Przechowywanie danych wrażliwych osoby skazaje w każdym przypadku aż do chwili jej śmierci jest sprzeczne z prawem UE.

Zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie, ściganie czynów zabronionych i wykonywanie kar, wymaga, aby właściwe organy przetwarzały dane osobowe w szerszym kontekście – dla lepszego zrozumienia działalności przestępczej oraz ustalenia powiązań pomiędzy różnymi wykrytymi przestępstwami.

Przetwarzanie danych wrażliwych – genetycznych i biometrycznych, w celu zidentyfikowania osoby fizycznej jest dozwolone, ale wyłącznie wtedy, gdy jest bezwzględnie niezbędne, podlega odpowiednim zabezpieczeniom dla praw i wolności osoby, której dane dotyczą (podmiotu danych)[1].

Zgodnie z prawem europejskim państwa członkowskie UE są obowiązane przyjąć przepisy prawa przewidujące odpowiednie terminy usuwania danych osobowych, w tym danych wrażliwych, gromadzonych w postępowaniu karnym, lub obowiązek okresowego przeglądu, czy ich dalsze przechowywanie jest konieczne[2].

Podmiot danych ma prawo żądać od Administratora Danych Osobowych (ADO) usunięcia danych osobowych bez zbędnej zwłoki, gdy są przechowywane przez okres dłuższy, niż jest to niezbędne do celów ich przetwarzania.

Jaki termin usunięcia danych osobowych jest odpowiedni?

Rozbieżności w zakresie wykładni prawa UE pojawiły się w sprawie obywatela Bułgarii, którego dane osobowe zostały wpisane do rejestru policyjnego w toku dochodzenia prowadzonego w sprawie popełnienia przez niego przestępstwa złożenia fałszywych zeznań. Po zakończeniu dochodzenia, obywatel Bułgarii został uznany winnym i skazany na karę ograniczenia wolności. Po odbyciu kary i zatarciu skazania, złożył wniosek o wykreślenie wpisu w rejestrze policyjnym. Wniosek nie został uwzględniony, dlatego obywatel Bułgarii wniósł skargę do sądu.

Wskazał, że przepisy bułgarskiego prawa są niezgodne z prawem UE, gdyż nie przewidują odpowiedniego terminu usunięcia danych osobowych. Stanowią, że wpis w rejestrze policyjnym, obejmujący dane wrażliwe (odciski palców, wizerunek, próbki pozwalające na ustalenie profilu DNA), może być usunięty, jedynie w przypadku gdy:

• zarejestrowanie nastąpiło z naruszeniem prawa,
• postępowanie karne zostało umorzone lub zakończyło się uniewinnieniem,
• na podmiot danych nałożono karę administracyjną zamiast odpowiedzialności karnej,
• podmiot danych zmarł.

Zatem dane osobowe osoby skazanej są przechowywane w bułgarskim rejestrze policyjnym zawsze aż do śmierci podmiotu danych.

Stanowisko TUSE

Rozpatrując skargę, bułgarski najwyższy sąd administracyjny zwrócił się o interpretację przepisów europejskich do TSUE.

TSUE podkreślił, że państwa członkowskie UE powinny zapewnić, by gromadzenie danych osobowych w ramach postępowania karnego i ich przechowywanie przez organy policji było adekwatne, stosowne i nienadmierne do celów, dla których zostały zebrane.

Regulacje krajowe powinny umożliwiać usunięcie danych osobowych, w sytuacji, gdy ich przechowywanie nie jest już niezbędne. Dotyczy to także danych wrażliwych, w tym danych genetycznych i biometrycznych.

Przepisy krajowe przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa, jest co do zasady niezgodne z wymogiem minimalizacji danych osobowych.

Natomiast przechowywanie danych wrażliwych osób skazanych może być niezbędne, w szczególności dla weryfikacji ewentualnego udziału tych osób w popełnieniu innych przestępstw, a tym samym ścigania i skazania sprawców.

TSUE zauważył, że w stosunku do osób skazanych nie istnieje taki sam stopień ryzyka udziału w popełnieniu innych przestępstw. W niektórych przypadkach, biorąc pod uwagę czynniki takie, jak charakter i waga popełnionego przestępstwa lub brak powrotu do przestępstwa, ryzyko, jakie stanowi osoba skazana, niekoniecznie uzasadnia przechowywanie dotyczących jej danych osobowych w krajowym rejestrze policyjnym aż do chwili jej śmierci.

Potrzebne różnicowanie

Przyjęcie jednolitego okresu przechowywania danych osób skazanych nie jest możliwe. Kryteria ustalenia terminu usunięcia danych osobowych powinny być zatem zróżnicowane i nie mogą być stosowane bezrefleksyjnie.

Prawo europejskie nie nakłada na państwa członkowskie UE obowiązku wskazania bezwzględnych, konkretnych ograniczeń czasowych przechowywania danych osobowych, po których przekroczeniu powinny one zostać automatycznie usunięte. Krajowe rozwiązania prawne powinny przewidywać warunki, pozwalające ocenić sytuację osoby skazanej indywidualnie i usunąć dane osobowe z krajowego rejestru policyjnego, jeśli ochrona praw podstawowych podmiotu danych tego wymaga.

Odniesienie w ustawodawstwie krajowym do chwili śmierci podmiotu danych, może stanowić „termin” usunięcia danych osobowych, ale taki termin można uznać za „odpowiedni” jedynie w szczególnych, należycie uzasadnionych okolicznościach.

Prawo UE stoi na przeszkodzie ustawodawstwu krajowemu przewidującemu przechowywanie przez organy policji – do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar – danych osobowych dotyczących osób skazanych aż do chwili ich śmierci bez nałożenia na ADO obowiązku okresowego przeglądu, czy takie przechowywanie jest nadal niezbędne. Brak przyznania podmiotowi danych prawa żądania usunięcia danych osobowych, od chwili gdy ich przechowywanie nie jest już niezbędne do celów, dla których były one przetwarzane, jest niezgodne z prawem UE.

Z pełną treścią orzeczenia TSUE z 30 stycznia 2024 r., sygn. akt: C‑118/22, można zapoznać się tutaj.

---

[1] Art. 10 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U.UE.L.2016.119.89).

[2] Art. 5 ibidem.

Treść niniejszego materiału ma wyłącznie charakter informacyjny i nie może być traktowana, jako porada prawna. Zawarte w materiale treści mogą nie wyczerpywać w pełni problemów lub zagadnień prawnych związanych z nowelizowanymi przepisami, orzeczeniami, interpretacjami. Każda sprawa wymagająca wiedzy prawniczej ma swój indywidualny wymiar, co uzasadnia jej indywidualną analizę. Zaleca się uprzednią konsultację konkretnej sprawy z radcą prawnym, adwokatem lub innym wykwalifikowanym prawnikiem. W przypadku jakichkolwiek pytań związanych z przedstawionymi powyżej zagadnieniami prawnymi oraz ich możliwym wpływem na działalność Użytkownika prosimy o kontakt drogą elektroniczną na adres e-mail: kontakt@fibi.com.pl lub pisemnie na adres: ul. Chłodna 64/315, 00-872 Warszawa.