Як видалити персональні дані з бази Європолу: юридичні підстави та покрокова інструкція

Будь-яка особа має право вимагати видалення або виправлення своїх персональних даних з бази Європолу безкоштовно згідно зі статтею 26 Регламенту (ЄС) 2016/794. Запит подається через компетентний орган держави-члена ЄС, а Європол зобов’язаний відповісти напряму заявнику протягом трьох місяців. Це означає, що якщо вам потрібна навмисна очистка від даних, краще розраховувати на період від половини до дев’яти місяців — час на подання запиту, його розгляд органом держави та остаточне рішення Європолу. Наша юридична команда супроводжує клієнтів у процедурах видалення даних з баз Європолу та Інтерполу з 2018 року, працюючи з компетентними органами 28 держав-членів ЄС.

Європол (Europol) — агентство Європейського Союзу з правоохоронного співробітництва, створене для координації боротьби з тяжкою міжнародною злочинністю між поліцейськими органами держав-членів ЄС. Діяльність Європолу регулюється Регламентом (ЄС) 2016/794, який замінив Конвенцію 1995 року про створення Європолу.

Право на стирання даних — гарантоване статтею 19 Регламенту (ЄС) 2018/1725 право фізичної особи вимагати видалення персональних даних з баз інституцій ЄС, якщо дані не використовуються для законних правоохоронних цілей або були зібрані з порушенням законодавства.

Європол зберігає персональні дані про підозрюваних, засуджених, свідків та потерпілих у рамках координації правоохоронної діяльності 27 держав-членів ЄС. Біометричні дані, відбитки пальців, фотографії, інформація про судимості та матеріали розслідувань надходять від національних підрозділів. До бази потрапляють і помилково звинувачені, і реальні злочинці — розрізнити їх після внесення складно.

Правова основа обробки встановлена статтею 18 Регламенту (ЄС) 2016/794. Європол має право обробляти персональні дані виключно для підтримки та посилення діяльності компетентних органів у запобіганні тяжким злочинам та боротьбі з ними. Maar — й це важливо — Європол не ініціює розслідування самостійно, не робить арешти. Ці функції залишаються за національними органами.

Дані зберігаються у трьох системах: аналітичні робочі файли для конкретних розслідувань, індексна система для швидкого пошуку та інформаційна система Європолу у режимі реального часу для всіх держав-членів. Термін зберігання — до трьох років з дати останнього використання. Потім інформація мусить переглядатися на предмет видалення або знеособлення. На практиці цей процес часто затримується, якщо держава-член не підтримає ініціативу видалення.

Чим Європол відрізняється від Інтерполу

Європол обслуговує 27 держав-членів ЄС та керується правом Союзу. Інтерпол об’єднує 195 країн світу та має власний Статут. Юрисдикція Європолу обмежена територією ЄС, а процедури оскарження йдуть через Регламент (ЄС) 2016/794 та право ЄС з можливістю звернення до Суду ЄС.

Інтерпол підпорядковується власним Правилам обробки даних та Комісії з контролю файлів Інтерполу. Запити на видалення з його бази розглядаються за зовсім іншою процедурою — через різних органів і за іншим законодавством.

Для українських громадян — важливо. Після набуття Україною членства в ЄС запити до Європолу йтимуть через український компетентний орган. Досі доступ можливий через представництво у країні-члені або за наявності законних підстав подати запит від імені особи.

Стаття 26 Регламенту (ЄС) 2016/794 дає будь-якій особі право безкоштовно вимагати виправлення або видалення персональних даних, що стосуються її та обробляються Європолом. Запит йде через компетентний орган держави-члена ЄС, який перевіряє підстави та передає його Європолу.

Стаття 19 Регламенту (ЄС) 2018/1725 встановлює загальне право на стирання даних в усіх інституціях ЄС. Дані видаляються, якщо вони більше не потрібні для цілей збирання, або якщо особа відкликає згоду за відсутності інших правових підстав.

Додатково дані підлягають видаленню, якщо були зібрані незаконно — з порушенням права ЄС або національного законодавства держави-члена. Або якщо обробляються дані про особу, яка не є підозрюваною чи обвинуваченою. Або якщо закінчився термін зберігання, визначений внутрішніми правилами Європолу. Але якщо дані передала інша держава-член, Європол повинен проконсультуватися з нею перед видаленням — це значно сповільнює процес.

Коли Європол зобов’язаний видалити дані автоматично

Європол проводить перегляд необхідності зберігання даних не пізніше ніж через три роки з дати їх введення або останнього використання. Якщо дані більше не потрібні, Європол видаляє їх або застосовує знеособлення — зберігає лише статистику без ідентифікаторів.

Негайне видалення — для осіб, помилково внесених як підозрювані. Те саме для даних, зібраних з порушенням статті 18 Регламенту (ЄС) 2016/794, наприклад, інформації, яка не стосується тяжких злочинів в мандаті Європолу.

Знеособлення є альтернативою видаленню. Європол видаляє прямі ідентифікатори (ім’я, дату народження, номер документа), залишаючи агреговані показники для аналітики. Але особа має право вимагати повного видалення, якщо є підстави зі статті 26 або статті 19. Не кожен знає цю різницю — результат той, що дані де-юре видалені, а де-факто залишилися у вигляді шифрованої статистики.

Процедура складається з трьох етапів: визначення компетентного органу, підготовка запиту з правовим обґрунтуванням та очікування рішення Європолу з можливістю оскарження. Весь процес безплатний згідно зі статтею 26 Регламенту (ЄС) 2016/794.

Крок 1: Визначити компетентний орган держави-члена ЄС. Запит не йде безпосередньо до Європолу. Його потрібно направити через компетентний орган будь-якої держави-члена ЄС. Для українців, які не резиденти ЄС, це компетентний орган країни, де особа має представництво, або країна, яка передала дані до Європолу. Якщо не зрозуміти цей момент, запит може затриматися або повернутися як неправильно адресований.

Крок 2: Підготувати та подати запит. Запит мусить містити ідентифікаційні дані заявника, опис даних (характер, джерело, контекст) та правове обґрунтування зі статті 26 Регламенту (ЄС) 2016/794 або статті 19 Регламенту (ЄС) 2018/1725. До нього — копії документів підтвердження особи та докази незаконності обробки, якщо вони є. Слабке обґрунтування часто призводить до відмови з перших спроб.

Крок 3: Отримати відповідь. Європол розглядає запит протягом трьох місяців з дати отримання від органу. Якщо потрібна додаткова інформація, строк продовжується ще на три місяці — і заявник повинен бути про це поінформований. Відповідь надходить напряму заявнику, органу передається окрема інформація.

Ця стаття опублікована незалежною юридичною фірмою виключно в інформаційних цілях і не представляє та не стверджує про будь-яку афіліацію з урядовим органом, міжнародною організацією чи офіційною установою.

Скільки коштує видалення персональних даних з бази Європолу?

Безкоштовно. Стаття 26 Регламенту (ЄС) 2016/794 забороняє взимати збір за запит, розгляд чи видалення даних. Європол і компетентні органи держав-членів не мають права стягувати гроші. Єдиний винахід — адвокат, якщо наймете. Сам процес: нулі витрат.

Чи можна подати запит на видалення даних з Європолу з України?

Можна, але непрямо. Запит йде через компетентний орган держави-члена ЄС, не напряму. Якщо в Україні нема представництва ЄС, найміть адвоката в будь-якій країні-члені, або звертайтесь до органу тієї держави, яка передала дані до Європолу. Коли Україна стане членом ЄС, все буде через український орган автоматично — простіше і пряміше.

Скільки часу займає видалення персональних даних з бази Європолу?

Три місяці — це стандартний строк. Європол розглядає запит 90 днів з моменту отримання від компетентного органу. Якщо треба консультації з державою-донором даних або додаткова інформація, строк продовжується на ще три місяці. Європол зобов’язан повідомити вас про подовження та причину. Коли рішення позитивне, видалення відбувається за кілька днів, макимум тиждень.

Чи видаляє Європол дані автоматично після закінчення кримінальної справи?

Ні. Дані зберігаються три роки після останнього використання. Потім Європол переглядає, чи ще потрібні, та либо видаляє, либо знеособлює. Три роки — довгий час. Не чекайте. Подайте запит на дострокове видалення за статтею 26 прямо зараз, якщо справа закінчена. Часто Європол відповідає позитивно без волокити.

Що робити, якщо Європол відмовив у видаленні персональних даних?

Скарга до EDPS — перший крок. Це незалежний наглядовий орган, який контролює інституції ЄС. Якщо EDPS також не допоможе, позов до Суду ЄС за статтею 263 TFEU протягом двох місяців. Не пропустіть строк. Суд розглядає справу по суті та може скасувати відмову Європолу й зобов’язати видалити дані.

Чи можна видалити дані з Європолу та Інтерполу одночасно?

Нема. Це різні организації з різними процедурами. Запит до Європолу йде через державу-членів ЄС, запит до Інтерполу — напряму до CCF. Якщо ваші дані в обох базах, подайте два окремих запити паралельно. Один не впливає на другий — обробляються незалежно.