II SA/Wa 571/24

II SA/Wa 571/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-01-23
orzeczenie nieprawomocne
Data wpływu
2024-04-17
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak
Iwona Maciejuk /sprawozdawca/
Sławomir Fularski /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2024 poz 17
art. 190 par. 1, art. 66 par. 1
Ustawa z dnia 6 czerwca 1997 r. Kodeks karny (t. j.)
Dz.U. 2024 poz 145
art. 7 ust. 1 pkt 2, art. 21nb ust. 1 i 2, art. 21e ust. 2 i art. 21m, art. 20f
Ustawa z dnia 6 kwietnia 1990 r. o Policji (t. j.)
Dz.U. 2019 poz 1781
art. 31 ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski, Sędzia WSA Iwona Maciejuk (spr.), Asesor WSA Dorota Kozub-Marciniak, , Protokolant starszy sekretarz sądowy Marcin Rusinowicz-Borkowski, po rozpoznaniu na rozprawie w dniu 23 stycznia 2025 r. sprawy ze skargi Komendanta Głównego Policji na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lutego 2024 r. nr [...] , na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.), zwanej dalej Kpa, oraz art. 5 ust. 1 pkt 6 i art. 8 ust. 2 pkt 5 w zw. z art. 12 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz.U. z 2023 r. poz. 1206), po przeprowadzeniu postępowania administracyjnego w sprawie skargi A. C. na przetwarzanie jej danych osobowych nakazał Komendantowi Głównemu Policji przywrócenie stanu zgodnego z prawem poprzez usunięcie z Krajowego Systemu Informacyjnego Policji danych osobowych A. C. wprowadzonych do Krajowego Systemu Informacyjnego Policji w 2016 r. w ramach postępowania karnego prowadzonego wobec A. C. o czyn wypełniający znamiona przestępstwa określonego w art. 190 § 1 ustawy z dnia 6 czerwca 1997 r. Kodeks karny.
Prezes UODO w uzasadnieniu wskazał, że wnioskodawczyni w skardze na przetwarzanie jej danych osobowych przez Komendanta Głównego Policji w Krajowym Systemie Informacyjnym Policji podniosła, że "Komendantowi Głównemu Policji zarzucam nieprawidłowość w przetwarzaniu danych A. C., w szczególności przetwarzaniu danych bez uzasadnienia, niezgodnie z celem dla jakich przedmiotowe dane mogą być przechowywane i przetwarzane, w sytuacji gdy doszło do warunkowego umorzenia postępowania karnego przeciwko skarżącej, a okres próby minął w dniu 23.09.2017 r. , ponadto uniewinniono A. C. od zarzucanych jej czynów po przeprowadzeniu postępowania dyscyplinarnego prowadzonego przez Komisję Dyscyplinarną w Komendzie Wojewódzkiej Policji dla Członków Korpusu Służby Cywilnej". Strona wniosła o nakazanie Komendantowi Głównemu Policji usunięcia jej danych osobowych i zakazanie dalszego ich przetwarzania. Prezes DODO ustalił następujący stan faktyczny: 1. Wobec strony w 2016 r. prowadzone było postępowanie karne w sprawie o czyn z art. 190 § 1 k.k. Na zasadach określonych w ówcześnie obowiązującym art. 20 ust. 2a ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2024 r. poz. 145), w związku z przedstawieniem stronie zarzutów Policja pobrała jej dane osobowe, jako osoby podejrzanej o popełnienie przestępstwa ściganego z oskarżenia publicznego. Jej dane osobowe zostały zarejestrowane w KSIP w formie tzw. rejestracji procesowej. W KSIP nie są przetwarzane dane osobowe strony w zakresie popełnionych wykroczeń (wyjaśnienia Komendanta Głównego Policji z dnia [...] sierpnia 2022 r.). 2. Wyrokiem Sądu Rejonowego w Z. z dnia [...] września 2016 r. wydanym w sprawie o sygn. akt [...] Sąd ustalając, że strona dopuściła się popełniania zarzucanego jej czynu z art. 190 § 1 k.k. - na podstawie art. 66 § 1 k.k. i art. 67 § 1 k.k. warunkowo umorzył postępowanie karne na okres 1 roku próby. Strona wyjaśniła, że wyrok stał się prawomocny w dniu 23 września 2016 r., zaś okres próby minął w dniu 23 września 2017 r. (skarga, kopia wyroku Sądu Rejonowego w Z. z dnia [...] września 2016 r. wydanym w sprawie o sygn. akt [...]). 3. A. C. wnioskiem z dnia [...] maja 2018 r. zwróciła się do Komendanta Głównego Policji o usunięcie jej danych osobowych z KSIP o popełnionym przez nią czynie z art. 190 § 1 k.k. z dnia [...] kwietnia 2016 r. w związku z umorzeniem postępowania (sygn. akt [...]) (skarga, wyjaśnienia Komendanta Głównego Policji z dnia [...] sierpnia 2022 r., kopia wniosku z dnia [...] maja 2018 r.). 4. Odpowiadając na wniosek strony, Komendant Główny Policji pismem z dnia [...] czerwca 2018 r. (L.dz. [...] ) odmówił usunięcia jej danych osobowych z KSIP, stwierdzając legalność i celowość dalszego ich przetwarzania w KSIP (skarga, wyjaśnienia Komendanta Głównego Policji z dnia [...] sierpnia 2022 r., kopia pisma Komendanta Głównego Policji do strony z dnia [...] czerwca 2018 r.). 5. Następnie strona pismami dnia [...] stycznia 2022 r. oraz [...] kwietnia 2022 r. ponownie wniosła do Komendanta Głównego Policji o usunięcie jej danych osobowych z KSIP (skarga, wyjaśnienia Komendanta Głównego Policji z dnia [...] sierpnia 2022 r., kopia wniosku z dnia [...] stycznia 2022 r. oraz z dnia [...] kwietnia 2022 r.). 6. Pismem z dnia [...] stycznia 2022 r. (L.dz, [...]), a następnie pismem z dnia [...] maja 2022 r. (L.dz. [...]), Komendant Główny Policji ponownie odmówił stronie usunięcia jej danych osobowych przetwarzanych w KSIP (skarga, wyjaśnienia Komendanta Głównego Policji z dnia [...] sierpnia 2022 r., kopia pisma Komendanta Głównego Policji do strony z dnia [...] stycznia 2022 r. oraz z dnia [...] maja 2022 r.). 7. Komendant Główny Policji wyjaśnił, że dokonano weryfikacji danych strony przetwarzanych w KSIP po otrzymaniu informacji o zakończeniu postępowania w sprawie przeciwko niej, następnie w związku z wnioskami o usunięcie danych osobowych z KSIP, a także z jej skargą do Prezesa Urzędu Ochrony Danych Osobowych. W przypadku wniosku o usunięcie danych osobowych z KSIP weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP, zgodnie z którym każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą, a także pod kątem legalności i celowości przetwarzania danych osobowych (wyjaśnienia Komendanta Głównego Policji z dnia [...] sierpnia 2022 r.). 8. Komendant Główny Policji wyjaśnił, że w związku z naruszeniem norm prawnokarnych przez stronę oraz rodzajem norm naruszonych nie można uznać, że jej dane osobowe stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1 ust. 2 ustawy o Policji, m.in. ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw i wykroczeń oraz ścigania ich sprawców. Komendant Główny Policji wyjaśnił, że nie bez znaczenia dla odmownej decyzji w zakresie usunięcia danych osobowych strony z KSIP pozostaje również rodzaj dóbr chronionych prawem naruszonych popełnionym przez nią przestępstwem oraz forma sprawstwa i umyślności popełnionego czynu. Komendant Główny Policji wskazał, że naruszenia prawa przez stronę dotyczyły czynu określonego w art. 190 § 1 k.k. W ocenie Komendanta Głównego Policji, cechy przestępstwa, którego dotyczyło postępowanie prowadzone wobec strony, stanowią kolejny element uzasadniający dalsze przetwarzanie jej danych osobowych przez Policję w KSIP. Komendant Główny Policji podkreślił, że przetwarzanie to ma na celu po pierwsze uniemożliwienie ponownego popełnienia takich czynów, po drugie zaś właściwe dokonywanie dalszych prognoz kryminologicznych oraz czynności analitycznych, a także pełną realizację ustawowych zadań Policji (wyjaśnienia Komendanta Głównego Policji z dnia [...] sierpnia 2022 r.).
Rozstrzygając w sprawie Prezes UODO wskazał, że zasady i warunki ochrony danych osobowych przetwarzanych przez właściwe organy w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, w tym zagrożeń dla bezpieczeństwa i porządku publicznego, a także wykonywania tymczasowego aresztowania, kar, kar porządkowych i środków przymusu skutkujących pozbawieniem wolności zostały określone w ustawie z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz.U. z 2023 r. poz. 1206). W myśl dyspozycji art. 13 ww. ustawy z dnia 14 grudnia 2018 r. właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Stosownie do art. 14 ww. ustawy za wyjątkiem określonych w niej przypadków uznaje się za niedopuszczalne przetwarzanie tzw. danych wrażliwych, tj. danych osobowych ujawniających pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne, światopoglądowe, przynależność do związków zawodowych, a także danych genetycznych, danych biometrycznych przetwarzanych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia, danych dotyczących seksualności i orientacji seksualnej osoby fizycznej. Dopuszcza się przetwarzanie danych wrażliwych, jeżeli: 1) przepisy prawa zezwalają na ich przetwarzanie lub 2) jest to niezbędne dla ochrony życia lub zdrowia lub interesów osoby, której dane dotyczą, lub innej osoby, lub 3) dane takie zostały upublicznione przez osobę, której dotyczą. Stosownie do art. 24 ust. 1 pkt 2 ww. ustawy osoba, której dane dotyczą, może wystąpić z wnioskiem do administratora o niezwłoczne usunięcie danych osobowych, w przypadku gdy dane te zostały zebrane lub są przetwarzane z naruszeniem przepisów ustawy. W przedmiotowej sprawie należało ustalić, czy organy Policji posiadają odpowiednią podstawę prawną legalizującą przetwarzanie danych osobowych strony, wypełniającą dyspozycję art. 13 lub 14 ustawy z dnia 14 grudnia 2018 r.
Prezes UODO wskazał, że zakres uprawnień oraz ustawowych zadań Policji określa ustawa o Policji. Zgodnie z art. 21 nb ust. 1 tej ustawy Komendant Główny Policji prowadzi KSIP, będący zestawem zbiorów danych, w którym przetwarza się informacje, w tym dane osobowe, w związku z realizacją zadań ustawowych Policji, wskazanych przede wszystkim w art. 1 ust. 2 ustawy o Policji. Zgodnie z tym przepisem do podstawowych zadań Policji należą m.in.: 1) ochrona życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra; 2) ochrona bezpieczeństwa i porządku publicznego, w tym zapewnienie spokoju w miejscach publicznych oraz w środkach publicznego transportu i komunikacji publicznej, w ruchu drogowym i na wodach przeznaczonych do powszechnego korzystania; 3) inicjowanie i organizowanie działań mających na celu zapobieganie popełnianiu przestępstw i wykroczeń oraz zjawiskom kryminogennym i współdziałanie w tym zakresie z organami państwowymi, samorządowymi i organizacjami społecznymi; 4) wykrywanie przestępstw i wykroczeń oraz ściganie ich sprawców. Wobec powyższego prowadzenie KSIP przez Komendanta Głównego Policji jest obowiązkiem wykonywanym w ramach realizacji zadań ustawowych Policji, który mieści się w zakresie przedmiotowym stosowania ustawy z dnia 14 grudnia 2018 r. Policja zgodnie z art. 20 ust. 1 ustawy o Policji, z zachowaniem ograniczeń wynikających z art. 19, jest uprawniona do przetwarzania informacji, w tym danych osobowych. Przetwarzanie oraz wymiana informacji, w tym danych osobowych, może dotyczyć także danych osobowych, o których mowa w art. 14 ust. 1 ustawy z dnia 14 grudnia 2018 r. (tzw. danych osobowych wrażliwych), przy czym dane dotyczące wyników analizy kwasu deoksyrybonukleinowego (DNA) obejmują informacje wyłącznie o niekodującej części DNA (art. 20 ust. la ustawy o Policji). Stosownie do art. 20 ust. 2b ustawy o Policji informacje przetwarzane przez Policję mogą obejmować: dane wrażliwe, z tym że dane dotyczące kodu genetycznego obejmują informacje wyłącznie o niekodującej części DNA, odciski linii papilarnych, zdjęcia, szkice i opisy wizerunku, cechy i znaki szczególne, pseudonimy, a także informacje o: miejscu zamieszkania lub pobytu, wykształceniu, zawodzie, miejscu i stanowisku pracy oraz sytuacji materialnej i stanie majątku, dokumentach i przedmiotach, którymi sprawca się posługuje, sposobie działania sprawcy, jego środowisku i kontaktach, sposobie zachowania się sprawcy wobec osób pokrzywdzonych. Przy czym, zgodnie z art. 20 ust. 2c ustawy o Policji, danych osobowych, o których mowa w art. 14 ust. 1 ustawy z dnia 14 grudnia 2018 r., nie pobiera się, w przypadku gdy nie mają one przydatności wykrywczej, dowodowej lub identyfikacyjnej. Zgodnie z art. 16 ustawy z dnia 14 grudnia 2018 r. administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu – nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych (ust. 1). Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Zbędne dane usuwa się, z zastrzeżeniem art. 17 (ust. 2). Za zbędne dane należy uznać takie, które nie są już przydatne w świetle celów wyrażonych w art. 1 pkt 1 ustawy z dnia 14 grudnia 2018 r. Ograniczenie przechowywania uniemożliwia bezterminowe przechowywanie danych pomimo osiągnięcia celu, w którym zostały zebrane. Bezterminowe przechowywanie danych osobowych mogłoby bowiem powodować naruszenie zasad przetwarzania, takich jak zasada adekwatności, minimalizacji danych, związania celem, rzetelności przetwarzania, a także prawidłowości danych.
Prezes UODO zaznaczył, że w zakresie nieuregulowanym w art. 16 ustawy z dnia 14 grudnia 2018 r. weryfikacji informacji, w tym danych osobowych, przetwarzanych w KSIP pod kątem przydatności dokonuje się w sposób określony w § 104 i 105 zarządzenia nr 70 Komendanta Głównego Policji z dnia 2 grudnia 2019 r. w sprawie Krajowego Systemu Informacyjnego Policji (Dz.Urz.KGP.2019.114 ze zm.). Dokonując weryfikacji przetwarzanych danych osobowych, administrator musi uprzednio przeprowadzić dokładną analizę stanu faktycznego pod kątem zapewnienia przetwarzania danych osobowych zgodnie z zasadami określonymi w ustawie z dnia 14 grudnia 2018 r. Dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą zostać niezwłocznie usunięte (art. 31 ust. 2 ustawy z dnia 14 grudnia 2018 r.).
W toku przeprowadzonego postępowania wyjaśniającego Prezes UODO ustalił, że wobec strony w 2016 r. prowadzone było postępowanie karne w sprawie o czyn z art. 190 § 1 k.k. Na zasadach określonych w ówcześnie obowiązującym art. 20 ust. 2a ustawy o Policji, w związku z przedstawieniem stronie zarzutów, Policja pobrała jej dane osobowe jako osoby podejrzanej o popełnienie przestępstwa ściganego z oskarżenia publicznego. Dane osobowe strony zostały zarejestrowane w KSIP w formie tzw. rejestracji procesowej. Wyrokiem Sądu Rejonowego w Z. z dnia [...] września 2016 r. wydanym w sprawie o sygn. akt [...], Sąd ustalając, że strona dopuściła się popełniania zarzucanego jej czynu z art. 190 § 1 k.k. – na podstawie art. 66 § 1 k.k. i art. 67 § 1 k.k. warunkowo umorzył postępowanie karne na okres 1 roku próby. Wyrok stał się prawomocny w dniu 23 września 2016 r., zaś okres próby minął w dniu [...] września 2017 r. Organ wskazał, że z materiału dowodowego zgromadzonego w sprawie wynika, że organy Policji dokonały weryfikacji danych strony przetwarzanych w KSIP po otrzymaniu informacji o zakończeniu postępowania w sprawie przeciwko niej, następnie w związku z wnioskami strony o usunięcie danych osobowych z KSIP, a także w związku z jej skargą do Prezesa UODO. W przypadku wniosku o usunięcie danych osobowych z KSIP weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP, zgodnie z którym każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą, a także pod kątem legalności i celowości przetwarzania danych osobowych. Komendant Główny Policji wyjaśnił, że w związku z naruszeniem norm prawnokarnych przez stronę oraz rodzajem norm naruszonych nie można uznać, że dane osobowe strony stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1 ust. 2 ustawy o Policji, m.in. ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw i wykroczeń oraz ścigania ich sprawców. Komendant Główny Policji wyjaśnił, że nie bez znaczenia dla odmownej decyzji w zakresie usunięcia danych osobowych strony z KSIP pozostaje również rodzaj dóbr chronionych prawem naruszonych popełnionym przez stronę przestępstwem oraz forma sprawstwa i umyślności popełnionego czynu. Komendant Główny Policji wskazał, że naruszenie prawa przez stronę dotyczyło czynu określonego w art. 190 § 1 k.k. W ocenie Komendanta Głównego Policji, cechy przestępstwa, którego dotyczyło postępowanie prowadzone wobec strony, stanowią kolejny element uzasadniający dalsze przetwarzanie jej danych osobowych przez Policję w KSIP. Komendant Główny Policji podkreślił, że przetwarzanie to ma na celu po pierwsze uniemożliwienie ponownego popełnienia takich czynów, po drugie zaś właściwe dokonywanie dalszych prognoz kryminologicznych oraz czynności analitycznych, a także pełną realizację ustawowych zadań Policji.
