Brak przepisów zapewniających należyty nadzór nad przetwarzaniem danych osobowych w obszarze ochrony porządku publicznego i wymiarze sprawiedliwości stał się powodem zainicjowania przez KE postępowania naruszeniowego przeciw Polsce (INFR(2026)2130). UODO wielokrotnie zwracał uwagę na ten problem, a prezes Mirosław Wróblewski już kilka miesięcy temu skierował wystąpienie do ministrów spraw wewnętrznych i sprawiedliwości, informując ich o konieczności pilnego dostosowania przepisów.

Postępowanie w sprawie uchybienia zobowiązaniom państwa to unijny mechanizm prawny prowadzony przez Komisję Europejską przeciwko państwu członkowskiemu, które nie wywiązuje się z obowiązków wynikających z prawa UE. Jej celem jest skłonienie rzeczonego państwa członkowskiego do przestrzenia unijnych regulacji. Procedura naruszeniowa składa się z kilku etapów. Pierwszym, nieformalnym krokiem jest wezwanie przez KE do usunięcia uchybienia. Komisja Europejska w specjalnym piśmie wskazuje naruszenia prawa oraz domaga się wyjaśnień tego stanu rzeczy w wyznaczonym terminie.

Jeśli KE uzna je za niewystarczające, przesyła tzw. uzasadnioną opinię, w której już oficjalnie formułuje zarzuty i wyznacza termin na dostosowanie się do prawa unijnego przez państwo członkowskie. Trzecim etapem jest skarga do Trybunału Sprawiedliwości Unii Europejskiej. Jeśli TSUE stwierdzi naruszenie prawa Unii, a Polska dalej nie dostosuje swoich przepisów, Komisja będzie mogła złożyć kolejną skargę, która tym razem może zakończyć się nałożeniem na nasz kraj kary finansowej.

UODO konsekwentnie alarmuje o nieprawidłowej implementacji dyrektywy

Na początku kwietnia Prezes Urzędu Ochrony Danych Osobowych we wspomnianym piśmie do dwóch resortów podkreślił, że ustawa o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (ustawa z 14 grudnia 2018 r.) w obecnym kształcie nie zapewnia pełnych gwarancji dla praw osób, których dane dotyczą. Celem wskazanego wniosku było właśnie zapewnienie prawidłowej implementacji w polskim porządku prawnym przepisów ‘dyrektywy policyjnej’ (2016/680). Nie było to pierwsze pismo UODO w tej sprawie.

Prezes UODO Mirosław Wróblewski zwrócił wówczas uwagę ministra Marcina Kierwińskiego i ministra Waldemara Żurka na problemy związane w drożeniem tejże dyrektywy. Sygnalizował je jednak już w ramach opiniowania projektu ustawy wdrażającej, a także przy okazji ewaluacji działania samej dyrektywy (w 2021 r. i 2025 r.) Podkreślić należy przede wszystkim, że liczne wyłączenia przyjęte w ustawie krajowej sprawiają, że nie obejmuje ona wszystkich obszarów przetwarzania danych osobowych w celach rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, uwzględnione w dyrektywie.

Sprawia to, że dane przetwarzane w toku czynności procesowych i zawarte w  aktach spraw nie podlegają ani wspomnianej ustawie, ani ogólnym zasadom ochrony danych osobowych, a jedynie procedurze karnej. W tej jednak brakuje np. gwarancji podstawowych praw osób, których dane dotyczą. Chodzi tu o: prawo do informacji, do skargi, dostępu do danych, do ich sprostowania, usunięcia, ograniczenia przetwarzania, a także do wniesienia skargi do niezależnego organu nadzorczego i skutecznego środka prawnego (odwoławczego) przed sądem od decyzji tego organu. Pogląd ten podzielają niektóre sądowe organy nadzorcze.

Stanowisko to znajdowało również odzwierciedlenie w literaturze przedmiotu. Problemy związane z implementacją dyrektywy policyjnej były wcześniej wskazywane m.in. przez prof. Agnieszkę Grzelak (obecnie zastępczynię Prezesa UODO) w publikacjach poświęconych ochronie danych w obszarze współpracy policyjnej i wymiaru sprawiedliwości.

Nadzór nad stosowaniem przepisów dyrektywy jest niewystarczający.

Inną ważną kwestią sygnalizowaną przez Prezesa UODO jest nadzór nad przetwarzaniem danych osobowych przez sądy w ramach sprawowania wymiaru sprawiedliwości (w celu ochrony ich niezawisłości). Powinien on zostać powierzony wyłącznie specjalnym, niezależnym organom. Tymczasem w Polsce przepisy w tym względzie wciąż wymagają doprecyzowania. Brakuje też jednolitych wytycznych interpretacyjnych. Ich powstanie mogłoby przyczynić się do zwiększenia przejrzystości nadzoru oraz zagwarantowania spójności stosowania prawa, w szczególności w kontekście powołania niezależnego organu nadzorczego (innego niż Prezes UODO), znajdującego się poza strukturami władzy sądowniczej.

