Decyzja ZSOŚS.440.259.2019

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm.), art. 5 ust. 1 pkt 6 i art. 8 ust. 2 pkt 5 w związku z art. 12, art. 13 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2023 r. poz. 1206) oraz art. 4 pkt 1 w związku z art. 2 i art. 25 pkt 3 ustawy z 6 lipca 2001 r. o przetwarzaniu informacji kryminalnych (Dz. U. z 2024 r. poz. 376 ze zm.) w związku z art. 153 i art. 170 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 poz. 935 ze zm.),

po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi Pana H. D., ul. (…), (…)-(…) C., na odmowę usunięcia przez Komendanta Głównego Policji, ul. (…), (…)-(…) G., jego danych osobowych przetwarzanych w Krajowym Systemie Informacji Policji i Krajowym Centrum Informacji Kryminalnych, Prezes Urzędu Ochrony Danych Osobowych

nakazuje Komendantowi Głównemu Policji, ul. (…), (…)-(…) G., przywrócenie stanu zgodnego z prawem, poprzez usunięcie z Krajowego Systemu Informacyjnego Policji i Krajowego Centrum Informacji Kryminalnych danych osobowych Pana H. D., ul. (…), (…)-(…) C., wprowadzonych do Krajowego Systemu Informacyjnego Policji i Krajowego Centrum Informacji Kryminalnych w 2017 r. w ramach postępowania karnego prowadzonego wobec niego w sprawie o czyn wypełniający znamiona przestępstwa określonego w art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii (Dz. U. z 2023 r. poz. 1939) zakończonego prawomocnym postanowieniem Prokuratora Rejonowego w C. z 31 lipca 2017 r. o umorzeniu dochodzenia w sprawie o sygn. akt: (…).

Uzasadnienie

I. Stan faktyczny.

1.

15 października 2019 r. Pan H. D., ul. (…), (…)-(…) C. (dalej również jako Skarżący), wniósł skargę do Prezesa Urzędu Ochrony Danych Osobowych (dalej jako Prezes UODO lub organ nadzorczy) na bezprawne przetwarzanie jego danych osobowych przez Komendanta Głównego Policji, ul. (…), (…)-(…) G. (dalej jako Komendant lub Administrator), w związku z odmową uwzględnienia wniosku Skarżącego o wykreślenie jego danych osobowych z policyjnych rejestrów, tj. Krajowego Systemu Informacji Policji (dalej jako KSIP) i Krajowego Centrum Informacji Kryminalnych (dalej jako KCIK). Jednocześnie, Skarżący wniósł o wydanie decyzji nakazującej Komendantowi wykreślenie jego danych osobowych z rejestru KSIP i KCIK oraz Centralnego Laboratorium Kryminalistycznego Policji (dalej jako CLKP). Podkreślić należy, że Skarżący przedmiotem swojej skargi do Prezesa UODO uczynił odmowę usunięcia przez Komendanta jego danych osobowych w KSIP oraz w KCIK (w tym także zawartych w tych zbiorach danych daktyloskopijnych).

2.

W toku wszczętego ww. skargą postępowania administracyjnego Prezes UODO ustalił opisany poniżej stan faktyczny.

3.

Wobec Skarżącego toczyło się postępowanie karne w związku z podejrzeniem popełnienia czynu zabronionego, tj. o czyn z art. 62 ust. 1 ustawy z dnia 29 lipca 2005 r. o przeciwdziałaniu narkomanii (Dz. U. z 2023 r. poz. 2600). W związku z tym właściwy organ Policji dokonał tzw. rejestracji procesowej, tj. wprowadził dane osobowe Skarżącego do zbioru danych KSIP oraz KCIK, jako o osobie podejrzanej o popełnienie przestępstwa ściganego z oskarżenia publicznego.

4.

Przedmiotowe postępowanie przygotowawcze zostało zakończone postanowieniem Prokuratury Rejonowej w C. z 31 stycznia 2017 r. (sygn. akt: (…)) o umorzeniu dochodzenia prowadzonego przeciwko H. D., podejrzanemu o czyn z art. 62 ust. 1 ustawy z dnia 29 lipca 2005 r. o przeciwdziałaniu narkomanii.

5.

19 maja 2017 r. matka (małoletniego wówczas) Skarżącego, powołując się na ww. postanowienie Prokuratury Rejonowej w C. z 31 stycznia 2017 r. (sygn. akt: (…)) zwróciła się do Komendanta z wnioskiem o usunięcie z rejestru KSIP, KCIK danych osobowych Skarżącego, w tym jego danych daktyloskopijnych.

6.

Pismem z 26 lipca 2017 r., działający jako Szef Krajowego Centrum Informacji Kryminalnych, Komendant potwierdził, że dane osobowe Skarżącego „(…) figurują w KCIK wg stanu na dzień 25 lipca 2017 r. godz. 12:21”. Odmówił on jednocześnie usunięcia kwestionowanych danych z tego systemu. W uzasadnieniu wskazał, że w przedmiotowej sprawie nie stwierdzono przesłanek, o których mowa w art. 25 ustawy z dnia 6 lipca 2001 roku o przetwarzaniu informacji kryminalnych (w jej ówczesnym brzmieniu). W ocenie Komendanta za taką nie mogło zostać uznane w szczególności Postanowienie Prokuratora Rejonowego w C. z 31 stycznia 2017 r. (sygn. akt: (…)) o umorzeniu dochodzenia prowadzonego przeciwko Skarżącemu.

7.

31 grudnia 2018 r., Skarżący skierował w imieniu własnym do Komendanta wezwanie do usunięcia jego „(…) wszelkich danych z rejestru KSIP i KCIK, w tym danych daktyloskopijnych - odcisków linii papilarnych.”

8.

W udzielonej 8 stycznia 2019 r. odpowiedzi Komendant wskazał, m. in., że „(…) Policja nie jest zobowiązana do informowania osoby, której dane osobowe przetwarza, o fakcie przetwarzania tych danych jak również o zakresie przetwarzania czy też udostępniania danych osobowych”. Nie odnosząc się jednoznacznie negatywnie ani pozytywnie do wysuwanego przez Skarżącego żądania usunięcia kwestionowanych danych z KSIP, Komendant, powołując się na ustawowe cele i zadania kierowanej przez siebie formacji, zawarte w ówcześnie obowiązujących przepisach ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2025 r. poz. 636), wyjaśnił w sposób ogólnikowy, że przesłanką warunkującą przetwarzanie danych osobowych w KSIP może być, w szczególności charakter czynu, w związku z popełnieniem którego właściwy organ wprowadza dane do tego systemu, gdzie „(…) jego umyślność oraz forma podstawowa jego popełnienia przemawiają jednakże za faktem przydatności tego rodzaju informacji dla ustawowych działań Policji w szczególności działań o charakterze wykrywczym oraz zmierzającym do zapobiegnięcia przestępstwa w przyszłości. (…)”. Rejestracja zaś danych osobowych w KSIP „(…) ma jedynie charakter pomocniczy dla oceny kryminologicznej danej osoby, dokonywanej przez Policję.”

9.

Jak wynika z wystosowanego do Skarżącego 9 stycznia 2019 r. pisma Komendanta, wniosek o usunięcie jego danych daktyloskopijnych z CLKP (odcisków linii papilarnych) został przekazany przez Komendanta do Dyrektora CLKP oraz był przez niego obsługiwany.

10.

W zakresie przetwarzania kwestionowanych danych osobowych w KCIK, Komendant w adresowanym do Skarżącego piśmie z 29 stycznia 2019 r. (podobnie jak uczynił to ww. korespondencji z 8 stycznia 2019 r., vide: pkt 8 niniejszej decyzji), nie odnosząc się wprost do wyrażonego przez Skarżącego żądania, poinformował go w sposób ogólny, z powołaniem się na przepisy ustawy z 6 lipca 2001 r. o przetwarzaniu informacji kryminalnych (w ich ówczesnym brzmieniu), iż „(…) jako Szef Centrum [Szef Krajowego Centrum Informacji Kryminalnych - dod. wł.] nie jest obowiązany do informowania osoby, której dane osobowe może gromadzić i przetwarzać, o fakcie przetwarzania tych danych, jak również o zakresie przetwarzania, czy też udostępniania danych osobowych.” Zauważył również, że „(…) [g]romadzenie i przetwarzanie informacji kryminalnych w KCIK służy bowiem wyłącznie celom zapobiegania I zwalczania przestępczości realizowanym przez podmioty uprawnione ustawowo umocowane do wykonywania zadań w tym zakresie oraz zadań publicznych, a takie do otrzymywania informacji kryminalnych z KCIK.”

11.

W toku postępowania przed Prezesem UODO, w złożonych 21 stycznia 2020 r. wyjaśnieniach w zakresie przetwarzania danych osobowych Skarżącego w KSIP, Komendant podkreślił, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Jako podstawę prawną do przetwarzania danych osobowych osób, wobec których było prowadzone postępowanie przez organy Policji, powołał on art. 20 ust. 1 ustawy z dnia 6 kwietnia 1990 r. o Policji, który w ówczesnym brzmieniu stanowił, że Policja, z zachowaniem ograniczeń wynikających z art. 19, może uzyskiwać informacje, w tym także niejawnie, gromadzić je, sprawdzać oraz przetwarzać. Uznając przetwarzanie danych osobowych Skarżącego w KSIP za niezbędne, Komendant powołał się na dopuszczalność kontynuowania tego procesu na gruncie art. 16 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości w związku z art. 21 nb oraz art. 20 ust. 1 - 1c i ust. 2b - 2c ustawy o Policji (w ich ówczesnym brzmieniu), cyt: „(…) z uwzględnieniem sposobów oceny danych osobowych pod kątem ich przydatności w prowadzonych postępowaniach wskazanych w [ówcześnie obowiązującym - dod. wł.] § 29 rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie przetwarzania informacji przez Policję”. Podtrzymał i rozwinął przy tym dotychczasową argumentację (vide pkt 8 niniejszej decyzji), wskazując, iż „(…) [c]elem ustawowym przetwarzania danych osobowych Skarżącego jest zapobieżenie popełnieniu przez niego w przyszłości przestępstwa, jak również - w przypadku niemożności zapobieżenia - wykrycie go”. Nie odnosząc się konkretnie do charakteru podejmowanych działań w ramach realizacji ustawowych zadań Policji, Komendant ocenił jednak, że „(…) [w] związku z naruszeniem norm prawnokarnych przez Skarżącego oraz rodzajem norm naruszonych (czyn zabroniony zarzucony sprawcy wykazuje ustawowe cechy czynu popełnionego umyślnie, poprzez działanie), nie można stwierdzić, że dane Skarżącego stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1 ust. 1 ustawy o Policji (…)”. Komendant oświadczył również, że wymaganej na gruncie art. 16 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku zapobieganiem i zwalczaniem przestępczości weryfikacji, dokonywał „(…) w 2017 r. po zakończeniu sprawy oraz ponownie w 2017 r. i w 2019 r. w związku ze skierowanymi wnioskami (…) o usunięcie danych z KSIP i skargą do PUODO na decyzję odmawiającą usunięcia danych skarżącego z KSIP (…)”. W wyniku dokonanej ewaluacji, Komendant nie dopatrzył się przesłanek wskazujących na konieczność usunięcia kwestionowanych danych Skarżącego ze zbioru KSIP. W ocenie Komendanta, potrzebę ich dalszego przetwarzania w KSIP determinowały zwłaszcza: „(…) rodzaj popełnionego przestępstwa z art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii, w tym znamiona popełnionego przestępstwa, tj. posiadanie środków odurzających lub substancji psychotropowych wbrew przepisom ustawy, charakter umyślny popełnionego przestępstwa, w obu postaciach zamiaru bezpośredniego (…), czy też rodzaj naruszonych i zagrożonych dóbr dokonanym czynem, tj. życie i zdrowie osoby”. Komendant, uznając dalsze przetwarzanie danych osobowych Skarżącego za zasadne w świetle ustawowych zadać Policji, tak ze względów prewencyjnych, jak i w celu dokonywania „(…) dalszych prognoz kryminalistycznych, jak też czynności analitycznych (…)” uwzględnił również „(…) metody i formy działania sprawcy [Skarżącego - dod. wł.] oraz inne informacje zgromadzone przez Policję w związku z prowadzoną sprawą (…) lub w związku z realizacją ustawowych uprawnień Policji”.

