Przetwarzanie danych małoletnich przez Europol – raport Komitetu Skoordynowanego Nadzoru

Komitet Skoordynowanego Nadzoru (CSC) przedstawił raport dotyczący przetwarzania przez Europol danych osobowych małoletnich poniżej 15. roku życia, zakwalifikowanych jako „podejrzani” lub „potencjalni przyszli sprawcy”. Raport stanowi efekt skoordynowanych działań nadzorczych prowadzonych przez europejskie organy ochrony danych i koncentruje się na zgodności przetwarzania takich danych z wymogami konieczności i proporcjonalności wynikającymi z prawa UE.

Przetwarzanie przez Europol danych osobowych osób poniżej 18. roku życia, w szczególności osób, które nie ukończyły 15 lat, podlega ścisłym wymogom prawnym. Dane takie mogą być przetwarzane wyłącznie wtedy, gdy jest to absolutnie niezbędne i proporcjonalne.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/794 z 11 maja 2016 r. w sprawie Europolu dopuszcza przetwarzanie danych osobowych małoletnich poniżej 18. roku życia jedynie w zakresie niezbędnym do zapobiegania lub zwalczania poważnej przestępczości, takiej jak m.in. terroryzm, handel ludźmi, handel narkotykami czy przestępczość zorganizowana o charakterze transgranicznym.

Decyzję o przekazaniu danych osobowych do systemów Europolu podejmują właściwe organy krajowe. To na nich spoczywa obowiązek oceny, czy przekazanie danych jest zgodne z prawem, konieczne oraz proporcjonalne. Dotyczy to również sytuacji, gdy dane odnoszą się do małoletnich występujących w charakterze ofiar, świadków lub osób podejrzanych. Organy krajowe podlegają w tym zakresie niezależnemu nadzorowi sprawowanemu przez krajowe organy ochrony danych oraz inspektorów ochrony danych.

Dlaczego CSC skupił się na małoletnich poniżej 15. roku życia?

Przepisy dotyczące działalności Europolu nie wyróżniają szczególnych kategorii małoletnich ze względu na wiek ani status procesowy. Komitet Skoordynowanego Nadzoru (CSC) zdecydował jednak o przeprowadzeniu szczegółowego przeglądu przypadków dotyczących osób poniżej 15. roku życia, oznaczonych jako „podejrzani” lub „potencjalni przyszli sprawcy”. Wybór tej grupy wynikał z połączenia dwóch czynników: stygmatyzującego charakteru oznaczenia osoby jako „podejrzanej” oraz faktu, że granica 15 lat często stanowi w państwach członkowskich minimalny wiek odpowiedzialności karnej.

Od 2020 r. Europejski Inspektor Ochrony Danych prowadzi coroczną wymianę informacji z krajowymi organami nadzorczymi dotyczącą liczby małoletnich poniżej 15. roku życia, których dane zostały przekazane Europolowi. W marcu 2023 r. CSC zdecydował o podjęciu bardziej skoordynowanych działań nadzorczych w tym zakresie.

Dlaczego potrzebny jest skoordynowany nadzór?

Europol pozyskuje dane osobowe zarówno od państw członkowskich UE, jak i od państw trzecich oraz organizacji międzynarodowych, takich jak Interpol. W przypadku danych przekazywanych przez państwa członkowskie odpowiedzialność za zgodność przekazania z prawem oraz za jakość danych spoczywa na właściwych organach krajowych. Ich działania podlegają kontroli niezależnych organów nadzorczych. Jeżeli dane pochodzą spoza UE, odpowiedzialność za zgodność przetwarzania z prawem Unii spoczywa bezpośrednio na Europolu, a nadzór sprawuje Europejski Inspektor Ochrony Danych. CSC podkreśla, że współpraca organów nadzorczych państw członkowskich pozwala nie tylko porównywać praktyki stosowane w poszczególnych krajach, lecz także identyfikować problemy systemowe oraz wypracowywać wspólne standardy ochrony danych.

