Prawo do usunięcia danych
Dane biometryczne i genetyczne osoby fizycznej, która została skazana prawomocnym wyrokiem nie mogą być przechowywane przez policję bez ograniczenia czasowego. Osoba taka powinna mieć prawo do usunięcia tych danych, gdy ich przechowywanie nie jest już niezbędne. Sprawa bułgarska dotyczyła wniosku o wykreślenie danych z rejestru policyjnego po zatarciu skazania, co rodziło wątpliwości interpretacyjne. Trybunał Europejski podkreślił konieczność ograniczania przechowywania danych osobowych do niezbędnego minimum, pozostawiając państwom członkowskim decyzję o konkretnych sytuacjach usunięcia danych oraz momentu usunięcia.
Tematyka: dane biometryczne, dane genetyczne, prawo do usunięcia danych, Trybunał Europejski, ochrona danych osobowych
Dane biometryczne i genetyczne osoby fizycznej, która została skazana prawomocnym wyrokiem nie mogą być przechowywane przez policję bez ograniczenia czasowego. Osoba taka powinna mieć prawo do usunięcia tych danych, gdy ich przechowywanie nie jest już niezbędne. Sprawa bułgarska dotyczyła wniosku o wykreślenie danych z rejestru policyjnego po zatarciu skazania, co rodziło wątpliwości interpretacyjne. Trybunał Europejski podkreślił konieczność ograniczania przechowywania danych osobowych do niezbędnego minimum, pozostawiając państwom członkowskim decyzję o konkretnych sytuacjach usunięcia danych oraz momentu usunięcia.
Dane biometryczne i genetyczne osoby fizycznej, która została skazana prawomocnym wyrokiem nie mogą być przechowywane przez policję bez ograniczenia czasowego. Takiej osobie powinno przysługiwać prawo do usunięcia tych danych, gdy takie przechowywanie nie jest już niezbędne. Stan faktyczny Bułgarski spór dotyczył oddalenia wniosku NG o wykreślenie go z rejestru policyjnego, do którego bułgarskie organy policyjne wpisują osoby ścigane za umyślne przestępstwo podlegające ściganiu z oskarżenia publicznego (dalej jako: rejestr policyjny). Podstawą tego wniosku było zatarcie skazania, z którego NG skorzystał po wydaniu wobec niego prawomocnego wyroku skazującego. Wątpliwości sądu odsyłającego wynikały z tego, że żadna z podstaw uzasadniających usunięcie danych osobowych ujętych w rejestrze policyjnym, wymienionych enumeratywnie w bułgarskim prawie, nie ma zastosowania do sytuacji NG, w której osoba została prawomocnie skazana, i to nawet po zatarciu skazania, wobec czego dane te są przechowywane w tym rejestrze i mogą być przetwarzane przez organy, które mają dostęp, bez żadnego ograniczenia czasowego do chwili śmierci tej osoby. Stanowisko TS Trybunał stwierdził, że art. 4 ust. 1 lit. c) i e), art. 5, 10, art. 13 ust. 2 lit. b) oraz art. 16 ust. 2 i 3 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.Urz. UE L z 2016 r. Nr 119, s. 89), a także art. 7 i 8 Karty praw podstawowych Unii Europejskiej z 7.6.2016 r. (Dz.Urz. UE C z 2016 r. Nr 202, s. 389; dalej: KPP) ustanawiają ogólne ramy umożliwiające między innymi zagwarantowanie, aby przechowywanie danych osobowych, a w szczególności jego czas trwania były ograniczone do tego, co okazuje się niezbędne w świetle celów, dla których dane te są przechowywane. Pozostawiono przy tym państwom członkowskim zadanie określenia, z poszanowaniem tych ram, konkretnych sytuacji, w których ochrona praw podstawowych osoby, której dane dotyczą, wymaga usunięcia tych danych, oraz momentu, w którym powinno ono nastąpić. Natomiast, jak zauważył rzecznik generalny w pkt 28 opinii, te przepisy nie wymagają, aby państwa członkowskie określiły bezwzględne ograniczenia czasowe