12.

Odnosząc się ww. piśmie do kwestii celów przetwarzania danych osobowych Skarżącego w KCIK, Komendant podtrzymał dotychczasową argumentację (vide pkt 10 niniejszej decyzji), uznając, że nie ma podstaw do udzielenia Skarżącemu „(…) informacji zarówno potwierdzających, jak i zaprzeczających faktowi przetwarzania informacji przez Szefa Centrum, jak również brak jest podstaw do udostępnienia informacji o zakresie ich przetwarzania, czy też udostępnienia danych osobowych oraz innych informacji związanych z tym przetwarzaniem”.

13.

W zakresie wniosku odnoszącego się do usunięcia danych daktyloskopijnych (odcisków linii papilarnych) Komendant potwierdził, że wniosek Skarżącego został przekazany do Centralnej Registratury Daktyloskopijnej Centralnego Laboratorium Kryminalistycznego Policji.

14.

Organ nadzorczy zważył, że Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu realizacji zadań ustawowych informacje, w tym dane osobowe – o osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego – także bez ich wiedzy i zgody (art. 20 ust. 2a ustawy o Policji w jego brzmieniu aktualnym na dzień rozpoczęcia przez Komendanta przetwarzania danych osobowych Skarżącego). W konsekwencji, Prezes UODO nie dopatrzył się podstaw do przyjęcia, iż doszło do bezprawnego przetwarzania danych osobowych Skarżącego, albowiem Komendant w sposób właściwy, adekwatny i zgodny z prawem dokonał zebrania i dalszego przetwarzania jego danych osobowych. W związku z tym, iż – w ocenie organu nadzorczego – w przedmiotowej sprawie nie wystąpiło naruszenie przepisów o ochronie danych osobowych, Prezes UODO, działając na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (dalej również Kpa) oraz art. 5 ust. 1 pkt 6 w zw. z art. 12 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (zwanej dalej również ustawą z 14 grudnia 2018 r.), decyzją administracyjną z 31 sierpnia 2020 r. prowadzone postępowanie administracyjne – jako bezprzedmiotowe – umorzył.

15.

Skargę na powyższe rozstrzygnięcie do Wojewódzkiego Sądu Administracyjnego w Warszawie (dalej jako WSA w Warszawie) wywiódł Skarżący. Wniósł on o uwzględnienie skargi i uchylenie zaskarżonej decyzji w całości.

16.

Wyrokiem z 21 maja 2021 r. (sygn. akt II SA/Wa 2215/20) WSA w Warszawie (dalej również jako Sąd I instancji) oddalił skargę Pana H. D. na ww. decyzję organu nadzorczego uznając, że decyzja ta odpowiada prawu. WSA w Warszawie rozważył podnoszony przez Skarżącego fakt, iż prowadzone względem niego postępowanie karne z ustawy o przeciwdziałaniu narkomani zostało umorzone postanowieniem Prokuratora Rejonowego w C. z 31 stycznia 2017 r. „jeszcze na etapie postępowania przygotowawczego”, zaś od daty zarejestrowania jego danych osobowych w rejestrze KSIP i KCIK upłynęło prawie 4 lata i od tego czasu nie miał żadnego konfliktu z prawem oraz „(…) nie był przedmiotem żadnego postępowania karnego ani nawet przygotowawczego”. WSA w Warszawie odniósł się również do stanowiska Skarżącego, zdaniem którego zarówno Prezes UODO, jak i Komendant nie wykazali, w jaki sposób przetwarzanie jego danych osobowych w wymienionych rejestrach pomogło w zapobieganiu i zwalczaniu przestępstw. Skarżący ocenił w związku z tym, że organ nadzorczy bezpodstawnie odmówił uwzględnienia jego wniosku o nakazanie Komendantowi usunięcia jego (Skarżącego) danych przetwarzanych w KSIP i KCIK, czym naruszył art. 26 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Sąd I instancji odmówił jednak zasadności temu stanowisku. Wyjaśnił, że ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych jest regulacją stwarzającą prawne podstawy stosowania ochrony państwowej w sytuacjach nielegalnego przetwarzania danych osobowych obywateli przez zarówno podmioty prawa publicznego, jak i podmioty prawa prywatnego, posługujące się ich danymi osobowymi. Powołany ustawowo dla ochrony danych osobowych organ może więc – w drodze decyzji administracyjnej – nakładać stosowne nakazy bądź zakazy, których zasadniczą rolą jest przywrócenie stanu zgodnego z prawem. Sąd przytoczył przy tym treść art. 1, art. 7 pkt 2 ustawy o ochronie danych osobowych oraz art. 31 ust. 3 Konstytucji RP i wyprowadził wniosek, że przy przetwarzaniu danych osobowych uwzględniać należy nie tylko prawo do ochrony prywatności zainteresowanego, ale także dopuszczalność pewnych ograniczeń wolności i praw obywatelskich, o ile mają służyć zapewnieniu bezpieczeństwa i porządku publicznego. Tym samym, ocena zasadności wniosku o nakazanie usunięcia danych osobowych – jak w przypadku rozstrzyganej sprawy – z KCIK i KSIP, musi uwzględniać nie tylko ochronę interesu indywidualnego Skarżącego, ale także uwarunkowania wynikające z innych regulacji prawnych funkcjonujących w systemie prawa, (a nie tylko z ustawy o ochronie danych osobowych), jako że art. 31 ust. 3 Konstytucji RP wskazuje właśnie na ustawowe podstawy owych ograniczeń.

17.

Odnosząc wprowadzone ograniczenia do rozpoznanej sprawy, WSA w Warszawie zauważył, że zgodnie z art. 23 ust. 1 pkt 2 ww. ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten statuuje jedną z legalnych podstaw przetwarzania danych osobowych. Wiążąc treść tego przepisu z kompetencjami organów Policji w zakresie zapewniania bezpieczeństwa i porządku publicznego i łącząc te zadania z prawem tych organów do przetwarzania danych osobowych osób podejrzanych o popełnienie przestępstwa, a następnie skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu, należy – w ocenie Sądu I instancji – dojść do wniosku, że przetwarzanie danych osobowych skarżącego w KSIP oparte jest na obowiązujących przepisach prawnych.

18.

WSA w Warszawie za prawidłowe uznał powołanie przez Prezesa UODO przepisu art. 20 ust. 1 ww. ustawy o Policji jako podstawy prawnej do przetwarzania danych osobowych osób, wobec których były prowadzone postępowania przez organy Policji. Zgodnie bowiem z tym przepisem (w brzmieniu obowiązującym na dzień wydania decyzji z 31 sierpnia 2020 r.) Policja, z zachowaniem ograniczeń wynikających z art. 19 ustawy o Policji, może uzyskiwać informacje, w tym także niejawnie, gromadzić je, sprawdzać oraz przetwarzać. Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu realizacji zadań ustawowych informacje, w tym dane osobowe o osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego, nieletnich dopuszczających się czynów zabronionych przez ustawę jako przestępstw ściganych z oskarżenia publicznego, o osobach o nieustalonej tożsamości lub usiłujących ukryć swoją tożsamość, o osobach stwarzających zagrożenie, o których mowa w ustawie z dnia 22 listopada 2013 r. o postępowaniu wobec osób z zaburzeniami psychicznymi stwarzających zagrożenie życia, zdrowia lub wolności seksualnej innych osób (Dz. U. z 2022 r. poz. 1689 ze zm.) oraz o osobach poszukiwanych – także bez ich wiedzy i zgody (ust. 2a).

19.

Jak wyjaśnił również Sąd I instancji, w świetle (obowiązującego wówczas) art. 20 ust. 2b ww. ustawy o Policji, gromadzone informacje mogą obejmować: dane osobowe, o których mowa w art. 27 ust. 1 ww. ustawy o ochronie danych osobowych, z tym, że dane dotyczące kodu genetycznego wyłącznie o niekodujących regionach genomu, odciski linii papilarnych, zdjęcia, szkice i opisy wizerunku, cechy i znaki szczególne, pseudonimy, informacje o: miejscu zamieszkania lub pobytu, wykształceniu, zawodzie, miejscu i stanowisku pracy oraz sytuacji materialnej i stanie majątku, dokumentach i przedmiotach, którymi się posługują, sposobie działania sprawcy, jego środowisku i kontaktach, sposobie zachowania się sprawców wobec osób pokrzywdzonych. Wspomnianych informacji nie pobiera się w przypadku, gdy nie mają one przydatności wykrywczej, dowodowej lub identyfikacyjnej w prowadzonym postępowaniu.

20.

Sąd I instancji nie podzielił stanowiska z uzasadnienia skargi, wedle którego, niedopuszczalne jest „bezterminowe przechowywanie przez władze danych szczególnie wrażliwych”, ponieważ przepisy ustawy o Policji ustalają okres przechowywania danych. Uwzględnił przy tym nieobowiązujący wówczas art. 20 ust. 17 ustawy o Policji, zgodnie z którym dane osobowe zebrane w celu wykrycia przestępstwa przechowuje się przez okres niezbędny do realizacji ustawowych zadań Policji, przy czym organy Policji dokonują weryfikacji tych danych po zakończeniu sprawy, w ramach której dane te zostały wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji, usuwając zbędne dane.

21.

Sąd I instancji wyjaśnił ponadto, że integralną część wspomnianych regulacji stanowią akty wykonawcze do ustawy o Policji. Przytoczył przepisy (nieobowiązującego) rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 5 września 2007 r. w sprawie przetwarzania przez Policję informacji o osobach (Dz. U. Nr 107 poz. 1203), m.in. § 4 ust. 1, § 11 ust. 1 i ust. 2, a także (uchylonego) rozporządzenia Ministra Spraw Wewnętrznych z dnia 31 grudnia 2012 r. w sprawie przetwarzania informacji przez Policję (Dz. U. z 2013 r. poz. 8), w tym jego § 10 ust. 1. Treść tego przepisu wskazywała, że do wykonywania czynności w zakresie pobierania, uzyskiwania, gromadzenia, sprawdzania, przetwarzania i wykorzystywania informacji, w tym danych osobowych, o których mowa w (nieobowiązującym) art. 20 ust. 2a i 2b ww. ustawy o Policji, prowadzi się w Policji KSIP, będący zestawem zbiorów danych przetwarzanych w systemach teleinformatycznych. W KSIP mogą być przetwarzane również informacje, w tym dane osobowe, do których gromadzenia, uzyskiwania i przetwarzania Policja jest uprawniona na podstawie odrębnych ustaw, jeżeli takie przetwarzanie przyczynia się do koordynacji informacji oraz efektywniejszej organizacji i realizacji ustawowych zadań Policji w zakresie wykrywania i ścigania sprawców przestępstw oraz zapobiegania przestępczości oraz jej zwalczania, a także ochrony życia i zdrowia ludzi (ust. 2).

