Ochrona danych osobowych wykorzystywanych przez policję i organy wymiaru sprawiedliwości (od 2018 r.)

KLUCZOWE ZAGADNIENIA

Dyrektywa wymaga, by dane zbierane przez organy ścigania były:

• przetwarzane zgodnie z prawem i rzetelnie;
• zbierane w konkretnych, wyraźnych i uzasadnionych celach oraz przetwarzane wyłącznie w sposób zgodny z tymi celami;
• adekwatne, stosowne i nienadmierne do celów, do których są przetwarzane;
• prawidłowe i uaktualniane w razie potrzeby;
• przechowywane w formie umożliwiającej identyfikację osób przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania;
• odpowiednio zabezpieczone, w tym w sposób zapewniający ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.

Terminy

Państwa członkowskie muszą przyjąć terminy usuwania danych osobowych lub regularnego przeglądu konieczności przechowywania tych danych.

Zainteresowane osoby (osoby, których dane dotyczą)

Dyrektywa wymaga, by organy ścigania wyraźnie rozróżniły dane osobowe poszczególnych kategorii osób, w tym:

• osób, w stosunku do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony;
• osób skazanych za czyn zabroniony;
• pokrzywdzonych czynem zabronionym lub osób, w przypadku których można zasadnie uznać, że mogą stać się ofiarą czynu zabronionego;
• osób innych w stosunku do czynu zabronionego, w tym potencjalnych świadków.

Informowanie osób, których dane dotyczą, i dostęp do danych

Osoby fizyczne mają prawo do tego, by właściwe organy ścigania udostępniły – a w niektórych przypadkach dostarczyły – im określone informacje, obejmujące:

• imię i nazwisko lub nazwę oraz dane kontaktowe właściwego organu, który podejmuje decyzje o zakresie przetwarzania danych i sposobie ich przetwarzania;
• cele przetwarzania ich danych;
• informacje o prawie do wniesienia skargi do organu nadzorczego oraz dane kontaktowe organu nadzorczego;
• informacje o prawie żądania dostępu do danych osobowych, ich poprawienia lub usunięcia oraz prawie do ograniczenia przetwarzania ich danych osobowych.

Osoby fizyczne mają prawo uzyskania od właściwych organów potwierdzenia, czy przetwarzane są ich dane osobowe, a także dostępu do tych danych osobowych oraz informacji dotyczących ich przetwarzania.

Bezpieczeństwo i ewidencja czynności

Organy krajowe mają obowiązek wdrożenia środków technicznych i organizacyjnych dla zagwarantowania poziomu bezpieczeństwa danych osobowych odpowiadającego zagrożeniu. Jeśli przetwarzanie danych jest zautomatyzowane, należy zastosować odpowiednie środki, w tym:

• uniemożliwienie osobom nieuprawnionym dostępu do sprzętu używanego do przetwarzania;
• zapobieganie nieuprawnionemu odczytywaniu, kopiowaniu, zmienianiu lub usuwaniu nośników danych¹;
• zapobieganie nieuprawnionemu wprowadzaniu danych osobowych oraz nieuprawnionemu oglądaniu, zmienianiu lub usuwaniu przechowywanych danych osobowych.

Organy krajowe mają obowiązek ewidencjonowania informacji, takich jak data i godzina dostępu do danych osobowych oraz tożsamość osoby, która przeglądała dane lub której dane zostały ujawnione. Ewidencja jest używana głównie do weryfikacji zgodności przetwarzania z prawem, zapewnienia integralności i bezpieczeństwa operacji przetwarzania oraz na potrzeby postępowania karnego.

Uchylenie

Dyrektywa ta zastąpiła decyzję ramową 2008/977/WSiSW w sprawie ochrony danych osobowych przetwarzanych w ramach współpracy policyjnej i sądowej w sprawach karnych z dniem 6 maja 2018 r.

Przegląd

W czerwcu 2020 r. Komisja Europejska wydała komunikat zatytułowany „Dalsze działania dotyczące dostosowania dotychczasowego dorobku w obszarze trzeciego filaru do przepisów o ochronie danych”.

Pierwsze sprawozdanie z oceny i przeglądu dyrektywy ma być przedłożone do 5 maja 2022 r.