KOMISJA EUROPEJSKA Bruksela, dnia 25.7.2022 COM(2022) 364 final KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO I RADY Pierwsze sprawozdanie dotyczące stosowania i funkcjonowania dyrektywy (UE) 2016/680 o ochronie danych w sprawach karnych











KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO I RADY Pierwsze sprawozdanie dotyczące stosowania i funkcjonowania dyrektywy (UE) 2016/680 o ochronie danych w sprawach karnych Spis treści 1 Dyrektywa o ochronie danych w sprawach karnych jako główny instrument zapewniający ochronę danych w ramach polityki bezpieczeństwa Unii Europejskiej 1.1 Kluczowy element spójnych unijnych ram ochrony danych 1.2 Znaczący wkład w realizację solidnej polityki bezpieczeństwa w Unii Europejskiej 1.3 Ważne uwagi dotyczące przygotowania sprawozdania 2 Poziom transpozycji jest zadowalający, ale pozostaje szereg nierozwiązanych kwestii 2.1 Zasadniczo dokonano pełnej transpozycji, ale z pewnymi niedociągnięciami w zakresie przepisów szczegółowych 2.2 Priorytety oceny zgodności 2.2.1 Zakres dyrektywy o ochronie danych w sprawach karnych 2.2.2 Zarządzanie organami nadzorującymi ochronę danych oraz ich uprawnienia 2.2.3 Środki zaradcze 2.2.4 Terminy przechowywania i przeglądu 2.2.5 Podstawa prawna przetwarzania danych osobowych, w tym ich szczególnych kategorii 2.2.6 Zautomatyzowane podejmowanie decyzji 2.2.7 Prawa osoby, której dane dotyczą

2.2.8 Niektóre ważne przepisy specyficzne dla dyrektywy o ochronie danych w sprawach karnych 3 Pierwsze wnioski ze stosowania i funkcjonowania dyrektywy o ochronie danych w sprawach karnych 3.1 Skargi oraz pozytywny wpływ na prawa osób, których dane dotyczą 3.2 Zwiększona świadomość w zakresie ochrony danych wśród właściwych organów 3.3 Bezpieczeństwo danych zwiększyło się, choć występują rozbieżności w zakresie powiadomień o naruszeniu ochrony danych 3.4 Nadzór sprawowany przez organy nadzorujące ochronę danych 3.4.1 Zasoby organów nadzorujących ochronę danych 3.4.2 Korzystanie z uprawnień 3.4.3 Kontrola sądowa działania organów nadzorujących ochronę danych 3.4.4 Wytyczne EROD 3.4.5 Wzajemna pomoc 3.5 Elastyczny instrument międzynarodowego przekazywania danych 3.5.1 Decyzje stwierdzające odpowiedni stopień ochrony 3.5.2 Odpowiednie zabezpieczenia 3.5.3 Stosowanie wyjątków 3.5.4 Skuteczna współpraca policyjna i sądowa ponad granicami 4 Dalsze działania



1Dyrektywa o ochronie danych w sprawach karnych jako główny instrument zapewniający ochronę danych w ramach polityki bezpieczeństwa Unii Europejskiej

W niniejszym komunikacie przedstawiono pierwsze sprawozdanie Komisji Europejskiej z oceny i przeglądu dyrektywy (UE) 2016/680 o ochronie danych w sprawach karnych („dyrektywa o ochronie danych w sprawach karnych”) , na podstawie art. 62 ust. 1 tej dyrektywy. W sprawozdaniu przeanalizowano w szczególności stosowanie i funkcjonowanie przepisów dyrektywy o ochronie danych w sprawach karnych dotyczących przekazywania danych osobowych do państw trzecich i organizacji międzynarodowych, zgodnie z wymogiem tej dyrektywy, ale przyjęto w nim również szersze podejście. Jak wynika z niniejszego sprawozdania, dyrektywa o ochronie danych w sprawach karnych stanowi część prawa UE dotyczącego danych osobowych i prawa UE regulującego przetwarzanie danych osobowych do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom („ściganie przestępstw”) . Sprawozdanie zawiera przegląd transpozycji dyrektywy o ochronie danych w sprawach karnych do prawa krajowego państw członkowskich, przedstawia pierwsze wnioski wyciągnięte z jej stosowania i funkcjonowania oraz określa dalsze działania. 1.1Kluczowy element spójnych unijnych ram ochrony danych Dyrektywa o ochronie danych w sprawach karnych jest jednym z trzech filarów unijnych ram gwarantujących prawo podstawowe do ochrony danych osobowych. Pozostałe dwa to ogólne rozporządzenie o ochronie danych („RODO”) i rozporządzenie o ochronie danych przez instytucje i organy Unii . Prawo podstawowe do ochrony danych zapisano w art. 8 Karty praw podstawowych Unii Europejskiej („Karta”) i art. 16 Traktatu o funkcjonowaniu Unii Europejskiej („TFUE”). Dyrektywa o ochronie danych w sprawach karnych weszła w życie 6 maja 2016 r., a państwa członkowskie były zobowiązane do jej transpozycji do prawa krajowego do 6 maja 2018 r. Dyrektywa ta jest pierwszym unijnym aktem ustawodawczym, w którym przyjęto kompleksowe podejście do ochrony danych osobowych przez właściwe organy (tj. organy sądowe, policję i inne organy ścigania, o których mowa w art. 3 pkt 7 dyrektywy) do celów ścigania przestępstw. W porównaniu z decyzją ramową Rady 2008/977/WSiSW, którą dyrektywa o ochronie danych w sprawach karnych uchyliła i zastąpiła, dyrektywa ta stanowi istotny postęp w dążeniu do zapewnienia spójnego stosowania przepisów o ochronie danych w całej UE. Po pierwsze, dyrektywa o ochronie danych w sprawach karnych zawiera kompletny zbiór przepisów dotyczących przetwarzania zarówno na szczeblu transgranicznym, jak i krajowym danych osobowych do celów ścigania przestępstw, a decyzja ramowa Rady obejmowała jedynie transgraniczne przetwarzanie. Po drugie, dyrektywa o ochronie danych w sprawach karnych zawiera kompleksowy i horyzontalny zestaw przepisów, podczas gdy zgodnie z poprzednim podejściem każdy unijny akt sektorowy, który dotyczył przetwarzania danych osobowych w kontekście ścigania przestępstw, podlegał osobnym przepisom o ochronie danych. Ogólne rozporządzenie o ochronie danych, rozporządzenie o ochronie danych przez instytucje i organy Unii oraz dyrektywa o ochronie danych w sprawach karnych są oparte na podobnych koncepcjach i zasadach, co zapewnia spójną wykładnię i spójne stosowanie unijnych przepisów o ochronie danych. We wszystkich tych aktach prawnych zawarto wspólne definicje i określono podobne obowiązki administratorów danych i podmiotów przetwarzających. Dyrektywa o ochronie danych w sprawach karnych dotyczy jednak także w szczególności ryzyka związanego z przetwarzaniem danych osobowych w kontekście ścigania przestępstw. Odpowiednie przepisy obejmują obowiązki (i) rozróżniania poszczególnych kategorii osób, których dane dotyczą, (ii) rozróżniania pomiędzy danymi osobowymi opartymi na faktach a danymi osobowymi opartymi na indywidualnych ocenach, (iii) prowadzenia ewidencji wykorzystania danych osobowych i spełnienia określonych wymogów bezpieczeństwa. Biorąc pod uwagę szczególny charakter współpracy sądowej w sprawach karnych i współpracy policyjnej, uznano za konieczne przyjęcie w tych dziedzinach szczegółowych przepisów dotyczących ochrony danych osobowych i swobodnego przepływu danych osobowych. Wrażliwy charakter obszaru, jakim jest współpraca wymiarów sprawiedliwości w sprawach karnych i współpraca policyjna, jak również złożoność krajowych ram prawnych regulujących ściganie przestępstw, przyczyniły się do uznania dyrektywy za najlepszy instrument osiągnięcia wysokiego poziomu ochrony danych w tej dziedzinie. Dyrektywa pozostawia również państwom członkowskim niezbędną elastyczność we wdrażaniu tych zasad, przepisów i wyjątków na szczeblu krajowym. Komisja opublikowała swoje pierwsze sprawozdanie z wdrażania RODO 24 czerwca 2020 r. Stwierdzono w nim ogólnie, że RODO spełnia swoje cele, w szczególności zapewniając obywatelom solidny zestaw egzekwowalnych praw oraz tworząc nowy unijny system zarządzania i egzekwowania. W sprawozdaniu określono działania, które należy podjąć w celu dalszego ułatwiania stosowania RODO przez wszystkie zainteresowane strony, a także promowania i dalszego rozwoju kultury ochrony danych w UE oraz stanowczego egzekwowania przepisów. Niniejsze sprawozdanie stanowi kontynuację przeglądu przyjętych przez UE aktów prawnych regulujących przetwarzanie danych przez właściwe organy do celów zapobiegania przestępstwom, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar. Celem tego przeglądu była ocena potrzeby dostosowania wspomnianych aktów prawnych do dyrektywy o ochronie danych w sprawach karnych . 24 czerwca 2020 r. Komisja wypełniła ten obowiązek, przyjmując komunikat „Dalsze działania dotyczące dostosowania dotychczasowego dorobku w obszarze trzeciego filaru do przepisów o ochronie danych”. W ramach przeglądu zidentyfikowano 10 aktów prawnych, które należy dostosować do dyrektywy o ochronie danych w sprawach karnych, a także ustalono harmonogram tych działań. Ponadto niniejsze sprawozdanie zostało przygotowane równolegle ze sprawozdaniem Komisji dotyczącym stosowania rozporządzenia o ochronie danych przez instytucje i organy Unii. Ważnym elementem tego ostatniego sprawozdania jest przegląd przepisów rozdziału IX tego rozporządzenia, dotyczących przetwarzania operacyjnych danych osobowych przez organy lub jednostki organizacyjne UE podczas prowadzenia działań wchodzących w zakres współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych („agencje WSiSW”). Wspomniane przepisy opierają się w dużej mierze na dyrektywie o ochronie danych w sprawach karnych. Art. 98 rozporządzenia o ochronie danych przez instytucje i organy Unii zobowiązuje Komisję do dokonania przeglądu aktów prawnych, które regulują przetwarzanie operacyjnych danych osobowych przez agencje WSiSW, i umożliwia jej składanie odpowiednich wniosków ustawodawczych, w szczególności w celu stosowania przepisów rozdziału IX do Europolu i Prokuratury Europejskiej, a także proponowanie wszelkich niezbędnych zmian w tym rozdziale. 1.2Znaczący wkład w realizację solidnej polityki bezpieczeństwa w Unii Europejskiej Komisja niezmiennie podkreśla, że tylko pełne przestrzeganie praw podstawowych zapisanych w Karcie i w prawie wtórnym UE pozwoli budować skuteczną i prawdziwie bezpieczną Unię. Dyrektywa o ochronie danych w sprawach karnych ma kluczowe znaczenie dla polityki bezpieczeństwa UE, ponieważ zapewnia należytą ochronę danych osobowych ofiar, świadków i podejrzanych o popełnienie przestępstwa. Ponadto dzięki harmonizacji przepisów dotyczących ochrony danych osobowych przetwarzanych przez właściwe organy w państwach UE i państwach obszaru Schengen dyrektywa ta przyczynia się do zwiększenia zaufania i bezpieczeństwa wymiany danych między organami na potrzeby ścigania przestępstw, a tym samym ułatwia współpracę transgraniczną w zakresie zwalczania przestępczości i terroryzmu. Dyrektywa o ochronie danych w sprawach karnych odgrywa również kluczową rolę w promowaniu kultury przestrzegania ochrony danych przez właściwe organy. W strategii w zakresie unii bezpieczeństwa podkreślono ponadto, że nowe technologie, takie jak sztuczna inteligencja, mogą znaleźć zastosowanie jako potężne narzędzie do zwalczania przestępczości. Wykorzystanie tego potencjału oznacza również zapewnienie najwyższych standardów przestrzegania praw podstawowych. Prawodawstwo w zakresie ochrony danych, w tym dyrektywa o ochronie danych w sprawach karnych, stanowi podstawę do konstruowania przepisów sektorowych. Na przykład w proponowanym akcie w sprawie sztucznej inteligencji zostaną ustanowione szczegółowe przepisy dotyczące wykorzystania danych osobowych na potrzeby zdalnej identyfikacji biometrycznej w miejscach publicznych do celów ścigania przestępstw. Co więcej, w świecie pełnym wzajemnych powiązań przestępczość (w szczególności cyberprzestępczość oraz inne formy przestępczości wykorzystującej cyberprzestrzeń) coraz częściej ma charakter transgraniczny. Nawet podczas prowadzenia postępowań przygotowawczych w sprawach krajowych właściwe organy w coraz większym stopniu spotykają się sytuacjami o charakterze transgranicznym, ponieważ informacje są przechowywane w formie elektronicznej w kraju trzecim. W tym kontekście zwiększa się potrzeba współpracy międzynarodowej w zakresie postępowań przygotowawczych w sprawach karnych, zarówno ze strony organów państw członkowskich, jak i ze strony organów UE, takich jak Europol czy Eurojust. Tego rodzaju współpraca, w szczególności zbieranie i wymiana elektronicznych materiałów dowodowych, często wiąże się z przekazywaniem danych osobowych. Niezbędne są zatem silne zabezpieczenia dotyczące ochrony danych. Zabezpieczenia tego rodzaju umożliwiają również budowanie zaufania między organami ścigania, zapewniając przy tym szybszą i bardziej skuteczną wymianę informacji oraz przyczyniając się do poprawy pewności prawa, jeżeli informacje są następnie wykorzystywane w postępowaniach karnych. W tym względzie w dyrektywie o ochronie danych w sprawach karnych przewidziano zaktualizowany zestaw narzędzi ułatwiających przekazywanie danych osobowych z UE do państwa trzeciego lub organizacji międzynarodowej (np. Interpolu), przy jednoczesnym zapewnieniu dalszego korzystania z wysokiego poziomu ochrony danych osobowych. Od momentu wejścia w życie dyrektywy o ochronie danych w sprawach karnych Komisja i państwa członkowskie wykorzystały całą gamę przewidzianych w niej narzędzi, potwierdzając w ten sposób, że zastosowane w niej podejście jest wystarczająco wszechstronne i elastyczne, aby umożliwić skuteczną współpracę policyjną i sądową na szczeblu międzynarodowym. 