22.

W konsekwencji, WSA w Warszawie zważył, że w świetle powyższych regulacji, wbrew poglądowi Skarżącego, organy Policji są uprawnione do przetwarzania danych osób nie tylko skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu, ale także podejrzanych o popełnienie przestępstwa. Realizowanie bowiem celu, jakim jest zapewnienie bezpieczeństwa i porządku publicznego przez organy Policji, wypełnia wymóg niezbędności przetwarzania danych osobowych w KSIP dla spełnienia obowiązku wynikającego z przepisu prawa (art. 1 ust. 2 ww. ustawy o Policji), co oznacza, że sam proces przetwarzania zawartych w tym zbiorze danych, również w odniesieniu do – jak to określił Skarżący – „danych prowadzonych w związku z toczącym się uprzednio jedynie postępowaniem przygotowawczym, zakończonym następnie umorzeniem po 7 dniach”, posiada oparcie w legalnej przesłance przetwarzania danych, o której mowa w art. 23 ust. 1 pkt 2 ww. ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Zaznaczył jednocześnie, że kryterium niezbędności przetwarzania danych osobowych w KSIP musi być bowiem odnoszone do ustawowych zadań Policji, których realizowaniu mają służyć przepisy art. 20 ust. 1, (nieobowiązujący) ust. 2a, ust. 2b w związku z (uchylonym) art. 20 ust. 17 ww. ustawy o Policji.

23.

Sąd I instancji dodał także, że – w jego ocenie – omówione uregulowania ustawowe gwarantują, aby mechanizm działania zasady proporcjonalności odbywał się z poszanowaniem generalnych zasad konstytucyjnych, czyli zasady demokratycznego państwa prawa (art. 2 Konstytucji RP) i zasady legalizmu (art. 7 Konstytucji RP). W konsekwencji ww. Sąd podzielił pogląd Prezesa UODO, że przepisy art. 20 ust. 1, (nieobowiązującego) ust. 2a, ust. 2b w związku z (uchylonym) art. 20 ust. 17 ww. ustawy o Policji mieszczą się w granicach swobody regulacyjnej, odpowiadają zasadzie proporcjonalności i tym samym wspomniane ograniczenie praw i wolności nie narusza ustawy zasadniczej. Zdaniem ww. Sądu, „prawo wspólnotowe Unii Europejskiej oraz orzecznictwo ETS” (brzmienie oryginalne – dod. wł.) również nie sprzeciwia się bardziej szczegółowemu uregulowaniu kwestii przetwarzania danych osobowych przez Policję, niż wynika to z ogólnie obowiązujących przepisów o ochronie danych osobowych. W oparciu o nieobowiązujący art. 20 ust. 17 ustawy o Policji Sąd I instancji wykluczył skuteczne stawianie Komendantowi, będącemu administratorowi danych zawartych w KSIP, zarzutu, że w sposób bezprawny przechowuje dane osobowe Skarżącego pozyskane w ramach czynności związanych z podejrzeniem popełnienia przez niego w 2017 r. przestępstwa z ustawy o przeciwdziałaniu narkomanii.

24.

WSA w Warszawie zwrócił uwagę, że z analizy akt sprawy, w tym wyjaśnień złożonych przez Komendanta wynika, iż w stosunku do Skarżącego dokonano wymaganych ustawą weryfikacji, tj. w 2017 r. po zakończeniu sprawy oraz ponownie w 2017 r. i w 2019 r. w związku ze skierowanymi wnioskami do Komendanta o usunięcie danych osobowych z KSIP i skargą do Prezesa UODO na decyzję odmawiającą usunięcia danych Skarżącego z KSIP, przy czym w przypadku wniosku o usunięcie danych weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP oraz pod kątem legalności, w tym w zakresie przesłanek z uchylonego już, ale będącego podstawą przeprowadzenia weryfikacji danych osobowych Skarżącego w 2017 r. i w styczniu 2019 r. art. 20 ust. 17 ustawy o Policji oraz obowiązującego obecnie art. 16 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości. Wskazany w treści obu przepisów, uchylonego i obowiązującego, dziesięcioletni okres obowiązkowej weryfikacji zgromadzonych danych jeszcze nie upłynął, a zatem nie zachodzą ustawowe przesłanki do usunięcia danych skarżącego z KSIP.

25.

Według WSA w Warszawie, weryfikacja danych osobowych, tak jak ich gromadzenie, uzyskiwanie i cały proces przetwarzania danych osobowych przez Policję, w tym przetwarzanie danych osobowych w KSIP, odbywa się bez wiedzy i zgody osoby, której dane dotyczą, stosownie do przepisów art. 20 ust. 1d zdanie drugie ustawy o Policji. Z tego powodu jako prawidłowe Sąd I instancji uznał też stanowisko Prezesa UODO w zakresie braku podstaw do usunięcia danych Skarżącego z zasobów KCIK. Sąd przytoczył treść art. 6, art. 4 pkt 1, art. 13 ust. 1 pkt 5 lit. a, art. 14 ust. 1 ustawy o KCIK i tym samym za niezasadne uznał wskazane w skardze zarzuty naruszenia prawa materialnego, tj. art. 26 ust. 1 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r. przez jego błędną wykładnię i uznanie, że brak jest podstaw do wydania pozytywnej decyzji w przedmiocie uwzględnienia wniosku Skarżącego o nakazanie Komendantowi usunięcia danych osobowych Skarżącego przetwarzanych w KSIP i KCIK.

26.

W tym stanie rzeczy, wedle WSA w Warszawie, na gruncie regulacji zawartych w ustawie o ochronie danych osobowych oraz rozporządzeniu 2016/679 brak było przepisu, który dawałby podstawę do wydania decyzji administracyjnej w sytuacji, gdy organ nadzorczy nie stwierdził naruszenia przepisów o ochronie danych osobowych, w tym w szczególności nie istniał przepis, który dawałby podstawę do oddalenia skargi kierowanej do organu, czy też odmowy uwzględnienia żądania w niej wyrażonego, w sytuacji, gdy nieprawidłowości w ogóle nie wystąpiły. W tej sytuacji – w ocenie ww. Sądu – Prezes UODO prawidłowo umorzył postępowanie jako bezprzedmiotowe na podstawie art. 105 § 1 Kpa.

27.

Skargę kasacyjną od powyższego wyroku wniósł Skarżący. Zaskarżając wyrok w całości, zarzucił on naruszenie przepisów prawa materialnego oraz naruszenie przepisów postępowania, które mogły mieć istotny wpływ na wynik sprawy.

28.

W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie. W uzasadnieniu stwierdził, że dane osobowe Skarżącego zostały pozyskane przez organy Policji zgodnie z prawem i tak też są przetwarzane w zbiorach KSIP i KCIK. Organy Policji zobowiązane są do oceny przydatności przetwarzanych danych z punktu widzenia celów prewencyjnych, dowodowych czy wykrywczych, która to ocena została dokonana z wynikiem dodatnim, co implikuje pozostawienie w KSIP i KCIK danych Skarżącego i skutkuje oceną tego procesu jako zgodnego z prawem.

29.

Wyrokiem z 21 listopada 2024 r., sygn. akt III OSK 1065/23, Naczelny Sąd Administracyjny (zwany dalej NSA albo Sąd II instancji) uchylił zaskarżony wyrok WSA z 21 maja 2021 r. (sygn. akt II SA/Wa 2215/20 i zaskarżoną decyzję organu nadzorczego z 31 sierpnia 2020 r., wskazując w pierwszej kolejności, że istota sprawy sprowadza się do ustalenia okoliczności, które według Komendanta uprawniają go do dalszego przetwarzania danych osobowych Skarżącego i oceny tych okoliczności z punktu widzenia przepisów zobowiązujących Komendanta do usunięcia z KSIP i KCIK danych osobowych Skarżącego przetwarzanych niezgodnie z celami wskazanymi w obowiązujących przepisach prawa.

30.

Zdaniem NSA, podstawę dokonania tej oceny powinny stanowić przede wszystkim przepisy: ustawy z dnia 14 grudnia 2018 r., ustawy z dnia 6 lipca 2001 r. o przetwarzaniu informacji kryminalnych (Dz. U. z 2024 r. poz. 376 ze zm., dalej ustawa z 6 lipca 2001 r.) i ustawy z dnia 6 kwietnia 1990 r. o Policji.

31.

NSA uznał, że WSA w Warszawie błędnie przyjął, że Prezes UODO wykazał w zaskarżonej decyzji, że przetwarzanie przez Komendanta danych osobowych Skarżącego w KSIP jest niezbędne dla realizacji wskazanych celów ich przetwarzania w rozumieniu art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.

32.

NSA zaznaczył, iż Prezes UODO w ramach swoich kompetencji ma obowiązek kontroli stosowania i przestrzegania przepisów ustawy z dnia 14 grudnia 2018 r., w tym również przez organy Policji. W ramach tej kontroli ustawodawca przyznał Prezesowi UODO prawo do dokonania oceny zgodności działań organów Policji z przepisami w zakresie ochrony danych osobowych. Prezes UODO ma więc prawo do kontrolowania procesu przetwarzania danych osobowych realizowanego w szeroko rozumianym zakresie zwalczania przestępczości, z zachowaniem przepisów ustawy, tj. art. 8 ust. 3 ustawy z 14 grudnia 2018 r.

33.

Jak podkreślił NSA, ustawa z 14 grudnia 2018 r., mająca zastosowanie również do danych osobowych przetwarzanych przez organy Policji, zapewnia osobie, której dane osobowe są przetwarzane w celach określonych w jej art. 1, szereg uprawnień pozwalających na skuteczną ochronę jej praw oraz gwarantuje jej odpowiednie środki ochrony prawnej. Przepis art. 24 ust. 1 pkt 2 ustawy z dnia 14 grudnia 2018 r. gwarantuje osobie, której dane dotyczą, możliwość skutecznego dochodzenia usunięcia jej danych osobowych w przypadku, gdy dane te zostały zebrane lub są przetwarzane z naruszeniem przepisów niniejszej ustawy. Sąd II instancji podkreślił przy tym, że z wnioskiem o usunięcie danych, w świetle przepisu art. 24 ust. 1 pkt 2 ustawy z dnia 14 grudnia 2018 r., podmiot danych może wystąpić w każdym czasie, zaś administrator zobowiązany jest ocenić w związku z wpłynięciem tego wniosku, czy zachodzą podstawy do usunięcia danych i poinformować o wyniku tej oceny osobę, która wniosek złożyła. Zgodnie zaś z art. 24 ust. 2 ustawy z dnia 14 grudnia 2018 r. uwzględniając wniosek, o którym mowa w ust. 1, administrator bez zbędnej zwłoki odpowiednio uzupełnia, aktualizuje lub sprostowuje dane osobowe albo dokonuje ich usunięcia.

34.

Na będącym administratorem danych Komendancie spoczywają obowiązki określone w art. 31 ust. 1 ustawy z dnia 14 grudnia 2018 r. Jeżeli zatem dane osobowe nie są prawidłowe, stosownie do celów ich przetwarzania, administrator zgodnie z art. 31 ust. 2 tej ustawy, jest zobowiązany do niezwłocznego ich usunięcia lub sprostowania.

