Prüm II — router biometryczny i nowa architektura wymiany danych

Prüm II to unijna architektura automatycznego wyszukiwania danych na potrzeby współpracy policyjnej, ustanowiona rozporządzeniem (UE) 2024/982. Obejmuje profile DNA, dane daktyloskopijne i wizerunki twarzy obsługiwane przez centralny router, dane rejestracyjne pojazdów wymieniane przez EUCARIS oraz — dobrowolnie dla państw — indeksy akt policyjnych przeszukiwane przez EPRIS. Nie tworzy jednej europejskiej kartoteki biometrycznej ani nie przenosi krajowych baz do wspólnego magazynu.

W sierpniu 2026 r. trzeba rozróżniać obowiązujące rozporządzenie od gotowości technicznej systemu. Według harmonogramu eu-LISA uruchomienie centralnego routera zaplanowano na drugi kwartał 2027 r. Prüm II jest zatem wdrażane; opis architektury docelowej nie może być przedstawiany tak, jakby wszystkie nowe funkcje już działały produkcyjnie we wszystkich państwach.

Pierwotny administrator: eu-LISA

Agencja eu-LISA projektuje, rozwija i ma zarządzać routerem łączącym systemy krajowe. Jej podstawowym zadaniem nie jest prowadzenie dochodzeń, lecz utrzymywanie bezpiecznej, dostępnej i audytowalnej infrastruktury: przyjmowanie zapytania, ustalenie właściwych odbiorców, przekazanie danych technicznych, zebranie odpowiedzi i dostarczenie ich państwu pytającemu.

Operator routera zarządza wersjami interfejsów, certyfikatami, monitoringiem, obsługą incydentów, ciągłością działania i logami technicznymi. Musi rozdzielać awarię łącza od błędu formatu, odrzucenia zapytania, braku odpowiedzi oraz prawdziwego wyniku no-hit. Dla użytkownika procesowego zdania te mogą brzmieć podobnie, lecz technicznie i dowodowo znaczą coś innego.

eu-LISA nie staje się właścicielem krajowych profili. Router ma topologię koncentratora i połączonych z nim węzłów: kieruje ruchem, ale źródłowa baza pozostaje pod odpowiedzialnością państwa. Centralny komponent przechowuje tylko zakres konieczny do realizacji, zabezpieczenia i udokumentowania wymiany, zgodnie z terminami przewidzianymi prawem.

Pierwotni użytkownicy: administratorzy systemów krajowych

Każde państwo utrzymuje bazy, z których udostępnia określone kategorie danych. Administrator krajowy odpowiada za legalność rejestracji, prawidłową kategorię rekordu, jakość, aktualizację, korektę i usunięcie. Prüm II jest drogą porównania; nie stanowi samoistnej podstawy pobrania odcisków, próbki DNA czy fotografii ani przedłużenia krajowej retencji.

Krajowy węzeł tłumaczy format własnego systemu na wspólny model wymiany. Rejestruje identyfikator sprawy, cel, zakres państw, rodzaj zapytania, czas, odpowiedź oraz operatora. Jeżeli rekord zostaje skorygowany lub usunięty, administrator musi rozumieć wpływ zmiany na wcześniejsze trafienia, ponowne dopasowania i dane ujawnione partnerom.

Przejście z pierwszej generacji Prüm nie jest prostym przełączeniem adresu serwera. Wymaga mapowania kategorii, walidacji algorytmów, testów bezpieczeństwa, oceny jakości, procedur kontaktowych i szkolenia. Poszczególne kategorie oraz państwa mogą osiągać gotowość w różnym czasie, dlatego raport z wyszukania powinien wskazywać rzeczywisty zasięg, a nie tylko nazwę mechanizmu.

Pierwotni użytkownicy: laboratoria i jednostki biometryczne

Laboratoria DNA przygotowują profile, kontrolują allele, mieszaniny, degradację i ryzyko kontaminacji. Jednostki daktyloskopijne weryfikują odbitki i ślady, ich orientację, jakość obrazu oraz kandydatów algorytmu. Jednostki obrazowe oceniają fotografie twarzy i ręcznie sprawdzają kandydatów. To one nadają wynikowi znaczenie biologiczne lub identyfikacyjne; router jedynie zapewnia skalowalne wyszukanie.