1.3Ważne uwagi dotyczące przygotowania sprawozdania Przygotowując niniejsze sprawozdanie, Komisja zebrała informacje zwrotne i opinie z różnych źródeł oraz poprzez ukierunkowane działania konsultacyjne. Zgodnie z art. 62 dyrektywy o ochronie danych w sprawach karnych Komisja uwzględniła stanowiska i ustalenia Parlamentu Europejskiego, Rady, Europejskiej Rady Ochrony Danych (EROD) oraz krajowych organów nadzorujących ochronę danych. Dodatkowe informacje zwrotne uzyskano dzięki kwestionariuszowi skierowanemu do organizacji społeczeństwa obywatelskiego (za pośrednictwem Agencji Praw Podstawowych Unii Europejskiej) oraz odpowiedziom na publiczne zaproszenie do zgłaszania uwag . Komisja uwzględniła także uwagi grupy ekspertów z państw członkowskich ds. RODO i dyrektywy o ochronie danych w sprawach karnych oraz uwagi niemieckiej prezydencji w Radzie Unii Europejskiej. Wzięła również pod uwagę analizę krajowych środków transpozycji oraz niewielką liczbę skarg, które w tym względzie otrzymała. Chociaż dyrektywa o ochronie danych w sprawach karnych ma zastosowanie do wszystkich państw członkowskich oraz wszystkich krajów należących do strefy Schengen (ponieważ stanowi rozwinięcie dorobku prawnego Schengen ), niniejsze sprawozdanie obejmuje wyłącznie państwa członkowskie UE. Na przygotowanie niniejszego sprawozdania miały wpływ trzy czynniki. Po pierwsze, dwie trzecie państw członkowskich nie wywiązało się z wyznaczonego na maj 2018 r. terminu transpozycji dyrektywy o ochronie danych w sprawach karnych do prawa krajowego. Większość państw członkowskich dokonała jednak transpozycji dyrektywy o ochronie danych w sprawach karnych w 2019 r., po wszczęciu przez Komisję postępowań w sprawie uchybienia zobowiązaniom państwa członkowskiego. Doświadczenie w zakresie jej stosowania jest raczej ograniczone, co podkreślają również EROD i Rada. Po drugie, opracowanie statystyk dotyczących stosowania dyrektywy o ochronie danych w sprawach karnych okazało się trudniejsze niż w przypadku RODO. Niektóre organy nadzorujące ochronę danych nie gromadzą danych statystycznych dotyczących prowadzonych działań nadzorczych odrębnie w odniesieniu do dyrektywy o ochronie danych w sprawach karnych i w odniesieniu do RODO. Dzieje się tak na przykład w odniesieniu do zgłoszeń naruszenia ochrony danych oraz skarg składanych na podstawie dyrektywy o ochronie danych w sprawach karnych, co w niektórych przypadkach utrudnia przeprowadzenie dokładnego przeglądu tych przepisów wynikających z dyrektywy o ochronie danych w sprawach karnych . Po trzecie, należy zwrócić uwagę na to, że orzecznictwo dotyczące stosowania dyrektywy o ochronie danych w sprawach karnych dopiero zaczyna być rozwijane. Przed Trybunałem Sprawiedliwości Unii Europejskiej („TSUE”) toczy się obecnie kilka postępowań dotyczących interpretacji kluczowych zapisów dyrektywy o ochronie danych w sprawach karnych, takich jak prawo dostępu osób, których dane dotyczą, oraz prawo do skutecznego środka prawnego przed sądem. Wyroki w tych postępowaniach zapewnią większą jasność oraz przyczynią się do stworzenia bardziej zharmonizowanego podejścia wśród państw członkowskich.

2Poziom transpozycji jest zadowalający, ale pozostaje szereg nierozwiązanych kwestii Komisja powołała grupę ekspertów z państw członkowskich, aby pomóc państwom członkowskim włączyć przepisy dyrektywy o ochronie danych w sprawach karnych do ich prawa krajowego. Grupa wspomaga prowadzenie dyskusji oraz wymianę doświadczeń między państwami członkowskimi oraz Komisją na temat przepisów o ochronie danych. Posiedzenia grupy odbywały się regularnie w okresie między przyjęciem dyrektywy o ochronie danych w sprawach karnych w 2016 r. a terminem jej transpozycji wyznaczonym na maj 2018 r., a następnie grupa wznowiła swoje prace w 2021 r. Przedstawiony poniżej przegląd transpozycji dotyczy przede wszystkim najważniejszych zidentyfikowanych do tej pory kwestii. Podstawę przeglądu stanowi przede wszystkim wykonana przez Komisję analiza informacji, które przekazały jej państwa członkowskie, powiadamiając Komisję o środkach krajowych wprowadzonych w celu transpozycji dyrektywy o ochronie danych w sprawach karnych do prawa krajowego. Analizę tę uzupełniono o badanie zewnętrzne przeprowadzone przez wykonawcę zewnętrznego. Komisja zorganizowała również dwustronne wymiany uwag z kilkoma państwami członkowskimi. 2.1Zasadniczo dokonano pełnej transpozycji, ale z pewnymi niedociągnięciami w zakresie przepisów szczegółowych W lipcu 2018 r. Komisja wszczęła postępowanie w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko 19 państwom członkowskim, które nie wywiązały się z obowiązku przyjęcia przepisów transponujących dyrektywę o ochronie danych w sprawach karnych przed upływem terminu wyznaczonego na maj 2018 r. oraz należytego powiadomienia Komisji o jej transpozycji. W lipcu 2019 r. wszczęte zostało kolejne postępowanie wobec innego państwa członkowskiego w sprawie częściowego braku transpozycji. W konsekwencji większość państw członkowskich powiadomiła następnie Komisję o ustawodawstwie krajowym dokonujących transpozycji, a Komisja stopniowo zamykała prowadzone wobec nich postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego na przestrzeni 2019 r. (w przypadku jednego państwa członkowskiego – w 2020 r.). W 2021 r. Komisja wszczęła przed TSUE postępowanie o naruszenie przeciwko Hiszpanii, ponieważ na tamta chwilę kraj ten nadal nie dokonał transpozycji dyrektywy o ochronie danych w sprawach karnych i nie powiadomił Komisji o przyjętych krajowych środkach transpozycji. Ze względu na wagę i czas trwania naruszenia TSUE po raz pierwszy nałożył na Hiszpanię zarówno karę ryczałtową, jak i okresową karę pieniężną . W kwietniu 2022 r. Komisja wszczęła również postępowanie w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko Niemcom po wykryciu luki w transpozycji dyrektywy o ochronie danych w sprawach karnych w związku z działaniami niemieckiej policji federalnej. Komisja będzie nadal oceniać transpozycję dyrektywy o ochronie danych w sprawach karnych przez państwa członkowskie i podejmie działania niezbędne do usunięcia wszystkich braków. 2.2Priorytety oceny zgodności Komisja sprawdza również, czy prawidłowo transponowano wymogi dyrektywy o ochronie danych w sprawach karnych do przepisów krajowych państw członkowskich (kontrola zgodności). Dokonując transpozycji dyrektywy o ochronie danych w sprawach karnych, państwa członkowskie zmieniły wcześniejsze ustawodawstwo dotyczące ochrony danych bądź uchyliły je i zastąpiły nowymi aktami przekrojowymi dotyczącymi ochrony danych. W wielu przypadkach dyrektywa o ochronie danych w sprawach karnych jest transponowana do prawa krajowego poprzez odniesienie do tego samego lub równoważnego przepisu RODO (np. w odniesieniu do definicji, zgłaszania naruszeń ochrony danych, wyznaczania inspektora ochrony danych oraz przepisów dotyczących organizacji, statusu, kompetencji, zadań i uprawnień organów nadzorujących ochronę danych). Transpozycji szeregu przepisów dyrektywy o ochronie danych w sprawach karnych dokonano także poprzez wprowadzenie nowych przepisów, na przykład w zakresie ogólnego prawa administracyjnego, prawa administracyjnego procesowego oraz prawa karnego procesowego. Niektóre państwa członkowskie dokonały również transpozycji szeregu przepisów dyrektywy o ochronie danych w sprawach karnych poprzez włączenie ich do ustawodawstwa sektorowego regulującego działanie i uprawnienia określonych właściwych organów. Ustalenie, czy dyrektywa o ochronie danych w sprawach karnych została prawidłowo transponowana przez dane państwo członkowskie, może zatem wymagać przeanalizowania szeregu krajowych aktów prawnych. Zasadniczo przepisy prawa krajowego w dużej mierze odzwierciedlają założenia i najważniejsze przepisy dyrektywy o ochronie danych w sprawach karnych. Zidentyfikowano jednak szereg problemów, z których najważniejsze przedstawiono w kolejnych punktach. Komisja wszczęła już szereg postępowań w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko państwom członkowskim . Proces przeglądu jest w toku, a Komisja zamierza nadal korzystać ze wszystkich dostępnych narzędzi, w tym postępowań w sprawie uchybienia zobowiązaniom państwa członkowskiego, jeżeli krajowy środek transpozycji nie jest zgodny z dyrektywą o ochronie danych w sprawach karnych. Orzecznictwo dotyczące dyrektywy o ochronie danych osobowych w sprawach karnych jest jeszcze na bardzo wczesnym etapie. TSUE wydał już pierwsze wyroki w sprawie interpretacji dyrektywy o ochronie danych w sprawach karnych, w tym w sprawach WS/Bundesrepublik Deutschland i B/Latvijas Republikas Saeima. W momencie opracowywania niniejszego sprawozdania przed TSUE toczy się szereg postępowań prejudycjalnych (jak wskazano w poniższych sekcjach). 