35.

Ponadto, zgodnie z art. 16 ust. 1 i 2 ustawy z dnia 14 grudnia 2018 r., administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu – nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych. Celem tej weryfikacji jest ustalenie, czy istnieją dane, których dalsze przechowywanie jest zbędne – te ostatnie podlegają usunięciu. Z kolei za zbędne dane powinno uznawać się takie, które nie są już przydatne w świetle celów wyrażonych w art. 1 pkt 1 ustawy z dnia 14 grudnia 2018 r. Zatem warunek ograniczenia przechowywania uniemożliwia bezterminowe przechowywanie danych w przypadku osiągnięcia celu, w którym zostały zebrane. Bezterminowe przechowywanie danych osobowych mogłoby bowiem powodować naruszenie zasad przetwarzania, takich jak adekwatność, minimalizacja danych, związanie celem, rzetelność przetwarzania, a także prawidłowość danych. Powyższe sprawia, że dokonując weryfikacji danych osobowych administrator musi dokonać uprzednio dokładnej analizy stanu faktycznego pod kątem zapewnienia przetwarzania danych osobowych zgodnie z określonymi w ustawie z dnia 14 grudnia 2018 r. zasadami ich przetwarzania. Dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą zostać niezwłocznie usunięte.

36.

NSA podkreślił, że okres przechowywania danych osobowych nie powinien być dłuższy niż jest to niezbędne do osiągnięcia przez administratora celu ich przetwarzania. Dane osobowe nie muszą być zatem usunięte w najkrótszym terminie wyrażonym ogólnie, lecz najkrótszym w odniesieniu do celu zbierania danych (por. A. Grzelak „Ochrona danych osobowych we współpracy państw członkowskich w zwalczaniu przestępczości. W stronę standardu europejskiego”, Warszawa 2015, s. 399).

37.

Przepis art. 16 ustawy z dnia 14 grudnia 2018 r. należy rozumieć w ten sposób, że wspomnianej weryfikacji administrator jest obowiązany dokonywać nie później niż po upływie 10 lat, co oznacza, że termin weryfikacji może nastąpić również wcześniej, zaś w przypadku złożenia wniosku o usunięcie danych przed upływem 10 lat musi nastąpić wcześniej.

38.

W ocenie NSA, przepisy ustawy o Policji są na tyle ogólne, że biorąc tylko je pod uwagę, możliwe byłoby zakwalifikowanie wszystkich zebranych przez Policję danych osobowych jako niezbędnych dla realizacji jej zadań, co umożliwiałoby bezterminowe przechowywanie danych pomimo osiągnięcia celu, w którym zostały zebrane. Tymczasem kluczowym wyznacznikiem dla oceny dopuszczalności przetwarzania danych osobowych w KSIP jest – jak wspomniano – cel gromadzenia określonych informacji, co determinuje konieczność dokonywania każdorazowej, zindywidualizowanej oceny wniosków o usunięcie danych z tego zbioru. W konsekwencji, to ustalenie celu, w jakim dane osobowe są przetwarzane, kształtuje w istocie okres, przez jaki dane te mogą być przetwarzane. Jednocześnie, cel ten powinien zostać określony konkretnie i musi być zasadny w świetle realizacji ustawowych zadań Policji, a nie określony w sposób ogólnikowy. Ustanie celu, dla którego dane są przetwarzane, aktualizuje zatem konieczność ich usunięcia.

39.

Wedle Sądu II instancji Komendant, w toku postępowania wyjaśniającego zwieńczonego decyzją Prezesa UODO z 31 sierpnia 2020 r., nie uzasadnił konkretnego celu, jaki determinuje dalsze przetwarzanie danych osobowych Skarżącego w KSIP w związku z prowadzonym przeciwko niemu i zakończonym umorzeniem postępowaniem karnym w sprawie o czyn z art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii. Nie wykazał bowiem, w jaki sposób przetwarzanie jego danych osobowych przyczynia się do realizacji któregokolwiek z zadań określonych w art. 1 ust. 2 ustawy o Policji. Z kolei w zaskarżonej decyzji organ nadzorczy nie powołał się na żadne konkretne, zindywidualizowane okoliczności, które świadczyłyby o tym, że dalsze przetwarzanie danych osobowych Skarżącego jest niezbędne z punktu widzenia realizacji ustawowych zadań Policji. W ocenie NSA, Prezes UODO nie wyjaśnił, z jakiej konkretnie przyczyny uważa dalsze przetwarzanie danych osobowych Skarżącego za niezbędne z punktu widzenia powoływanych w przepisach celów, uznając tym samym stanowisko Komendanta prezentowane w przedmiotowej sprawie jako zasadne.

40.

W konsekwencji NSA przyjął, że Prezes UODO nie uzasadnił w swojej decyzji, z jakich względów uznał w tym konkretnym przypadku stanowisko Komendanta wobec wniosku Skarżącego o usunięcie jego danych osobowych z KSIP za prawidłowe – uznając wystąpienie przesłanek uzasadniających ich dalsze przetwarzanie. Brak wykazania aktualnego, konkretnego celu przetwarzania danych osobowych Skarżącego w KSIP może natomiast prowadzić do stwierdzenia, że dalsze przetwarzanie jego danych osobowych odbywa się z naruszeniem art. 13 oraz art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r., co wymagać będzie nakazania Komendantowi przywrócenia stanu zgodnego z prawem w tym zakresie, w oparciu o art. 8 ust. 2 pkt 5 tejże ustawy.

41.

W nawiązaniu do powyższej argumentacji, NSA za zasadny uznał również stawiany przez Skarżącego zarzut naruszenia art. 25 pkt 3 ustawy z 6 lipca 2001 r. W ocenie Sądu II instancji, WSA w Warszawie niezasadnie uznał, że Prezes UODO w zaskarżonej decyzji trafnie przyjął, że aktualny w odniesieniu do Skarżącego jest cel przetwarzania jego danych osobowych w zbiorze KCIK, tj. dane te są istotne z punktu widzenia czynności operacyjnych, w sytuacji nieustalenia w jaki sposób przetwarzanie danych Skarżącego przyczyni się do realizacji tego celu.

42.

Na podstawie dokonanej przez NSA oceny prawnej, aktualność celu przetwarzania danych w KCIK należy oceniać przy uwzględnieniu treści art. 4 pkt 1 w związku z art. 2 ustawy z 6 lipca 2001 r., tj. dane mają być istotne z punktu widzenia czynności operacyjno-rozpoznawczych lub postępowania karnego. Jak wskazał NSA, z uzasadnienia zaskarżonej decyzji wynika, że organ nadzorczy uznał, iż „przepisy ustawy o Policji i ustawy o przetwarzaniu informacji kryminalnych zezwalają na gromadzenie danych w celach operacyjnych”, tj. w KCIK i że w tych właśnie celach dane osobowe Skarżącego są nadal przetwarzane w podanym zbiorze. Prezes UODO miał jednak nie wykazać, w jaki sposób przetwarzanie informacji kryminalnych dotyczących Skarżącego jest aktualnie nadal istotne z punktu widzenia czynności operacyjnych. Zatem stanowisko organu nadzorczego dotyczące celowości i – co z tym związane – legalnego charakteru dalszego przetwarzania danych osobowych Skarżącego w KCIK było gołosłowne. Organ nadzorczy – w ocenie NSA – nie wykazał również okoliczności, które miałyby wskazywać, że celem dalszego przetwarzania danych Skarżącego w KCIK jest realizacja zadań ustawowych Policji. W konsekwencji NSA ocenił, że Prezes UODO nie wykazał w zaskarżonej decyzji, że w sprawie nie zostały spełnione warunki skutkujące koniecznością usunięcia danych kryminalnych z baz danych – określone w art. 25 pkt 3 ustawy z dnia 6 lipca 2001 r.

43.

W zapadłym 21 listopada 2024 r. orzeczeniu NSA odwołał się również do dorobku „Europejskiego Trybunału Sprawiedliwości” [powinno być: Europejskiego Trybunału Praw Człowieka – dod. wł.] , który w wyroku z 4 grudnia 2008 r. (sygn. 30562/04 i 30566/04, sprawa S. i Marper v. UK) uznał, iż „Ochrona danych osobowych ma fundamentalne znaczenie dla korzystania z prawa do poszanowania życia prywatnego i rodzinnego zagwarantowanego w art. 8 konwencji. Prawo krajowe musi zapewnić odpowiednie zabezpieczenia przed użyciem danych osobowych niezgodnym z gwarancjami tego artykułu. Potrzeba zabezpieczeń jest jeszcze większa w przypadku ochrony danych osobowych poddawanych automatycznemu przetwarzaniu, w tym używanych dla celów policyjnych. Prawo krajowe musi w szczególności zapewnić, aby dane takie były: istotne ze względu na cel ich gromadzenia oraz zachowane w formie umożliwiającej identyfikację osoby, której dotyczą, nie dłużej niż przez okres wymagany ze względu na wymieniony cel. Prawo krajowe musi również zapewnić odpowiednie gwarancje skutecznej ochrony przechowywanych danych osobowych przed niewłaściwym użyciem lub nadużyciem.” Zatem, w ocenie NSA, bezterminowe przechowywanie przez władze (publiczne – dod. wł.) danych szczególnie wrażliwych jest niedopuszczalne w demokratycznym społeczeństwie i prowadzi do naruszenia art. 8 Europejskiej Konwencji Praw Człowieka, stanowiącego o prawie do ochrony życia prywatnego. Prawo krajowe powinno zawierać więc odpowiednie mechanizmy ochronne w celu zapobieżenia takiego wykorzystania informacji osobistych, które naruszałoby art. 8 Konwencji. Wykorzystywanie zaś danych osobowych do celów policyjnych nie może być usprawiedliwieniem mniejszej ochrony.

44.

NSA za co najmniej przedwczesne uznał w niniejszej sprawie zastosowanie przez Prezesa UODO art. 105 § 1 Kpa i umorzenie przez organ nadzorczy postępowania administracyjnego w przedmiocie odmowy usunięcia przez Komendanta danych osobowych Skarżącego przetwarzanych w zbiorach KSIP i KCIK.

45.

W przedmiotowym orzeczeniu NSA zobligował organ nadzorczy do poczynienia ustaleń, które dałyby mu podstawy przyjąć, że Komendant „(…) uzasadnił jaki konkretnie cel determinuje dalsze przetwarzanie danych osobowych [S]karżącego w KSIP w związku z prowadzonym przeciwko niemu i zakończonym umorzeniem postępowaniem karnym w sprawie o czyn z art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii”. W tym celu Prezes UODO został przez Sąd zobowiązany do ustalenia konkretnych, zindywidualizowanych okoliczności, świadczących o tym, że dalsze przetwarzanie danych osobowych Skarżącego jest istotnie niezbędne z perspektywy realizacji ustawowych zadań Policji. Innymi słowy, Sąd II instancji zobligował organ nadzorczy do zbadania, czy w stosunku do danych osobowych Skarżącego istnieją realne przesłanki uzasadniające niezbędność ich dalszego przetwarzania w KSIP. Podobnie, wobec kwestii przetwarzania danych osobowych Skarżącego w KCIK, Prezes UODO został zobowiązany do wykazania „(…) w jaki sposób przetwarzanie informacji kryminalnych, dotyczących [S]karżącego jest istotne z punktu widzenia czynności operacyjnych (…)”, a zatem w jaki sposób przetwarzanie tych danych przez Komendanta faktycznie sprzyja realizacji ustawowych zadań Policji (jakie znaczenie mają dane osobowe Skarżącego z punktu widzenia osiągnięcia tego celu).

