Zasady te zostały ujęte w rozporządzeniu 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO) oraz dyrektywie 2016/680 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW (dalej: dyrektywa policyjna).

DYREKTYWA POLICYJNA

Bezpośrednio dotyka ona problematyki przetwarzania danych osobowych przez organy ścigania i wymiaru sprawiedliwości, m.in. w ramach postępowania karnego. Oznacza to, że wszelkie czynności dokonywane przez te organy związane z przetwarzaniem danych osobowych do celów w niej wymienionych będą poddane jej regulacjom. W Polsce nie zakończyły się jeszcze wszystkie prace nad przyjęciem tych nowych regulacji unijnych. W już obowiązującej od 25 maja 2018 r. ustawie z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. poz. 1000) przyjęto, że przedmiotowy zakres jej stosowania będzie odpowiadał zakresowi stosowania RODO1. Niemniej trwają prace nad projektem ustawy implementującej dyrektywę policyjną2. Zgodnie z projektowanym jej art. 2 będzie ona stosowana do przetwarzania danych osobowych, m.in. przez Policję, w sposób:

1) całkowicie lub częściowo zautomatyzowany;

2) inny niż zautomatyzowany, w przypadku gdy dane te stanowią lub mają stanowić część zbioru danych.

Natomiast nie będzie ona miała zastosowania do ochrony danych osobowych znajdujących się w aktach spraw lub czynności oraz urządzeniach ewidencyjnych, w tym tworzonych i przetwarzanych z wykorzystaniem technik informatycznych, prowadzonych na podstawie m.in. ustawy o postępowaniu w sprawach nieletnich, kodeksu postępowania karnego, kodeksu karnego skarbowego, kodeksu postępowania w sprawach o wykroczenia czy prawa o prokuraturze (tak w projektowanym art. 3 ustawy implementującej).

DANE W POSTĘPOWANIU PRZYGOTOWAWCZYM

Ustawa implementująca nie będzie stosowana do ochrony danych osobowych znajdujących się w aktach spraw karnych, a więc m.in. w aktach postępowania przygotowawczego. Jak wynika z uzasadnienia projektu (wersja z 20 sierpnia 2018 r.) wyłączenie pozostaje w związku z zakresem pojęciowym definicji zbioru danych przyjętej w dyrektywie policyjnej. Definicja ta zawarta w art. 3 pkt 6 dyrektywy policyjnej jest tożsama z definicją zawartą uprzednio w art. 2 lit. c dyrektywy 95/46/WE3 oraz art. 7 pkt 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. Oznacza to, że do zbioru danych w dalszym ciągu mają zastosowanie koncepcje wypracowane przez doktrynę i orzecznictwo pod rządami poprzedniej dyrektywy4. Zbiór danych, zdefiniowany w art. 3 pkt 6 dyrektywy policyjnej, powinien bowiem spełniać następujące kryteria:

1) musi to być zestaw danych osobowych,

2) dane osobowe w tym zbiorze muszą być uporządkowane w taki sposób, aby można było odszukać żądaną informację bez potrzeby przeszukiwania całego zbioru,

3) dane muszą być uporządkowane według co najmniej dwóch określonych kryteriów, przy czym kryteria te powinny się odnosić do osób fizycznych, a więc zbiór ma być uporządkowany w taki sposób, aby można było odszukać dane osobowe bez potrzeby przeszukiwania całego zbioru.

Jak wynika z uzasadnienia projektu ustawy implementującej, akta te są wyłączone spod definicji zbioru danych osobowych z trzech powodów:

1) nie są zbiorem danych osobowych, ponieważ dane zawarte w zbiorze muszą być danymi o charakterze osobowym, a w tych aktach gromadzi się różnego rodzaju informacje i materiały dowodowe, na podstawie których organ je prowadzący i wydający rozstrzygniecie kształtuje swoje stanowisko co do faktu popełnienia czynu zabronionego i sprawcy tego czynu. Gromadzone i dokumentowane w tych aktach dowody nie tworzą zbioru danych. Sam fakt, że dokument, pośród innych informacji, zawiera między innymi dane osobowe nie sprawia, że dokument taki staje się zestawem danych osobowych, a tym bardziej zbiorem danych;

2) nie są uporządkowane w rozumieniu dyrektywy, ponieważ o uporządkowaniu danych osobowych możemy mówić wówczas, gdy dane są przedstawiane w określonym przestrzennym rozmieszczeniu albo w określonej fizycznej czy logicznej strukturze. Orzecznictwo wskazuje, że zestaw danych podlegający definicji zawartej w prawie unijnym musi posiadać strukturę rozumianą jako jednorodna budowa zbioru5. Tak więc zbiór danych nie może być luźnym zestawem, ale musi być zbiorem jednorodnym. Powinien także posiadać cechy pozwalające na odnalezienie informacji bez potrzeby przeglądania całego zestawu;

3) kryteria porządkujące akta nie dotyczą danych osobowych, ponieważ zgodnie z definicją zbioru dane osobowe w zbiorze muszą być uporządkowane według co najmniej dwóch kryteriów. Muszą to być jednak kryteria wyszukiwania dotyczące osób fizycznych.

