Policja będzie przetwarzała dane bez ograniczeń? UODO alarmuje

W wakacje 2027 roku w Polsce odbędzie się XXVI Światowe Jamboree Skautowe. Przygotowania do tego wydarzenia obejmują również sferę legislacyjną. Pod koniec lutego na stronach Rządowego Centrum Legislacyjnego pojawił się projekt ustawy o szczególnych rozwiązaniach związanych z jego organizacją. Dokument przygotowało Ministerstwo Spraw Wewnętrznych i Administracji.

Przepisy o charakterze epizodycznym... z wyjątkiem jednego

Swoje uwagi do projektu zgłosili m.in. wojewodowie, a także Prezes Urzędu Ochrony Danych Osobowych, Mirosław Wróblewski. Okazuje się, że wśród zapisów ustawy znajdują się artykuły wzbudzające poważne wątpliwości. Jednym z nich jest art. 19, który nowelizuje ustawę o działaniach antyterrorystycznych.

Według dokumentu, wspomniana nowelizacja wprowadza instytucję prawną sprawdzenia uczestników wydarzenia specjalnego, tzw. police screeningu. Jak jednak zwraca uwagę Prezes UODO, w odróżnieniu od innych zapisów ustawy, ten konkretny przepis jest wprowadzany na stałe.

W swoim piśmie szef Urzędu zwraca uwagę, że instytucja police screeningu budzi fundamentalne wątpliwości z punktu widzenia praw i wolności uczestników lub współpracowników wydarzenia specjalnego, których dane będą przetwarzane przez Policję bądź Agencję Bezpieczeństwa Wewnętrznego.

Czynność ta może odbyć się na wniosek przedstawiciela organizatora (również podmiotu prywatnego), zaś sprawdzenie dokonywane jest w zbiorach danych służb.

Rodzi to pytanie co do dopuszczalności konstrukcji prawnej, w ramach której Policja (i ewentualnie Agencja Bezpieczeństwa Wewnętrznego) mają dokonywać operacji na danych osobowych zgromadzonych w – ze swojej natury – niejawnych zbiorach danych na zlecenie podmiotu z sektora prywatnego. W opinii organu właściwego w sprawie ochrony danych osobowych takie przetwarzanie danych osobowych nie spełnia wymogu adekwatności z art. 4 ust. 1 lit. c) dyrektywy 2016/680 i art. 31 ust. 1 pkt 3 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.
Pismo Prezesa UODO ws. projektu ustawy o szczególnych rozwiązaniach związanych z organizacją XXVI Światowego Jamboree Skautowego w Polsce w 2027 r.

Bierzesz udział w wydarzeniu specjalnym? Nie masz praw z RODO

Nie jest to jednak koniec problemów. Wprowadzane przepisy dotyczące sposobu przetwarzania przewidują, że biorąca udział w wydarzeniu specjalnym osoba objęta sprawdzeniem jest pozbawiona jakichkolwiek praw wynikających z unormowań o ochronie danych osobowych:

• osoba nie otrzymuje informacji o złożeniu wniosku o sprawdzenie,
• osoba nie ma dostępu do zbiorów danych, w oparciu o które odbywa się sprawdzenie,
• osoba nie wie, że takowe zbiory zawierające jej dane osobowe istnieją,
• osoba nie otrzymuje informacji o sporządzeniu opinii Policji, która jest dostarczana wyłącznie organizatorowi, i nie może jej zaskarżyć.

Organ nadzorczy stoi na stanowisku, że projektowane przepisy ustawy o działaniach antyterrorystycznych dotyczące instytucji prawnej sprawdzenia (tzw. police screeningu) są nie do pogodzenia z konstytucyjnymi prawami człowieka i obywatela, jak również ratyfikowanymi przez Rzeczpospolitą Polską międzynarodowymi paktami praw człowieka. Skoro zaś projekt nie zawiera wskazania przesłanek, którymi organizator wydarzenia specjalnego (...) winien kierować się podejmując rozstrzygnięcie o wystąpieniu za pośrednictwem swojego upoważnionego przedstawiciela do Policji z wnioskiem o sprawdzenie z art. 26m ust. 1 i 2 ustawy o działaniach antyterrorystycznych, to istnieje realne niebezpieczeństwo, że będą one stosowane arbitralnie.
Pismo Prezesa UODO ws. projektu ustawy o szczególnych rozwiązaniach związanych z organizacją XXVI Światowego Jamboree Skautowego w Polsce w 2027 r.

Policja będzie mogła przetwarzać dowolne dane?

Z kolei zawarte w art. 26l ust. 1 ustawy o działaniach antyterrorystycznych uprawnienia do przetwarzania danych osobowych, które ma otrzymać Policja, zdaniem Prezesa UODO są zbyt szerokie. Służby nie będą ograniczone zakresem oraz charakterem danych, które będą mogły przetwarzać, jak również obostrzeniami zawartymi m.in. w ustawie o Policji.

Jedyny przepis wyznaczający granice przetwarzania dotyczy okresu niezbędnego do realizacji zadań wynikających z ustawy o działaniach terrorystycznych. Wynosi on maksymalnie 90 dni od zakończenia wydarzenia specjalnego.

„Projektowany art. 26l ust. 1 ustawy o działaniach terrorystycznych (…) narusza dyrektywę 2016/680 i ustawę o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości. Ze względu na swój niedookreślony zakres godzi też w prawa osób, przetwarzanie danych osobowych których to osób przewiduje” – czytamy w piśmie Wróblewskiego do resortu.