46.

W wykonaniu wynikającego z ww. wyroku NSA zobowiązania, ukierunkowanego na ustalenie, czy proces przetwarzania danych osobowych Skarżącego jest obecnie realnie uzasadniony konkretnymi celami realizowanymi w jego indywidualnym przypadku przez Policję, Prezes UODO, działając na podstawie art. 5 ust. 1 pkt 6 ustawy z dnia 14 grudnia 2018 r. (Dz. U. z 2023 r. poz. 1206 ze zm.) w zw. z art. 153 i art. 170 ustawy z 30 sierpnia 2002 r. Prawo po postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 z późn. zm.), pismami z 7 kwietnia oraz 26 maja 2025 r. (wobec nieotrzymania odpowiedzi w oznaczonym w nich terminie 7 dniowym, ponawianymi odpowiednio: 23 kwietnia i 12 czerwca 2025 r.) zwrócił się do Komendanta o złożenie dodatkowych wyjaśnień. Organ nadzorczy dążył w szczególności do ustalenia, czy Komendant usunął kwestionowane dane osobowe Skarżącego z policyjnych rejestrów KSIP i KCIK, a w przypadku udzielenia odpowiedzi negatywnej, do ustalenia konkretnego, zasadnego w świetle przepisów regulujących działania Policji celu, którego realizacji ma służyć kontynuowany proces przetwarzania danych Skarżącego oraz przewidywanego terminu, w jakim cel ten zostanie osiągnięty (w tym konkretnych okoliczności uzasadniających stanowisko Komendanta w kwestii istotnego znaczenia kwestionowanych danych w kontekście określonych czynności operacyjno – rozpoznawczych lub postępowania karnego).

47.

Na podstawie odpowiedzi udzielonych przez Komendanta pismami z 18 kwietnia 2025 r., 6 czerwca 2025 r. oraz 1 lipca 2025 r. Prezes UODO ustalił, co następuje:

1)

Komendant, podtrzymując w całej rozciągłości argumentację zawartą w dotychczas prowadzonej z organem nadzorczym korespondencji (w tym, w szczególności w piśmie z 21 stycznia 2020 r.), wskazał, iż przetwarza obecnie w KSIP dane osobowe Skarżącego „(…) w związku z prowadzonym przeciwko niemu postępowaniem w sprawie o czyn z art. 62 ust. 1 ustawy z dnia 29 lipca 2005 r. o przeciwdziałaniu narkomanii (…)”, realizując przy tym cel zgodnie z ustawą 6 kwietnia 1990 r. o Policji. Zaznaczył jednocześnie, że „(…) nie jest możliwe wskazanie jednego konkretnego celu, którego realizacji ma służyć kontynuowany proces przetwarzania danych osobowych (…), nie jest też możliwe podanie przewidywanego terminu, w jakim cel ten zostanie osiągnięty”.

2)

W ocenie Komendanta, „(…) [w]skazanie konkretnych celów z katalogu ustawowych zadań Policji, których realizacji ma służyć kontynuowany proces przetwarzania danych osobowych pana H. D. w KSIP, mogłoby pozostawać w sprzeczności z (…) przepisami”, tj. art. 26 ustawy z dnia 14 grudnia 2018 r. w związku z art. 20 ust. 1d zd. drugie ustawy o Policji oraz art. 20a ust. 1 tejże.

3)

Zaznaczył on jednocześnie, że wszystkie informacje, w tym dane osobowe (a więc również Skarżącego), przetwarzane są w KSIP w celu realizacji ustawowych zadań Policji, które wymienione zostały w art. 1 ust. 2 ustawy o Policji.

4)

Komendant kontynuuje zatem proces przetwarzania kwestionowanych danych, „(…) aby w pierwszym rzędzie uniemożliwić ponowne popełnienie przestępstwa, po wtóre zaś - właściwie dokonywać dalszych prognoz kryminologicznych, jak też czynności analitycznych, a także w pełni realizować ustawowe zadania Policji”, co – w opinii Komendanta – nie tylko koreluje z treścią art. 1 ust. 2 pkt 1, 2 i 4 ustawy o Policji oraz art. 1 pkt 1 ustawy z dnia 14 grudnia 2018 r., ale też art. 2 ust. 1 pkt 5 w związku z art. 5 ust. 2 pkt 4 ustawy z dnia 29 lipca 2005 r. o przeciwdziałaniu narkomanii.

5)

W jego ocenie, w związku z naruszeniem norm prawnokarnych przez Skarżącego oraz rodzajem naruszonych norm, nie można stwierdzić, że dane Skarżącego stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1 ust. 2 pkt 1 i 2 ustawy o Policji, w szczególności ze względu na rodzaj popełnionego przez Skarżącego przestępstwa z art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii, w tym znamion jego popełnienia, tj. posiadanie środków odurzających lub substancji psychotropowych wbrew przepisom ustawy, umyślność jego popełnienia (w obu postaciach zamiaru bezpośredniego i ewentualnego), czy też rodzaj naruszonych i zagrożonych dóbr dokonanym czynem, tj. życie i zdrowie osoby. Dodatkowo, wedle Komendanta: „(…) w przypadku posiadania tych środków lub substancji na własny użytek, przedmiot ochrony stanowi dobro indywidualne w postaci zdrowia i życia konkretnej osoby”. Należy też – zdaniem Komendanta – „uwzględnić metody i formy działania sprawcy przy jego popełnieniu oraz inne informacje zgromadzone przez Policję w związku z prowadzoną sprawą o ww. przestępstwo lub w związku z realizacją ustawowych uprawnień Policji”. Nadto, Komendant powołał się na przepisy ustawy o przeciwdziałaniu narkomanii, które „(…) dopuszczają brak karalności (nie zaś brak uznania winy) wobec sprawcy, który posiada «niewielkie ilości» oraz posiada je na własny użytek (…)”, co w ocenie Komendanta „(…) nie wyłącza z karalności stanu posiadania jako takiego”.

6)

Wobec obiektywnego faktu dopuszczenia się przez Skarżącego czynu zabronionego zdaniem Komendanta: „(…) zasadnym oraz ściśle związanym z celami określonymi w art. 1 ust. 1 pkt 3 ustawy o Policji stało się przetwarzanie danych osobowych Skarżącego na czas potrzebny, aby obiektywnie zweryfikować, czy wyrażenie skruchy przez Skarżącego oraz oświadczenie, że środki odurzające posiadał na własny użytek i nie przyczyniał się do ich rozprowadzenia, polegają na prawdzie, a postanowienie o umorzeniu postępowania nie zostało wydane przedwcześnie”.

7)

Wymagana na gruncie art. 16 ust. 1 ustawy z dnia 14 grudnia 2018 r. weryfikacja pod kątem legalności i celowości przetwarzania danych osobowych, na podstawie której Komendant nie stwierdził, aby dane osobowe Skarżącego były zbędne (nieprzydatne do realizacji ustawowych zadań Policji) miała zostać dokonana przez niego kilkukrotnie, tj. „(…) po otrzymaniu informacji o zakończeniu postępowania w sprawie przeciwko Skarżącemu, następnie w związku z wnioskami pana H. D. o usunięcie danych osobowych z KSIP, a także z jego skargą do Prezesa Urzędu Ochrony Danych Osobowych”. W jego ocenie – obok spełnienia przesłanek zawartych w art. 51 ust. 4 Konstytucji RP – stanowić ma to przejaw działania zgodnego z dyspozycją normy przepisu art. 16 ust. 1 ustawy z dnia 14 grudnia 2018 r. oraz § 105 ust. 1 zarządzenia nr 70 Komendanta Głównego Policji z dnia 2 grudnia 2019 r. w sprawie Krajowego Systemu Informacyjnego Policji (Dz. Urz. KGP poz. 114 ze zm.).

8)

Stojąc na stanowisku, iż: „(…) [u]jawnienie wszystkich okoliczności przemawiających za pozostawieniem danych osobowych Skarżącego w KSIP, stanowiłoby zaprzeczenie celu tych działań Policji, które z racji ich skuteczności muszą pozostać niejawne”, Komendant nie przedstawił wyników ww. ewaluacji. Odrzucił przy tym wydane w przedmiotowej sprawie orzeczenie NSA w zakresie, w jakim Sąd II instancji dostrzegł na tyle istotną ogólnikowość przepisów ustawy o Policji, która – w jego ocenie – umożliwia organom Policji bezterminowe prowadzenie procesów przetwarzania danych osobowych, pomimo osiągnięcia celu, w którym zostały one zebrane.

9)

Pozostający Szefem Krajowego Centrum Informacji Kryminalnych i działający na gruncie ustawy z dnia 6 lipca 2001 r. Komendant stanął na stanowisku, że: „(…) nie jest obowiązany do informowania, czy dane osobowe są przetwarzane, czy zostały usunięte, czy kiedykolwiek były przetwarzane w Krajowym Centrum Informacji Kryminalnych. Powyższe jest uzasadnione przypisanymi Szefowi Centrum zadaniami ustawowymi oraz celami gromadzenia i przetwarzania informacji kryminalnych w bazach danych KCIK”.

10)

Zdaniem Komendanta: „(…) udzielenie wyjaśnień, w szczególności czy dane Pana H. D. zostały usunięte, są lub były przetwarzane w bazach danych KCIK, stanowiłoby odpowiedź na wniosek skarżącego w zakresie udostępnienia informacji na temat przetwarzania jego danych osobowych w bazach KCIK, a co więcej stanowiłoby ujawnienie informacji w zakresie przetwarzania informacji kryminalnych w bazach danych KCIK pomimo braku podstaw do ujawnienia takich informacji wynikających z ustawy o KCIK, stanowiąc tym samym naruszenie przepisów tej ustawy”. W tym kontekście, zgodnie z prezentowanym przez pytany Organ stanowiskiem „(…) [p]rzekazanie w jakiejkolwiek sprawie informacji o celu przetwarzania danych osobowych [w KCIK – dod. wł.] byłoby równoznaczne z potwierdzeniem przetwarzania tych danych”.

II. W tym stanie faktycznym, po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje:

II.A. Uwagi ogólne.

48.

Przepis art. 5 ust. 1 pkt 1-12 ustawy z dnia 14 grudnia 2018 r. zawiera katalog enumeratywnie wymienionych zadań Prezesa UODO, do których, oprócz szeroko rozumianych czynności związanych z monitorowaniem i egzekwowaniem przepisów tej ustawy, należy również rozpatrywanie skarg osób, których dane osobowe są przetwarzane niezgodnie z prawem i prowadzenie postępowań w tym zakresie. Ww. przepis określa zatem status Prezesa UODO, jako organu nadzorczego wyposażonego przez ustawodawcę w kompetencję do dokonania oceny zgodności działań organów Policji z przepisami o ochronie danych osobowych.

49.

Art. 13 wzmiankowanego aktu prawnego wyznacza zaś dopuszczalny zakres przetwarzania danych osobowych przez organy Policji, stanowiąc w ust. 1, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

50.

Swoiste rozwinięcie ww. przepisu ustawy z dnia 14 grudnia 2018 r. stanowi jej art. 31, który w ust. 1 pkt 5 nakłada na administratora obowiązek zapewnienia, aby dane osobowe były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania.

51.

