Policja nie może systematycznie gromadzić danych biometrycznych i genetycznych

Sprawa dotyczyła przetwarzania danych osobowych przez bułgarską policję. Chodziło tu o dane daktyloskopijne i fotograficzne przetwarzane w celu:

• rejestracji policyjnej zgodnie z bułgarskimi przepisami (w przypadku osób podejrzanych o popełnienie umyślnego przestępstwa ściganego z urzędu),
• pobrania próbek na potrzeby ustalenia wzoru profilu DNA.

Na taką rejestrację policyjną pozwalały bułgarskie przepisy, dlatego Policja zwróciła się tu o zezwolenie do sądu karnego na przymusowe pobranie danych genetycznych i biometrycznych osoby, której dotyczyła sprawy. Sąd powziął jednak wątpliwości co do zgodności bułgarskiego ustawodawstwa z tzw. dyrektywą DODO (dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW). Dlatego skierował pytanie do Trybunału Sprawiedliwości UE.

Jak podkreślił TSUE w uzasadnieniu wyroku, przetwarzanie danych biometrycznych i genetycznych przez Policję w celu:

• dochodzenia,
• walki z przestępczością,
• utrzymania porządku publicznego,

jest w świetle DODO dozwolone. Warunkiem jest tu jednak jego odpowiednie uregulowanie w prawie krajowym, które musi zawierać wystarczająco jasną i precyzyjną podstawę prawną dla zezwolenia na takie przetwarzanie.

Prawo krajowe nie może jednak przewidywać zezwolenia na systematyczne przetwarzanie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa ściganego z urzędu. W ten sposób dochodzi bowiem do przetwarzania danych wrażliwych każdej osoby, bez względu na to, jaki czyn jest jej zarzucany.

Przetwarzanie tych danych jest dozwolone tylko wtedy, gdy istnieje taka bezwzględna konieczność. Należy tu więc tworzyć regulacje krajowe z uwzględnieniem reguły minimalizmu i ograniczenia celu przetwarzania.