II SA/WA 2079/23

II SA/Wa 2079/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-04-15
orzeczenie nieprawomocne
Data wpływu
2023-10-31
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek /sprawozdawca/
Izabela Głowacka-Klimas /przewodniczący/
Tomasz Szmydt
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Tomasz Szmydt, Sędzia WSA Andrzej Wieczorek (spr.), Protokolant referent Edyta Brzezicka, po rozpoznaniu na rozprawie w dniu 15 kwietnia 2024 r. sprawy ze skargi L. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2023 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO, organ) decyzją z [...] sierpnia 2023 r., nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775 ze zm.; dalej k.p.a.) oraz art. 5 ust. 1 pkt 6 w zw. z art. 12 oraz art. 13 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz.U. z 2023 r. poz. 1206 ze zm.; dalej jako ustawa z 14 grudnia 2018 r.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi L. K. (dalej Skarżący), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Komendanta Głównego Policji w Krajowym Systemie Informacyjnym Policji (dalej także KSIP), odmówił uwzględnienia wniosku.
Powyższa decyzja została wydana przez organ w oparciu o następujący stan faktyczny sprawy:
Wobec Skarżącego zostało przeprowadzone w roku 1999 r. postępowanie karne w sprawie o czyny z art. 291 § 1 i § 2 ustawy z dnia 06 czerwca 1997 r. Kodeks karny (Dz. U. z 2022 r. poz. 1138 ze zm., dalej k.k.). Na zasadach określonych w ówcześnie obowiązującym art. 20 ust. 2 ustawy z dnia 06 kwietnia 1990 r. o Policji (Dz.U. z 2023 r. poz. 171 ze zm., dalej zwana ustawą o Policji) w związku z przedstawieniem Skarżącemu zarzutów właściwe organy Policji dokonały tzw. rejestracji procesowej, tj. wprowadziły dane osobowe Skarżącego do zbioru danych KSIP jako o osobie podejrzanej o popełnienie przestępstwa umyślnego, ściganego z oskarżenia publicznego. Następnie dane osobowe Skarżącego były przetwarzane przez Policję w latach 2001-2015 w związku z postępowaniami karnymi w sprawach o czyny z art. 190 § 1, art. 244, art. 284 i art. 286 § 1 k.k. (wyjaśnienia Komendanta Głównego Policji z dnia [...] marca 2022 r.).
Prezes Sądu Rejonowego w [...] wyjaśnił, że postępowanie w sprawie Skarżącego o czyn z art. 286 § 1 k.k. (sygn. akt [...]) oraz postępowania w sprawach Skarżącego o czyn z art. 286 § 1 k.k. (sygn. akt [...]), o czyn z art. 286 § 1 k.k. (sygn. akt [...]), o czyn z art. 244 k.k. (sygn. akt [...]) oraz o czyn z art. 62 § 2 ustawy z dnia 10 września 1999 r. Kodeks karny skarbowy (Dz.U. z 2023 r. poz. 654 ze zm.) zakończyły się wyrokami skazującymi (pismo Prezesa Sądu Rejonowego w [...] z dnia [...] grudnia 2022 r.).
Skarżący pismem z dnia [...] listopada 2021 r. zwrócił się do Komendanta Głównego Policji o usunięcie danych osobowych Skarżącego z KSIP, podnosząc, że dane te są przetwarzane w KSIP ponad 10 lat, zatem z uwagi na upływ czasu dalsze ich przetwarzanie nie jest już niezbędne do wykonywania ustawowych zadań Policji (wyjaśnienia Komendanta Głównego Policji z dnia [...] marca 2022 r.).
Odpowiadając na wniosek Skarżącego, Komendant Główny Policji pismem z dnia [...] grudnia 2021 r. ([...]) poinformował Skarżącego o podstawach prawnych przetwarzania przez Policję danych osobowych w KSIP oraz wskazał zakres i cel ich przetwarzania, a także zasady weryfikacji przydatności danych osobowych (wyjaśnienia Komendanta z dnia [...] marca 2022 r.).
Komendant Główny Policji dokonał weryfikacji danych Skarżącego przetwarzanych w KSIP po otrzymaniu informacji o zakończeniu postępowania w sprawie przeciwko Skarżącemu, a także po upływie dziesięcioletniego terminu wskazanego w art. 16 ust. 1 ustawy z dnia 14 grudnia 2018 r. Jednocześnie Komendant Główny Policji zaznaczył, że w sprawie o czyn z art. 244 k.k. nie upłynął jeszcze dziesięcioletni termin, o którym mowa w ww. przepisie. Dodatkowych weryfikacji tych danych Komendant Główny Policji dokonał w związku z otrzymanym wnioskiem Skarżącego o usunięcie jego danych osobowych z KSIP, a także w związku ze skargą Skarżącego do Prezesa UODO. Weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP oraz pod kątem legalności i celowości przetwarzania danych osobowych. W wyniku przedmiotowych weryfikacji Komendant Główny Policji stwierdził dalszą zasadność przetwarzania danych osobowych Skarżącej (wyjaśnienia Komendanta Głównego Policji z dnia [...] marca 2022 r.).