Wspólny interfejs nie usuwa różnic między materiałem referencyjnym a śladem. Profil osoby, niezidentyfikowany profil ze śladu, odbitka kontrolna, fragment śladu i fotografia nieznanej osoby mają inne źródło, jakość oraz wartość. Bez zachowania kategorii automatyczna zgodność może zostać błędnie opisana jako ustalenie sprawcy.

Jednostka potwierdzająca wynik zachowuje dane pozwalające odtworzyć decyzję: materiał wejściowy, wersję algorytmu, listę kandydatów, kryteria oceny, wynik ręcznej kontroli i tożsamość eksperta. W przypadku twarzy rozporządzenie wymaga, aby potencjalne dopasowanie zostało zweryfikowane przez wykwalifikowanego pracownika; sam ranking nie może automatycznie ustalić tożsamości.

Pierwotni użytkownicy: krajowe punkty kontaktowe

Punkty kontaktowe obsługują relację pomiędzy technicznym trafieniem a merytoryczną wymianą. Sprawdzają, czy zapytanie dotyczy indywidualnego przypadku, czy ma dopuszczalny cel, czy rezultat został potwierdzony i jaki zakres danych uzupełniających może zostać przekazany. Rozporządzenie nie legalizuje masowego eksplorowania baz bez związku z konkretną sprawą.

Po potwierdzeniu zgodności punkt kontaktowy koordynuje przekazanie podstawowych danych. W docelowym modelu właściwe dane rdzeniowe — między innymi imię, nazwisko, datę urodzenia i informację związaną z przestępstwem, jeśli są dostępne i prawnie dopuszczalne — mają być przekazywane w ciągu 48 godzin. Termin nie zmienia automatycznego trafienia w pełną dokumentację dowodową.

Punkt rozwiązuje także niezgodności: inna pisownia nazwiska, dwa identyfikatory tej samej osoby, rekord usunięty po wyszukaniu albo wynik wycofany po kontroli. Korekta musi dotrzeć do odbiorcy tak, aby pierwotna informacja nie funkcjonowała dalej jako aktualny fakt.

Użytkownik dochodzeniowy

Policjant lub prokurator rozpoczyna od pytania związanego z konkretnym zdarzeniem: czy ślad ma odpowiednik za granicą, czy nieznana osoba może zostać zidentyfikowana, czy fotografia ma kandydata, czy pojazd jest zarejestrowany w innym państwie albo czy partner posiada istotne akta. System odpowiada o istnieniu kandydata lub zgodności, a nie o winie.

Prowadzący dokumentuje podstawę, kategorię, datę, państwa objęte wyszukaniem oraz status ręcznej weryfikacji. Potem ocenia alternatywne wyjaśnienia: legalny kontakt, transfer wtórny, krewny, podobieństwo biometryczne, błąd danych albo związek ze sprawą inną niż badane zdarzenie.

Jeżeli informacja ma zostać użyta procesowo, potrzebne mogą być materiały źródłowe, opinia, próbka potwierdzająca, dokumentacja łańcucha zabezpieczenia i właściwy instrument pomocy prawnej. Zapis „trafienie Prüm II” nie zastępuje tych elementów.

Router zamiast sieci wielu połączeń

Pierwszy Prüm opiera się na bezpośrednich połączeniach państwo–państwo. Wraz z liczbą uczestników rośnie liczba interfejsów, certyfikatów, testów i punktów awarii. Router upraszcza topologię: system krajowy łączy się z centralnym pośrednikiem, a ten rozprowadza zapytania do odpowiednich węzłów i Europolu.

Centralizacja transportu nie oznacza centralizacji decyzji. Państwo pytające określa zapytanie, państwo odpowiadające przeszukuje własny indeks i pozostaje administratorem rekordu. Router nie rozstrzyga, czy materiał jest wiarygodnym dowodem, nie kwalifikuje czynu i nie ustala osoby na podstawie kontekstu postępowania.

Model koncentratora daje spójniejszą obserwowalność, lecz tworzy krytyczny komponent wspólny. Wymaga redundancji, mechanizmów kolejkowania, odtwarzania po awarii i jasnego statusu każdej operacji. Nie wolno automatycznie ponawiać zapytania bez kontroli identyfikatora, bo partner może potraktować je jako nową sprawę lub zwrócić zduplikowany wynik.

