Opinia Europejskiego Inspektora Ochrony Danych z 11 sierpnia 2026 r. dotyczy projektu nowego rozporządzenia w sprawie Europolu; pełna treść opinii w bazie Judykatura pozwala prześledzić wszystkie zalecenia organu. EIOD popiera wzmocnienie roli Europolu, ale wskazuje, że projekt wymaga znacznie precyzyjniejszych gwarancji ochrony danych, zwłaszcza wobec osób niepowiązanych z ustaloną działalnością przestępczą.

Dokument omawiany w tym wpisie został wydany po angielsku. W Judykaturze czytają go Państwo w pełnym polskim tłumaczeniu — nie w streszczeniu i nie w oryginale.

Ten wpis udostępniamy w całości bezpłatnie. Zapisz się do newslettera — przed 1 września 2026 r. wyślemy w nim subskrybentom kod z 10% rabatem na pierwszy zakup dostępu.

Najważniejsza część opinii dotyczy projektowanego rozszerzenia możliwości przetwarzania przez Europol danych osób, które nie zostały skategoryzowane jako pozostające w związku z dochodzeniem karnym. EIOD ocenia to jako bardzo poważną ingerencję w prawo do ochrony danych osobowych. Projekt mógłby bowiem pozwolić na przetwarzanie dużych, nieustrukturyzowanych zbiorów danych, także pozyskanych od podmiotów prywatnych lub z internetu, przez długi i nieokreślony okres.

Dlaczego kategoryzacja ma znaczenie?

Według EIOD obecne rozwiązania traktują przetwarzanie danych osób nieobjętych kategoriami z załącznika II do rozporządzenia o Europolu jako wyjątek, związany z ograniczonym celem i czasem. Projekt zmieniałby tę konstrukcję, włączając takie przetwarzanie do zwykłej działalności Europolu.

Organ wskazuje, że projekt nie określa dostatecznie jasno, kiedy przetwarzanie ma być istotne i konieczne, ani nie ustanawia maksymalnych okresów przechowywania nieskategoryzowanych danych. To właśnie brak ograniczeń co do celu, zakresu danych i czasu ich przetwarzania prowadzi EIOD do poważnych wątpliwości dotyczących konieczności i proporcjonalności projektowanego rozwiązania.

EIOD rekomenduje zatem ścisłe ograniczenie dopuszczalnych celów przetwarzania, co do zasady do konkretnego trwającego postępowania przygotowawczego. Zaleca także ustawowe albo wykonawcze zdefiniowanie kryteriów istotności i konieczności oraz określenie jasnych maksymalnych terminów przetwarzania.

Biometria nie może działać automatycznie

Opinia sprzeciwia się również rozwiązaniu, które mogłoby pozwalać na systematyczne przeszukiwanie środowiska analitycznego Europolu przy użyciu danych biometrycznych służących jednoznacznej identyfikacji osoby.

EIOD odwołuje się do przywołanego w opinii wyroku TSUE w sprawie Comdribus i wskazuje, że konieczność użycia takich danych musi być badana indywidualnie. Projekt powinien więc wprowadzić obowiązkową ocenę, w konkretnym przypadku, zarówno ścisłej niezbędności, jak i proporcjonalności przeszukania. Nie wystarcza samo przypisanie danej operacji do zadań Europolu.

Kto odpowiada za wspólne operacje?

Projekt przewiduje nowe formy współpracy Europolu z państwami członkowskimi, w tym wspólne sprawy analityczno-operacyjne i narzędzia udostępniane organom krajowym. EIOD zauważa jednak, że nie przypisuje on w sposób spójny ról ochrony danych poszczególnym uczestnikom tych operacji.

To zagadnienie ma bezpośrednie znaczenie dla możliwości wykonywania praw przez osoby, których dane dotyczą, oraz dla skuteczności nadzoru. EIOD rekomenduje kompleksowe określenie odpowiedzialności Europolu i państw członkowskich, a jeżeli nie nastąpi to w samym rozporządzeniu — ustanowienie podstawy do ich doprecyzowania w aktach wykonawczych.

Nadzór, bezpieczeństwo i ścieżka audytu

Opinia obejmuje także dostęp innych organów do systemów Europolu, przetwarzanie danych otrzymanych bezpośrednio od podmiotów prywatnych, zawiadamianie o naruszeniach danych, usługi chmurowe oraz kanały komunikacji z systemem ETIAS.

EIOD postuluje między innymi publicznie dostępny wykaz organów mających dostęp do systemów Europolu, szczegółowe zasady korzystania z systemu trafienia/braku trafienia oraz jednoznaczne role uczestników operacji przetwarzania. W odniesieniu do ETIAS podkreśla potrzebę zapewnienia możliwości śledzenia i rozliczalności każdej operacji przetwarzania i każdej decyzji.

Wymiar opinii jest legislacyjny, a nie rozstrzygający w indywidualnej sprawie. EIOD nie stwierdza naruszenia przez Europol, lecz formułuje warunki, które prawodawca powinien uwzględnić, aby rozszerzenie mandatu Agencji nie prowadziło do nieograniczonego przetwarzania danych osób bez ustalonego związku z przestępczością.

Niniejsze opracowanie powstało częściowo z wykorzystaniem modelu sztucznej inteligencji ogólnego przeznaczenia i mimo dołożonej staranności może zawierać błędy. Przekazane informacje nie stanowią porady prawnej — przedstawiają wyłącznie pogląd Autora.