Prezes UODO podkreślił, że dokonywana przez niego ocena służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 8 ust. 2 ustawy z dnia 14 grudnia 2018 r., służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W ocenie Prezesa UODO dla realizacji celu, jakim jest ochrona życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw wykroczeń oraz ścigania ich sprawców realizowanych przez Policję, zbędne jest przetwarzanie przez Policję danych osobowych strony dotyczących prowadzonego wobec niej postępowania karnego w sprawie o czyn z art. 190 § 1 k.k., które wyrokiem Sądu Rejonowego w Z.z dnia [...] września 2016 r. wydanym w sprawie o sygn. akt [...] zostało umorzone na okres 1 roku próby. W myśl art. 66 § 1 kk sąd może warunkowo umorzyć postępowanie karne, jeżeli wina i społeczna szkodliwość czynu nie są znaczne, okoliczności jego popełnienia nie budzą wątpliwości, a postawa sprawcy niekaranego za przestępstwo umyślne, jego właściwości i warunki osobiste oraz dotychczasowy sposób życia uzasadniają przypuszczenie, że pomimo umorzenia postępowania będzie przestrzegał porządku prawnego, w szczególności nie popełni przestępstwa. Warunkowego umorzenia nie stosuje się do sprawcy przestępstwa zagrożonego karą przekraczającą 5 lat pozbawienia wolności (art. 66 § 2 kk). Stosownie do art. 68 § 4 kk, jeżeli wyznaczony w orzeczeniu warunkowo umarzającym postępowanie okres próby przebiegnie pomyślnie, to warunkowe umorzenie, po upływie 6 miesięcy od zakończenia okresu próby, uzyskuje znaczenie umorzenia definitywnego, a sprawca uchodzi za nieukaranego. Okoliczności faktyczne niniejszej sprawy wskazują, że okres próby u strony skończył się z upływem 1 roku od dnia uprawomocnienia się orzeczenia Sądu Rejonowego w Z.z dnia [...] września 2016 r. w sprawie o sygn. akt [...]. Wyrok stał się prawomocny w dniu 23 września 2016 r., zaś okres próby minął w dniu [...] września 2017 r. Przetwarzanie w KSIP informacji o prowadzeniu postępowania karnego wobec osoby, która dopuściła się w przeszłości czynu zabronionego, przy czym nie została skazana za przestępstwo (z uwagi na warunkowe umorzenie postępowania) jest okolicznością obciążającą. Zdaniem Prezesa UODO jedynym podmiotem uprawnionym do dokonywania oceny stopnia winy i społecznej szkodliwości popełnionego czynu jest sąd. To sąd stosując sprawiedliwościowe dyrektywy wymiaru kary, dokonuje oceny czynu z punktu widzenia naganności zachowania się sprawcy oraz jego stosunku psychicznego do popełnionego czynu. Ponadto wartościując powyższe, sąd analizuje nie tylko stopień społecznej szkodliwości czynu, ale również dyrektywę prewencji indywidualnej, biorąc pod uwagę dotychczasowy tryb życia sprawcy, sposób popełnienia czynu i zachowanie się po czynie. W ocenie Prezesa UODO nie bez znaczenia dla dokonania oceny kryminologicznej strony pozostaje zatem okoliczność, że sąd orzekając w sprawie dokonanego przez nią czynu zabronionego, skorzystał z instytucji określonej w art. 66 § 1 kk, tj. warunkowo umorzył postępowanie karne. Podkreślić zatem należy, że sąd wydając rozstrzygnięcie w takim kształcie, dokonał de facto oceny kryminologicznej strony. W kontekście powyższego stanowisko Komendanta Głównego Policji, że przetwarzanie danych osobowych strony jest niezbędne w celu prowadzenia dalszych prognoz kryminologicznych, wydaje się kwestionować niejako stanowisko sądu, który jako organ do tego właściwy takiej oceny uprzednio dokonał, warunkowo umarzając wobec niego postępowanie karne.
Prezes UODO podkreślił, iż z ustaleń przeprowadzonego postępowania wynika, że pomimo, że dane osobowe strony zostały pozyskane i wprowadzone do zbioru KSIP w 2016 r. w związku z prowadzonym wobec niej wówczas postępowaniem, to od tamtego czasu nie doszło do postawienia jej innego zarzutu o charakterze prawnokarnym. W szczególności obecnie nie toczy się przeciwko niej żadne postępowanie karne. Dlatego przetwarzanie danych strony w celu zapobieżenia popełnieniu bezpośrednio przez nią w przyszłości przestępstwa albo wykrycia go w przypadku niemożności zapobieżenia popełnianiu takiego przestępstwa wydaje się całkowicie nieuzasadnione. Ponadto Prezes UODO zauważył, że w toku postępowania Komendant Główny Policji nie wykazał, w jaki sposób przetwarzanie danych osobowych strony pomogło w realizacji celów oraz zadań ustawowych Policji. Prezes UODO podkreślił również, że w kwestii przetwarzania danych osobowych przez Policję wypowiedział się Europejski Trybunał Sprawiedliwości, który w wyroku z dnia 4vgrudnia 2008 r. (sygn. [...] i [...]) stwierdził, iż bezterminowe przechowywanie przez władze danych szczególnie wrażliwych jest niedopuszczalne w demokratycznym społeczeństwie i prowadzi do naruszenia art. 8 Europejskiej Konwencji Praw Człowieka, stanowiącego o prawie do ochrony życia prywatnego. Trybunał wskazał również, że prawo krajowe powinno zawierać odpowiednie mechanizmy ochronne w celu zapobieżenia takiemu wykorzystaniu informacji osobistych, które naruszałoby art. 8 Konwencji. Trybunał podniósł, iż potrzeba takiej ochrony wzrasta, gdy ma się do czynienia z procesem automatycznego przetwarzania danych, a wykorzystywanie ich do celów policyjnych nie może być usprawiedliwieniem mniejszej ochrony. W świetle ustalonych okoliczności organ uznał, że przetwarzanie przez Komendanta Głównego Policji danych osobowych strony odbywa z naruszeniem art. 13 oraz art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r., dlatego niezbędne było nakazanie przywrócenia stanu zgodnego z prawem w tym zakresie. Wobec powyższego Prezes UODO, działając na podstawie art. 8 ust. 2 pkt 5 ustawy z dnia 14 grudnia 2018 r., nakazał Komendantowi Głównemu Policji przywrócenie stanu zgodnego z prawem poprzez usunięcie z Krajowego Systemu Informacyjnego Policji danych osobowych strony wprowadzonych w 2016 r. do KSIP w ramach postępowania karnego w sprawie o czyn wypełniający znamiona przestępstwa określonego w art. 190 § 1 k.k.
Komendant Główny Policji, reprezentowany przez pełnomocnika, w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł o uchylenie w całości decyzji Prezesa UODO z dnia [...] lutego 2024 r. sygn. akt [...] ; uznanie, iż Komendant Główny Policji zgodnie z prawem przetwarza, w tym przechowuje, dane osobowe wnioskodawczyni w Krajowym Systemie Informacyjnym Policji dotyczące prowadzonego wobec niej w 2016 r. postępowania karnego z art. 190 § 1 k.k. - w celu realizacji ustawowych zadań Policji, w szczególności w zakresie ochrony bezpieczeństwa i porządku publicznego, rozpoznawania, zapobiegania wykrywania i ścigania sprawców przestępstw i wykroczeń, a także uznanie, iż zaskarżona decyzja w całości nie odpowiada przepisom prawa i zasądzenie na rzecz Komendanta Głównego Policji kosztów postępowania. Pełnomocnik zarzucił wydanie decyzji z rażącym naruszeniem przepisów prawa materialnego:
- art. 13 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 21nb, art. 20 ust. 1-1d, 1j i ust. 2ad - 2ba w związku z art. 1 ust. 1 i ust. 2 pkt 1-4 ustawy o Policji - mające istotny wpływ na wynik sprawy, poprzez: niewłaściwe zastosowanie tych przepisów i uznanie przez Prezesa UODO wbrew tym przepisom, że przetwarzanie przez Policję danych osobowych A. C. w KSIP w zakresie dotyczącym czynu wypełniającego znamiona przestępstwa z art. 190 § 1 k.k. popełnionego w 2016 r. jest nieuzasadnione i nie ma podstaw oraz odbywa się z naruszeniem art. 13 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. to jest bez uwzględnienia przez Prezesa UODO podstaw i praw (uprawnień) Policji wynikających z przepisów art. 13 ust. 1 i 2 ustawy z dnia 14 grudnia 2018 r., art. 21nb oraz art. 20 ust. 1-1d, 1j i ust. 2ad - 2ba ustawy o Policji do przetwarzania przez Policję w KSIP informacji, w tym danych osobowych, niezbędnych w celu realizacji ustawowych zadań Policji, w tym informacji dotyczących osób podejrzanych o popełnienie przestępstw, w stosunku do których Policja realizowała ustawowe zadania, oraz które w zakresie realizowanych zadań na podstawie ustawowych uprawnień Policja legalnie zgromadziła i przetwarza w KSIP w związku z realizacją tych zadań - to jest w sytuacji gdy wskazane przepisy ustawy z dnia 14 grudnia 2018 r. i ustawy o Policji stanowią podstawę prawną (stanowią legitymację Policji do) przetwarzania danych osobowych strony - a także bez uwzględniania ustawowych zadań Policji określonych w art. 1 ust. 2 pkt 1-4 w zw. z art. 1 ust. 1 ustawy o Policji, które uzasadniają ich przetwarzanie przez Policję i determinują cel przetwarzania tych danych w KSIP, w szczególności realizację zadań Policji w zakresie ochrony bezpieczeństwa i porządku publicznego oraz wykrywania i ścigania sprawców przestępstw i wykroczeń; niewłaściwe zastosowanie tych przepisów oraz uznanie przez Prezesa UODO wbrew wskazanym przepisom, iż przetwarzanie przez Policję w KSIP informacji, w tym danych osobowych, dotyczących strony w zakresie popełnionego przez nią przestępstwa z art. 190 § 1 k.k. wprowadzonych do KSIP jako informacje o osobie podejrzanej o popełnienie tego przestępstwa w związku z prowadzonym przeciwko niej postępowaniem karnym w 2016 r. jest nieuzasadnione i brak jest podstawy do ich przetwarzania, a tym samym, że przetwarzanie danych osobowych strony jest zbędne i nieprzydatne w kontekście celów przetwarzania przez Policję informacji, w tym danych osobowych, w KSIP oraz, że ustał cel ich przetwarzania przez Policję, tj. dla realizacji zadań ustawowych Policji określonych w szczególności w art. 1 ust. ust. 2 pkt 1-4 w zw. z art. 1 ust. 1 ustawy o Policji, tj. w szczególności w celu ochrony bezpieczeństwa i porządku publicznego, rozpoznawania, wykrywania, zapobiegania i zwalczania przestępstw oraz ścigania ich sprawców podczas gdy Policja przetwarza dane osobowe strony w powyższym zakresie na podstawie przepisów art. 13 ust. 1 i 2 ustawy z dnia 14 grudnia 2018 r., art. 21nb oraz art. 20 ust. 1-1 d, 1j i ust. 2ad - 2ba ustawy o Policji oraz na podstawie tych przepisów dane osobowe strony we wskazanym zakresie, zgromadzone legalnie przez Policję jako o osobie podejrzanej o popełnienie przestępstwa z art. 190 § 1 k.k. w związku z prowadzonym przeciwko niej postępowaniem karnym w 2016 r., są niezbędne dla realizacji wskazanych ustawowych zadań Policji oraz pozostają w zakresie uprawnień Policji do przetwarzania informacji, w tym danych osobowych, w KSIP wynikających z wymienionych przepisów ustawy z dnia 14 grudnia 2018 r. i ustawy o Policji - w wyniku czego organ niewłaściwe i bezpodstawnie rozstrzygnął istotę sprawy nakazując KGP przywrócenie stanu zgodnego z prawem, poprzez usunięcie danych osobowych A. C. wprowadzonych do Krajowego Systemu Informacyjnego Policji w 2016 r. w ramach postępowania karnego prowadzonego wobec A. C. o czyn wypełniający znamiona przestępstwa określonego w art. 190 § 1 k.k.;
- art. 16 ustawy z dnia 14 grudnia 2018 r. oraz art. 21nb oraz art. 20 ust. 1-1d, 1j i ust. 2ad - 2ba w zw. z art. 1 ust. 1 i ust. 2 pkt 1-4 ustawy o Policji mające istotny wpływ na wynik sprawy poprzez: odstąpienie od zastosowania tych przepisów jako przepisów szczególnych oraz uznanie przez Prezesa UODO terminu 6 lat (w dacie złożenia skargi do Prezesa UODO), faktu warunkowego umorzenia postępowania wobec strony wyrokiem Sądu Rejonowego w Z.z dnia [...] września 2016 r. sygn. akt [...] na okres próby 1 roku za czyn z art. 190 § 1 k.k., oraz faktu niekaralności strony w chwili wydania decyzji - jako podstaw do usunięcia jej danych osobowych z KSIP, a także uchylających cel przetwarzania danych osobowych przez Policję w KSIP, pomimo iż ustawa o Policji, jak również ustawy z dnia 14 grudnia 2018 r. nie wskazuje takich okoliczności (przesłanek) jako podstaw usuwania danych osobowych przetwarzanych przez Policję w KSIP w celu realizacji zadań ustawowych Policji zezwalając Policji na przetwarzanie danych osobowych zgromadzonych legalnie i prawidłowych, w tym o osobach podejrzanych o popełnienie przestępstwa wobec, których Policja realizowała ustawowe zadania przez okres niezbędny dla realizacji tych zadań, jednakże przez okres nie krótszy niż 10 lat od dnia zebrania; odstąpienie od zastosowania tych przepisów jako przepisów szczególnych w stosunku do przepisów art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. poprzez nieuwzględnienie wynikających z przepisów art. 16 ust. 1 i 2 tej ustawy obowiązków administratora dokonywania weryfikacji przetwarzanych danych osobowych w terminach określonych w przepisach szczególnych, a w przypadku ich braku nie rzadziej niż co 10 lat od dnia zebrania, uzyskania lub pobrania danych osobowych, a jednocześnie prawa Policji do przetwarzania danych osobowych w KSIP w celu realizacji ustawowych zadań Policji przez okres nie krótszy niż 10 lat od uzyskania, pobrania lub aktualizacji oraz pomimo tego, iż powyższe przepisy nakładają na administratora - Komendanta Głównego Policji - obowiązek regularnej, okresowej weryfikacji, z częstotliwością nie rzadziej niż raz na 10 lat od dnia zebrania, uzyskania lub pobrania danych oraz dokonywania oceny niezbędności przetwarzania (w tym przechowywania) danych osobowych dla realizacji ustawowych zadań Policji, który to termin 10 lat przechowywania danych osobowych strony przez Policję nie upłynął w dacie złożenia skargi do Prezesa UODO, tj. w 2022 r. oraz w dacie wydania zaskarżonej decyzji, tj. w dniu [...] lutego 2024 r., a co się z tym wiąże nie upłynął termin, który obowiązuje KGP do dokonania weryfikacji danych osobowych strony w celu ustalenia czy dalsze przechowywanie jej danych osobowych jest zbędne dla celów ich przetwarzania a w konsekwencji czy dalsze przetwarzanie danych osobowych strony w KSIP jest zbędne dla realizacji ustawowych zadań Policji, uzyskania (zgromadzenia, pobrania) danych, po którym to okresie przechowywania (przetwarzania) aktywizuje się obowiązek weryfikacji zgromadzonych danych w celu ustalenia zbędności ich dalszego przechowywania (przetwarzania) dla realizacji zadań Policji - które to przepisy mają zastosowanie do przetwarzania danych osobowych strony w KSIP i stanowią podstawę do dokonania przez KGP weryfikacji danych osobowych dotyczących A. C. w celu ustalenia zbędności dalszego przechowywania - i co się z tym wiąże zbędności oraz jednocześnie niezbędności przetwarzania dla realizacji ustawowych zadań Policji tych danych osobowych - w zakresie dotyczącym prowadzonego wobec niej postępowania karnego o przestępstwo z art. 190 § 1 k.k. po upływie 10 lat od dnia ich zgromadzenia w KSIP, tj. po upływie 10 lat od 11 listopada 2016 r., który to termin obowiązkowej weryfikacji jeszcze nie upłynął; odstąpienie od zastosowania tych jako przepisów szczególnych względem art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. i uznanie przez Prezesa UODO sprzecznie z przepisami art. 16 tej ustawy oraz art. 21nb oraz art. 20 ust. 1-1 d, 1j i ust. 2ad - 2ba ustawy o Policji, że przetwarzanie danych osobowych strony w KSIP w celu realizacji ustawowych zadań Policji jest niezgodne z przepisami art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. ze względu na to, iż postępowanie karne wobec niej o przestępstwo z art. 190 § 1 k.k. zostało warunkowo umorzone oraz ze względu na to, że nie