przechowywania danych osobowych, po których przekroczeniu powinny one zostać automatycznie usunięte. W niniejszej sprawie dane osobowe zawarte w rejestrze policyjnym są przechowywane wyłącznie do celów operacyjnych czynności dochodzeniowych, a w szczególności w celu porównania ich z innymi danymi zebranymi podczas dochodzeń dotyczących innych przestępstw. Zdaniem TS przechowywanie w rejestrze policyjnym danych dotyczących osób, które zostały prawomocnie skazane, może okazać się niezbędne dla tych celów, nawet po usunięciu tego skazania z rejestru karnego. Osoby te mogą bowiem brać udział w popełnieniu przestępstw innych niż te, za które zostały skazane, lub przeciwnie, zostać oczyszczone w drodze porównania danych przechowywanych przez te organy z danymi zebranymi podczas postępowań dotyczących tych innych przestępstw. W ocenie TS dane przechowywane w bułgarskim rejestrze policyjnym można uznać co do zasady za adekwatne i stosowne do celów, dla których są przetwarzane, w rozumieniu art. 4 ust. 1 lit. c) dyrektywy 2016/680/UE. Co do okresu przechowywania spornych danych osobowych z akt sprawy wynika, że jedynie w sytuacji prawomocnego skazania osoby, której dane dotyczą, za umyślne przestępstwo ścigane z oskarżenia publicznego przechowywanie tych danych zostaje utrzymane do chwili śmierci tej osoby, ponieważ w innych przypadkach bułgarskie prawo przewiduje wykreślenie wpisów osób ściganych za takie przestępstwo. Jednakże TS stwierdził, że pojęcie „umyślnego przestępstwa ściganego z oskarżenia publicznego” ma szczególnie ogólny charakter i może mieć zastosowanie do znacznej liczby czynów zabronionych – niezależnie od ich charakteru i wagi (wyrok TS z 26.1.2023 r., Ministerstvo na vatreshnite raboti, C-205/21, , pkt 129). Zdaniem rzecznika generalnego (opinia RG z 30.6.2022 r., C-205/21, , pkt 73 i 74), nie jest tak, że w stosunku to wszystkich osób prawomocnie skazanych za przestępstwo objęte tym pojęciem istnieje taki sam stopień ryzyka udziału w popełnieniu innych przestępstw, co uzasadniałoby jednolity okres przechowywania dotyczących ich danych. I tak, w niektórych przypadkach, biorąc pod uwagę czynniki takie jak charakter i waga popełnionego przestępstwa lub brak powrotu do przestępstwa, ryzyko, jakie stanowi osoba skazana, niekoniecznie będzie uzasadniać utrzymanie do chwili jej śmierci dotyczących jej danych w przewidzianym w tym celu krajowym rejestrze policyjnym. W niniejszej sprawie przechowywanie danych osobowych w rozpatrywanym rejestrze policyjnym obejmuje dane biometryczne i genetyczne. Trybunał podkreślił, że z uwagi na znaczne ryzyko, jakie stanowi przetwarzanie takich danych wrażliwych dla praw i wolności osób, których dane dotyczą, w szczególności w kontekście powierzonych właściwym organom zadań w celach określonych w art. 1 ust. 1 dyrektywy 2016/680/UE, szczególne znaczenie zamierzonego celu należy oceniać na podstawie wszystkich istotnych elementów. Trybunał uznał już, że przepisy krajowe przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, jest co do zasady niezgodne z wymogiem bezwzględnej niezbędności, wskazanym w art. 10 dyrektywy 2016/680/UE. Takie przepisy mogą bowiem prowadzić w sposób niezróżnicowany i uogólniony do zbierania danych biometrycznych i genetycznych większości osób, którym przedstawiono zarzuty (wyrok TS z 26.1.2023 r., Ministerstvo na vatreshnite raboti, C-205/21, , pkt 128, 129). Odnośnie ciążącego na państwach członkowskich obowiązku przyjęcia odpowiednich terminów, o którym mowa w art. 5 dyrektywy 2016/680/UE, TS uznał, że termin