Komendant Główny Policji wyjaśnił, że w związku z naruszeniem norm prawnokarnych przez Skarżącego oraz rodzajem norm naruszonych nie można stwierdzić, że dane osobowe Skarżącego stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1 ust. 2 ustawy o Policji, m.in. ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw i wykroczeń oraz ścigania ich sprawców. Podkreślono, że nie bez znaczenia dla odmownej decyzji w zakresie usunięcia danych osobowych Skarżącego z KSIP pozostaje również rodzaj dóbr chronionych prawem naruszonych popełnionymi przez Skarżącego przestępstwami oraz formy sprawstwa i umyślności popełnionych czynów (wyjaśnienia Komendanta Głównego Policji z dnia [...] marca 2022 r.).
Na podstawie ww. materiału dowodowego zgromadzonego w toku postępowania Prezes UODO w dniu [...] sierpnia 2023 r. wydał zaskarżoną decyzję administracyjną, znak: [...].
Pismem z dnia 22 września 2023 r. Skarżący, reprezentowany przez profesjonalnego pełnomocnika, wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO zarzucając jej naruszenie:
1. przepisów prawa materialnego, które miało wpływ na wynik sprawy, mianowicie:
1) art. 20 ust. 1c ustawy o Policji w zw. z art. 16 ustawy z 14 grudnia 2018 r. poprzez ich niezastosowanie, mianowicie przetwarzanie wskazanych danych ponad dziesięć lat, mimo, że rodzaj tych danych (dotyczących dawnych zdarzeń, sprzed około trzynastu lat, a nawet 20 lat, zważywszy na sygnaturę sprawy [...]), czynów określonych w sposób wprowadzający w błąd co do ewentualnej oceny kryminologicznej) oraz upływ czasu przemawiają za usunięciem ich z Rejestru KSIP, tym bardziej, iż:
a) dalsze przetwarzanie przedmiotowych danych nie jest niezbędne do realizacji zadań ustawowych Policji (przy jednoczesnym niewskazaniu, z uwagi na jakie konkretne zadania, czynności, postępowania, w tym postępowania administracyjno-porządkowe lub inne obowiązki Policji, w odniesieniu do konkretnego przypadku Skarżącego, wskazane dalsze przetwarzanie jest nadal konieczne);
b) przetwarzanie wskazanych danych, może poniżyć Skarżącego w opinii publicznej lub narazić na utratę zaufania potrzebnego dla prowadzonej działalności gospodarczej, a zatem godzi w jego dobra osobiste, rozwój, nazwisko oraz pozytywną opinię, niezbędną zarówno w życiu osobistym, jak i zawodowym,
c) nie wskazano, że została dokonana ustawowa weryfikacja przedmiotowych danych, jak również nie podano wyników tej weryfikacji, nadto nie wyjaśniono powodów, dla których nie uznano, iż dalsze przechowywanie jest zbędne, co skutkowało nieusunięciem zbędnych danych;
2) art. 13 ust 1 ustawy z dnia 14 grudnia 2018 r. w zw. z art. 6 ust. 1 lit. c, art. 5 ust. 1 lit. e, art. 17 ust. 1 lit. a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: "RODO"), poprzez przetwarzanie wskazanych danych osobowych w zakresie przekraczającym ustawowy, dozwolony zakres przechowywania tych danych, nieproporcjonalnie do obowiązków, wynikających z przepisów prawa, gdy wskazane przetwarzanie nie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, naruszając prawo Skarżącego do bycia zapomnianym;
2. przepisów prawa postępowania, mające istotny wpływ na rozstrzygnięcie, a mianowicie:
1) art. 77 § 1 k.p.a. w zw. z art. 1 k.p.a. polegające na niewyczerpującym zebraniu oraz zbadaniu materiału dowodowego w sprawie, poprzez niezwrócenie się do Komendanta Głównego Policji o wydruki danych osobowych Skarżącego wygenerowane elektronicznie z KSIP, co skutkowało błędnym uznaniem, że w niniejszej sprawie podjęto wszelkie możliwe czynności celem ustalenia, czy przedmiotowe dane, przechowywane ponad 10 lat, są niezbędne do realizacji ustawowych zadań wykonywanych przez Policję;
2) art. 80 k.p.a. w zw. z art. art. 8 § 1 k.p.a. polegające na dowolnej ocenie materiału dowodowego, przejawiającej się w uznaniu, że Skarżący nie ma prawa do bycia zapomnianym, pomimo że dalsze przetwarzanie jego danych jest zbędne, na co Skarżący wyraźnie wskazał we wniosku usunięcia danych z dnia [...] listopada 2021 r., a co zostało pominięte i doprowadziło do uznania, że administrator nie dopuścił się naruszenia przepisów o ochronie danych osobowych art. 6 ust 1 lit c, art. 5 ust. 1 lit. e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, i w konsekwencji do nienakazania usunięcia danych w trybie art 31 ust. 2 ustawy z 14 grudnia 2018 r.;
