Nasze dane w Kościele

Z ks. prof. Dariuszem Walencikiem, ekspertem z zakresu prawa wyznaniowego, rozmawia Irena Świerdzewska

Dlaczego polski episkopat powołał Kościelnego Inspektora Ochrony Danych Osobowych?

Ponieważ taką możliwość przewiduje art. 91 rozporządzenia unijnego o ochronie danych osobowych, czyli tzw. RODO.

Czy to oznacza, że wcześniej nasze dane nie były w Kościele odpowiednio zabezpieczane?

Były, ale nowe rozporządzenie unijne zaostrzyło kryteria ochrony danych osobowych. Na administratorów danych, czyli kościelne osoby prawne, np. parafie, nałożono szereg nowych obowiązków, aby ochrona danych była jeszcze lepsza.

Episkopat przygotował w związku z tym dekret w sprawie przetwarzania danych osobowych. Co wnosi on nowego?

Dekret w sposób całościowy w jednym miejscu reguluje kwestie ochrony przetwarzania danych osobowych i prawa do prywatności. Te przepisy oczywiście istniały wcześniej, ale były „rozrzucone” w różnych aktach normatywnych i innych dokumentach kościelnych. Dekret ich nie zmienia, jedynie je uaktualnia, uzupełnia i uszczegóławia. Dostosowuje partykularne prawo kanoniczne w zakresie ochrony danych osobowych do rozporządzenia unijnego.

Jak nasze dane będą zbierane, kto będzie nimi admnistrował?

Obowiązuje zasada minimalizacji. Czyli dane mają być zbierane w zakresie minimalnym, niezbędnym dla prowadzenia działalności statutowej przez kościelne osoby prawne. Administratorem danych będzie kościelna osoba prawna, a więc np. parafia, diecezja, dom zakonny, prowincja zakonna.

Jakie mamy prawa do danych znajdujących się u tych administratorów?

Osoby fizyczne mają zapewniony dostęp do swoich danych osobowych. Mogą żądać ich poprawiania, uaktualniania, dokonania adnotacji, ograniczenia przetwarzania. Mają też prawo składania skarg, jeżeli stwierdzą, że ich dane są niewłaściwie przetwarzane. Oczywiście mogą żądać, jak dotychczas, wydawania odpisów z ksiąg metrykalnych, czyli księgi chrztów, pogrzebów czy ślubów.

Będzie to trudniejsze niż dotychczas?

Przede wszystkim dostęp do danych będą miały tylko osoby uprawnione. Jeżeli jest to osoba małoletnia, to o jej dane będą mogli wystąpić jej rodzice czy opiekunowie prawni. W przypadku dorosłych takie prawa będzie mieć tylko ta osoba, której dane są przetwarzane. Każda inna osoba będzie musiała mieć stosowne pełnomocnictwo.

Czy lepsza ochrona danych wymaga zastosowania specjalnych procedur?

Muszą być zastosowane odpowiednie narzędzia, ale to będzie wynikało z wykonanego audytu bezpieczeństwa. Każdy administrator danych musi na samym początku wykonać audyt bezpieczeństwa danych, czyli określić, jakie dane przetwarza, w jakich celach i do czego one są mu potrzebne. Nie wystarczy już bowiem posiadanie np. odpowiednich pomieszczeń, sejfów czy szaf pancernych, zapór sieciowych, programów antywirusowych czy zasad zmiany hasła, ale administrator będzie musiał przeprowadzić samodzielnie analizę ryzyka, a następnie wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić odpowiedni stopień bezpieczeństwa. Powinien w tym celu uwzględnić ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Inne zabezpieczenia będą wymagane w małej parafii, a inne np. w sądach kościelnych, gdzie gromadzi się więcej danych, w tym związane np. ze stanem zdrowia, przynależnością do danego wyznania czy wyrokami sądowymi.

Czy dane te będą przekazywane?

Mogą być przekazywane między zbiorami kościelnymi, ale tylko w celach statutowych, np. informacja o zawartym małżeństwie musi być przekazana z parafii miejsca zawarcia związku do parafii, gdzie małżonkowie zostali ochrzczeni.

Co oznacza zapis o prawie do sprostowania i bycia zapomnianym?

Jeżeli dane będą niepoprawne, np. będzie zniekształcone moje imię, nazwisko, błędna data urodzin, chrztu czy zawartego małżeństwa, to mam prawo wniesienia o sprostowanie danych. Natomiast prawo do bycia zapomnianym uprawnia do żądania usunięcia danych z różnego rodzaju zbiorów danych, ale jest ono obwarowane szeregiem przesłanek, zarówno pozytywnych, jak i negatywnych.

Kiedy nie będzie można żądać usunięcia danych?

Nie będzie można usunąć danych z ksiąg metrykalnych, bo one są konieczne do określenia statusu prawno-kanonicznego danej osoby. Nie usuniemy danych o przyjętym chrzcie, sakramencie bierzmowania, zawartym małżeństwie. Przykładowo: gdybyśmy usuwali dane o zawartym małżeństwie z księgi ślubów i księgi chrztów, mogłoby dojść do zawarcia małżeństw bigamicznych.

A co z danymi osób, które dokonują apostazji?

To są dwie różne procedury. Procedura wystąpienia z Kościoła jest regulowana odrębnym dekretem. Osoby, które dokonują apostazji zgodnie z tą procedurą, będą mogły żądać ograniczenia przetwarzania danych czy nawet ich usunięcia. Prawo do żądania usunięcia danych nie przysługuje jednak w przypadku, gdy dane dotyczą udzielonych sakramentów bądź w inny sposób odnoszą się do kanonicznego statusu osoby. Tego typu wniosek powinien zostać odnotowany w zbiorze i zobowiązuje administratora do niewykorzystywania objętych wnioskiem danych bez zgody ordynariusza miejsca lub wyższego przełożonego instytutu życia konsekrowanego albo stowarzyszenia życia apostolskiego.