Rozporządzenie Ministra Spraw Wewnętrznychz dnia 31 grudnia 2012 r.w sprawie przetwarzania informacji przez Policję Spis treści Treść rozporządzenia Rozdział 1 - Przepisy ogólne Rozdział 2 - Zbiory danych i ich zestawy Rozdział 3 - Wprowadzanie informacji do zbiorów danych i sposoby ich przetwarzania, dostęp do informacji oraz kontrola i nadzór nad ich przetwarzaniem Rozdział 4 - Dokumentowanie pobieranych, gromadzonych i uzyskiwanych informacji, w tym danych osobowych, oraz wzory dokumentów obowiązujących przy ich przetwarzaniu Rozdział 5 - Rodzaje służb policyjnych uprawnionych do korzystania ze zbiorów danych Rozdział 6 - Sposób oceny danych osobowych pod kątem ich przydatności w prowadzonych postępowaniach oraz sposoby weryfikacji i usuwania danych osobowych Rozdział 7 - Przepisy przejściowe i przepis końcowy Załącznik nr 1 - Warunki techniczne i sposoby wykonywania zdjęć sygnalitycznych oraz zdjęć zwłok Załącznik nr 2 - Karta daktyloskopijna odcisków linii papilarnych palców (wzór) Załącznik nr 3 - Karta daktyloskopijna odcisków linii papilarnych dłoni (wzór) Załącznik nr 4 - Karta daktyloskopijna odcisków linii papilarnych palców sporządzana w przypadku pobierania odcisków linii papilarnych na podstawie art. 192a § 1 Kodeksu postępowania karnego (wzór) Załącznik nr 5 - Karta daktyloskopijna odcisków linii papilanrych dłoni sporządzana w przypadku pobierania odcisków linii papilarnych na podstawie art. 192a § 1 Kodeksu postępowania karnego (wzór) Załącznik nr 6 - Karta albumowa (wzór) Załącznik nr 7 - Protokół likwidacji zbioru danych albo zestawu zbiorów danych (wzór) Załącznik nr 8 - Protokół usunięcia danych osobowych ze zbioru danych (wzór) Treść rozporządzenia Na podstawie art. 20 ust. 19 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2011 r. Nr 287, poz. 1687, z późn. zm.2)Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2011 r. Nr 217, poz. 1280 i Nr 230, poz. 1371 oraz z 2012 r. poz. 627, 664, 908, 951 i 1529.) zarządza się, co następuje: Rozdział 1 Przepisy ogólne § 1. Rozporządzenie określa: 1) tryb gromadzenia oraz sposoby przetwarzania w zbiorach danych informacji, w tym danych osobowych, o: a) osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego, b) nieletnich dopuszczających się czynów zabronionych przez ustawę jako przestępstwa ścigane z oskarżenia publicznego, c) osobach o nieustalonej tożsamości lub usiłujących ukryć swoją tożsamość, d) osobach poszukiwanych ukrywających się przed organami ścigania lub wymiaru sprawiedliwości, e) osobach poszukiwanych uznanych za zaginione; 2) tryb gromadzenia oraz sposoby przetwarzania w zbiorach danych informacji, w tym danych osobowych uzyskanych lub przetwarzanych przez organy innych państw lub przez Międzynarodową Organizację Policji Kryminalnych - INTERPOL; 3) tryb gromadzenia i sposoby przetwarzania w zbiorach danych informacji, w tym danych osobowych, określonych w pkt 1 przekazywanych organom innych państw lub Międzynarodowej Organizacji Policji Kryminalnych - INTERPOL w celu zapobiegania przestępczości i jej zwalczania; 4) rodzaje służb policyjnych uprawnionych do korzystania ze zbiorów danych prowadzonych przez Policję lub zbiorów danych udostępnionych Policji; 5) wzory dokumentów obowiązujących przy przetwarzaniu danych; 6) sposób oceny danych pod kątem ich przydatności w prowadzonych sprawach. § 2. Użyte w rozporządzeniu określenia i skróty oznaczają: 1) Interpol - Międzynarodową Organizację Policji Kryminalnych - INTERPOL; 2) KBI Warszawa - Krajowe Biuro Interpolu w Warszawie; 3) kierownik komórki organizacyjnej KGP - kierownika komórki organizacyjnej Komendy Głównej Policji bezpośrednio podległego Komendantowi Głównemu Policji lub jego zastępcom oraz dyrektora Centralnego Laboratorium Kryminalistycznego Policji; 4) ustawa o ochronie danych osobowych - ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm.3)Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2002 r. Nr 153, poz. 1271, z 2004 r. Nr 25, poz. 219 i Nr 33, poz. 285, z 2006 r. Nr 104, poz. 708 i 711, z 2007 r. Nr 165, poz. 1170 i Nr 176, poz. 1238, z 2010 r. Nr 41, poz. 233, Nr 182, poz. 1228 i Nr 229, poz. 1497 oraz z 2011 r. Nr 230, poz. 1371.); 5) ustawa o Policji - ustawę z dnia 6 kwietnia 1990 r. o Policji; 6) zestaw zbiorów danych - kilka zbiorów danych prowadzonych na podstawie wspólnych dla tych zbiorów systemów teleinformatycznych, zintegrowanych wspólnymi środkami dostępu oraz zawierających powiązane ze sobą informacje, w tym dane osobowe. § 3. 