3) art 7a § 1 k.p.a. poprzez rozstrzygnięcie wątpliwości interpretacyjnych na niekorzyść Skarżącego, mianowicie pojęcia "niezbędności" przechowywania przedmiotowych danych określonego w art 13 ust. 1 ustawy z 14 grudnia 2018 r., tj. "w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa", podczas gdy orzeczenie Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 grudnia 2018 r., sygn. akt II SA/Wa 700/18, wskazane w zaskarżonej decyzji (str. 7) odnosi się do obecnie uchylonego przepisu art 20 ust. 17 ustawy o Policji, nadto przyjęta interpretacja jest niezgodna ze stanowiskiem tego Sądu wyrażonym w wyroku z dnia 24 października 2011 r., sygn. akt II SA/Wa 625/11, iż żaden przepis nie definiuje pojęcia "dane zbędne", brak jest ogólnych kryteriów sformułowania "danych niezbędnych dla realizacji ustawowych zadań wykonywanych przez Policję" - w ocenie Sądu tak blankietowa, ogólna treść omawianej normy powoduje, że wszystkie zebrane przez Policję dane mogą być periodycznie co dziesięć lat, zakwalifikowane jako "niezbędne dla realizacji zadań", mogą być zatem bez wiedzy i zgody osoby, której dane znalazły się w rejestrze nieusuwane przez nieograniczony okres; przy tak nieostrych kryteriach każdorazowo zgromadzone dane mogą zostać zakwalifikowane jako "niezbędne dla realizacji ustawowych zadań";
4) art 107 § 3 k.p.a. w zw. z art 8 § 1 k.p.a. oraz art 7b k.p.a. poprzez niewskazanie dowodów, na których Organ się oparł, a to dowodu wskazującego na przydatność danych osobowych Skarżącego dla ochrony życia i zdrowia obywateli tudzież realizacji zadań Policji, co skutkowało:
a) niewłaściwą realizacją zasady pogłębiania zaufania obywateli do organów administracji publicznej,
b) naruszeniem zasady proporcjonalności, bezstronności, równego traktowania, mianowicie nieadekwatną do celu ingerencją w prawo do prywatności, przy jednoczesnej technicznej możliwości przechowywania danych w sposób nieingerujący w to prawo, tj. bez nadmiernej i nieadekwatnej do celu inwigilacji Skarżącego, mimo zatarcia skazania.
Powołując się na powyższe zarzuty pełnomocnik Skarżącego wniósł o uchylenie zaskarżonej decyzji w całości, zasądzenie kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego oraz przeprowadzenie uzupełniających dowodów z dokumentów, takich jak wydruki danych osobowych Skarżącego wygenerowane elektronicznie z KSIP (po uprzednim zobowiązaniu Komendanta Głównego Policji do ich nadesłania), na okoliczność nieprzydatności tych danych do realizacji zadań Policji ze względu na upływ czasu (ponad 10 lat), dawnych zdarzeń, sprzed około trzynastu lat, a nawet około 20 lat (zważywszy na sygnaturę sprawy [...]), sposób określenia przedmiotowych danych, tj. wprowadzając w błąd co do ewentualnej oceny kryminologicznej.
W treści uzasadnienia skargi Skarżący szeroko uzasadnił swoje stanowisko w sprawie powołując się na stan faktyczny sprawy oraz orzecznictwo sądów administracyjnych.
W odpowiedzi na skargę z dnia 26 października 2023 r. Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. W uzasadnieniu odpowiedzi na skargę organ odniósł się jednocześnie szczegółowo do poszczególnych zarzutów skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 ustawy z 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz.U. z 2022 r. poz. 2492 ze zm.), Sąd sprawuje wymiar sprawiedliwości poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem (legalności). Kontrola sądów administracyjnych ogranicza się zatem do zbadania, czy organy administracji w toku rozpoznawanej sprawy nie naruszyły prawa w sposób przewidziany w przepisach art. 145 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r. poz. 1634 ze zm.; dalej p.p.s.a.).
Skarga oceniana według powyższych reguł nie zasługuje na uwzględnienie.
Przedmiotem skargi jest decyzja Prezesa UODO z [...] sierpnia 2023 r. wydana po przeprowadzeniu postępowania administracyjnego wszczętego na skutek skargi Skarżącego, odmawiająca uwzględnienia wniosku o nakazanie usunięcia danych osobowych Skarżącego z Krajowego Systemu Informacyjnego Policji.
Tytułem wstępu wskazać należy, że ogólną podstawę przetwarzania danych osobowych w związku z zapobieganiem i zwalczaniem przestępczości zawierają art. 13 i 14 ustawy z 14 grudnia 2018 r. Przepis art. 13 ust. 1 tej ustawy stanowi, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Natomiast zgodnie z art. 14 ust. 2 pkt 1 tego aktu dopuszcza się przetwarzanie danych osobowych ujawniających pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne, światopoglądowe, przynależność do związków zawodowych oraz danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia oraz danych dotyczących seksualności i orientacji seksualnej osoby fizycznej, zwanych dalej "danymi wrażliwymi", jeżeli przepisy prawa zezwalają na ich przetwarzanie.