2.2.1Zakres dyrektywy o ochronie danych w sprawach karnych Zarówno grupa ekspertów z państw członkowskich ds. RODO i dyrektywy o ochronie danych w sprawach karnych, jak i EROD zwróciły uwagę na trudność w rozgraniczeniu zakresu stosowania dyrektywy o ochronie danych w sprawach karnych oraz RODO. Niektóre organy nadzorujące ochronę danych również zauważyły, że może to stanowić trudność dla właściwych organów . Zakres dyrektywy o ochronie danych w sprawach karnych jest zdefiniowany przez dwa kluczowe elementy: pojęcie właściwego organu (zakres podmiotowy) i pojęcie czynu zabronionego (zakres przedmiotowy). Jeżeli chodzi o zakres podmiotowy, przetwarzanie danych wchodzi w zakres dyrektywy o ochronie danych w sprawach karnych, jeżeli, po pierwsze, zajmuje się nim właściwy organ, a po drugie, gdy dane osobowe przetwarza się w celach zgodnych z tą dyrektywą (np. zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie lub ściganie czynów zabronionych lub wykonywanie kar, w tym ochrona przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom). Zdaniem Komisji „właściwe organy”, w rozumieniu dyrektywy o ochronie danych w sprawach karnych, to organy państwa lub podmioty prywatne, którym prawo nadaje szczególne uprawnienia wykraczające poza uprawnienia wynikające ze zwykłych przepisów obowiązujących w stosunkach z innymi osobami fizycznymi lub z możliwości stosowania przymusu. Organy te są właściwymi organami zgodnie z dyrektywą o ochronie danych w sprawach karnych, jeżeli (nawet jeżeli wyłącznie sporadycznie lub w odosobnionych przypadkach) przetwarzają dane w celu zapobiegania przestępstwom, prowadzenia postępowań przygotowawczych, wykrywania lub ścigania czynów zabronionych lub wykonywania kar (w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom). Oznacza to na przykład, że przetwarzanie danych osobowych przez takie organy do celów innych niż dyrektywa o ochronie danych w sprawach karnych (np. do celów związanych z zasobami kadrowymi lub innych celów administracyjnych, takich jak przetwarzanie danych osobowych przez jednostki analityki finansowej (FIU) w ramach dorobku prawnego UE w zakresie przeciwdziałania praniu pieniędzy) jest objęte zakresem stosowania RODO, a nie dyrektywy o ochronie danych w sprawach karnych. Pojęcie „czyn zabroniony” ma zasadnicze znaczenie przy ustalaniu, czy przetwarzanie danych wchodzi w zakres stosowania dyrektywy o ochronie danych w sprawach karnych. Według TSUE na potrzeby oceny, czy czyn ma charakter zabroniony, istotne są trzy kryteria: to, czy czyn uznaje się za zabroniony na podstawie prawa krajowego, swoisty charakter czynu oraz stopień surowości kary, jaką może ponieść dana osoba . Autonomiczny charakter pojęcia czynu zabronionego, o którym mowa w motywie 13 dyrektywy o ochronie danych w sprawach karnych, oznacza między innymi, że prawo państwa członkowskiego nie może określać charakteru czynu jako „zabronionego” wyłącznie w celu zastosowania dyrektywy o ochronie danych w sprawach karnych. W niektórych państwach członkowskich pojawia się wątpliwość co do rozgraniczenia zakresu stosowania RODO i dyrektywy o ochronie danych w sprawach karnych w odniesieniu do rozróżnienia między czynami o charakterze karnym i administracyjnym. W szczególności niektóre przepisy krajowe transponujące dyrektywę odnoszą się do celów przetwarzania danych osobowych, których nie wymieniono w art. 1 dyrektywy o ochronie danych w sprawach karnych (np. zagrożeń dla porządku lub bezpieczeństwa publicznego). Wątpliwość ta pojawia się również dlatego, że niektóre państwa członkowskie uważają, że szereg organów administracyjnych (np. wspomniane powyżej jednostki analityki finansowej) wykonuje zadania wchodzące w zakres dyrektywy o ochronie danych w sprawach karnych. Przepisy większości państw członkowskich w wyczerpujący sposób obejmują wszelkie formy przetwarzania danych przez właściwe organy do celów dyrektywy o ochronie danych w sprawach karnych. Niektóre państwa członkowskie zdecydowały się natomiast na wyczerpujące wyliczenie w swoim ustawodawstwie krajowym właściwych organów działających w ramach dyrektywy o ochronie danych w sprawach karnych. Kilka państw członkowskich przewidziało również odstępstwo dotyczące przetwarzania przez niektóre rodzaje właściwych organów lub przetwarzania niektórych rodzajów danych. Kwestia zakresu dyrektywy o ochronie danych osobowych w sprawach karnych jest przedmiotem odesłania prejudycjalnego toczącego się przed TSUE. Landesverwaltungsgericht Tirol (sąd w Austrii) poruszył kwestię zakresu stosowania dyrektywy o ochronie danych osobowych w sprawach karnych w sytuacji, gdy właściwy organ bezskutecznie próbował uzyskać dostęp do danych znajdujących się na skonfiskowanym telefonie (wykładnia art. 2 dyrektywy o ochronie danych w sprawach karnych). Sprawa ta dotyczy również warunków takiego dostępu. 2.2.2Zarządzanie organami nadzorującymi ochronę danych oraz ich uprawnienia

Wszystkie państwa członkowskie z wyjątkiem dwóch (Belgia i Szwecja) powierzyły egzekwowanie przepisów dyrektywy o ochronie danych w sprawach karnych organowi nadzorczemu odpowiedzialnemu również za egzekwowanie RODO. Belgia powierzyła nadzór nad policją do celów dyrektywy o ochronie danych w sprawach karnych innemu organowi nadzorczemu. W Szwecji nadzór nad niektórymi właściwymi organami, w tym policją, sprawują wspólnie organ nadzorczy właściwy ds. RODO oraz inny organ nadzorczy. Co więcej, zgodnie z dyrektywą o ochronie danych w sprawach karnych żaden organ nadzorujący ochronę danych nie jest właściwy do nadzorowania sądów w ramach sprawowania przez nie wymiaru sprawiedliwości. Jeśli chodzi o przepisy dyrektywy o ochronie danych w sprawach karnych dotyczące niezależności organów nadzorujących ochronę danych, wszystkie państwa członkowskie przewidziały w swoich przepisach transponujących, że podczas wykonywania swoich zadań organy nadzorujące ochronę danych działają w sposób niezależny, a członkowie tych organów muszą być wolni od wszelkich wpływów zewnętrznych i nie przyjmować od nikogo poleceń. Nadzór nad zgodnością z przepisami wykonywany przez organy nadzorujące ochronę danych ma kluczowe znaczenie i został zagwarantowany w art. 8 ust. 3 Karty praw podstawowych. W dyrektywie o ochronie danych w sprawach karnych nakłada się na państwa członkowskie obowiązek zapewnienia, by każdy organ nadzorujący ochronę danych posiadał skuteczne uprawnienia w zakresie prowadzenia postępowań, uprawnienia naprawcze oraz uprawnienia doradcze. To warunek wstępny właściwego egzekwowania przepisów o ochronie danych, a tym samym osiągnięcia celu dyrektywy o ochronie danych w sprawach karnych, jakim jest wysoki stopień ochrony praw podstawowych, w szczególności prawa do ochrony danych osobowych, oraz zapewnienie swobodnego przepływu danych w UE. Organy nadzorujące ochronę danych muszą posiadać równoważne uprawnienia w całej UE, aby móc wykonywać swoje zadania w sposób określony w dyrektywie o ochronie danych w sprawach karnych. Wszystkie państwa członkowskie przyznały swoim organom uprawnienia w zakresie prowadzenia postępowań określone w dyrektywie o ochronie danych w sprawach karnych, a większość państw członkowskich nadała im również inne uprawnienia (np. do prowadzenia audytów, uzyskiwania dostępu do pomieszczeń, wykonywania kopii danych oraz konfiskowania przedmiotów). W konsekwencji niemal wszystkie organy nadzorujące ochronę danych twierdzą, że posiadają skuteczne uprawnienia w zakresie prowadzenia postępowań. Niemal wszystkie państwa członkowskie przewidziały uprawnienia naprawcze określone w dyrektywie o ochronie danych w sprawach karnych. Wiele z nich uczyniło to, kierując się ściśle sformułowaniami zawartymi w dyrektywie o ochronie danych w sprawach karnych, natomiast kilka z nich użyło bardzo szerokich sformułowań, które można racjonalnie interpretować jako obejmujące wszystkie uprawnienia określone w dyrektywie o ochronie danych w sprawach karnych. Większość państw członkowskich nadała ponadto organom nadzorującym ochronę danych uprawnienia do nakładania administracyjnych kar pieniężnych. Nie wszystkie państwa członkowskie nadały swoim organom nadzorującym ochronę danych uprawnienie do wniesienia do organów sądowych sprawy dotyczącej naruszenia przepisów krajowych przyjętych w celu transpozycji dyrektywy o ochronie danych w sprawach karnych oraz do wszczynania postępowania sądowego lub udziału w postępowaniu sądowym w inny sposób. Uprawnienie to jest ważne i stanowi uzupełnienie innych środków, którymi dysponują organy nadzorujące ochronę danych, służących zapewnieniu wysokiego poziomu ochrony praw podstawowych osób fizycznych, a w szczególności ich prawa do ochrony ich danych osobowych. 2.2.3Środki zaradcze Wszystkie państwa członkowskie przewidziały prawo wniesienia skargi do odpowiedniego organu nadzorczego. W większości przepisów prawa krajowego przewidziano określony termin na wniesienie tego rodzaju skargi. Ważne jest, aby to ograniczenie czasowe nie utrudniało osobom, których dotyczą dane, korzystania z ich praw. Zgodnie z dyrektywą o ochronie danych w sprawach karnych wszystkie państwa członkowskie przewidują środek prawny przed sądem od decyzji organu nadzorczego, z zastrzeżeniem innych środków administracyjnych lub pozasądowych środków ochrony prawnej dostępnych w ramach ich systemów prawnych. Środek prawny przed sądem jest dostępny we wszystkich państwach członkowskich, z wyjątkiem dwóch państw członkowskich, w których organ nadzorczy nie rozpatruje skargi ani nie informuje osób, których dane dotyczą, o postępach lub wynikach skargi w terminie 3 miesięcy. Większość państw członkowskich przewiduje również środek prawny przed administratorem danych oraz podmiotem przetwarzającym dane w przypadku domniemanego naruszenia dyrektywy o ochronie danych w sprawach karnych. W szeregu krajowych przepisów transponujących nie przewiduje się jednak prawa osoby, której dane dotyczą, do upoważnienia organów, organizacji i zrzeszeń o charakterze niezarobkowym do złożenia skargi do organu nadzorczego lub wniesienia środka prawnego do sądu w jej imieniu. 2.2.4Terminy przechowywania i przeglądu Podejścia państw członkowskich do transpozycji przewidzianych w dyrektywie o ochronie danych w sprawach karnych terminów przechowywania i przeglądu danych osobowych znacznie się od siebie różnią. Większość krajowych aktów prawnych dotyczących ochrony danych, które transponują dyrektywę o ochronie danych w sprawach karnych, spełnia jedynie ogólny wymóg art. 5 dyrektywy o ochrony danych w sprawach karnych. Oznacza to, że ustanowienie terminów usuwania danych osobowych lub okresowego przeglądu konieczności przechowywania danych osobowych leży w gestii prawa sektorowego. Kilka państw członkowskich transponuje ten przepis, ustanawiając terminy w ustawodawstwie sektorowym. W niektórych państwach członkowskich prawo pozostawia jednak ustalenie terminów właściwym organom. W niektórych przypadkach w przepisach nie określono żadnych kryteriów okresowego przeglądu ani nie zawarto w nich wymogu określenia takich kryteriów w innych przepisach, lub też nie przewidziano ustanowienia w prawie krajowym procedur mających na celu zapewnienie przestrzegania terminów. Należy zauważyć, że bułgarski Naczelny Sąd Administracyjny zwrócił się niedawno do TSUE o udzielenie odpowiedzi na wniosek o wydanie orzeczenia w trybie prejudycjalnych dotyczący interpretacji art. 5 dyrektywy o ochronie danych w sprawach karnych w zakresie terminów przechowywania danych . 