1. Administratorem zbiorów danych, w których są przetwarzane informacje, o których mowa w § 1 pkt 1, jest Komendant Główny Policji. 2. Komendant Główny Policji jest również administratorem danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych w odniesieniu do danych osobowych dotyczących osób, o których mowa w § 1 pkt 1, przetwarzanych przez Policję w zbiorach danych. 3. W odniesieniu do danych osobowych uzyskanych od organów innych państw lub z Interpolu, a następnie przetwarzanych przez Policję w celu realizacji jej zadań ustawowych, Komendant Główny Policji posiada uprawnienia i wykonuje zadania administratora danych określone w ustawie o ochronie danych osobowych. § 4. Tryb gromadzenia informacji, w tym danych osobowych, w zbiorach danych obejmuje: 1) tworzenie zbiorów danych w Policji; 2) wprowadzanie informacji do zbiorów danych; 3) procedury zapewniające: a) dokumentowanie pobieranych, gromadzonych i uzyskiwanych informacji, b) kontrolę dostępu do zbiorów danych oraz nadzór nad przetwarzaniem informacji, c) weryfikację i usuwanie informacji ze zbiorów danych. Rozdział 2 Zbiory danych i ich zestawy § 5. 1. Zbiory danych, w których Policja gromadzi lub przetwarza informacje, w tym dane osobowe, są prowadzone w systemach teleinformatycznych lub w formie sporządzanych ręcznie kartotek, skorowidzów, ksiąg, wykazów, registratur, rejestrów, albumów lub innych ewidencji. 2. Zbiór danych może być utworzony, gdy gromadzenie lub przetwarzanie informacji, w tym danych osobowych w zbiorze danych, w szczególności cele prowadzenia zbioru, jego zakres terytorialny, rzeczowy lub zastosowane sposoby przetwarzania w nim informacji pozwolą skuteczniej wykonywać zadania ustawowe Policji, albo zapewnią lepszą kontrolę, lepszy nadzór lub lepszą ochronę informacji, niż w przypadku gromadzenia lub przetwarzania informacji poza zbiorem danych. 3. Zestaw zbiorów danych może być utworzony, gdy celowe jest zintegrowanie, skoordynowanie i usprawnianie przetwarzania informacji, w tym danych osobowych, zgromadzonych w odrębnych zbiorach danych. § 6. 1. Zbiory danych oraz zestawy zbiorów danych tworzy w drodze decyzji Komendant Główny Policji, który ustala ich zakres informacyjny, rzeczowy i terytorialny, odpowiada za ich wewnętrzną strukturę, przeznaczenie oraz funkcjonowanie w Policji, a także dostosowuje właściwości tych zbiorów oraz procedury przetwarzania w nich informacji do rodzaju zadań wykonywanych przez Policję, zakresu informacji niezbędnych do wykonania określonego zadania, a także do osiągnięcia celów przetwarzania informacji w tych zbiorach. 2. Komendant Główny Policji może zezwolić na wykonanie repliki całości lub części zbioru danych, albo całości lub części zestawu zbiorów danych w celu usprawnienia dostępu określonej jednostki lub komórki organizacyjnej Policji do przetwarzanych informacji, w tym danych osobowych. § 7. 1. Komendant Główny Policji prowadzi rejestr zbiorów danych oraz zestawów zbiorów danych utworzonych w Policji. 