Z kolei w myśl art. 5 ust. 1 pkt 6 ustawy z 14 grudnia 2018 r. do zadań Prezesa UODO należy rozpatrywanie skarg osób, których dane osobowe są przetwarzane niezgodnie z prawem, i prowadzenie postępowań w tym zakresie. Zgodnie z art. 12 tej ustawy, do postępowań w sprawach objętych zakresem regulacji rozdziału 2 stosuje się przepisy k.p.a. Ocena dokonywana przez Prezesa UODO służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 8 ust. 2 ustawy z 14 grudnia 2018 r., służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Jest więc ona uzasadniona i potrzebna o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją.
Odnosząc się do podstaw prawnych oraz zakresu i celu przetwarzania danych osobowych przez Policję należy zauważyć, że zgodnie z treścią art. 20 ustawy o Policji, Policja w celu realizacji zadań ustawowych jest uprawniona do przetwarzania informacji, w tym danych osobowych, z zachowaniem ograniczeń wynikających z art. 19. Przetwarzanie oraz wymiana informacji, w tym danych osobowych, może dotyczyć danych wrażliwych, przy czym dane dotyczące wyników analizy kwasu deoksyrybonukleinowego (DNA) przetwarzane przez Policję obejmują informacje wyłącznie o niekodującej części DNA (art. 20 ust. 1a ustawy o Policji).
Stosownie do art. 20 ust. 2b ustawy o Policji informacje przetwarzane przez Policję mogą obejmować dane wrażliwe, odciski linii papilarnych, zdjęcia, szkice i opisy wizerunku, cechy i znaki szczególne, pseudonimy, a także informacje o miejscu zamieszkania lub pobytu, wykształceniu, zawodzie, miejscu i stanowisku pracy oraz sytuacji materialnej i stanie majątku, dokumentach i przedmiotach, którymi sprawca się posługuje, sposobie działania sprawcy, jego środowisku i kontaktach czy sposobie zachowania się sprawcy wobec osób pokrzywdzonych. Jednocześnie zgodnie z art. 20 ust. 2c ustawy o Policji danych wrażliwych nie pobiera się, w przypadku gdy nie mają one przydatności wykrywczej, dowodowej lub identyfikacyjnej.
Ponadto, jak wynika z art. 20 ust. 1d zdanie pierwsze i trzecie ustawy o Policji, Policja w zakresie swojej właściwości przetwarza informacje, w tym dane osobowe, uzyskane ze zbiorów danych prowadzonych przez inne służby, instytucje państwowe oraz organy władzy publicznej, w szczególności Policja jest uprawniona do uzyskiwania informacji, w tym danych osobowych gromadzonych w administrowanych przez te służby, instytucje, organy zbiorach danych lub rejestrach oraz do uzyskiwania informacji i danych uzyskanych przez te służby lub organy w wyniku wykonywania czynności operacyjno-rozpoznawczych, w tym prowadzonej kontroli operacyjnej. Wskazane służby, instytucje, organy władzy publicznej są obowiązane do nieodpłatnego udostępnienia Policji w zakresie jej właściwości informacji, w tym danych osobowych.
Informacje, w tym dane osobowe, określone we wskazanych powyżej przepisach ustawy o Policji, są przetwarzane w KSIP. Zgodnie z art. 21nb ust. 1 i 2 ustawy o Policji Komendant Główny Policji prowadzi KSIP, będący zestawem zbiorów danych, w którym przetwarza się informacje, w tym dane osobowe, w związku z realizacją zadań ustawowych. W odniesieniu do informacji, w tym danych osobowych, przetwarzanych w KSIP Komendant Główny Policji jest administratorem w rozumieniu przepisów o ochronie danych osobowych.
Informacje, w tym dane osobowe, przetwarza się w KSIP w celach określonych w art. 1 pkt 1 ustawy z 14 grudnia 2018 r., tj. w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, w tym zagrożeń dla bezpieczeństwa i porządku publicznego, a także wykonywania tymczasowego aresztowania, kar, kar porządkowych i środków przymusu skutkujących pozbawieniem wolności. Ponadto informacje, w tym dane osobowe, zgodnie z art. 1 ust. 2 pkt 1, 2 i 3a ustawy o Policji, przetwarza się w KSIP również w celu realizacji ustawowych zadań Policji dotyczących ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, ochrony bezpieczeństwa i porządku publicznego, a także prowadzenia działań kontrterrorystycznych w rozumieniu ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych (Dz. U. z 2021 r. poz. 2234). Zgodnie z art. 20 ust. 1j ustawy o Policji przetwarzanie danych osobowych przez Policję w celach, o których mowa w art. 1 pkt 1 ustawy z 14 grudnia 2018 r., odbywa się na podstawie ustawy, prawa Unii Europejskiej oraz postanowień umów międzynarodowych.
