Czy sprawca przestępstwa może ubiegać się o pracę w policji? Jeśli sąd warunkowo umorzył prowadzone postępowanie, ale policja upiera się, że jako osoba notowana nie może ubiegać się o przyjęcie do służby? Czy PUODO może nakazać usunięcie danych z policyjnej bazy KSIP — już dwa lata po sprawstwie czynu? I, wcale nie na marginesie: czy policji wolno przetwarzać dane „na zaś”, bo może kiedyś coś wyskoczy? (wyrok Naczelnego Sądu Administracyjnego z 17 października 2025 r., III OSK 2223/22).
opis stanu faktycznego:
- sprawa zaczęła się w 2018 r., a dotyczyła kierowcy, który spowodował wypadek drogowy; po przedstawieniu zarzutów dane sprawcy zostały zarejestrowane w Krajowym Systemie Informacyjnym Policji; po przeprowadzonym postępowaniu sąd warunkowo umorzył postępowanie dotyczące przestępstwa, wyznaczając roczny okres próby;
- już w 2020 r. mężczyzna starał się o przyjęcie do służb mundurowych, a ponieważ z jego planami kolidował wpis do policyjnej bazy, zwrócił się do Komendanta Głównego Policji z żądaniem usunięcia jego danych osobowych, powołując się na wyrok sądu;
- policja, odmawiając usunięcia przetwarzanych informacji, wyjaśniła, że w KSIP gromadzone są dane dotyczące wszystkich wszczętych i prowadzonych postępowań, niezależnie od ich finału, a usuwane według potrzeb — w tym „dalszych prognoz kryminologicznych” — zatem mężczyzna wniósł skargę do PUODO;
decyzja PUODO:
- tylko sąd może oceniać stopień winy i szkodliwości społecznej czynu, a także decydować o środkach prewencji szczególnej: takim środkiem było warunkowe umorzenie postępowania, zaś zgodnie z prawem pół roku po upływie okresu próby warunkowe umorzenie uznaje się za definitywne, zatem taką osobę należy uznać za niekaranego;
art. 21nb ust. 1b ustawy o Policji (Dz.U. z 2024 r. poz. 1688)
Dane osobowe zgromadzone w KSIP w celu realizacji zadań ustawowych [wykrywania i zapobiegania przestępstwom, wykrywania sprawców, ochrony bezpieczeństwa i porządku publicznego, etc.,etc.] Policja przechowuje przez okres niezbędny do realizacji ustawowych zadań Policji. Organy Policji dokonują weryfikacji tych danych po zakończeniu sprawy, w ramach której dane te zostały wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji usuwają zbędne dane.
z ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości
art. 13 ust. 1. Właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
art. 16. 1. Administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu – nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych.
2. Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Zbędne dane usuwa się [lub przekształca w sposób uniemożliwiający identyfikację osoby].
art. 31 ust. 1 pkt 5
Administrator zapewnia, aby dane osobowe były:
5) przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania;
- stwierdzając, iż cel przetwarzania definiuje okres, w jakim dane osobowe mogą być przechowywane, zaś policja nie może arbitralnie decydować, iż dane sprawy przestępstwa mogą się jeszcze przydać do realizacji zadań związanych ze zwalczaniem przestępczości;
- w wydanej decyzji PUODO uznał, że dalsze przetwarzane danych w KSIP jest zbędne, zatem nakazał ich usunięcie;
wyrok WSA:
- rozpatrując skargę KGP sąd administracyjny zwrócił uwagę, że przepisy o przetwarzaniu danych osobowych w KSIP są tak ogólne — nie wiadomo jakie są kryteria uznania, że dane są „zbędne” lub „niezbędne” dla realizacji zadań — że rzeczywiście można je wykładać w taki sposób, że policja może je gromadzić bezterminowo, byle co 10 lat dokonywała ich przeglądu;
- oznacza to, że każdy przypadek należy rozpatrywać w sposób zindywidualizowany, tj. brać pod uwagę konkretny czyn konkretnego człowieka, zatem odmowa usunięcia danych nie może opierać się wyłącznie na lakonicznym odniesieniu do ustawy lub ogólnikowych „prognozach kryminologicznych” (i tu WSA zwrócił uwagę, że oceny takiej dokonał już sąd karny, decydując o warunkowym umorzeniu postępowania);