można uznać za „odpowiedni” w rozumieniu tego przepisu, w szczególności w odniesieniu do przechowywania danych biometrycznych i genetycznych każdej osoby prawomocnie skazanej za umyślne przestępstwo ścigane z oskarżenia publicznego, tylko wtedy, gdy uwzględnia on istotne okoliczności mogące spowodować, że taki okres przechowywania będzie niezbędny. W konsekwencji, nawet jeśli poczynione w ustawodawstwie krajowym odniesienie do chwili śmierci osoby, której dane dotyczą, może stanowić „termin” usunięcia przechowywanych danych w rozumieniu art. 5, taki termin można uznać za „odpowiedni” jedynie w szczególnych okolicznościach, które należycie to uzasadniają. Reasumując TS orzekł, że art. 4 ust. 1 lit. c) i art. 4 ust. 1 lit. e) dyrektywy 2016/680/UE w związku z art. 5 i 10, art. 13 ust. 2 lit. b) oraz art. 16 ust. 2 i 3 tej dyrektywy oraz w świetle art. 7 i 8 KPP należy interpretować w ten sposób, iż stoi on na przeszkodzie ustawodawstwu krajowemu przewidującemu przechowywanie przez organy policji – do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar – danych osobowych, w szczególności danych biometrycznych i genetycznych, dotyczących osób, które zostały prawomocnie skazane za umyślne przestępstwo ścigane z oskarżenia publicznego, aż do chwili śmierci osoby, której dane dotyczą, w tym w przypadku zatarcia skazania tej osoby, bez nałożenia na administratora obowiązku okresowego przeglądu, czy takie przechowywanie jest nadal niezbędne, i bez przyznania tej osobie prawa do usunięcia tych danych, od chwili gdy ich przechowywanie nie jest już niezbędne do celów, dla których były one przetwarzane, lub w stosownym przypadku do ograniczenia ich przetwarzania. Komentarz W niniejszym wyroku TS odniósł się do szczególnie spornego zagadnienia dotyczącego wyważenia interesu publicznego w zwalczaniu przestępczości z interesem jednostki w zakresie ochrony jej danych osobowych. Trybunał obszernie wyjaśnił w aspekcie czasowym kwestię przetwarzania tych danych do celów ścigania przestępstw w świetle przepisów dyrektywy 2016/680/UE. Trybunał przyznał, że art. 5 dyrektywy 2016/680/UE pozostawia państwom członkowskim podjęcie decyzji, czy należy przyjąć terminy dotyczące usuwania owych danych, czy też okresowego przeglądu konieczności ich przechowywania. Jednakże „odpowiedni” charakter terminów takiego okresowego przeglądu wymaga, aby pozwalały one, zgodnie z art. 4 ust. 1 lit. c) i art. 4 ust. 1 lit. e) dyrektywy 2016/680/UE w świetle art. 52 ust. 1 KPP, na doprowadzenie do usunięcia rozpatrywanych danych, w przypadku gdy ich przechowywanie nie jest już niezbędne. Stanowisko TS zawarte w niniejszym wyroku co do reguły zapewnienia przez państwo członkowskie odpowiednich terminów usuwania danych osobowych lub ich okresowego przeglądu, zawarte przede wszystkim w dyrektywie, należy stosować interpretując polskie przepisy, a zwłaszcza ustawy z 14.12.2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (t.j. Dz.U. z 2023 r. poz. 1206; dalej: OchrDanychZwPrzestU), w tym art. 14 i art. 16 OchrDanychZwPrzestU. Wyrok TS z 30.1.2024 r., Direktor na Glavna direktsia Natsionalna politsia pri MVR - Sofia, C-118/22,
W wyroku dotyczącym prawa do usunięcia danych, Trybunał Europejski podkreślił znaczenie ograniczania przechowywania danych biometrycznych i genetycznych osób skazanych, w kontekście ochrony praw jednostki. Decyzja TS stanowi istotne wskazówki dla państw członkowskich w kwestii ustalania terminów przechowywania danych osobowych oraz możliwości ich usunięcia, gdy przetwarzanie nie jest już niezbędne.