2.2.5Podstawa prawna przetwarzania danych osobowych, w tym ich szczególnych kategorii Większość państw członkowskich przewiduje, używając sformułowań, które często ściśle odpowiadają art. 8 dyrektywy ochronie danych w sprawach karnych, że podstawa prawna przetwarzania musi być określona w prawie unijnym lub prawie państwa członkowskiego. Niektóre krajowe akty prawne dotyczące ochrony danych osobowych transponujące dyrektywę o ochronie danych w sprawach karnych nie odzwierciedlają jednak wymogu, zgodnie z którym dane osobowe, które podlegają przetwarzaniu, oraz cele przetwarzania powinny być określone w przepisach prawa. Z kolei inne krajowe akty prawne dotyczące ochrony danych osobowych transponujące dyrektywę o ochronie danych w sprawach karnych nie zawierają wszystkich przepisów odpowiadających art. 8. Określenie podstawy przetwarzania danych i spełnienie wymogów art. 8 należy do ustawodawstwa krajowego. Co więcej, samo powtórzenie ogólnych wymogów art. 8 dyrektywy o ochronie danych w sprawach karnych w prawie krajowym nie może być uznane za wystarczającą podstawę prawną dla określonej operacji przetwarzania: w prawie krajowym należy określić, który organ jest właściwy do przetwarzania danych osobowych, jakie zadania publiczne, uzasadniające takie przetwarzanie, wykonuje oraz jaki jest cel przetwarzania. Jeżeli chodzi o przetwarzanie szczególnych kategorii danych osobowych, większość państw członkowskich wymaga ścisłej konieczności jako warunku wstępnego przetwarzania danych. Większość państw członkowskich zapewnia również te same podstawy prawne do przetwarzania danych wrażliwych, które zostały określone w art. 10 dyrektywy o ochronie danych w sprawach karnych (przetwarzanie dopuszczone prawem; niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; dotyczące danych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą). W kilku państwach członkowskich w przepisach transponujących przewidziano pewne dodatkowe podstawy przetwarzania danych (np. gdy przetwarzanie takich danych jest konieczne, by zażegnać niebezpieczeństwo, które bezpośrednio zagraża życiu, integralności fizycznej lub mieniu osób, lub by zapobiec takiemu niebezpieczeństwu bądź by chronić zdrowie lub interesy osoby, której dane dotyczą, lub innej osoby). Jeżeli krajowy akt prawny o ochronie danych osobowych transponujący dyrektywę o ochronie danych w sprawach karnych nie zapewnia niezbędnych zabezpieczeń praw i wolności osób, których dane dotyczą (co ma miejsce w niektórych państwach członkowskich), należy uwzględnić takie zabezpieczenia w przepisach sektorowych. Kilka krajowych przepisów transponujących odnosi się do zgody w odniesieniu do przetwarzania danych osobowych, w tym przetwarzania szczególnych kategorii danych osobowych. Należy pamiętać, że chociaż państwa członkowskie nie są pozbawione możliwości zapewnienia w swoim prawie krajowym, że osoba, której dane dotyczą, może wyrazić zgodę na przetwarzanie swoich danych osobowych do celów dyrektywy o ochronie danych w sprawach karnych, zgoda ta może służyć wyłącznie jako zabezpieczenie i nie może stanowić podstawy prawnej takiego przetwarzania. Dyskusje na ten temat wskazują, że wskazane byłoby wydanie bardziej szczegółowych wytycznych dotyczących roli zgody w kontekście przetwarzania danych osobowych do celów ścigania przestępstw. 2.2.6Zautomatyzowane podejmowanie decyzji

Przepisy transponujące wszystkich państw członkowskich obejmują przepisy zakazujące podejmowania decyzji wyłącznie na podstawie zautomatyzowanego przetwarzania, jeżeli nie przewiduje tego prawo. W przepisach transponujących większości państw członkowskich zawarto wymóg, by nie podejmować takich decyzji na podstawie szczególnych kategorii danych osobowych, chyba że zapewniono odpowiednie zabezpieczenia. Zabroniono w nich także profilowania, które prowadzi do dyskryminacji. Niektóre przepisy krajowe nie odwołują się jednak do odpowiednich zabezpieczeń praw i wolności osoby, której dane dotyczą, w przypadkach, gdy zautomatyzowane podejmowanie decyzji jest dozwolone przez prawo. W szczególności nie wszystkie państwa członkowskie przewidują prawo do uzyskania interwencji ludzkiej ze strony administratora lub wymagają odpowiednich środków zabezpieczających prawa lub wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą. 2.2.7Prawa osoby, której dane dotyczą Wszystkie państwa członkowskie postanowiły skorzystać z możliwości, jakie daje dyrektywa o ochronie w sprawach karnych, w zakresie ograniczenia prawa dostępu osób, których dane dotyczą, do ich danych osobowych. Większość państw członkowskich przewiduje także ograniczenia innych praw osób, których dane dotyczą. Krajowe akty prawne dotyczące ochrony danych, które transponują dyrektywę o ochronie danych w sprawach karnych, często posługują się jedynie ogólnym językiem dyrektywy o ochronie danych w sprawach karnych, nie określając bliżej okoliczności ani warunków, w których ograniczenia te mają być stosowane. W takich przypadkach okoliczności i warunki, o których mowa, muszą być określone w przepisach sektorowych; w przeciwnym przypadku administratorzy danych mieliby swobodę w stosowaniu tych ograniczeń. Większość państw członkowskich spełnia określony w dyrektywie o ochronie danych w sprawach karnych wymóg, zgodnie z którym należy umożliwić osobom, których dane dotyczą, wykonywanie własnych praw za pośrednictwem organu nadzorującego ochronę danych. Większość państw członkowskich skorzystała z możliwości postanowienia, że prawa osób, których dane dotyczą, należy wykonywać zgodnie z prawem krajowym w kontekście krajowego postępowania przygotowawczego lub sądowego w sprawie karnej. Przepisy transponujące kilku państw członkowskich nie odzwierciedlają wszystkich szczególnych wymogów dyrektywy o ochronie danych w sprawach karnych dotyczących sposobu wykonywania praw osób, których dane dotyczą (np. formatu i sposobu przekazywania odpowiedzi, braku opłat). Obecnie na rozpatrzenie oczekuje wniosek o wydanie orzeczenia w trybie prejudycjalnym wniesiony przez niemiecki sąd w sprawie interpretacji ograniczenia praw dostępu osób, których dane dotyczą, do ich danych (art. 15 dyrektywy o ochronie danych w sprawach karnych w świetle art. 54 dyrektywy o ochronie danych w sprawach karnych), a także prawa do skutecznego środka prawnego przed sądem na mocy art. 47 Karty praw podstawowych oraz wolności wyboru zawodu na podstawie art. 15 Karty praw podstawowych. 2.2.8Niektóre ważne przepisy specyficzne dla dyrektywy o ochronie danych w sprawach karnych Niektóre przepisy dyrektywy o ochronie danych w sprawach karnych mają szczególne zastosowanie w kontekście ścigania przestępstw i nie mają swojego odpowiednika w RODO. Kategorie osób, których dane dotyczą W dyrektywie o ochronie danych w sprawach karnych nakłada się na państwa członkowskie obowiązek wymagania od administratora danych, by w stosownych przypadkach wyraźnie rozróżniał dane osobowe różnych kategorii osób oraz podawał przykłady tych kategorii (np. osoba, w stosunku do której istnieją poważne podstawy, by przypuszczać, że popełniła lub zamierza popełnić czyn zabroniony – „podejrzany”). W przepisach niektórych państw członkowskich nie określono (w pewnym zakresie lub w ogóle) kategorii wymienionych w dyrektywie o ochronie danych w sprawach karnych. W odniesieniu do określenia kategorii „podejrzanych” niektóre przepisy krajowe nie wymagają, aby istniały „poważne podstawy, by przypuszczać, że [osoby te] popełniły lub zamierzają popełnić czyn zabroniony”. Mające ukazać się wkrótce orzeczenie TSUE w toczącej się sprawie Ministerstvo na vatreshnite raboti przeciwko B.C. przyczyni się do dalszego wyjaśnienia wykładni dyrektywy o ochronie danych w sprawach karnych w odniesieniu do kategorii osób, których dane dotyczą, w tym wymogu, że zakwalifikowanie osoby, której dane dotyczą, jako podejrzanego powinno być uzależnione od istnienia „poważnych podstaw, by przypuszczać, że popełniła ona lub zamierza popełnić czyn zabroniony” . Rozróżnienie klas danych osobowych oraz weryfikacja ich jakości Państwa członkowskie muszą zapewnić, by dane osobowe oparte na faktach były rozróżniane, tak dalece, jak to możliwe, od danych osobowych opartych na indywidualnych ocenach. Muszą także wprowadzić odpowiednie środki, aby zapewnić, by nieprawidłowe, niekompletne lub nieaktualne dane osobowe nie były przesyłane ani udostępniane. W przypadku przekazania nieprawidłowych danych należy niezwłocznie powiadomić odbiorców, a następnie sprostować dane osobowe, usunąć je lub ograniczyć ich przetwarzanie. Chociaż większość państw członkowskich dokonała transpozycji tego wymogu, w szeregu krajowych przepisów transponujących nie przewidziano wyraźnie niektórych wymaganych środków szczególnych. Ewidencja czynności Łącznie 12 państw członkowskich skorzystało z możliwości odroczenia dostosowania swojego systemu automatycznego przetwarzania danych do wymogów dotyczących prowadzenia ewidencji czynności do maja 2023 r. Większość państw członkowskich przewiduje prowadzenie ewidencji czynności przetwarzania w systemach automatycznego przetwarzania danych. Niektóre przepisy prawa krajowego nie przewidują wymogu prowadzenia ewidencji wszystkich rodzajów czynności. W dyrektywie o ochronie danych w sprawach karnych określono minimalny zakres informacji, które należy ewidencjonować. W niektórych przepisach prawa krajowego nie uwzględniono wszystkich wymaganych rodzajów informacji (np. powodu przeglądania lub ujawniania danych osobowych). 3Pierwsze wnioski ze stosowania i funkcjonowania dyrektywy o ochronie danych w sprawach karnych 3.1Skargi oraz pozytywny wpływ na prawa osób, których dane dotyczą Dyrektywa o ochronie danych w sprawach karnych zapewnia ochronę podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych osobowych. Stanowi wszechstronne ramy dla praw osoby, której dane dotyczą, oraz sposobu wykonywania tych praw, w tym prawa do informacji, dostępu, sprostowania lub usunięcia danych osobowych, jak również prawa do ograniczenia ich przetwarzania. Dyrektywa o ochronie danych w sprawach karnych zwiększyła wśród osób, których dane dotyczą, zrozumienie ich praw oraz sposobów ich wykonywania, o czym świadczy wzrost liczby wniosków składanych do właściwych organów. Praktyka pokazuje, że spośród praw przyznanych osobom, których dane dotyczą, na podstawie dyrektywy o ochronie danych w sprawach karnych, to właśnie wnioski dotyczące prawa dostępu do danych oraz prawa do ich usunięcia są najczęściej składane we właściwych organach . Dyrektywa o ochronie danych w sprawach karnych umożliwia również ograniczenie niektórych praw (prawo dostępu i prawo do sprostowania lub usunięcia), a także informacji, które administrator danych musi przekazać osobie, której dane dotyczą, w odniesieniu do danych osobowych będących przedmiotem przetwarzania. Osoby, których dane dotyczą, mogą zwrócić się do organów nadzorujących ochronę danych o dokonanie przeglądu ograniczenia danego prawa przez właściwy organ lub o sprawdzenie, czy ograniczenie zostało zastosowane zgodnie z dyrektywą o ochronie danych w sprawach karnych (pośrednie wykonywanie prawa) . Blisko połowa organów nadzorujących ochronę danych zgłasza, że otrzymała wniosek tego rodzaju. Praktyka pokazuje, że liczba otrzymanych wniosków może się znacznie różnić (np. w Chorwacji otrzymano jeden taki wniosek, a we Francji otrzymano ich ponad 1500). Choć organy nadzorujące ochronę danych ustaliły w wyniku weryfikacji lub przeglądu tych skarg, że większość wniosków była niedopuszczalna, w kilku przypadkach administratorowi danych nakazano sprostowanie lub usunięcie danych osobowych lub ograniczenie ich przetwarzania, zapewniając w ten sposób właściwe stosowanie ograniczeń. W dyrektywie o ochronie danych w sprawach karnych przewidziano, że organ, organizacja lub zrzeszenie o charakterze niezarobkowym mogą złożyć skargę w imieniu osoby, której dane dotyczą. Wydaje się jednak, że zapis ten nie jest w pełni wykorzystywany (tylko cztery organy nadzorujące ochronę danych zgłosiły, że otrzymały taką skargę od organu przedstawicielskiego). Podobnie organizacje społeczeństwa obywatelskiego zgłosiły, że otrzymały niewielką liczbę wniosków o złożenie tego rodzaju skargi.

