Prezes Urzędu Ochrony Danych Osobowych domaga się zmiany przepisów dotyczących pobierania i przechowywania odcisków palców oraz danych genetycznych funkcjonariuszy i pracowników Policji. Obecnie informacje te mogą być przechowywane nawet przez pięć lat od zakończenia służby lub zatrudnienia. Zdaniem organu nadzorczego taki model nie zapewnia pełnej zgodności z zasadami ochrony prywatności, Konstytucją RP oraz standardami wynikającymi z orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej.
Prezes UODO Mirosław Wróblewski zwrócił się do ministra spraw wewnętrznych i administracji Marcina Kierwińskiego o rozpoczęcie prac legislacyjnych. Chodzi o przepisy regulujące pobieranie od funkcjonariuszy i pracowników Policji odcisków linii papilarnych oraz wymazów ze śluzówki policzków.
Dane pomagają wyeliminować ślady funkcjonariuszy
Dane biometryczne i genetyczne policjantów oraz pracowników cywilnych są pobierane przede wszystkim po to, aby odróżnić pozostawione przez nich ślady od materiału zabezpieczonego podczas czynności prowadzonych na miejscu przestępstwa.
Dotyczy to osób uczestniczących w ujawnianiu, zabezpieczaniu i badaniu śladów związanych z podejrzeniem popełnienia czynu zabronionego. Zebrane wcześniej odciski palców lub profile DNA pozwalają stwierdzić, czy ślad pochodzi od osoby związanej z prowadzonym postępowaniem, czy na przykład od technika kryminalistyki, który pracował na miejscu zdarzenia.
UODO nie kwestionuje samej ustawowej podstawy pobierania takich danych. Zastrzeżenia dotyczą przede wszystkim szczegółowych zasad ich przetwarzania, okresu przechowywania oraz poziomu aktu prawnego, w którym uregulowano część tych zagadnień.
Przetwarzanie danych w celu eliminowania śladów pozostawionych przez funkcjonariuszy podczas czynności operacyjnych i procesowych podlega co do zasady przepisom dyrektywy policyjnej 2016/680. Reguluje ona wykorzystywanie danych osobowych przez właściwe organy w związku z zapobieganiem przestępczości, jej wykrywaniem i ściganiem. Jeżeli natomiast te same informacje są przetwarzane w celach administracyjnych lub kadrowych, zastosowanie znajdują przepisy RODO.
UODO wskazuje na problem konstytucyjny
Jedno z najważniejszych zastrzeżeń Prezesa UODO dotyczy sposobu uregulowania zasad przetwarzania danych. Samo uprawnienie do pobierania odcisków palców i wymazów ma podstawę ustawową, jednak część kwestii ingerujących w prawo do prywatności określono w rozporządzeniu.
W ocenie Mirosława Wróblewskiego akt wykonawczy nie powinien modyfikować norm wynikających z ustawy. Takie rozwiązanie może naruszać konstytucyjną hierarchię źródeł prawa, zwłaszcza że przetwarzanie danych genetycznych i biometrycznych stanowi poważną ingerencję w prawa i wolności człowieka.
UODO postuluje więc, aby podstawowe przesłanki pobierania, wykorzystywania i przechowywania tych informacji zostały jednoznacznie określone bezpośrednio w ustawie.
Pięcioletni okres może być zbyt długi
Zgodnie z obecnymi regulacjami dane biometryczne i genetyczne funkcjonariusza lub pracownika Policji powinny zostać usunięte nie później niż po upływie pięciu lat od dnia ustania jego stosunku służbowego albo stosunku pracy.
Wprowadzenie maksymalnego okresu przechowywania częściowo realizuje standardy wynikające z prawa unijnego. Przepisy nie pozwalają bowiem na bezterminowe gromadzenie informacji i przewidują możliwość sprawdzania ich dalszej przydatności.
Zdaniem Prezesa UODO samo ustanowienie pięcioletniego terminu nie rozwiązuje jednak wszystkich problemów. Dane mogą być w praktyce przechowywane przez wiele lat, mimo że już wcześniej przestały być potrzebne do realizacji celu, dla którego zostały pobrane.