figuruje ona w Krajowym Rejestrze Karnym, a także ze względu na to, iż od czasu zgromadzenia danych osobowych strony w KSIP w 2016 dotyczących ww. przestępstwa nie doszło do postawienia jej innego zarzutu o charakterze prawnokarnym i nie toczy się wobec niej żadne postępowanie karne oraz że okoliczności te stanowią jednocześnie podstawę usunięcia informacji, w tym danych osobowych, dotyczących strony z KSIP pomimo, iż: KSIP nie jest rejestrem skazanych w rozumieniu art. 106 k.k. a informacje, w tym dane osobowe, przetwarzane w KSIP nie służą ewidencjonowaniu informacji o ukaraniu, czy o skazaniu osób za przestępstwa jak również ewidencjonowaniu czy rejestrowaniu wyroków sądów w sprawach karnych za przestępstwa, lecz informacje te służą realizacji zadań ustawowych Policji określonych w szczególności w art. 1 ust. ust. 2 pkt 1-4 w zw. z art. 1 ust. 1 ustawy o Policji, do których wskazane powyżej zadania w zakresie ewidencjonowania informacji o skazaniach, o wyrokach sądów itp. nie należą, i jako takie nie determinują celów przetwarzania danych osobowych w KSIP co jednocześnie świadczy o braku jakiekolwiek związku, w tym w zakresie podstaw prawnych, celów i zasad przetwarzania, w tym przechowywania i usuwania, informacji w Krajowym Rejestrze Karnym z podstawami prawnymi, celami i zasadami przetwarzania, w tym przechowywania i usuwania, danych osobowych w KSIP przez Policję, KSIP jest zestawem zbiorów danych, ustanowionym na podstawie art. 21nb ustawy o Policji oraz na mocy którego Policja ma prawo przetwarzać informacje, w tym dane osobowe, w związku z realizacją zadań Policji, a zatem również dane osobowe strony w zakresie jej sprawstwa dotyczącego popełnienia ww. przestępstw w celu realizacji ustawowych zadań Policji z obowiązkiem weryfikacji przetwarzanych informacji, w tym danych osobowych, w KSIP nie rzadziej niż co 10 lat (a zatem bez obowiązku wcześniejszej weryfikacji) pod kątem ich niezbędności dla realizacji tych zadań oraz obowiązkiem usuwania danych zbędnych, w tym tych, co do których ustał cel ich przetwarzania identyfikowany celami przetwarzania danych osobowych w KSIP określonymi w art. 21 nb ustawy o Policji, do których nie należy gromadzenie informacji o ukaraniach i skazaniach, co jednocześnie potwierdza legalność przetwarzania danych osobowych strony w KSIP a zatem zgodność z prawem ich przetwarzania a w konsekwencji brak podstaw do żądania przywrócenia stanu zgodnego z prawem poprzez nakazanie usunięcia danych osobowych strony z KSIP wobec faktu istnienia zgodności z prawem przetwarzania danych osobowych strony w KSIP, warunkowe umorzenie postępowania karnego stanowi stwierdzenie popełnienia przestępstwa a wyrok warunkowo umarzający postępowanie jest orzeczeniem stwierdzającym popełnienie przestępstwa, a co się z tym wiąże jest potwierdzeniem sprawstwa strony w zakresie popełnienia przestępstwa z art. 190 § 1 k.k. oraz że w związku z tym nie ustaje realizacja ustawowych zadań Policji w zakresie zapewnienia ochrony bezpieczeństwa i porządku publicznego oraz wykrywania i ścigania sprawców przestępstw i wykroczeń, w tym nie ustaje realizacja tych zadań w odniesieniu do strony, strona popełniła czyn zabroniony jako przestępstwo ścigane z oskarżenia publicznego w 2016 r. co uzasadnia cel przetwarzania w KSIP jej danych osobowych dotyczących jej sprawstwa w zakresie popełnienia ww. przestępstwa dla celów realizacji zadań Policji w zakresie zapewnienia ochrony bezpieczeństwa i porządku publicznego oraz wykrywania i ścigania sprawców przestępstw i wykroczeń, w tym nie ustaje realizacja tych zadań w odniesieniu do strony - w wyniku czego organ niewłaściwe i bezpodstawnie rozstrzygnął istotę sprawy nakazując KGP przywrócenie stanu zgodnego z prawem, poprzez usunięcie danych osobowych A. C. wprowadzonych KSIP w 2016 r. w ramach postępowania karnego prowadzonego
wobec A. C. o czyn wypełniający znamiona przestępstwa określonego w art. 190 § 1 k.k.
- art. 13 oraz art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. poprzez niewłaściwe zastosowanie i uznanie przez Prezesa UODO, że przetwarzanie danych osobowych A. C. przez KGP w KSIP oraz jako o osobie podejrzanej o popełnienie przestępstwa z art. 190 § 1 k.k. w związku z prowadzonym przeciwko niej postępowaniem karnym w 2016 r. jest nieuzasadnione i nie ma podstawy oraz odbywa się w związku z tym z naruszeniem tych przepisów podczas gdy Policja, w tym KGP, ma prawo do przetwarzania informacji, w tym danych osobowych, dotyczących strony w ww. zakresie w KSIP w celu realizacji ustawowych zadań Policji na podstawie przepisów art. 21nb oraz art. 20 ust. 1-1d, 1j i ust. 2ad - 2ba oraz art. 1 ust. 1 i 2 pkt 1-4 ustawy o Policji w związku z art. 13 ust. 1 i 2, art. 16 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. ze względu na to, iż dane osobowe strony w ww. zakresie zostały zgromadzone przez Policję legalnie, są prawidłowe w świetle celów przetwarzania przez Policję w zakresie realizacji jej zadań ustawowych oraz przetwarzane w KSIP, który jest przeznaczony zgodnie z art. 21nb ustawy o Policji do przetwarzania informacji, w tym danych osobowych, w związku z realizacją zadań Policji i to przez okres niezbędny dla realizacji tych zadań, tj. przez okres, w którym od ich zgromadzenia w KSIP w 2016 r. nie upłynęło 10 lat ich przechowywania przez Policję w KSIP (w dacie złożenie skargi w 2022 r. oraz w dacie wydania decyzji przez Prezesa UODO w 2024 r.), oraz co do których nie ustał cel ich przetwarzania, tj. nie ustały cele w zakresie realizacji ustawowych zadań Policji oraz które są niezbędne dla realizacji tych celów - zadań Policji ochrony bezpieczeństwa i porządku publicznego oraz wykrywania i ścigania sprawców przestępstw i wykroczeń;
- art. 16 w zw. z art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. oraz art. 21nb oraz art. 20 ust. 1-1d, 1j i ust. 2ad -2ba ustawy o Policji mające istotny wpływ na wynik sprawy poprzez błędną wykładnię i niewłaściwe zastosowanie polegające na: dokonaniu przez Prezesa UODO oceny niezbędności i przydatności dla realizacji ustawowych zadań Policji informacji, w tym danych osobowych, dotyczących strony przetwarzanych w KSIP w związku z prowadzonym w 2016 r. wobec niej postępowaniem karnym o przestępstwo z art. 190 § 1 k.k., a także uznaniu tych 5 informacji, w tym danych osobowych, za zbędne i nieprzydatne dla realizacji ustawowych zadań Policji, w szczególności w zakresie ochrony bezpieczeństwa i porządku publicznego, rozpoznawania, wykrywania, zapobiegania i zwalczania przestępstw oraz ścigania ich sprawców, pomimo ich przepisy ustawy z dnia 14 grudnia 2018 r. oraz inne przepisy ustawowe nie przyznają takich uprawnień Prezesowi UODO pozostawiając zgodnie z art. 16 ustawy z dnia 14 grudnia 2018 r. weryfikację danych osobowych pod kątem niezbędności ich dalszego przechowywania administratorowi tj. w tym przypadku KGP oraz co stanowi nieuprawnioną ingerencję w prawa i zadania ustawowe Policji stanowiąc jednocześnie naruszenie zasady legalizmu wynikającej z art. 7 Konstytucji RP, oparciu rozstrzygnięcia istoty sprawy wyłącznie na własnej weryfikacji dokonanej przez Prezesa UODO, do czego organ ten nie jest uprawniony na podstawie ustawy z dnia 14 grudnia 2018 r., w tym na podstawie art. 16 oraz art. 31 ust. 1 pkt 5 tej ustawy z całkowitym pominięciem weryfikacji dokonanej przez KGP zgodnie z wymienionymi przepisami ustawy jako administratora danych osobowych przetwarzanych w KSIP, co stanowi przekroczenie kompetencji Prezesa UODO w zakresie uznania danych osobowych strony przetwarzanych w KSIP - w związku z prowadzonym w 2016 r. postępowaniem karnym przeciwko stronie o przestępstwo z art. 190 § 1 k.k. - za zbędne i nieprzydatne dla realizacji zadań Policji a w konsekwencji uznaniu, iż przetwarzanie tych danych osobowych strony nie jest uzasadnione i nie ma podstaw oraz co się z tym wiąże w zakresie rozstrzygnięcia o nakazaniu usunięcia danych osobowych strony z KSIP; uznaniu, że przetwarzanie w KSIP informacji o prowadzeniu postępowania karnego przeciwko osobie, która popełniła się w przeszłości w 2016 r. przestępstwo z art. 190 § 1k.k. i wobec której warunkowo umorzono postępowanie karne w sprawie o to przestępstwo stwierdzając jej sprawstwo, oraz wobec której od tego czasu nie postawiono innego zarzutu o charakterze prawnokarnym i wobec której nie jest prowadzone postępowanie karne, w ocenie Prezesa UODO, stanowi podstawę do usunięcia tych informacji dotyczących strony z KSIP podczas gdy przepisy art. 16 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. oraz przepisy art. 21nb oraz art. 20 ust. 1-1d, 1j i ust. 2ad - 2ba ustawy o Policji nie uzależniają i nie wiążą obowiązku usunięcia, sprostowania, uzupełnienia i uaktualnienia danych osobowych dotyczących osoby, a przetwarzanych w celach określonych w art. 1 pkt 1 tej ustawy, w tym danych osobowych przetwarzanych w tych celach w KSIP z wystąpieniem powyższych okoliczności zezwalając Policji na przetwarzanie (przechowywanie) danych osobowych strony, w powyższym zakresie w terminach określonych w art. 16 ust. 1 ustawy z dnia 14 grudnia 2018 r. zgromadzonych przez Policję legalnie i prawidłowych, który to termin 10 lat przechowywania danych osobowych strony - po upływie którego należy dokonać weryfikacji zbędności dalszego ich przechowywania dla realizacji ustawowych zadań Policji oraz tym samym niezbędności ich przetwarzania dla realizacji tych zadań - jeszcze nie upłynął oraz przypada na rok 2026 - co czyni przyjęte przez Prezesa UODO kryteria oceny, przesłanki i okoliczności usunięcia danych osobowych dotyczących strony z KSIP za niezasadne i nieznajdujące podstaw prawnych w obowiązujących przepisach prawa - w wyniku czego organ niewłaściwe i bezpodstawnie rozstrzygnął istotę sprawy nakazując KGP przywrócenie stanu zgodnego z prawem, poprzez usunięcie danych osobowych A. C.;
- art. 16 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. poprzez niewłaściwe zastosowanie polegające na uznaniu, że ustanie celu przetwarzania danych osobowych strony w KSIP wynika z art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. oraz że przepis ten ma charakter nadrzędny i niezależny względem przepisu art. 16 tej ustawy podczas gdy przepis art. 16 ustanawia zasadę przetwarzania danych osobowych, o czym stanowi tytuł rozdziału 3 niniejszej ustawy, którą to zasadę należy stosować zgodnie z obowiązkami administratora określonymi w art. 31 ust. 1 ustawy umieszczonymi w rozdziale dotyczącym administratora co prowadzi do realizacji obowiązku, o którym mowa w art. 31 ust. 1 pkt 5 ustawy zweryfikowania niezbędności dalszego przechowywania danych osobowych strony przez administratora – KGP w terminach i na zasadach, o których stanowi art. 16 tej ustawy a nie w każdej chwili bez uwzględnienia zasad wynikających z tego przepisu;
- art. 24 ust. 6 i art. 26 ustawy z dnia 14 grudnia 2018 r. w zw. z art. 21nb oraz art. 20a ust. 1 oraz art. 1 ust. 1 i 2 pkt 1-4 ustawy o Policji poprzez niewłaściwe zastosowanie i rozstrzygnięcie przez Prezesa UODO o usunięciu danych osobowych strony z KSIP z powodu uznania, iż KGP nie wykazał w jaki sposób przetwarzanie danych osobowych strony pomogło w realizacji celów oraz zadań ustawowych Policji pomimo tego, że KGP w kontekście ustawowych zadań Policji oraz jako administrator w odniesieniu danych osobowych w KSIP zgodnie ze wskazanymi przepisami nie ma obowiązku wykazywania sposobu wykorzystywania, a zatem przetwarzania danych osobowych strony w celu i w zakresie realizacji ustawowych zadań Policji w tym wskazywania rodzaju spraw, czynności, metod i form realizowanych zadań Policji, w których przetwarzanie danych strony miało miejsce, gdyż mogłoby to powodować uniemożliwienie rozpoznawania, zapobiegania, wykrywania lub zwalczania czynów zabronionych oraz utrudnienie prowadzenia postępowania karnego, karnego wykonawczego, karnego skarbowego lub w sprawach o wykroczenia lub wykroczenia skarbowe, jak również istotne naruszenie dóbr innych osób, a także w określonych przypadkach ujawnienie informacji uzyskanych w wyniku czynności operacyjno-rozpoznawczych, tj. mogłoby powodować wystąpienie skutków, o których mowa w art. 26 ust. 1 pkt 1-3 i 6 ustawy z dnia 14 grudnia 2018 r., które uchylają obowiązek informacyjny administratora w zakresie sposobu przetwarzania danych osobowych skarżącej;
- art. 5 ust. 1 pkt 6 w zw. z art. 8 ust. pkt 5 ustawy z dnia 14 grudnia 2018 r. poprzez niewłaściwe zastosowanie i rozstrzygnięcie przez Prezesa UODO o usunięciu danych osobowych strony z KSIP z powodu uznania, iż przetwarzanie danych osobowych strony przez KGP w KSIP nie jest uzasadnione i nie ma podstaw ze względu na to, iż postępowanie karne prowadzone w 2016 r. w sprawie o przestępstwo z art. 190 § 1 k.k. przeciwko A. C. zostało warunkowo umorzone na okres próby 1 roku, a także ze względu na to, iż od tego czasu nie postawiono jej innego zarzutu o charakterze prawnokarnym oraz nie jest prowadzone inne postępowanie karne co stanowi dokonanie przez Prezesa UODO ustalenia (oceny) zbędności dalszego przechowywania (przetwarzania) danych osobowych strony w KSIP dla realizacji zadań ustawowych Policji skutkującego nakazem usunięcia tych danych jako zbędnych dla realizacji tych zadań pomimo, iż Prezes UODO nie jest uprawniony do dokonywania takich ustaleń (oceny) zbędności przetwarzania danych osobowych przez Policję dla realizacji jej zadań ustawowych na podstawie wymienionych przepisów ustawy z dnia 14 grudnia 2018 r. w ramach rozpatrywania skarg osób w zakresie niezgodnego z prawem przetwarzania ich danych osobowych oraz prowadzenia postępowań w tym zakresie gdyż ustalenie (ocena) zbędności przetwarzania (przechowywania) danych osobowych przetwarzanych przez Policję dla realizacji jej zadań ustawowych oraz co się z tym wiąże niezbędności dla realizacji tych zadań jest ustawowym prawem i obowiązkiem Policji – KGP – nierozerwalnie związanym z realizacją ustawowych zadań Policji oraz stanowi formę realizacji tych zadań, gdyż pobierane, gromadzenie, uzyskiwanie, analizowanie, typowanie, łączenie informacji, w tym danych osobowych, pod kątem ich przydatności (możliwości wykorzystania) dla realizowanych spraw, czynności zadań przez Policję służy realizacji tych zadań i jest formą ich realizacji, a co się z tym wiąże należy do zadań i kompetencji ustawowych Policji, których nie posiada Prezes UODO - w wyniku czego Prezes UODO rozstrzygnął sprawę poza zakresem uprawnień wynikających z przepisów ustawy z dnia 14 grudnia 2018 r.;