W KSIP mogą być również przetwarzane informacje, w tym dane osobowe, określone w przepisach art. 20 ust. 2ad i 2ba ustawy o Policji w celach związanych z ustaleniem miejsca pobytu dziecka na terytorium Rzeczypospolitej Polskiej na polecenie Ministra Sprawiedliwości lub sądu, tj. w celach wynikających z art. 14 ust. 2 w związku z art. 19 ustawy z dnia 26 stycznia 2018 r. o wykonywaniu niektórych czynności organu centralnego w sprawach rodzinnych z zakresu obrotu prawnego na podstawie prawa Unii Europejskiej i umów międzynarodowych (t.j. Dz.U. z 2023 r. poz. 1236). W KSIP mogą być zatem przetwarzane informacje, w tym dane osobowe, na podstawie i w zakresie określonym w art. 20 ust. 1c ustawy o Policji, zgodnie z którym Policja jest uprawniona do przetwarzania informacji, w tym danych osobowych, w zakresie niezbędnym do realizacji zadań ustawowych lub wykonywania uprawnień związanych z prowadzeniem postępowań administracyjnych, realizacją czynności administracyjno-porządkowych oraz innych czynności, do przeprowadzania których funkcjonariusze Policji są uprawnieni na podstawie ustaw, w celach innych niż określone w art. 1 pkt 1 ustawy z 14 grudnia 2018 r., w tym ma prawo przetwarzać dane osobowe, o których mowa w art. 9 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), z wyłączeniem danych dotyczących kodu genetycznego.
Ponadto, na mocy art. 20f ust. 1 ustawy o Policji, Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu wykrywania i ścigania sprawców wykroczeń oraz przestępstw informacje, w tym dane osobowe, o sprawcach wykroczeń przeciwko mieniu określonych w art. 119 § 1, art. 120 § 1, art. 122 § 1 i 2 oraz art. 124 § 1 Kodeksu wykroczeń, osobach podejrzanych o ich popełnienie oraz obwinionych i ukaranych za te wykroczenia, także bez ich wiedzy i zgody, w zakresie wskazanym w art. 20f ust. 2 ustawy o Policji.
Należy wskazać, że zgodnie z § 6 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 31 października 2019 r. w sprawie prowadzenia rejestru wykroczeń, przetwarzania w nim informacji oraz sposobów i trybu udzielania informacji o osobach z tego rejestru (t.j. Dz.U. z 2023 r. poz. 715 ze zm., zwanego dalej rozporządzeniem w sprawie prowadzenia rejestru wykroczeń), rejestr wykroczeń jest prowadzony jako zbiór danych wchodzący w skład Krajowego Systemu Informacyjnego Policji (KSIP), o którym mowa w art. 21 nb ust. 1 ustawy o Policji, w związku z czym wniosek o usunięcie danych osobowych z KSIP dotyczy również danych osobowych przetwarzanych w rejestrze wykroczeń.
Biorąc pod uwagę odmienny od zbiorów urzędowych status policyjnego zbioru danych - w KSIP informacje, w tym dane osobowe, przetwarza się w celu wykonywania zadań ustawowych Policji w sposób dyskrecjonalny - udostępnianie przez Komendanta Głównego Policji, jako administratora, informacji z KSIP odbiorcom, tj. innym organom władzy publicznej, służbom lub instytucjom jest możliwe wyłącznie w przypadku, gdy taki obowiązek wynika z innych przepisów szczególnych, które określają także zakres i cel udostępnienia. Zatem informacje, w tym dane osobowe, przetwarzane w KSIP Komendant Główny Policji udostępnia organom władzy publicznej, służbom oraz instytucjom na podstawie obowiązujących ustaw, w granicach przysługujących tym organom uprawnień w zakresie przetwarzania danych osobowych, w celach realizacji ich zadań, a także organom innych państw lub agencjom Unii Europejskiej lub organizacjom międzynarodowym uprawnionym do otrzymywania określonych informacji, w tym danych osobowych, na podstawie przepisów prawa Unii Europejskiej lub ratyfikowanych umów międzynarodowych.
Sąd wskazuje, że skoro wniosek skarżącego o usunięcie danych osobowych dotyczył jego danych przetwarzanych w KSIP, w ramach celów określonych w art. 1 pkt 1 ustawy z 14 grudnia 2018 r., to do sprawy nim zainicjowanej należało zastosować przepisy wspomnianej ustawy.
Wobec powyższego podkreślenia wymaga, że dane osobowe przetwarzane w KSIP weryfikuje się nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych, zgodnie z art. 16 ust. 1 ustawy z 14 grudnia 2018 r. Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne, przy czym zbędne dane usuwa się lub dane te, zamiast ich usunięcia, można przekształcić w sposób uniemożliwiający przyporządkowanie poszczególnych informacji osobistych lub rzeczowych do określonej lub możliwej do zidentyfikowania osoby fizycznej albo w taki sposób, że przyporządkowanie takie wymagałoby niewspółmiernych kosztów, czasu lub działań. Ponadto, zgodnie z art. 31 ust. 2 tej ustawy, administrator podejmuje wszelkie działania, aby dane osobowe, które są nieprawidłowe, w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane.