Art. 16 ustawy z dnia 14 grudnia 2018 r. przewiduje zaś obowiązek administratora, dokonywania odpowiedniej weryfikacji i na jej podstawie ustalenia, czy istnieją dane, których dalsze przetwarzanie jest zbędne.

52.

Zgodnie zaś z art. 8 ust. 2 pkt 5 tej ustawy, w przypadku naruszenia przepisów o ochronie danych osobowych zbieranych w celach, o których mowa w jej art. 1 pkt 1, Prezes UODO w drodze decyzji administracyjnej nakazuje administratorowi lub podmiotowi przetwarzającemu przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie danych osobowych.

53.

Ustawodawca w sposób jednoznaczny określił zatem status Prezesa UODO, jako organu nadzorczego w zakresie przetwarzania danych osobowych, nadając mu również uprawnienia do dokonywania oceny, czy przetwarzanie danych osobowych ma miejsce w zgodzie z przepisami (por. wyrok WSA w Warszawie z 23 stycznia 2025 r., sygn. akt II SA/Wa 571/24, LEX nr 3887162).

54.

Powyższe znajduje również potwierdzenie w dokonanej przez NSA ocenie prawnej dotyczącej przedmiotowej sprawy. W wyroku z 21 listopada 2024 r., sygn. akt III OSK 1065/23, NSA jednoznacznie stwierdził, że: „(…) Prezes UODO pozostaje organem właściwym dla dokonania własnej, autonomicznej oceny, czy przetwarzanie danych osobowych wprowadzonych do KSIP w ramach postępowania karnego prowadzonego wobec niego [Skarżącego] w sprawie o czyn wypełniający znamiona przestępstwa określonego w art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii zakończonego prawomocnym postanowieniem Prokuratora Rejonowego w C. z 31 lipca 2017 r. o umorzeniu dochodzenia w sprawie o sygn. akt (…), jest zgodne z prawem, a w szczególności z art. 13 ust. 1 ustawy z 14 grudnia 2018 r. (…)”.

55.

W konsekwencji wskazać należy, że Prezes UODO nie jest związany stanowiskiem Komendanta odnośnie do niezbędności przetwarzania kwestionowanych danych osobowych Skarżącego w kontekście realizowanych przez Policję celów. Deklaracja Komendanta, że dokonał oceny przydatności tych danych i podanie jej wyniku z powołaniem się na potrzebę realizacji ustawowych zadań Policji wiąże się po stronie organu nadzorczego z koniecznością stosownej weryfikacji. Ponadto, organ nadzorczy został do jej dokonania wprost zobligowany wyrokiem NSA z 21 listopada 2024 r., sygn. akt III OSK 1065/23. Działania organu nadzorczego służą zbadaniu zasadności stanowiska Komendanta, wobec skierowanego pod jego adresem przez Skarżącego żądania usunięcia określonych jego danych z KSIP i KCIK i ewentualnego skierowania pod adresem Komendanta nakazu odpowiadającego dyspozycji art. 8 ust. 2 ustawy z dnia 14 grudnia 2018 r., służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych (jeżeli Komendant bezzasadnie odmówił uwzględnienia żądania Skarżącego dotyczącego usunięcia jego danych).

II.B. Zbędność przetwarzania danych osobowych Skarżącego w KSIP.

56.

Ze zgromadzonego w niniejszej sprawie materiału dowodowego wynika, że dane osobowe Skarżącego zostały pozyskane i wprowadzone do zbioru KSIP w 2017 r., w związku z prowadzonym wobec niego wówczas postępowaniem (ostatecznie umorzonym). Co jednak istotne, to fakt, iż od tamtego czasu nie doszło do postawienia mu jakiegokolwiek zarzutu o charakterze prawnokarnym. W szczególności, obecnie nie toczy się przeciwko niemu żadne postępowanie karne.

57.

W tej sytuacji argumentacja Komendanta dotycząca przydatności kwestionowanych danych osobowych Skarżącego w kontekście potrzeb „analitycznych”, dokonywania „prognoz kryminalistycznych”, czy przeciwdziałania przestępstwu nie zasługuje na aprobatę. Wydaje się ona potwierdzać ogólną tendencję do pozostawiania legalnie pozyskanych danych osobowych niejako „na wszelki wypadek”, bez konkretnego celu, który – w ocenie Administratora – być może zmaterializuje się w przyszłości. Mając na uwadze relatywnie długi czas, jaki minął od momentu umorzenia postępowania karnego prowadzonego w przeszłości wobec Skarżącego (który w chwili wszczęcia postępowania był osobą niepełnoletnią) i brak danych świadczących o stawianiu mu kolejnych zarzutów, nie ma podstaw dla uznania zasadności zachowania informacji o Skarżącym jako osobie, w stosunku do której można przyjąć realne założenie o prawdopodobnym przyszłym wejściu w konflikt z prawem. Przyjęcie przeciwnej koncepcji (jak czyni to Komendant) oznaczałoby założenie, że w istocie każdy, wobec kogo podejmowane były w przeszłości jakiekolwiek czynności postępowania karnego, może w przyszłości stać się ponownie ich podmiotem. Na tej zasadzie prawdopodobieństwo takie odnosi się potencjalnie w zasadzie do każdego. Komendant jedynie enigmatycznie wskazał również cel definiowany jako „uniemożliwienie ponownego popełnienia przestępstwa”, który – w oczywisty sposób – nie może być wskazywany jako realny do osiągnięcia pod warunkiem dysponowania danymi o prowadzonym w odległej przeszłości i umorzonym postępowaniu karnym. Odnosząc się do argumentacji Komendanta cytowanej w pkt 47 ppkt 6 niniejszej decyzji wskazującej na potrzebę „obiektywnej weryfikacji czy wyrażenie skruchy przez Skarżącego oraz oświadczenie, że środki odurzające posiadał na własny użytek i nie przyczyniał się do ich rozprowadzenia, polegają na prawdzie, a postanowienie o umorzeniu postępowania nie zostało wydane przedwcześnie” należy wskazać, że w podany sposób Komendant nie tyle dowodzi istnienia konkretnego celu dalszego przetwarzania kwestionowanych danych osobowych Skarżącego, ile raczej kontestuje zasadność określonego sposobu zakończenia w 2017 r. postępowania karnego. Administrator ponownie wydaje się również wskazywać, że ww. przeszłe okoliczności (postępowanie prowadzone wobec Skarżącego w 2017 r.) dają podstawy do traktowania Skarżącego jako potencjalnego sprawcy innych czynów zabronionych, do czego nie ma jakichkolwiek podstaw. Niejednoznaczna jest zarazem argumentacja Komendanta wskazująca na potrzebę ochrony wartości takich jak zdrowie i życie Skarżącego. Komendant nie wyjaśnił w jaki sposób i przy użyciu jakich narzędzi realizuje ten cel oraz z jakich względów nie byłby on możliwy do osiągnięcia w sytuacji braku danych Skarżącego. Należy domniemywać, że łączy go w sposób ogólny z realizacją zadań w obszarze ochrony bezpieczeństwa ludzi oraz bezpieczeństwa i porządku publicznego, zwłaszcza w ramach zapobiegania i wykrywania przestępstw określonych przepisami ustawy o przeciwdziałaniu narkomanii oraz ścigania ich sprawców. Oczywistym jest jednak, że argumentacja taka sprowadza się w istocie do powołania w najogólniejszy sposób na potrzebę realizacji wszelkich ustawowych działań Policji, bez równoczesnego wykazania, w jaki konkretnie sposób kwestionowane dane osobowe Skarżącego mają być konieczne z punktu widzenia konkretnych, indywidualnie określonych celów.

58.

Poza argumentami, do których odniesiono się w poprzednim punkcie, Komendant nie podejmował próby wykazania niezbędności danych Skarżącego w kontekście konkretnych i zindywidualizowanych celów, których osiągnięciu miałoby służyć ich dalsze przetwarzane, powołując się jednie na potrzeby związane z ogólnie wskazywanymi ustawowymi zadaniami Policji (w szczególności art. 1 ust. 2 ustawy o Policji). Tymczasem, istotna z perspektywy dopuszczalnego czasu przetwarzania danych osobowych pozostaje właśnie ich niezbędność dla realizacji celów przetwarzania, tj. w szczególności w celu realizacji ustawowych zadań Policji określonych w ustawie o Policji.

59.

Jak podkreślił NSA w wyroku z 21 listopada 2024 r., kluczowym wyznacznikiem dla oceny dopuszczalności przetwarzania danych osobowych w KSIP jest właśnie cel gromadzenia określonych informacji, co determinuje konieczność dokonywania każdorazowej, zindywidualizowanej oceny wniosków o usunięcie danych z tego zbioru. Ustalenie celu, w jakim dane są przetwarzane, kształtuje okres, przez jaki dane mogą być przetwarzane. Przy czym cel ten musi zostać określony konkretnie i musi być zasadny w świetle realizacji ustawowych zadań Policji, a nie określony w sposób ogólnikowy. Natomiast w przypadku ustania celu, dla którego dane są przetwarzane, niezbędne jest ich usunięcie.

60.

Nie ulega zatem wątpliwości, że dla wykazania niezbędności przetwarzania danych osobowych Skarżącego w KSIP konieczne było wskazanie istnienia konkretnego celu, zasadnego w świetle przepisów regulujących działania Policji, z perspektywy osiągnięcia którego, dane Skarżącego są konieczne. Powołując się na argumentację przedstawioną w punktach poprzedzających należy uznać, że Komendant nie wykazał, aby taki cel był realizowany.

61.

Jak wynika z wykładni dokonanej przez NSA w przywołanym orzeczeniu, którą Prezes UODO podziela i którą pozostaje związany na mocy art. 153 i art. 170 p.p.s.a., za niewystarczające (w kontekście wykazania niezbędności przetwarzania danych) uznać należy ogólne powołanie się przez Komendanta na przepisy określające zadania Policji. Oczywistym jest założenie, że wszelkie działania Policji podejmowane są w graniach prawa i służą realizacji prawem określonych celów i zadań. Nie oznacza to dopuszczalności dowolnego (tak w aspekcie czasowym, jak i w aspekcie prawem dozwolonych celów Policji) przetwarzania legalnie pozyskanych danych osobowych. Komendant ma więc obowiązek weryfikacji i wykazania niezbędności przetwarzanych danych konkretnej osoby w kontekście realizacji konkretnego celu ich przetwarzania, zasadnego w świetle przepisów regulujących działania Policji. Obowiązek ten materializuje się w szczególności w sytuacji wystąpienia ze stosownym wnioskiem przez podmiot danych.

62.

Przytaczane przez Komendanta przesłanki dalszego przetwarzania danych osobowych Skarżącego, uzasadnione potrzebą uniemożliwienia ponownego popełnienia czynu z art. 62 ust. 1 ustawy o przeciwdziałaniu narkomanii, a nadto właściwym dokonywaniem dalszych prognoz kryminologicznych oraz czynności analitycznych, a także ogólnie określoną pełną realizacją ustawowych zadań Policji są zatem dalece niewystarczające. Nie można bowiem pominąć tego, iż przepisy ustawy o Policji pozostają jednak zakotwiczone na pewnym poziomie ogólności, umożliwiającym w praktyce zakwalifikowanie wszystkich zebranych przez Policję danych osobowych jako niezbędnych dla realizacji jej zadań. W konsekwencji, stwarzałoby to sposobność do, w istocie, bezterminowego przetwarzania danych osobowych, pomimo osiągnięcia celu, w jakim zostały one zebrane (vide wyrok WSA w Warszawie z 28 kwietnia 2022 r. sygn. akt II SA/Wa 3288/21, wyrok WSA w Warszawie z 23 stycznia 2025 r., sygn. akt II SA/Wa 571/24).