- co oznacza, że decyzja PUODO była prawidłowa, zatem skarga KGP podlega oddaleniu (wyrok WSA w Warszawie z 28 kwietnia 2022 r., II SA/Wa 3288/21);
skarga kasacyjna KGP:
- w skardze kasacyjnej na tę decyzję KGP podtrzymał wcześniejsze stanowisko: zgodnie z prawem przetwarzanie danych przez policję ma charakter dyskrecjonalny: prawo nakazuje periodyczną weryfikację danych, tj. nie rzadziej niż co 10 lat, pod kątem ich niezbędności i przydatności, ale nie nakazuje ich usuwania;
- co oznacza, że tylko policja jest władna oceniać, czy dane sprawców przestępstw mogą być jeszcze w przyszłości przydatne — a nie PUODO, który nie jest organem odpowiedzialnym za zwalczanie przestępczości;
- skoro więc do przestępstwa doszło w 2018 r., a mężczyzna zażądał usunięcia danych z KSIP już po dwóch latach, to jest to okres zbyt krótki, by mówić o zniknięciu przesłanek, dla których dane sprawcy w policyjnej bazie się pojawiły;
- przy czym na usunięcie danych z KSIP nie ma wpływu ani upływ okresu próby przy warunkowym umorzeniu, ani zatarcie skazania lub usunięcie danych z KRK — rejestry policyjne i rejestr karnych to są dwie różne sprawy;
wyrok NSA:
- owszem, to policja jest odpowiedzialna za zwalczanie przestępczości, ale ocena prawidłowości przetwarzania danych osobowych przez policję leży w gestii Prezesa Urzędu Ochrony Danych Osobowych, który w tym zakresie jest organem kontrolnym nad Komendantem Głównym Policji; stąd też policja ma prawo prowadzić bazy takie jak KSIP (i KCIK), jednak wyłącznie w zakresie niezbędnym do zrealizowania prawa lub obowiązku;
- w Polsce obowiązuje system prawa, a nie federacja przepisów: dla oceny zgodności przetwarzania danych w KSIP konieczne jest „systemowe” uwzględnienie całości unormowań: z jednej strony policja powinna dokonywać weryfikacji kartoteki nie rzadziej niż co 10 lat — ale z drugiej strony ma też obowiązek usuwania danych zbędnych;
- pogląd, iż usunięcie danych z KSIP może nastąpić dopiero po periodycznej weryfikacji rejestrów i w ramach usunięcia „zbędnych” informacji jest contra legem, o tyle, że oba unormowania funkcjonują obok siebie, a więc nie można opierać się wyłącznie na jednym przepisie, a nie dostrzegać innego;
- przy czym długość okresu przetwarzania musi być adekwatna do celu przetwarzania — który to cel należy postrzegać konkretnie, przez pryzmat osoby, której dane są wpisane, a nie opierając się na ogólnikowo opisanych ustawowych zadaniach organów ścigania (por. „Policja musi — z czasem — usuwać dane ze swoich baz”);
- oddalając skargę kasacyjną NSA podkreślił, że sprawcę ocenił już sąd powszechny — wszakże nie zastosowałby warunkowego umorzenia postępowania, gdyby przypuszczał, że oskarżony nie popełni już przestępstwa — to policji nie wolno dłużej przetwarzać danych osobowych w celu dokonywania przyszłych „prognoz kryminologicznych”, przechowując w tym celu informacje w bazie KSIP.
Tytułem komentarza: mam wrażenie, że ten bardzo dobrze uzasadniony wyrok zapadł w niezbyt szczęśliwym stanie faktycznym — zaraz się rozniesie, że jak ktoś chce sobie wyczyścić bazę, to musi najsamprzód zgłosić się do rekrutacji w policji, a później zażądać skasowania z kartoteki. Po drugie troszkę gryzie mi się koncepcja, że orzeczenie sądu o umorzeniu warunkowym wyczerpuje wszelkie potencjalne analizy dotyczące podsądnego. (Przez chwilę zastanawiałem się także, czy w takiej sytuacji WSA nie powinien był uchylić decyzji i nakazać PUODO rozpatrzenie sprawy raz jeszcze — no ale przecież organ ochrony danych osobowych nie wejdzie w buty policji czy wymiaru sprawiedliwości i nie podejmie się oceny prognoz kryminologicznych.)