Na mocy art. 20f ust. 14-16 ustawy o Policji, organy Policji dokonują weryfikacji informacji o osobach, o których mowa w ust. 1 tego przepisu, przetwarzanych w rejestrze wykroczeń po zakończeniu sprawy, w związku z którą informacje te zostały wprowadzone do rejestru wykroczeń, a ponadto nie rzadziej niż co 3 lata, licząc od dnia uzyskania lub pobrania informacji, usuwając zbędne dane. Dane osób, o których mowa w art. 20f ust. 1 ustawy o Policji, usuwa się z rejestru wykroczeń po upływie 3 lat od dnia ich wprowadzenia do rejestru, chyba że przed upływem tego terminu do rejestru zostały wprowadzone dane o kolejnym czynie takiej osoby stanowiącym wykroczenie określone w ust. 1, lub przed upływem wskazanego powyżej terminu - w razie uniewinnienia osoby, której dane dotyczą, odmowy wszczęcia wobec niej postępowania lub jego umorzenia prawomocnym orzeczeniem sądu lub śmierci tej osoby oraz w przypadku stwierdzenia przez uprawniony organ braku podstaw do pociągnięcia sprawcy do odpowiedzialności za wykroczenie, jeżeli nie zachodzi przesłanka dalszego przetwarzania danych osobowych dotyczących tej osoby w związku z innym czynem odnotowanym w rejestrze. Dane osobowe osób, o których mowa w art. 20f ust. 3 ustawy o Policji, usuwa się z rejestru wykroczeń wraz z usunięciem danych sprawcy czynu, którym zostały pokrzywdzone.
Rozwinięcie powyższych norm prawnych zawarte zostało w przepisach rozporządzenia w sprawie prowadzenia rejestru wykroczeń. Kwestia okoliczności uwzględnianych przy dokonywaniu weryfikacji, na poziomie aktu prawa wewnętrznego, została uregulowana w przepisach rozdziału 15 zarządzenia nr 70 Komendanta Głównego Policji z dnia 02 grudnia 2019 r. w sprawie Krajowego Systemu Informacyjnego Policji (Dz. Urz. KGP poz. 114, ze zm.). W tym kontekście szczególnie istotny jest przepis § 105 ust. 1 tego zarządzenia, zgodnie z którym weryfikując informacje, w tym dane osobowe, przetwarzane w celu wykrywania przestępstw, pod kątem ich przydatności, uwzględnia się m.in. czas, który upłynął od momentu wprowadzenia informacji, w tym danych osobowych, do zbiorów danych KSIP do momentu dokonywania oceny oraz aktualność przesłanek legalności oraz niezbędności dalszego przetwarzania informacji, w tym danych osobowych, do wykonania zadań ustawowych Policji.
Z przepisami tymi koreluje art. 20a ust. 1 ustawy o Policji, zgodnie z którym, w związku z wykonywaniem zadań wymienionych w art. 1 ust. 2, Policja zapewnia ochronę form i metod realizacji zadań, informacji oraz własnych obiektów i danych identyfikujących policjantów.
W kontekście powyższych unormowań należy podnieść, że informacje zgromadzone w KSIP są przetwarzane przez Policję dla realizacji jej zadań ustawowych. Informacje zebrane w sposób legalny, prawdziwe i pełne są przetwarzane zgodnie z obowiązującymi przepisami art. 21nb w związku z art. 20 ust. 1-1d, 1j i 2ad-2c ustawy o Policji, podlegają zaś weryfikacji i usunięciu na zasadach określonych we wskazanym powyżej przepisie art. 16 ustawy z 14 grudnia 2018 r.
Przenosząc powyższe rozważania na grunt niniejszej sprawy podzielić należy stanowisko, zgodnie z którym w badanej sprawie Prezes UODO nie miał podstaw do stwierdzenia, że dane osobowe Skarżącego są przetwarzane przez Komendanta Głównego Policji w sposób niezgodny z ustawą z 14 grudnia 2018 r. Przetwarzanie w zakresie objętym skargą znajduje bowiem oparcie w przesłance zawartej w art. 13 tej ustawy. Wiążąc treść tego przepisu z kompetencjami organów Policji w zakresie zapewniania bezpieczeństwa i porządku publicznego, a także z prawem tych organów do przetwarzania danych osobowych osób podejrzanych o popełnienie przestępstwa, skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu, organ zasadnie skonstatował, że przetwarzanie danych osobowych skarżącego w Krajowym Systemie Informacyjnym Policji oparte jest na obowiązujących przepisach prawa.
Sąd wskazuje, że ustawowym celem przetwarzania danych osobowych Skarżącego jest zapobieżenie popełnieniu przez niego w przyszłości przestępstwa, jak również - w przypadku niemożności zapobieżenia - wykrycie go. W związku z naruszeniem norm prawnokarnych przez Skarżącego oraz ich rodzajem nie można było stwierdzić, że dane osobowe Skarżącego stały się zbędne dla realizacji zadań Policji, zwłaszcza tych wymienionych w art. 1 ust. 2 ustawy o Policji, m.in. ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw i wykroczeń oraz ścigania ich sprawców. Cechy przestępstw, stypizowanych w powołanych w opisie stanu faktycznego niniejszego uzasadnienia przepisach, szczególnie ich powszechny charakter, stanowią kolejny element uzasadniający dalsze przetwarzanie danych osobowych skarżącego przez Policję.
