.

W konsekwencji, nie było podstaw do oddalenia skargi.

Przedwczesne byłoby, w niniejszym postępowaniu kasacyjnym, zajęcie wiążącego stanowiska w zakresie wyboru (zastosowania) obowiązujących norm w zakresie przynależności do Kościoła Katolickiego w Rzeczypospolitej Polskiej oraz wykładni tych norm w postępowaniu przed Sądem pierwszej instancji, któremu sprawa została przekazana do ponownego rozpoznania. Powyższe rozważania, z uwagi na konieczność wykazania, że nie ustalono w postępowaniu administracyjnym okoliczności istotnej z punktu widzenia prawa materialnego, siłą rzeczy zawierają jednak wskazania, co do, związanych z tymi okolicznościami, przesłankami materialnymi z art. 43 ust. 2 w związku z art. 43 ust. 1 pkt 3 ustawy o ochronie danych osobowych. Wskazania te odwołują się do systemu norm regulujących ochronę prywatności zawartych w Konstytucji RP, Dyrektywie unijnej, Europejskiej Konwencji, przepisach ustawowych i w postanowieniach Konkordatu. Dokonana analiza uprawnia do przyjęcia, już na obecnym etapie sprawy, że punktem wyjścia do zajęcia przez GIODO stanowiska, co do przynależności skarżącego do Kościoła Katolickiego, powinno być prawo wewnętrzne Kościoła. Wynika to wprost z art. 5 Konkordatu oraz z zasady autonomii kościołów przewidzianej w art. 25 ust. 3 Konstytucji RP oraz art. 9 Europejskiej Konwencji, a także z normy ustrojowej zawartej w art. 25 ust. 4 Konstytucji RP. Nawiązując zaś do kontrowersji dotyczącej istnienia lub braku norm wewnętrznych regulujących ustanie przynależności do Kościoła Katolickiego można jeszcze stwierdzić, że żadna podstawa prawna rozstrzygania o przynależności do kościołów nie może abstrahować od konstytucyjnych, ustawowych i międzynarodowych statuujących wolność wyznania i przekonań.

W tym stanie rzeczy Naczelny Sąd Administracyjny, na podstawie art. 185 § 1 P.p.s.a., uchylił zaskarżony wyrok i przekazał sprawę Wojewódzkiemu Sądowi w Warszawie do ponownego rozpoznania.

Powyżej przedstawione stanowisko Naczelnego Sądu Administracyjnego wskazuje również, że przedwczesne jest zadanie przez Naczelny Sąd Administracyjny pytania prawnego, sformułowanego przez wnoszącego skargę kasacyjną, do Trybunału Konstytucyjnego. Skoro zaskarżony wyrok został uchylony, a sprawa została przekazana Sądowi pierwszej instancji do ponownego rozpoznania, to nie można obecnie przesądzić, czy od odpowiedzi na pytanie prawne zależy rozstrzygnięcie sprawy, która będzie toczyła się przed Wojewódzkim Sądem Administracyjnym. Zależność ta jest zaś jedną z przesłanek zadania pytania prawnego, określoną w art. 193 Konstytucji RP.