- art. 5 ust. 1 pkt 6 w zw. z art. 8 ust. pkt 5 ustawy z dnia 14 grudnia 2018 r., art. 7 Konstytucji RP oraz art. 1 ust. 1 i 2, art. 20 ust. 1, art. 20a ust. 1 i art. 21nb i ustawy o Policji poprzez niewłaściwe zastosowanie polegające na uznaniu, iż w ramach zadań i kompetencji Prezesa UODO określonych w art. 5 ust. 1 ustawy z dnia 14 grudnia 2018 r., w tym w ramach rozpatrywania skarg osób w zakresie niezgodnego z prawem przetwarzania ich danych osobowych oraz prowadzenia postępowań — tj. w ramach oceny zgodności z prawem przetwarzania danych osobowych strony w prowadzonym postępowaniu administracyjnym - pozostaje ocena zbędności przetwarzania danych osobowych przez Policję dla realizacji jej zadań ustawowych określonych w art. 1 ust. 1 i 2 ustawy o Policji jako celów przetwarzania danych osobowych przez Policję w KSIP podczas gdy ocena zbędności lub niezbędności przetwarzania danych osobowych przez Policję dla realizacji jej zadań ustawowych stanowi formę realizacji jej zadań ustawowych oraz jest dokonywana na podstawie i na zasadach określonych w ustawie o Policji w kontekście celów przetwarzania określonych w tej ustawie, gdyż ocena ta służy zapewnieniu realizacji tych zadań oraz co się z tym wiąże ocena ta jako forma realizacji zadań podlega ochronie na podstawie art. 20a ust. 1 ustawy o Policji i w konsekwencji co się z tym wiąże ocena powyższa nie należy do kompetencji Prezesa UODO wynikających z art. 5 ust. 1 ustawy z dnia 14 grudnia 2018 r. a dokonanie takiej oceny w sprawie rozstrzygniętej zaskarżoną decyzją stanowi ingerencję w zadania ustawowe Policji, metody i formy ich realizacji oraz tym samym stanowi działanie Prezesa UODO poza granicami jego uprawnień wynikających z niniejszej ustawy oraz bez podstawy prawnej z naruszeniem zasady legalizmu wynikającej z art. 7 Konstytucji RP, w wyniku czego Prezes UODO rozstrzygnął sprawę poza zakresem uprawnień wynikających z przepisów ustawy z dnia 14 grudnia 2018 r. i bez podstawy prawnej;
- wydanie decyzji z naruszeniem przepisów postępowania - art. 6, 7, 8, art. 77 § 1 i art. 80 w zw. z art. 104 § 1 i art. 107 § 3 k.p.a. oraz w związku z art. 8 ust. 2 pkt 5 ustawy z dnia 14 grudnia 2018 r., co miało istotny wpływ na wynik postępowania poprzez:
- rozstrzygnięcie istoty sprawy w zakresie nakazania usunięcia danych osobowych poprzez błędne ustalenia faktyczne i prawne dokonane w trakcie postępowania administracyjnego prowadzonego przez Prezesa UODO, a także błędne ustalenie faktów w zakresie ustalenia zbędności dalszego przechowywania (przetwarzania) danych osobowych strony w KSIP dla realizacji - zadań ustawowych Policji oraz błędnego ustalenia, iż przetwarzanie danych osobowych strony przez KGP w KSIP nie jest uzasadnione i nie ma podstaw ze względu na to, iż postępowanie karne prowadzone w 2016 r. wobec A. C. zostało warunkowo umorzone na okres próby 1 roku, a także ze względu na to, iż od tego czasu nie postawiono innego zarzutu o charakterze prawnokarnym i nie jest prowadzone inne postępowanie karne - na których Prezes UODO oparł rozstrzygniecie istoty sprawy w zaskarżonej decyzji podczas gdy z materiału dowodowego zgromadzonego w sprawie, w tym z wyjaśnień KGP oraz z wyników weryfikacji danych osobowych strony dokonanej przez ten organ w kontekście informacji przetwarzanych przez Policję oraz jej zadań ustawowych nie wynika zbędność jej danych osobowych dla realizacji zadań Policji, nie stwierdzono takiej zbędności oraz nie ustał cel przetwarzania jej danych osobowych, a także załatwienie sprawy bez uwzględnienia interesu społecznego i interesu publicznego w zakresie bezpieczeństwa i porządku publicznego tj. ustawowych zadań Policji określonych w art. 1 ust. 2 w zw. z art. 1 ust. 1 ustawy o Policji - co stanowi naruszenie zasady praworządności, zasady prawdy obiektywnej, zasady pogłębiania zaufania oraz zasady wyjaśniania przesłanek w zakresie rozstrzygnięcia istoty sprawy w sposób nie znajdujący oparcia w zgromadzonym materiale dowodowym oraz bez wszechstronnego rozpatrzenia całego materiału dowodowego oraz bez dokonania oceny okoliczności sprawy na podstawie całokształtu materiału dowodowego w postępowaniu administracyjnym prowadzonym przez Prezesa UODO w niniejszej sprawie;
- nieuwzględnienie w sprawie faktu dokonania weryfikacji informacji dotyczących strony przez KGP pod kątem usunięcia danych uznanych za zbędne dla realizacji ustawowych zadań Policji po zakończeniu sprawy przez Policję oraz w następstwie złożonych wniosków o usunięcie danych osobowych i skargi do Prezesa UODO, a zamiast tego przyjęcie za podstawę rozstrzygnięcia istoty sprawy wyłącznie własnej oceny dokonanej przez Prezesa UODO zbędności i nieprzydatności dla realizacji ustawowych zadań Policji informacji, w tym danych osobowych, dotyczących strony przetwarzanych w KSIP w zakresie jej danych osobowych dotyczących postępowania karnego prowadzonego wobec niej w 2016 r. o przestępstwo z art. 190 § 1 k.k. oraz uznaniu według własnego przekonania nie mającego oparcia w materiale dowodowym oraz w przepisach prawa tych informacji, w tym danych osobowych, za zbędne i nieprzydatne dla realizacji ustawowych zadań Policji, w szczególności w zakresie ochrony bezpieczeństwa i porządku publicznego, rozpoznawania, wykrywania, zapobiegania i zwalczania przestępstw oraz ścigania ich sprawców - co stanowi naruszenie zasady praworządności, zasady prawdy obiektywnej, zasady pogłębiania zaufania oraz zasady wyjaśniania przesłanek w zakresie rozstrzygnięcia istoty sprawy w sposób nie znajdujący oparcia w zgromadzonym materiale dowodowym oraz bez wszechstronnego rozpatrzenia całego materiału dowodowego oraz bez dokonania oceny okoliczności sprawy na podstawie całokształtu materiału dowodowego w postępowaniu administracyjnym prowadzonym przez Prezesa UODO w niniejszej sprawie;
- brak wyjaśnienia w decyzji zasadności nie zastosowania przepisów art. 16 ustawy z dnia 14 grudnia 2018 r. jako przepisów szczególnych względem art. 31 ust. 1 pkt 5 tej ustawy w stanie faktycznym sprawy oraz tym samym faktu i sposobu naruszenia tych przepisów przez KGP, a także niewykazanie stopnia tego naruszenia skutkującego nakazem usunięcia danych osobowych strony z KSIP w zakresie danych osobowych wprowadzonych do tego zbioru w związku z postępowaniem karnym prowadzonym wobec niej o przestępstwo z art. 190 § 1 k.k., tj. bez faktycznego wskazania i wykazania przepisów ustawy z dnia 14 grudnia 2018 r. oraz przepisów ustawy o Policji, które KGP naruszył w procesie przetwarzania legalnie zgromadzonych danych osobowych strony przechowując te dane na podstawie art. 21nb oraz art. 20 ust. 1-1d, 1j i ust. 2ad - 2ba ustawy o Policji w związku z art. 16 w zw. z art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. tj. przy istniejącym obowiązku wykonywania weryfikacji danych przez organy w zakresie niezbędności do realizacji zadań Policji nie rzadziej niż co 10 lat od dnia zgromadzenia, uzyskania lub pobrania danych - co stanowi naruszenie zasady praworządności, zasady prawdy obiektywnej, zasady pogłębiania zaufania oraz zasady wyjaśniania przesłanek w zakresie rozstrzygnięcia istoty sprawy w sposób nie znajdujący oparcia w zgromadzonym materiale dowodowym oraz bez wszechstronnego rozpatrzenia całego materiału dowodowego oraz bez dokonania oceny okoliczności sprawy na podstawie całokształtu materiału dowodowego w postępowaniu administracyjnym prowadzonym przez Prezesa UODO w niniejszej sprawie;
- brak uzasadnienia faktycznego i prawnego zaskarżonej decyzji w zakresie wyjaśnienia przez Prezesa UODO istnienia przesłanek faktycznych oraz przepisów prawa nakazujących usunięcie z KSIP danych osobowych osób, wobec których prowadzone było postępowanie karne o przestępstwo, a także w stosunku do których Policja realizowała ustawowe zadania a wobec których nie upłynęło 10 lat od ich zgromadzenia przez Policję w KSIP - co stanowi naruszenie zasady praworządności, zasady prawdy obiektywnej, zasady pogłębiania zaufania oraz zasady wyjaśniania przesłanek w zakresie rozstrzygnięcia istoty sprawy w sposób nie znajdujący oparcia w zgromadzonym materiale dowodowym oraz bez wszechstronnego rozpatrzenia całego materiału dowodowego oraz bez dokonania oceny okoliczności sprawy na podstawie całokształtu materiału dowodowego w postępowaniu administracyjnym prowadzonym przez Prezesa UODO w niniejszej sprawie;
- brak uzasadnienia faktycznego i prawnego zaskarżonej decyzji w zakresie szczegółowego wyjaśnienia przez Prezesa UODO podstaw prawnych, ze wskazaniem przepisów prawa oraz norm z nich wynikających, zezwalających Prezesowi UODO na dokonywanie ustaleń zbędności przetwarzania danych osobowych strony dla realizacji zadań ustawowych Policji oraz oceny niezbędności i przydatności dla realizacji ustawowych zadań Policji informacji, w tym danych osobowych, dotyczących strony przetwarzanych w KSIP w związku z prowadzonym przeciwko niej postępowaniem karnym o przestępstwo z art. 190 § 1 k.k., a także zezwalających temu organowi na uznanie tych informacji, w tym danych osobowych, za zbędne i nieprzydatne dla realizacji ustawowych zadań Policji, w szczególności w zakresie ochrony bezpieczeństwa i porządku publicznego, rozpoznawania, wykrywania, zapobiegania i zwalczania przestępstw oraz ścigania ich sprawców, podczas gdy zgodnie z art. 16 ustawy z dnia 14 grudnia 2018 r. weryfikacji danych osobowych pod kątem niezbędności ich dalszego przechowywania dokonuje administrator oraz zgodnie z art. 31 ust. 1 pkt 5 administrator zapewnia by dane osobowe były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, nie dłużej niż jest to niezbędne do celów ich przetwarzania tj. w tym przypadku KGP jako administrator danych osobowych przetwarzanych w KSIP dokonuje weryfikacji danych osobowych strony w zakresie ich niezbędności i przydatności do realizacji zadań Policji oraz zapewnia przechowywanie tych danych przez czas który jest niezbędny dla realizacji ustawowych zadań Policji - co jednocześnie stanowi naruszenie przez Prezesa UODO kompetencji KGP w zakresie jego ustawowych kompetencji jako administratora danych osobowych przetwarzanych w KSIP a także jako centralnego organu administracji rządowej, właściwego w sprawach ochrony bezpieczeństwa ludzi oraz utrzymania bezpieczeństwa i porządku publicznego (art. 5 ust. 1 ustawy o Policji), a także stanowi nieuprawnioną ingerencję w prawa i zadania ustawowe Policji - co stanowi naruszenie zasady praworządności, zasady prawdy obiektywnej, zasady pogłębiania zaufania oraz zasady wyjaśniania przesłanek w zakresie rozstrzygnięcia istoty sprawy w sposób nie znajdujący oparcia w zgromadzonym materiale dowodowym oraz bez wszechstronnego rozpatrzenia całego materiału dowodowego oraz bez dokonania oceny okoliczności sprawy na podstawie całokształtu materiału dowodowego w postępowaniu administracyjnym prowadzonym przez Prezesa UODO w niniejszej sprawie;
- wydanie decyzji z rażącym naruszeniem przepisów postępowania art. 6 i 14 § 1a i 1d w zw. z art. 109, art. 107 § 1 pkt 8 i art. 39 § 1 k.p.a., co miało istotny wpływ na wynik postępowania polegające na doręczeniu KGP lub upoważnionemu przez niego przedstawicielowi decyzji z dnia [...] lutego 2024 r. sygn. akt [...] . [...] nie zawierającej podpisu Prezesa UODO lub upoważnionego przedstawiciela tego organu, to jest nieopatrzonej kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym lub kwalifikowaną pieczęcią elektroniczną organu administracji publicznej co stanowi doręczenie pisma z naruszeniem zasady pisemności oraz bez wymaganego kwalifikowanego podpisu elektronicznego lub podpisu zaufanego decyzji wydanej w formie dokumentu elektronicznego co uniemożliwia Komendantowi jako stronie postępowania obronę swoich praw, w tym zweryfikowanie prawdziwości decyzji, jej integralności w zakresie treści oraz faktu rzeczywistego wydania przez Prezesa UODO lub osobę upoważnioną do działania w jego imieniu, w przypadku gdy zaskarżona decyzja przekazana organowi za pomocą środków komunikacji elektronicznej ePUAP nie zawiera podpisu odpowiadającego normie z art. 107 § 1 pkt 8 k.p.a. oraz nie zawiera wymaganych elementów właściwych dla kwalifikowanego podpisu elektronicznego lub podpisu zaufanego stanowiącego warunek konieczny dla decyzji wydawanych w formie dokumentu elektronicznego oraz w sytuacji gdy KGP nie otrzymał zaskarżonej decyzji w formie pisemnej (papierowej) spełniającej wymogi dla wydania decyzji w tej formie, w szczególności w zakresie wymogów dla podpisu decyzji określonych w art. 107 § 1 pkt 8 k.p.a. tj. zawierającej podpis (własnoręczny) z podaniem imienia i nazwiska oraz stanowiska służbowego pracownika organu upoważnionego do wydania decyzji - co stanowi brak doręczenia KGP lub upoważnionemu przedstawicielowi tego organu decyzji administracyjnej w formie dokumentu elektronicznego, ani w żadnej innej postaci i formie dopuszczonej przepisami prawa co jest warunkiem skutecznego doręczenia takiej decyzji za pomocą elektronicznej skrzynki podawczej zgodnie z wymienionymi przepisami k.p.a. oraz stanowi brak podstawy prawnej do wykonania rozstrzygnięcia zawartego w decyzji – niedoręczonej KGP - przez ten organ Policji w świetle art. 7 Konstytucji RP.
Pełnomocnik skarżącego w uzasadnieniu skargi szerzej omówił przedstawione zarzuty skargi. Pełnomocnik podkreślił m.in., że przepisy ustawy o Policji stanowią lex specialis w stosunku do przepisów ustawy z dnia 14 grudnia 2018 r., w zakresie nieuregulowanym w ustawie o Policji zastosowanie mają przepisy ustawy z dnia 14 grudnia 2018 r., w tym przepisy art. 16 tej ustawy. W ocenie strony skarżącej przepisy art. 21nb w związku z art. 20 ust. 1 - 1d i ust. 2ad - 2ba oraz art. 20a ust. 1 i art. 1 ust. 2 ustawy o Policji w związku z przepisami art. 16, 17 oraz art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. w zakresie informacji, w tym danych osobowych, przetwarzanych w KSIP przez Policję w celu realizacji jej zadań ustawowych stanowią podstawę prawną uprawniającą Policję oraz KGP do przetwarzania, w tym przechowywania, danych osobowych w KSIP przez okres niezbędny dla realizacji zadań Policji oraz do weryfikowania przetwarzanych danych osobowych nie rzadziej niż co 10 lat (tj. nie wcześniej) od dnia ich zebrania, uzyskania, pobrania lub aktualizacji tych danych, a także do usuwania danych osobowych uznanych w wyniku tej weryfikacji za zbędne, a co się z tym wiąże do nie dokonywania weryfikacji i nieusuwania danych osobowych z KSIP przed upływem 10 letniego terminu weryfikacji danych, jeżeli dane osobowe zostały zebrane, uzyskane lub pobrane legalnie oraz są prawidłowe w świetle celów przetwarzania wyznaczonych zadaniami ustawowymi Policji. Przetwarzane informacji, w tym danych osobowych, w KSIP odbywa się bez wiedzy i zgody oraz służy realizacji zadań ustawowych Policji. Informacje dotyczące okoliczności, czy faktów wykorzystania informacji, w tym danych osobowych przetwarzanych w KSIP w konkretnych działaniach Policji, w ramach czynności wykrywczych, dochodzeniowych, śledczych, kontrterrorystycznych, poszukiwawczych, zapobiegawczych, czy w ramach akcji lub operacji policyjnych, podlegają ochronie metod i form realizacji tych zadań oraz ochronie informacji, które są przetwarzane przez Policję, określonej w art. 20a ust. 1 ustawy o Policji oraz zasadzie dyskrecjonalności określonej w art. 20 ust. 1d zdanie drugie ustawy o Policji. A zatem informacje dotyczące okoliczności, czy faktów wykorzystania informacji, w tym danych osobowych przetwarzanych w KSIP w konkretnych działaniach Policji, w ramach konkretnych czynności czy zadań Policji są mocą powyższych przepisów ustawowych niedostępne dla osób, których przetwarzanie danych osobowych w KSIP dotyczy. Tym samym nieuprawnione jest żądanie wykazywania takich okoliczności i faktów od KGP w toku postępowania administracyjnego prowadzonego przez Prezesa UODO.
Pełnomocnik wyjaśnił, że Krajowy System Informacyjny Policji, stanowi zestaw zbiorów danych, w którym Policja przetwarza informacje, w tym dane osobowe, w związku z realizacją jej zadań ustawowych oraz bez wiedzy i zgody osoby, której dane dotyczą na podstawie przepisów art. 21nb w związku z art. 20 ust. 1 - 1d i ust. 2ad - 2ba oraz art. 20a ust. 1 ustawy o Policji. Pełnomocnik podniósł m.in., iż zgodnie z art. 16 ustawy z dnia 14 grudnia 2018 r. w związku z art 21nb ust. 1 i 2 ustawy o Policji weryfikacji danych osobowych przetwarzanych przez Policję w KSIP nie rzadziej niż co 10 lat od dnia ich zebrania, uzyskania, pobrania lub aktualizacji w celu ustalenia, czy istnieją dane, których dalsze przechowanie jest zbędne dla realizacji zadań ustawowych Policji dokonuje Komendant Główny Policji jako administrator danych osobowych przetwarzanych w KSIP, a także jako centralny organ administracji rządowej właściwy w sprawach ochrony bezpieczeństwa ludzi oraz utrzymania bezpieczeństwa i porządku publicznego. Tylko zatem Komendant Główny Policji lub upoważnione przez niego w tym zakresie organy Policji z racji uprawnień ustawowych do realizacji zadań Policji mają prawo weryfikować dane osobowe przetwarzane w KSIP pod kątem ich niezbędności i przydatności do realizacji zadań Policji tj. ustalania które są zbędne dla realizacji tych zadań i powinny być usunięte z KSIP. Uprawnień do weryfikowania danych osobowych przetwarzanych w KSIP w zakresie ustalenia ich zbędności lub niezbędności i przydatności do realizacji zadań Policji nie posiada Prezes UODO, gdyż de facto organ ten nie realizuje zadań Policji i nie jest organem właściwym w sprawach ochrony bezpieczeństwa ludzi oraz utrzymania bezpieczeństwa i porządku publicznego. Tym samym Prezes UODO nie jest władny i legitymowany do tego by stwierdzać, że dane osobowe osoby, która popełniła przestępstwo, przetwarzane w KSIP są zbędne dla realizacji zadań Policji w szczególności w obszarze ochrony bezpieczeństwa, w państwa i ludzi oraz porządku publicznego, wynikających z art. 1 ust. 1 i 2 ustawy o Policji. Nie można bowiem dokonać powyższej weryfikacji niezbędności przetwarzania danych osobowych oraz tym samym ustalenia zbędności ich przechowania (przetwarzania) dla realizacji ustawowych zadań Policji czysto teoretycznie i arbitralnie w oderwaniu od przyznanych mocą ustawy o Policji kompetencji i zadań realizowanych przez Policję, nie można również abstrahować od ochrony zadań Policji i informacji przetwarzanych w celu ich realizacji ustanowionej w ustawie o Policji, gdyż stanowiłoby to w rezultacie pozbawienie Policji możliwości realizacji jej podstawowych zadań służenia dobrom wspólnym (bezpieczeństwa ludzi, bezpieczeństwa i porządku publicznego ustanowionych w Konstytucji RP), dla których ta formacja została przeznaczona. Nie jest zatem uprawnione w świetle przepisów ustawy o Policji, Konstytucji RP oraz również dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady [...] (Dz. Urz. UE L 119 z 04.05.2016, str. 89), rozstrzygnięcie o zbędności danych osobowych przetwarzanych w KSIP przez Policję dla realizacji jej zadań ustawowych przez organ spoza Policji - Prezesa UODO - wbrew ustawowym zadaniom i uprawnieniom Policji, wbrew ustawowej ochronie zadań tej formacji, wbrew ochronie dóbr, którym te zadania służą oraz wbrew ochronie informacji, w tym danych osobowych, przetwarzanych przez Policję w związku z realizacją tych zadań i ochroną tych dóbr, na rzecz ochrony interesu jednostkowego pozbawiając jednocześnie tej ochrony dóbr wspólnych (ponadjednostkowych) tj. bezpieczeństwo państwa, ludzi, bezpieczeństwo i porządek publiczny ustanowionych w Konstytucji RP lub też znacznie uchybiając ochronie tych dóbr. Zgodnie z motywem 27 dyrektywy 2016/680 zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych wymaga, aby właściwe organy przetwarzały dane osobowe - zebrane w kontekście zapobiegania konkretnym czynom zabronionym, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich lub ścigania - w kontekście szerszym, dla lepszego zrozumienia działalności przestępczej oraz ustalenia powiązań pomiędzy różnymi wykrytymi czynami zabronionymi. W myśl motywu 26 ww. dyrektywy zdanie 6 aby zapobiec przechowywaniu danych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu. Powyższe motywy wymienionej dyrektywy należy odczytywać zgodnie z art. 5 tej dyrektywy, który stanowi, iż państwa członkowskie zapewniają, by przyjęto odpowiednie terminy usuwania danych osobowych lub okresowego przeglądu konieczności przechowywania danych osobowych. Przestrzeganiu tych terminów służą odpowiednie środki proceduralne. Przepis art. 5 dyrektywy należy jednocześnie odnieść do art. 8 ust. 1 tej dyrektywy, zgodnie z którym państwa członkowskie zapewniają, by przetwarzanie było zgodne z prawem wyłącznie wówczas i w zakresie, w jakim jest ono niezbędne do wykonania zadania realizowanego przez właściwy organ w celach określonych w art. 1 ust. 1 oraz ma podstawę w prawie Unii lub prawie państwa członkowskiego. Pełnomocnik wskazał, że ustawami, które wprowadzają przepisy art. 5 i 8 dyrektywy 2016/680 w odniesieniu do przetwarzania informacji, w tym danych osobowych, przez Policję są ustawa o Policji oraz ustawy z dnia 14 grudnia 2018 r. Mając na uwadze powyższe kwestie pełnomocnik wskazał, iż zarówno wskazane powyżej przepisy ustawy o Policji, jak i przepisy art. 13, 14, 16 oraz art. 31 ust. 1 powołanej ustawy oraz przepisy dyrektywy 2016/680 uprawniają Policję do przetwarzania informacji, w tym danych osobowych, w KSIP w celu realizacji jej zadań ustawowych. Wskazane powyżej przepisy ustawy o Policji określają zasady i tryb gromadzenia oraz udostępniania informacji przez Policję, w tym przetwarzania informacji w KSIP, i w tym zakresie stanowią wykonanie norm konstytucyjnych wyrażonych w art. 51 Konstytucji RP. De facto prawo Policji do przetwarzania danych osobowych, w tym ich przechowywania odnosi się do art. 51 ust. 2 Konstytucji - władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym, czyli do zasady proporcjonalności. Jednakże zgodnie z art. 51 ust. 2 Konstytucji i art. 31 ust. 3 Konstytucji RP to ustawa określa przypadki, gdy pozyskiwanie, gromadzenie i udostępnianie informacji o obywatelach jest niezbędne w demokratycznym państwie prawnym oraz konieczne dla jego bezpieczeństwa i porządku prawnego albo wolności i praw innych osób. Weryfikacja danych osobowych w zakresie zbędności lub niezbędności jest przetwarzaniem danych osobowych. A zatem ustalenie czy istnieją w KSIP dane osobowe, których dalsze przechowywanie jest zbędne dla realizacji ustawowych zadań Policji odbywa się na podstawie i na zasadach określonych w przepisach ustawy o Policji i w tym zakresie przepisy ustawy o Policji są przepisami szczególnymi wobec ustawy z dnia 14 grudnia 2018 r. W kontekście powyższych przepisów Prezes UODO nie jest uprawniony do dokonywania weryfikacji danych osobowych przetwarzanych w KSIP pod kątem ich niezbędności i przydatności do realizacji zadań ustawowych Policji oraz do ustalania, czy i które dane osobowe przetwarzane w KSIP przez Policję są zbędne dla realizacji jej zadań ustawowych, jak również nie jest władny do tego by decydować o usunięciu danych osobowych z KSIP.
Pełnomocnik dodał, że zastosowanie upomnienia oraz warunkowe umorzenie postępowanie karnego, które jest de facto stwierdzeniem popełnienia przestępstwa (stwierdzeniem sprawstwa) oraz brak informacji o skazaniu w Krajowym Rejestrze Karnym nie stanowi okoliczności i przesłanki przesądzającej o nieprawidłowości danych osobowych przetwarzanych w KSIP, a także przesłanki skutkującej uznaniem, iż dane osobowe przetwarzane w KSIP są zbędne dla realizacji zadań ustawowych Policji. Okoliczności te nie są zatem podstawą do usunięcia danych osobowych z KSIP. KSIP nie jest rejestrem skazanych, a informacje, w tym dane osobowe, przetwarzane w KSIP nie obejmują informacji o skazaniu osoby za przestępstwo, czy też za czyny karalne stanowiące przestępstwa, ani nie zawierają informacji o wyrokach skazujących, uniewinniających, czy innych orzeczeniach wydanych w sprawach karnych. W KSIP Policja przetwarza informacje, w tym dane osobowe, które sama zgromadziła, pobrała i uzyskała realizując ustawowe zadania określone w art. 1 ust. 2 ustawy o Policji oraz w ramach swoich ustawowych uprawnień określonych w art. 20 ust. 1-1d i ust 2ad-2ba ustawy o Policji. Do zadań Policji nie należy natomiast prowadzenie rejestru skazanych, którym jest Krajowy Rejestr Karny, jak również do zadań tych nie należy ewidencjonowanie wyroków skazujących czy innych wyroków i orzeczeń w sprawach karnych, czy też w sprawach nieletnich. rozpatrywanej sprawie należy wyraźnie podkreślić, iż KSIP nie stanowi rejestru (zbioru danych osobowych) osób skazanych czy też ukaranych - takie funkcje pełni Krajowy Rejestr Karny. Policyjny zbiór danych (a takim jest KSIP) jest rejestrem generującym (służącym do zbierania i przetwarzania) informacje o wszczętych i prowadzonych przez Policję postępowaniach (głównie karnych) bez względu na sposób ich zakończenia, więc jako taki nie może stanowić podstawy do wnioskowania o sposobie zakończenia tych postępowań. Co więcej żaden z organów właściwych w przedmiocie prawomocnego zakończenia tych postępowań (głównie sądy powszechne i prokuratury) nie ma obowiązku informowania Policji o sposobie zakończenia postępowań. Skutkiem takiego charakteru policyjnego zbioru danych jest m.in. to, że okoliczność umorzenia postępowania (z wyłączeniem umorzenia z powodu braku znamion czynu zabronionego lub z powodu braku danych dostatecznie uzasadniających podejrzenie popełnienia przestępstwa lub gdy czynu nie popełniono) czy zatarcie skazania (uznanie za niebyłe), nie powoduje z mocy prawa ustania celu przetwarzania danych osobowych w KSIP a co się z tym wiąże usunięcia danych z tego zbioru lecz stanowi jedno z kryteriów oceny przydatności danych w prowadzonych postępowaniach w zakresie realizowanych zadań Policji. Charakter gromadzonych danych w KSIP świadczy o tym, iż zbiór ten nie jest rejestrem skazanych (vide: art. 106 Kodeksu karnego - z chwilą zatarcia skazania uważa się je za niebyłe; wpis o skazaniu usuwa się z rejestru skazanych, nie zaś z innych zbiorów danych nie generujących faktu skazania za przestępstwo).
Pełnomocnik wskazał na orzecznictwo sądów administracyjnych dotyczące zasad weryfikacji i usuwania danych osobowych przetwarzanych w KSIP przez Policję, ukształtowane przed wejściem w życie ustawy z dnia 14 grudnia 2018 r., tj. w odniesieniu do przepisów art. 20 ust. 1 i 2a oraz ust. 17-17b ustawy o Policji. Jednakże orzecznictwo to pozostaje w pełni aktualne w okolicznościach faktycznych niniejszej sprawy, a także prawnych, gdyż pomimo tego, iż przepisy art. 20 ust. 17-17b ustawy o Policji zostały uchylone w związku z wejściem w życie ustawy z dnia 14 grudnia 2018 r., to unormowania przepisu art. 20 ust. 17 ustawy o Policji zostały niemal w tożsamy sposób ukształtowane w przepisach art. 16 ustawy z dnia 14 grudnia 2018 r. Zarówno bowiem przepisy uchylonego przepisu art. 20 ust. 17 ustawy o Policji, jak i obecnie obowiązujące przepisy art. 16 ustawy z dnia 14 grudnia 2018 r. wskazują termin weryfikacji (oceny niezbędności i przydatności) danych osobowych przetwarzanych przez Policję pod kątem ich niezbędności i przydatności dla realizacji ustawowych zadań Policji nie rzadziej niż co 10 lat od dnia zgromadzenia (zebrania, uzyskania lub pobrania), a także konieczność usuwania danych uznanych za zbędne dla realizacji tych zadań wyniku przeprowadzenia tej weryfikacji. Z tego względu orzecznictwo sądów administracyjnych ukształtowane w obszarze weryfikacji i usuwania danych osobowych z KSIP w odniesieniu do przepisów art. 20 ust. 1, 2a 17-17b ustawy o Policji obowiązujących przed wejściem w życie ustawy z dnia 14 grudnia 2018 r. pozostaje aktualne i zasadne w realiach niniejszej sprawy. Pełnomocnik na poparcie stanowiska strony skarżącej przywołał liczne orzecznictwo sądów administracyjnych. Ponadto zaznaczył, że przedmiotem weryfikacji danych osobowych przez Policję w świetle art. 16 ustawy z dnia 14 grudnia 2018 r. nie jest kwestia winy w zakresie popełnionego przestępstwa lecz niezbędność danych dotyczących popełnionego przestępstwa (uznanego sprawstwa) do realizacji zadań Policji, w szczególności w zakresie wykrywania przestępstw, ścigania ich przestępstw, ochrony bezpieczeństwa i porządku publicznego. Z tego też względu zasadnym jest przetwarzanie przez Policję danych osobowych strony w KSIP, aby w pierwszym rzędzie uniemożliwić ponowne popełnienie takiego czynu, po wtóre zaś - właściwie dokonywać dalszych prognoz kryminologicznych jak też czynności analitycznych, a także w pełni realizować ustawowe zadania Policji. Pełnomocnik podkreślił też m.in., że w przypadku przechowywania informacji o osobie, która popełniła przestępstwo uszczupleniu podlega prawo z art. 51 ust. 3 Konstytucji bowiem osoba ma ograniczone lub jest pozbawiona prawa dostępu do tych informacji, a w pozostałej sferze jej egzystencji przechowywanie danych, jakkolwiek samo w sobie stanowiące ingerencję w jej prywatność, nie rodzi jednakże żadnych negatywnych konsekwencji prawnych dla tej osoby, dopóki nie popełni ona kolejnego czynu zabronionego. Sam fakt ubiegania się o prawo do wykonywania określonego zawodu (w tym w Policji) czy też chęć spełnienia określonych aspiracji zawodowych nie stanowi podstawy do usunięcia danych zgromadzonych legalnie przez Policję w celach realizacji zadań związanych z bezpieczeństwem i porządkiem publicznym. Prawo do wykonywania określonego zawodu nie może zatem ingerować w realizację ustawowych zadań Policji, w tym realizowanych poprzez przetwarzanie danych, gdyż zadania te realizowane są niezależnie od prawa do wykonywania określonego zawodu oraz na zasadach i w granicach określonych w ustawie, zgodnie z zasadą legalizmu (art. 7 Konstytucji RP). Ponadto zachowywanie informacji o przedstawieniu zarzutu popełnienia przestępstwa w policyjnych zbiorach wykorzystywanych wyłącznie do weryfikacji bieżących informacji o nowych przestępstwach, np. poprzez porównywanie modus operandi jest w pełni uprawnione w świetle przepisów art. 20 ust. 1-1d w zw. z art. 21nb w zw. z art. 1 ust. 1 i ust. 2 pkt 1-4 ustawy o Policji. Warunkowe umorzenie postępowania karnego nie powoduje anulowania prowadzonego postępowania przygotowawczego, stawianych zarzutów i innych informacji dotyczących tego postępowania. A zatem informacji o prowadzonych postępowaniach przygotowawczych i karnych nie usuwa się z rejestrów prokuratury, sadów, czy też z rejestru Policji tj. z KSIP. Charakter tych rejestrów jest odmienny od rejestru skazanych tj. Krajowego Rejestru Karnego, a celem przetwarzania informacji w rejestrach sądów, prokuratury i Policji jest realizacja zadań tych organów w określonym zakresie dotyczącym zapobiegania, zwalczania i ścigania przestępstw oraz ich sprawców a nie ewidencjonowanie skazań, czy też orzeczeń o ukaraniu. Organy Policji są uprawnione do przetwarzania danych osób nie tylko podejrzanych o popełnienie przestępstwa, ale także skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu. Realizowanie bowiem celu, jakim jest zapewnienie bezpieczeństwa i porządku publicznego przez organy Policji, wykazuje przesłankę niezbędności przetwarzania danych osobowych w Krajowym Systemie Informacyjnym Policji dla spełnienia obowiązku wynikającego z przepisu prawa (art. 1 ust. 2 ww. ustawy o Policji), co oznacza, że sam proces przetwarzania zawartych w tym zbiorze danych ma oparcie w legalnej przesłance przetwarzania danych, o której mowa w art. 23 ust. 1 pkt 2 ww. ustawy o ochronie danych osobowych. Kryterium niezbędności przetwarzania danych osobowych w KSIP musi być odnoszone do ustawowych zadań Policji, których realizowaniu mają służyć przepisy art. 20 ust. 1, ust. 2a i 2b w związku z art. 20 ust. 17 ww. ustawy o Policji. Ustawodawca celowo ograniczył się do określenia granicznego okresu 10 lat, obowiązującego do dokonania weryfikacji posiadanych w systemie informatycznym danych, jedynie pod kątem ich dalszej przydatności. Jeśli bowiem informacje o osobie zawarte w KSIP stają się nieprzydatne dla celów prewencyjnych, dowodowych czy wykrywczych, organ Policji może zdecydować o ich usunięciu, czyniąc to jednak nie rzadziej niż raz na 10 lat, przy uwzględnieniu oceny niezbędności przetwarzania danych pod kątem realizacji ustawowych zadań Policji.
Z punktu widzenia specjalności przepisów ustawy o Policji jak i całego procesu przetwarzania "policyjnych" danych osobowych, istotne znaczenie ma także rekomendacja R(87)15 Komitetu Ministrów Rady Europy z 17 września 1987 r. o ochronie danych osobowych wykorzystywanych w sektorze Policji. W zasadzie 2 wymienionej rekomendacji wprawdzie stwierdza się, iż "gromadzenie danych osobowych dla potrzeb policji powinno ograniczać się do tych danych, które są konieczne dla zapobieżenia realnemu niebezpieczeństwu bądź zwalczaniu określonego przestępstwa", ale w memorandum wyjaśniającym wskazuje się na konieczność interpretacji tej zasady w zestawieniu z treścią art. 9a konwencji nr 108 z 28 stycznia 1981 r. i objaśnia znaczenie terminu "realne niebezpieczeństwo" jako obejmujące również potencjalne zagrożenie zaistnieniem przestępstwa w przyszłości. Czasu przechowywania danych osobowych przetwarzanych dla celów policyjnych dotyczy zasada 7 rekomendacji R(87)15, zalecająca usuwanie danych wówczas "jeżeli nie są już konieczne dla celów, dla których zostały zarejestrowane". Takiej dyspozycji nie można interpretować w ten sposób, że konieczne jest ustalenie z góry jakiegoś okresu czasu, do którego musi być ograniczone przechowywanie danych osobowych, co zresztą wynika wyraźnie z pkt 96 memorandum wyjaśniającego ("Istotne jest, aby dokonywano okresowych przeglądów zbiorów policyjnych w celu upewnienia się, że zostały oczyszczone ze zbytecznych lub niedokładnych danych oraz, że zostały zaktualizowane (...) zasada 7 pkt 1 wymienia pewne okoliczności, które należy wziąć pod uwagę przy rozważaniu, czy dane są nadal niezbędne dla celów prewencji i zwalczania przestępstw oraz utrzymania porządku publicznego..." (wymienione jedynie przykładowo okoliczności te to "konieczność zachowania danych w świetle wniosków wynikających z postępowania śledczego, ostateczne postanowienie sądu, wiek podmiotu danych, szczególne kategorie danych"). Orzecznictwo Europejskiego Trybunału Praw Człowieka wskazuje trzy warunki, na mocy których uznaje się za usprawiedliwioną ingerencję w korzystanie z prawa do prywatności: ingerencja musi być przewidziana przez ustawę, służyć osiągnięciu zgodnego z prawem celu i musi być konieczna w demokratycznym społeczeństwie. Natomiast ingerencję w prawo do prywatności uważa się za konieczną, jeżeli wynika ona z pilnej potrzeby społecznej i jest proporcjonalna do wyznaczonego celu. Przepisy prawa policyjnego aktualnie obowiązujące w zakresie przetwarzania danych osobowych spełniają wszystkie te warunki. Wykonanie decyzji Prezesa UODO prowadziłoby do sytuacji, gdy to nie ustawa a osoba, której dane dotyczą decydowałaby kiedy dane są niezbędne a kiedy zbędne. W rezultacie prowadziłoby to do ingerencji tej osoby w realizację ustawowych zadań Policji.
Pełnomocnik odnosząc się do naruszenia przepisów procedury administracyjnej dodał m.in., że dniu [...] lutego 2024 r. na elektroniczną skrzynkę podawczą Komendy Głównej Policji (e-PUAP) doręczono pismo przewodnie Prezesa UODO podpisane z up. Prezesa UODO przez Zastępcę Dyrektora Departamentu Skarg kwalifikowanym podpisem elektronicznym, do którego załączony został plik w formacie pdf zatytułowany decyzja [...] , który to plik nie został podpisany kwalifikowanym podpisem elektronicznym lub podpisem zaufanym przez Prezesa UODO lub upoważnionego przedstawiciela tego organu odrębnie poza podpisem pisma przewodniego. Takie doręczenie pisma nie stanowi doręczenia decyzji administracyjnej w formie elektronicznej, gdyż pismo zatytułowane jako decyzja [...] nie zawiera kwalifikowanego podpisu elektronicznego lub podpisu zaufanego i co się z tym wiąże pismo takie nie jest decyzją administracyjną w rozumieniu art. 104 § 1 i art. 107 Kodeksu postępowania administracyjnego gdyż nie zawiera podpisu organu wydającego ta decyzję. Podpis pod pismem przewodnim nie jest bowiem podpisem decyzji administracyjnej w rozumieniu ww. przepisów Kodeksu postępowania administracyjnego. Zatem w takim stanie faktycznym decyzja administracyjna z dnia [...] lutego 2024 r. [...] nie została doręczona Komendantowi Głównemu Policji w sposób odpowiadający przepisom Kodeksu postępowania administracyjnego, co stanowi naruszenie praw tego organu jako strony postępowania oraz pozbawia ten organy obrony jego praw. Jednocześnie jak się wydaje takie doręczenie nie stanowi doręczenia decyzji administracyjnej Komendantowi Głównemu Policji, co rażąco narusza interesy tego organu oraz nie powinno wywoływać żadnych skutków prawnych związanych z doręczeniem decyzji administracyjnej temu organowi. Na poparcie powyższego przywołał wyrok Naczelnego Sądu Administracyjnego z dnia 21 czerwca 2017 r. sygn. akt II OSK 2629/15.
Organ w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Organ wyjaśnił nadto, że stosownie do § 17 ust. 1 rozporządzenia Prezesa Rady Ministrów z dnia 14 września 2011 r. w sprawie sporządzania i doręczania dokumentów elektronicznych oraz udostępniania formularzy, wzorów i kopii dokumentów elektronicznych (Dz.U. z 2018 r. poz. 180 t.j.), pisma wnoszone za pomocą elektronicznej skrzynki podawczej sporządza się w formacie danych XML na podstawie dokumentów elektronicznych umieszczonych w centralnym repozytorium lub w lokalnym repozytorium. Jednocześnie w załączniku do ww. rozporządzenia określono formaty danych, w jakich zapisuje się załączniki dodawane do pism, wśród których wymieniono w szczególności format pliku pdf. Zgodnie z powyższym oraz stosownie do zasady pisemności Prezes UODO doręczył Komendantowi Głównemu Policji zaskarżoną decyzję w formie dokumentu elektronicznego w rozumieniu przepisów ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Decyzja ta została opatrzona kwalifikowanym podpisem elektronicznym osoby upoważnionej do działania w imieniu Prezesa Urzędu Ochrony Danych Osobowych, a następnie przesłana wraz z pismem przewodnim - również prawidłowo podpisanym podpisem elektronicznym - do Komendanta Głównego Policji w formie umożliwiającej weryfikację podpisu obu tych dokumentów przy pomocy stosownego oprogramowania do weryfikacji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.
W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).
Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie. Podkreślenia wymaga przy tym, że każda sprawa rozpatrywana jest indywidualnie, z uwzględnieniem stanu faktycznego w niej występującego.
Za niezasadny należy uznać zarzut naruszenia przez Prezesa UODO art. 6 Kpa i art. 14 § 1a i § 1d Kpa w zw. żart. 109, art. 107 § 1 pkt 8 Kpa i 39 § 1 Kpa poprzez doręczenie Komendantowi Głównemu Policji lub upoważnionemu przez niego przedstawicielowi decyzji z dnia [...] lutego 2024 r. sygn. akt [...] nie zawierającej podpisu Prezesa UODO lub upoważnionego przedstawiciela tego organu. Zgodnie z art. 14 § 1a Kpa sprawy należy prowadzić i załatwiać na piśmie utrwalonym w postaci papierowej lub elektronicznej. Pisma utrwalone w postaci papierowej opatruje się podpisem własnoręcznym. Pisma utrwalone w postaci elektronicznej opatruje się kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo podpisem osobistym lub kwalifikowaną pieczęcią elektroniczną organu administracji publicznej ze wskazaniem w treści pisma osoby opatrującej pismo pieczęcią. Art. 14 § 1d Kpa wskazuje, że pisma kierowane do organów administracji publicznej mogą być sporządzane na piśmie utrwalonym w postaci papierowej lub elektronicznej. Do opatrywania ich podpisami i pieczęciami stosuje się przepisy § 1a i 1b. W myśl art. 39 § 1 Kpa organ administracji publicznej doręcza pisma na adres do doręczeń elektronicznych, o którym mowa w art. 2 pkt 1 ustawy z dnia 18 listopada 2020 r. o doręczeniach elektronicznych, zwany dalej "adresem do doręczeń elektronicznych", chyba że doręczenie następuje na konto w systemie teleinformatycznym organu albo w siedzibie organu. Zgodnie z art. 107 § 1 pkt 8 Kpa decyzja zawiera podpis z podaniem imienia i nazwiska oraz stanowiska służbowego pracownika organu upoważnionego do wydania decyzji.
Odnosząc się do podniesionego argumentu Komendanta Głównego Policji, że w dniu [...] lutego 2024 r. na elektroniczną skrzynkę podawczą Komendy Głównej Policji (e- PUAP) doręczono pismo przewodnie Prezesa UODO podpisane z up. Prezesa DODO przez Zastępcę Dyrektora Departamentu Skarg kwalifikowanym podpisem elektronicznym, do którego załączony został plik w formacie pdf zatytułowany decyzja [...] , który to plik zdaniem KGP nie został podpisany kwalifikowanym podpisem elektronicznym lub podpisem zaufanym przez Prezesa UODO lub upoważnionego przedstawiciela tego organu odrębnie poza podpisem pisma przewodniego, wskazać należy, że stosownie do § 17 ust. 1 rozporządzenia Prezesa Rady Ministrów z dnia 14 września 2011 r. w sprawie sporządzania i doręczania dokumentów elektronicznych oraz udostępniania formularzy, wzorów i kopii dokumentów elektronicznych (Dz.U. z 2018 r. poz. 180 t.j.), pisma wnoszone za pomocą elektronicznej skrzynki podawczej sporządza się w formacie danych [...] na podstawie dokumentów elektronicznych umieszczonych w centralnym repozytorium lub w lokalnym repozytorium. W załączniku do ww. rozporządzenia określono formaty danych, w jakich zapisuje się załączniki dodawane do pism, wśród których wymieniono w szczególności format pliku pdf. W świetle powyższego Prezes UODO doręczył Komendantowi Głównemu Policji zaskarżoną decyzję w formie dokumentu elektronicznego w rozumieniu przepisów ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. W sprawie nie ma podstaw do kwestionowania faktu opatrzenia tej decyzji kwalifikowanym podpisem elektronicznym osoby upoważnionej do działania w imieniu Prezesa Urzędu Ochrony Danych Osobowych i przesłania jej do Komendanta Głównego Policji w formie umożliwiającej weryfikację podpisu (przy pomocy stosownego oprogramowania do weryfikacji). Za niezasadne uznać należy zarzuty naruszenia Kpa poprzez doręczenie Komendantowi Głównemu Policji lub upoważnionemu przez niego przedstawicielowi decyzji z dnia [...] lutego 2024 r. nie zawierającej podpisu Prezesa UODO lub upoważnionego przedstawiciela tego organu. KGP nie wykazał, że załączony do pisma przewodniego organu plik w formacie pdf, tj. decyzja nie została podpisana kwalifikowanym podpisem elektronicznym lub podpisem zaufanym przez Prezesa UODO lub upoważnionego przedstawiciela tego organu. KGP nie przedstawił negatywnej weryfikacji podpisu pod decyzją. W związku z tym nie ma podstaw do podważenia twierdzenia organu, że oba pliki, tj. plik w formacie [...] (pismo przewodnie), jak i plik w formacie pdf (decyzja) zostały podpisane przez osobę upoważnioną przez Prezesa UODO. Odnosząc się do pozostałych kwestii podniesionych w tym zakresie wskazania wymaga, że przepisy regulujące zasady doręczenia pism w postępowaniu administracyjnym mają charakter gwarancyjny. Ich celem jest realizacja prawa strony do rzetelnego postępowania, w którym dochodzi do władczego i jednostronnego rozstrzygnięcia o jej prawach lub obowiązkach (por. wyrok Naczelnego Sądu Administracyjnego z dnia 28 kwietnia 2020 r. sygn. akt II OSK 1645/19). W sprawie tej przepisy dotyczące zasad doręczania nie zostały naruszone, Komendantowi Głównemu Policji doręczona została zaskarżona decyzja, strona zapoznała się z decyzją i korzysta z prawa do jej kontroli przez sąd administracyjny.
Z tych przyczyn Sąd uznał, że w niniejszej sprawie skarżący skutecznie wniósł skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2024 r., która to decyzja została uprzednio wprowadzona do obrotu prawnego. Brak było zatem podstaw do uwzględnienia zarzutów skargi w omawianym zakresie i odrzucenia skargi. Sąd uznał skargę za dopuszczalną.
Odnosząc się do pozostałych podniesionych w skardze kwestii wskazania wymaga, że w sprawie tej organ ustalił w sposób prawidłowy i wyczerpujący stan faktyczny i na jego podstawie rozstrzygnął sprawę co do istoty w oparciu o wskazaną w decyzji podstawę prawną w granicach przedmiotu postępowania wyznaczonego skargą wniesioną przez A. C.. Decyzja Prezesa UODO nie narusza żadnego z kwestionowanych w decyzji przepisów prawa materialnego, tj. art. 5 ust. 1 pkt 6 w zw. z art. 8 ust. pkt 5, art. 13, art. 16, art. 24 ust. 6, art. 26 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. oraz art. 21nb oraz art. 20 ust. 1-ld, Ij i ust. 2ad - 2ba w zw. z art. 1 ust. 1 i ust. 2 pkt 1-4 ustawy o Policji, art. 7 Konstytucji RP, jak i procesowego, w tym art. 6, 7, 8, art. 77 § 1 i art. 80 w zw. z art. 104 § 1 i art. 107 § 3 Kpa.
W sprawie tej ustalenia faktyczne są bezsporne. Wobec A. C. w 2016 r. prowadzone było postępowanie karne w sprawie o czyn z art. 190 § 1 k.k. W związku z przedstawieniem wymienionej zarzutów Policja pobrała jej dane osobowe, jako osoby podejrzanej o popełnienie przestępstwa ściganego z oskarżenia publicznego. Jej dane osobowe zostały zarejestrowane w KSIP w formie tzw. rejestracji procesowej. Wyrokiem Sądu Rejonowego w Z.z dnia [...] września 2016 r. warunkowo umorzono postępowanie karne na okres 1 roku próby. Z ustaleń organu wynika, że wyrok stał się prawomocny w dniu 23 września 2016 r., zaś okres próby minął w dniu 23 września 2017 r. Wnioskodawczyni wnioskiem z dnia [...] maja 2018 r. zwróciła się do Komendanta Głównego Policji o usunięcie jej danych osobowych z KSIP o popełnionym przez nią czynie z art. 190 § 1 k.k. Komendant Główny Policji odmówił usunięcia jej danych osobowych z KSIP wskazując na celowość dalszego ich przetwarzania w KSIP. Wnioskodawczyni jeszcze dwukrotnie w 2022 r. wniosła do Komendanta Głównego Policji o usunięcie jej danych osobowych z KSIP, zaś Komendant Główny Policji za każdym razem ponownie odmawiał usunięcia jej danych osobowych przetwarzanych w KSIP. Organ Policji wyjaśniał przy tym w niniejszym postępowaniu, że dokonano weryfikacji danych wnioskodawczyni przetwarzanych w KSIP po otrzymaniu informacji o zakończeniu postępowania w sprawie przeciwko niej, a następnie w związku z jej wnioskami o usunięcie danych osobowych z KSIP, a także w związku z jej skargą do Prezesa UODO. W ocenie organu Policji - w związku z naruszeniem norm prawnokarnych przez wnioskodawczynię oraz w związku z rodzajem naruszonych norm - nie można uznać, że dane osobowe wnioskodawczyni stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1 ust. 2 ustawy o Policji, m.in. ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw i wykroczeń oraz ścigania ich sprawców. Komendant Główny Policji wyjaśnił, że nie bez znaczenia dla odmownej decyzji w zakresie usunięcia danych osobowych strony z KSIP pozostaje również rodzaj dóbr chronionych prawem naruszonych popełnionym przez nią przestępstwem oraz forma sprawstwa i umyślności popełnionego czynu.
W ocenie Sądu, na gruncie dokonanych przez Prezesa UODO, w sposób pełny, ustaleń faktycznych, podzielić należało stanowisko organu do spraw ochrony danych osobowych, że cel przetwarzania przez Komendanta Głównego Policji danych osobowych wnioskodawczyni w KSIP został zrealizowany i dlatego też dalsze przetwarzanie jej danych osobowych odbywa się z naruszeniem art. 13 oraz art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r., w związku z czym Prezes UODO miał podstawy, aby nakazać przywrócenie stanu zgodnego z prawem poprzez usunięcie danych osobowych z KSIP, wprowadzonych do tego Systemu w 2016 r. w ramach postępowania karnego prowadzonego wobec wymienionej o czyn wypełniający znamiona przestępstwa określonego w art. 190 § 1 Kk.
Odnosząc się do zarzutów przekroczenia przez Prezesa UODO swoich kompetencji i wydania decyzji w zakresie należącym do wyłącznej kompetencji Komendanta Głównego Policji, należy wyjaśnić, że Prezes Urzędu Ochrony Danych Osobowych jest organem nadzorczym w zakresie przetwarzania danych osobowych.
W ustawie z dnia 14 grudnia 2018 r. ustawodawca przyznał temu organowi prawo do dokonania oceny zgodności działań organów Policji z przepisami w zakresie ochrony danych osobowych. W art. 5 ust. 1 pkt 1-12 ustawy z dnia 14 grudnia 2018 r. zostały enumeratywnie wymienione zadania Prezesa UODO, do których, oprócz szeroko rozumianych czynności związanych z monitorowaniem i egzekwowaniem przepisów tej ustawy, należy również rozpatrywanie skarg osób, których dane osobowe są przetwarzane niezgodnie z prawem i prowadzenie postępowań w tym zakresie.
W sprawie nie ma zatem mowy o naruszeniu art. 5 ust. 1 pkt 6 w zw. z art. 8 ust. pkt 5 ustawy z dnia 14 grudnia 2018 r. Zgodnie zaś z art. 8 ust. 2 pkt 5 tej ustawy, w przypadku naruszenia przepisów o ochronie danych osobowych zbieranych w celach, o których mowa w art. 1 pkt 1 Prezes Urzędu w drodze decyzji administracyjnej nakazuje administrator lub podmiotowi przetwarzającemu przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie danych osobowych.
Prezes UODIO był więc uprawniony do dokonania własnej, autonomicznej oceny, czy przetwarzanie danych osobowych wnioskodawczyni odbywa się zgodnie z prawem, a w szczególności zgodnie z art. 13 ust. 1 ustawy z dnia 14 grudnia 2018 r. Przepis ten stanowi, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Ocena legalności przetwarzania danych musi również uwzględniać, że w myśl art. 31 ust. 1 pkt 5 tej ustawy, administrator zapewnia, aby dane osobowe były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania. W sprawie nie budzi wątpliwości, co słusznie wskazał KGP, że zgodnie z art. 16 ustawy z dnia 14 grudnia 2018 r. weryfikacja danych osobowych w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne, stanowi zadanie administratora danych. Jednakże, w sprawie nie można pomijać, że ustawodawca przyznał Prezesowi Urzędu Ochrony Danych Osobowych uprawnienia nadzorcze, w tym do dokonywania oceny, czy przetwarzanie danych osobowych ma miejsce w zgodzie z przepisami.
Zatem, brak jest podstaw do przyjęcia poglądu KGP, że Prezes UODO związany jest ustaleniami Policji w zakresie niezbędności przetwarzanych danych wnioskodawczyni. Przyjęcie takiego stanowiska czyniłoby bowiem dokonywaną przez Prezesa UODO kontrolę całkowicie iluzoryczną. Zarzuty skargi dotyczące naruszenia przez organ do spraw ochrony danych osobowych wyłącznych kompetencji organu Policji są zatem niezasadne.
Jednocześnie, w ocenie składu orzekającego, dokonana w niniejszej sprawie przez Prezesa UODO ocena przydatności danych osobowych wnioskodawczyni dla realizacji celów Policji i związanego z tym przechowywania jej danych w KSIP nie narusza prawa. Prezes UODO, w ustalonym w tej konkretnej sprawie stanie faktycznym, miał podstawy do podjęcia takiego rozstrzygnięcia.
Za niezasadne Sąd uznał zarzuty skargi koncentrujące się na nieuwzględnieniu przez organ, że nie upłynął jeszcze termin 10 lat, w którym dopuszczalne było zdaniem KGP przetwarzanie danych osobowych wnioskodawczyni w KSIP.
Jak wskazano już wyżej, zgodnie z art. 31 ust. 1 pkt 5 tej ustawy, administrator zapewnia, aby dane osobowe były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania.
Powyższy przepis stanowi implementację art. 4 ust. 1 lit.e Dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady [...] (Dz.U.UE.L.2016.119.89). Zgodnie z tym przepisem, państwa członkowskie zapewniają, by dane osobowe były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą przez okres nie dłuższy niż jest to niezbędne do celów ich przetwarzania.
Istotna z punktu widzenia dopuszczalnego czasu przetwarzania danych osobowych jest zatem ich niezbędność dla realizacji celów przetwarzania, tj. w szczególności w celu realizacji ustawowych zadań Policji określonych w ustawie o Policji. W tym kontekście niezasadne jest twierdzenie KGP, który z treści art. 16 ust. 1 ustawy z dnia 14 czerwca 2018 r. wywodzi podstawę dla istnienia uprawnienia Policji do przetwarzania danych osobowych przez okres nie krótszy niż 10 lat od ich pozyskania.
Zgodnie z tym przepisem, administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu - nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych (ust. 1). Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Zbędne dane usuwa się, z zastrzeżeniem art. 17 (ust. 2).
Przepis ten nakłada na administratora danych obowiązek dokonywania weryfikacji danych osobowych – nie rzadziej niż co 10 lat – w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne, nakazując jednocześnie usunięcie zbędnych danych. Błędna jest w związku z tym przyjęta przez KGP wykładnia tego przepisu, według której przyznaje on uprawnienie dla Policji do przechowywania danych przez okres 10 lat.
Podnoszona w skardze okoliczność, że od momentu wprowadzenia danych osobowych wnioskodawczyni do KSIP do dnia złożenia skargi przez wnioskodawczynię do Prezesa UODO upłynęło jedynie 6 lat nie ma znaczenia dla oceny legalności przetwarzania tych danych przez Komendanta Głównego Policji. Zarzuty skargi w tym zakresie Sąd ocenił jako chybione. Nie można zgodzić się bowiem ze skarżącym, że ustawa z 14 czerwca 2018 r. przewiduje termin 10 lat przechowywania danych, o czym była już mowa wyżej. Z akt sprawy, wyjaśnień KGP wynika, że dokonano weryfikacji danych wnioskodawczyni przetwarzanych w KSIP po otrzymaniu informacji o zakończeniu postępowania w sprawie przeciwko niej, a następnie w związku z wnioskami wnioskodawczyni o usunięcie danych osobowych z KSIP. KGP wskazywał, że weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP, a także pod kątem legalności i celowości przetwarzania danych osobowych. KGP postanowił o nieuwzględnieniu wniosku o usunięcie danych wnioskodawczyni albowiem w jego ocenie, w związku z naruszeniem norm prawnokarnych przez wnioskodawczynię oraz rodzajem norm naruszonych nie można uznać, że jej dane osobowe stały się zbędne dla realizacji zadań Policji, zwłaszcza ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw i wykroczeń oraz ścigania ich sprawców. Komendant Główny Policji wyjaśnił, że znaczenie miał rodzaj
dóbr chronionych prawem naruszonych popełnionym przez wnioskodawczynię przestępstwem oraz forma sprawstwa i umyślności popełnionego czynu( art. 190 § 1 k.k. ). Zdaniem KGP, cechy przestępstwa, którego dotyczyło postępowanie prowadzone wobec wnioskodawczyni, stanowią element uzasadniający dalsze przetwarzanie jej danych osobowych przez Policję w KSIP.
Dalsze przetwarzanie danych wnioskodawczyni w KSIP KGP uzasadnił potrzebą uniemożliwienia ponownego popełnienia takich czynów, a nadto właściwym dokonywaniem dalszych prognoz kryminologicznych oraz czynności analitycznych, a także ogólnie określoną pełną realizację ustawowych zadań Policji.
Odnosząc się do powyższego wskazania wymaga, że zgodnie z art. 1 ust. 2 ustawy o Policji, do podstawowych zadań Policji należą m.in.: ochrona życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra; ochrona bezpieczeństwa i porządku publicznego, w tym zapewnienie spokoju w miejscach publicznych oraz w środkach publicznego transportu i komunikacji publicznej, w ruchu drogowym i na wodach przeznaczonych do powszechnego korzystania; inicjowanie i organizowanie działań mających na celu zapobieganie popełnianiu przestępstw i wykroczeń oraz zjawiskom kryminogennym i współdziałanie w tym zakresie z organami państwowymi, samorządowymi i organizacjami społecznymi; przetwarzanie informacji kryminalnych, w tym danych osobowych; prowadzenie zbiorów danych zawierających informacje gromadzone przez uprawnione organy o odciskach linii papilarnych osób, niezidentyfikowanych śladach linii papilarnych z miejsc przestępstw oraz o wynikach analizy kwasu deoksyrybonukleinowego (DNA).
Konkretyzacja celów, dla których Policja przetwarza dane osobowe została zawarta w art. 1 pkt 1 ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości stanowiąc, iż tymi celami są: rozpoznawanie, zapobieganie, wykrywanie i zwalczanie czynów zabronionych, w tym zagrożeń dla bezpieczeństwa i porządku publicznego, a także wykonywanie tymczasowego aresztowania, kar, kar porządkowych i środków przymusu skutkujących pozbawieniem wolności.
Zgodnie z art. 13 ust. 1 i 2 powołanej ustawy, właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Dopuszcza się przetwarzanie danych osobowych zebranych pierwotnie w jednym z celów, o których mowa w art. 1 pkt 1, w innych nowych celach, o których mowa w art. 1 pkt 1, o ile: 1) administratorowi wolno przetwarzać takie dane osobowe w innym nowym celu na mocy odrębnych przepisów; 2) przetwarzanie jest niezbędne i proporcjonalne w tym innym nowym celu na mocy odrębnych przepisów.
W nawiązaniu do powołanego już wyżej art. 16 ustawy z dnia 14 grudnia 2018 r. dotyczącego dokonywania weryfikacji niezbędności danych, odwołać należy się również do art. 19 powołanej ustawy, który stanowi, iż przy przetwarzaniu danych osobowych administrator zapewnia rozróżnienie, o ile jest ono możliwe lub nie jest dalece utrudnione, na dane osobowe dotyczące: 1) osób, w stosunku do których istnieją poważne podstawy, aby przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony; 2) osób skazanych za czyn zabroniony; 3) pokrzywdzonych czynem zabronionym lub osób, w przypadku których określone fakty wskazują, że mogą stać się ofiarami czynu zabronionego; 4) innych osób związanych z czynem zabronionym, takich jak osoby, które mogą zostać wezwane do złożenia zeznań w sprawie czynu zabronionego lub na dalszych etapach postępowania, osoby, które mogą dostarczyć informacji o czynach zabronionych, lub osoby, które mają kontakty lub powiązania z jedną z osób, o których mowa w pkt 1 i 2. Zgodnie z art. 21 nb ust. 1 ustawy o Policji Komendant Główny Policji prowadzi KSIP, będący zestawem zbiorów danych, w którym przetwarza się informacje, w tym dane osobowe, w związku z realizacją zadań ustawowych Policji, wskazanych przede wszystkim w art. 1 ust. 2 ustawy o Policji.
W odniesieniu do powyższego należy też dokonywać oceny niezbędności danych dla celu ich przetwarzania (art. 31 ust. 1 pkt 5 powołanej ustawy).
Biorąc pod uwagę ustalenia faktyczne w sprawie, tj. fakt, że wobec wnioskodawczyni w 2016 r. prowadzone było postępowanie karne w sprawie o czyn z art. 190 § 1 k.k. i na zasadach określonych w ówcześnie obowiązującym art. 20 ust. 2a ustawy o Policji, Policja pobrała jej dane osobowe jako osoby podejrzanej o popełnienie przestępstwa ściganego z oskarżenia publicznego, a zatem dane te pobrane i przetwarzane były legalnie (zarejestrowane zostały w KSIP w formie tzw. rejestracji procesowej), biorąc też pod uwagę, że wyrokiem Sądu Rejonowego w Z.z dnia [...] września 2016 r., Sąd ustalając, że wnioskodawczyni dopuściła się popełniania zarzucanego jej czynu z art. 190 § 1 k.k. – na podstawie art. 66 § 1 k.k. i art. 67 § 1 k.k. warunkowo umorzył postępowanie karne na okres 1 roku próby (wyrok stał się prawomocny w dniu 23 września 2016 r., zaś okres próby minął w dniu 23 września 2017 r.), nie można przyjąć, że KGP wykazał, aby istniało uzasadnienie dla dalszego przetwarzania danych wnioskodawczyni w KSIP. W świetle powyższych ustaleń nie można mówić o naruszeniu powołanych w skardze przepisów ustawy o Policji, jak również art. 7 Konstytucji RP.
Odnosząc się do zarzutów skargi w tym zakresie, dotyczących błędniej oceny przez Prezesa UODO przesłanki zbędności danych z punktu widzenia realizacji przez Policję jej ustawowych zadań, należy zwrócić uwagę, że przepisy ustawy o Policji są na tyle ogólne, że biorąc tylko je pod uwagę, możliwe byłoby zakwalifikowanie wszystkich zebranych przez Policję danych osobowych jako niezbędnych dla realizacji jej zadań, co umożliwiałoby bezterminowe przechowywanie danych pomimo osiągnięcia celu, w którym zostały zebrane (v. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 kwietnia 2022 r. sygn. akt II SA/Wa 3288/21).
Tymczasem kluczowym wyznacznikiem dla oceny dopuszczalności przetwarzania danych osobowych w KSIP jest cel gromadzenia określonych informacji, co determinuje konieczność dokonywania każdorazowej, zindywidualizowanej oceny wniosków o usunięcie danych z tego zbioru, co słusznie zauważył organ. Ustalenie celu, w jakim dane są przetwarzane, kształtuje okres, przez jaki dane mogą być przetwarzane. Przy czym cel musi zostać określony konkretnie i musi być zasadny w świetle realizacji ustawowych zadań Policji, a nie określony w sposób ogólnikowy. Natomiast w przypadku ustania celu, dla którego dane są przetwarzane, niezbędne jest ich usunięcie.
W rozpoznawanej sprawie zarówno w toku postępowania administracyjnego, jak i w obszernej argumentacji zawartej w skardze do sądu administracyjnego KGP nie powołał się na żadne konkretne, zindywidualizowane okoliczności, które świadczyłyby o tym, że dalsze przetwarzanie danych osobowych wnioskodawczyni istotnie jest niezbędne z punktu widzenia realizacji ustawowych zadań Policji. Co więcej skarżący zdaje się twierdzić, że do wskazywania takich okoliczności nie jest zobowiązany, bowiem w tym zakresie wystarczająca jest sama deklaracja organów Policji. Skarga zawiera jedynie ogólne rozważania dotyczące zadań Policji, nie odnosi się do rodzaju czynu, którego dotyczyło postępowanie karne i możliwości realizacji w tym przypadku celów w postaci m.in. rozpoznawania, zapobiegania, a także wykrywania i zwalczania. KGP nie wyjaśnił ani w toku postępowania administracyjnego ani w skardze, z jakiej konkretnie przyczyny uważa dalsze przetwarzanie danych osobowych wnioskodawczyni za niezbędne.
Sąd nie kwestionuje, że KSIP nie jest zbiorem danych ogólnie dostępnym, lecz zbiorem chronionym i zabezpieczonym przed dostępem osób niepowołanych. Stanowi kluczowe narzędzie (zbiory informacji) służące realizacji zadań ustawowych (art. 20nb ustawy o Policji), dostępne ściśle określonym podmiotom wyłącznie w celu realizacji wskazanych zadań ustawowych. Kwestię dostępu do KSIP uregulowało zarządzenie nr 70 Komendanta Głównego Policji z dnia 2 grudnia 2019 r. (Dz. Urz. KGP, poz. 114 ze zm.), wydane na podstawie art. 7 ust. 1 pkt 2 oraz art. 21nb ust. 1 i 2 ustawy o Policji. Zarządzenie określiło: 1) zasady wykonywania zadań związanych z prowadzeniem i funkcjonowaniem KSIP, w tym: a) zakres informacyjny, rzeczowy i terytorialny KSIP, b) właściwości i funkcjonalności KSIP, c) podział zadań administratora oraz upoważnienia do wykonywania zadań administratora w jednostkach i komórkach organizacyjnych Policji w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w zbiorach danych KSIP, policyjnych zbiorach danych dostępnych w systemach teleinformatycznych KSIP oraz w pozapolicyjnych zbiorach danych dostępnych w trybie teletransmisji danych w systemach teleinformatycznych KSIP, d) procedury nadawania, zmiany, cofania lub utraty uprawnień do przetwarzania informacji, w tym danych osobowych, w KSIP oraz upoważnień do przetwarzania danych osobowych w KSIP, e) procedury upoważniania w imieniu Komendanta Głównego Policji osób do nadawania, zmiany, cofania lub utraty uprawnień i upoważnień, o których mowa w lit. d oraz inne upoważnienia dotyczące przetwarzania informacji w KSIP, f) zakres informacji, w tym danych osobowych, przetwarzanych w zbiorach danych wchodzących w skład KSIP oraz właściwości i przeznaczenie tych zbiorów danych, g) obowiązki związane z wystąpieniem naruszenia ochrony danych osobowych w KSIP; 2) metody i formy wykonywania zadań związanych z przetwarzaniem informacji, w tym danych osobowych, w KSIP; 3) organizację i sposób wykonywania czynności przetwarzania informacji, w tym danych osobowych, w KSIP; 4) procedurę i sposób wykonywania kontroli i nadzoru nad przetwarzaniem informacji, w tym danych osobowych, w KSIP.
Sąd nie kwestionuje też, że przetwarzanie informacji w KSIP służy innym celom niż przetwarzanie danych w KRK. Także w orzecznictwie NSA dostrzega się, że czym innym jest dostęp do informacji o karalności osoby z Krajowego Rejestru Karnego, który ma charakter powszechny, a zupełnie czym innym są informacje wytworzone przez organy Policji w związku z prowadzonymi postępowaniami (v. wyrok NSA z 21 kwietnia 2017 r. sygn. akt I OSK 2426/15, orzeczenia.nsa.gov.pl).
Nie można jednakże przyjmować, w każdym przypadku, gdy dane znajdą się legalnie w KSIP, że dopuszczalne jest ich dalsze przetwarzanie, niezależnie od ich faktycznej przydatności w celu wykrywania przestępstw, w tym zwłaszcza z uwagi na to, że nie upłynął termin 10 lat (na co organ jednoznacznie się powoływał). Argumentacja KGP w tej sprawie wskazująca na taką przydatność ma charakter ogólny, powołuje się zasadniczo na zadania Policji określone w ustawie o Policji, na co zwrócono uwagę już wyżej.
Warto wskazać, że nawet zarządzenie KGP nr [...] z dnia [...] grudnia 2019 r. w sprawie Krajowego Systemu Informacyjnego Policji (Dz. Urz. KGP z 2019 r., poz. 114), w § 105 umieszczonym w rozdziale 15 "Procedura weryfikacji i usuwania informacji, w tym danych osobowych, z KSIP", wskazuje, że (ust.1) Weryfikując informacje, w tym dane osobowe, przetwarzane w celu wykrywania przestępstw, pod kątem ich przydatności, uwzględnia się: 1) rodzaj i charakter popełnionego czynu wyczerpującego znamiona przestępstwa; 2) rodzaj i charakter dobra chronionego prawem naruszonego popełnionym przestępstwem; 3) formy sprawstwa i umyślności popełnienia przestępstwa; 4) postaci zamiaru i skutki czynu, w tym rodzaj i rozmiar wyrządzonej lub grożącej szkody; 5) zagrożenie sankcją karną za popełnione przestępstwo; 6) liczbę popełnionych przestępstw; 7) czas, który upłynął od momentu wprowadzenia informacji, w tym danych osobowych, do zbiorów danych KSIP do momentu dokonywania oceny; 8) inne przetwarzane w zbiorach danych KSIP informacje o osobie; 9) podstawy uzyskania, pobrania lub zgromadzenia informacji, w tym danych osobowych oraz ich prawidłowość; 10) aktualność przesłanek legalności oraz niezbędności dalszego przetwarzania informacji, w tym danych osobowych, do wykonania zadań ustawowych Policji; 11) wystąpienie okoliczności określonych w art. 16 ust. 2 zdanie drugie, art. 24 ust. 2 i 4 oraz art. 31 ust. 2 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w przypadku: a) danych daktyloskopijnych wystąpienie okoliczności określonych w art. 211 ust. 2 i art. 21m ustawy o Policji, b) informacji dotyczących wyników analizy kwasu deoksyrybonukleinowego (DNA), wystąpienie przesłanek i okoliczności określonych w art. 21e ust. 2-4 ustawy o Policji, c) informacji, w tym danych osobowych, przetwarzanych w rejestrze wykroczeń, wystąpienie przesłanek i okoliczności określonych w art. 20f ust. 14-16 ustawy o Policji; 12) powzięcie przez organ Policji wiarygodnej informacji, że: a) czynu stanowiącego podstawę wprowadzenia informacji, w tym danych osobowych, do zbiorów danych KSIP nie popełniono albo brak jest danych dostatecznie uzasadniających podejrzenie jego popełnienia; b) zdarzenie lub okoliczność, w związku z którymi wprowadzono informacje, w tym dane osobowe, do zbiorów danych KSIP, nie ma znamion czynu zabronionego; c) osoba, której dane dotyczą, została uniewinniona prawomocnym wyrokiem sądu. Zgodnie z ust. 2, weryfikując informacje, w tym dane osobowe, przetwarzane w innym celu niż określony w ust. 1, pod kątem przydatności, uwzględnia się: 1) rodzaj chronionego dobra; 2) upływ terminów przewidzianych do archiwizacji akt prowadzonych spraw; 3) przedawnienie karalności czynu będącego podstawą zgromadzenia informacji, w tym danych osobowych; 4) ustanie okoliczności albo ziszczenie się celu uzasadniającego wprowadzenie informacji, w tym danych osobowych do zbiorów danych; 5) wystąpienie przesłanek lub okoliczności wskazujących, iż przetwarzanie określonych danych osobowych jest zabronione lub zgromadzone dane osobowe okazały się nieprawdziwe; 6) w przypadku danych osobowych osób określonych w art. 20 ust. 2ad ustawy o Policji również wystąpienie następujących przesłanek lub okoliczności: a) upływ terminów przewidzianych na archiwizację akt prowadzonej sprawy, jeżeli uprowadzenie, zatrzymanie lub ukrywanie miało związek z przestępstwem, b) ukończenie 18 lat przez osobę podlegającą władzy rodzicielskiej lub pozostającą pod opieką, której dotyczył wniosek lub postanowienie w sprawie jej uprowadzenia lub zatrzymania, c) odnalezienie i oddanie uprawnionemu osoby podlegającej władzy rodzicielskiej lub pozostającej pod opieką, której dotyczył wniosek złożony na podstawie konwencji haskiej z 1980 r. lub postanowienie, o którym mowa w art. 20 ust. 2ad pkt 2 ustawy o Policji oraz jednocześnie upływ 5 lat od dnia odnalezienia tej osoby, d) przekazanie przez sąd lub inny uprawniony organ informacji o zmianie lub uchyleniu postanowienia lub innego orzeczenia stanowiącego podstawę do przetwarzania informacji o osobach, o których mowa w art. 20 ust. 2ad ustawy o Policji, w tym o umorzeniu postępowania, lub informacji o ustaniu okoliczności będących podstawą wydania postanowienia stanowiącego podstawę wprowadzenia danych do zbioru, jeżeli treść tych informacji wskazuje, że osoba, której dotyczył wniosek złożony na podstawie konwencji haskiej z 1980 r. lub wydane w jego następstwie postanowienie, przestała spełniać przesłanki będące podstawą do przetwarzania informacji o osobach, o których mowa w art. 20 ust. 2ad ustawy o Policji.
Z akt sprawy, w tym wyjaśnień KGP przedstawionych w postępowaniu administracyjnym, nie wynika, a w każdym razie nie wykazał tego organ Policji, aby istniała niezbędność dalszego przetwarzania danych osobowych wnioskodawczyni w KSIP, po tym, gdy zwróciła się o ich usunięcie. Okoliczność, że nie upłynęło 10 lat od ich pozyskania, nie jest kluczowa w tej sprawie, albowiem nawet wówczas, gdy nie upłynęło 10 lat od ich pozyskania, a podmiot danych zwraca się o ich usunięcie z KSIP, organ Policji ma obowiązek dokonania należytej weryfikacji z uwzględnieniem faktycznej niezbędności ich dalszego przetwarzania. Winien zatem uwzględnić, zgodnie z powołanym wyżej zarządzeniem m.in. rodzaj i charakter popełnionego czynu wyczerpującego znamiona przestępstwa, a także czas, który upłynął od momentu wprowadzenia informacji, w tym danych osobowych, do zbiorów danych KSIP do momentu dokonywania oceny.
Odnosząc się do twierdzeń skargi podkreślenia wymaga, że osoba, której dane są przetwarzane w KSIP ma prawo wystąpić z wnioskiem o usunięcie danych osobowych, w przypadku gdy dane te zostały zebrane lub są przetwarzane z naruszeniem przepisów ustawy (art. 24 ust. 1 pkt 2 ustawy). Także administrator może usunąć dane z urzędu jeśli stwierdzi zaistnienie wskazanych okoliczności (art. 24 ust. 4 ustawy).
W świetle poczynionych w tej sprawie ustaleń Prezes UODO miał podstawy przyjąć, że Komendant Główny Policji nie uzasadnił, jaki konkretnie cel determinuje dalsze przetwarzanie danych osobowych wnioskodawczyni w KSIP w związku z prowadzonym przeciwko niemu postępowaniem karnym w sprawie o czyn z art. 190 § 1 k.k., które to postępowanie zostało w 2016 r. warunkowo umorzone przez Sąd. KGP nie wykazał bowiem, w jaki sposób dalsze przetwarzanie danych osobowych wnioskodawczyni przyczynia się do realizacji któregokolwiek z zadań określonych w art. 1 ust. 2 ustawy o Policji.
Organ zasadnie ocenił, że skoro postępowanie karne prowadzone wobec wnioskodawczyni zostało warunkowo umorzone w 2016 r., okres próby minął we wrześniu 2017 r., to brak jest podstaw do uznania, by w dalszym ciągu, po upływie 6 lat po zakończeniu okresu próby, przetwarzanie danych osobowych wnioskodawczyni – w związku z popełnionym czynem – było niezbędne dla realizacji zadań Policji. Ponadto, jak trafnie podniósł organ, od czasu pozyskania i wprowadzenia danych osobowych do zbioru KSIP w 2016 r. w związku z prowadzonym postępowaniem karnym nie doszło do postawienia wnioskodawczyni innego zarzutu o charakterze prawnokarnym. Obecnie nie toczy się przeciwko niej żadne postępowanie karne.
Zdaniem Sądu, należy zgodzić się z organem, że jedynym podmiotem uprawnionym do dokonywania oceny stopnia winy i społecznej szkodliwości czynu jest sąd karny. To sąd, stosując sprawiedliwościowe dyrektywy wymiaru kary, dokonuje oceny czynu z punktu widzenia naganności zachowania się sprawcy oraz jego stosunku psychicznego do popełnionego czynu. Sąd, poza stopniem społecznej szkodliwości czynu, analizuje również dyrektywę prewencji indywidualnej, biorąc pod uwagę dotychczasowy tryb życia sprawcy, sposób popełnienia czynu i zachowanie się po czynie. Zatem nie bez znaczenia dla oceny kryminologicznej strony pozostaje okoliczność, że sąd karny orzekając w sprawie dokonanego czynu zabronionego skorzystał z instytucji określonej w art. 66 § 1 k.k., tj. warunkowo umorzył postępowanie karne. Sąd, wydając rozstrzygnięcie w takim kształcie, dokonał de facto oceny kryminologicznej stwierdzając, że wina i społeczna szkodliwość popełnionego czynu nie są znaczne, a postawa sprawcy niekaranego za przestępstwo umyślne, jego właściwości i warunki osobiste oraz dotychczasowy sposób życia uzasadniają przypuszczenie, że pomimo umorzenia postępowania będzie przestrzegał porządku prawnego, w szczególności nie popełni przestępstwa.
Z tych wszystkich względów Sąd nie uwzględnił zawartych w skardze zarzutów naruszenia prawa materialnego i procesowego koncentrujących się na nieprawidłowej, zdaniem strony skarżącej, ocenie przesłanki niezbędności przetwarzania danych osobowych wnioskodawczyni dla realizacji ustawowych zadań Policji. W ocenie Sądu, w tej sprawie nie występuje jasny i konkretny związek pomiędzy określonymi w ustawie o Policji celami tej formacji a znajdującymi się w KSIP danymi osobowymi wnioskodawczyni, w szczególności, gdy weźmie się pod uwagę, że figuruje ona w Systemie w związku z czynem, w odniesieniu do którego Sąd warunkowo umorzył postępowanie w 2016 r., a od tamtego czasu nie doszło do postawienia wnioskodawczyni innego zarzutu o charakterze prawnokarnym (jak wskazano w decyzji obecnie nie toczy się przeciwko wnioskodawczyni żadne postępowanie karne). Dlatego przetwarzanie danych wnioskodawczyni w celu zapobieżenia popełnieniu przez nią w przyszłości przestępstwa albo wykrycia go w przypadku niemożności zapobieżenia popełnianiu takiego przestępstwa wydaje się nieuzasadnione, w tym również w sytuacji, gdy nie upłynęło 10 lat od wprowadzenia danych. Wziąć przy tym należy pod uwagę, że zgodnie z art. 190 § 2 kk, ściganie następuje na wniosek pokrzywdzonego. Ogólne twierdzenia i rozważania Komendanta Głównego Policji w nawiązaniu do celów i zadań Policji nie mogły w tej sprawie – w jej stanie faktycznym – stanowić przekonującego argumentu, który mógł podważyć skutecznie stanowisko Prezesa UODO w tej kwestii.
Należy dodatkowo zauważyć, co zasadnie podniósł organ w uzasadnieniu zaskarżonej decyzji, że w sprawie przetwarzania danych osobowych przez Policję wypowiedział się Europejski Trybunał Praw Człowieka, który w wyroku z dnia 4 grudnia 2008 r. (30562/04, S. I Marper v. Wielka Brytania, LEX nr 468452) stwierdził,
iż bezterminowe przechowywanie przez władze danych szczególnie wrażliwych jest niedopuszczalne w demokratycznym społeczeństwie i prowadzi do naruszenia art. 8 Europejskiej Konwencji Praw Człowieka, stanowiącego o prawie do ochrony życia prywatnego. Trybunał wskazał również, że prawo krajowe powinno zawierać odpowiednie mechanizmy ochronne w celu zapobieżenia takiego wykorzystania informacji osobistych, które naruszałoby art. 8 Konwencji. Trybunał podniósł, iż potrzeba takiej ochrony wzrasta, gdy ma się do czynienia z procesem automatycznego przetwarzania danych, a wykorzystywanie ich do celów policyjnych nie może być usprawiedliwieniem mniejszej ochrony. Sąd rozpoznający niniejszą sprawę to stanowisko Trybunału w całości podziela i również z tej przyczyny uznaje, że zaskarżona decyzja nie narusza prawa.
W świetle powyższego Prezes UODO zasadnie powołując się na art. 8 ust. 2 pkt 5 w zw. z art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. nakazał Komendantowi Głównemu Policji usunięcie z Krajowego Systemu Informacyjnego Policji danych osobowych wnioskodawczyni wprowadzonych do Krajowego Systemu Informacyjnego Policji w 2016 r. w ramach postępowania karnego wskazanego w decyzji.
Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935), orzekł jak w wyroku.