Dotyczy to na przykład osoby, która po zakończeniu służby nie uczestniczy już w czynnościach związanych z zabezpieczaniem lub badaniem śladów. W takiej sytuacji konieczne byłoby ustalenie, czy dalsze przechowywanie jej danych rzeczywiście pozostaje niezbędne.
Zasada minimalizacji danych wymaga, aby zbierać wyłącznie informacje adekwatne i konieczne do realizacji konkretnego celu. Z kolei zasada ograniczenia przechowywania oznacza, że dane nie powinny być przechowywane dłużej, niż jest to potrzebne. Ograniczanie czasu retencji zmniejsza również ryzyko wycieku informacji oraz innych incydentów, których skutki w przypadku danych genetycznych lub biometrycznych mogą być nieodwracalne.
TSUE wymaga wykazania „bezwzględnej niezbędności”
Prezes UODO odwołuje się do najnowszego orzecznictwa Trybunału Sprawiedliwości UE. W wyroku z 19 marca 2026 roku w sprawie C-371/24 Comdribus Trybunał podkreślił, że przetwarzanie szczególnych kategorii danych, w tym danych biometrycznych, wymaga wykazania jego bezwzględnej niezbędności.
Oznacza to, że samo ogólne wskazanie celu związanego z bezpieczeństwem lub zwalczaniem przestępczości nie jest wystarczające. Organ powinien określić konkretny i prawnie uzasadniony cel, a następnie sprawdzić, czy można go osiągnąć w równie skuteczny sposób bez wykorzystywania tak wrażliwych informacji. Zakres pobieranych danych musi być ograniczony do niezbędnego minimum.
Z kolei w wyroku z 20 listopada 2025 roku w sprawie C-57/23 JH przeciwko Policejní prezidium TSUE stwierdził, że brak jednego, maksymalnego okresu przechowywania danych biometrycznych i genetycznych nie musi automatycznie naruszać dyrektywy policyjnej. Warunkiem jest jednak ustanowienie odpowiednich terminów okresowego przeglądu oraz każdorazowe badanie, czy dalsze przechowywanie danych pozostaje bezwzględnie konieczne.
Podobne stanowisko wynika z wyroku w sprawie C-118/22. Trybunał uznał, że ogólne i niezróżnicowane przechowywanie danych biometrycznych i genetycznych bez odpowiedniej kontroli jest niezgodne z prawem Unii. Państwa powinny ustanowić terminy ich usuwania albo mechanizmy regularnej oceny, czy dalsze przetwarzanie jest nadal potrzebne.
Jakich zmian oczekuje UODO?
Urząd Ochrony Danych Osobowych postuluje przede wszystkim przeniesienie najważniejszych zasad przetwarzania danych biometrycznych i genetycznych funkcjonariuszy oraz pracowników Policji do ustawy.
Przepisy powinny precyzyjnie wskazywać cele, zakres i przesłanki przetwarzania, a także określać, w jakich sytuacjach dane mogą być dalej przechowywane po zakończeniu służby lub zatrudnienia.
UODO oczekuje również wprowadzenia mechanizmu rzeczywistej, okresowej kontroli. Administrator powinien oceniać, czy w konkretnym przypadku dalsze przechowywanie odcisków palców lub profilu DNA nadal jest niezbędne. Jeżeli cel przetwarzania został już osiągnięty, dane powinny zostać usunięte bez oczekiwania na upływ maksymalnego pięcioletniego terminu.
Zdaniem organu nadzorczego obecny model nie gwarantuje pełnej zgodności z zasadami minimalizacji, ograniczenia przechowywania oraz bezwzględnej niezbędności. Ewentualna nowelizacja nie musiałaby oznaczać rezygnacji z pobierania danych od funkcjonariuszy. Jej celem byłoby dokładniejsze określenie, kiedy takie działanie jest uzasadnione oraz jak długo najbardziej wrażliwe informacje mogą pozostawać w policyjnych zbiorach.