Osoby fizyczne również w coraz większym stopniu korzystają z przysługującego im prawa do wniesienia skargi do organów nadzorujących ochronę danych, w tym w przypadkach gdy właściwe organy ograniczają wykonywanie praw osób, których dane dotyczą. Ponad jedna trzecia organów nadzorujących ochronę danych zgłosiła wzrost liczby otrzymywanych skarg po transpozycji dyrektywy o ochronie danych w sprawach karnych w swoich państwach członkowskich . Niektóre ze skarg najczęściej otrzymywanych przez organy nadzorujące ochronę danych dotyczyły ograniczenia prawa dostępu , prawa do sprostowania lub usunięcia oraz prawa do informacji i jego ograniczeń . Następnie pojawiły się skargi związane z zasadą ograniczenia przechowywania, która zobowiązuje właściwe organy do przechowywania danych osobowych przez okres nie dłuższy niż jest to konieczne, oraz z prawem do informacji. 3.2Zwiększona świadomość w zakresie ochrony danych wśród właściwych organów Państwa członkowskie wskazują, że wprowadzenie dyrektywy o ochronie danych w sprawach karnych wywarło i nadal wywiera znaczący wpływ na świadomość właściwych organów w zakresie znaczenia ochrony danych. Kilka organów nadzorujących ochronę danych wyraziło opinię, że najważniejszym skutkiem dyrektywy o ochronie danych w sprawach karnych było zwiększenie świadomości i nacisku na kwestie ochrony danych i praw osób, których dane dotyczą . Świadczy o tym również wymiana informacji między organami nadzorującymi ochronę danych a właściwymi organami na temat praw osób, których dane dotyczą, oraz sposobów korzystania z tych praw . Niektóre właściwe organy poinformowały, że w konsekwencji przeznaczyły więcej zasobów na ochronę danych . Obejmowało to inwestycje w uwzględnienie ochrony prywatności już w fazie projektowania i w sposób domyślny w ich systemach informatycznych, ustanowienie okresów zatrzymywania danych, stosowanie zasady minimalizacji danych oraz zgłaszanie naruszeń. Następnie zgłoszono poprawę ogólnego bezpieczeństwa przetwarzanych danych . Prowadzone przez organy nadzorujące ochronę danych szkolenia i działania zwiększające świadomość również przyczyniają się do właściwego wdrożenia dyrektywy o ochronie danych w sprawach karnych, a organy nadzorcze mają za zadanie zwiększać świadomość administratorów danych i podmiotów przetwarzających dane w zakresie ich obowiązków wynikających z dyrektywy o ochronie danych w sprawach karnych. Wiele organów nadzorujących ochronę danych stara się zwiększać świadomość w zakresie ochrony danych, publikując odpowiednie wytyczne. Niektóre z tematów poruszanych przez różne organy nadzorujące ochronę danych obejmują: wsparcie organów sądowniczych, prokuratury oraz służb policji w przestrzeganiu zasady rozliczalności; wymianę danych osobowych z policją; powołanie inspektora ochrony danych; prowadzenie oceny skutków dla ochrony danych; przetwarzanie danych w takich dziedzinach przestępczości jak przestępczość zorganizowana i terroryzm; rejestrowanie i ewidencjonowanie czynności przetwarzania; prowadzenie monitoringu wizyjnego; przekazywanie informacji osobom, których dane dotyczą; zgłaszanie naruszeń ochrony danych osobowych; obowiązki administratora oraz wykonywanie praw przez osoby fizyczne. Osiem organów nadzorujących ochronę danych nie wydało jednak jeszcze żadnych wskazówek ani praktycznych narzędzi mających na celu wsparcie właściwych organów i podmiotów przetwarzających w wypełnianiu ich obowiązków. Co więcej, 12 organów nadzorujących ochronę danych nie przeprowadziło w ramach dyrektywy o ochronie danych w sprawach karnych żadnych szkoleń ani działań zwiększających świadomość skierowanych do właściwych organów lub podmiotów przetwarzających. Wśród organów nadzorujących ochronę danych, które prowadziły takie działania, do najczęściej poruszanych tematów należały: przetwarzanie danych przez policję, prokuraturę, organy sądowe oraz władze penitencjarne; określenie odpowiednich obszarów zastosowania RODO i dyrektywy o ochronie danych w sprawach karnych; wykorzystanie danych osobowych pochodzących z mediów społecznościowych; przetwarzanie danych zawartych w aktach policyjnych; techniki monitoringu wizyjnego i duże zbiory danych; sposób postępowania w odniesieniu do praw osoby, której dane dotyczą oraz przetwarzanie danych osobowych osób pozbawionych wolności . Kolejną innowacją wprowadzoną dyrektywą o ochronie danych w sprawach karnych jest wymóg wyznaczenia przez administratorów danych inspektora ochrony danych, do którego obowiązków należy m.in.: informowanie i doradzanie w zakresie wymogów ochrony danych, monitorowanie zgodności z dyrektywą o ochronie danych w sprawach karnych, doradzanie w zakresie ocen skutków dla ochrony danych oraz monitorowanie ich wykonywania. Dzięki temu rozwiązaniu właściwe organy stały się bardziej świadome swoich obowiązków w zakresie ochrony danych. Miało ono także pozytywny wpływ na przestrzeganie przez właściwe organy zasad ochrony danych, co odnotowała również Rada . Ważne jest, aby inwestować w rozwój oraz poszerzanie doświadczenia i wiedzy inspektorów ochrony danych, aby pomóc właściwym organom w spójnym stosowaniu dyrektywy o ochronie danych w sprawach karnych. W związku z tym Komisja ustanowiła sieć inspektorów ochrony danych właściwych organów, agencji wymiaru sprawiedliwości i spraw wewnętrznych oraz Prokuratury Europejskiej i wspomaga działanie tej sieci. Sieć ta jest stałą inicjatywą, skupiająca się na stosowaniu dyrektywy o ochronie danych w sprawach karnych przez właściwe organy państw członkowskich. Ma ona na celu stworzenie platformy współpracy i wymiany wiedzy eksperckiej między inspektorami ochrony danych z poszczególnych państw członkowskich. Sieć ekspertów ds. ochrony danych Europolu i krajowe sieci inspektorów ochrony danych działające w ramach właściwych organów stanowią ważne inicjatywy pomagające inspektorom ochrony danych działającym w ramach właściwych organów wspierać wymianę najlepszych praktyk i informacji na temat stosowania dyrektywy o ochronie danych w sprawach karnych. 3.3Bezpieczeństwo danych zwiększyło się, choć występują rozbieżności w zakresie powiadomień o naruszeniu ochrony danych Dyrektywa o ochronie danych w sprawach karnych przyczyniła się do poprawy bezpieczeństwa danych osobowych dzięki zobowiązaniu właściwych organów do podjęcia działań służących osiągnięciu określonych celów w zakresie bezpieczeństwa. Przykładowo, w dyrektywie zawarto wymóg, aby właściwe organy przeprowadzały ocenę skutków dla ochrony danych, gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osoby, której dane dotyczą. Ocena skutków obejmuje identyfikację ryzyka oraz środków mających na celu przeciwdziałanie temu ryzyku. Wymóg ten, jak również obowiązkowe przestrzeganie zasady uwzględniania ochrony danych już w fazie projektowania i w sposób domyślny oraz wymogi dotyczące zgłaszania naruszeń ochrony danych osobowych, przyczynił się do poprawy bezpieczeństwa przetwarzania danych osobowych . Dostrzegła to również Rada, stwierdzając, że dzięki dyrektywie o ochronie danych w sprawach karnych nastąpiła poprawiła poziomu bezpieczeństwa danych, między innymi dzięki sporządzaniu planów bezpieczeństwa; aktualizacji systemów informatycznych oraz środków organizacyjnych; prowadzeniu ocen skutków dla ochrony danych oraz wymogowi prowadzenia ewidencji określonych czynności przetwarzania przez właściwe organy. W dyrektywie o ochronie danych w sprawach karnych określono okoliczności, w których administratorzy danych muszą powiadomić swój organ nadzorujący ochronę danych oraz osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych. Pomimo tego obowiązku istnieje duża rozbieżność w liczbie naruszeń ochrony danych, które zostały zgłoszone organom nadzorujących ochronę danych od czasu wprowadzenia dyrektywy . Sześć organów nadzorujących ochronę danych poinformowało, że nie otrzymały żadnych powiadomień o naruszeniu ochrony danych , a szereg innych zgłosiło, że otrzymało bardzo niewielką liczbą takich powiadomień. Przykładowo organ włoski zgłosił tylko trzy powiadomienia o naruszeniu ochrony danych, organ francuski – osiem, natomiast organ holenderski – ponad 500. Ta różnica w liczbie zgłoszonych powiadomień o naruszeniu ochrony danych wskazuje (po uwzględnieniu czynników takich jak wielkość populacji), że między właściwymi organami państw członkowskich mogą istnieć rozbieżne praktyki dotyczące tego, co uznaje się za naruszenie i kiedy należy je zgłosić organowi nadzorującemu ochronę danych. Komisja zwróciła na to również uwagę w swoim sprawozdaniu w sprawie RODO. EROD opublikowała niedawno wytyczne dotyczące naruszeń w ramach RODO . Wytyczne te, choć nie mają bezpośredniego zastosowania, mają również znaczenie w przypadku naruszeń ochrony danych w związku z dyrektywą o ochronie danych w sprawach karnych. Powinny zatem przyczynić się do bardziej jednolitego podejścia do postępowania w przypadku naruszeń ochrony danych w związku z dyrektywą o ochronie danych w sprawach karnych we wszystkich państwach członkowskich. 3.4Nadzór sprawowany przez organy nadzorujące ochronę danych 3.4.1Zasoby organów nadzorujących ochronę danych Zapewnienie każdemu organowi ochrony danych zasobów kadrowych, technicznych i finansowych, pomieszczeń i infrastruktury jest warunkiem koniecznym skutecznego wypełniania przez nie ich zadań i wykonywania ich uprawnień, a zatem stanowi podstawowy warunek ich niezależności. Komisja konsekwentnie podkreślała fakt, że państwa członkowskie są zobowiązane do przydzielenia organom nadzorującym ochronę danych wystarczających zasobów ludzkich, finansowych i technicznych. Rada również wyraźnie wezwała państwa członkowskie do przydzielenia organom nadzorującym ochronę danych wystarczających zasobów ludzkich, technicznych i finansowych. Wydaje się jednak, że ogólny wzrost liczby pracowników organów nadzorujących ochronę danych w ostatnich latach nie ma związku z zadaniami wynikającymi z dyrektywy o ochronie danych w sprawach karnych. Połowa organów nadzorujących ochronę danych utrzymała tę samą liczbę pracowników zajmujących się dyrektywą o ochronie danych w sprawach karnych lub nawet obniżyła poziom zatrudnienia w tym zakresie. Wszelkie wzrosty były bardzo nieznaczne i wynosiły średnio mniej niż dwie osoby w przeliczeniu na ekwiwalenty pełnego czasu pracy. W niemal połowie organów nadzorujących ochronę danych (w tym w tych zatrudniających ponad 100 pracowników w przeliczeniu na ekwiwalenty pełnego czasu pracy) liczba pracowników zajmujących się dyrektywą o ochronie danych w sprawach karnych waha się od mniej niż 1 % do 7 %. W liczbach bezwzględnych około połowa organów nadzorujących ochronę danych przeznacza na zadania związane z dyrektywą o ochronie danych w sprawach karnych od 1 do 4 ekwiwalentów pełnego czasu pracy, a osiem organów nadzorujących ochronę danych przeznacza na zadania związane z tą dyrektywą od 7 do 15 ekwiwalentów pełnego czasu pracy. Jeden organ nadzorujący ochronę danych zatrudnia jednak 53 pracowników zajmujących się tą dyrektywą – w przeliczeniu na ekwiwalenty pełnego czasu pracy. Jednocześnie sekretariat EROD przeznaczył mniej niż 1,5 ekwiwalentu pełnego czasu pracy na kwestie całkowicie związane z dyrektywą o ochronie danych w sprawach karnych. Sytuacja ta nie jest zadowalająca, nawet jeśli 10 organów nadzorujących ochronę danych wskazało, że dysponują wystarczającymi zasobami finansowymi, ludzkimi i technicznymi. Z drugiej strony 16 organów nadzorujących ochronę danych stwierdziło, że nie dysponują wystarczającymi zasobami. Niektóre z tych organów zauważyły, że miało to negatywny wpływ na dochodzenia prowadzone przez nie z własnej inicjatywy, rozpatrywanie skarg, kontrolę wielkoskalowych systemów informatycznych oraz wydawanie opinii z własnej inicjatywy. Specyfika sektora wiąże się bowiem z tym, że skuteczne egzekwowanie dyrektywy o ochronie danych w sprawach karnych wymaga systematycznej kontroli czynności przetwarzania, które często są złożone, i że nie wystarczy polegać na indywidualnych skargach (których liczba jest znacznie mniejsza niż w przypadku RODO). Co więcej, organy nadzorujące ochronę danych wskazały na brak wiedzy specjalistycznej w zakresie technologii informatycznych, która pozwoliłaby uwzględnić stale rosnącą złożoność technologii informatycznych wykorzystywanych w obszarze ścigania przestępstw.

