Aktualności/Newsy
Wspólnota religijna jest administratorem danych osobowych - wyrok TSUE
10 lipca 2018 r. Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok w sprawie C‑25/17, w którym stwierdził m.in., że wspólnota religijna (świadkowie Jehowy) wspólnie z jej członkami głosicielami jest administratorem danych osobowych w odniesieniu do przetwarzania danych osobowych dokonywanego przez tych członków głosicieli w ramach zorganizowanej, koordynowanej i wspieranej przez wspólnotę działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych.
Wyrok został wydany w odpowiedzi na pytania prejudycjalne zadane przez Naczelny Sąd Administracyjny Finlandii na gruncie interpretacji przepisów Dyrektywy 95/46/WE PE i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych – unijnego aktu prawnego poprzedzającego RODO.
W trakcie postępowania fiński sąd ustalił, że członkowie wspólnoty religijnej świadków Jehowy w Finlandii w ramach swojej działalności kaznodziejskiej, która polegała m.in. na składaniu domowych odwiedzin, sporządzali notatki o odwiedzonych osobach. Osoby te nie były im wcześniej znane, a ich dane dotyczyły m.in. nazwisk, adresów, wyznawanej religii oraz sytuacji rodzinnej. Celem zbieranych danych było udokumentowanie działalności poszczególnych członków wspólnoty oraz ewentualna późniejszej rewizyta. Odwiedzane osoby nie były proszone o wyrażenie na to zgody ani nawet o tym informowane.
Stąd fiński sąd zadał TSUE cztery pytania prejudycjalne. Pierwsze z nich dotyczyło samej konieczności stosowania przepisów Dyrektywy wobec wspólnoty religijnej i jej członków jeśli zostaną uznani za przetwarzających dane osobowe jedynie w trakcie czynności o czysto osobistym lub domowym charakterze.
Drugie pytanie dotyczyło pojęcia „zbioru danych” – sąd spytał czy dane zbierane w sposób niezautomatyzowany i stanowiące luźne notatki mimo wszystko mogą stanowić taki zbiór danych przy uwzględnieniu, że w rzeczywistości łatwo i bez nadmiernych kosztów można uzyskać informacje potrzebne do dalszego wykorzystania takich danych.
Następnie sąd zadał dwa pytania dotyczące zakresu pojęcia „administratora danych” i tego czy obejmuje ono wspólnotę religijną, jako że do zbierania danych osobowych dochodziło z ramienia poszczególnych członków tej wspólnoty, a nie samej wspólnoty, która nawet nie miała dostępu do zgromadzonych informacji. Ponadto w przedmiotowej sprawie wspólnota religijna nie stosowała innych szczególnych środków, jak pisemne wytyczne lub instrukcje, za pomocą których kierowałaby zbieraniem danych przez swoich głosicieli.
W przedmiocie pierwszego pytania TSUE uznał, że działalność wspólnoty Jehowy nie jest objęta wyjątkami określonymi w Dyrektywie, a więc w wyniku jej działalności dochodzi do przetwarzania danych osobowych. Odpowiadając na drugie pytanie Trybunał, stwierdził, że pojęcie zbioru danych obejmuje zestaw danych osobowych gromadzonych w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych,
zawierających nazwiska i adresy oraz inne informacje dotyczące odwiedzonych osób, o ile dane te są zorganizowane według określonych kryteriów umożliwiających w praktyce ich łatwe odnalezienie dla celów ich późniejszego wykorzystania. Aby zestaw taki był objęty tym pojęciem, nie jest konieczne, by zawierał kartoteki, szczególne rejestry lub inne systemy służące wyszukiwaniu.
Również w przypadku dwóch ostatnich pytań, jako wspomniano na wstępie, TSUE uznał, że przepisy Dyrektywy pozwalają uznać wspólnotę religijną wspólnie z jej członkami głosicielami za administratora danych osobowych w odniesieniu do przetwarzania dokonywanego przez tych członków w ramach zorganizowanej, koordynowanej i wspieranej przez wspólnotę działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych.
Zdaniem TSUE nie jest jednocześnie konieczne, by wspomniana wspólnota miała dostęp do danych, ani nie musi zostać ustalone, że udzielała ona swoim członkom pisemnych wytycznych lub instrukcji dotyczących tego przetwarzania.
Pełna treść wyroku TSUE w jęz. polskim pod poniższym linkiem: