Bazy profili DNA, prywatność i polskie ramy prawne

Streszczenie

Profil DNA może pomóc połączyć ślad z osobą, rozdzielić osoby niespokrewnione, wskazać możliwe pokrewieństwo albo przywrócić nazwisko niezidentyfikowanym szczątkom. Ta użyteczność nie znosi jednak podstawowego problemu: materiał biologiczny pochodzi z ciała człowieka, profil jest trwałym identyfikatorem, a błędne przypisanie rekordu może oddziaływać na osobę przez wiele lat.

Prawo nie powinno więc odpowiadać wyłącznie na pytanie, czy analiza DNA pomaga wykrywać przestępstwa. Musi również określać:

• od kogo i w jakiej sytuacji wolno pobrać materiał;
• jaki zakres analizy jest dopuszczalny;
• kto decyduje o wprowadzeniu profilu do bazy;
• w jakich celach wolno go porównywać;
• komu można ujawnić wynik dopasowania;
• jak długo przechowuje się profil i samą próbkę;
• kiedy dane trzeba usunąć, a materiał zniszczyć;
• jak osoba może zakwestionować pomyłkę albo bezprawne przetwarzanie.

Poniższy tekst opisuje te zagadnienia przede wszystkim z perspektywy polskiej kryminalistyki. Stan prawny i stan wdrażania regulacji unijnych sprawdzono 26 lipca 2026 roku. Jest to materiał edukacyjny, a nie porada prawna. W konkretnej sprawie znaczenie mają aktualne brzmienie przepisów, etap postępowania, podstawa pobrania, treść postanowienia oraz status danej osoby.

Najpierw rozdziel pięć różnych obiektów

W potocznym zdaniu „policja ma czyjeś DNA” mieści się kilka odmiennych rzeczy. Ich rozróżnienie jest konieczne zarówno dla biologa, jak i dla prawnika.

1. Materiał biologiczny

To wymaz z wewnętrznej strony policzka, krew, włosy z cebulkami, fragment tkanki, ślina na przedmiocie albo inna próbka zawierająca komórki. Może pochodzić:

• bezpośrednio od znanej osoby;
• z miejsca zdarzenia;
• z niezidentyfikowanych zwłok;
• od krewnego osoby zaginionej;
• z przedmiotu, którego użytkownik nie jest jeszcze znany.

Próbka może zawierać cały genom jądrowy, DNA mitochondrialny, materiał innych ludzi oraz informacje niezwiązane z celem identyfikacyjnym. Z punktu widzenia potencjału informacyjnego jest znacznie bogatsza od standardowego profilu STR.

2. Ekstrakt DNA

To frakcja otrzymana po izolacji DNA z próbki. Nadal może pozwalać na wykonanie wielu przyszłych analiz. Nawet jeżeli dziś laboratorium zbadało wyłącznie markery identyfikacyjne, zachowany ekstrakt może jutro posłużyć do sekwencjonowania albo oznaczenia innych cech.

3. Profil DNA

W typowej identyfikacji kryminalistycznej jest to uporządkowany zestaw alleli w wybranych loci, na przykład autosomalnych STR. Profil nie jest zapisem całego genomu ani „genetycznym zdjęciem człowieka”. Jest jednak identyfikatorem powstałym z analizy materiału genetycznego. Może też ujawniać prawdopodobne pokrewieństwo, a w pewnych układach markerów — informację o płci chromosomalnej.

4. Rekord w bazie

Rekord łączy profil z metadanymi. Zależnie od kategorii mogą to być dane osobowe, numer sprawy, informacja o rodzaju śladu, status osoby, jednostka wprowadzająca dane i historia operacji. Sama tabela alleli i rekord operacyjny nie są zatem tym samym.

5. Trafienie, czyli hit

To wynik porównania wskazujący zgodność albo podobieństwo dwóch profili według reguł systemu. Trafienie nie dowodzi jeszcze:

• kto pozostawił ślad;
• kiedy i w jaki sposób materiał znalazł się na przedmiocie;
• że nie doszło do kontaminacji, transferu wtórnego lub błędu;
• że dana osoba popełniła przestępstwo.

Hit jest informacją kierunkującą dalsze czynności. Wymaga weryfikacji laboratoryjnej, oceny akt, kontroli tożsamości i interpretacji w kontekście zdarzenia.

Najważniejsze rozróżnienie: zniszczenie wymazu nie zawsze oznacza automatyczne usunięcie profilu, a usunięcie profilu z bazy nie musi być tym samym co usunięcie wszystkich dokumentów procesowych, raportów i kopii technicznych.

Warstwy regulacji: jedna czynność, kilka porządków prawnych

Nie istnieje pojedynczy „przepis o DNA”, który rozwiązuje wszystkie sytuacje. Działanie bazy znajduje się na przecięciu kilku warstw.

Konstytucja i prawa podstawowe

Konstytucyjna ochrona życia prywatnego oraz autonomia informacyjna wyznaczają punkt wyjścia. Artykuł 51 Konstytucji ogranicza możliwość pozyskiwania, gromadzenia i udostępniania informacji o obywatelach przez władze publiczne oraz przewiduje prawo dostępu i żądania sprostowania lub usunięcia informacji nieprawdziwych, niepełnych albo zebranych niezgodnie z ustawą.¹

Na poziomie europejskim znaczenie mają także prawo do poszanowania życia prywatnego z art. 8 Europejskiej konwencji praw człowieka oraz art. 7 i 8 Karty praw podstawowych UE. Ingerencja może być dopuszczalna, ale powinna mieć podstawę prawną, realizować uzasadniony cel i być konieczna oraz proporcjonalna.

Przepisy o czynnościach policyjnych i procesie karnym

Ustawa o Policji określa między innymi kategorie osób i śladów obsługiwanych w policyjnej bazie danych DNA, cele przetwarzania, zasady udostępniania oraz niektóre przesłanki usuwania. Kodeks postępowania karnego reguluje obowiązki oskarżonego i osoby podejrzanej, pobrania w celu ograniczenia kręgu osób podejrzanych oraz wykorzystanie materiału w postępowaniu.

Ochrona danych w działalności organów ścigania

Częstym błędem jest założenie, że każdą policyjną operację na profilu DNA ocenia się bezpośrednio według RODO. Jeżeli właściwy organ przetwarza dane w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, zastosowanie ma szczególny reżim ochrony danych w działalności organów ścigania. W Polsce tworzy go ustawa z 14 grudnia 2018 roku, wdrażająca dyrektywę 2016/680.

RODO pozostaje istotne w innych kontekstach, na przykład w części badań naukowych, usług komercyjnych, zatrudnienia lub działalności podmiotów, które nie działają jako właściwy organ w celu ścigania przestępstw. O wyborze reżimu nie przesądza napis „DNA” na próbce, lecz kto, po co i na jakiej podstawie przetwarza dane.

Przepisy wykonawcze, procedury i standardy laboratoryjne

Ustawowa zgoda na przetwarzanie nie mówi jeszcze, jak oznaczyć próbkę, rozdzielić strefy pracy, zatwierdzić profil, dokumentować zmianę rekordu czy badać incydent bezpieczeństwa. Te kwestie rozwijają rozporządzenia, zarządzenia, instrukcje, system jakości laboratorium i normy akredytacyjne.

Procedura laboratoryjna nie może jednak sama stworzyć podstawy prawnej. I odwrotnie: zgodność formalna z ustawą nie zastępuje walidacji metody, kontroli jakości oraz kompetencji analityka.

Kogo obejmuje policyjna baza danych DNA

Centralnym administratorem policyjnej bazy danych DNA jest Komendant Główny Policji. Obecne brzmienie ustawy o Policji wymienia kilka grup, których informacje mogą się w niej znaleźć.²

W uproszczeniu są to:

• osoby podejrzane albo podejrzewane o popełnienie przestępstwa ściganego z oskarżenia publicznego;
• nieletni dopuszczający się określonych czynów zabronionych;
• osoby stwarzające zagrożenie w rozumieniu właściwej ustawy;
• osoby objęte wskazanymi regulacjami antyterrorystycznymi;
• oskarżeni i skazani;
• osoby o nieustalonej tożsamości albo usiłujące ją ukryć;
• niezidentyfikowane zwłoki ludzkie;
• ślady nieznanych sprawców;
• osoby zaginione;
• osoby udzielające materiału porównawczego w celu identyfikacji zaginionego lub zwłok;
• policjanci i pracownicy mający kontakt z materiałem dowodowym, których profile służą eliminacji przypadkowych zanieczyszczeń.

Ta lista nie powinna być zamieniana w jedną zbiorczą etykietę „przestępcy”. W tej samej infrastrukturze mogą występować:

• skazany;
• osoba dopiero podejrzewana;
• niewinna osoba pobrana w celu wyłączenia;
• członek rodziny poszukujący zaginionego;
• profil niezidentyfikowanego śladu;
• profil pracownika laboratorium.

Kategorie wymagają separacji logicznej i odmiennego traktowania. Inny jest cel poszukiwania autora śladu, inny — identyfikacji zwłok, a jeszcze inny — wykrycia kontaminacji przez personel.

Kiedy można pobrać materiał

Podstawa pobrania zależy od statusu osoby i celu czynności. Nie wolno budować ogólnej reguły typu „policja zawsze potrzebuje zgody” ani odwrotnej: „w sprawie karnej zgoda nigdy nie ma znaczenia”.

Oskarżony i osoba podejrzana

Kodeks postępowania karnego przewiduje obowiązek poddania się pobraniu wymazu ze śluzówki policzków, jeżeli jest to nieodzowne i nie zagraża zdrowiu. Wobec osoby podejrzanej ustawa dopuszcza ponadto między innymi pobranie krwi, włosów i wydzielin organizmu przy spełnieniu ustawowych warunków. W razie odmowy przepisy przewidują możliwość zatrzymania, przymusowego doprowadzenia oraz zastosowania koniecznych środków przymusu.³

To nie oznacza dowolności. Organ powinien umieć wykazać:

• cel związany z konkretnym postępowaniem;
• przydatność pobrania do tego celu;
• nieodzowność albo konieczność przewidzianą przez właściwy przepis;
• zachowanie wymagań zdrowotnych i proceduralnych;
• prawidłowe udokumentowanie tożsamości oraz pochodzenia próbki.

Ograniczenie kręgu osób podejrzanych

Artykuł 192a Kodeksu postępowania karnego pozwala pobierać określony materiał, w tym wymaz ze śluzówki policzków, w celu ograniczenia kręgu osób podejrzanych albo ustalenia wartości dowodowej ujawnionych śladów.

Ten tryb dobrze pokazuje zasadę ograniczenia celu. Jeżeli materiał okazuje się zbędny dla postępowania, ustawa nakazuje jego niezwłoczne usunięcie z akt i zniszczenie. Pobranie od grupy osób w celu wyłączenia nie jest automatycznym biletem do trwałego przechowywania ich profili w kategorii sprawców.

Osoba o nieustalonej tożsamości

Ustawa o Policji pozwala pobrać wymaz, gdy jest to potrzebne do ustalenia tożsamości osoby nieznanej albo próbującej ukryć tożsamość i nie można jej ustalić w inny sposób. Warunek braku wystarczającej alternatywy ma znaczenie: DNA nie powinno zastępować prostszej identyfikacji tylko dlatego, że technicznie jest dostępne.

Osoby zaginione i dawcy referencyjni

Materiał może być pobrany za zgodą w celu identyfikacji osób zaginionych lub niezidentyfikowanych zwłok. Dawcą bywa biologiczny krewny. Jego profil nie ma opisywać dawcy jako podejrzanego, lecz pomóc obliczyć zgodność hipotezy pokrewieństwa.

Zgoda powinna być konkretna i świadoma. Dawca powinien rozumieć co najmniej:

• po co pobiera się materiał;
• z czym profil będzie porównywany;
• czy mogą ujawnić się niespodziewane relacje rodzinne;
• jak długo dane mogą być przechowywane;
• w jakiej procedurze następuje usunięcie;
• czy i kiedy dane mogą trafić do porównań międzynarodowych.

Niezidentyfikowane zwłoki

Materiał ze zwłok nie jest „niczyj”. Wynik może wpływać na rodzinę, postępowanie i dobre imię zmarłego. Pobranie powinno zachować łańcuch zabezpieczenia, umożliwiać ponowną kontrolę i respektować rozdział między identyfikacją a poszukiwaniem sprawcy.

Od probówki do rekordu: gdzie powstają decyzje prawne

Typowy przepływ można przedstawić następująco:

1. Organ ustala podstawę oraz cel pobrania.
2. Osoba pobierająca potwierdza tożsamość dawcy albo opisuje nieznane pochodzenie śladu.
3. Próbka otrzymuje identyfikator i zabezpieczenie przed naruszeniem.
4. Laboratorium rejestruje przyjęcie oraz stan opakowania.
5. Powstaje ekstrakt i wynik analityczny.
6. Analityk ocenia jakość, mieszaninę, artefakty i zgodność z kryteriami.
7. Uprawniona osoba zatwierdza profil przeznaczony do porównania.
8. Właściwy organ zarządza lub inicjuje rejestrację zgodnie z kategorią.
9. System wykonuje wyszukanie i zapisuje log operacji.
10. Trafienie podlega potwierdzeniu oraz ocenie w sprawie.

Na każdym etapie może pojawić się inny rodzaj błędu:

• błędna podstawa pobrania;
• zamiana nazwisk;
• zamiana próbek;
• skażenie;
• niewłaściwa interpretacja mieszaniny;
• wpisanie do złej kategorii;
• nieuprawnione wyszukanie;
• automatyczne potraktowanie hitu jako dowodu winy;
• brak usunięcia po spełnieniu przesłanki.

Dlatego audyt bazy nie powinien ograniczać się do cyberbezpieczeństwa. Musi obejmować również legalność źródła danych i poprawność ich klasyfikacji.

Po co wolno przetwarzać profile

Ustawa o Policji wiąże bazę z identyfikacją, wykrywaniem sprawców oraz eliminowaniem osób, które nie są związane ze śladem. Cel powinien być zapisany dostatecznie precyzyjnie, aby dało się ocenić dopuszczalność konkretnego porównania.

Przykładowo profil:

• śladu z włamania może być wyszukiwany przeciw profilom osób w odpowiedniej kategorii;
• krewnego osoby zaginionej może być użyty do poszukiwania relacji rodzinnej z niezidentyfikowanymi szczątkami;
• pracownika laboratorium może być użyty do wyjaśnienia kontaminacji;
• uczestnika masowego badania eliminacyjnego powinien pozostać ograniczony do celu, dla którego został pobrany.

Poważnym problemem jest „pełzanie celu”: dane zebrane w społecznie akceptowanym celu są stopniowo wykorzystywane szerzej, ponieważ już istnieją. Techniczna możliwość nowego porównania nie jest podstawą prawną.

Test przed nowym zastosowaniem

Przed uruchomieniem nowej funkcji należy odpowiedzieć:

1. Jaki konkretny cel realizuje wyszukanie?
2. Który przepis dopuszcza ten cel i tę kategorię danych?
3. Czy oczekiwany rezultat można osiągnąć mniej ingerującą metodą?
4. Jakie grupy osób mogą zostać dotknięte fałszywym trafieniem?
5. Czy system rozróżnia podejrzanych, skazanych, ofiary, krewnych i personel?
6. Kto potwierdza wynik przed podjęciem czynności wobec człowieka?
7. Jaki jest termin przeglądu i usunięcia?

Jeśli organizacja umie odpowiedzieć wyłącznie „algorytm to potrafi”, projekt nie jest gotowy.

Profil identyfikacyjny nadal jest daną wrażliwą

Standardowe profile STR są zwykle budowane z regionów niekodujących. Czasem prowadzi to do wniosku, że profil nie ujawnia niczego biologicznego i dlatego nie zasługuje na szczególną ochronę. To uproszczenie.

Po pierwsze, funkcją profilu jest rozróżnianie ludzi i wiązanie śladu z konkretną osobą. Po drugie, allele krewnych są statystycznie zależne, więc profil niesie informację rodzinną. Po trzecie, ryzyko nie wynika wyłącznie z odczytania choroby. Wynika też z:

• możliwości śledzenia człowieka między sprawami;
• błędnego połączenia z przestępstwem;
• odkrycia relacji biologicznej;
• dyskryminacji kategorii osób objętych bazą;
• nieodwracalności identyfikatora po wycieku.

Hasła można zmienić. Genotypu nie można „zresetować”, a krewni dzielą część jego informacji.

Dyrektywa 2016/680 zalicza dane genetyczne do szczególnych kategorii. Ich przetwarzanie przez właściwe organy powinno być dozwolone tylko wtedy, gdy jest ściśle niezbędne, zabezpieczone i oparte na prawie, ochronie żywotnych interesów albo danych w sposób oczywisty upublicznionych przez osobę.⁴ Polska ustawa wdrażająca ten reżim przyjmuje analogiczną szczególną ochronę danych genetycznych i biometrycznych.⁵

Konieczność i proporcjonalność nie są ozdobnymi słowami

Wygodny system może zachęcać do gromadzenia profili „na zapas”. Europejskie orzecznictwo wymaga jednak oceny, czy ingerencja rzeczywiście odpowiada celowi i czy istnieją dostateczne zabezpieczenia.

W sprawie S. i Marper przeciwko Zjednoczonemu Królestwu Europejski Trybunał Praw Człowieka oceniał bezterminowe przechowywanie odcisków, próbek komórkowych i profili DNA osób, które nie zostały skazane. Trybunał uznał blankietowy charakter retencji za nieproporcjonalny i stwierdził naruszenie art. 8 konwencji.⁶

Znaczenie tego wyroku nie sprowadza się do zakazu jednego brytyjskiego modelu. Pokazuje zestaw pytań kontrolnych:

• czy prawo rozróżnia skazanie, uniewinnienie i umorzenie;
• czy bierze pod uwagę wagę czynu;
• czy istnieje termin albo okresowy przegląd;
• czy człowiek może domagać się usunięcia;
• czy próbka jest przechowywana tak długo jak profil;
• czy organ musi uzasadnić dalszą potrzebę.

W sprawie Gaughran przeciwko Zjednoczonemu Królestwu problem dotyczył również osoby skazanej. Sam fakt skazania nie usprawiedliwia automatycznie nieograniczonej retencji bez rzeczywistego przeglądu i zabezpieczeń.⁷

Trybunał Sprawiedliwości UE rozwija podobne wymagania na gruncie dyrektywy policyjnej. W wyroku z 20 listopada 2025 roku w sprawie C-57/23, Policejní prezidium podkreślił potrzebę ścisłej niezbędności, rozróżniania kategorii osób oraz istnienia odpowiednich reguł przeglądu i usuwania danych biometrycznych i genetycznych.⁸

Nie wynika z tego jeden uniwersalny termin liczony w latach. Wynika natomiast obowiązek skonstruowania systemu, który potrafi wykazać, dlaczego określone dane określonej kategorii pozostają potrzebne.

Usuwanie danych i niszczenie próbek w polskich przepisach

Ustawa o Policji wskazuje przesłanki usuwania informacji z bazy. Wśród nich znajdują się między innymi:

• prawomocne uniewinnienie;
• określone przypadki umorzenia z powodu braku czynu, braku cech przestępstwa albo braku dostatecznych podstaw podejrzenia;
• osiągnięcie wieku 100 lat;
• śmierć osoby;
• ustalenie tożsamości niezidentyfikowanych zwłok;
• upływ przewidzianego okresu dla profili eliminacyjnych personelu;
• ustanie celu związanego z poszukiwaniem osoby zaginionej.

Dla śladów nieznanych sprawców znaczenie ma termin przedawnienia karalności czynu. Dla osoby zaginionej i dawcy referencyjnego przepisy wiążą usunięcie z odnalezieniem osoby, ustaleniem miejsca pobytu lub długim ustawowym okresem liczonym od rozpoczęcia poszukiwania. W części przypadków mechanizm uruchamia wniosek właściwego organu, dlatego poprawność bazy zależy też od przepływu informacji z prowadzącym sprawę.

Praktyczny wniosek jest ważny: system powinien mieć zdarzenia retencyjne, nie tylko datę utworzenia. Takim zdarzeniem może być:

• prawomocność orzeczenia;
• zmiana kwalifikacji statusu osoby;
• odnalezienie zaginionego;
• identyfikacja zwłok;
• ustanie zatrudnienia osoby w bazie eliminacyjnej;
• upływ terminu przedawnienia.

Co dokładnie ma zostać usunięte

Procedura musi osobno wskazywać:

• rekord profilu w bazie aktywnej;
• powiązanie profilu z tożsamością;
• ekstrakt DNA;
• pierwotną próbkę;
• kopie robocze;
• wyniki w systemie laboratoryjnym;
• raport w aktach postępowania;
• logi potwierdzające legalność wcześniejszych operacji;
• kopie zapasowe i termin ich rotacji.

Nie wszystkie obiekty mają identyczną podstawę i identyczny cykl życia. Zarazem „usunięto z interfejsu” nie może oznaczać, że aktywny rekord nadal uczestniczy w nocnych porównaniach.

Ustawa przewiduje komisyjne niszczenie próbek i dokumentowanie czynności protokołem. Dobrą praktyką techniczną jest możliwość wykazania całej ścieżki: od przesłanki usunięcia, przez zatwierdzenie, po wyłączenie z wyszukiwań i bezpieczne zniszczenie materiału.

Zgoda: ważna, lecz nieuniwersalna

W laboratoriach medycznych i badaniach naukowych świadoma zgoda zajmuje centralne miejsce. W kryminalistyce sytuacja jest bardziej złożona.

Gdy podstawą jest ustawa

Pobranie od oskarżonego lub osoby podejrzanej może wynikać z obowiązku ustawowego. Pytanie „czy wyraża pan zgodę?” byłoby wtedy mylące, jeśli odmowa nie zmienia dopuszczalności czynności. Osobę należy rzetelnie poinformować o podstawie, zakresie oraz przysługujących środkach, zamiast tworzyć pozór dobrowolności.

Gdy zgoda rzeczywiście jest podstawą

W działaniach dotyczących zaginionych i materiału referencyjnego krewnych zgoda może być ustawowo istotna. Jej dobrowolność wymaga szczególnej uwagi, ponieważ rodzina działa pod presją emocjonalną.

Formularz nie powinien zawierać bezgranicznej klauzuli „na wszelkie przyszłe cele”. Powinien rozdzielać:

• identyfikację konkretnej osoby lub zwłok;
• wyszukiwania krajowe;
• wyszukiwania międzynarodowe;
• ponowną analizę inną techniką;
• wykorzystanie do walidacji albo badań.

Cofnięcie zgody

Cofnięcie zgody nie zawsze powoduje usunięcie każdego dokumentu, jeżeli powstała odrębna podstawa procesowa. Organ powinien jednak umieć jasno wskazać, co nadal przetwarza, na jakiej podstawie i czego już nie wykorzystuje.

Automatyczne dopasowanie nie może automatycznie przesądzać o człowieku

Bazy DNA wykorzystują automatyczne indeksowanie i wyszukiwanie. Automatyzacja jest niezbędna przy milionach porównań, ale zwiększa ryzyko pozornego obiektywizmu.

Hit może powstać z powodu:

• rzeczywistego wspólnego źródła;
• pokrewieństwa;
• profilu częściowego;
• przypadkowej zgodności;
• kontaminacji;
• zamiany próbki lub rekordu;
• zbyt szerokiego progu wyszukiwania;
• błędnej translacji alleli między systemami.

Dlatego po trafieniu powinny nastąpić co najmniej:

1. kontrola jakości obu profili;
2. sprawdzenie, czy porównano właściwe kategorie;
3. niezależne potwierdzenie danych źródłowych;
4. analiza możliwości kontaminacji;
5. ocena statystyczna;
6. ustalenie znaczenia śladu dla sprawy;
7. w razie potrzeby pobranie świeżej próbki referencyjnej.

Przepisy ochrony danych w działalności organów ścigania ograniczają możliwość podejmowania decyzji wywołujących niekorzystne lub istotne skutki wyłącznie automatycznie. Człowiek w pętli nie może być jednak dekoracją. Musi mieć kompetencję, czas i dostęp do informacji potrzebnych do zakwestionowania wyniku.

Wymiana międzynarodowa i Prüm II

Przestępstwo, migracja i katastrofa nie zatrzymują się na granicy. Państwa UE rozwijają zautomatyzowaną wymianę danych DNA, daktyloskopijnych i innych kategorii w ramach współpracy Prüm.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/982, nazywane Prüm II, ustanawia nową architekturę wyszukiwań.⁹ W odniesieniu do DNA istotne są następujące reguły:

• dane referencyjne używane do automatycznego wyszukania nie powinny zawierać dodatkowych danych pozwalających bezpośrednio zidentyfikować osobę;
• profil śladu niezidentyfikowanego powinien być odpowiednio oznaczony;
• zapytanie ma być związane z konkretną sprawą i celem;
• operacje podlegają rejestrowaniu;
• po trafieniu następuje odrębny etap uzyskania danych podstawowych;
• istotne decyzje wymagają weryfikacji przez człowieka;
• regulacja obejmuje również określone wyszukiwania dotyczące osób zaginionych i szczątków, jeżeli prawo krajowe ustanawia wymagane warunki.

Hit/no-hit

W pierwszym etapie system odpowiada zasadniczo, czy w innym państwie istnieje profil odpowiadający zapytaniu. Nie powinien od razu otwierać zagranicznemu użytkownikowi całych akt ani podawać nazwiska właściciela profilu.

Dopiero potwierdzone trafienie może prowadzić do dalszej wymiany danych. Ten podział ogranicza ekspozycję informacji, ale nie usuwa wszystkich ryzyk. Już samo trafienie może wywołać czynności wobec osoby, dlatego liczą się jakość profilu, progi dopasowania i kontrola kategorii.

Czy Prüm II już działa w pełnym zakresie

Rozporządzenie obowiązuje, lecz nie oznacza to, że wszystkie elementy nowego routera zostały jednocześnie uruchomione we wszystkich państwach. Artykuł 75 uzależnia rozpoczęcie operacyjnego użycia od aktów wykonawczych, testów oraz decyzji Komisji. W czerwcu 2026 roku opublikowano decyzję wykonawczą 2026/1064 określającą część technicznych reguł i środków dla systemu.¹⁰

Najbezpieczniej opisywać stan następująco: ramy Prüm II są w mocy, trwa ich techniczne i organizacyjne wdrażanie, a rzeczywista dostępność poszczególnych funkcji zależy od przewidzianych decyzji, testów i gotowości danego państwa.

Dane zaginionych i względy humanitarne

Prüm II pozwala tworzyć kanały do poszukiwania zaginionych oraz identyfikacji szczątków także z przyczyn humanitarnych. Nie znaczy to, że profil krewnego można bez ograniczeń wyszukiwać w każdej bazie kryminalnej.

Państwo powinno określić:

• właściwy organ;
• kategorie dopuszczonych spraw;
• kryteria konieczności;
• relację między zgodą a podstawą ustawową;
• sposób potwierdzania pokrewieństwa;
• zasady usunięcia po zakończeniu poszukiwania.

Prywatna genealogia genetyczna to inny ekosystem

Konsumencka baza genealogiczna i policyjna baza STR różnią się rodzajem markerów, celem, modelem biznesowym oraz oczekiwaniami użytkownika.

W serwisach genealogicznych często analizuje się setki tysięcy SNP. Użytkownik przesyła dane, aby znaleźć krewnych lub poznać pochodzenie. Jednocześnie jego wynik ujawnia informacje o osobach, które nigdy nie zawarły umowy z platformą.

Śledcza genealogia genetyczna może odnaleźć dalszych krewnych nieznanego dawcy śladu, a następnie zbudować drzewa rodzinne. Jest to jakościowo szersza ingerencja niż porównanie profili STR jeden do jednego.

Czego nie wolno zakładać

Nie należy automatycznie twierdzić, że:

• każda zgoda użytkownika obejmuje dostęp organów;
• regulamin platformy jest samodzielną podstawą działania policji;
• ustawowe uprawnienie do policyjnej bazy DNA obejmuje każdą bazę konsumencką;
• zgoda jednego kuzyna usuwa interes prywatności całej rodziny;
• technicznie publiczny profil staje się informacją dowolnego użytku.

Każda operacja wymaga zbadania właściwości organu, podstawy prawnej, warunków usługodawcy, miejsca przechowywania, zasad transferu i proporcjonalności do wagi sprawy.

Minimalne zabezpieczenia

Do rozsądnego modelu należą:

• ograniczenie do najpoważniejszych kategorii spraw;
• wykazanie, że zwykłe metody nie wystarczyły;
• zatwierdzenie na odpowiednim szczeblu;
• dokumentowanie zapytań;
• korzystanie tylko z baz, które jasno informują użytkowników o takim zastosowaniu;
• weryfikacja genealogicznej hipotezy niezależną próbką;
• zakaz traktowania drzewa rodzinnego jako listy podejrzanych;
• kontrola dalszego przechowywania pobranych danych.

Fenotypowanie DNA a baza identyfikacyjna

Fenotypowanie próbuje przewidywać cechy wyglądu albo pochodzenie biogeograficzne. Nie jest tym samym co wyszukiwanie identycznego profilu STR.

Wdrożenie takiej analizy wymaga osobnej oceny:

• czy prawo dopuszcza analizę określonych cech;
• czy cel jest wystarczająco ważny;
• jakie są błędy dla różnych populacji;
• czy komunikat nie przekształca prawdopodobieństwa w kategoryczny portret;
• czy wynik prowadzi do profilowania całych grup;
• jak długo przechowuje się bogatsze dane SNP;
• czy model i populacja walidacyjna odpowiadają polskiemu zastosowaniu.

Ogólne uprawnienie do identyfikacji nie powinno być bez analizy rozciągane na każdą możliwą informację z genomu. Zasada minimalizacji dotyczy również liczby badanych markerów.

Outsourcing, chmura i dostawcy oprogramowania

Organ może korzystać z zewnętrznego laboratorium, systemu LIMS, chmury albo programu do interpretacji mieszanin. Odpowiedzialność nie znika wraz z fakturą dla dostawcy.

Umowa i architektura powinny określać:

• role administratora i podmiotu przetwarzającego;
• dopuszczalne cele i instrukcje;
• lokalizację danych oraz kopii;
• dostęp administratorów technicznych;
• podwykonawców;
• szyfrowanie i zarządzanie kluczami;
• retencję logów;
• obsługę incydentów;
• zwrot i usunięcie danych po zakończeniu umowy;
• możliwość audytu;
• zakaz używania danych klienta do trenowania modeli bez odrębnej podstawy.

Szczególnej ostrożności wymaga transfer poza Europejski Obszar Gospodarczy. Nie wystarczy stwierdzenie, że usługodawca „spełnia RODO”, zwłaszcza gdy właściwym reżimem jest ochrona danych organów ścigania.

Dane testowe

Kopia produkcyjnej bazy nie powinna automatycznie trafiać do środowiska deweloperskiego. Do testów należy preferować:

• dane syntetyczne;
• profile specjalnie przygotowane do walidacji;
• dane zanonimizowane, jeżeli realna anonimizacja jest możliwa;
• wydzielony minimalny podzbiór z kontrolą dostępu.

Pseudonimizacja to nie anonimizacja. Zamiana nazwiska na numer nie wystarcza, jeżeli profil można ponownie powiązać z osobą.

Bezpieczeństwo bazy DNA

Wyciek profilu nie musi ujawnić całego genomu, aby wyrządzić szkodę. Może ujawnić obecność osoby w bazie, status sprawy albo relację z konkretnym śladem.

Kontrola dostępu

Uprawnienia powinny odpowiadać zadaniom. Technik laboratoryjny, administrator systemu, analityk, policjant prowadzący sprawę i audytor nie potrzebują tych samych funkcji.

Dobre mechanizmy obejmują:

• indywidualne konta;
• wieloskładnikowe uwierzytelnienie;
• role najmniejszych niezbędnych uprawnień;
• okresowy przegląd kont;
• szybkie odebranie dostępu po zmianie stanowiska;
• podwójne zatwierdzenie operacji wysokiego ryzyka;
• alarmy przy masowym eksporcie.

Rejestrowanie operacji

Log powinien odpowiadać na pytania:

• kto wykonał wyszukanie;
• kiedy;
• w jakiej sprawie;
• z jakiego celu;
• jaki profil był zapytaniem;
• jakie bazy i kategorie przeszukano;
• kto otworzył wynik;
• czy wynik potwierdzono;
• czy wyeksportowano dane.

Log bez regularnego przeglądu jest archiwum, nie zabezpieczeniem.

Integralność

System musi wykrywać nieautoryzowane zmiany. Pomagają podpisy, sumy kontrolne, wersjonowanie, separacja obowiązków i niezmienialne dzienniki audytowe. Każda korekta allelu lub kategorii rekordu powinna pozostawiać historię.

Dostępność i kopie zapasowe

Baza używana w identyfikacji ofiar katastrof musi być dostępna także w kryzysie. Kopie zapasowe są konieczne, lecz komplikują usuwanie. Procedura powinna określać:

• okres rotacji;
• szyfrowanie;
• izolację kopii;
• testy odtworzeniowe;
• sposób, w jaki usunięty profil nie wraca do aktywnej bazy po odtworzeniu.

Jakość danych jest częścią ochrony praw

Ochrona danych bywa utożsamiana z poufnością. Tymczasem błędny, nieaktualny albo przypisany do niewłaściwej osoby profil może być równie groźny jak wyciek.

System powinien kontrolować:

• kompletność loci;
• wersję zestawu markerów;
• nomenklaturę alleli;
• jakość profilu częściowego;
• status mieszaniny;
• pochodzenie próbki;
• kategorię prawną;
• aktualność postępowania;
• przesłankę i termin retencji.

Jeżeli osoba została uniewinniona, sama zgodność alleli nie czyni dalszej kategorii „oskarżony” prawdziwą. Dane laboratoryjne i dane procesowe mają osobne cykle aktualizacji.

Bazy eliminacyjne personelu

Profil pracownika laboratorium pomaga rozpoznać przypadkowe zanieczyszczenie. Jest to realne zabezpieczenie jakości, ale profil nie powinien stawać się narzędziem nadzoru nad pracownikiem.

Należy określić:

• które osoby rzeczywiście mają kontakt z materiałem;
• z jakimi śladami porównuje się profil;
• kto widzi trafienie;
• czy wynik może być wykorzystany dyscyplinarnie;
• jak długo profil pozostaje po ustaniu pracy;
• jak obsługuje się wykonawców i serwisantów.

W 2026 roku Prezes Urzędu Ochrony Danych Osobowych publicznie zwrócił uwagę na potrzebę doprecyzowania zasad dotyczących danych genetycznych i biometrycznych funkcjonariuszy oraz pracowników, w tym okresu przechowywania po ustaniu służby lub zatrudnienia.¹¹ To stanowisko organu nadzorczego, a nie samoistna zmiana ustawy, lecz pokazuje praktyczny spór o proporcjonalność retencji.

Osoba zaginiona i jej rodzina: szczególna odpowiedzialność

Poszukiwanie zaginionych jest jednym z najmocniejszych uzasadnień użycia baz DNA. Jednocześnie rodziny znajdują się w sytuacji, w której łatwo przeoczyć skutki uboczne.

Analiza może ujawnić:

• brak oczekiwanego pokrewieństwa;
• ojcostwo inne niż zakładane;
• adopcję;
• nieznane rodzeństwo;
• pokrewieństwo z inną sprawą.

Procedura powinna z góry określać, czy i w jaki sposób komunikuje się wyniki uboczne. Nie każda niezgodność musi być przekazana jako sensacyjna „tajemnica rodzinna”; może też wynikać z błędu dokumentacji, mutacji STR albo niewłaściwego modelu pokrewieństwa.

Rozdzielenie funkcji

Profil referencyjny oddany do poszukiwania zaginionego nie powinien bez wyraźnej podstawy stać się ogólnym profilem kryminalnym dawcy. Pomoc humanitarna traci wiarygodność, jeśli rodzina obawia się nieograniczonego wykorzystania swoich danych.

Koniec poszukiwania

Odnalezienie osoby lub identyfikacja szczątków powinny uruchamiać przegląd:

• czy dalsze przechowywanie jest potrzebne;
• które profile krewnych należy usunąć;
• które próbki zniszczyć;
• jakie raporty muszą pozostać w aktach;
• czy profile trafiły do systemów zagranicznych i trzeba wysłać komunikat aktualizacyjny.

Prawa osoby i nadzór

Zakres informacji udzielanej osobie może być ograniczony, jeżeli ujawnienie zagroziłoby postępowaniu, bezpieczeństwu lub prawom innych ludzi. Ograniczenie nie oznacza jednak całkowitego wyłączenia kontroli.

Zależnie od podstawy prawnej i kontekstu mogą mieć znaczenie prawa do:

• informacji o administratorze i celu;
• dostępu do danych;
• sprostowania informacji nieprawidłowych;
• usunięcia danych przetwarzanych bez podstawy;
• ograniczenia przetwarzania;
• wniesienia skargi do organu nadzorczego;
• kontroli sądowej.

Odpowiedź administratora powinna rozróżniać:

• brak prawa do ujawnienia określonych informacji na danym etapie;
• brak danych;
• odmowę usunięcia z podaniem podstawy;
• odroczenie działania;
• faktyczne wykonanie usunięcia.

Niezależny audyt

Skuteczny nadzór wymaga dostępu nie tylko do regulaminu, ale także do:

• próbek logów;
• historii korekt;
• statystyk trafień;
• błędów i incydentów;
• czasu realizacji usunięć;
• umów z dostawcami;
• raportów z testów;
• sposobu obsługi skarg.

Przejrzystość bez ujawniania metod operacyjnych

Organy nie muszą publikować progów i szczegółów, które pozwalałyby obchodzić system. Mogą jednak ujawniać informacje zagregowane:

• liczbę profili według kategorii;
• liczbę nowych wpisów i usunięć;
• średni czas realizacji wniosku o korektę;
• liczbę wyszukiwań międzynarodowych;
• liczbę trafień potwierdzonych i odrzuconych;
• liczbę incydentów;
• wyniki audytów zgodności.

Taka przejrzystość pozwala sprawdzić, czy wyjątek nie staje się regułą.

Dziesięć sytuacji do przeanalizowania

Przypadek 1: umorzenie z powodu niewykrycia sprawcy

Profil śladu nieznanego sprawcy może nadal mieć znaczenie do czasu przedawnienia. To co innego niż profil konkretnej osoby, wobec której brak było podstaw podejrzenia. System nie powinien przenosić skutków statusu śladu na osobę tylko dlatego, że rekordy są technicznie powiązane.

Przypadek 2: prawomocne uniewinnienie

Informacja o wyroku powinna trafić do administratora bazy w sposób uruchamiający właściwą procedurę. Brak integracji między sądem a bazą nie jest neutralnym problemem IT — może przedłużyć ingerencję bez podstawy.

Przypadek 3: wymaz od mieszkańców jednego budynku

Materiał pobrano, aby wyłączyć osoby mające legalny kontakt z miejscem. Profile nie powinny być automatycznie używane do ogólnokrajowych poszukiwań sprawców. Trzeba od początku określić cel, zakres porównania i moment zniszczenia.

Przypadek 4: hit profilu częściowego

System wskazał zgodność ośmiu loci, ale ślad jest mieszaniną. Prawidłową reakcją nie jest zatrzymanie „właściciela hitu” wyłącznie na podstawie ekranu. Potrzebna jest ocena statystyczna, kontrola alleli dodatkowych i analiza kontekstu.