63.

W toku niniejszego postępowania Komendant nie powołał się na żadne konkretne, zindywidualizowane okoliczności, które świadczyłyby o tym, że dalsze przetwarzanie danych osobowych Skarżącego istotnie pozostaje niezbędne z punktu widzenia realizacji określonych, ustawowych zadań Policji. Komendant nie wyjaśnił, z jakiej konkretnie przyczyny uważa dalsze przetwarzanie danych osobowych Skarżącego za niezbędne, ani jakiego konkretnie zadania czy celu Policja nie zdoła zrealizować nie dysponując nimi (tym bardziej, że Skarżący nigdy nie został skazany prawomocnym wyrokiem sądu za czyn będący przedmiotem umorzonego w 2017 r. postępowania karnego, a zarazem brak jest jakichkolwiek zarzutów stawianych Skarżącemu, czy postępowań wszczętych wobec niego w okresie od momentu umorzenia postępowania z 2017 r. do chwili wydania niniejszej decyzji administracyjnej). Jak zostało to wykazane powyżej, w ocenie Prezesa UODO, postulatu tego nie spełniają ogólne rozważania Komendanta na temat zadań Policji, nie odnoszące się do rodzaju czynu, którego dotyczyło postępowanie karne prowadzone wobec Skarżącego w relatywnie odległej przeszłości i realnej możliwości osiągnięcia bliżej nieskonkretyzowanych i nie powiązanych z osobą Skarżącego celów w postaci m.in. rozpoznawania, zapobiegania, a także wykrywania i zwalczania przestępstw. Błędne jest założenie -jakie wydaje się czynić Komendant - że każdorazowe legalne wprowadzenie przez organ Policji danych do KSIP determinuje dopuszczalność ich dalszego przetwarzania, niezależnie od ich faktycznej przydatności w celu wykrywania przestępstw (por. wyrok WSA w Warszawie z 23 stycznia 2025 r., sygn. akt II SA/Wa 571/24).

64.

Przytoczona argumentacja organu nadzorczego doznaje dodatkowego wzmocnienia w zestawieniu z faktem, iż Komendant nie przedstawił wyników dokonywanej na gruncie art. 16 ustawy z dnia 14 grudnia 2018 r. weryfikacji (vide pkt 49 ppkt 7) i 8) niniejszej decyzji). W konsekwencji, nie można uznać, że proces ten został dokonany przez Komendanta w sposób rzetelny. Powinien on bowiem należycie wykazać przydatność dalszego przetwarzania danych osobowych Skarżącego w odniesieniu do analizy tego konkretnego stanu faktycznego. Powyższe sprawia jednocześnie, iż Komendant nie jest w stanie wykazać, że kontynuowany przez niego proces przetwarzania danych osobowych Skarżącego odbywa się zgodnie z określonymi w ustawie z dnia 14 grudnia 2018 r. zasadami ich przetwarzania.

65.

Jednocześnie, na podstawie dokonanych w toku niniejszego postępowania ustaleń faktycznych, uznać należy, że cel, dla którego dane osobowe zostały w 2017 r. zebrane, został osiągnięty. Okoliczność ta w połączeniu z niemożnością wykazania przez Komendanta konkretnego, zindywidualizowanego celu dalszego przetwarzania danych osobowych Skarżącego oznacza, iż w przedmiotowej sprawie spełniony został zarazem warunek dla zakończenia ich przetwarzania.

66.

W zgodnych poglądach doktryny i judykatury, dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, podlegają obowiązkowi niezwłocznego ich usunięcia. Okres przechowywania danych osobowych nie powinien być bowiem dłuższy, niż jest to niezbędne do osiągnięcia przez administratora celu ich przetwarzania. Dane osobowe nie muszą być usunięte w najkrótszym terminie wyrażonym ogólnie, lecz najkrótszym w odniesieniu do celu zbierania danych. Ustalenie zatem celu, w jakim dane są przetwarzane, kształtuje okres, przez jaki dane mogą być przetwarzane. Przy czym cel musi zostać określony konkretnie i musi być zasadny w świetle realizacji ustawowych zadań Policji, a nie określony w sposób ogólnikowy. Natomiast w przypadku ustania celu, dla którego dane są przetwarzane, niezbędne jest ich usunięcie. (por. A. Grzelak „Ochrona danych osobowych we współpracy państw członkowskich w zwalczaniu przestępczości. W stronę standardu europejskiego”, Warszawa 2015, s. 399).

II.C. Zbędność przetwarzania danych osobowych Skarżącego w KCIK.

67.

Przytoczoną dotychczas argumentację w równym stopniu należy odnieść także do kwestii przetwarzania przez Komendanta danych osobowych Skarżącego w systemie KCIK. Dzieje się tak z uwagi na fakt, iż Komendant nie wykazał (analogicznie jak nie uczynił tego w zakresie przesłanek przetwarzania kwestionowanych danych w zbiorze KSIP), że aktualny w odniesieniu do Skarżącego pozostaje cel przetwarzania jego danych osobowych ww. zbiorze KCIK. Innymi słowy, Komendant nie wykazał, że dane osobowe Skarżącego są rzeczywiście istotne z punktu widzenia czynności operacyjnych, a dalsze przetwarzanie jego danych w sposób konkretny przyczyni się do realizacji tego celu.

68.

Komendant stoi na wielokrotnie wyrażanym przez siebie stanowisku, że w ogóle nie jest zobowiązany do informowania, czy dane osobowe Skarżącego są, a nawet czy kiedykolwiek były przez niego przetwarzane w KCIK, o wskazaniu konkretnych celów ww. przetwarzania nawet nie wspominając (zob. pkt 10, 13, 49 ppkt 9 i 10 niniejszej decyzji). Argumentacja przedstawiona przez Komendanta w reakcji na wezwanie organu nadzorczego do wskazania tych celów i wykazania niezbędności kontynuowanego procesu przetwarzania danych osobowych Skarżącego z ich perspektywy wskazuje, że: „(…) [u]jawnienie wszystkich okoliczności przemawiających za pozostawieniem danych osobowych Skarżącego w KSIP, stanowiłoby zaprzeczenie celu tych działań Policji, które z racji ich skuteczności muszą pozostać niejawne” oraz „(…) [Komendant – dod. wł.] nie jest obowiązany do informowania, czy dane osobowe są przetwarzane, czy zostały usunięte, czy kiedykolwiek były przetwarzane w Krajowym Centrum Informacji Kryminalnych”, a także: „(…) [p]rzekazanie w jakiejkolwiek sprawie informacji o celu przetwarzania danych osobowych [w KCIK – dod. wł.] byłoby równoznaczne z potwierdzeniem przetwarzania tych danych”. W ten sposób Komendant nie tylko nie udzielił merytorycznej odpowiedzi w ww. zakresie na wezwanie organu nadzorczego, ale zignorował treść wyroku NSA z 21 listopada 2024 r. sygn. akt: III OSK 1065/23. Skoro bowiem NSA w przytoczonym rozstrzygnięciu zobligował organ nadzorczy do zweryfikowania: „w jaki sposób przetwarzanie informacji kryminalnych dotyczących skarżącego jest istotne z punktu widzenia czynności operacyjnych”, oczywistym jest że wymaga od organu zbadania czy i jakie konkretnie cele są w tym przypadku realizowane przez Policję oraz czy kwestionowane przetwarzanie danych osobowych Skarżącego jest z ich perspektyw niezbędne. Zaniechanie ze strony Komendanta przedstawienia konkretnych wyjaśnień w tym zakresie musi być zatem traktowane jako brak wymaganych dowodów pozwalających na uznanie procesu przetwarzania danych za legalny. Tytułem uzupełnienia należy zauważyć, że organ nadzorczy nie wzywał Komendanta do przedstawienia „wszystkich okoliczności przemawiających za pozostawieniem danych osobowych Skarżącego w KSIP”, czy informacji o konkretnym poziomie szczegółowości. Tymczasem Administrator nie tylko nie udzielił w podanym zakresie merytorycznych wyjaśnień, lecz wręcz wskazywał na niedopuszczalność ujawnienia choćby tego, czy dane Skarżącego faktycznie kiedykolwiek były przez niego przetwarzane. Uznanie tego stanowiska za zasadne oznaczałoby pozbawienie organu nadzorczego jakichkolwiek narzędzi nadzoru nad procesem przetwarzania danych osobowych w omawianym zbiorze. Dostrzegalna jest równocześnie niekonsekwencja Komendanta, który 26 lipca 2017 r. – a zatem relatywnie niedługo po umorzeniu postępowania karnego wobec Skarżącego – w odpowiedzi na wniosek jego matki poinformował m. in., że: „dane dotyczące Pani syna figurują w KCIK wg stanu na dzień 25 lipca 2017 r. godz. 12:21. Rejestracji w bazach danych KOK dokonała w dniu 26 stycznia 2017 r. Komenda Powiatowa Policji-w C. do-sprawy (…) w związku z przedstawieniem zarzutów z art. 62 ust. 1 ustawy z dnia 29 lipca 2005 roku o przeciwdziałaniu narkomanii”.

69.

Aktualność celu przetwarzania danych w KCIK należy oceniać właśnie przy uwzględnieniu treści art. 4 ust. 1 ustawy z dnia 6 lipca 2001 r., tj. dane mają być istotne z punktu widzenia czynności operacyjno-rozpoznawczych lub postępowania karnego (wyrok NSA z 21 listopada 2024 r.).

70.

W sytuacji zatem kontynuowania przez Komendanta procesu przetwarzania danych osobowych Skarżącego w KCIK, Komendant zobowiązany jest do wskazania konkretnych okoliczności uzasadniających to przetwarzanie w kontekście określonych czynności operacyjno-rozpoznawczych lub postępowania karnego. Nie ulega bowiem wątpliwości, że powinien zachodzić logiczny związek przyczynowo-skutkowy, pomiędzy wprowadzeniem danych osobowych Skarżącego do systemu KCIK w roku 2017 r., a ich dalszym przetwarzaniem w tym zbiorze w chwili obecnej. Rzecz jasna implikuje to niezbędność wykazania, że nie zaistniały przewidziane w art. 25 ustawy o przetwarzaniu informacji kryminalnych przesłanki dla usunięcia danych osobowych Skarżącego, w szczególności ta z art. 25 pkt 3 (tj. nie ustał cel ich gromadzenia).

71.

Jak zostało to już wskazane, w toku postępowania Komendant nie wykazał – poprzestając jedynie na ogólnym przytoczeniu przepisów ww. ustawy o przetwarzaniu informacji kryminalnych – jaki konkretnie jest to cel w obszarze czynności operacyjno-rozpoznawczych lub postępowania karnego, jakie znaczenie mają dane osobowe Skarżącego z punktu widzenia osiągnięcia tego celu (czy ich przetwarzanie pozostaje rzeczywiście istotnie niezbędne dla jego osiągnięcia) oraz w jakich warunkach (ewentualnie w jakim terminie) cel ten zostanie zrealizowany. Czytelne potwierdzenie tego stanu rzeczy – zapewne wbrew intencji Komendanta – stanowi jego odmowa przekazania jakichkolwiek informacji o celu przetwarzania danych osobowych Skarżącego w KCIK (vide pkt 47 ppkt 10 niniejszej decyzji).