Jak wynika z przytoczonych powyżej norm, określonych w art. 16 ustawy z 14 grudnia 2018 r., administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu - nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych. Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Mając na względzie powyższe należy wskazać, że w przedmiotowej sprawie wymaganej ustawą weryfikacji dokonano po otrzymaniu informacji o zakończeniu postępowań w sprawach przeciwko Skarżącemu, następnie w związku z jego wnioskami o usunięcie danych osobowych z KSIP, a także z jego skargą do organu. W przypadku wniosków o usunięcie danych osobowych z KSIP weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP, zgodnie z którym każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą oraz pod kątem legalności i celowości przetwarzania danych osobowych.
Zdaniem Sądu sam fakt zatarcia wobec Skarżącego skazania nie powinien bezwarunkowo skutkować usunięciem danych osobowych przetwarzanych w KSIP. Ustawodawca uzależnił bowiem decyzję o usunięciu danych osobowych przetwarzanych w celach określonych w art. 1 pkt 1 ustawy z 14 grudnia 2018 r. od decyzji administratora dotyczącej ich przydatności. Decyzja ta jest podejmowana w drodze weryfikacji, a dane usuwa się dopiero po stwierdzeniu, że ich dalsze przechowywanie jest zbędne. Jak natomiast wskazano powyżej, dane osobowe Skarżącego podlegały kilkukrotnej weryfikacji, jednakże w jej wyniku nie stwierdzono, że są one zbędne - nieprzydatne do realizacji ustawowych zadań Policji. Warto również zwrócić uwagę, że zgodnie z ugruntowanym orzecznictwem sądów administracyjnych (por. wyrok WSA z dnia 10 października 2017 r., sygn. akt II SA/Wa 314/17, wyrok WSA z dnia 19 grudnia 2018 r., sygn. akt II SA/Wa 700/18, wyrok WSA z dnia 30 stycznia 2019 r., sygn. akt II SA/Wa 750/18), to organy Policji oceniają przydatność zebranych informacji, dokonując ich weryfikacji po zakończeniu sprawy, w ramach której dane te zostały wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji.
Sąd wskazuje, że czym innym jest dostęp do informacji o karalności osoby z Krajowego Rejestru Karnego, który ma charakter powszechny, a zupełnie czym innym są informacje wytworzone przez organy Policji w związku z prowadzonymi postępowaniami i znajdujące się w zamkniętym, ogólnie niedostępnym zbiorze informatycznym. A taki właśnie charakter ma Krajowy System Informacyjny Policji. Informacje, jakimi dysponuje KSIP, nie stanowią źródła wiedzy powszechnie dostępnej, bowiem służą wyłącznie do realizacji zadań Policji, o których mowa w art. 1 ust. 2 ustawy o Policji (podobnie Naczelny Sąd Administracyjny w wyroku z dnia 21 kwietnia 2017 r., sygn. akt I OSK 2426/15). Skutkiem takiego charakteru policyjnego zbioru danych jest m.in. to, że ewentualne umorzenie postępowania, warunkowe umorzenie postępowania, czy też zatarcie skazania (uznanie za niebyłe) nie wpływa na fakt przetwarzania danych osobowych przez Policję w KSIP, bowiem zbiór ten nie jest rejestrem skazanych (vide art. 106 K.k. - z chwilą zatarcia skazania uważa się je za niebyłe; wpis o skazaniu usuwa się z rejestru skazanych, nie zaś z innych zbiorów danych, w których nie są przetwarzane informacje dotyczące faktu skazania za przestępstwo).
W konsekwencji zatarcie skazania ma znaczenie w kontekście statusu Skarżącego jako osoby niekaranej, nie wywiera natomiast wpływu na zgodność z prawem przetwarzania jego danych osobowych w KSIP. Podkreślenia wymaga, że zarówno przepisy ustawy z 14 grudnia 2018 r., jak i ustawy o Policji nie wskazują zatarcia skazania jako kryterium usunięcia danych osobowych z KSIP. Co więcej, przetwarzanie danych osobowych Skarżącego w KSIP nie wpływa na jego status jako osoby niekaranej w świetle prawa, gdyż przepisy ustawy o Policji nie statuują KSIP jako rejestru skazanych i nie wiążą faktu przetwarzania w nim danych osobowych ze skazaniem lub zatarciem skazania, a co się z tym wiąże nie wpływają i nie rozstrzygają o statusie osób jako karanych lub jako niekaranych.
