II SA/WA 998/23

II SA/Wa 998/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-02-12
orzeczenie nieprawomocne
Data wpływu
2023-05-19
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Izabela Głowacka-Klimas /przewodniczący sprawozdawca/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2019 poz 125
art. art. 1 pkt 1, 5 ust. 1 pkt 6, 8 ust. 2, 13 ust. 1, 14 ust. 2 pkt 1, 16
Ustawa z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości
Dz.U. 2023 poz 171
art. art. 1 ust. 2, 19, 20, 21
Ustawa z dnia 6 kwietnia 1990 r. o Policji (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka – Klimas (spr.), Sędzia WSA Andrzej Wieczorek, Asesor WSA Mateusz Rogala, , po rozpoznaniu w trybie uproszczonym w dniu 12 lutego 2024 r. sprawy ze skargi A. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO, organ) decyzją
z [...] marca 2023 r., nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeksu postępowania administracyjnego (Dz.U. z 2022 r. poz. 2000 ze zm.; dalej Kpa.) oraz art. 5 ust. 1 pkt 6 w zw. z art. 12 oraz art. 13 ustawy z dnia
14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku
z zapobieganiem i zwalczaniem przestępczości (Dz.U. z 2019 r. poz. 125 ze zm.; dalej jako ustawa z 14 grudnia 2018 r.), po przeprowadzeniu postępowania administracyjnego
w sprawie skargi A.O. (dalej skarżący), zamieszkałego w B. przy ul. S., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Komendanta Głównego Policji w Krajowym Systemie Informacyjnym Policji (dalej także KSIP), odmówił uwzględnienia wniosku.
Do wydania powyższej decyzji doszło w następującym stanie sprawy.
W 1997 roku przeprowadzono wobec skarżącego postępowanie karne w sprawie
o czyn z art. 266 § 1 ustawy z dnia 19 kwietnia 1969 r. Kodeks karny (Dz.U. z 1969 r. Nr 13 poz. 94 ze zm.; dalej K.k. ’69). Na zasadach określonych w ówcześnie obowiązującym art. 20 ust. 2 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz.U. z 2023 r. poz. 171 ze zm.)
w związku z przedstawieniem skarżącemu zarzutów właściwe organy Policji uzyskały jego dane jako osoby podejrzanej o popełnienie przestępstwa ściganego z oskarżenia publicznego. Następnie jego dane były przetwarzane przez Policję w latach 2005 i 2014
w związku z postępowaniami karnymi w sprawach o czyny z art. 224 § 2, art. 158 § 1, art. 288 § 1 i art. 286 § 1 ustawy z dnia 6 czerwca 1997 r. Kodeks karny (Dz.U. z 2022 r. poz. 1138 ze zm.; dalej K.k.). Organy Policji dokonały tzw. rejestracji procesowej, tj. wprowadziły dane osobowe do zbioru danych KSIP. Ponadto w związku z zatrzymaniem skarżącego
na podstawie postanowienia o zatrzymaniu i przymusowym doprowadzeniu podejrzanego
z dnia [...] maja 2014 r. w śledztwie [...] o czyn z art. 18 § 2 w zw. z art. 288 § 1 K.k. dokonano rejestracji zatrzymania skarżącego (tak: wyjaśnienia Komendanta Głównego Policji z [...] sierpnia 2022 r.).
Skarżący pismem z [...] kwietnia 2019 r., a następnie pismem z [...] maja 2022 r. zwrócił się do Komendy Głównej Policji w [...] o usunięcie jego danych osobowych z KSIP, wskazując na okoliczność zatarcia skazań.
W odpowiedzi Komendant Główny Policji pismami z [...] kwietnia 2019 r. ([...]) i [...] czerwca 2022 r. ([...]) odmówił usunięcia danych osobowych skarżącego, stwierdzając legalność i celowość dalszego ich przetwarzania w KSIP. W piśmie z [...] czerwca 2022 r. jako podstawę prawną przetwarzania danych osobowych skarżącego w KSIP wskazał art. 20 ust. 1d ustawy o Policji.
Jak wynika z wyjaśnień Komendanta Głównego Policji z [...] sierpnia 2022 r., dokonano weryfikacji danych skarżącego przetwarzanych w KSIP po otrzymaniu informacji
o zakończeniu postępowań prowadzonych w jego sprawach. Dodatkowych weryfikacji tych danych dokonano w związku z otrzymanymi wnioskami skarżącego o usunięcie jego danych osobowych z KSIP, a także w związku ze skargą skarżącego do Prezesa UODO. Weryfikację przeprowadzono w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP oraz pod kątem legalności i celowości przetwarzania danych osobowych.
W konsekwencji stwierdzono zasadność dalszego przetwarzania danych osobowych skarżącego.
Komendant Główny Policji wyjaśnił, że w związku z naruszeniem norm prawnokarnych przez skarżącego oraz ich rodzajem, nie można stwierdzić, że jego dane osobowe stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1
ust. 2 ustawy o Policji, m.in. ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw i wykroczeń oraz ścigania ich sprawców. Podkreślił, że nie bez znaczenia dla odmownej decyzji w zakresie usunięcia danych osobowych z KSIP pozostaje również rodzaj dóbr chronionych prawem naruszonych popełnionymi przez skarżącego przestępstwami oraz formy sprawstwa
i umyślności popełnionych czynów.
W uzasadnieniu wydanej decyzji Prezes UODO wskazał, że zasady i warunki ochrony danych osobowych przetwarzanych przez właściwe organy w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, w tym zagrożeń dla bezpieczeństwa i porządku publicznego, a także wykonywania tymczasowego aresztowania, kar, kar porządkowych i środków przymusu skutkujących pozbawieniem wolności zostały określone w ustawie z 14 grudnia 2018 r. Zgodnie z art. 13 tej ustawy właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Stosownie zaś do art. 14 ustawy z 14 grudnia 2018 r. za wyjątkiem określonych w niej przypadków uznaje się za niedopuszczalne przetwarzanie tzw. danych wrażliwych,
tj. danych osobowych ujawniających pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne, światopoglądowe, przynależność do związków zawodowych, a także danych genetycznych, danych biometrycznych przetwarzanych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia, danych dotyczących seksualności i orientacji seksualnej osoby fizycznej. Dopuszcza się przetwarzanie danych wrażliwych, jeżeli: 1) przepisy prawa zezwalają na ich przetwarzanie lub 2) jest to niezbędne dla ochrony życia lub zdrowia lub interesów osoby, której dane dotyczą, lub innej osoby, lub 3) dane takie zostały upublicznione przez osobę, której dotyczą. Stosownie do art. 24 ust. 1 pkt 2 ww. ustawy osoba, której dane dotyczą, może wystąpić z wnioskiem do administratora o niezwłoczne usunięcie danych osobowych, w przypadku gdy dane te zostały zebrane lub są przetwarzane z naruszeniem przepisów ustawy.