72.

Jednocześnie Prezes UODO w żadnym stopniu nie neguje, że przepisy ustawy z dnia 6 lipca 2001 r. zezwalają Komendantowi na gromadzenie danych osobowych w celach operacyjnych w KCIK. Niemniej jednak, nie sposób przyjąć, że proces przetwarzania tych danych może odbywać się w oderwaniu od konkretnych czynności operacyjnych w ramach realizacji zadań ustawowych Policji. W konsekwencji, w braku dowodów świadczących odmiennie, Prezes UODO uznał, że względem danych osobowych Skarżącego zachodzą przesłanki do zastosowania art. 25 pkt 3 tej ustawy.

III. Nakaz przywrócenia stanu zgodnego z prawem poprzez usunięcie danych osobowych Skarżącego ze zbiorów KSIP oraz KCIK.

73.

Na gruncie dokonanych przez Prezesa UODO ustaleń faktycznych (uwzględniających, stosownie do art. 153 p.p.s.a, zarówno sformułowaną przez NSA ocenę prawną, jak i wytyczne co do prowadzonego przez organ nadzorczy postępowania) uznać należy, że cel przetwarzania przez Komendanta danych osobowych Skarżącego w KSIP został zrealizowany. Zarówno ta okoliczność, jak i fakt niewykazania przez Komendanta celu dalszego przetwarzania danych osobowych Skarżącego prowadzi do wniosku, że proces ten odbywa się aktualnie z naruszeniem art. 13 oraz art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r.

74.

Zgodnie zaś z art. 8 ust. 2 pkt 5 tej ustawy, w przypadku naruszenia przepisów o ochronie danych osobowych zbieranych w celach, o których mowa w art. 1 pkt 1, Prezes UODO w drodze decyzji administracyjnej nakazuje administratorowi lub podmiotowi przetwarzającemu przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie danych osobowych.

75.

Stosownie do poczynionych przez organ nadzorczy ustaleń skutkujących stwierdzeniem, że Komendant nie wykazał, aby proces przetwarzania danych osobowych Skarżącego w KCIK był niezbędny z punktu widzenia realizacji konkretnych, aktualnych celów Policji (z uwzględnieniem art. 4 ust. 1 w zw. z art. 2 ustawy z dnia 6 lipca 2001 r. o gromadzeniu, przetwarzaniu i przekazywaniu informacji kryminalnych), nie ma podstaw by przyjąć, że jego kontynuowanie znajduje oparcie w przepisach prawa. W tej sytuacji uznać należy, że po stronie Komendanta powstał obowiązek usunięcia danych – zgodnie z art. 25 pkt 3 ustawy z dnia 6 lipca 2001 r.

76.

Prezes Urzędu Ochrony Danych Osobowych pragnie jednocześnie zwrócić uwagę na standard wynikający z wiążącego Polskę prawa międzynarodowego i prawa Unii Europejskiej. W pierwszej kolejności warto wskazać na Konwencję o ochronie praw człowieka i podstawowych wolności (EKPC), której art. 8 był interpretowany przez Europejski Trybunał Praw Człowieka. W szczególności należy przywołać wyrok z 4 grudnia 2008 r. (sygn. 30562/04 i 30566/04 S. i Marper przeciwko Wielkiej Brytanii), gdzie ETPC wskazał, iż bezterminowe przechowywanie przez władze danych szczególnie wrażliwych jest niedopuszczalne w demokratycznym społeczeństwie i prowadzi do naruszenia art. 8 EKPC . Trybunał wskazał również, że prawo krajowe powinno zawierać odpowiednie mechanizmy ochronne w celu zapobieżenia takiemu wykorzystaniu informacji osobistych, które naruszałoby art. 8 Konwencji. Trybunał podniósł, iż potrzeba takiej ochrony wzrasta, gdy ma się do czynienia z procesem automatycznego przetwarzania danych, a wykorzystywanie ich do celów policyjnych nie może być usprawiedliwieniem mniejszej ochrony. W tym kontekście wspomnieć również należy, że odpowiednie gwarancje służące ochronie jednostki przed bezterminowym – a więc niezgodnym z wyrażoną w art. 2 Konstytucji RP zasadą demokratycznego państwa prawnego – przetwarzaniem jej danych osobowych przez organy władzy publicznej, przewidziane zostały w art. 51 ustawy zasadniczej. W utrwalonych poglądach doktryny, w sytuacji istnienia zbiorów danych osobowych wytworzonych przez uprawnione podmioty – „prawo do prywatności, ale również wymóg ochrony godności ludzkiej, sama natura praw osobistych, do których prawa z komentowanego artykułu należą oraz zasada demokratycznego państwa prawnego – wymagają zagwarantowania dostępu do takich danych i wnoszenia sprostowań oraz ewentualnie żądania usunięcia niektórych z nich.” (zob. Komentarz do art. 51 [w] L. Garlicki (red.), M. Zubik (red.) Konstytucja Rzeczypospolitej Polskiej. Komentarz. Tom II, Wyd. II, Lex/el 2023). Powyższemu uprawnieniu podmiotu danych nie uchybia przy tym unormowanie zawarte ust. 3 wspomnianego przepisu, albowiem – jak uznaje doktryna (por. Komentarz do art. 51 [w] L. Garlicki (red.), M. Zubik (red.), op. cit.) -ustawowe ograniczenie żądania sprostowania lub usunięcia nie odnosi się danych osobowych objętych prawem dostępu do nich. Z kolei, nawet w razie ustawowego wyłączenia prawa dostępu do określonych zbiorów danych, jednostka i tak powinna mieć zagwarantowany mechanizm kontroli legalności przetwarzania danych osobowych, uwzględniający również element kontroli sądowej. (por. P. Tuleja (red.), Konstytucja Rzeczypospolitej Polskiej. Komentarz. Wyd. II, Lex/el 2023). W kwestii prawidłowego rozumienia gwarancji autonomii jednostek, przysługujących im w demokratycznym państwie prawnym oraz dopuszczalnej ingerencji w sferę ich prywatności, wypowiadał się wielokrotnie Trybunał Konstytucyjny (dalej jako TK, zob. wyroki z: 20 kwietnia 2004 r., sygn. K 45/02, OTK ZU nr 4/A/2004, poz. 30; 12 grudnia 2005 r., sygn. K 32/04; 23 czerwca 2009 r., sygn. K 54/07; a także postanowienia z: 25 stycznia 2006 r., sygn. S 2/06, OTK ZU nr 1/A/2006, poz. 13 i 15 listopada 2010 r., sygn. S 4/10, OTK ZU nr 9/A/2010, poz. 111). Wskazując również na konieczność odczytywania przepisów konstytucyjnych dotyczących ochrony prywatności i autonomii informacyjnej przez pryzmat wartości i standardów wynikających z Konwencji, a uzewnętrznionych w orzecznictwie ETPC, przyjął pogląd, że – jakkolwiek konstytucyjne prawo do ochrony prywatności nie ma charakteru absolutnego – to posiada ono charakter szczególny w systemie wolności i praw konstytucyjnych (por. wyrok Trybunału Konstytucyjnego z 30 lipca 2014 r., sygn. K 23/11, OTK-A 2014/7/80). Zatem, demokratyczne państwo prawne powinno wykazywać się spełnieniem minimalnych wymagań w zakresie ustawowego ograniczenia konstytucyjnych praw i wolności. „W konsekwencji nie jest dopuszczalne [oderwane od zasady proporcjonalności – dod. wł.] gromadzenie ani przetwarzanie danych o jednostce przez organy władzy publicznej bez powodu, w nieokreślonych lub niemożliwych do osiągnięcia celach.” (zob. wyrok Trybunału Konstytucyjnego z 30 lipca 2014 r., sygn. K 23/11, OTK-A 2014/7/80). W celu zaś – za TK - „eliminowania ryzyka niekontrolowanego tworzenia oraz utrzymywania zbiorów danych nieprzydatnych dla postępowań prowadzonych przez organy państwa, lecz potencjalnie wartościowych z punktu widzenia przyszłych, bliżej nieokreślonych czynności [a więc takich, w których właściwy organ nie jest w stanie zidentyfikować konkretnego celu przetwarzania – dod. wł.], konieczne jest również określenie minimalnych wymagań, jakie łącznie muszą spełniać przepisy ograniczające konstytucyjne wolności i prawa – jednym z nich jest "ustanowienie maksymalnego okresu prowadzenia czynności operacyjno-rozpoznawczych wobec jednostek."” (por. wyrok Trybunału Konstytucyjnego z 30 lipca 2014 r., sygn. K 23/11, OTK-A 2014/7/80).

77.

Po drugie, ustawa z dnia 14 grudnia 2018 r. wdrażała do prawa polskiego przepisy dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz. Urz. L 119 z 4.5.2016, s. 89, dalej jako dyrektywa 2016/680). Przepisy dyrektywy 2016/680, w tym jej art.10, są przedmiotem wykładni Trybunału Sprawiedliwości UE (TSUE), również w kontekście zagadnień będących przedmiotem niniejszej decyzji. W wyroku z 30.1.2024 r. w sprawie C-118/22 NG (EU:C:2024:97) TSUE uznał, że przepisy krajowe przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, jest co do zasady niezgodne z wymogiem bezwzględnej niezbędności, wskazanym w art. 10 dyrektywy 2016/680 (pkt 64 wyroku). Zdaniem TSUE, takie przepisy mogą bowiem prowadzić w sposób niezróżnicowany i uogólniony do zbierania danych biometrycznych i genetycznych większości osób, którym przedstawiono zarzuty (podobnie w wyroku z 26.1.2023 r., Ministerstvo na vatreshnite raboti, C‑205/21, EU:C:2023:49, pkt 128, 129).

78.

W ocenie Prezesa UODO, mając na względzie wynikającą z prawa UE zasadę przyjaznej prawu UE wykładni prawa krajowego, wynikającą z art. 4 ust. 3 Traktatu o Unii Europejskiej oraz – w odniesieniu do dyrektyw – z art. 288 ak. 3 Traktatu o funkcjonowaniu Unii Europejskiej, którymi Rzeczpospolita Polska jest związana, przepisy krajowe powinny być interpretowane w świetle przepisów prawa UE.

79.

To oznacza, że nie do zaakceptowania jest sytuacja, w której dopuszczalne byłoby takie rozumienie przepisów ustawy o Policji, które pozwoliłoby na – w praktyce – bezterminowe przechowywanie danych osobowych zgromadzonych w systemach KSIP i KCIK, co byłoby uzasadnione wyłącznie ogólnym celem związanym z kompetencjami Policji. Byłoby to bowiem sprzeczne nie tylko z Konstytucją RP, ale i z celem dyrektywy 2016/680 oraz orzecznictwem TSUE.

80.

W konsekwencji, wobec stwierdzenia przez Prezesa UODO naruszenia przepisów o ochronie danych osobowych zbieranych w celach, o których mowa w art. 1 pkt 1 ustawy z dnia 14 grudnia 2018 r., Prezes UODO zobligowany jest do nakazania Administratorowi przywrócenia stanu zgodnego z prawem poprzez usunięcie z KSIP i KCIK kwestionowanych danych osobowych Skarżącego wprowadzonych do tych systemów w 2017 r. w związku z prowadzonym wówczas (a ostatecznie umorzonym) postępowaniem karnym o czyn z art. 62 ustawy o przeciwdziałaniu narkomanii.

Mając powyższe na uwadze, Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji niniejszej decyzji.