2. Rejestr, o którym mowa w ust. 1, zawiera w szczególności: 1) oznaczenie rodzaju, formy prowadzenia i nazwy zbioru danych lub zestawu zbiorów danych oraz wskazanie daty wpisu do rejestru; 2) informacje o podmiotach odpowiedzialnych za administrowanie zbiorem danych lub zestawem zbiorów danych i uprawnionych do korzystania ze zbioru danych lub zestawu zbiorów danych; 3) wskazanie daty utworzenia i podstawy prawnej prowadzenia zbioru danych lub zestawu zbiorów danych; 4) oznaczenie celu prowadzenia, zakresu informacyjnego, rzeczowego i terytorialnego zbioru danych lub zestawu zbiorów danych; 5) datę likwidacji zbioru danych lub zestawu zbiorów danych oraz numer ewidencyjny i datę sporządzenia protokołu likwidacji zbioru danych lub zestawu zbiorów danych; 6) określenie liczby utworzonych replik zbioru danych lub jego części, albo liczby utworzonych replik całości lub części zestawu zbiorów danych wraz ze wskazaniem jednostek lub komórek organizacyjnych Policji, dla których repliki utworzono, oraz wskazaniem dla każdej repliki informacji, o których mowa w pkt 2, 3 i 5. 3. Wraz z rejestrem prowadzi się zbiór dokumentów zawierający, odrębnie dla każdego zbioru danych lub zestawu zbiorów danych, kopie: 1) aktów prawnych dotyczących utworzenia zbioru danych lub zestawu zbiorów danych; 2) dokumentów dotyczących zmian danych objętych rejestrem; 3) protokołu likwidacji zbioru danych lub zestawu zbiorów danych. § 8. 1. Zbiór danych lub zestaw zbiorów danych likwiduje się łącznie z wykonanymi replikami, na podstawie decyzji administratora zbioru danych określającej datę likwidacji zbioru, skład osobowy komisji likwidacyjnej oraz sposób usunięcia zgromadzonych w zbiorze danych informacji, w tym danych osobowych. 2. Z likwidacji zbioru danych lub zestawu zbiorów danych sporządza się protokół. § 9. 1. W systemie teleinformatycznym może być prowadzony więcej niż jeden zbiór danych oraz mogą być przetwarzane informacje, w tym dane osobowe, z różnych zbiorów danych, z zachowaniem właściwego poziomu ochrony przetwarzanych informacji wynikającego z przepisów o ochronie danych osobowych oraz ochronie informacji niejawnych. 2. Zbiór danych może być przetwarzany przy użyciu kilku systemów teleinformatycznych, jeżeli wymagają tego cele przetwarzania. 3. Uzyskiwanie informacji, w tym danych osobowych, udostępnianych Policji w trybie określonym w art. 20 ust. 15 i 16 ustawy o Policji może odbywać się za pośrednictwem systemów teleinformatycznych, w których są prowadzone policyjne zbiory danych. 4. W zestawach zbiorów danych zapewnia się zachowanie właściwego poziomu ochrony i bezpieczeństwa określonych kategorii informacji, w tym danych osobowych, przetwarzanych w poszczególnych zbiorach danych, oraz zróżnicowanie dostępu do zbiorów danych w zależności od ich przeznaczenia oraz przydatności lub niezbędności określonych informacji, w tym danych osobowych, do wykonywania poszczególnych zadań Policji. § 10. 1. Do wykonywania czynności w zakresie pobierania, uzyskiwania, gromadzenia, sprawdzania, przetwarzania i wykorzystywania informacji, w tym danych osobowych, o których mowa w art. 20 ust. 2a i 2b ustawy o Policji, prowadzi się w Policji Krajowy System Informacyjny Policji (KSIP) będący zestawem zbiorów danych przetwarzanych w systemach teleinformatycznych. 2. W KSIP mogą być przetwarzane również informacje, w tym dane osobowe, do których gromadzenia, uzyskiwania i przetwarzania Policja jest uprawniona na podstawie odrębnych ustaw, jeżeli takie przetwarzanie przyczynia się do koordynacji informacji oraz efektywniejszej organizacji i realizacji ustawowych zadań Policji w zakresie wykrywania i ścigania sprawców przestępstw oraz zapobiegania przestępczości oraz jej zwalczania, a także ochrony życia i zdrowia ludzi. 3. Do funkcjonowania KSIP stosuje się odpowiednio przepisy § 6. Rozdział 3 Wprowadzanie informacji do zbiorów danych i sposoby ich przetwarzania, dostęp do informacji oraz kontrola i nadzór nad ich przetwarzaniem § 11. 1. Policjanci lub pracownicy Policji są obowiązani do wprowadzania informacji, w tym danych osobowych, do zbioru danych, jeżeli w toku wykonywania czynności służbowych, zaistniały okoliczności uzasadniające pobranie, uzyskanie lub zgromadzenie tych informacji. 2. Policjanci lub pracownicy Policji uprawnieni do przetwarzania informacji, w tym danych osobowych, w zbiorze danych przed wykonaniem każdej operacji przetwarzania są obowiązani sprawdzić, czy informacja podlegająca wprowadzeniu do zbioru danych nie została już do niego wprowadzona. 