Co istotne, tym, co odróżnia zbiór danych osobowych, w rozumieniu prawa unijnego, od innych zestawów danych, jest istnienie cechy lub cech pozwalających na odnalezienie informacji bez potrzeby przeglądania całego zestawu. Takim zbiorem będzie więc tylko taki zestaw, w którym dostęp do danych będzie możliwy przez jakiekolwiek kryterium osobowe, np. imię, nazwisko, numer PESEL.

Konkludując, akta postępowania przygotowawczego nie są zorganizowane według kryteriów dotyczących osób fizycznych, a sposób ich prowadzenia w ogóle nie uwzględnia kwestii ułatwienia dostępu do danych osobowych. Kryteria, według których organizowane są akta, odnoszą się nie do danych osobowych, a do kolejności przeprowadzania dowodów lub wątków postępowania dotyczących zwykle odrębnych przestępstw6. Mimo że akta postępowania przygotowawczego nie stanowią zbioru danych, nie oznacza to, że dane osobowe w nich zawarte są w obecnym i będą w nowym stanie prawnym wyłączone spod ochrony prawnej. Dane osobowe uzyskane w jego toku podlegają zwiększonej ochronie w stosunku do ochrony przewidzianej dyrektywą, gdyż rygory w odniesieniu do ich przetwarzania i ujawniania są surowsze. Podstawą do ich przetwarzania są bowiem przepisy procedury karnej. Przetwarzaniu podlegają dane uzyskane zgodnie z określonymi wymogami formalnymi, przy czym dane te nie mogą być ujawniane w warunkach innych niż określone w przepisach. W postępowaniu przygotowawczym muszą być np. zachowane wymogi i ograniczenia określone w art. 156 § 5 i 5a oraz w art. 156a k.p.k. Ujawnienie danych z tego postępowania, zależnie od stanu faktycznego, może stanowić przestępstwo określone w art. 241 k.k. lub art. 266 k.k., a także delikt dyscyplinarny.

PRZETWARZANIE DANYCH W POSTĘPOWANIU PRZYGOTOWAWCZYM

Przetwarzanie danych zdefiniowane w art. 4 pkt 15 projektu ustawy implementującej to operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takich jak: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Mając na uwadze zakres znaczeniowy pojęcia przetwarzania danych osobowych, uznać należy, że wszelkie działania (operacje, mówiąc językiem dyrektywy) podejmowane w postępowaniu przygotowawczym, których przedmiotem są dane osobowe, powinny być zakwalifikowane jako przetwarzanie danych. K.p.k. zawiera wiele przepisów odnoszących się do procesu przetwarzania danych osobowych, np. art. 213, art. 191 § 1 czy art. 184. Wskazane przykładowo przepisy k.p.k. normują czynności stanowiące operację na danych osobowych, część z nich odnosi się wprost do czynności na danych osobowych, a część w sposób pośredni reguluje to zagadnienie przy okazji danej instytucji czy czynności procesowej. Nie powinno więc budzić wątpliwości, że operacje podejmowane przez policjantów, a odnoszące się np. do zbierania materiału dowodowego czy udostępniania akt postępowania, w których znajdują się dane osobowe uczestników postępowania, stanowią działanie przetwarzania danych osobowych. Słuszną jest teza dr Anny Wolskiej-Bagińskiej, prokurator Prokuratury Rejonowej w Gdyni, cyt. „że szczególne natężenie działań wykonywanych na danych osobowych występuje w fazie postępowania przygotowawczego”7.

PRZETWARZANIE DANYCH ZWYKŁYCH I WRAŻLIWYCH

Zgodnie z art. 175 ustawy z 10 maja 2018 r. o ochronie danych osobowych, do czasu wejścia w życie ustawy implementującej, w odniesieniu do przetwarzania danych osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych oraz prowadzenia postępowań w sprawach dotyczących tych czynów, zachowują moc, m.in. art. 23 i 27 uchylonej ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz.U. z 2016 r. poz. 922, z 2018 r. poz. 138, 723). Oznacza to, że przetwarzanie w postępowaniu przygotowawczym tzw. danych osobowych zwykłych jest dopuszczalne, gdyż jest ono niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisów prawa. W ustawie implementującej art. 13 ust. 1 (odpowiednikowi art. 23 ustawy z 1997 r.) planuje się nadać następujące brzmienie: Właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