DNA przez Prüm II

Zapytanie DNA obejmuje profil liczbowy i metadane konieczne do poprawnego zestawienia, a nie całą próbkę ani pełny genom. Porównanie jest wykonywane wobec udostępnionych indeksów. Wynik powinien rozróżniać relacje ślad–osoba, ślad–ślad i ewentualne inne prawnie dopuszczone kategorie.

Zgodność techniczna zależy od wspólnych loci, zapisu mikro wariantów, progów i reguł dla profili częściowych. Mieszanina może generować więcej kandydatów niż dobry profil jednego źródła. Jakość wejścia, a nie tylko liczba przeszukanych baz, wyznacza użyteczność wyniku.

Trafienie wymaga potwierdzenia przez laboratorium i zestawienia z dokumentacją. No-hit nie jest wykluczeniem osoby: profil mógł nie być zarejestrowany, zostać usunięty, nie należeć do udostępnionej kategorii, nie spełnić progu albo znajdować się w systemie jeszcze nieprzyłączonym.

Dane daktyloskopijne

Prüm II obejmuje obrazy i dane daktyloskopijne palców oraz — w zakresie przewidzianym wspólnymi regułami — dłoni. Algorytm przeszukujący wskazuje kandydatów, natomiast ekspert porównuje cechy i jakość odwzorowań. Wynik rankingu jest etapem selekcji, nie samodzielną opinią identyfikacyjną.

Ślad fragmentaryczny, rozmazany albo zdeformowany może spowodować fałszywego kandydata. W dużej populacji nawet rzadkie błędy dają liczne wyniki wymagające pracy. Dlatego należy zachować listę zwróconych rekordów, wynik niezależnej weryfikacji i przyczynę odrzucenia pozycji o wysokiej punktacji.

Oddzielnego sprawdzenia wymaga kategoria rekordu. Zgodność z niezidentyfikowanym śladem z innego miejsca łączy postępowania, ale nie daje nazwiska. Zgodność z odbitką osoby daje kandydata źródła śladu, ale nadal nie dowodzi czasu, sposobu transferu ani udziału w przestępstwie.

Wizerunki twarzy

Dodanie wizerunków twarzy jest jedną z najważniejszych zmian wobec pierwszej generacji. System może porównać fotografię osoby lub nieznanego wizerunku z udostępnionymi zbiorami i zwrócić kandydatów. Jakość zależy od rozdzielczości, pozy, oświetlenia, wieku, przesłonięcia, kompresji i zgodności domeny między zdjęciem zapytującym a bazą.

Rozporządzenie przewiduje ręczną kontrolę potencjalnego dopasowania. Analityk powinien widzieć obraz źródłowy i kandydata, znać ograniczenia algorytmu oraz oddzielać podobieństwo od potwierdzonej tożsamości. Nie powinien otrzymywać sugestywnej informacji o oczekiwanym podejrzanym przed własną oceną.

Wynik musi być opisany językiem odpowiadającym walidacji. „Kandydat systemu”, „zgodność po ocenie” i „tożsamość potwierdzona innymi danymi” to trzy różne stany. Fotografia z monitoringu nie uzyskuje jakości zdjęcia sygnalitycznego tylko dlatego, że przeszukano europejskie zbiory.

Dane rejestracyjne pojazdów przez EUCARIS

Prüm II zachowuje wymianę danych rejestracyjnych pojazdów, lecz nie kieruje jej przez router biometryczny. Wykorzystywany jest EUCARIS, czyli zdecentralizowana platforma komunikacji między organami rejestrującymi pojazdy i prawa jazdy. Ten wyjątek pokazuje, że „Prüm II” jest ramą kilku kanałów, a nie nazwą jednej bazy.

Pierwotnymi użytkownikami danych są organy rejestracyjne i administracja transportu. Prowadzą cykl życia pojazdu, właściciela lub posiadacza, tablic, dokumentów i statusów. Policja korzysta z informacji wtórnie, na przykład przy identyfikacji pojazdu, przestępczości transgranicznej lub zdarzeniu drogowym.

Odpowiedź wymaga sprawdzenia daty obowiązywania. Aktualny posiadacz nie musiał nim być w chwili czynu, tablica mogła zostać skradziona, numer VIN sklonowany, a zmiana mogła jeszcze nie dotrzeć do wszystkich systemów. Rekord rejestracyjny tworzy trop administracyjny, a nie automatyczny dowód kierowania pojazdem.