3. Policjanci lub pracownicy Policji korzystają z informacji, w tym z danych osobowych, przetwarzanych w zbiorach danych wyłącznie wtedy, gdy jest to przydatne lub niezbędne do prawidłowego wykonania czynności służbowych oraz podczas ich wykonywania. § 12. 1. Do przetwarzania informacji, w tym danych osobowych, oraz do użytkowania systemów teleinformatycznych, w których są przetwarzane informacje określone w § 1 pkt 1 i 2, a także informacje, o których mowa w art. 20 ust. 15 ustawy o Policji, udostępnione Policji w sposób określony w art. 20 ust. 16 tej ustawy, dopuszcza się wyłącznie policjantów i pracowników Policji upoważnionych przez Komendanta Głównego Policji, zwanych dalej „osobami uprawnionymi”. 2. Komendant Główny Policji określa, indywidualnie dla każdego zbioru danych, w trybie określonym w § 6, procedury nadawania, zmiany, cofania lub utraty uprawnień osobom uprawnionym. W tym samym trybie Komendant Główny Policji określa osoby upoważnione w jego imieniu do nadawania, zmiany i cofania uprawnień osobom uprawnionym. § 13. Przed dopuszczeniem do pracy przy przetwarzaniu informacji, w tym danych osobowych, w zbiorze danych, w tym prowadzonym w systemie teleinformatycznym, każdą osobę uprawnioną zaznajamia się z przepisami dotyczącymi zbioru danych oraz przetwarzania informacji, w tym danych osobowych, w tym zbiorze danych, a także z przepisami dotyczącymi ochrony informacji, w tym danych osobowych, w nim zgromadzonych. Osoba uprawniona składa pisemne oświadczenie o zapoznaniu się z tymi przepisami. § 14. 1. Systemy teleinformatyczne, w których są zgromadzone dane osobowe, wyposaża się w mechanizmy uwierzytelniania użytkownika oraz kontroli dostępu do przetwarzanych danych. 2. Dla każdej osoby uprawnionej będącej użytkownikiem systemu teleinformatycznego ustala się odrębny identyfikator i hasło użytkownika. 3. Bezpośredni dostęp do danych osobowych przetwarzanych w systemie teleinformatycznym może mieć miejsce wyłącznie po podaniu identyfikatora i właściwego hasła użytkownika. § 15. Stosuje się następujące sposoby przetwarzania informacji, w tym danych osobowych, zawartych w zbiorach danych: 1) rejestrowanie - polegające na wprowadzaniu informacji po raz pierwszy do zbioru danych; 2) sprawdzanie - polegające na zapoznaniu się z informacjami znajdującymi się w zbiorach danych; 3) klasyfikowanie - polegające na porządkowaniu zawartości zbiorów danych według określonych kryteriów; 4) weryfikowanie - polegające na sprawdzaniu poprawności, kompletności i prawidłowości zarejestrowanych informacji lub na dokonywaniu oceny przydatności albo niezbędności informacji do dalszego ich przetwarzania; 5) modyfikowanie - polegające na zmianie zawartości informacji znajdujących się w zbiorze danych, w tym zmianę zarejestrowanych informacji lub ich uzupełnienie; 6) typowanie - polegające na wyszukaniu i identyfikacji w zbiorach danych, informacji o cechach odpowiadających określonym kryteriom selekcyjnym; 7) analizowanie - polegające na poszukiwaniu związków zachodzących pomiędzy poszczególnymi informacjami znajdującymi się w zbiorze danych; 8) przekazywanie - polegające na udostępnieniu informacji ze zbioru danych innemu uprawnionemu podmiotowi, bez względu na formę tej czynności; 9) usuwanie - polegające na zniszczeniu lub deformacji informacji w sposób uniemożliwiający dalsze ich odczytywanie; 10) wykorzystywanie - polegające na korzystaniu z informacji zgromadzonych w zbiorze danych w celu wykrywczym, dowodowym lub identyfikacyjnym. § 16. Administrator zbioru danych zapewnia rejestrację, w formie odpowiedniej do właściwości danego zbioru danych, każdej operacji przetwarzania informacji, w tym danych osobowych, w zakresie: 1) czasu (daty, godziny i minuty) rozpoczęcia i zakończenia pracy w systemie teleinformatycznym lub w ręcznie sporządzanej ewidencji; 2) identyfikatora kadrowego, niezbędnych danych identyfikacyjnych oraz posiadanego uprawnienia