PRZETWARZANIE NA PODSTAWIE INNYCH PRZEPISÓW

W kontekście obowiązującego i planowanego stanu prawnego, odnosząc go do Policji jako organu procesowego (także innych organów), należy zauważyć, że w przepisach k.p.k. brak generalnego upoważnienia do przetwarzania danych osobowych. Rolę takiego upoważnienia odgrywają poszczególne przepisy nakładające na organy procesowe obowiązki lub stanowiące ich uprawnienia, do realizacji których konieczne jest podejmowanie w jego toku czynności w odniesieniu do danych osobowych. Normami takimi są np. przepisy uprawniające organy procesowe do zbierania materiału dowodowego, zidentyfikowania i uzyskania informacji o stronach postępowania, sporządzania protokołów, dokonywania wezwań i doręczeń, prowadzenia, udostępniania i przechowywania akt spraw. Uprawnienia lub obowiązki organów procesowych w tym zakresie na potrzeby tego postępowania, poza ustawami procesowymi (np. k.p.k.), mogą wynikać z innych aktów prawnych, w szczególności z przepisów karnych materialnych (np. k.k.), przepisów ustrojowych dotyczących poszczególnych organów procesowych.

Reasumując:

1) przyznane organom procesowym w normach karnoprocesowych kompetencje umożliwiają im podejmowanie czynności związanych z przetwarzaniem danych osobowych,

2) poszczególne przepisy k.p.k. stanowią w odniesieniu do konkretnej czynności procesowej indywidualną podstawę prawną uprawniającą organ do przetwarzania danych osobowych.

Należy podkreślić, że przetwarzanie danych osobowych przez organ procesowy musi być nadto niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku procesowego wynikającego z przepisu prawa. Sygnalnie należy zauważyć, że Policja, podobnie jak inne organy procesowe, prowadząc postępowanie przygotowawcze jest obowiązana do wyjaśnienia okoliczności sprawy, w tym do ustalenia: czy i przez kogo został popełniony czyn zabroniony, czy stanowi on przestępstwo, wykrycia i w razie potrzeby ujęcia sprawcy oraz zebrania i zabezpieczenia materiału dowodowego. W celu rzetelnej realizacji swoich uprawnień i obowiązków Policja, podobnie jak każdy inny organ procesowy, jest nie tylko uprawniona, lecz także zobligowana do podejmowania działań na danych osobowych, których dotyczy prowadzone postępowanie.

WYJĄTKI OD ZAKAZÓW PRZETWARZANIA

Nadal obowiązujący przepis art. 27 ustawy z 1997 r. ustanawia zakaz przetwarzania tzw. danych wrażliwych. Zawiera on zamknięty katalog dziesięciu wyjątków od generalnej zasady niedopuszczalności przetwarzania tego rodzaju informacji. Z punktu widzenia Policji, jako organu uprawnionego do prowadzenia postępowania przygotowawczego, istotne są dwa spośród wymienionych w tym przepisie wyjątków, tj.:

1) istnienie przepisu szczególnego innej ustawy zezwalającego na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarzającego pełne gwarancje ich ochrony,

2) przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem.

Podobny zakaz ustanawia projektowany art. 14 ust. 1 ustawy implementującej. Dopuszczalne będzie jednak przetwarzanie danych wrażliwych, jeżeli:

1) przepisy prawa, w tym prawa UE, zezwolą na ich przetwarzanie lub

2) będzie to niezbędne dla ochrony życia lub zdrowia interesów osoby, której dane dotyczą lub innej osoby, lub dane takie zostały upublicznione przez osobę, której dotyczą.

Podobnie jak w przypadku danych zwykłych w przepisach k.p.k. są normy uprawniające organy procesowe do przetwarzania danych wrażliwych. Przykładowo do przepisów tych należy m.in. art. 213 k.p.k. (dane o skazaniach), art. 226 k.p.k. (dane o stanie zdrowia).

Stwierdzić więc należy, że przepisy karnoprocesowe przyznają organom procesowym uprawnienia do przetwarzania danych osobowych podmiotów występujących w postępowaniu zarówno tych mających charakter zwykłych, jak i tych będących wrażliwymi.

insp. w st. spocz. ROMAN WOJTUSZEK
główny specjalista BK KGP

1 Stosowanie ustawy jest wyłączone w odniesieniu do przetwarzania danych osobowych do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar.

2 Projekt z 20 sierpnia 2018 r. ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (projekt nr UC116).

3 Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995 roku w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281 z 23.11.1995, s. 31).

4 Patrz uzasadnienie do projektu z 20 sierpnia 2018 r. ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (projekt nr UC116).

5 Wyrok WSA w Warszawie z 29 kwietnia 2015 r. sygn. II SA/Wa 1604/14.

6 Powyższe uwagi odnoszą się także do akt postępowania w sprawie o wykroczenie.

7 Anna Wolska-Bagińska, Podstawy prawne przetwarzania danych osobowych w postępowaniu karnym, „Prokuratura i Prawo” 2018, nr 6.