Rządowy projekt ustawy o wymianie informacji z organami ścigania państw członkowskich Unii Europejskiej

przetwarzania tych danych w zbiorach danych administrowanych przez dany podmiot
uprawniony (art. 9 decyzji ramowej 977).
Ponadto podmioty uprawnione mogą żądać ograniczenia w przetwarzaniu
przekazanych lub udostępnionych danych osobowych, jeżeli ograniczenia te wynikają
z obowiązujących przepisów prawa, m.in. z ustawy o ochronie danych osobowych oraz
z przepisów szczególnych, a także zaniechania obowiązku informowania osoby, której dane
dotyczą, o przetwarzaniu jej danych osobowych, jeżeli przepisy innych ustaw przewidują lub
dopuszczają przetwarzanie przez dany podmiot uprawniony danych tej osoby bez jej wiedzy
i zgody (art. 12 i 16 decyzji ramowej 977).
Wymienione powyżej kompetencje podmiotów uprawnionych do kształtowania
warunków oraz kontrolowania procesów przetwarzania i wykorzystywania danych
osobowych, które zostały przekazane lub udostępnione, odnoszą się do przepisów art. 9, 12
i 15 – 16 decyzji ramowej 977.
Konieczność zachowania i żądania dyskrecjonalności (nieinformowania osoby
o przetwarzaniu jej danych) jest wynikiem odpowiedzialności, jaką podmiot uprawniony
ponosi za przekazywane dane oraz obowiązki, jakie wykonuje w odniesieniu do
przetwarzanych przez siebie danych – m.in. zapewnienie legalności, integralności,
adekwatności, celowości, aktualności, zupełności i bezpieczeństwa przetwarzania danych
osobowych.
Dodać należy, iż dyskrecjonalność w przetwarzaniu informacji wynika z przepisów
kompetencyjnych podmiotów uprawnionych i powinna mieć zastosowanie również do
projektowanej ustawy, ponieważ przesłanki właściwe dla gromadzenia, pobierania
i
uzyskiwania informacji przez podmioty uprawnione pozostają aktualne również
w odniesieniu do przekazywania informacji organom ścigania państw członkowskich Unii
Europejskiej, gdyż cel, niezbędność oraz proporcjonalność przetwarzania nie ulegają
zmianom w procesie wymiany tych informacji (będącej nota bene jedną z dopuszczalnych
operacji wykonywanych na danych w ramach przetwarzania).

Obszar regulacji dotyczący zasad przetwarzania danych osobowych oraz obszar
regulacji związany z ochroną danych osobowych przetwarzanych w trybie i na zasadach
określonych w ustawie stanowią wzajemnie powiązane ze sobą obszary zastosowania decyzji
ramowej 977, decyzji ramowej 960 oraz decyzji 615, stwarzając konieczność uregulowania
w ustawie kwestii dotyczących ochrony przetwarzanych danych w zakresie nieregulowanym
16
dotychczas w przepisach prawa polskiego. Z uwagi na to, iż ochrona danych osobowych
stanowi wyodrębniony przedmiot regulacji, a jednocześnie odnosi się do całej ustawy,
kwestie te zostały uregulowanie w rozdziale 4 projektu ustawy.
Art. 19 ust. 1 projektu ustawy odnosi się do obowiązku uprzedniego weryfikowania
przez podmioty uprawnione danych osobowych podlegających wymianie, a także
przekazywania danych w odpowiedniej formie. Zakres weryfikacji obejmuje dokonanie
merytorycznej prawidłowości, aktualności i kompletności danych osobowych. a przekazanie
danych organowi ścigania ma obywać się w sposób umożliwiający dokonanie przez ten organ
oceny tych danych w zakresie ich prawidłowości, aktualności i kompletności. Natomiast
zgodnie z przepisem art. 19 ust. 2 podmiot uprawniony jest zobowiązany do dokonania
niezwłocznie weryfikacji danych osobowych, które otrzymał od organu ścigania państwa
członkowskiego Unii Europejskiej bez wniosku w przypadkach niecierpiących zwłoki. Zakres
weryfikacji w takich przypadkach dotyczy zgodności celu przekazania danych z celem
wykorzystania dla zapobieżenia bezpośredniemu, poważnemu zagrożeniu bezpieczeństwa lub
porządku publicznego.
W art. 19 ust. 3 projektu ustawy uregulowany został obowiązek niezwłocznego
poinformowania organu otrzymującego informacje o każdym przypadku przekazania temu
organowi nieprawdziwych, niekompletnych, nieaktualnych lub niezupełnych danych
osobowych, a także o przypadkach przekazania danych z naruszeniem przepisów ustawy.