Zakres przeprowadzonego przeglądu

Działania CSC opierały się na danych pochodzących z systemów Europolu, przekazanych członkom Komitetu w styczniu 2023 r. Analizie poddano dane dotyczące osób, które w chwili przekazania informacji do Europolu miały mniej niż 15 lat i zostały oznaczone jako „podejrzani” lub „potencjalni przyszli sprawcy”. Członkowie CSC oceniali, czy w konkretnych przypadkach przekazanie danych osobowych małoletnich do Europolu było konieczne i proporcjonalne, z uwzględnieniem okoliczności istniejących w momencie ich przekazania.

Główne ustalenia i zalecenia

CSC zwrócił uwagę na kilka szczególnie istotnych problemów.

• Instrumentalizacja małoletnich

Organy nadzorcze odnotowały przypadki wykorzystywania osób poniżej 15. roku życia do popełniania przestępstw ze względu na ograniczoną lub wyłączoną odpowiedzialność karną wynikającą z wieku. Dane takich osób były następnie przekazywane do Europolu jako dane osób podejrzanych o poważne przestępstwa lub udział w przestępczości zorganizowanej. CSC wskazał, że dane te bywają przetwarzane przez długi czas, nawet po zakończeniu krajowych postępowań, co może prowadzić do utrwalania statusu małoletniego jako osoby podejrzanej na poziomie unijnym.

• Kategoryzacja małoletnich

W części przypadków małoletni byli oznaczani jako „podejrzani”, mimo że ich udział w zdarzeniu miał charakter marginalny, np. ograniczał się do towarzyszenia głównym podejrzanym lub dotyczył drobnych przestępstw. CSC wskazał, że w takich sytuacjach należałoby rozważyć stosowanie mniej stygmatyzujących kategorii, takich jak „kontakt” lub „osoba powiązana”, co pozwoliłoby zachować wartość operacyjną danych przy jednoczesnym ograniczeniu negatywnych konsekwencji dla małoletnich.

• Problemy z prowadzeniem rejestrów

Członkowie CSC zwrócili uwagę na trudności związane z prowadzeniem krajowej dokumentacji dotyczącej danych przekazywanych do Europolu. W wielu przypadkach brakowało historycznych zapisów pozwalających ustalić, jakie dane zostały przekazane, m.in. z powodu ograniczeń okresów przechowywania danych w systemie SIENA. Brak odpowiednich rejestrów utrudnia krajowym organom nadzorczym skuteczne prowadzenie kontroli oraz weryfikację zgodności przekazywania danych z prawem.

• Dokładność danych

W toku działań nadzorczych stwierdzono również przypadki przekazywania danych osób błędnie oznaczonych jako małoletnie, np. w wyniku podania nieprawidłowej daty urodzenia. CSC przypomniał, że zarówno państwa członkowskie, jak i Europol są zobowiązane do zapewnienia prawidłowości danych oraz ich niezwłocznego korygowania w przypadku wykrycia nieścisłości.

• Dokumentowanie decyzji o przetwarzaniu danych

Komitet wskazał także na potrzebę dokładniejszego dokumentowania decyzji dotyczących przetwarzania danych małoletnich, w szczególności w zakresie oceny konieczności i proporcjonalności takiego przetwarzania.

Działania następcze

CSC podkreśla, że przetwarzanie danych małoletnich jako podejrzanych będzie wymagało stałej uwagi ze strony właściwych organów w celu zapewnienia długoterminowego przestrzegania przepisów oraz że w przyszłości mogą zostać podjęte dalsze działania. Omawiany raport Komitetu Skoordynowanego Nadzoru (CSC) opiera się na ustaleniach członków CSC, którzy podjęli działania następcze w związku z przekazanymi im danymi. Należy mieć na uwadze, że w raporcie nie przedstawiono całościowego obrazu wszystkich małoletnich przetwarzanych w Europolu.

Raport CSC dostępny jest na stronie: https://www.edpb.europa.eu/our-work-tools/our-documents/csc-documents/coordinated-supervisory-action-minors-under-15-years-old_en