Przypadek 5: kontaminacja przez serwisanta

Profil nieznanego mężczyzny pojawia się w wielu niespowiązanych sprawach. Baza eliminacyjna personelu może szybko ujawnić źródło. Dostęp do niej powinien jednak obejmować osoby z realnym kontaktem z dowodami, w tym wykonawcę serwisującego urządzenie, na przejrzystych zasadach.

Przypadek 6: odnalezienie zaginionego żywego

Zakończenie poszukiwania powinno uruchomić przegląd profilu zaginionego i krewnych, a nie pozostawić dane bezterminowo dlatego, że nikt nie zamknął zadania w systemie.

Przypadek 7: trafienie zagraniczne

Router wskazuje hit w innym państwie. Przed wymianą danych podstawowych trzeba sprawdzić, czy profil i zapytanie dotyczą właściwej kategorii, czy trafienie zostało potwierdzone oraz czy dalsza wymiana odpowiada celowi.

Przypadek 8: genealogia wskazuje rodzinę

Drzewo genealogiczne zawęża krąg do kilkunastu krewnych. Żaden z nich nie staje się przez to sprawcą. Dalsze typowanie powinno korzystać z wieku, miejsca, dostępu i innych dowodów, a próbkę referencyjną pobierać na właściwej podstawie.

Przypadek 9: dostawca chce ulepszać algorytm

Firma proponuje bezpłatną poprawę programu w zamian za użycie mieszanin klientów do trenowania modelu. Cel rozwoju produktu nie jest tożsamy z celem postępowania. Potrzebne są osobna analiza prawna, minimalizacja i odpowiednie dane testowe; sama korzyść techniczna nie wystarcza.

Przypadek 10: odbudowa po awarii

Administrator odtwarza kopię sprzed miesiąca. Wracają profile usunięte po prawomocnym uniewinnieniu. System powinien mieć dziennik usunięć wykonywany ponownie po odtworzeniu, aby backup nie odwracał skutków prawnych.

Checklista dla projektu bazy lub nowej funkcji

Podstawa i cel

• Czy wskazano konkretną normę prawną?
• Czy opisano cel bez ogólnika „bezpieczeństwo”?
• Czy kategoria osób odpowiada temu celowi?
• Czy oceniono mniej ingerujące środki?

Zakres danych

• Czy wystarczy standardowy profil identyfikacyjny?
• Czy trzeba zachowywać ekstrakt lub próbkę?
• Czy metadane są minimalne?
• Czy oddzielono zaginionych, krewnych, personel, ślady i podejrzanych?

Jakość

• Czy metoda jest zwalidowana?
• Czy znane są błędy dla profili częściowych i mieszanin?
• Czy istnieje druga kontrola?
• Czy hit wymaga potwierdzenia?

Retencja

• Jakie zdarzenie rozpoczyna i kończy okres?
• Kto przekazuje informację o uniewinnieniu, śmierci lub odnalezieniu?
• Czy system automatycznie zgłasza rekord do przeglądu?
• Czy osobno usuwa rekord, ekstrakt, próbkę i kopie?

Bezpieczeństwo

• Kto ma dostęp?
• Czy każde wyszukanie ma numer sprawy i uzasadnienie?
• Czy logi są regularnie kontrolowane?
• Czy możliwy jest masowy eksport?
• Jak system reaguje na naruszenie?

Prawa i nadzór

• Jak osoba składa żądanie lub skargę?
• Kto ocenia odmowę?
• Czy można skorygować błędną kategorię?
• Czy audytor ma dostęp do realnych operacji, nie tylko polityk?

Wymiana i dostawcy

• Czy dane opuszczają kraj albo EOG?
• Czy wyszukiwanie międzynarodowe ma właściwą podstawę?
• Czy umowa zabrania wtórnego użycia?
• Czy po zakończeniu usługi dostawca usuwa wszystkie kopie?

Jak myśleć o kompromisie

Dyskusja o bazach DNA bywa przedstawiana jako wybór między prywatnością a skutecznym ściganiem. To fałszywa alternatywa. Źle zarządzana baza szkodzi obu wartościom.

Nadmierna retencja:

• zwiększa liczbę osób dotkniętych wyciekiem;
• obniża jakość przez nieaktualne rekordy;
• tworzy fałszywe trafienia;
• zmniejsza gotowość rodzin do dobrowolnej współpracy;
• utrudnia audyt, bo rośnie liczba zbędnych danych.

Dobrze zaprojektowane ograniczenia poprawiają wiarygodność wyników. Profil ma być użyty wtedy, gdy jego pochodzenie, kategoria i cel są znane. Trafienie ma prowadzić do sprawdzenia, a nie zastępować dochodzenie. Retencja ma odpowiadać potrzebie, a nie pojemności serwera.

Co powinien zapamiętać biolog

Biolog pracujący z materiałem sądowym nie musi zastępować prawnika, ale powinien rozpoznawać momenty, w których decyzja techniczna zmienia zakres ingerencji.

Tak dzieje się, gdy:

• zachowuje się ekstrakt po wykonaniu profilu;
• dodaje nowe markery;
• łączy bazy;
• zmienia próg trafienia;
• przesyła dane dostawcy;
• używa produkcyjnych profili do walidacji;
• interpretuje pokrewieństwo;
• eksportuje wynik za granicę.

Najkrótsza użyteczna zasada brzmi:

Pobierz tylko na właściwej podstawie, zbadaj tylko tyle, ile potrzebne, porównuj wyłącznie w oznaczonym celu, potwierdź trafienie i usuń dane po ustaniu potrzeby.

To nie osłabia genetyki sądowej. Dzięki temu jej wynik pozostaje nie tylko technicznie poprawny, lecz także możliwy do obrony przed sądem i społecznie wiarygodny.