Ponadto podmiot uprawniony lub punkt kontaktowy, który przekazał ww. dane, ma
obowiązek je sprostować, uzupełnić, uaktualnić poprzez przekazanie danych właściwych,
aktualnych lub kompletnych albo w zależności od okoliczności, o których mowa w art. 20
ust. 1 i 3, dane te usunąć lub zablokować. Przepisy art. 19 projektu ustawy korespondują
z art. 8 decyzji ramowej 977.
Art. 20 ust. 1 projektu ustawy dotyczy zasad przechowywania danych osobowych
(terminów przetwarzania danych) uzyskanych w wyniku wymiany od organów ścigania
państw członkowskich Unii Europejskiej – podmiot uprawniony może przechowywać te dane
przez okres niezbędny do realizacji celu, w jakim dane zostały uzyskane, lub przez okres
niezbędny dla realizacji celów wykrywania i ścigania sprawców przestępstw oraz
zapobiegania przestępczości i jej zwalczania.
Przechowywanie danych osobowych będzie związane z dokonywaniem przez
podmioty uprawnione weryfikacji zgromadzonych danych, usuwaniem danych zbędnych lub
17
anonimizacją tych danych. Do przechowywania danych uzyskanych w trybie projektu ustawy
zastosowanie będą miały terminy oraz zasady przetwarzania danych, jakie obowiązują
poszczególne podmioty uprawnione zgodnie z właściwymi przepisami prawa wewnętrznego.
Oznacza to, iż jeżeli dane osobowe przekazane przez organ ścigania państwa
członkowskiego Unii Europejskiej otrzymała Policja, to przechowywanie tych danych (wraz
z weryfikacją, usuwaniem i dokonywaniem anonimizacji danych) będzie odbywało się na
zasadach i w terminach określonych w art. 20 ust. 17 ustawy o Policji. Takie rozwiązanie jest
celowe ze względu na zachowanie jednakowych zasad oraz trybu postępowania z danymi
uzyskanymi od organu państwa członkowskiego UE, jak w przypadku postępowania
z danymi gromadzonymi, uzyskiwanymi, pobieranymi i przetwarzanymi przez Policję w tych
samych celach na podstawie przepisów ustawy o Policji.
Analogiczne zasady będą miały zastosowanie do pozostałych podmiotów
uprawnionych – Straż Graniczna, Agencja Bezpieczeństwa Wewnętrznego, Służba Celna,
andarmeria Wojskowa na podstawie przepisów kompetencyjnych tych służb. Przepis art. 20
ust. 1 projektu ustawy określa w tym przypadku generalną zasadę.
Art. 21 ust. 1 projektu ustawy stanowi natomiast przepis szczególny względem
przepisu art. 20 stanowiąc, iż jeżeli organ ścigania państwa członkowskiego Unii Europejskiej
przy przekazaniu lub udostępnieniu danych osobowych określił termin ich przechowywania,
po upływie którego wymagane jest ich usunięcie, zablokowanie lub zweryfikowanie, podmiot
uprawniony, który te dane otrzymał i przechowuje, zobowiązany jest do uwzględnienia
wskazanych terminów.
Jednakże jeżeli dane przekazane lub udostępnione przez organ ścigania państwa
członkowskiego Unii Europejskiej są niezbędne w toku prowadzonych czynności operacyjno
-rozpoznawczych lub dochodzeniowo-śledczych podejmowanych w celu wykrywania
i ścigania sprawców przestępstw oraz zapobiegania przestępczości i jej zwalczania – podmiot
uprawniony może te dane przetwarzać z zachowaniem zasad przetwarzania danych
właściwych dla danego podmiotu (art. 21 ust. 2 projektu ustawy). Przepisy art. 20 i 21
projektu ustawy odnoszą się do zasad uregulowanych w art. 4, 5 oraz 9 decyzji ramowej 977.
Natomiast zgodnie z przepisem art. 20 ust. 3 projektu ustawy podmiot uprawniony
blokuje dane osobowe, które uzyskał od organu ścigania państwa członkowskiego UE, jeżeli
przemawia za tym uzasadniony interes osoby, której dane dotyczą. Wówczas zablokowane
dane osobowe podmiot ten może przetwarzać tylko w celu, który uniemożliwił ich usunięcie.
18
Instytucja blokowania danych osobowych nie była dotychczas przedmiotem regulacji na
gruncie polskiego porządku prawnego.
Zablokowanie danych osobowych wiąże się z ograniczeniem ich przetwarzania ze
względu na dobro osoby, której dane dotyczą. Ograniczenie przetwarzania oznacza, iż
spełnione są warunki do usunięcia danych osobowych, lecz ze względu na określone
okoliczności dotyczące ochrony i interesu osoby, której dane dotyczą, zachodzi zasadność ich
przetwarzania ale tylko w określonym zakresie ograniczonym okolicznościami, które były
bezpośrednią przyczyną zablokowania, czyli przetwarzanie zablokowanych danych
osobowych może odbywać się tylko dla dobra i w interesie osoby, której dane dotyczą.