Prezes UODO wyjaśnił, że organ ochrony danych osobowych w celu realizacji ochrony państwowej obywateli w sytuacjach niezgodnego z prawem przetwarzania danych osobowych został wyposażony w kompetencje władcze, umożliwiające sankcjonowanie stwierdzanych nieprawidłowości w procesie przetwarzania danych osobowych. Wydanie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych następuje wówczas, gdy organ ochrony danych osobowych stwierdza naruszenie norm prawnych
w zakresie przetwarzania danych osobowych. Wystąpienie przesłanek legalizujących przetwarzanie warunkuje uznanie kwestionowanych czynności przetwarzania za zgodne
z prawem. Z tych względów w niniejszej sprawie należało ustalić, jak podał organ, czy organy Policji posiadają odpowiednią podstawę prawną legalizującą przetwarzanie danych osobowych skarżącego, wypełniającą dyspozycję art. 13 lub art. 14 ustawy z dnia 14 grudnia 2018 r.
Organ podał, że zakres uprawnień oraz ustawowych zadań Policji określa ustawa
o Policji. Zgodnie z art. 21nb ust. 1 tej ustawy Komendant Główny Policji prowadzi KSIP, będący zestawem zbiorów danych, w którym przetwarza się informacje, w tym dane osobowe, w związku z realizacją zadań ustawowych Policji, wskazanych przede wszystkim w art. 1 ust. 2 ustawy o Policji. W związku z tym prowadzenie KSIP przez Komendanta Głównego Policji jest obowiązkiem wykonywanym w ramach realizacji zadań ustawowych Policji, który mieści się w zakresie przedmiotowym stosowania ustawy z dnia 14 grudnia 2018 r., dlatego niniejsza sprawa rozpatrywana jest w świetle przepisów tej ustawy.
Prezes UODO wyjaśnił, że Policja zgodnie z art. 20 ust. 1 ustawy o Policji,
z zachowaniem ograniczeń wynikających z art. 19, jest uprawniona do przetwarzania informacji, w tym danych osobowych. Przetwarzanie oraz wymiana informacji, w tym danych osobowych, może dotyczyć także danych osobowych, o których mowa w art. 14 ust. 1 ustawy z 14 grudnia 2018 r. (tzw. danych osobowych wrażliwych), przy czym dane dotyczące wyników analizy kwasu dezoksyrybonukleinowego (DNA) obejmują informacje wyłącznie o niekodującej części DNA (art. 20 ust. 1a ustawy o Policji). Stosownie do art. 20 ust. 2b ustawy o Policji informacje przetwarzane przez Policję mogą obejmować: dane wrażliwe, z tym że dane dotyczące kodu genetycznego obejmują informacje wyłącznie
o niekodującej części DNA, odciski linii papilarnych, zdjęcia, szkice i opisy wizerunku, cechy i znaki szczególne, pseudonimy, a także informacje o: miejscu zamieszkania lub pobytu, wykształceniu, zawodzie, miejscu i stanowisku pracy oraz sytuacji materialnej i stanie majątku, dokumentach i przedmiotach, którymi sprawca się posługuje, sposobie działania sprawcy, jego środowisku i kontaktach, sposobie zachowania się sprawcy wobec osób pokrzywdzonych. Przy czym, zgodnie z art. 20 ust. 2c ustawy o Policji, danych osobowych, o których mowa w art. 14 ust. 1 ustawy z 14 grudnia 2018 r., nie pobiera się, w przypadku gdy nie mają one przydatności wykrywczej, dowodowej lub identyfikacyjnej.
Z kolei zgodnie z art. 16 ustawy z 14 grudnia 2018 r. administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu - nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych (ust. 1). Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Zbędne dane usuwa się, z zastrzeżeniem art. 17 (ust. 2). Za zbędne dane należy uznać takie, które nie są już przydatne w świetle celów wyrażonych
w art. 1 pkt 1 ustawy z dnia 14 grudnia 2018 r. Ograniczenie przechowywania uniemożliwia bezterminowe przechowywanie danych pomimo osiągnięcia celu, w którym zostały zebrane. Bezterminowe przechowywanie danych osobowych mogłoby bowiem powodować naruszenie zasad przetwarzania, takich jak zasada adekwatności, minimalizacji danych, związania celem, rzetelności przetwarzania, a także prawidłowości danych.
Organ wskazał także, że w zakresie nieuregulowanym w art. 16 ustawy z 14 grudnia 2018 r. weryfikacji informacji, w tym danych osobowych, przetwarzanych w KSIP pod kątem przydatności dokonuje się w sposób określony w § 104 i 105 zarządzenia nr 70 Komendanta Głównego Policji z dnia 2 grudnia 2019 r. w sprawie Krajowego Systemu Informacyjnego Policji (Dz.Urz.KGP.2019.114).
Dokonując weryfikacji przetwarzanych danych osobowych, administrator musi uprzednio przeprowadzić dokładną analizę stanu faktycznego pod kątem zapewnienia przetwarzania danych osobowych zgodnie z zasadami określonymi w ustawie z 14 grudnia 2018 r. Dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą zostać niezwłocznie usunięte (art. 31 ust. 2 ustawy z 14 grudnia 2018 r.).
Prezes UODO podniósł, że wobec skarżącego zostało przeprowadzone w 1997 roku postępowanie karne w sprawie o czyn z art. 266 § 1 K.k. ’69. Na zasadach określonych
w ówcześnie obowiązującym art. 20 ust. 2 ustawy o Policji w związku z przedstawieniem skarżącemu zarzutów właściwe organy Policji uzyskały jego dane jako osoby podejrzanej
o popełnienie przestępstwa ściganego z oskarżenia publicznego. Następnie dane te były przez Policję przetwarzane w latach 2005 i 2014 w związku z postępowaniami karnymi
w sprawach o czyny z art. 224 § 2, art. 158 § 1, art. 288 § 1 i art. 286 § 1 K.k. Organy Policji dokonały tzw. rejestracji procesowej, tj. wprowadziły dane osobowe skarżącego do zbioru danych KSIP. Ponadto w związku z zatrzymaniem skarżącego na podstawie postanowienia o zatrzymaniu i przymusowym doprowadzeniu podejrzanego z [...] maja 2014 r. w śledztwie [...] o czyn z art. 18 § 2 w zw. z art. 288 § 1 K.k., dokonano rejestracji zatrzymania skarżącego.
Jak wskazał organ, organy Policji dokonały stosownej weryfikacji gromadzonych
w KSIP danych skarżącego, zgodnie z obowiązującymi w tym zakresie przepisami. Komendant Główny Policji dokonał weryfikacji danych skarżącego przetwarzanych w KSIP po otrzymaniu informacji o zakończeniu postępowań prowadzonych w jego sprawach. Dodatkowych weryfikacji tych danych Komendant Główny Policji dokonał w związku
z otrzymanymi wnioskami skarżącego o usunięcie jego danych osobowych z KSIP, a także w związku z jego skargą skierowaną do Prezesa UODO. Weryfikacji dokonano
w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP oraz pod kątem legalności i celowości przetwarzania danych osobowych. Organy Policji dokonując powyższych weryfikacji, zgodnie z przepisami rozdziału 15 ww. zarządzenia nr 70 Komendanta Głównego Policji z dnia 2 grudnia 2019 r., uwzględniły m.in. czas, który upłynął od momentu wprowadzenia informacji, w tym danych osobowych, do zbiorów danych KSIP do momentu dokonywania oceny, oraz aktualność przesłanek legalności i niezbędności dalszego przetwarzania informacji, w tym danych osobowych, do wykonania zadań ustawowych Policji. Komendant Główny Policji stwierdził dalszą zasadność przetwarzania danych osobowych skarżącego. W wyjaśnieniach Komendant Główny Policji wskazał, że ustawowym celem przetwarzania danych osobowych skarżącego jest zapobieżenie popełnieniu przez niego w przyszłości przestępstwa, jak również – w przypadku niemożności zapobieżenia – wykrycie go. W związku z naruszeniem norm prawnokarnych przez skarżącego oraz rodzajem norm naruszonych, Komendant Główny Policji uznał, że nie można stwierdzić, że dane osobowe skarżącego stały się zbędne dla realizacji zadań Policji, zwłaszcza wymienionych w art. 1 ust. 2 ustawy o Policji. Jak podkreślono, nie bez znaczenia dla odmownej decyzji w zakresie usunięcia danych osobowych skarżącego
z KSIP pozostaje również rodzaj dóbr chronionych prawem naruszonych popełnionymi przez skarżącego przestępstwami oraz formy sprawstwa i umyślności popełnionych czynów.
Prezes UODO stwierdził, że ocena dokonywana przez organ służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 8 ust. 2 ustawy z 14 grudnia 2018 r., służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych – jest więc ona uzasadniona i potrzebna o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją.
W ocenie Prezesa UODO w niniejszej sprawie nie ma podstaw do stwierdzenia, że dane osobowe skarżącego są przetwarzane przez Komendanta Głównego Policji w sposób niezgodny z ustawą z 14 grudnia 2018 r. Przetwarzanie danych osobowych skarżącego
w zakresie objętym skargą znajduje oparcie w przesłance określonej w art. 13 ustawy
z 14 grudnia 2018 r., który statuuje legalne podstawy przetwarzania danych osobowych. Wiążąc treść tego przepisu z kompetencjami organów Policji w zakresie zapewniania bezpieczeństwa i porządku publicznego, a także z prawem tych organów do przetwarzania danych osobowych osób podejrzanych o popełnienie przestępstwa, skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu, należy dojść do wniosku, że przetwarzanie danych osobowych skarżącego w KSIP oparte jest na obowiązujących przepisach prawa.
Dane osobowe skarżącego zostały, zgodnie z przepisami, poddane stosownej weryfikacji i ocenie ich przydatności, co implikuje, w ocenie organu, ich dalsze pozostawienie w KSIP. Organ podzielił dotychczasowe stanowisko sądów administracyjnych, zgodnie z którym to organy Policji oceniają przydatność zebranych informacji zawierających dane osobowe, które są przetwarzane w związku z realizacją zadań ustawowych Policji. Natomiast Prezes UODO nie jest władny do dokonywania oceny postępowania prowadzonego przez organy Policji, a tym samym nie może oceniać przydatności danych zebranych w tych postępowaniach (por. wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 grudnia 2018 r., sygn. akt II SA/Wa 700/18;
z dnia 10 października 2017 r., sygn. akt II SA/Wa 314/17).
Odnosząc się do argumentacji skarżącego uzasadniającej złożone wnioski
do Komendanta o usunięcie danych osobowych z KSIP, Prezes UODO podzielił stanowisko sądów administracyjnych, zgodnie z którym instytucja zatarcia skazania ma na celu umożliwienie pełnej społecznej rehabilitacji skazanego. Powyższe wiąże się "z uznaniem skazania za niebyłe i usunięciem wpisu o skazaniu z Krajowego Rejestru Karnego. Osoba skazana od momentu zatarcia skazania ma prawo twierdzić, że nie była karana, a żadna instytucja nie może ograniczyć jej praw z powołaniem się na karalność. Obowiązujące przepisy w zakresie zatrudniania pracowników honorują to prawo, bowiem jedynym wymaganym dokumentem przez podmiot zatrudniający, bądź powołujący do służby, który wiąże się z uprzednią karalnością kandydata, jest informacja o osobie z Krajowego Rejestru Karnego. Domaganie się złożenia innych dokumentów, czy to od kandydata, czy też innych podmiotów, w tym organów administracji publicznej, musi wynikać wprost z przepisów prawa ogólnie obowiązującego. Natomiast informacje, jakimi dysponuje Krajowy System Informacyjny Policji, nie stanowią źródła wiedzy powszechnie dostępnej, bowiem służą wyłącznie do realizacji zadań Policji, o których mowa w art. 1 ust. 2 ustawy z dnia 6 kwietnia 1990 r. o Policji" (por. wyrok WSA w Warszawie z dnia 30 stycznia 2019 r., sygn. akt
II SA/Wa 750/18, podobnie Naczelny Sąd Administracyjny w wyroku z dnia 21 kwietnia
2017 r., sygn. akt I OSK 2426/15).
Wobec powyższych twierdzeń Prezes UODO uznał, że skarga nie zasługuje
na uwzględnienie.
Skarżący wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z [...] marca 2023 r., zarzucając:
1. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy,
w postaci:
- art. 7 w zw. z art. 77 § 1 w zw. z art. 107 § 3 Kpa. poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, a w szczególności poprzez brak uwzględnienia wniosku skarżącego z [...] kwietnia 2019 r. oraz z [...] maja 2022 r., oraz pism uzupełniających i brak wskazania w uzasadnieniu zaskarżonej decyzji powodów, dlaczego przedmiotowe wnioski nie zostały uwzględnione,
- art. 8 Kpa. poprzez naruszanie zasady bezstronności i równego traktowania stron postępowania,
2. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, w postaci:
- art. 1 pkt 1 ustawy z 14 grudnia 2018 r. poprzez błędne przyjęcie przez Prezesa UODO, że zgromadzone dane osobowe skarżącego nadal uzasadniają ich przetwarzanie, podczas gdy jego postawa i zachowanie całkowicie przeczy takiemu stanowisku,
- art. 1 pkt 1 ustawy z 14 grudnia 2018 r. poprzez brak wskazania i uzasadnienia przez Prezesa UODO, jak z punktu widzenia zasady celowości dane skarżącego są potrzebne do wykrywania i zwalczania czynów zabronionych,
- art. 1 ust. 2 ustawy z dnia 6 kwietnia 1990 r. o Policji poprzez błędne przyjęcie, że dane skarżącego są niezbędne dla realizacji zdań Policji, zwłaszcza tych wymienionych w art. 1 ust. 2 tej ustawy – ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, ochrony bezpieczeństwa i porządku publicznego, w tym zapewnienia spokoju w miejscach publicznych oraz w środkach publicznego transportu
i komunikacji, w ruchu drogowym i na wodach przeznaczonych do powszechnego korzystania, inicjowania i organizowania działań mających na celu zapobieganie popełnianiu przestępstw i wykroczeń oraz zjawiskom kryminogennym i współdziałania
w tym zakresie z organami państwowymi, samorządowymi i organizacjami społecznymi, wykrywanie przestępstw i wykroczeń oraz ściganie ich sprawców, podczas gdy analiza niniejszej sprawy prowadzi do wniosku, że dane skarżącego są zbędne i nieprzydatne
z punktu widzenia realizacji ww. zadań,
- § 29 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 23 sierpnia
2018 r. w sprawie przetwarzania informacji przez Policję (Dz.U. z 2018 r. poz. 1636; dalej rozporządzenie MSWiA), poprzez brak kompleksowej i dogłębnej oceny przesłanek
z zawartych w tym przepisie podczas weryfikacji ich pod kątem dalszej przydatności danych, na skutek czego stwierdzono, że zgromadzone i przetwarzane dane osobowe skarżącego są nadal użyteczne dla działań o charakterze wykrywczym oraz zmierzającym do zapobiegnięcia przestępstwa w przyszłości, podczas gdy kompletna analiza wspomnianych przesłanek w zestawieniu ze stanem faktycznym prowadzi do odmiennego wniosku.
Wobec powyższych zarzutów skarżący wniósł o uchylenie zaskarżonej decyzji
w całości.
Skarżący wyjaśnił, że pismami z [...] kwietnia 2019 r. oraz z [...] maja 2022 r. wystąpił
do Komendy Głównej Policji Biuro Wywiadu i Informacji Kryminalnych Krajowego Systemu Informacji Policji z wnioskiem o usunięcie jego danych osobowych o zatrzymaniach oraz popełnionych przestępstwach i wykroczeniach, zwracając uwagę na zatarcie skazań.
W odpowiedzi otrzymał informację, że zgodnie z obowiązującymi przepisami prawa nie ma podstaw do usunięcia jego danych osobowych wobec braku ustawowych przesłanek w tym zakresie.
Zdaniem skarżącego brak jest podstaw, dla których organy Policji nadal przechowują i przetwarzają jego dane osobowe w systemie KSIP, w sytuacji, gdy nastąpiło zatarcie skazania z mocy prawa. Skarżący podniósł, że czyny przez niego popełnione cechuje znikoma społeczna szkodliwość, a od czasu popełnienia przestępstwa przestrzega on porządku prawnego. Mając powyższe na uwadze żądał podjęcia przez Prezesa UODO działań mających na celu ochronę jego danych osobowych poprzez usunięcie informacji
o popełnieniu przez niego czynów zabronionych ze zbioru KSIP. Podkreślił, że od czasu popełnienia czynu zabronionego upłynęło 10 lat, czyny miały charakter jednorazowy
i cechowały się niską szkodliwością społeczną. Wskazał, że naprawił wyrządzoną poszkodowanym szkodę.
W ocenie skarżącego dla realizacji celu, jakim jest zapewnienie przez Policję bezpieczeństwa i porządku publicznego, zbędne jest przetwarzanie danych tych osób,
co do których prawomocnie umorzono postępowanie karne lub nastąpiło zatarcie skazania.
Ustanie celu, w jakim dane osobowe są przetwarzane, kształtuje okres, od którego nie powinny być wykorzystywane.
Skarżący powołał się na wyrok Europejskiego Trybunału Sprawiedliwości z 4 grudnia 2008 r., w którym to orzeczeniu skład orzekający uznał, że bezterminowe przechowywanie przez władze danych szczególnie wrażliwych osób, wobec których zakończono postępowanie karne bez skazania, jest niedopuszczalne w demokratycznym społeczeństwie i prowadzi do naruszenia art. 8 Europejskiej Konwencji Praw Człowieka stanowiącego o prawie do ochrony życia prywatnego. Trybunał podniósł, że potrzeba takiej
ochrony wzrasta, gdy ma się do czynienia z procesem automatycznego przetwarzania danych, a wykorzystywanie ich do celów policyjnych nie może być usprawiedliwieniem niniejszej ochrony. Przepisy określające zasady funkcjonowania Policji nie regulują kwestii usunięcia danych z KSIP i nie mogą być traktowane jako lex specialis do ustawy o ochronie danych osobowych.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 ustawy z 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz.U. z 2022 r. poz. 2492 ze zm.), Sąd sprawuje wymiar sprawiedliwości poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem (legalności). Kontrola sądów administracyjnych ogranicza się zatem do zbadania, czy organy administracji w toku rozpoznawanej sprawy nie naruszyły prawa w sposób przewidziany
w przepisach art. 145 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r. poz. 1634 ze zm.; dalej p.p.s.a.).
Skarga oceniana według powyższych reguł nie zasługuje na uwzględnienie.
Przedmiotem skargi jest decyzja Prezesa UODO z [...] marca 2023 r. wydana
po przeprowadzeniu postępowania administracyjnego wszczętego na skutek skargi A.O., odmawiająca uwzględnienia wniosku o nakazanie usunięcia danych osobowych skarżącego z Krajowego Systemu Informacyjnego Policji.
Tytułem wstępu wskazać należy, że ogólną podstawę przetwarzania danych osobowych w związku z zapobieganiem i zwalczaniem przestępczości zawierają art. 13
i 14 ustawy z 14 grudnia 2018. Przepis art. 13 ust. 1 tej ustawy stanowi, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Natomiast zgodnie z art. 14 ust. 2 pkt 1 tego aktu dopuszcza się przetwarzanie danych osobowych ujawniających pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne, światopoglądowe, przynależność do związków zawodowych oraz danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia oraz danych dotyczących seksualności i orientacji seksualnej osoby fizycznej, zwanych dalej "danymi wrażliwymi", jeżeli przepisy prawa zezwalają na ich przetwarzanie.
Z kolei w myśl art. 5 ust. 1 pkt 6 ustawy z 14 grudnia 2018 r. do zadań Prezesa UODO należy rozpatrywanie skarg osób, których dane osobowe są przetwarzane niezgodnie
z prawem, i prowadzenie postępowań w tym zakresie. Zgodnie z art. 12 tej ustawy,
do postępowań w sprawach objętych zakresem regulacji rozdziału 2 stosuje się przepisy ustawy – Kodeks postępowania administracyjnego. Ocena dokonywana przez Prezesa UODO służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 8 ust. 2 ustawy z 14 grudnia 2018 r., służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją.
Odnosząc się do podstaw prawnych oraz zakresu i celu przetwarzania danych osobowych przez Policję należy zauważyć, że zgodnie z przepisami art. 20 ustawy o Policji, Policja w celu realizacji zadań ustawowych jest uprawniona do przetwarzania informacji,
w tym danych osobowych, z zachowaniem ograniczeń wynikających z art. 19 (art. 20 ust. 1 ustawy o Policji). Przetwarzanie oraz wymiana informacji, w tym danych osobowych, może dotyczyć danych wrażliwych, przy czym dane dotyczące wyników analizy kwasu deoksyrybonukleinowego (DNA) przetwarzane przez Policję obejmują informacje wyłącznie o niekodującej części DNA (art. 20 ust. 1a ustawy o Policji).
Stosownie do art. 20 ust. 2b ustawy o Policji informacje przetwarzane przez Policję mogą obejmować dane wrażliwe, odciski linii papilarnych, zdjęcia, szkice i opisy wizerunku, cechy i znaki szczególne, pseudonimy, a także informacje o miejscu zamieszkania lub pobytu, wykształceniu, zawodzie, miejscu i stanowisku pracy oraz sytuacji materialnej
i stanie majątku, dokumentach i przedmiotach, którymi sprawca się posługuje, sposobie działania sprawcy, jego środowisku i kontaktach czy sposobie zachowania się sprawcy wobec osób pokrzywdzonych. Jednocześnie zgodnie z art. 20 ust. 2c ustawy o Policji danych wrażliwych nie pobiera się, w przypadku gdy nie mają one przydatności wykrywczej, dowodowej lub identyfikacyjnej.
Ponadto, jak wynika z art. 20 ust. 1d zdanie pierwsze i trzecie ustawy o Policji, Policja w zakresie swojej właściwości przetwarza informacje, w tym dane osobowe, uzyskane ze zbiorów danych prowadzonych przez inne służby, instytucje państwowe oraz organy władzy publicznej, w szczególności Policja jest uprawniona do uzyskiwania informacji, w tym danych osobowych gromadzonych w administrowanych przez te służby, instytucje, organy zbiorach danych lub rejestrach oraz do uzyskiwania informacji i danych uzyskanych przez te służby lub organy w wyniku wykonywania czynności operacyjno-rozpoznawczych, w tym prowadzonej kontroli operacyjnej. Wskazane służby, instytucje, organy władzy publicznej są obowiązane do nieodpłatnego udostępnienia Policji w zakresie jej właściwości informacji,
w tym danych osobowych.
Informacje, w tym dane osobowe, określone we wskazanych powyżej przepisach ustawy o Policji, są przetwarzane w KSIP. Zgodnie z art. 21 nb ust. 1 i 2 ustawy o Policji Komendant Główny Policji prowadzi KSIP, będący zestawem zbiorów danych, w którym przetwarza się informacje, w tym dane osobowe, w związku z realizacją zadań ustawowych. W odniesieniu do informacji, w tym danych osobowych, przetwarzanych w KSIP Komendant Główny Policji jest administratorem w rozumieniu przepisów o ochronie danych osobowych.
Informacje, w tym dane osobowe, przetwarza się w KSIP w celach określonych
w art. 1 pkt 1 ustawy z 14 grudnia 2018 r., tj. w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, w tym zagrożeń dla bezpieczeństwa
i porządku publicznego, a także wykonywania tymczasowego aresztowania, kar, kar porządkowych i środków przymusu skutkujących pozbawieniem wolności. Ponadto informacje, w tym dane osobowe, zgodnie z art. 1 ust. 2 pkt 1, 2 i 3a ustawy o Policji, przetwarza się w KSIP również w celu realizacji ustawowych zadań Policji dotyczących ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, ochrony bezpieczeństwa i porządku publicznego, a także prowadzenia działań kontrterrorystycznych w rozumieniu ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych (Dz. U. z 2021 r. poz. 2234). Zgodnie z art. 20 ust. 1j ustawy o Policji przetwarzanie danych osobowych przez Policję w celach, o których mowa w art. 1 pkt 1 ustawy z 14 grudnia 2018 r., odbywa się na podstawie ustawy, prawa Unii Europejskiej oraz postanowień umów międzynarodowych.
W KSIP mogą być również przetwarzane informacje, w tym dane osobowe, określone w przepisach art. 20 ust. 2ad i 2ba ustawy o Policji w celach związanych z ustaleniem miejsca pobytu dziecka na terytorium Rzeczypospolitej Polskiej na polecenie Ministra Sprawiedliwości lub sądu, tj. w celach wynikających z art. 14 ust. 2 w związku z art. 19 ustawy z dnia 26 stycznia 2018 r. o wykonywaniu niektórych czynności organu centralnego w sprawach rodzinnych z zakresu obrotu prawnego na podstawie prawa Unii Europejskiej
i umów międzynarodowych (Dz.U. poz. 416). W KSIP mogą być zatem przetwarzane informacje, w tym dane osobowe, na podstawie i w zakresie określonym w art. 20 ust. 1c ustawy o Policji, zgodnie z którym Policja jest uprawniona do przetwarzania informacji,
w tym danych osobowych, w zakresie niezbędnym do realizacji zadań ustawowych lub wykonywania uprawnień związanych z prowadzeniem postępowań administracyjnych, realizacją czynności administracyjno-porządkowych oraz innych czynności,
do przeprowadzania których funkcjonariusze Policji są uprawnieni na podstawie ustaw,
w celach innych niż określone w art. 1 pkt 1 ustawy z 14 grudnia 2018 r., w tym ma prawo przetwarzać dane osobowe, o których mowa w art. 9 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie
o ochronie danych osobowych) (Dz.Urz. UE L 119 z 04.05.2016, str. 1, ze zm.),
z wyłączeniem danych dotyczących kodu genetycznego.
Ponadto, na mocy art. 20f ust. 1 ustawy o Policji, Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu wykrywania i ścigania sprawców wykroczeń oraz przestępstw informacje, w tym dane osobowe, o sprawcach wykroczeń przeciwko mieniu określonych w art. 119 § 1, art. 120 § 1, art. 122 § 1 i 2 oraz art. 124 § 1 Kodeksu wykroczeń, osobach podejrzanych o ich popełnienie oraz obwinionych i ukaranych za te wykroczenia, także bez ich wiedzy i zgody, w zakresie wskazanym w art. 20f ust. 2 ustawy o Policji.
Należy wskazać, że zgodnie z § 6 rozporządzenia Ministra Spraw Wewnętrznych
i Administracji z dnia 31 października 2019 r. w sprawie prowadzenia rejestru wykroczeń, przetwarzania w nim informacji oraz sposobów i trybu udzielania informacji o osobach z tego rejestru (Dz.U. poz. 2115 ze zm.), zwanego dalej "rozporządzeniem w sprawie prowadzenia rejestru wykroczeń", rejestr wykroczeń jest prowadzony jako zbiór danych wchodzący
w skład Krajowego Systemu Informacyjnego Policji (KSIP), o którym mowa w art. 21 nb
ust. 1 ustawy o Policji, w związku z czym wniosek o usunięcie danych osobowych z KSIP dotyczy również danych osobowych przetwarzanych w rejestrze wykroczeń.
Biorąc pod uwagę odmienny od zbiorów urzędowych status policyjnego zbioru danych - w KSIP informacje, w tym dane osobowe, przetwarza się w celu wykonywania zadań ustawowych Policji w sposób dyskrecjonalny - udostępnianie przez Komendanta Głównego Policji, jako administratora, informacji z KSIP odbiorcom, tj. innym organom władzy publicznej, służbom lub instytucjom jest możliwe wyłącznie w przypadku, gdy taki obowiązek wynika z innych przepisów szczególnych, które określają także zakres i cel udostępnienia. Zatem informacje, w tym dane osobowe, przetwarzane w KSIP Komendant Główny Policji udostępnia organom władzy publicznej, służbom oraz instytucjom
na podstawie obowiązujących ustaw, w granicach przysługujących tym organom uprawnień w zakresie przetwarzania danych osobowych, w celach realizacji ich zadań, a także organom innych państw lub agencjom Unii Europejskiej lub organizacjom międzynarodowym uprawnionym do otrzymywania określonych informacji, w tym danych osobowych, na podstawie przepisów prawa Unii Europejskiej lub ratyfikowanych umów międzynarodowych.
Sąd wskazuje, że skoro wniosek skarżącego o usunięcie danych osobowych dotyczył jego danych przetwarzanych w KSIP, w ramach celów określonych w art. 1 pkt 1 ustawy
z 14 grudnia 2018 r., to do sprawy nim zainicjowanej należało zastosować przepisy wspomnianej ustawy.
Wobec powyższego podkreślenia wymaga, że dane osobowe przetwarzane w KSIP weryfikuje się nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych, zgodnie z art. 16 ust. 1 ustawy z 14 grudnia 2018 r. Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne, przy czym zbędne dane usuwa się lub dane te, zamiast ich usunięcia, można przekształcić w sposób uniemożliwiający przyporządkowanie poszczególnych informacji osobistych lub rzeczowych do określonej lub możliwej do zidentyfikowania osoby fizycznej albo w taki sposób, że przyporządkowanie takie wymagałoby niewspółmiernych kosztów, czasu lub działań. Ponadto, zgodnie z art. 31 ust. 2 tej ustawy, administrator podejmuje wszelkie działania, aby dane osobowe, które są nieprawidłowe, w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane.
Na mocy art. 20f ust. 14-16 ustawy o Policji, organy Policji dokonują weryfikacji informacji o osobach, o których mowa w ust. 1 tego przepisu, przetwarzanych w rejestrze wykroczeń po zakończeniu sprawy, w związku z którą informacje te zostały wprowadzone do rejestru wykroczeń, a ponadto nie rzadziej niż co 3 lata, licząc od dnia uzyskania lub pobrania informacji, usuwając zbędne dane. Dane osób, o których mowa w art. 20f ust. 1 ustawy o Policji, usuwa się z rejestru wykroczeń po upływie 3 lat od dnia ich wprowadzenia do rejestru, chyba że przed upływem tego terminu do rejestru zostały wprowadzone dane
o kolejnym czynie takiej osoby stanowiącym wykroczenie określone w ust. 1, lub przed upływem wskazanego powyżej terminu - w razie uniewinnienia osoby, której dane dotyczą, odmowy wszczęcia wobec niej postępowania lub jego umorzenia prawomocnym orzeczeniem sądu lub śmierci tej osoby oraz w przypadku stwierdzenia przez uprawniony organ braku podstaw do pociągnięcia sprawcy do odpowiedzialności za wykroczenie, jeżeli nie zachodzi przesłanka dalszego przetwarzania danych osobowych dotyczących tej osoby w związku z innym czynem odnotowanym w rejestrze. Dane osobowe osób, o których mowa w art. 20f ust. 3 ustawy o Policji, usuwa się z rejestru wykroczeń wraz z usunięciem danych sprawcy czynu, którym zostały pokrzywdzone.
Rozwinięcie powyższych norm prawnych zawarte zostało w przepisach rozporządzenia w sprawie prowadzenia rejestru wykroczeń. Kwestia okoliczności uwzględnianych przy dokonywaniu weryfikacji, na poziomie aktu prawa wewnętrznego, została uregulowana w przepisach rozdziału 15 zarządzenia nr 70 Komendanta Głównego Policji z dnia 2 grudnia 2019 r. w sprawie Krajowego Systemu Informacyjnego Policji
(Dz. Urz. KGP poz. 114, ze zm.). W tym kontekście szczególnie istotny jest przepis
§ 105 ust. 1 tego zarządzenia, zgodnie z którym weryfikując informacje, w tym dane osobowe, przetwarzane w celu wykrywania przestępstw, pod kątem ich przydatności, uwzględnia się m.in. czas, który upłynął od momentu wprowadzenia informacji, w tym danych osobowych, do zbiorów danych KSIP do momentu dokonywania oceny oraz aktualność przesłanek legalności oraz niezbędności dalszego przetwarzania informacji,
w tym danych osobowych, do wykonania zadań ustawowych Policji.
Z przepisami tymi koreluje art. 20a ust. 1 ustawy o Policji, zgodnie z którym,
w związku z wykonywaniem zadań wymienionych w art. 1 ust. 2, Policja zapewnia ochronę form i metod realizacji zadań, informacji oraz własnych obiektów i danych identyfikujących policjantów.
W kontekście powyższych unormowań należy podnieść, że informacje zgromadzone w KSIP są przetwarzane przez Policję dla realizacji jej zadań ustawowych. Informacje zebrane w sposób legalny, prawdziwe i pełne są przetwarzane zgodnie z obowiązującymi przepisami art. 21nb w związku z art. 20 ust. 1-1d, 1j i 2ad-2c ustawy o Policji, podlegają zaś weryfikacji i usunięciu na zasadach określonych we wskazanym powyżej przepisie
art. 16 ustawy z 14 grudnia 2018 r.
Przenosząc powyższe rozważania na grunt niniejszej sprawy podzielić należy stanowisko, zgodnie z którym w badanej sprawie Prezes UODO nie miał podstaw
do stwierdzenia, że dane osobowe skarżącego są przetwarzane przez Komendanta Głównego Policji w sposób niezgodny z ustawą z 14 grudnia 2018 r. Przetwarzanie
w zakresie objętym skargą znajduje bowiem oparcie w przesłance zawartej w art. 13 tej ustawy. Wiążąc treść tego przepisu z kompetencjami organów Policji w zakresie zapewniania bezpieczeństwa i porządku publicznego, a także z prawem tych organów
do przetwarzania danych osobowych osób podejrzanych o popełnienie przestępstwa, skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu, organ zasadnie skonstatował, że przetwarzanie danych osobowych skarżącego
w Krajowym Systemie Informacyjnym Policji oparte jest na obowiązujących przepisach prawa.
Sąd wskazuje, że ustawowym celem przetwarzania danych osobowych skarżącego jest zapobieżenie popełnieniu przez niego w przyszłości przestępstwa, jak również -
w przypadku niemożności zapobieżenia - wykrycie go. W związku z naruszeniem norm prawnokarnych przez skarżącego oraz ich rodzajem nie można było stwierdzić, że dane osobowe skarżącego stały się zbędne dla realizacji zadań Policji, zwłaszcza tych wymienionych w art. 1 ust. 2 ustawy o Policji, m.in. ochrony życia i zdrowia ludzi oraz mienia przed bezprawnymi zamachami naruszającymi te dobra, a także wykrywania przestępstw
i wykroczeń oraz ścigania ich sprawców. Cechy przestępstw, stypizowanych w powołanych
w części historycznej niniejszego uzasadnienia przepisach, szczególnie ich powszechny charakter, stanowią kolejny element uzasadniający dalsze przetwarzanie danych osobowych skarżącego przez Policję.
Jak wynika z przytoczonych powyżej norm, określonych w art. 16 ustawy z 14 grudnia 2018 r., administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu - nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych. Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Mając na względzie powyższe należy wskazać, że w przedmiotowej sprawie wymaganej ustawą weryfikacji dokonano
po otrzymaniu informacji o zakończeniu postępowań w sprawach przeciwko skarżącemu, następnie w związku z jego wnioskami o usunięcie danych osobowych z KSIP, a także
z jego skargą do organu. W przypadku wniosków o usunięcie danych osobowych z KSIP weryfikacji dokonano w szczególności pod kątem przesłanek z art. 51 ust. 4 Konstytucji RP, zgodnie z którym każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą oraz pod kątem legalności i celowości przetwarzania danych osobowych.
Zdaniem Sądu sam fakt zatarcia wobec skarżącego skazania nie powinien bezwarunkowo skutkować usunięciem danych osobowych przetwarzanych w KSIP. Ustawodawca uzależnił bowiem decyzję o usunięciu danych osobowych przetwarzanych
w celach określonych w art. 1 pkt 1 ustawy z 14 grudnia 2018 r. od decyzji administratora dotyczącej ich przydatności. Decyzja ta jest podejmowana w drodze weryfikacji, a dane usuwa się dopiero po stwierdzeniu, że ich dalsze przechowywanie jest zbędne. Jak natomiast wskazano powyżej, dane osobowe skarżącego podlegały kilkukrotnej weryfikacji, jednakże w jej wyniku nie stwierdzono, że są one zbędne - nieprzydatne do realizacji ustawowych zadań Policji. Warto również zwrócić uwagę, że zgodnie z ugruntowanym orzecznictwem sądów administracyjnych (por. wyrok WSA z dnia 10 października 2017 r., sygn. akt II SA/Wa 314/17, wyrok WSA z dnia 19 grudnia 2018 r., sygn. akt II SA/Wa 700/18, wyrok WSA z dnia 30 stycznia 2019 r., sygn. akt II SA/Wa 750/18), to organy Policji oceniają przydatność zebranych informacji, dokonując ich weryfikacji po zakończeniu sprawy,
w ramach której dane te zostały wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji.
Sąd wskazuje, że czym innym jest dostęp do informacji o karalności osoby
z Krajowego Rejestru Karnego, który ma charakter powszechny, a zupełnie czym innym są informacje wytworzone przez organy Policji w związku z prowadzonymi postępowaniami
i znajdujące się w zamkniętym, ogólnie niedostępnym zbiorze informatycznym. A taki właśnie charakter ma Krajowy System Informacyjny Policji. Informacje, jakimi dysponuje KSIP, nie stanowią źródła wiedzy powszechnie dostępnej, bowiem służą wyłącznie
do realizacji zadań Policji, o których mowa w art. 1 ust. 2 ustawy o Policji (por. podobnie Naczelny Sąd Administracyjny w wyroku z dnia 21 kwietnia 2017 r., sygn. akt I OSK 2426/15). Skutkiem takiego charakteru policyjnego zbioru danych jest m.in. to, że ewentualne umorzenie postępowania, warunkowe umorzenie postępowania czy też zatarcie skazania (uznanie za niebyłe) nie wpływa na fakt przetwarzania danych osobowych przez Policję w KSIP, bowiem zbiór ten nie jest rejestrem skazanych (vide art. 106 K.k. - z chwilą zatarcia skazania uważa się je za niebyłe; wpis o skazaniu usuwa się z rejestru skazanych, nie zaś z innych zbiorów danych, w których nie są przetwarzane informacje dotyczące faktu skazania za przestępstwo).
W konsekwencji zatarcie skazania ma znaczenie w kontekście statusu skarżącego jako osoby niekaranej, nie wywiera natomiast wpływu na zgodność z prawem przetwarzania jego danych osobowych w KSIP. Podkreślenia wymaga, że zarówno przepisy ustawy
z 14 grudnia 2018 r., jak i ustawy o Policji nie wskazują zatarcia skazania jako kryterium usunięcia danych osobowych z KSIP. Co więcej, przetwarzanie danych osobowych skarżącego w KSIP nie wpływa na jego status jako osoby niekaranej w świetle prawa, gdyż przepisy ustawy o Policji nie statuują KSIP jako rejestru skazanych i nie wiążą faktu przetwarzania w nim danych osobowych ze skazaniem lub zatarciem skazania, a co się
z tym wiąże nie wpływają i nie rozstrzygają o statusie osób jako karanych lub jako niekaranych.
Odnosząc się w tym miejscu do zarzutu skarżącego dotyczącego naruszenia art. 8 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności (Dz.U.
z 1993 r. Nr 61 poz. 284), wskazać należy, że ustawa o Policji nie przewiduje bezterminowego przetwarzania znajdujących się systemie policyjnym (KSIP) danych. Organy Policji dokonują weryfikacji danych po zakończeniu sprawy, w ramach której zostały one wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji, usuwając zbędne dane. Stąd też nie może być mowy o bezterminowym przetwarzaniu danych przez organy Policji w systemie KSIP, organy te są bowiem obowiązane do systematycznego przeglądania i usuwania zbędnych danych z systemu. Nie sposób zatem stwierdzić jakoby organy Policji uchylały się od tego obowiązku, przy czym po dokonanej analizie nie uznały, by zasadnym było usunięcie danych skarżącego z KSIP, gdyż istnieje cel ich przetwarzania określony w art. 1 pkt 1 ustawy z 14 grudnia 2018 r.
