RODO pozwala każdemu na otrzymanie informacji o przetwarzaniu dotyczących go danych osobowych — o rodzaju danych, celach przetwarzania, odbiorcach, którym dane zostały udostępnione — a także żądać usunięcia danych, to oczywista oczywistość. Prawo to jednak nie jest nieograniczone — zatem czy możliwe jest uzyskanie informacji o danych przetwarzanych przez policję w bazach prowadzonych w celu zwalczania przestępczości? Czy podstawą usunięcia wpisów jest zatarcie skazania? (wyrok Naczelnego Sądu Administracyjnego z 28 lutego 2024 r., III OSK 3813/21).
Sprawa zaczęła się od wysłanego do policji wniosku o udzielenie informacji o danych osobowych przetwarzanych w Krajowym Systemie Informacyjnym Policji i w Krajowym Centrum Informacji Kryminalnych, w tym o kategoriach zgromadzonych danych, celach przetwarzania oraz o tym, komu dane były udostępniane. Równocześnie mężczyzna zażądał usunięcia danych, a to ze względu na zatarcie skazania i upływ 15 lat od wpisania informacji o przestępstwie.
Komendant Główny Policji stwierdził, że spełnienie żądania w odniesieniu do tajnych policyjnych baz jest niemożliwe: KCIK służy do zwalczania przestępczości, w tym do wykrywania sprawców, ich zbieranie następuje bez wiedzy i zgody osób, przeto nikt nie może ani poznać zakresu zebranych informacji, ani nawet otrzymać potwierdzenia lub zaprzeczenia, że jego dane figurują w rejestrze — a więc tym bardziej nie może zażądać ich skasowania (aczkolwiek dane z KSIP zostały usunięte w toku postępowania).
Pogląd ten podtrzymał PUODO, który uznał, że zatarcie skazania nie jest podstawą do usunięcia danych z KCIK, zaś udostępnienie informacji z bazy zaprzeczałoby istocie jej tajności, zatem w wydanej decyzji umorzył postępowanie jako bezprzedmiotowe.
Odmiennie rzecz ocenił WSA: owszem, usunięcie informacji (z bazy KSIP) jest przesłanką umorzenia postępowania. Biorąc jednak pod uwagę, że jedną z kluczowych reguł przetwarzania danych osobowych jest zasada ograniczenia przechowywania, która zabezpiecza jednostkę przed nadmiernie długim przetwarzaniem danych osobowych, lakoniczny cytat z przepisów, bez odniesienia się do meritum sporu i arbitralne stwierdzenie o legalności przetwarzania nie jest wystarczającym uzasadnieniem wydanej decyzji — a więc jest podstawą jej uchylenia (wyrok WSA w Warszawie z 20 lipca 2020 r., II SA/Wa 2602/19).
z ustawy o przetwarzaniu informacji kryminalnych
art. 2 ust. 2 Informacje kryminalne przetwarza się [w Krajowym Centrum Informacji Kryminalnych] bez wiedzy i zgody osoby, której dane dotyczą, oraz z zachowaniem zasad ich ochrony określonych w przepisach o ochronie informacji niejawnych.
art. 14. 1. Informacje kryminalne (…) są przechowywane w bazach danych przez okres 15 lat. [a inne przez 5 lat]
4. Terminy, o których mowa w ust. 1-3, liczy się od dnia zarejestrowania informacji kryminalnych w bazach danych, z zastrzeżeniem ust. 5.
5. Jeżeli po dniu zarejestrowania nastąpiło przekazanie informacji kryminalnych przez Szefa Centrum, bieg terminów, o których mowa w ust. 1-3, liczy się od dnia ich przekazania.
art. 25. Informacje kryminalne podlegają usunięciu z baz danych, jeżeli:
1) ich gromadzenie jest zabronione;
2) zarejestrowane informacje kryminalne okazały się nieprawdziwe;
3) ustał cel ich gromadzenia;
4) upłyną okresy, o których mowa w art. 14 ust. 1-3;
5) jest to uzasadnione ze względu na bezpieczeństwo państwa lub jego obronność albo mogą spowodować identyfikację osób udzielających pomocy przy wykonywaniu czynności operacyjno-rozpoznawczych prowadzonych przez upoważnione do tego podmioty uprawnione.
Odmiennie rzecz ocenił Naczelny Sąd Administracyjny: w policyjnym rejestrze KCIK są przechowywane dane zebrane podczas czynności operacyjno-rozpoznawczych i postępowań karnych, a to w celu zwalczania przestępczości i wykrywania sprawców czynów zabronionych. Policja zbiera te dane bez wiedzy i zgody zainteresowanych osób, zaś zarejestrowane dane podlegają ochronie jako informacje niejawne, mogą być udostępniane wyłącznie enumeratywnie wymienionym podmiotom (ciekawostka: wśród tych służb jest nie tylko wywiad i kontrwywiad, CBA czy ŻW, ale także skarbówka, Lasy Państwowe (aż do szczebla nadleśniczych!) oraz dyrektorzy parków narodowych (sic!)). Informacje są przetwarzane w KCIK przez 15 lat licząc od dnia ich przekazania — w tym także udostępnienia uprawnionym służbom, zarazem żadna osoba postronna nie może uzyskać do nich dostępu.
Oznacza to, że ani upływ 15 lat od wydania wyroku skazującego, ani zatarcie skazania nie są samoistną przesłanką usunięcia danych z KCIK, zarazem żadna postronna osoba nie jest uprawniona do wglądu w zgromadzone dane (nie jest przy tym nawet posiadanie poświadczenia bezpieczeństwa określonej klauzuli). Żądania udzielenia informacji o danych zgromadzonych w KCIK nie można także opierać na przepisach o udostępnianiu informacji publicznych. Stąd też zarówno skorzystanie z prawa do bycia zapomnianym lub uzyskanie informacji o danych przetwarzanych przez policję w bazie KCIK i KSIP jest niemożliwe, albowiem bezpieczeństwo publiczne i zapobieganie przestępczości są przesłankami pozwalającymi ograniczyć niektóre prawa (art. 23 ust. 1 RODO), zaś wyjątki od obowiązku wykonania obowiązku informacyjnego przewiduje także dyrektywa 2016/680 w/s ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar oraz ustawa o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.
W konsekwencji NSA uznał, że przetwarzanie danych osobowych skarżącego było całkowicie legalne i prawidłowe, zatem w prawomocnym wyroku uchylono wyrok i oddalono skargę na decyzję PUODO.