Retencja danych w Krajowym Systemie Informacyjnym Policji – co powinno się zmienić po wyroku TSUE

Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 30 stycznia 2024 r. w sprawie C-118/22 Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia stwierdził, że przepisy pozwalające Policji przechowywać dane osobowe – w tym biometryczne i genetyczne – aż do śmierci osoby, której dotyczą, bez obowiązku okresowego przeglądu zasadności tego przetwarzania, naruszają prawo unijne. TSUE wskazał, że takie przepisy ingerują w prawa podstawowe zagwarantowane w art. 7 i 8 Karty Praw Podstawowych UE oraz w dyrektywie 2016/680.

Zgodnie z orzecznictwem TSUE, dane osobowe nie mogą być przechowywane dłużej niż jest to niezbędne do celów, dla których zostały zgromadzone. Obowiązek państw członkowskich obejmuje:

• wprowadzenie okresowych przeglądów danych,

• usuwanie zbędnych danych,

• przyznanie podmiotom prawa do skutecznego żądania usunięcia danych.

Brak takich regulacji w odniesieniu do Krajowego Systemu Informacyjnego Policji (KSIP) powoduje, że obecne przepisy polskie są sprzeczne z prawem unijnym.

Prezes UODO Mirosław Wróblewski podkreślił, że obowiązujące przepisy ustawy o Policji nie zawierają:

• maksymalnych okresów przechowywania danych w KSIP,

• katalogu danych przetwarzanych w systemie,

• jasnych przesłanek usunięcia danych,

• obowiązku informowania obywatela o odmowie ich sprostowania lub usunięcia.

Co więcej, nowelizacja ustawy o Policji z 2024 r., wprowadzająca obowiązek okresowej weryfikacji nie rzadziej niż co 10 lat, nie realizuje w pełni wymogów dyrektywy 2016/680.

Obecne regulacje pozbawiają obywateli instrumentów umożliwiających skuteczne żądanie usunięcia danych osobowych przetwarzanych w KSIP. Decyzję o dalszym przetwarzaniu danych podejmuje Komendant Główny Policji, bez wyraźnego obowiązku uzasadnienia odmowy. UODO wskazał, że jest to sprzeczne z art. 16 dyrektywy 2016/680 oraz z zasadą proporcjonalności wynikającą z Karty Praw Podstawowych UE.

Wystąpienie Prezesa UODO do Ministra Spraw Wewnętrznych i Administracji ma na celu doprowadzenie do zmian w prawie krajowym, aby zapewnić:

• zgodność zasad przechowywania danych w KSIP z prawem unijnym,

• ochronę prawa do prywatności,

• przejrzystość procedur w zakresie retencji i usuwania danych policyjnych.

Prezes UODO oczekuje odpowiedzi resortu w terminie 30 dni od skierowanego wystąpienia.