Sąd w składzie rozpoznającym niniejszą sprawę podziela pogląd wyrażony przez Wojewódzki Sąd Administracyjny w Warszawie w przywołanym wyżej wyroku o sygn. akt
II SA/Wa 750/18, zgodnie z którym, cyt. "organy Policji są więc uprawnione do przetwarzania danych osób nie tylko podejrzanych o popełnienie przestępstwa, ale także skazanych prawomocnym wyrokiem sądu, jak również tych, wobec których skazanie uległo zatarciu. Realizowanie bowiem celu, jakim jest zapewnienie bezpieczeństwa i porządku publicznego przez organy Policji, wykazuje przesłankę niezbędności przetwarzania danych osobowych w Krajowym Systemie Informacyjnym Policji dla spełnienia obowiązku wynikającego
z przepisu prawa (art. 1 ust. 2 ww. ustawy o Policji) [...] Należy bowiem zastrzec, że przetwarzanie danych zawartych w KSIP ma służyć dobru ogólnemu, toteż dysponowanie informacjami zgromadzonymi w zbiorze przez okres czasu, w jakim informacje te są organom Policji potrzebne, jest wprost proporcjonalne do celu, który organy te realizują
w związku z koniecznością zapewnienia ładu i porządku publicznego oraz bezpieczeństwa obywateli. Omawiane uregulowania wynikające z ustawy o Policji, jakkolwiek ograniczają sferę prywatności osoby, wobec której nastąpiło zatarcie skazania, to jednak ograniczenia te podyktowane są niezbędnością w zapewnieniu bezpieczeństwa i porządku publicznego, a więc wynikają z interesu Państwa, na co art. 31 ust. 3 Konstytucji RP zezwala, wskazując właśnie na ustawowe podstawy owych ograniczeń". W związku z tym uznać należy, że przetwarzanie przez Policję danych osobowych skarżącego, w celu realizacji ustawowych zadań Policji, odbywa się na zasadach i w granicach określonych w ustawie z 14 grudnia 2018 r., zgodnie z zasadą legalizmu (art. 7 Konstytucji RP) oraz w granicach zasady proporcjonalności wynikającej z art. 31 ust. 3 w zw. z art. 51 ust. 2 Konstytucji RP.
Warto w tym miejscu przywołać wyrok Wojewódzkiego Sądu Administracyjnego
w Warszawie z dnia 10 stycznia 2014 r. o sygn. akt II SA/Wa 1648/13, wydany co prawda przed wejściem w życie ustawy z 14 grudnia 2018 r., ale - jak się wydaje - nadal aktualny
w zakresie stwierdzeń istotnych z punktu widzenia kontrolowanego rozstrzygnięcia organu. Sąd stwierdził w nim, że brak możliwości przetwarzania danych osobowych bez wiedzy
i zgody osoby, której dane dotyczą pozbawiłby Policję, cyt. "jednego z instrumentów, umożliwiających jej realną dbałość o bezpieczeństwo i porządek publiczny. To zaś utrudniałoby, a niekiedy wręcz uniemożliwiałoby Państwu Polskiemu prawidłowe wywiązywanie się wobec obywateli, z obowiązków opisanych w Konstytucji RP (...). Doszłoby więc w efekcie do podporządkowania wartości wyższej, jaką jest dobro ogółu obywateli, wartości niższej wagi, jaką jest prawo jednostki do ochrony jej danych osobowych".
Wobec postawionego przez skarżącego zarzutu naruszenia § 29 rozporządzenia MSWiA stwierdzić należy, że akt ten został uchylony z dniem 7 lutego 2020 r. i wobec tego nie miał zastosowania w rozpatrywanej sprawie. Co za tym idzie, zarzut ten nie mógł zostać poddany ocenie Sądu w ramach kontroli zaskarżonej decyzji Prezesa UODO.
Nie sposób zgodzić się z zarzutem naruszenia przez organ przepisów Kpa..
Prezes UODO uwzględnił w niniejszej sprawie wszystkie dowody, które umożliwiły dowodzenie, a więc pozwoliły na przekonanie się o istnieniu lub nieistnieniu oznaczonych faktów, a tym samym o prawdziwości, względnie nieprawdziwości twierdzeń o tych faktach. Dlatego też należy podkreślić, że zaskarżona decyzja została wydana w oparciu
o wystarczający materiał dowodowy, pozyskany w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w Kpa., albowiem Prezes UODO
na podstawie prawidłowo ustalonego stanu faktycznego wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy.
Zdaniem Sądu bezpodstawny jest zarzut, że Prezes UODO przy wydawaniu decyzji nie uwzględnił wniosków skarżącego z [...] kwietnia 2019 r. oraz z [...] maja 2022 r. oraz pism uzupełniających. Nie odnotowano bowiem wpływu do organu w niniejszej sprawie wniosków skarżącego opatrzonych wspomnianymi datami. Prezes UODO wydając zaskarżoną decyzję uwzględnił natomiast wszystkie zgromadzone w niniejszej sprawie dowody, w tym pisma skarżącego oraz Komendanta Głównego Policji, a także załączone do nich pozostałe dowody (w tym m.in. kopię pisma skarżącego z [...] maja 2022 r. załączonego do wyjaśnień Komendanta Głównego Policji z [...] sierpnia 2022 r.). Natomiast w związku z tym, że pismo skarżącego z [...] kwietnia 2019 r. nie zostało złożone do akt niniejszej sprawy, Prezes UODO nie miał możliwości uwzględnienia go jako dowodu w sprawie.
Wobec powyższego stwierdzić należy, że dane osobowe skarżącego zostały, zgodnie w powołanymi przepisami, poddane stosownej weryfikacji i ocenie ich przydatności, co implikuje dalsze pozostawienie ich w KSIP. Organy Policji oceniły przydatność zebranych informacji zawierających dane osobowe skarżącego, które są przetwarzane w związku
z realizacją zadań przypisanych ustawowo Policji, natomiast Prezes UODO nie jest władny do dokonywania oceny przydatności zebranych danych. Innymi słowy, stosownie
do przesłanek dopuszczalności dalszego przetwarzania danych osobowych określonych
w art. 16 ustawy z 14 grudnia 2018 r., w związku z art. 21nb oraz art. 20 ust. 1-1 d, 1j i 2ad-2c ustawy o Policji ustalono, że Policja przetwarza dane osobowe skarżącego jako niezbędne dla realizacji jej zadań ustawowych na podstawie, w zakresie i w celu określonym w przytoczonych powyżej przepisach oraz że Policja nie przetwarza zbędnych danych osobowych, względem których przysługiwałoby skarżącemu prawo dostępu do danych oraz prawo żądania usunięcia tych danych. Okazało się, że weryfikacja zgromadzonych danych osobowych w kontekście niniejszej sprawy, z uwzględnieniem celów przetwarzania informacji przez Policję, przemawia za dalszym przetwarzaniem tych danych osobowych. Wobec tego Prezes UODO zasadnie odmówił uwzględnienia wniosku skarżącego, czemu dał wyraz w treści zaskarżonej decyzji.
W tym stanie sprawy Sąd, działając na podstawie art. 151 p.p.s.a., orzekł o oddaleniu skargi.