Aj cirkvi musia byť v súlade s GDPR

Ochrana osobných údajov v podobe GDPR sa dotýka každého jedného subjektu, pričom cirkvi a náboženské spoločnosti nie sú výnimkou. Vzhľadom na ich špecifické postavenie sui generis, bolo zrejmé, že aj v tejto oblasti sa nevyhnú súdnemu prieskumu. Jedným z takýchto prieskumov je aj rozhodnutie SD EÚ vo veci C-25-17 – Svedkovia Jehovovi.

V tejto veci Komisia na ochranu osobných údajov vo Fínsku vydala rozhodnutie, ktoré zakazovalo Svedkom Jehovovým, aby zbierali a spracúvali osobné údaje v rámci podomovej evanjelizačnej činnosti, pokiaľ nedôjde k splneniu podmienok na spracúvanie osobných údajov. Komisia bola toho názoru, že členovia náboženskej spoločnosti sú spoločne prevádzkovatelia tohto spracúvania. Avšak Svedkovia Jehovovi sa odvolali voči tomuto rozhodnutiu správneho orgánu na súd, ktorý rozhodol v ich prospech. Splnomocnenec pre ochranu osobných údajov sa voči tomuto rozsudku odvolal na Najvyšší správny súd.

Najvyšší správny súd rozhodnutie súdu nižšieho stupňa zrušil a k prejednávanej veci sa postavil nasledovným spôsobom. Podľa zistení vnútroštátneho súdu si pri svojej evanjelizačnej činnosti Svedkovia Jehovovi robia záznamy a poznámky o stretnutiach, pričom získané údaje môžu obsahovať aj informácie týkajúce sa vierovyznania či rodinnej situácie. Náboženská spoločnosť Svedkovia Jehovovi však taktiež vydávala pokyny a usmernenia o tom, ako si robiť takéto záznamy, ktoré publikovala minimálne v jednom z jej časopisov. Podľa zistenia vnútroštátneho súdu však náboženská spoločnosť nevyžadoval tento zber údajov, nemala k nim prístup, nepoznala ich povahu a dokonca ani totožnosť evanjelizátorov, ktorí ich získali.

Okrem toho sa vnútroštátny súd vyslovil vo svojom právnom názore, že tento druh činnosti, ktorú členovia tejto náboženskej spoločnosti vykonávajú, nie je vylúčený z pôsobnosti smernice 95/46 o ochrane osobných údajov (ďalej len „smernica“) a jej čl. 3 ods. 2 prvej zarážky tejto smernice (výnimka v súvislosti s výkonom verejnej moci). Po ďalšie, podľa mienky súdu bolo ťažké určiť, či súbor osobných údajov zozbieraných na účely evanjelizácie je informačný systém, pretože sú tieto údaje spracúvané neautomatizovane a podľa zistení vnútroštátneho súdu náboženská spoločnosť nemá priamu poznateľnosť týchto údajov, avšak stále má možnosť stanovovať spôsoby spracúvania a zakázať alebo obmedziť uvedené spracúvanie. Nevylučuje to však možnosť, že si členovia náboženskej spoločnosti môžu sami stanoviť spôsob takéhoto zberu a zbierať takéto údaje, okrem údajov uvedených na tzv. zozname zákazu.

Z tohto dôvodu sa fínsky súd obrátil na SD EÚ s predbežnými otázkami vo veci:

1. Či výnimky v čl. 3 ods. 2 prvej a druhej zarážky (výnimka v súvislosti s výkonom verejnej moci a domáceho/súkromného použitia) smernice sa dotýkajú evanjelizačnej činnosti, a preto sa daná smernica na túto činnosť nevzťahuje?

2. Ako sa má vykladať pojem informačný systém v súvislosti s podomovou evanjelizačnou činnosťou, a preto

(a) nepredstavuje informačný systém, pretože sa na ne nevzťahuje definícia informačného systému alebo

(b) predstavuje takýto informačný systém, pretože je možné z týchto údajov jednoducho a bez primeraných nákladov získať informácie?

3. Má sa čl. 2 písm. d) smernice vykladať tak, že náboženská spoločnosť, ktorá organizuje činnosť, pri ktorej sa zbierajú osobné údaje, môže byť považovaná za prevádzkovateľa aj napriek argumentácii, že nemá k týmto údajom prístup?

4. Je možné v súlade s čl. 2 písm. d) smernice klasifikovať náboženskú spoločnosť ako prevádzkovateľa iba vtedy, keď prijme špecifické pokyny, inštrukcie, opatrenie pre riadenie zberu osobných údajov, či stačí aby zohrávala skutočnú úlohu pri riadení členov, ktorí tieto údaje zbierajú?

Analýza Súdneho dvora

K prvej otázke

Súdny dvor aplikoval na zodpovedanie prejudiciálnych otázok nasledujúcu analýzu. K prvej otázke – ohľadne výnimky s výkonom verejnej moci sa SD EÚ vyjadril tak, že výnimka vzťahujúca sa hlavne na činnosť štátnych orgánov, nie je svojím charakterom použiteľná na činnosť, ktorú vykonáva náboženská spoločnosť, a preto nie je možné aplikovať túto výnimku.