Sąd w składzie rozpoznającym niniejszą sprawę podziela pogląd wyrażony przez Wojewódzki Sąd Administracyjny w Warszawie w przywołanym wyżej wyroku o sygn. akt II SA/Wa 750/18, zgodnie z którym, cyt. "organy Policji są więc uprawnione do przetwarzania danych osób nie tylko podejrzanych o popełnienie przestępstwa, ale także skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu. Realizowanie bowiem celu, jakim jest zapewnienie bezpieczeństwa i porządku publicznego przez organy Policji, wykazuje przesłankę niezbędności przetwarzania danych osobowych w Krajowym Systemie Informacyjnym Policji dla spełnienia obowiązku wynikającego z przepisu prawa (art. 1 ust. 2 ww. ustawy o Policji) [...] Należy bowiem zastrzec, że przetwarzanie danych zawartych w KSIP ma służyć dobru ogólnemu, toteż dysponowanie informacjami zgromadzonymi w zbiorze przez okres czasu, w jakim informacje te są organom Policji potrzebne, jest wprost proporcjonalne do celu, który organy te realizują w związku z koniecznością zapewnienia ładu i porządku publicznego oraz bezpieczeństwa obywateli. Omawiane uregulowania wynikające z ustawy o Policji, jakkolwiek ograniczają sferę prywatności osoby, wobec której nastąpiło zatarcie skazania, to jednak ograniczenia te podyktowane są niezbędnością w zapewnieniu bezpieczeństwa i porządku publicznego, a więc wynikają z interesu Państwa, na co art. 31 ust. 3 Konstytucji RP zezwala, wskazując właśnie na ustawowe podstawy owych ograniczeń". W związku z tym uznać należy, że przetwarzanie przez Policję danych osobowych Skarżącego, w celu realizacji ustawowych zadań Policji, odbywa się na zasadach i w granicach określonych w ustawie z 14 grudnia 2018 r., zgodnie z zasadą legalizmu (art. 7 Konstytucji RP) oraz w granicach zasady proporcjonalności wynikającej z art. 31 ust. 3 w zw. z art. 51 ust. 2 Konstytucji RP.
Warto w tym miejscu przywołać wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 stycznia 2014 r. o sygn. akt II SA/Wa 1648/13, wydany co prawda przed wejściem w życie ustawy z 14 grudnia 2018 r., ale - jak się wydaje - nadal aktualny w zakresie stwierdzeń istotnych z punktu widzenia kontrolowanego rozstrzygnięcia organu. Sąd stwierdził w nim, że brak możliwości przetwarzania danych osobowych bez wiedzy i zgody osoby, której dane dotyczą pozbawiłby Policję, cyt. "jednego z instrumentów, umożliwiających jej realną dbałość o bezpieczeństwo i porządek publiczny. To zaś utrudniałoby, a niekiedy wręcz uniemożliwiałoby Państwu Polskiemu prawidłowe wywiązywanie się wobec obywateli, z obowiązków opisanych w Konstytucji RP (...). Doszłoby więc w efekcie do podporządkowania wartości wyższej, jaką jest dobro ogółu obywateli, wartości niższej wagi, jaką jest prawo jednostki do ochrony jej danych osobowych".
Nie sposób też zgodzić się z zarzutem naruszenia przez organ przepisów k.p.a.
Prezes UODO uwzględnił w niniejszej sprawie wszystkie dowody, które umożliwiły dowodzenie, a więc pozwoliły na przekonanie się o istnieniu lub nieistnieniu oznaczonych faktów, a tym samym o prawdziwości, względnie nieprawdziwości twierdzeń o tych faktach. Dlatego też należy podkreślić, że zaskarżona decyzja została wydana w oparciu o wystarczający materiał dowodowy, pozyskany w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w k.p.a., albowiem Prezes UODO na podstawie prawidłowo ustalonego stanu faktycznego wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy.
Wobec powyższego stwierdzić należy, że dane osobowe Skarżącego zostały, zgodnie w powołanymi przepisami, poddane stosownej weryfikacji i ocenie ich przydatności, co implikuje dalsze pozostawienie ich w KSIP. Organy Policji oceniły przydatność zebranych informacji zawierających dane osobowe Skarżącego, które są przetwarzane w związku z realizacją zadań przypisanych ustawowo Policji, natomiast Prezes UODO nie jest władny do dokonywania oceny przydatności zebranych danych. Innymi słowy, stosownie do przesłanek dopuszczalności dalszego przetwarzania danych osobowych określonych w art. 16 ustawy z 14 grudnia 2018 r., w związku z art. 21nb oraz art. 20 ust. 1-1 d, 1j i 2ad-2c ustawy o Policji ustalono, że Policja przetwarza dane osobowe Skarżącego jako niezbędne dla realizacji jej zadań ustawowych na podstawie, w zakresie i w celu określonym w przytoczonych powyżej przepisach, oraz że Policja nie przetwarza zbędnych danych osobowych, względem których przysługiwałoby Skarżącemu prawo dostępu do danych oraz prawo żądania usunięcia tych danych. Okazało się, że weryfikacja zgromadzonych danych osobowych w kontekście niniejszej sprawy, z uwzględnieniem celów przetwarzania informacji przez Policję, przemawia za dalszym przetwarzaniem tych danych osobowych. Wobec tego Prezes UODO zasadnie odmówił uwzględnienia wniosku Skarżącego, czemu dał wyraz w treści zaskarżonej decyzji.
W tym stanie sprawy Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.