EPRIS i indeksy akt policyjnych

European Police Records Index System ma umożliwiać wyszukanie, czy inne państwo posiada w aktach policyjnych dane dotyczące osoby. Udział państw w tym komponencie jest dobrowolny. EPRIS jest odrębny od routera biometrycznego i operuje na pseudonimizowanych indeksach, które służą znalezieniu właściwego partnera, nie ujawnieniu całych akt.

Pierwotnym użytkownikiem jest jednostka prowadząca krajowe akta i odpowiadająca za ich jakość oraz status osoby. Obecność w indeksie nie oznacza skazania ani nawet statusu podejrzanego; osoba mogła być świadkiem, pokrzywdzonym, zgłaszającym lub występować w kontekście administracyjnym. Odpowiedź musi zachować rolę i źródło.

Po trafieniu dalsze informacje są wymieniane przez właściwy kanał i po ocenie podstawy. Niedopuszczalne jest budowanie charakterystyki osoby z samej liczby państw, które zwróciły hit. Bez treści i kontekstu indeks odpowiada wyłącznie, gdzie może znajdować się potencjalnie relewantny rekord.

Europol i dane państw trzecich

Europol może uczestniczyć w wymianie i porównywać posiadane dane, w tym otrzymane zgodnie z prawem od państw trzecich, z krajowymi bazami państw członkowskich. Państwa mogą także kierować zapytania do danych Europolu. Poszerza to zasięg, lecz nie przenosi na państwo automatycznej gwarancji jakości pierwotnego źródła.

Informacja pochodząca spoza Unii wymaga ustalenia dostawcy, warunków użycia, daty, kategorii i możliwości uzyskania materiału źródłowego. Trafienie techniczne nie naprawia braku podstawy zebrania ani nie usuwa ograniczeń przekazanych przez autora danych.

Prowadzący powinien rozdzielić cztery warstwy: rekord krajowy, transport przez Prüm II, zasób Europolu i źródło państwa trzeciego. Bez tej genealogii trudno ocenić poprawność, sprostowanie oraz dopuszczalność dalszego ujawnienia.

Zapytania dotyczące osób zaginionych i zwłok

Rozporządzenie pozwala, przy spełnieniu warunków prawa krajowego, wykorzystywać porównania do identyfikacji osób zaginionych i niezidentyfikowanych szczątków. Cel humanitarny i identyfikacyjny nie może być automatycznie utożsamiony ze ściganiem przestępstwa.

W takim postępowaniu profil DNA krewnego nie jest profilem osoby zaginionej. Wynik oznacza zgodność pokrewieństwa o określonej sile statystycznej, wymaga sprawdzenia drzewa rodzinnego i innych danych identyfikacyjnych. Artykuł o Prüm II nie zastępuje odrębnej metodyki systemu I-Familia.

Podstawa, zgoda lub inny tytuł przetwarzania oraz zakres dalszego użycia muszą być zapisane. Danych przekazanych w celu identyfikacji humanitarnej nie należy bez ponownej oceny traktować jako ogólnego materiału rozpoznawczego.

Ponowne dopasowanie

Nowy rekord może pasować do wcześniejszego zapytania, dlatego architektura przewiduje mechanizmy rematchingu. Funkcja jest użyteczna w niewykrytych sprawach, lecz zwiększa znaczenie retencji identyfikatorów, wersjonowania oraz powiadamiania o korektach.

Powiadomienie powinno wskazywać, co się zmieniło: dodano profil, poprawiono oznaczenie, rozszerzono kategorię albo przyłączono państwo. Bez tego prowadzący nie wie, czy nowy hit wynika z nowego dowodu, czy z naprawy starego błędu.

Usunięcie danych wymaga odpowiedniej propagacji. System nie powinien odtwarzać usuniętego rekordu z historycznego powiadomienia ani bezterminowo utrzymywać sprawy tylko po to, aby czekała na przyszłe trafienie.

UMF i wspólny język wymiany

Universal Message Format ma ujednolicać struktury komunikatów tam, gdzie jest to możliwe. Wspólny schemat zmniejsza liczbę ręcznych translacji, ale nie gwarantuje wspólnego znaczenia. To samo pole może w systemach krajowych mieć odmienny zakres, obowiązkowość lub słownik wartości.