dostępu do zbioru danych policjanta lub pracownika Policji wykonującego operację przetwarzania; 3) zakresu informacji, do których policjant lub pracownik Policji miał dostęp w związku z wykonywaną operacją przetwarzania informacji; 4) daty pierwszego wprowadzenia informacji do zbioru danych; 5) źródła informacji w przypadku uzyskania danych osobowych nie od osoby, której dane dotyczą; 6) przyczyny, zakresu i celu modyfikacji informacji, jaka nastąpiła w wyniku wykonanej operacji przetwarzania informacji; 7) danych identyfikujących osobę zlecającą wykonanie operacji przetwarzania informacji; 8) wskazania celu lub powodu wykonania operacji przetwarzania informacji; 9) wniosków składanych w związku z realizacją praw określonych w art. 32 ust. 1 pkt 6 i art. 33 ustawy o ochronie danych osobowych. § 17. 1. Operacje przetwarzania informacji, w tym danych osobowych, mogą być wykonywane również na zlecenie policjantów i pracowników Policji uprawnionych do przetwarzania informacji, w tym danych osobowych, zgromadzonych w danym zbiorze danych, którzy nie mają bezpośredniego dostępu do systemu teleinformatycznego, w którym jest prowadzony ten zbiór danych. Do zlecającego stosuje się odpowiednio § 12 i § 13. 2. Do przetwarzania, o którym mowa w ust. 1, stosuje się formularze rejestracyjne. 3. Za prawidłowe i poprawne wykonanie operacji przetwarzania informacji, w tym danych osobowych, odpowiadają osoby uprawnione bezpośrednio przetwarzające informacje w zbiorze danych, a za prawidłowe i poprawne wypełnienie formularza rejestracyjnego zlecający wykonanie operacji przetwarzania informacji. 4. Kierownicy jednostek organizacyjnych Policji mogą wyznaczyć komórki właściwe w sprawach wykonywania operacji przetwarzania informacji, w tym danych osobowych, w zbiorach danych. § 18. 1. Informacjom, w tym danym osobowym, wprowadzanym po raz pierwszy do systemu teleinformatycznego, w którym jest prowadzony określony zbiór danych, nadaje się indywidualny identyfikator tego zbioru. 2. W przypadku gdy ta sama informacja, w tym dane osobowe, podlega rejestracji w więcej niż jednym zbiorze danych lub w obrębie jednego zbioru danych, ale w kilku odrębnych kategoriach informacji wydzielonych w tym zbiorze, każda rejestracja tej informacji ma odrębny identyfikator danego zbioru lub kategorii oraz wskazanie jej powiązania z rejestracjami dokonanymi w pozostałych zbiorach danych lub kategoriach. § 19. Informacje, w tym dane osobowe, przetwarza się przy użyciu: 1) sposobów zapewniających zgodność przetwarzania ze wskazanym dla zbioru danych celem przetwarzania; 2) dokumentów sporządzonych według wzorów określonych w niniejszym rozporządzeniu właściwych dla zbioru danych; 3) wprowadzonych przez administratora zbioru danych formularzy usprawniających pod względem technicznym przetwarzanie informacji, jeżeli wymagają tego właściwości zbioru danych. § 20. Informacje, o których mowa w art. 20 ust. 2aa i 2ab ustawy o Policji, przetwarza KBI Warszawa w globalnym systemie komunikacji Interpolu I - 24/7 poprzez: 1) bezpośredni dostęp do tego systemu oraz przetwarzanie informacji w zbiorach danych Interpolu; 2) wymianę informacji z Sekretariatem Generalnym Interpolu albo bezpośrednio z innymi krajowymi biurami Interpolu. § 21. 1. Pobierane i uzyskiwane przez Policję dane osobowe, w postaci odcisków linii papilarnych, przetwarza się w zbiorze danych - Centralna Registratura Daktyloskopijna. 2. Pobranie odcisków linii papilarnych następuje poprzez wypełnienie jednostronnych kart daktyloskopijnych w dwóch egzemplarzach albo poprzez pobranie ich za pomocą urządzenia do elektronicznego daktyloskopowania. 3. Pobrane odciski linii papilarnych rejestruje się w Centralnej Registraturze Daktyloskopijnej poprzez przekazanie dwóch jednostronnie wypełnionych kart daktyloskopijnych albo poprzez przesłanie zapisu odcisków linii papilarnych w postaci elektronicznej z użyciem systemu teleinformatycznego. § 22. 1. Pobierane i uzyskiwane przez Policję informacje w