Obecny brak spójności przejawia się np. w tym, że sądy apelacyjne częściej przyjmują szerokie rozumienie wyłączenia stosowania dyrektywy, podczas gdy sądy okręgowe i rejonowe niekiedy stosują wykładnię bardziej zawężającą. Prowadzi to do rozbieżności w stosowaniu prawa, osłabienia spójności systemu nadzoru oraz zmniejszenia pewności prawnej. Choć przepisy ustrojowe przypisują sądom określone zadania i uprawnienia organu nadzorczego wynikające z ustawy z 14 grudnia 2018 r., większość organów właściwych nie identyfikuje obszarów, w których powinno się stosować tę ustawę.

Nie ma podstaw, by stosować wyłączenie z dyrektywy do nadzoru w prokuraturze

Jeszcze inaczej kształtuje się praktyka w prokuraturze, gdzie właściwe organy przyjmują, że są uprawnione do sprawowania nadzoru w trybie dyrektywy policyjnej. Wskazuje to na systemowy problem interpretacyjny, w którym formalne przypisanie kompetencji nadzorczych nie przekłada się na ich realne i konsekwentne wykonywanie. Zarówno w sądach, jak i prokuraturze, nadzór ma charakter kaskadowy, co oznacza że organy wyższego szczebla sprawują kontrolę nad jednostkami niższego. Jednak w przypadku sądów wady wspomnianego modelu równoważone są przez konstytucyjne gwarancje niezależności sędziowskiej. W prokuraturze jednakże silna struktura hierarchiczna rodzi poważne wątpliwości co do spełnienia wymogu niezależności przez organy nadzorcze. Brak regulacji wskazujących niezależne organy wyposażone w kompetencje kontrolne w zakresie ochrony danych osobowych, w konsekwencji pozbawia ochrony osoby, których dane dotyczą i nie uwzględnia ich prawa do prywatności.

Prezes UODO od dawna podkreśla też, że zgodnie z Konstytucją prokuratura nie sprawuje wymiaru sprawiedliwości sensu stricto. Prowadzi to do wniosku, że nie należy do niej stosować wyłączeń przewidzianych we wspomnianej dyrektywie, a więc przetwarzanie danych przez prokuraturę powinno podlegać pełnemu nadzorowi niezależnego nadzoru. W Polsce część zadań została skoncentrowana w rękach Prezesa UODO, zaś organy działające w strukturach sądów i prokuratury nie mają pełnych kompetencji przewidzianych w dyrektywie. Prowadzi do fragmentacji systemu nadzoru i utrudnia zapewnienie jednolitego standardu ochrony danych. Podobne trudności interpretacyjne występują jedynie w ograniczonej liczbie państw UE, podczas gdy w większości system nadzoru w tym obszarze funkcjonuje bez istotnych problemów.

Pozostałe uwagi UODO do obecnych regulacji wdrażających dyrektywę policyjną

Nieprawidłowe wdrożenie dyrektywy policyjnej wywiera negatywny wpływ na funkcjonowanie wielkoskalowych systemów informacyjnych UE w Polsce, w tym na sprawowanie nadzoru nad dostępem organów porządku publicznego do danych osobowych przetwarzanych w tych systemach. 

Ponadto, art. 57 dyrektywy 2016/680 przewiduje, że państwa członkowskie mają obowiązek przyjęcia regulacji określających skuteczne, proporcjonalne i odstraszające sankcje za naruszenie przepisów wdrażających dyrektywę oraz zapewnienia ich skutecznego wykonania. Polska ustawa nie wyposaża natomiast Prezesa Urzędu Ochrony Danych Osobowych w instrumenty pozwalające stosować takie sankcje. Mirosław Wróblewski odniósł się również do konieczności uregulowania roli inspektora ochrony danych osobowych. Obowiązujące przepisy bowiem niezgodnie z dyrektywą kształtują zadania IOD i nieprecyzyjnie określają obowiązki przysyłania zawiadomień dotyczących inspektorów.

Osobnym problemem jest również wyłączenie stosowania przepisów ustawy z 14 grudnia 2018 r. do niektórych zadań służb wymienionych w art. 3 pkt 2 tejże.

Ponadto, wiele przepisów obowiązującej ustawy – chociaż technicznie powtarza przepisy dyrektywy – zawiera tak bardzo ogólne sformułowania, że trudno uznać je za prawidłową implementację przepisów unijnych, bowiem w praktyce prowadzą one do wyłączenia możliwości efektywnej ochrony praw podstawowych.

Perspektywa dalszych działań

Decyzja Komisji Europejskiej o wszczęciu postępowania naruszeniowego potwierdza, że zastrzeżenia wielokrotnie zgłaszane przez Prezesa UODO nie miały charakteru wyłącznie interpretacyjnego, lecz dotyczyły rzeczywistych niezgodności polskich przepisów z prawem Unii Europejskiej.

Działania Komisji Europejskiej wpisują się w szerszy proces weryfikacji prawidłowości wdrażania prawa Unii przez państwa członkowskie i nie przesądzają jeszcze o wyniku prowadzonego postępowania.

Organ nadzorczy wyraża nadzieję, że postępowanie to przyczyni się do sprawnego przyjęcia rozwiązań legislacyjnych zapewniających pełną zgodność polskich przepisów z prawem Unii Europejskiej oraz jednolity standard ochrony danych osobowych.

Prezes UODO pozostaje gotowy do współpracy z właściwymi organami w procesie dostosowania przepisów krajowych do wymogów prawa Unii Europejskiej oraz do przedstawienia doświadczeń i rekomendacji wypracowanych w toku dotychczasowych działań.