Należy doprecyzować model przechowywania danych biometrycznych funkcjonariuszy i pracowników Policji

Obowiązujące zasady retencji danych wymagają zmiany. Dane genetyczne i biometryczne pobrane od funkcjonariuszy oraz pracowników Policji są obecnie usuwane najpóźniej po pięciu latach od ustania ich stosunku służbowego albo stosunku pracy. Zdaniem Prezesa UODO przyjęty model nie zapewnia pełnej zgodności z zasadami ochrony danych osobowych i standardami wynikającymi z Konstytucji RP oraz orzecznictwa Trybunału Sprawiedliwości UE.

Prezes UODO Mirosław Wróblewski zwrócił się do ministra spraw wewnętrznych i administracji Marcina Kierwińskiego z prośbą o podjęcie prac legislacyjnych nad obecnymi przepisami dot. pobierania odcisków linii papilarnych oraz wymazów ze śluzówki policzków od funkcjonariuszy i pracowników policji.

Przetwarzanie danych osobowych w celu eliminacji śladów pozostawionych w toku czynności związanych z ujawnianiem, zabezpieczaniem lub badaniem śladów czynów zabronionych co do zasady podlega reżimowi tzw. dyrektywy policyjnej (2016/680). Jeżeli natomiast dane są przetwarzane w celach administracyjnych lub kadrowych, to zastosowanie mają przepisy RODO.

Choć samo pobieranie od funkcjonariuszy i pracowników Policji tego typu danych osobowych ma podstawę ustawową, to niektóre kwestie stanowiące ingerencję w prawo do prywatności oraz ochrony danych osobowych zostały uregulowane w rozporządzeniu. Takie rozwiązanie budzi istotne wątpliwości konstytucyjne – akt wykonawczy modyfikuje bowiem normę ustawową, co pozostaje w sprzeczności m.in. z konstytucyjną hierarchią źródeł prawa.

W opinii Prezesa UODO zasady retencji tego typu danych osobowych powinny zostać doprecyzowane. Obecnie podlegają one usunięciu nie później niż po upływie 5 lat od dnia ustania stosunku służbowego lub pracy tej osoby, której dane dotyczą. Tak ustalone ramy czasowe przechowywania tego rodzaju danych osobowych mogą być niewłaściwe między innymi z perspektywy zasady minimalizacji oraz ograniczenia przetwarzania danych.

Regulacje te realizują częściowo standardy wynikające z orzecznictwa TSUE, w szczególności zakaz bezterminowego przechowywania danych oraz wymóg okresowej weryfikacji ich dalszej przydatności. Nie zmienia to jednak faktu, że przyjęty model retencji budzi zastrzeżenia z perspektywy zasady minimalizacji danych i wymogu „bezwzględnej niezbędności” przetwarzania danych biometrycznych i genetycznych.

Prezes UODO Mirosław Wróblewski wskazuje, że zasadami RODO, które chronią prawa obywateli, są m.in. zasada minimalizacji danych (art. 5 ust. 1 lit. c) i zasada ograniczenia przechowywania (art. 5 ust. 1 lit. e). Oznacza to, że dane można zbierać w ograniczonym zakresie i przechowywać tak długo jak w danym przypadku są niezbędne. Minimalizuje to ryzyko incydentów i narażenia na nieodwracalne szkody.

Wytyczne interpretacyjne TSUE

Trybunał Sprawiedliwości UE w sprawie C- 371/24 Comdribus przypomniał, że przetwarzanie szczególnych kategorii danych osobowych (w tym danych biometrycznych i genetycznych) jest dopuszczalne wyłącznie w ściśle określonych przypadkach przewidzianych prawem Unii lub państwa członkowskiego oraz pod warunkiem spełnienia dodatkowych wymogów.

Obejmują one zapewnienie odpowiednich zabezpieczeń praw i wolności osoby, której dane dotyczą, a także wykazanie, że przetwarzanie jest bezwzględnie niezbędne. Warunek „bezwzględnej niezbędności” oznacza, że przetwarzanie musi służyć konkretnym, wyraźnym i prawnie uzasadnionym celom, a zakres danych powinien być adekwatny, stosowny i ograniczony do niezbędnego minimum (zasada minimalizacji). Ponadto przetwarzanie jest zgodne z prawem wyłącznie wtedy, gdy jest konieczne do realizacji zadań właściwych organów, a przepisy krajowe muszą precyzyjnie określać cele, zakres oraz podstawy przetwarzania.

Ocena „bezwzględnej niezbędności” powinna być szczególnie rygorystyczna i odnosić się do ściśle określonych, konkretnych celów przetwarzania, odróżnianych od ogólnych powodów jego prowadzenia. Wymaga ona także weryfikacji, czy zamierzony cel nie może zostać osiągnięty w równie skuteczny sposób przy użyciu mniej wrażliwych danych.

W wyroku w sprawie C-57/23 JH vs Policejní prezydium TSUE wskazał, że brak maksymalnego okresu przechowywania danych biometrycznych i genetycznych nie jest sam w sobie sprzeczny z tzw. dyrektywą policyjną, o ile przepisy krajowe przewidują mechanizmy okresowej kontroli zasadności dalszego przechowywania oraz zapewniają ocenę jego bezwzględnej niezbędności.

Natomiast w wyroku w sprawie C-118/22 TSUE wskazał, że państwa członkowskie powinny ustanowić odpowiednie okresy usuwania takich danych lub mechanizmy ich regularnej weryfikacji pod kątem dalszej potrzeby przechowywania, a także zapewnić skuteczne procedury gwarantujące przestrzeganie tych zasad.

Postulaty Prezesa UODO

Analiza obowiązujących regulacji prowadzi do wniosku, że obecny model przetwarzania danych biometrycznych i genetycznych funkcjonariuszy oraz pracowników Policji nie zapewnia pełnej zgodności z zasadami ochrony danych osobowych oraz standardem interpretacji przepisów wynikającym z orzecznictwa europejskiego.

UODO postuluje doprecyzowanie przepisów odnoszących się do zasad przetwarzania danych biometrycznych i genetycznych funkcjonariuszy oraz pracowników Policji, m.in. poprzez ustawowe określenie przesłanek ich przetwarzania oraz zapewnienie zgodności zasad retencji danych z wymogami minimalizacji i oceną niezbędności ich przetwarzania.

DPNT.413.18.2026