V druhom rade sa vyjadril k druhej výnimke, a tým k aplikácii pojmov osobné alebo domáce použitie osobných údajov. Podľa mienky SD EÚ tieto pojmy odkazujú na činnosť, ale nie na osobu, ktorá túto činnosť vykonáva. Platí, že táto výnimka sa vzťahuje na súkromný alebo rodinný život jednotlivca. Pokiaľ teda činnosť smeruje, hoci len čiastočne, k sprístupneniu údajov neurčitému počtu osôb alebo zahŕňa verejné priestranstvo, ide o činnosť mimo súkromnej sféry jednotlivca. Súd sa s aplikáciou tejto premisy na náboženskú spoločnosť popasoval tak, že prebral právny názor generálneho advokáta a vyslovil, že tým, že evanjelizátori sú členmi náboženskej spoločnosti a ich evanjelizačná činnosť sa netýka okruhu ich rodinných členov, tak z tohto titulu činnosť, ktorú títo evanjelizátori vykonávajú, smeruje mimo ustanovenú výnimku súkromnej sféry týchto evanjelizátorov. Okrem toho, zozbierané údaje stále majú podľa mienky súdneho dvora založenej na zistení vnútroštátneho súdu potenciál byť sprístupnené neobmedzenému okruhu osôb.

Súdny dvor sa vyjadril aj k aplikácii čl. 10 ods. 1 Charty práv EÚ s tým, že samostatné vyjadrenie viery, či už jednotlivcom alebo skupinou osôb neznamená, že ide o výlučne osobnú alebo domácu činnosť, a tým by naplnila možnosť aplikácie druhej výnimky. Podľa mienky súdneho dvora evanjelizačná činnosť prekračuje forum internum.

K druhej otázke

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či pojem „informačný systém“ zahŕňa súhrn všetkých osobných údajov zozbieraných v súvislosti s podomovou evanjelizačnou činnosťou, ktorý obsahuje mená a adresy, ako aj iné informácie o navštívených osobách, ak tieto údaje môžu byť ľahko vyhľadané na účely neskoršieho použitia. V analýze na túto otázku zastáva súdny dvor prekvapivo jasné stanovisko. Podľa jeho analýzy je podstata informačného systému v tom, že jeho obsah má byť štruktúrovaný tak, aby zabezpečil jednoduché vyhľadávanie a prístup k týmto osobným údajom. Pri aplikácii tejto prizmy na skutkový stav zahŕňajúci náboženskú spoločnosť a jej evanjelizačnú činnosť konštatuje, že ide o zoznamy štruktúrované podľa kritérií a v závislosti od stanoveného cieľa, čo podľa mienky súdneho dvora dokazuje zoznam osôb, ktoré si neželajú už byť navštívené. Ďalej dodáva, že sú zvolené tak, aby tieto údaje bolo možné jednoducho vyhľadávať. Súdny dvor však dopĺňa, že nie je v tomto konkrétnom kontexte relevantné, akými kritériami sa zapisovanie do zoznamu spravuje a v akej forme je štruktúrované. Ak to umožňuje jednoduché vyhľadávanie, ide o informačný systém. Súdny dvor však uvádza, že tieto skutočnosti je povinný determinovať vnútroštátny súd.

K tretej a štvrtej otázke

V tejto otázke je podstatou určenie kto, a vôbec či je prevádzkovateľom. Súdny dvor vychádzal z premisy, že prevádzkovateľom ex definitione nemusí byť len fyzická či právnická osoba, spoločne alebo jednotlivo, ale môže sa vzťahovať na viacero subjektov zapojených do tohto spracovania osobných údajov. Preto sa prikláňa k názoru, že zber osobných údajov o navštívených osobách počas evanjelizačnej činnosti a ich ďalšie spracúvanie slúžia na dosiahnutie tohto cieľa, t.j. šírenie viery, a to na účely vlastné tejto náboženskej spoločnosti. Podstatné je, že o tomto spracúvaní osobných údajov daná náboženská spoločnosť vie, organizuje a koordinuje evanjelizačnú činnosť, a to deľbou činnosti medzi svojich členov. Spolu s tým, podľa súdneho dvora, náboženská spoločnosť aj nabáda svojich členov, aby tento zber osobných údajov vykonávali. Preto súd uzatvára túto analýzu s tým, že náboženská spoločnosť organizovaním, koordinovaním a podporovaním vlastnej evanjelizačnej činnosti prostredníctvom svojich členov sa zúčastňuje na určení účelov a prostriedkov spracúvania osobných údajov. V súvislosti s podomovou evanjelizačnou činnosťou je preto možné považovať náboženskú spoločnosť za prevádzkovateľa pri spracúvaní osobných údajov spolu so svojimi členmi, ktorí vykonávajú evanjelizačnú činnosť.

Miesto záveru

Dnešná doba, a s tým súvisiaca pretechnizovanosť spoločnosti i ľudských vzťahov, sa nevyhla ani tejto najprivátnejšej sfére jednotlivca, a to jeho vzťahu so svojou vierou, a tým i cirkvou, ktorej je členom. Ochrana osobných údajov zasiahla aj tento druh sféry života a čiastočne zrovnala právne vzťahy i počas evanjelizačnej činnosti. Na druhej strane však takisto skomplikovala situáciu cirkvám a náboženským spoločnostiam, pretože, či už podomová evanjelizačná činnosť alebo misijná činnosť, sa prelínajú s ochranou osobných údajov. Najväčšia Rímskokatolícka cirkev na Slovensku ako i jej Gréckokatolícka časť už na svojich webových stránkach majú ochranu osobných údajov upravenú. Preto i na základe vyššie uvedeného môžeme konštatovať, že i viera musí byť v súlade s GDPR.