3.4.2Korzystanie z uprawnień Korzystanie z uprawnień naprawczych Łącznie 19 organów nadzorujących ochronę danych zastosowało swoje uprawnienia w zakresie prowadzenia postępowań, z inicjatywy własnej lub w odpowiedzi na otrzymaną skargę. Organy nadzorujące ochronę danych zgłosiły trudności jedynie w bardzo niewielu przypadkach (np. gdy administrator danych nie dostarczył wszystkich istotnych informacji lub odmówił dostępu do informacji). Te same 19 organów nadzorujących ochronę danych zastosowało również swoje uprawnienia naprawcze. Zdecydowanie najczęściej wykorzystywanym uprawnieniem było wydawanie nakazów dostosowania przetwarzania do wymogów prawa, w tym nakazów sprostowania lub usunięcia danych osobowych bądź ograniczenia ich przetwarzania. Organy nadzorujące ochronę danych skorzystały z tego uprawnienia w 114 przypadkach. Fakt, że to uprawnienie do nakazania tymczasowego lub ostatecznego ograniczenia (w tym zakazu) przetwarzania danych zostało wykorzystane jedynie w czterech przypadkach, wskazuje, że organy nadzorujące ochronę danych korzystały z tych uprawnień z ostrożnością. Korzystanie z uprawnień doradczych Prowadzenie w sposób systematyczny uprzednich konsultacji i zwracanie się do organów nadzorujących ochronę danych o opinię na temat projektów środków legislacyjnych i administracyjnych stanowią skuteczny sposób zapewnienia wysokiego poziomu ochrony prawa do ochrony danych osobowych i zmniejszenia liczby kolejnych skarg. Uprzednie konsultacje z organami nadzorującymi ochronę danych mają szczególne znaczenie w przypadku stosowania nowych technologii, które mogą mieć istotny wpływ na prawa podstawowe. Połowa organów nadzorujących ochronę danych podała, że skonsultowano z nimi oceny skutków dla ochrony danych. Liczba uprzednich konsultacji różni się między państwami członkowskimi. Do niektórych organów zwrócono się tylko raz, natomiast jeden z organów otrzymał 59 wniosków w sprawie uprzedniej konsultacji. W większości tych przypadków organy nadzorujące ochronę danych udzieliły pisemnej porady, a w niektórych przypadkach skorzystały ze swoich uprawnień naprawczych w odniesieniu do przetwarzania danych, w szczególności wydały ostrzeżenia lub nakazały podjęcie działań w celu dostosowania przetwarzania do wymogów prawa. W jednym przypadku organ nadzorujący ochronę danych wydał negatywną opinię, która, jak się wydaje, miała taki sam skutek jak zakaz przetwarzania. Co więcej, wydaje się, że poza procedurą uprzedniej konsultacji organy nadzorujące ochronę danych zajmują się również wnioskami o udzielenie porady. Najczęściej występujący problem, w sprawie którego właściwe organy zwracały się do organów nadzorujących ochronę danych o poradę, dotyczył konkretnych rodzajów przetwarzania (w szczególności stosowania nowych technologii, mechanizmów lub procedur, a także odpowiednich środków bezpieczeństwa, przetwarzania szczególnych kategorii danych osobowych, określania podstawy prawnej przetwarzania, zasad ograniczenia przechowywania oraz odpowiednich terminów przechowywania). Co więcej, 22 organy nadzorujące ochronę danych skierowały do swoich parlamentów narodowych i rządów krajowych opinie w sprawie środków legislacyjnych i administracyjnych dotyczących przetwarzania danych osobowych. Szereg organów wskazało, że sporadycznie są proszone o konsultację. 3.4.3Kontrola sądowa działania organów nadzorujących ochronę danych Niemal połowa organów nadzorujących ochronę danych wskazała, że w niewielkiej liczbie przypadków wytoczono im postępowanie sądowe w związku z podjętymi przez nie decyzjami lub ich bezczynnością. W większości przypadków postępowania wszczęły osoby, których dane dotyczą, a w kilku przypadkach – właściwe organy. Kilka spraw zostało uznanych przez sąd za niedopuszczalne lub wycofanych przez stronę skarżącą. Sąd podtrzymał decyzję organów nadzorujących ochronę danych w większości pozostałych spraw, ale uchylił ją w kilku sprawach (przy czym pozostałe postępowania nadal się toczą). W związku z niewielką liczbą wydanych do tej pory wyroków nie można jeszcze ustalić wyraźnej tendencji. 3.4.4Wytyczne EROD Spójność oraz wysoki poziom ochrony wśród państw członkowskich ma zasadnicze znaczenie dla zapewnienia skutecznej współpracy wymiarów sprawiedliwości w sprawach karnych oraz współpracy policyjnej. W dyrektywie o ochronie danych w sprawach karnych przewidziano, że EROD wyda wytyczne, zalecenia i najlepsze praktyki (z własnej inicjatywy lub na wniosek Komisji), aby zapewnić spójne stosowanie dyrektywy o ochronie danych w sprawach karnych przez państwa członkowskie. EROD opracowała wytyczne dotyczące dyrektywy o ochronie danych w sprawach karnych odnoszące się do rozdziału V (międzynarodowe przekazywanie danych); wytyczne dotyczące stosowania technologii rozpoznawania twarzy oraz (pełniąc swoją poprzednią rolę Grupy Roboczej Art. 29) opinię w sprawie niektórych kluczowych kwestii dotyczących dyrektywy o ochronie danych w sprawach karnych. Wiele wytycznych EROD dotyczących RODO ma również zastosowanie do dyrektywy o ochronie danych w sprawach karnych w zakresie, w jakim opierają się one na wspólnych koncepcjach lub technologiach. Wytyczne te obejmują wytyczne dotyczące koncepcji administratora danych i podmiotu przetwarzającego dane, praw osób, których dane dotyczą, zgłaszania naruszeń ochrony danych osobowych, oceny skutków dla ochrony danych, uwzględnienia ochrony danych już w fazie projektowania i w sposób domyślny oraz indywidualnego zautomatyzowanego podejmowania decyzji. Opracowanie kompleksowych i praktycznych wytycznych wymaga znacznego nakładu pracy i środków, ale wskazówki są niezbędne (co zauważyła również Rada). W związku z tym bardzo cieszy, że EROD wskazała, iż wkrótce przedstawi dodatkowe wytyczne, w tym dotyczące pojęcia skutecznych uprawnień w zakresie prowadzenia postępowań, a także uprawnień naprawczych organów nadzorujących ochronę danych i międzynarodowego przekazywania danych podlegającego odpowiednim zabezpieczeniom. Wytyczne EROD mogą również przyczynić się do zmniejszenia obciążenia pracą organów nadzorujących ochronę danych (np. w odniesieniu do zadań takich, jak doradzanie administratorom danych lub rozpatrywanie skarg). Na przykład szereg kwestii poruszonych w opinii Grupy Roboczej Art. 29 na temat niektórych kluczowych zagadnień ujętych w dyrektywie o ochronie danych w sprawach karnych (takich jak odpowiednie terminy, podstawa prawna przetwarzania, warunki przetwarzania szczególnych kategorii danych) to również jedne z najczęstszych problemów, w sprawie których właściwe organy zwróciły się o poradę do organów nadzorujących ochronę danych. 3.4.5Wzajemna pomoc Aby zapewnić spójne stosowanie dyrektywy o ochronie danych w sprawach karnych, organy nadzorujące ochronę danych są zobowiązane do udzielania sobie wzajemnej pomocy. Obejmuje to pomoc w formie wniosków o udzielenie informacji oraz wniosków o przeprowadzenie konsultacji, inspekcji i dochodzeń. Dotychczas jednak korzystano z wzajemnej pomocy bardzo rzadko. Skorzystało z niej zaledwie sześć organów nadzorujących ochronę danych, przede wszystkim w odpowiedzi na wnioski o udzielenie informacji otrzymane od innych organów nadzorujących ochronę danych. Większość organów nadzorujących ochronę danych wskazała, że otrzymała tylko jeden wniosek o udzielenie informacji. Wszystkie te organy poinformowały, że przychyliły się do otrzymanego wniosku. Nie korzystano także z dobrowolnej wzajemnej pomocy, w odniesieniu do której nie istnieją określone przepisami terminy ani wyraźny obowiązek odpowiedzi. EROD oświadczyła, że opublikuje wytyczne dotyczące ram wzajemnej pomocy na podstawie RODO i dyrektywy o ochronie danych w sprawach karnych. 3.5Elastyczny instrument międzynarodowego przekazywania danych

Rozdział V dyrektywy o ochronie danych w sprawach karnych obejmuje przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych. Rozdział ten zasadniczo zapewnia ciągłość ochrony, gdy dane osobowe są przekazywane z państwa członkowskiego do państwa trzeciego lub organizacji międzynarodowej na potrzeby ścigania przestępstw. Jak wskazano powyżej, taka ciągłość ochrony jest ważnym warunkiem szybkiej, skutecznej i pewnej pod względem prawnym współpracy w dziedzinie ścigania przestępstw między zaufanymi partnerami. W szczególności, zgodnie z odpowiednimi przepisami dyrektywy o ochronie danych w sprawach karnych , międzynarodowe przekazywanie danych między właściwymi organami w rozumieniu dyrektywy o ochronie danych w sprawach karnych musi być oparte na jednym z szeregu narzędzi przekazywania danych określonych w art. 36–38 dyrektywy o ochronie danych w sprawach karnych (jeżeli dane pochodzą z innego państwa członkowskiego, przekazywanie wymaga również uprzedniego zezwolenia tego państwa członkowskiego). Narzędzia te obejmują decyzje stwierdzające odpowiedni stopień ochrony, przekazywanie oparte na odpowiednich zabezpieczeniach oraz stosowanie odstępstw w określonych sytuacjach. Art. 39 dyrektywy o ochronie danych w sprawach karnych dopuszcza również bezpośrednie przekazywanie danych odbiorcom niebędącym organami ścigania, którzy mają siedzibę w państwach trzecich, w indywidualnych i konkretnych przypadkach oraz pod kilkoma warunkami. 3.5.1Decyzje stwierdzające odpowiedni stopień ochrony Komisja przyspieszyła swoje prace w celu realizacji pełnego potencjału narzędzi dostępnych w ramach dyrektywy o ochronie danych w sprawach karnych. W czerwcu 2021 r. przyjęła pierwszą „decyzję stwierdzającą odpowiedni stopień ochrony” dotyczącą działań związanych z przetwarzaniem danych na potrzeby ścigania przestępstw, na podstawie art. 36 dyrektywy o ochronie danych w sprawach karnych. Decyzja ta dotyczy Zjednoczonego Królestwa . Decyzja stwierdzająca odpowiedni stopień ochrony umożliwia bezpieczny i swobodny przepływ danych osobowych do właściwych organów danego państwa trzeciego bez potrzeby stosowania dodatkowych zabezpieczeń lub specjalnego zezwolenia (chyba że inne państwo członkowskie, od którego uzyskano dane, musi zezwolić na przekazanie ). Decyzja stwierdzająca odpowiedni stopień ochrony danych przez Zjednoczone Królestwo wydana w czerwcu 2021 r. stanowi niezwykle istotny fundament współpracy policyjnej i sądowej po brexicie, która zgodnie z umową o handlu i współpracy między Zjednoczonym Królestwem a UE opiera się na „wieloletnim zobowiązaniu Stron do zapewnienia wysokiego stopnia ochrony danych osobowych” . Zgodnie z art. 36 ust. 4 dyrektywy o ochronie danych w sprawach karnych Komisja monitoruje wszelkie zmiany w ramach prawnych Zjednoczonego Królestwa, które mogłyby mieć wpływ na wspomnianą decyzję stwierdzającą odpowiedni stopień ochrony. Decyzja stwierdzająca odpowiedni stopień ochrony danych przez Zjednoczone Królestwo ma obowiązywać przez okres 4 lat od jej wejścia w życie, zasadniczo z możliwością przedłużenia okresu jej obowiązywania o kolejne 4 lata, jeżeli w wyniku monitorowania przez Komisję zostanie potwierdzone, że Zjednoczone Królestwo nadal utrzymuje odpowiedni poziom ochrony . Co więcej, EROD przyczyniła się również do rozwoju tego instrumentu, wydając zalecenie w sprawie odpowiedniego stopnia ochrony przekazywanych danych osobowych na mocy dyrektywy o ochronie danych w sprawach karnych , w którym doprecyzowała normę prawną poprzez wskazówki dotyczące elementów, które należy uwzględnić w ocenie odpowiedniego stopnia ochrony danych w kontekście ścigania przestępstw. W szczególności państwo trzecie musi zapewnić prawnie wykonalne prawa indywidualne, skuteczne dochodzenie roszczeń na drodze sądowej oraz niezależny nadzór. Komisja aktywnie propaguje możliwość ustaleń dotyczących odpowiedniego stopnia ochrony na potrzeby wymiany danych z innymi kluczowymi partnerami międzynarodowymi, w szczególności z tymi państwami, których ścisła i sprawna współpraca jest konieczna w walce z przestępczością i terroryzmem, oraz w z państwami, z którymi już wymienia się znaczne ilości danych osobowych. Do tej pory nie przyjęto wprawdzie żadnych innych decyzji stwierdzających odpowiedni poziom ochrony, jednak wynika to głównie z faktu, że instrument wprowadzono stosunkowo niedawno. Co więcej, i w przeciwieństwie do przetwarzania danych przez podmioty komercyjne, dopiero teraz zaczyna rozwijać się globalna konwergencja zasad ochrony danych w obszarze ścigania przestępstw (napędzana na przykład przez wielostronne ustalenia, takie jak zmieniona konwencja 108 Rady Europy lub drugi protokół dodatkowy do „budapeszteńskiej” Konwencji o cyberprzestępczości). Niemniej jednak doświadczenie zdobyte w wyniku przyjęcia decyzji stwierdzającej odpowiedni stopień ochrony danych przez Zjednoczone Królestwo pomoże utorować drogę dla podobnych inicjatyw w nadchodzących latach. W ramach swojej strategii międzynarodowej Komisja rozważy inne możliwe kandydatury do przyszłych decyzji stwierdzających odpowiedni stopień ochrony na podstawie dyrektywy o ochronie danych w sprawach karnych i uczyni to w bezpośrednim porozumieniu z innymi właściwymi instytucjami i organami UE. W tym celu oraz zgodnie z motywem 68 dyrektywy o ochronie danych w sprawach karnych Komisja zwróci szczególną uwagę na międzynarodowe zobowiązania ocenianych państw dotyczące ochrony danych osobowych, w tym na przystąpienie do wyżej wymienionych porozumień wielostronnych lub do innych instrumentów ochrony porządku publicznego zapewniających odpowiednie zabezpieczenia służące ochronie danych. 