W odniesieniu do art. 18 ust. 2 decyzji ramowej 977 w art. 20 ust. 4 projektu ustawy
został wprowadzony przepis umożliwiający podmiotom uprawnionym wstawianie
odnośników, w przypadku gdy osoba, której dane dotyczą, kwestionuje poprawność (decyzja
ramowa posługuje się terminem „ścisłość”) swoich danych, a kwestii poprawności
(dokładności) tych danych nie można w danym momencie rozstrzygnąć (m.in. z powodu
braku stosownych informacji lub możliwości ustalenia prawidłowości tych danych).
Wstawienie odnośnika nie ma na celu ograniczenia przetwarzania danych, z tym że
oznaczenie przetwarzanych danych odnośnikiem wskazuje, iż zachodzą wątpliwości co do
poprawności (dokładności) tych danych.
Art. 22 projektu ustawy określa odwrotną sytuację do uregulowanej w art. 12 ust. 2
i nakładają na podmioty uprawnione obowiązek respektowania ograniczeń w przetwarzaniu
danych osobowych, które to ograniczenia wskazane zostały przez organ ścigania państwa
członkowskiego Unii Europejskiej przy ich przekazaniu lub udostępnieniu. Przepis odnosi się
do art. 12 decyzji ramowej 977.
W art. 23 projektu ustawy uregulowane zostały zasady dokumentowania
i
odnotowywania przekazywanych lub udostępnianych danych osobowych. Podmiot
uprawniony, który przekazał lub udostępnił dane osobowe odbiorcy informacji albo otrzymał
takie dane od organu ścigania państwa członkowskiego Unii Europejskiej ma obowiązek
odnotowania lub udokumentowania faktu takiego przekazania, udostępnienia lub otrzymania.
Odnotowanie lub dokumentowanie ma na celu umożliwienie przeprowadzenia weryfikacji
legalności przetwarzanych danych, ich integralności oraz zapewnienie bezpieczeństwa
przetwarzanym danym osobowym (art. 23 ust. 1).

19
Do dokumentowania lub odnotowywania przekazywanych lub udostępnianych danych
zastosowanie będą miały przepisy dotyczące przetwarzania danych w zbiorach danych
administrowanych przez dany podmiot uprawniony – tzn. iż w przypadku przekazania danych
osobowych organowi ścigania państwa członkowskiego Unii Europejskiej przez Policję fakt
takiego przekazania będzie udokumentowany, w sposób określony w przepisach właściwych
dla Policji (art. 23 ust. 2). Obowiązek odnotowania lub dokumentacji faktu przekazania,
udostępnienia lub otrzymania danych osobowych został nałożony również na punkt
kontaktowy, w każdym przypadku przekazania, udostępnienia lub otrzymania informacji
przez ten punkt (art. 23 ust. 3). Projektowane przepisy art. 23 dotyczą kwestii uregulowanych
w art. 10 decyzji ramowej 977.
Na poziomie Unii Europejskiej dostrzega się istnienie wzajemnej zależności podmiotów
publicznych i prywatnych w określonych dziedzinach należących do sfery publicznej
działalności państwa, w tym związanych z zapewnieniem bezpieczeństwa i porządku
publicznego. Istnienie wzajemnej zależności oraz przenikania sfery publicznej z prywatną
w realizowaniu wspólnych celów na rzecz państwa wymaga przyjęcia również odpowiednich,
spójnych i jednoznacznych zasad odnoszących się do przetwarzania danych osobowych, jak
również zasad ochrony tych danych.
Unormowania prawne odnoszące się do przedstawionego powyżej zakresu
przetwarzania danych osobowych oraz ich ochrony zostały określone w art. 24 ust. 2 projektu
ustawy. Przepis stanowi, iż dane osobowe uzyskane w wyniku wymiany z organami ścigania
państw członkowskich Unii Europejskiej mogą być przetwarzane przez inne podmioty lub
osoby fizyczne tylko w przypadku spełnienia łącznie następujących warunków:
1) organ, który przekazał dane osobowe wyraził zgodę na takie przetwarzanie;
2) przetwarzanie danych osobowych nie narusza praw i wolności osoby, której
dane dotyczą, oraz odbywa się w uzasadnionym interesie tej osoby;
3) przetwarzanie danych osobowych jest niezbędne w celu wykrywania i ścigania
sprawców przestępstw oraz zapobiegania przestępczości i jej zwalczania lub
w celu zapobieżenia bezpośredniemu, poważnemu zagrożeniu bezpieczeństwa
lub porządku publicznego albo w realizacji innych ustawowych zadań
podmiotów uprawnionych.

20