Każda transformacja powinna być testowana na wartościach granicznych, znakach narodowych, braku danych, wielu rolach osoby i korekcie rekordu. Pole puste nie zawsze oznacza „nie istnieje”; może znaczyć „nie zebrano”, „nie udostępniono” albo „nie dotyczy”.

Wersja komunikatu jest elementem reprodukowalności. Gdy zmienia się schemat lub algorytm, stare zapytanie może dać inną odpowiedź. Audyt zapisuje wersje obu stron i reguły mapowania.

Hit, kandydat i potwierdzenie

W DNA zgodność według reguł porównania może być nazywana hitem, ale laboratorium nadal kontroluje profil. W daktyloskopii i rozpoznawaniu twarzy algorytm zwykle tworzy listę kandydatów. Dopiero ręczna ocena pozwala przejść do potwierdzenia albo odrzucenia.

Interfejs powinien eksponować status zamiast ukrywać go w notatce. Minimum to: zapytanie przyjęte, wysłane, odpowiedź techniczna, kandydat, oczekuje na weryfikację, potwierdzony, odrzucony, dane uzupełniające zamówione, przekazane, skorygowane albo usunięte.

Samo słowo „trafienie” jest zbyt wieloznaczne dla protokołu procesowego. Należy podać kategorię danych, metodę, stronę potwierdzającą i datę. Jeżeli potwierdzenie jest w toku, dokument nie może uprzedzać wyniku.

Minimalne standardy jakości

Państwa mają przestrzegać standardów jakości dla danych wejściowych. Obejmują one nie tylko rozdzielczość obrazu czy liczbę loci, ale również poprawność kategorii, kompletność metadanych i zdolność wskazania materiału źródłowego.

Walidacja powinna odpowiadać warunkom operacyjnym: różnym sensorom, śladom częściowym, populacjom, oświetleniu i kompresji. Średnia skuteczność z kontrolowanego zbioru nie opisuje błędu w trudnym materiale z konkretnej sprawy.

Jakość musi być monitorowana po wdrożeniu. Nagła zmiana liczby trafień, odrzuceń lub czasu odpowiedzi może ujawnić błąd mapowania, aktualizacji albo konfiguracji progu. Metryka operacyjna jest sygnałem do kontroli, nie miarą skuteczności śledczej samą w sobie.

Logowanie, rozliczalność i bezpieczeństwo

Zapytanie powinno pozostawiać log celu, sprawy, użytkownika, czasu, zakresu i wyniku. Logi routera oraz systemów krajowych muszą pozwolić zestawić pełną ścieżkę, ale ich zakres i retencja podlegają ograniczeniom. Sam log może ujawniać zainteresowanie osobą lub trwające postępowanie.

Kontrola dostępu obejmuje uwierzytelnienie jednostki i operatora, najmniejsze uprawnienia, rozdział ról oraz przegląd nietypowych wyszukań. Masowe pytania, wyszukiwanie znajomych, częste zapytania bez sprawy i obchodzenie ograniczeń powinny generować alarm.

Incydent wymaga ustalenia, czy naruszono poufność, integralność, dostępność czy rozliczalność. Trzeba wskazać dotknięte państwa, rekordy i odbiorców, zatrzymać dalsze rozsyłanie błędu oraz przekazać korektę. Przywrócenie serwera bez naprawienia błędnych wyników nie zamyka incydentu.

Ochrona danych i prawa osoby

Automatyzacja nie znosi zasad celu, niezbędności, proporcjonalności, jakości i ograniczenia przechowywania. Każde wyszukanie ma dotyczyć indywidualnego przypadku. Dane szczególnych kategorii, takie jak biometria i DNA, wymagają szczególnie ścisłej kontroli.

Osoba może potrzebować drogi do informacji, dostępu, sprostowania lub usunięcia, z uwzględnieniem prawnych ograniczeń dla postępowania. Architektura transgraniczna komplikuje odpowiedzialność: błąd może powstać w bazie źródłowej, transformacji, routerze, interpretacji albo dalszym systemie odbiorcy.

Skuteczna korekta identyfikuje wszystkie kopie i decyzje oparte na błędnym wyniku. Nie wystarcza poprawienie nazwiska w bazie krajowej, jeżeli stary rekord przekazano partnerom i wykorzystano do następnych czynności.

Relacja do interoperacyjności systemów UE

Prüm II może współdziałać z architekturą interoperacyjności w zakresie przewidzianym prawem, lecz router nie jest Europejskim Portalem Wyszukiwania, Wspólnym Repozytorium Danych Tożsamości, wspólną usługą kojarzenia danych biometrycznych ani detektorem wielokrotnych tożsamości. ESP, CIR, sBMS i MID mają własne podstawy, zakresy oraz administratorów.

Nie jest również SIS. SIS zawiera wpisy i instrukcje działania dotyczące osób lub przedmiotów; Prüm II porównuje określone dane i kieruje do państwa posiadającego rekord. Hit biometryczny nie tworzy alertu SIS, a alert SIS nie jest automatycznie potwierdzeniem biometrycznym.

Rozróżnienie systemów ma znaczenie dla praw osoby i audytu. W notatce należy wskazać faktyczny kanał, bazę źródłową i etap, zamiast stosować ogólne określenie „system unijny”.

Ocena trafienia w postępowaniu

Pierwszym pytaniem jest, co dokładnie porównano. Następnie: kto potwierdził wynik, jakie było źródło rekordu, jaką rolę miała osoba, czy materiał mógł zostać przeniesiony niewinnie i czy istnieje niezależne potwierdzenie. Dopiero całość pozwala ocenić znaczenie.

Trafienie może prowadzić do zabezpieczenia dokumentów, przesłuchania, uzyskania próbki lub współpracy z inną sprawą. Każda z tych czynności wymaga własnej podstawy. System informacyjny pomaga znaleźć trop, ale nie dostarcza automatycznej podstawy dla środka przymusu.

Obrona i sąd powinny móc poznać metodę oraz łańcuch wyniku w zakresie koniecznym do kontroli. Tajemnica techniczna nie może zamienić twierdzenia systemu w nieweryfikowalny dowód. Jednocześnie ujawnienie nie powinno otwierać dostępu do cudzych spraw i danych niezwiązanych z zarzutem.

Typowe nieporozumienia

„Prüm II już w pełni działa”. Rozporządzenie obowiązuje, ale centralny router według eu-LISA ma wejść do eksploatacji w II kwartale 2027 r.; wdrożenia krajowe i kategorie wymagają gotowości.

„Router jest bazą biometryczną UE”. Router przekazuje zapytania pomiędzy systemami. Krajowe zbiory pozostają u administratorów, a szczególne systemy Europolu zachowują własne zasady.

„Każdy wynik jest automatyczną identyfikacją”. Dla twarzy i daktyloskopii potrzebna jest ocena eksperta. Także profil DNA wymaga kontroli laboratoryjnej i interpretacji.

„Wszystko przechodzi przez router”. Dane pojazdów są wymieniane przez EUCARIS, a indeksy akt policyjnych przez dobrowolny EPRIS.

„Brak trafienia wyklucza osobę”. No-hit opisuje tylko wynik wobec osiągalnych zbiorów, kategorii, danych i progów w danym czasie.

„Trafienie dowodzi sprawstwa”. Zgodność może identyfikować źródło albo łączyć rekordy, lecz nie dowodzi mechanizmu transferu, czasu, zamiaru ani udziału w czynie.

Lista kontrolna dokumentowania zapytania

Zapisz sygnaturę, cel, podstawę i kategorię indywidualnego przypadku.
Ustal, które państwa i komponenty rzeczywiście objęto wyszukaniem.
Zachowaj jakość i kategorię danych wejściowych oraz ich wersję.
Odróżnij odpowiedź techniczną od kandydata i wyniku potwierdzonego.
Wskaż eksperta lub jednostkę, która przeprowadziła ręczną kontrolę.
Powiąż dane rdzeniowe drugiego etapu z identyfikatorem trafienia.
Sprawdź rolę osoby, datę aktualności i źródło rekordu.
Udokumentuj korekty, odrzucenia, ponowne dopasowania i zawiadomionych odbiorców.
Dla użycia procesowego pozyskaj materiał źródłowy właściwym kanałem.
Nie rozszerzaj wniosku ponad to, co wynik rzeczywiście potwierdza.