3.5.2Odpowiednie zabezpieczenia Oprócz kompleksowego rozwiązania, jakim jest decyzja stwierdzająca odpowiedni stopień ochrony danych, w dyrektywie o ochronie danych w sprawach karnych przewidziano inne instrumenty przekazywania. Elastyczność tego zestawu narzędzi odzwierciedla art. 37 dyrektywy o ochronie danych w sprawach karnych, który reguluje przekazywanie danych na podstawie „odpowiednich zabezpieczeń” w odniesieniu do ochrony danych osobowych. Takie odpowiednie zabezpieczenia można zapewnić albo za pomocą prawnie wiążącego instrumentu, albo gdy administrator, w oparciu o ocenę wszystkich okoliczności towarzyszących przekazywaniu, dojdzie do wniosku, że istnieją odpowiednie zabezpieczenia („ocena własna” do celów przekazywania). W pierwszych latach stosowania dyrektywy o ochronie danych w sprawach karnych Komisja pracowała w szczególności nad wiążącymi instrumentami prawnymi w postaci umów międzynarodowych zapewniających odpowiednie zabezpieczenia. Tego rodzaju umowy odgrywają ważną rolę zarówno w kontekście „tradycyjnej” współpracy w dziedzinie ścigania przestępstw (tj. współpracy między właściwymi organami), jak i innych form współpracy (tj. współpracy z udziałem stron trzecich, takich jak przedsiębiorstwa prywatne). Mogą one również służyć jako podstawa przekazywania danych przez Europol i Eurojust w oparciu o odpowiednie ramy prawne, których zasady dotyczące międzynarodowego przekazywania danych są bardzo podobne do zasad obowiązujących w świetle dyrektywy o ochronie danych w sprawach karnych. Jeżeli chodzi o tradycyjne formy współpracy organów ścigania, Komisja poddaje przeglądowi umowy międzynarodowe przyjęte przez wejściem w życie dyrektywy o ochronie danych w sprawach karnych, aby zapewnić spójność ze zaktualizowanym unijnym systemem ochrony danych . Po pierwsze, Komisja przeprowadza ocenę postanowień dotyczących ochrony danych w obowiązujących umowach o współpracy Europolu z państwami trzecimi zawartych przed 1 maja 2017 r., zgodnie z rozporządzeniem (UE) 2016/794 w sprawie Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (zwanym dalej „rozporządzeniem w sprawie Europolu”) . Zgodnie z art. 9 protokołu nr 36 do Traktatu o Unii Europejskiej oraz TFUE (w sprawie postanowień przejściowych) skutki prawne tych umów zostają utrzymane do czasu ich uchylenia, unieważnienia lub zmiany . Komisja poinformuje Parlament Europejski i Radę o wyniku tej oceny oraz, w stosownych przypadkach, przedłoży Radzie zalecenie dotyczące decyzji upoważniającej do rozpoczęcia negocjacji w celu zmiany odpowiedniej umowy lub umów zgodnie z art. 218 TFUE. Jest to złożone zadanie, które obejmuje ocenę 18 umów i którego wykonanie opóźniło się przez zakłócenia spowodowane pandemią COVID-19. Komisja zamierza zakończyć proces oceny w drugiej połowie 2022 r. Spójność wszystkich mechanizmów współpracy organów ścigania z przepisami dyrektywy o ochronie danych w sprawach karnych stanowi zasadę przewodnią, którą Komisja kieruje się również podczas negocjowania nowych umów dotyczących przekazywania danych osobowych przez Europol państwom trzecim lub organizacjom międzynarodowym. Od wejścia w życie w 2017 r. obecnego rozporządzenia w sprawie Europolu podstawę prawną takich umów międzynarodowych, zapewniającą odpowiednie zabezpieczenia, stanowi art. 218 TFUE. W latach 2018 i 2019 Rada przyjęła dziewięć mandatów upoważniających Komisję do rozpoczęcia negocjacji z państwami trzecimi w imieniu Unii. Komisja została również upoważniona do rozpoczęcia negocjacji w sprawie umowy o współpracy z Interpolem, która obejmowałaby wymianę danych z kilkoma organami i agencjami UE. We wszystkich powyższych przypadkach Rada skierowała do Komisji wytyczne negocjacyjne, aby zapewnić uwzględnienie niezbędnych zabezpieczeń w zakresie ochrony danych osobowych oraz innych podstawowych praw i wolności osób fizycznych. Na tej podstawie Komisja zakończyła już negocjacje z Nową Zelandią, w wyniku których 30 czerwca 2022 r. podpisano umowę o współpracy. Osiągnięto także postęp w negocjacjach z Izraelem. Negocjacje z Turcją są na zaawansowanym etapie, ale nie mogą zostać zakończone, dopóki Turcja nie przeprowadzi niezbędnych reform swojego prawodawstwa w zakresie ochrony danych. W marcu 2021 r. Komisja otrzymała podobne upoważnienia do negocjowania umów o współpracy, które umożliwiałyby Eurojustowi wymianę danych z 13 państwami trzecimi. Po drugie, Komisja przeprowadza obecnie pierwszy wspólny przegląd umowy między Stanami Zjednoczonymi Ameryki a Unią Europejską w sprawie ochrony informacji osobowych powiązanych z zapobieganiem przestępczości, prowadzeniem postępowań przygotowawczych, wykrywaniem i ściganiem czynów zabronionych (zwanej dalej „umową ramową”). Umowa ramowa, która weszła w życie w lutym 2017 r., zawiera kompleksowy i zharmonizowany zestaw przepisów o ochronie danych, które stosuje się do wszystkich transatlantyckich wymian między właściwymi organami. Stanowi ona uzupełnienie istniejących umów zawartych między organami ścigania UE i USA oraz między organami ścigania państw członkowskich UE i USA, ustanawia normy wysokiego poziomu ochrony na potrzeby przyszłych umów w tej dziedzinie oraz wzmacnia współpracę organów ścigania poprzez ułatwienie wymiany informacji. Celem wspomnianego wspólnego przeglądu jest ocena skuteczności wdrażania umowy ramowej, w szczególności w odniesieniu do przepisów dotyczących dalszego przekazywania, praw indywidualnych oraz sądowych środków zaskarżenia. Harmonogram wspólnego przeglądu zmienił się w wyniku zakłóceń związanych z pandemią COVID-19, a także toczących się równolegle negocjacji w sprawie drugiego protokołu dodatkowego do „budapeszteńskiej” Konwencji Rady Europy o cyberprzestępczości .Komisja zamierza zakończyć wspólny przegląd w drugiej połowie 2022 r. Umowa ramowa, jako pierwsza dwustronna umowa międzynarodowa zawierająca kompleksowy katalog praw i obowiązków w zakresie ochrony danych, stanowi punkt odniesienia podczas negocjacji mających na celu zawarcie podobnych umów ramowych z ważnymi partnerami w zakresie ścigania przestępstw. W trakcie takich negocjacji Komisja uwzględni również istotne zmiany, w tym wytyczne EROD, orzecznictwo TSUE oraz wynik międzynarodowych negocjacji w sprawie zabezpieczeń w zakresie ochrony danych w tym obszarze (takich jak np. drugi protokół dodatkowy do Konwencji o cyberprzestępczości lub umowa Europolu z Nową Zelandią). Po trzecie, Komisja uznała umowę między Unią Europejską a Japonią w sprawie wzajemnej pomocy prawnej w sprawach karnych („traktat o pomocy prawnej UE–Japonia”) za akt prawny UE regulujący przetwarzanie (przekazywanie) danych na potrzeby ścigania przestępstw, który należy zmienić w celu zapewnienia odpowiednich zabezpieczeń w zakresie ochrony danych zgodnie z dyrektywą o ochronie danych w sprawach karnych. Po wydaniu przez Radę decyzji upoważniającej do podjęcia negocjacji w celu zmiany traktatu o pomocy prawnej UE–Japonia Komisja prowadzi dalsze rozmowy z władzami japońskimi, zmierzające do jak najszybszego rozpoczęcia negocjacji. Co więcej, obecnie w coraz większym stopniu stosuje się również inne formy współpracy dostosowane do szczególnych wyzwań i potrzeb związanych z postępowaniami przygotowawczymi w dzisiejszej gospodarce cyfrowej. Formy te dotyczą głównie wzmocnionej współpracy w dziedzinie cyberprzestępczości i do celów zbierania elektronicznych materiałów dowodowych dotyczących przestępstw. Współpraca ta obejmuje bezpośrednią współpracę z podmiotami prywatnymi w zakresie dostępu do elektronicznych materiałów dowodowych. Komisja nawiązała również współpracę z partnerami międzynarodowymi w celu zapewnienia, aby te inne (ważne) formy współpracy mogły być realizowane przy zachowaniu zabezpieczeń w zakresie ochrony danych osobowych. Po pierwsze, Komisja reprezentowała Unię Europejską podczas negocjacji w ramach Rady Europy w sprawie drugiego protokołu dodatkowego do „budapeszteńskiej” Konwencji o cyberprzestępczości . Protokół ten, który został zatwierdzony przez Komitet Ministrów Rady Europy 17 listopada 2021 r., zawiera solidne zabezpieczenia w zakresie ochrony praw podstawowych, w tym artykuł zawierający szczegółowe przepisy dotyczące ochrony danych osobowych przekazywanych na podstawie protokołu. Przepisy te obejmują wszystkie podstawowe zasady ochrony danych, prawa i obowiązki uznawane w prawie Unii. Gwarancje te uzupełnia przepis dotyczący monitorowania oraz możliwość zawieszenia przekazywania danych osobowych w przypadku systematycznego lub istotnego naruszenia zabezpieczeń określonych w protokole, na przykład w przypadku braku skutecznych środków odwoławczych na drodze sądowej. Dzięki tym przepisom Komisja zapewnia odpowiednie zabezpieczenia zgodnie z wymogami określonymi w art. 37 ust. 1 lit. a) dyrektywy o ochronie danych w sprawach karnych . Jest to znaczące osiągnięcie, biorąc pod uwagę zróżnicowane członkostwo w Konwencji o cyberprzestępczości, której stronami jest obecnie 66 państw, reprezentujących różne systemy i tradycje prawne. Dzięki temu właściwe organy państw członkowskich będą mogły czerpać korzyści ze skutecznej współpracy transgranicznej w walce z cyberprzestępczością, przy jednoczesnym zapewnieniu poszanowania wartości UE odzwierciedlonych w Karcie praw podstawowych Unii Europejskiej, traktatach UE i prawie wtórnym UE. Biorąc pod uwagę dużą liczbę stron Konwencji o cyberprzestępczości, która obejmuje obecnie kraje z całego świata, protokół pomoże również promować wysokie standardy ochrony danych w zakresie przetwarzania danych w obszarze ścigania przestępstw na szczeblu globalnym. Protokół został otwarty do podpisu 12 maja 2022 r., a podpisały go już łącznie 22 strony Konwencji o cyberprzestępczości (w tym 13 państw członkowskich UE). Po drugie, Komisja rozpoczęła negocjacje w sprawie umowy dwustronnej ze Stanami Zjednoczonymi w sprawie transgranicznego dostępu do dowodów elektronicznych na potrzeby współpracy wymiarów sprawiedliwości w sprawach karnych. Umowa ta ma na celu uwzględnienie elektronicznego materiału dowodowego w postaci zarówno danych nieosobowych, jak i danych osobowych, w tym danych o ruchu i danych dotyczących treści. Co ważne, negocjacje mają również na celu włączenie do tej umowy dodatkowych zabezpieczeń w zakresie ochrony danych, które uzupełniałyby te zawarte w umowie ramowej, biorąc pod uwagę w szczególności wrażliwość poszczególnych kategorii przedmiotowych danych, a także wymagania dotyczące przekazywania elektronicznych materiałów dowodowych bezpośrednio przez dostawców usług. Postępy w tych negocjacjach będą w dużej mierze zależeć od postępów w trwającym procesie legislacyjnym dotyczącym unijnego elektronicznego materiału dowodowego . Te różne inicjatywy Komisji mające na celu opracowanie międzynarodowych instrumentów ułatwiających współpracę organów ścigania z partnerami międzynarodowymi przy jednoczesnym zapewnieniu odpowiednich zabezpieczeń służących ochronie danych były wspierane działaniami EROD i EIOD. Działania te obejmowały oświadczenie EROD w sprawie nowego projektu przepisów drugiego protokołu dodatkowego do Konwencji o cyberprzestępczości oraz opinie EIOD w sprawie projektów mandatów negocjacyjnych dotyczących umów międzynarodowych na podstawie art. 218 TFUE, które umożliwiłyby Europolowi i Eurojustowi wymianę danych osobowych z państwami trzecimi lub organizacjami międzynarodowymi . EROD wydała również oświadczenie, w którym zachęca państwa członkowskie do oceny i, w razie potrzeby, przeglądu umów międzynarodowych obejmujących międzynarodowe przekazywanie danych osobowych . Oświadczenie to dotyczy umów, które zostały zawarte przed 6 maja 2016 r., między innymi w obszarze ścigania przestępstw, i zachęca się w nim państwa członkowskie do ustalenia, czy wymagane jest dalsze dostosowanie do przepisów i orzecznictwa UE o ochronie danych.

