Opinia belgijskiego organu ochrony danych pokazuje, że zgoda wymagana od osoby ubiegającej się o funkcję w sektorze prywatnego dochodzenia nie może zastąpić precyzyjnych ustawowych gwarancji przetwarzania. Pełna treść opinii w bazie Judykatura dotyczy projektu procedury badania warunków bezpieczeństwa, która może obejmować informacje policyjne, dane służb wywiadowczych i bezpieczeństwa oraz dane o wykonywaniu zawodu.

Ten wpis udostępniamy w całości bezpłatnie. Zapisz się do newslettera — przed 1 września 2026 r. wyślemy w nim subskrybentom kod z 10% rabatem na pierwszy zakup dostępu.

Gegevensbeschermingsautoriteit (GBA), belgijski organ ochrony danych, ocenił projekt rozporządzenia królewskiego wykonującego ustawę o prywatnym dochodzeniu. Organ nie zakwestionował potrzeby podwyższonych standardów bezpieczeństwa dla osób wykonujących funkcje w tym sektorze. Uznał jednak, że projekt i ustawa nie określają dostatecznie jasno, kiedy i według jakich kryteriów można rozpocząć wstępne sprawdzenie oraz właściwe badanie.

Czego dotyczyła sprawa?

Projekt regulował procedurę uzyskania uprzedniej zgody na badanie warunków bezpieczeństwa, wstępne zapytania składane przez przedsiębiorstwa, służby wewnętrzne i instytucje szkoleniowe, prowadzenie badania oraz procedurę odmowy albo cofnięcia prawa do wykonywania funkcji w sektorze prywatnego dochodzenia.

Badanie może mieć istotne skutki dla dostępu do zawodu lub jego utrzymania. Może też opierać się na danych szczególnie wrażliwych z perspektywy ingerencji w prywatność: informacjach policyjnych, danych służb wywiadowczych i bezpieczeństwa oraz danych o czynach zabronionych.

Czy zgoda stanowi podstawę przetwarzania?

GBA wyraźnie rozdzielił proceduralną rolę zgody od podstawy legalizującej przetwarzanie. Osoba może odmówić zgody na badanie, lecz zgodnie z ustawą jest wtedy uznawana za niespełniającą warunków bezpieczeństwa. Zgoda nie jest więc podstawą z art. 6 ust. 1 lit. a RODO.

Organ wskazał: „Zgoda powinna zatem być uznawana za nałożony ustawą warunek proceduralny przeprowadzenia badania, podczas gdy podstawa prawna samych operacji przetwarzania wynika z obowiązków ustawowych i zadań realizowanych w interesie publicznym powierzonych właściwym organom” (tłum. red.).

Jednocześnie osoba, której dane dotyczą, powinna otrzymać uprzednią, dokładną i zrozumiałą informację o zakresie badania, danych, instytucjach i możliwościach badawczych, które mogą zostać wykorzystane.

Kiedy można wszcząć badanie?

To centralny problem opinii. Ustawa przewiduje, że właściwy urzędnik występuje o badanie dopiero po stwierdzeniu, że dana osoba jest znana z faktów lub zachowań mogących stanowić przeciwwskazanie dla wymaganego profilu. Nie wyjaśnia jednak, czy wstępne sprawdzenie dotyczy wszystkich osób, czy tylko wybranych, jakie obiektywne okoliczności je uzasadniają, jak często można je ponawiać ani jaki próg informacji pozwala rozpocząć właściwe badanie.

Projekt posługuje się przy tym formułą, według której urzędnik może wszcząć badanie „w każdym momencie”. Zdaniem GBA może to tworzyć wrażenie szerszego uznania administracyjnego, niż wynika z ustawy.

Organ podkreślił: „Przy braku jednolitych i obiektywnych kryteriów selekcji istnieje rzeczywiste ryzyko zróżnicowanego, selektywnego lub pośrednio dyskryminującego stosowania” (tłum. red.). Z tego względu zasadnicze warunki wszczęcia obu etapów powinny zostać określone w ustawie: zakres systematyczności sprawdzeń, obiektywne i niedyskryminujące przesłanki, kategorie źródeł i danych, próg uruchomienia badania oraz sposób uzasadnienia i udokumentowania decyzji.

Co z ostrzeżeniem po pozytywnym wyniku?

Projekt dopuszczał, aby pozytywna decyzja zawierała indywidualne ostrzeżenie dotyczące elementów niewystarczających do wydania decyzji negatywnej, ale możliwych do ponownego uwzględnienia po pojawieniu się nowych informacji. GBA uznał, że takie rozwiązanie wymaga wyraźnej podstawy ustawowej albo usunięcia przepisu projektowanego.

Nie chodzi wyłącznie o treść ostrzeżenia. Mechanizm zakłada zachowanie danych, które nie wystarczyły do negatywnej oceny, oraz ich przyszłe wykorzystanie. Ustawa powinna zatem określać kategorie takich danych, okres ich przechowywania, warunki ponownego użycia i skutki prawne ostrzeżenia.

Jak chronić dane osób trzecich i prawa osoby badanej?

Raporty z badania mogą zawierać dane członków rodziny, kontaktów zawodowych, ofiar, świadków, podejrzanych, informatorów i innych osób wskazanych w danych policyjnych lub wywiadowczych. Organ zaakcentował konieczność ograniczenia tych danych do informacji ściśle koniecznych dla oceny konkretnej możliwej przesłanki negatywnej.

Równie istotna jest krytyka bezterminowego ograniczenia praw osoby, której dane dotyczą. GBA przypomniał, że ograniczenia muszą odpowiadać wymogom konieczności i proporcjonalności. Wyłączenia dostępu do informacji lub akt nie mogą działać automatycznie wobec całych kategorii dokumentów. Organ wskazał, że „sama kategoria chronionych informacji nie wystarcza do wyłączenia z dostępu całego dokumentu lub akt, gdy możliwy jest częściowy dostęp, zasłonięcie informacji lub streszczenie” (tłum. red.).

Bezpieczeństwo kanału i ocena skutków

Projekt przewidywał przesyłanie wstępnego zapytania zwykłą wiadomością elektroniczną. Formularz zawiera jednak między innymi krajowy numer identyfikacyjny lub numer zastępczy i dotyczy możliwości przeprowadzenia badania warunków bezpieczeństwa. GBA oczekuje zastosowania bezpiecznego i uwierzytelnionego kanału, z szyfrowaniem, kontrolą dostępu i rejestrowaniem operacji.

Organ wskazał również na potrzebę ustalenia przed uruchomieniem systemu, czy konieczne jest przeprowadzenie oceny skutków dla ochrony danych. Wniosek ten wynika z systematycznej oceny aspektów osobistych, łączenia danych z policyjnych, administracyjnych i wywiadowczych źródeł, przetwarzania danych o czynach zabronionych oraz możliwego wpływu na wykonywanie zawodu.

Najważniejsza konkluzja opinii jest szersza niż technika prowadzenia screeningu. Jeżeli państwo tworzy mechanizm selekcji zawodowej oparty na tak daleko ingerujących źródłach danych, zasadnicze warunki uruchomienia mechanizmu muszą wynikać z ustawy, a nie z niedookreślonej praktyki wykonawczej.

Niniejsze opracowanie powstało częściowo z wykorzystaniem modelu sztucznej inteligencji ogólnego przeznaczenia i mimo dołożonej staranności może zawierać błędy. Przekazane informacje nie stanowią porady prawnej — przedstawiają wyłącznie pogląd Autora.