W art. 37 dyrektywy o ochronie danych w sprawach karnych zezwala się również na międzynarodowe przekazywanie danych w oparciu o własną ocenę dokonaną przez właściwy organ, czy państwo trzecie (lub organizacja międzynarodowa) posiada odpowiednie zabezpieczenia służące ochronie danych. W tych przypadkach organ musi udokumentować przekazanie (w tym jego datę i godzinę, informacje o organie odbierającym, uzasadnienie przekazania oraz przekazane dane osobowe), a dokumentacja musi być udostępniona na żądanie organowi nadzorczemu (art. 37 ust. 3 dyrektywy o ochronie danych w sprawach karnych). Informacje zwrotne przekazane przez państwa członkowskie wskazują, że narzędzie to było rzadko stosowane. Aby umożliwić państwom członkowskim pełne wykorzystanie zestawu narzędzi związanych z przekazywaniem danych, który przewidziano w dyrektywie o ochronie danych w sprawach karnych, EROD powinna zintensyfikować swoje bieżące prace nad poszczególnymi mechanizmami przekazywania. Powinna między innymi przedstawiać wytyczne dotyczące mechanizmów określonych w art. 37 ust. 1 dyrektywy o ochronie danych w sprawach karnych, a zwłaszcza przekazywania danych w oparciu o ocenę własną dokonywaną przez właściwe organy. Tę potrzebę podkreśliła również Rada. 3.5.3Stosowanie wyjątków Na koniec należy stwierdzić, że tak zwane „wyjątki” zapewniają ważną podstawę do przekazywania pod pewnymi warunkami, określonymi w art. 38 dyrektywy o ochronie danych w sprawach karnych. Warunki te zapewniają równowagę między względami prywatności a potrzebami operacyjnymi właściwych organów. W szczególności art. 38 ust. 1 zezwala na przekazanie, a nawet na określone kategorie przekazywania danych osobowych, gdy jest to niezbędne do zapobieżenia bezpośredniemu, poważnemu ryzyku naruszenia bezpieczeństwa publicznego lub, w indywidualnych przypadkach, do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych. W przeciwieństwie do wyjątków stosowanych na podstawie art. 49 RODO nie istnieją obecnie żadne wytyczne dotyczące stosowania wyjątków na podstawie art. 38 dyrektywy o ochronie danych w sprawach karnych. 3.5.4Skuteczna współpraca policyjna i sądowa ponad granicami Dyrektywa o ochronie danych w sprawach karnych stała się już międzynarodowym punktem odniesienia w kontekście ścigania przestępstw i stanowiła katalizator dla krajów na całym świecie, aby rozważyć wprowadzenie nowoczesnych przepisów dotyczących prywatności w tym obszarze. Jest to bardzo pozytywna zmiana, która stwarza nowe możliwości lepszej ochrony osób fizycznych w UE w przypadku, gdy ich dane są przekazywane za granicę do celów ścigania przestępstw, a jednocześnie ułatwia przepływ danych, które mogą pomóc w zwalczaniu przestępczości. Bardziej ogólnie rzecz ujmując, trzeba zagwarantować, aby w przypadku otrzymania bezpośredniego wniosku o współpracę w zakresie udostępnienia danych do celów ścigania przestępstw przedsiębiorstwo działające na rynku europejskim mogło takie dane udostępnić bez ryzyka kolizji przepisów i przy pełnym poszanowaniu praw podstawowych UE . Aby usprawnić takie przekazywanie danych, Komisja zobowiązuje się do opracowania odpowiednich ram prawnych wspólnie z partnerami międzynarodowymi w celu unikania kolizji przepisów i wspierania efektywnych form współpracy, zwłaszcza przez zapewnienie niezbędnych zabezpieczeń w zakresie ochrony danych, a tym samym przyczynienia się do skuteczniejszej walki z przestępczością. W tym kontekście Komisja podjęła działania a forach dwustronnych, regionalnych i wielostronnych w celu aktywnego propagowania międzynarodowej konwergencji norm ochrony danych na potrzeby współpracy organów ścigania. W dialogu Komisji z kilkoma zagranicznymi krajami partnerskimi w sprawie trwających u nich reform ustaw o ochronie danych służby Komisji uczestniczyły w różny sposób (np. składając uwagi w odpowiedzi na konsultacje publiczne, uczestnicząc w przesłuchaniach parlamentarnych oraz specjalnych spotkaniach z przedstawicielami rządu i decydentami) w opracowanie przepisów dotyczących przetwarzania danych osobowych przez właściwe organy. Na szczeblu regionalnym i wielostronnym Komisja wspiera na przykład projekty budowania zdolności w kontekście wdrażania Konwencji o cyberprzestępczości Rady Europy . Projekty te obejmują program GLACY+, mający na celu wzmocnienie zdolności państw do stosowania przepisów dotyczących cyberprzestępczości oraz zwiększenie ich zdolności do skutecznej współpracy międzynarodowej zgodnie z Konwencją o cyberprzestępczości i jej protokołami dodatkowymi. Wiąże się to również z opracowaniem przepisów dotyczących ochrony danych obejmujących przetwarzanie danych na tym obszarze. Program wspiera obecnie 17 krajów priorytetowych i węzłowych w Afryce, regionie Azji i Pacyfiku, Ameryce Łacińskiej i regionie Karaibów. Komisja nawiązała również współpracę z Ameripolem, organizacją współpracy policyjnej skupiającą 18 państw Ameryki Łacińskiej, w celu opracowania ram ochrony danych na potrzeby wymiany informacji między Ameripolem a jego państwami członkowskimi. Współpraca ta odbywa się w ramach projektu EL PAcCTO: Support to Ameripol [Wsparcie dla Ameripolu], którego celem jest podniesienie poziomu współpracy międzynarodowej między organami policyjnymi, sądowymi i prokuratorskimi krajów partnerskich w zakresie zwalczania przestępczości zorganizowanej. Komisja propaguje również zmienioną konwencję nr 108 (znaną jako konwencja nr 108+), która ma zastosowanie także do działań związanych z przetwarzaniem danych na potrzeby ścigania przestępstw. Konwencja ta, do której mogą przystępować również państwa niebędące członkami Rady Europy, jest ważna nie tylko dlatego, że jest jedyną wielostronną wiążącą umową dotyczącą ochrony danych, ale również dlatego, że Komitet Konwencji zapewnia forum wymiany najlepszych praktyk i ustanawiania światowych standardów . W ramach swojej międzynarodowej strategii dotyczącej przepływu danych Komisja zachęca państwa trzecie do przystąpienia do konwencji nr 108+. Komisja zachęca ponadto do zwiększania konwergencji na poziomie międzynarodowym poprzez dzielenie się z partnerami naszym doświadczeniem w zakresie aspektów ochrony danych w ramach współpracy organów ścigania. Powołana przez Komisję „Akademia Ochrony Danych”, będąca częścią projektu „Międzynarodowa współpraca cyfrowa – wzmocniona ochrona danych i przepływ danych” finansowanego w ramach Instrumentu Polityki Zagranicznej, jest kluczowym narzędziem służącym do realizacji tego przedsięwzięcia. Akademię utworzono w celu wspierania wymian między organami regulacyjnymi w Europie i w państwach trzecich i usprawnienia współpracy w terenie. Jej działalność obejmuje wszystkie aspekty nadzoru nad ochroną danych, w tym w dziedzinie ścigania przestępstw. 4Dalsze działania Aby zapewnić skuteczną politykę bezpieczeństwa UE, w pełni zgodną z prawem podstawowym do ochrony danych osobowych, Komisja będzie nadal kontrolować prawidłową transpozycję przez państwa członkowskie dyrektywy o ochronie danych w sprawach karnych i monitorować stosowanie jej przepisów. Dyrektywa o ochronie danych w sprawach karnych w znacznym stopniu przyczyniła się do bardziej zharmonizowanego i wyższego poziomu ochrony praw osób fizycznych oraz do bardziej spójnych ram prawnych dla właściwych organów. Dyrektywa została zasadniczo transponowana w sposób zadowalający, lecz wskazano na szereg problemów. Komisja wszczęła już postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego dotyczące zarówno braku transpozycji dyrektywy o ochronie danych w sprawach karnych, jak i niezgodności prawa krajowego z jej przepisami. Komisja będzie kontynuować prace na rzecz zapewnienia pełnej i prawidłowej transpozycji tej dyrektywy. Dyrektywa o ochronie danych w sprawach karnych doprowadziła do zwiększenia poziomu świadomości właściwych organów krajowych dotyczącej ochrony danych oraz uwagi poświęcanej tej kwestii, również w odniesieniu do bezpieczeństwa przetwarzania. Aktywny nadzór ze strony organów nadzorujących ochronę danych ma zasadnicze znaczenie dla zapewnienia wypełnienia w praktyce celów dyrektywy o ochronie danych w sprawach karnych. Organom tym należy zatem przyznać wszystkie rodzaje uprawnień wymaganych na podstawie dyrektywy o ochronie danych w sprawach karnych, wraz z odpowiednimi zasobami. Na tym etapie należy skupić się na wykorzystaniu pełnego potencjału dyrektywy o ochronie danych w sprawach karnych. W tym kontekście i biorąc pod uwagę ograniczone doświadczenie w stosowaniu tych nowych przepisów, Komisja uważa, że jest zbyt wcześnie, aby rozważać zmianę dyrektywy o ochronie danych w sprawach karnych. Komisja będzie nadal aktywnie współpracować ze wszystkimi zainteresowanymi stronami w perspektywie kolejnej oceny, która ma zostać przeprowadzona do 2026 r. W międzyczasie będzie kontynuować prace nad zapewnieniem spójności z innymi przepisami UE, które są istotne dla przetwarzania danych osobowych na potrzeby ścigania przestępstw.

Ramy prawne Komisja zamierza: -kontynuować ocenianie transpozycji dyrektywy o ochronie danych w sprawach karnych przez państwa członkowskie i w razie potrzeby podejmować odpowiednie działania (w tym wszczynać postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego); -nadal prowadzić wymianę dwustronną z państwami członkowskimi; -zapewniać, aby przyszłe wnioski ustawodawcze były zgodne z dyrektywą o ochronie danych w sprawach karnych. Państwa członkowskie powinny: -zapewnić pełną i prawidłową transpozycję dyrektywy o ochronie danych w sprawach karnych na szczeblu krajowym, między innymi określając niezbędne wymogi wynikające z dyrektywy o ochronie danych w sprawach karnych, jeżeli nie są one określone w krajowych aktach o ochronie danych transponujących tę dyrektywę. Nadzór sprawowany przez organy nadzorujące ochronę danych Państwa członkowskie powinny: -zapewnić organom nadzorującym ochronę danych wystarczające zasoby do wykonywania zadań związanych z egzekwowaniem przepisów dyrektywy o ochronie danych w sprawach karnych; -zapewnić, aby organy nadzorujące ochronę danych mogły wykonywać wszystkie rodzaje uprawnień określonych w dyrektywie o ochronie danych w sprawach karnych; -systematycznie zasięgać opinii swoich organów nadzorujących ochronę danych w sprawie projektów przepisów i środków administracyjnych o zastosowaniu ogólnym, dotyczących ochrony danych osobowych, oraz należycie uwzględniać ich opinie (zwłaszcza w przypadku nowych technologii). Organy nadzorujące ochronę danych wzywa się do: -pełnego wykorzystywania swoich uprawnień w zakresie prowadzenia postępowań, w tym poprzez przeprowadzanie inspekcji z własnej inicjatywy; -gromadzenia określonych danych statystycznych dotyczących działań nadzorczych prowadzonych przez nie na podstawie dyrektywy o ochronie danych w sprawach karnych; -wykorzystywania narzędzi wzajemnej pomocy i opracowania praktycznych środków ułatwiających składanie wniosków o pomoc, w tym poprzez planowane wytyczne EROD. EROD wzywa się do: -rozszerzenia puli ekspertów wspierających do zadań związanych z dyrektywą o ochronie danych w sprawach karnych. Udzielanie wsparcia właściwym organom Komisja zamierza:

-umożliwiać prowadzenie dyskusji oraz wymianę doświadczeń między państwami członkowskimi oraz Komisją w ramach reprezentującej państwa członkowskie grupy ekspertów ds. dyrektywy o ochronie danych w sprawach karnych; -umożliwiać wymianę poglądów między inspektorami ochrony danych za pośrednictwem sieci inspektorów ochrony danych. Państwa członkowskie wzywa się do: -kontynuowania działań na potrzeby zapewnienia właściwym organom szkoleń na temat wymogów ochrony danych, w tym w odniesieniu do nowych technologii. EROD oraz organy nadzorujące ochronę danych wzywa się do: -wzmocnienia działań na rzecz przyjęcia odpowiednich wytycznych (np. dotyczących roli zgody w kontekście przetwarzania danych osobowych do celów ścigania przestępstw oraz praw osób, których dane dotyczą, w tym ich ewentualnych ograniczeń) poprzez przyjęcie nowych samodzielnych wytycznych albo uzupełnienie wytycznych już przyjętych na potrzeby RODO. Transgraniczne przekazywanie danych Komisja zamierza: -aktywnie propagować wśród kluczowych partnerów międzynarodowych ewentualne nowe decyzje stwierdzające odpowiedni stopień ochrony; -negocjować nowe umowy o współpracy między Europolem i Eurojustem z jednej strony, a państwami trzecimi z drugiej. W razie potrzeby Komisja będzie dążyć do renegocjacji istniejących umów o współpracy z Europolem w celu uwzględnienia w nich odpowiednich zabezpieczeń służących ochronie danych; -podjąć negocjacje z Japonią w celu zmiany istniejącej umowy w sprawie wzajemnej pomocy prawnej między UE a Japonią, aby zapewnić odpowiednie zabezpieczenia służące ochronie danych; -kontynuować i zakończyć negocjacje w sprawie umowy dwustronnej ze Stanami Zjednoczonymi w sprawie transgranicznego dostępu do elektronicznego materiału dowodowego na potrzeby współpracy wymiarów sprawiedliwości w sprawach karnych, między innymi uzupełniając zabezpieczenia służące ochronie danych zagwarantowane w umowie ramowej między UE a USA, aby odzwierciedlić specyficzny kontekst bezpośredniej współpracy organów ścigania z dostawcami usług; -zbadać możliwość zawarcia z ważnymi partnerami będącymi organami ścigania umów ramowych o przetwarzaniu danych w obszarze ścigania przestępstw, opierając się na przykładzie umowy ramowej między UE a USA. EROD wzywa się do: -przyjęcia wytycznych w celu doprecyzowania pojęcia i treści „odpowiednich zabezpieczeń” (art. 37 dyrektywy o ochronie danych w sprawach karnych), jak również zasad stosowania wyjątków (art. 38 dyrektywy o ochronie danych w sprawach karnych). Promowanie konwergencji i rozwijanie współpracy międzynarodowej Komisja zamierza: -rozszerzyć współpracę z partnerami międzynarodowymi w celu wzmocnienia konwergencji przepisów o ochronie danych w dziedzinie ścigania przestępstw, między innymi poprzez propagowanie przystąpienia do konwencji nr 108+ jako jedynej wiążącej ogólnoświatowej umowy o ochronie danych; -propagować współpracę dwustronną, regionalną i wielostronną oraz wspierać projekty budowania zdolności w dziedzinie ochrony danych i współpracy policyjnej. Będzie to obejmować szkolenia oraz wymianę wiedzy i najlepszych praktyk za pośrednictwem Akademii Ochrony Danych. Państwa członkowskie wzywa się do: